Verzeichnis der Unterauftragsverarbeiter
Transparente Liste aller eingesetzten Dienstleister gemäß Art. 28 Abs. 2–4 DSGVO für die ZETL CRM Plattform.
1. Transparenz & Gesetzliche Grundlagen (Art. 28 Abs. 2–4 DSGVO)
Die Amberon Software UG (haftungsbeschränkt) setzt zur Erbringung der Software-as-a-Service (SaaS)-Leistungen der ZETL CRM Plattform ausgewählte externe Dienstleister als Unterauftragsverarbeiter (Subprocessors) ein. Gemäß Art. 28 Abs. 2 und Abs. 4 DSGVO informieren wir unsere Auftraggeber (Verantwortliche) transparent über die Identität, den Sitz, den Verarbeitungszweck sowie die Datenresidenz und Garantien aller eingesetzten Unterauftragsverarbeiter.
Allen Unterauftragsverarbeitern werden vertraglich dieselben Datenschutz- und Datensicherheitsverpflichtungen auferlegt, die im Auftragsverarbeitungsvertrag (AVV) zwischen ZETL und dem Auftraggeber festgelegt sind.
Die im CRM gespeicherten Mandanten- und Kundendaten werden ausschließlich in ISO 27001 zertifizierten EU-Rechenzentren verarbeitet: Datenbank und Server-Logik in Frankfurt am Main (Deutschland, europe-west3), Dateispeicher sowie die Echtzeit-Signale des Team-Chats in Belgien (europe-west1). Statische Web-Assets (HTML, Skripte, Stile) werden zur weltweiten schnellen Bereitstellung über das CDN von Firebase Hosting zwischengespeichert. Folgende Dienste sind nicht auf eine EU-Region festgelegt, sodass eine Verarbeitung außerhalb der EU möglich ist: Firebase Authentication (Kontokennungen — E-Mail-Adresse, Passwort-Hash, Anmeldezeitpunkte und Anmelde-IP sowie bei der Telefon-Authentifizierung im Angebotsportal Telefonnummer und SMS-Verifikationsdaten) und die Missbrauchsprävention Firebase App Check mit ihrem Prüfdienst Cloudflare Turnstile (IP-Adresse sowie Geräte- und Nutzungssignale des Browsers). Für diese Dienste stützt sich die Übermittlung auf die EU-Standardvertragsklauseln (SCCs) und die Zertifizierung unter dem EU-U.S. Data Privacy Framework (DPF). Die CRM-Inhalte selbst verlassen die EU nicht.
2. Verzeichnis der genehmigten Unterauftragsverarbeiter
| Unterauftragsverarbeiter & Sitz | Zweck & Funktion | Verarbeitete Datenkategorien | Speicherort & AVV-/Drittland-Garantien |
|---|---|---|---|
|
Google Cloud / Firebase Google Ireland Limited, Dublin, Irland (Muttergesellschaft: Google LLC, Mountain View, CA, USA) |
Anwendungshosting (statische Frontend-Bereitstellung über das weltweite CDN von Firebase Hosting), Datenbanken (Cloud Firestore), Dateispeicher (Cloud Storage), Echtzeit-Signale (Firebase Realtime Database), Serverless Compute (Cloud Functions), Authentifizierung (inkl. SMS-Versand bei Telefon-Authentifizierung im Angebotsportal) sowie Missbrauchsprävention (Firebase App Check sowie unsichtbares reCAPTCHA bei Telefon-Authentifizierung) | Sämtliche im CRM gespeicherten Mandanten- & Kundendaten (Kontakte, Angebote, Rechnungen, Dokumente, System-Auditlogs, IP-Adressen; bei Telefon-Authentifizierung im Angebotsportal Telefonnummer und SMS-Verifikationsdaten); Nachrichten und Dateien des Team-Chats sowie Präsenz- und Tippsignale der Mitglieder; für App Check und reCAPTCHA zusätzlich IP-Adresse sowie Geräte- und Nutzungssignale des Browsers |
