Anlage 3 zum AVV: Weitere Auftragsverarbeiter
Stand · Rechtsangaben mit Quelle
Persobo – Fassung uav-2026-11, Stand 26.10.2026
Der Auftraggeber genehmigt die folgenden weiteren Auftragsverarbeiter (§ 7 AVV).
| Nr. | Weiterer Auftragsverarbeiter | Leistung | Verarbeitete Daten | Ort | Grundlage |
|---|---|---|---|---|---|
| 1 | Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland | Bereitstellung des Servers (Hetzner Cloud), auf dem Anwendung, Datenbank und Upload-Ablage laufen, sowie des Servers für Betriebsüberwachung und Reichweitenmessung (Messdaten mit Bogen-Kennung, keine Bogeninhalte) | alle Daten nach Anlage 1; Bogeninhalte, Uploads und Empfänger-Adressen vom Auftragnehmer verschlüsselt (Anlage 2, Nr. 1.1) | Rechenzentrum Nürnberg, Deutschland | Vertrag zur Auftragsverarbeitung, abgeschlossen im Hetzner-Kundenkonto; ISMS nach ISO/IEC 27001:2022 für die Rechenzentren Nürnberg, Falkenstein und Helsinki |
| 2 | Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland (Dienst: Azure Communication Services Email) | Versand der Mails an Auftraggeber, Mitarbeitende und Kanzleien, Absender bogen@persobo.de | Empfänger-Adresse, Antwortadresse des Auftraggebers, Betreff (ohne Betriebsname, Code oder Datum), Mailtext mit Betriebsname, Link und gegebenenfalls Code oder Fingerabdruck der Kopie, Zustellstatus; kurzzeitig Adressen mit endgültig gescheiterter Zustellung (Sperrliste); keine Angaben aus dem Bogen, keine Anhänge; Öffnungs- und Klickverfolgung aus | Datenregion Deutschland; zur Zustellung nach Angaben von Microsoft auch Durchleitung durch andere Regionen möglich | Microsoft Products and Services Data Protection Addendum (DPA) als Bestandteil der Microsoft-Produktbedingungen, in der jeweils geltenden Fassung; Drittland: Zugriff durch Microsoft Corporation (USA) nicht ausgeschlossen, Grundlage EU-US Data Privacy Framework (Art. 45 DSGVO), ergänzend Standardvertragsklauseln |
| 3 | Hetzner Online GmbH (wie Nr. 1), Dienst Storage Box | Speicherung der Datensicherungen in einem eigenen Unterkonto | Datenbank-Abzug und Upload-Ablage, vom Auftragnehmer mit restic verschlüsselt (AES-256); Bogeninhalte zusätzlich mit dem Schlüssel des Bogens | Rechenzentrum Falkenstein, Deutschland | wie Nr. 1 |
Keine weiteren Auftragsverarbeiter sind:
- die Benachrichtigungen an den Betreiber (ntfy), die Betriebsüberwachung (OpenTelemetry, Erreichbarkeitsprüfung) und die Website-Statistik (Umami): Sie laufen als eigene Dienste der Kleymann Digital Solutions UG auf dem Überwachungsserver aus Nr. 1 und erhalten keine Angaben aus dem Bogen und keine Mail-Adressen,
- Schriften und Bilder: Auslieferung vom eigenen Server, kein Content-Delivery-Netz.
Änderungen kündigen wir mindestens 30 Tage vorher per Mail an die Adressen aller laufenden Bögen und auf dieser Seite an. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen (§ 7 AVV).