Unterauftragsverarbeiter

1. Zweck dieser Übersicht

Diese Seite listet die aktuell von uns für den Betrieb von XBOA OfficePilot eingesetzten Unterauftragsverarbeiter im Sinne von Art. 28 Abs. 4 DSGVO. Sie ergänzt die Vereinbarung zur Auftragsverarbeitung und kann sich aus betrieblichen, technischen oder rechtlichen Gründen ändern. Maßgeblich ist die jeweils auf der Plattform veröffentlichte Fassung.

2. Eingesetzte Anbieter

2.1 Hosting, Datenbank und Mailversand

Standort-Garantie: Hosting, Datenbank und ausgehender Mailversand werden ausschließlich in Rechenzentren innerhalb von Deutschland oder eines anderen Mitgliedstaates der Europäischen Union bzw. des Europäischen Wirtschaftsraums betrieben. Eine Übermittlung in Drittländer findet im Rahmen des Hostings nicht statt.

Aktuell aktiver Anbieter:

IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland

• Funktion: Webhosting, MySQL-Datenbank, transaktionaler SMTP-Versand
• Verarbeitete Daten: alle in der Plattform anfallenden Inhalts-, Stamm-, Log- und Kommunikationsdaten
• Standort: Deutschland
• Drittland-Übermittlung: nein
• Rechtsgrundlage: Auftragsverarbeitung gemäß Art. 28 DSGVO

Geprüfter alternativer Anbieter (zur künftigen Nutzung vorgesehen):

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland

• Funktion: Managed Server (Hosting, Datenbank, ggf. ausgehender Mailversand)
• Verarbeitete Daten: alle in der Plattform anfallenden Inhalts-, Stamm-, Log- und Kommunikationsdaten
• Eingesetzte Rechenzentrumsstandorte: ausschließlich Deutschland (Falkenstein, Nürnberg) bzw. innerhalb des EWR (Helsinki, Finnland)
• Drittland-Übermittlung: nein
• Rechtsgrundlage: Auftragsverarbeitung gemäß Art. 28 DSGVO

Ein Wechsel oder eine parallele Nutzung des alternativen Anbieters wird vor Aktivierung gemäß Vereinbarung zur Auftragsverarbeitung (Abschnitt 8) angekündigt und in dieser Übersicht dokumentiert. Die Standort-Garantie nach Absatz 1 gilt unverändert.

2.2 Zahlungsabwicklung und Abonnement-Verwaltung

Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland

• Funktion: Zahlungsabwicklung (Checkout, SEPA, Karte), Abonnement-Verwaltung, Rechnungsstellung, Customer Portal
• Verarbeitete Daten: Abrechnungsdaten, Kontaktdaten, Zahlungsdaten, Nutzungsereignisse
• Standort: Irland / EU; einzelne Subprozessoren von Stripe verarbeiten in den USA
• Drittland-Übermittlung: ggf. in die USA auf Basis EU-Standardvertragsklauseln und Angemessenheitsbeschluss (EU-US Data Privacy Framework)
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsabwicklung) und Art. 28 DSGVO
• Weitere Informationen: stripe.com/de/privacy

2.3 Drittanbieter-API (vom Kunden eigenständig aktiviert)

Haufe-Lexware GmbH & Co. KG, Munzinger Straße 9, 79111 Freiburg, Deutschland

• Funktion: Lexware Office (vormals lexoffice) API für Stammdaten- und Rechnungsentwurfsübergabe
• Aktivierung: ausschließlich durch die Kundin oder den Kunden mit eigenem API-Schlüssel
• Verarbeitete Daten: Kunden-Stammdaten, Leistungspositionen, Rechnungsentwürfe
• Standort: Deutschland / EU
• Rechtsverhältnis: die Kundin oder der Kunde steht in einem eigenen Vertrags- und Datenschutzverhältnis zur Haufe-Lexware GmbH & Co. KG. Wir sind kein Auftragsverarbeiter im Verhältnis zu Lexware.

3. Änderungen

Über wesentliche Änderungen bei Unterauftragsverarbeitern informieren wir nach Maßgabe der Vereinbarung zur Auftragsverarbeitung (Abschnitt 8) mit angemessener Vorlaufzeit. Kundinnen und Kunden können aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Kalendertagen widersprechen.