Anlage 3 – Unterauftragsverarbeiter
| Unterauftragsverarbeiter | Leistung | Datenstandort | Übermittlungsmechanismus |
|---|---|---|---|
| Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland | Server, Speicher, Backup, Mailserver (Mailu) | Deutschland und Finnland | EU – nicht anwendbar |
| Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513 (Infrastruktur: AWS eu-central-1) | Kontodatenbank und Anmeldung für Kontrollpanel und Webmail (Kontodaten des Kunden – keine gehosteten Inhalte) | Frankfurt, Deutschland | EU-SCC (2021/914, Module 2/3) + UK Addendum für Fernzugriff außerhalb der EU |
| BunnyWay d.o.o., Dunajska cesta 165, 1000 Ljubljana, Slowenien | CDN (nur wenn der Kunde CDN einschaltet, Pro/Business) | EU-Unternehmen; weltweite Edge-Server | Übermittlungen an Edge-Server außerhalb der EU/des EWR erfolgen nach dem Auftragsverarbeitungsvertrag von bunny.net |
| Hosting Concepts B.V. (Openprovider), Rotterdam, Niederlande | Domainregistrierung (Inhaberdaten); optionales sekundäres DNS | EU | EU – nicht anwendbar |
| Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA | KI im Website-Baukasten (NinaAI), im App-Baukasten (AYAAI), für Übersetzung und Einrichtungshilfe (z. B. Produkte und Buchungsleistungen aus Texten, CSV-Dateien und Bildern des Kunden) sowie der KI-Assistent im Webmail (nur wenn der Nutzer ihn einschaltet). Die Claude API verarbeitet nur die Inhalte, mit denen die KI nach dem Wunsch des Kunden oder Nutzers arbeiten soll, um das Ergebnis zurückzugeben. Es werden keine anderen KI-Anbieter eingesetzt. Anthropic nutzt API-Daten nicht zum Trainieren von Modellen und speichert Daten nur nach seinen API-Datenbedingungen (kurzfristig, zur Missbrauchsüberwachung) | USA | EU-SCC (2021/914) + UK Addendum |
| Resend, Inc., USA | E-Mails an die Besucher des Kunden: transaktionale E-Mails (Kontaktformular, Buchung, Webshop), Newsletter und Marketing-E-Mails, die der Kunde versendet oder einschaltet (z. B. Erinnerungen an verlassene Warenkörbe und an wieder verfügbare Artikel), sowie System-E-Mails zu den Diensten des Kunden | USA/EU | EU-US Data Privacy Framework + SCC |
| GatewayAPI (OnlineCity.IO ApS), Dänemark | SMS-Buchungserinnerungen (nur wenn der Kunde SMS einschaltet und der Endkunde zugestimmt hat): Telefonnummer, Vorname, Leistung, Zeitpunkt und Name des Unternehmens | EU (Dänemark) | EU – nicht anwendbar |
Kalendersynchronisierung (Google Calendar, Microsoft Outlook): Verbindet der Kunde sein eigenes Google- oder Microsoft-Konto, werden Buchungsdaten (Leistung, Zeitpunkt, Vorname des Endkunden) auf Weisung des Kunden und im Rahmen seines eigenen Vertrags mit Google bzw. Microsoft in den Kalender des Kunden übertragen. Google und Microsoft sind hierfür keine Unterauftragsverarbeiter von Sitewig.
Stripe handelt bei Zahlungsdaten überwiegend als eigenständiger Verantwortlicher und ist kein Unterauftragsverarbeiter für die gehosteten Inhalte des Kunden. Registrierungsstellen (Punktum dk, EURid, Verisign usw.) sind eigenständige Verantwortliche.