Unterauftragsverarbeiter (Subprocessors)
Transparente Liste aller eingesetzten Dienstleister gemäß Art. 28 Abs. 2–4 DSGVO für die ZETL CRM Plattform.
1. Transparenz & Gesetzliche Grundlagen (Art. 28 Abs. 2–4 DSGVO)
Die Amberon Software UG (haftungsbeschränkt) i. Gr. setzt zur Erbringung der Software-as-a-Service (SaaS)-Leistungen der ZETL CRM Plattform ausgewählte externe Dienstleister als Unterauftragsverarbeiter (Subprocessors) ein. Gemäß Art. 28 Abs. 2 und Abs. 4 DSGVO informieren wir unsere Auftraggeber (Verantwortliche) transparent über die Identität, den Sitz, den Verarbeitungszweck sowie die Datenresidenz und Garantien aller eingesetzten Unterauftragsverarbeiter.
Allen Unterauftragsverarbeitern werden vertraglich dieselben Datenschutz- und Datensicherheitsverpflichtungen auferlegt, die im Auftragsverarbeitungsvertrag (AVV) zwischen ZETL und dem Auftraggeber festgelegt sind.
Die im CRM gespeicherten Mandanten- und Kundendaten werden ausschließlich in ISO 27001 zertifizierten EU-Rechenzentren verarbeitet: Datenbank und Server-Logik in Frankfurt am Main (Deutschland, europe-west3), Dateispeicher in Belgien (europe-west1). Zwei Dienste sind nicht auf eine EU-Region festgelegt, sodass eine Verarbeitung außerhalb der EU möglich ist: Firebase Authentication (Kontokennungen — E-Mail-Adresse, Passwort-Hash, Anmeldezeitpunkte und Anmelde-IP) und die Missbrauchsprävention Firebase App Check mit reCAPTCHA Enterprise (IP-Adresse sowie Geräte- und Nutzungssignale des Browsers). Für diese beiden Dienste stützt sich die Übermittlung auf die EU-Standardvertragsklauseln (SCCs) und die Zertifizierung unter dem EU-U.S. Data Privacy Framework (DPF). Die CRM-Inhalte selbst verlassen die EU nicht.
2. Verzeichnis der genehmigten Unterauftragsverarbeiter
| Unterauftragsverarbeiter & Sitz | Zweck & Funktion | Verarbeitete Datenkategorien | Speicherort & AVV-/Drittland-Garantien |
|---|---|---|---|
|
Google Cloud / Firebase Google Ireland Limited, Dublin, Irland (Muttergesellschaft: Google LLC, Mountain View, CA, USA) |
Anwendungshosting, Datenbanken (Cloud Firestore), Dateispeicher (Cloud Storage), Serverless Compute (Cloud Functions), Authentifizierung sowie Missbrauchsprävention (Firebase App Check mit reCAPTCHA Enterprise) | Sämtliche im CRM gespeicherten Mandanten- & Kundendaten (Kontakte, Angebote, Rechnungen, Dokumente, System-Auditlogs, IP-Adressen); für App Check zusätzlich IP-Adresse sowie Geräte- und Nutzungssignale des Browsers |
EU (Frankfurt am Main & Belgien) ISO 27001 zertifizierte Rechenzentren: Firestore und Cloud Functions in Frankfurt (europe-west3), Cloud Storage in Belgien (europe-west1). Firebase Authentication und reCAPTCHA Enterprise sind nicht regional gebunden, eine Verarbeitung außerhalb der EU ist daher möglich. DSGVO-AVV über Google Cloud Data Processing Addendum (DPA), EU SCCs & DPF-Zertifizierung. |
|
Mistral AI (La Plateforme) Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich |
KI-gestützte Belegerfassung (OCR) & strukturierte Rechnungsdatenextraktion sowie der KI-Chat-Assistent | Hochgeladene Eingangsrechnungsdokumente (Lieferant, Beträge, IBAN, Positionen); bei freigeschaltetem KI-Assistenten zusätzlich Chat-Eingaben (Prompts) mit berechtigtem CRM-Kontext — der Assistent wird erst freigeschaltet, wenn der AVV auch diese Verarbeitung abdeckt; keine Nutzung für Modelltraining |
EU (Frankreich / Deutschland) Französischer Anbieter; ausschließliche Inferenz in EU-Rechenzentren; DSGVO-AVV mit vertraglich vereinbarter Zero-Data-Retention (ZDR) für die Belegerfassung, für den Chat-Assistenten erst nach entsprechender Erweiterung des AVV; kein Drittlandtransfer. |
|
Brevo (Sendinblue SAS) Sendinblue SAS, 106 bd Haussmann, 75008 Paris, Frankreich |
Transaktionaler E-Mail-Versand von Systemnachrichten, Angeboten, Rechnungen (PDF/XRechnung-XML) und Mahnungen | Empfänger- und CC-E-Mail-Adressen, Namen, E-Mail-Inhalte sowie PDF/XML-Rechnungsanhänge |
EU (Deutschland / Frankreich) Französischer Dienstleister; native Datenresidenz & ISO 27001 zertifizierte Server in der EU (Frankfurt/Paris); DSGVO-AVV vorhanden. |
|
Mollie B.V. Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande |
Zahlungsabwicklung für ZETL-CRM-Abonnements (SEPA-Lastschrift, Kreditkarte, Abonnements & Checkout) | Name, E-Mail, Rechnungsadresse, USt-IdNr. & Zahlungsdaten (IBAN, Mandate, Transaktions-IDs) des ZETL-Vertragspartners |
EU (Niederlande) Niederländisches Zahlungsinstitut; reine EU-Datenverarbeitung; DSGVO-AVV gemäß Art. 28 DSGVO & PCI-DSS-Zertifizierung. |
|
Strato AG Strato AG, Otto-Ostrowski-Straße 3, 10249 Berlin, Deutschland |
Domain-Registrierung, DNS-Hosting und Bereitstellung geschäftlicher E-Mail-Postfächer | Absender- und Empfänger-E-Mail-Adressen, E-Mail-Inhalte, Header, Dateianhänge sowie Server-Verbindungsdaten und IP-Adressen |
DE / EU (Berlin / Karlsruhe) Deutscher Hosting-Anbieter; ISO 27001 zertifizierte Rechenzentren in Deutschland (Berlin/Karlsruhe); DSGVO-AVV vorhanden. |
3. Änderungsverfahren & Widerspruchsrecht (Art. 28 Abs. 2 S. 2 DSGVO)
Beabsichtigt ZETL CRM, bestehende Unterauftragsverarbeiter zu ersetzen oder neue hinzuzuziehen, wird der betreffende Eintrag mindestens 14 Tage, bevor der neue Unterauftragsverarbeiter mit der Verarbeitung beginnt, in diesem Verzeichnis veröffentlicht — unter Angabe der Fassungskennung und des Zeitpunkts. Gleichzeitig erhalten die administrativen Nutzer des Auftraggebers in der Anwendung einen Hinweis, der auf diese Seite und auf den Auftragsverarbeitungsvertrag verweist und zur erneuten Zustimmung auffordert. Diese beiden Kanäle — die Veröffentlichung hier und der Hinweis in der Anwendung — sind die Information in Textform gemäß Art. 28 Abs. 2 S. 2 DSGVO; ein zusätzlicher Versand per E-Mail erfolgt nicht.
Dem Auftraggeber steht das Recht zu, der beabsichtigten Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen nach Zugang der Information zu widersprechen. Im Falle eines berechtigten Widerspruchs bemüht sich ZETL um eine einvernehmliche Abhilfe; kommt eine solche nicht zustande, steht dem Auftraggeber ein Sonderkündigungsrecht hinsichtlich des Hauptvertrages zu (§ 5 Abs. 3 des Auftragsverarbeitungsvertrages).