EU (Frankfurt am Main & Belgien) ISO 27001 zertifizierte Rechenzentren: Firestore und Cloud Functions in Frankfurt (europe-west3), Cloud Storage und Realtime Database (Signale des Team-Chats ohne Nachrichteninhalte) in Belgien (europe-west1). Statische Web-Assets werden über das weltweite CDN von Firebase Hosting ausgeliefert (Verbindungs-IP am jeweiligen Edge-Knoten). Firebase Authentication (einschließlich des unsichtbaren reCAPTCHA bei Telefon-Authentifizierung) und Firebase App Check sind nicht regional gebunden, eine Verarbeitung außerhalb der EU ist daher möglich. DSGVO-AVV über Google Cloud Data Processing Addendum (DPA), EU SCCs & DPF-Zertifizierung. |
|
Mistral AI (La Plateforme) Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich |
KI-gestützte Text- und Dokumentenverarbeitung sowie Datenanalyse innerhalb der Plattform (insbesondere Belegerfassung/OCR & strukturierte Rechnungsdatenextraktion, der KI-Chat-Assistent, das Sprachdiktat in den KI-Eingabefeldern, der KI-Import von Bestandsdaten und Altbelegen sowie KI-gestützte Schreib-, Analyse- und Assistenzfunktionen) | Hochgeladene Eingangsrechnungsdokumente (Lieferant und die dort genannte Ansprechperson des Lieferanten, Beträge, IBAN, Positionen; ein Scan mit mehreren Rechnungen wird je Rechnung erneut gelesen, ohne dass Texte zwischengespeichert werden); Chat-Eingaben (Prompts), Textentwürfe, Notizen und zur Analyse oder Unterstützung übermittelte CRM-Inhalte (Kontakte, Angebote, Rechnungen, Leistungsbeschreibungen); bei Nutzung des KI-Imports die hochgeladenen Kunden-, Kontakt-, Lieferanten- und Artikellisten (Namen, Anschriften, Kontaktdaten, Preise; Bankverbindungen und Kartennummern werden vorher unkenntlich gemacht); bei Nutzung des Belegimports die hochgeladenen Angebote, Ausgangs- und Eingangsrechnungen aus dem Vorsystem als Datei, Scan, Foto oder Liste (Kunden- und Lieferantenangaben, Anschriften, USt-IdNr., Positionen, Beträge, Zahlungsbedingungen und die auf den Belegen gedruckten Bankverbindungen; E-Rechnungen im XRechnung- oder ZUGFeRD-Format werden ohne KI gelesen); bei Nutzung des Diktats die Sprachaufnahme der diktierenden Person (Stimme und gesprochener Inhalt, höchstens zwei Minuten je Aufnahme; die Aufnahme wird nicht gespeichert); keine Nutzung für Modelltraining |
EU (Frankreich / Deutschland) Französischer Anbieter; ausschließliche Inferenz in EU-Rechenzentren; DSGVO-AVV mit vertraglich vereinbarter Zero-Data-Retention (ZDR) für die Belegerfassung, den KI-Chat-Assistenten, das Sprachdiktat, den KI-Import von Bestandsdaten und Altbelegen sowie textbasierte Assistenzfunktionen; kein Drittlandtransfer. |
|
Brevo (Sendinblue SAS) Sendinblue SAS, 106 bd Haussmann, 75008 Paris, Frankreich |
Transaktionaler E-Mail-Versand von Systemnachrichten, Angeboten, Rechnungen (PDF/XRechnung-XML) und Mahnungen; außerdem Weiterleitung von Anfragen über das Kontaktformular unserer Website an unser Vertriebspostfach | Empfänger- und CC-E-Mail-Adressen, Namen, E-Mail-Inhalte sowie PDF/XML-Rechnungsanhänge; bei Kontaktanfragen zusätzlich Name, E-Mail-Adresse, Unternehmen (optional), Betreff und Nachricht des Website-Besuchers |
EU (Deutschland / Frankreich) Französischer Dienstleister; native Datenresidenz & ISO 27001 zertifizierte Server in der EU (Frankfurt/Paris); DSGVO-AVV vorhanden. |
|
Mollie B.V. Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande |
Zahlungsabwicklung für ZETL-CRM-Abonnements (SEPA-Lastschrift, Kreditkarte, Abonnements & Checkout) | Name, E-Mail, Rechnungsadresse, USt-IdNr. & Zahlungsdaten (IBAN, Mandate, Transaktions-IDs) des ZETL-Vertragspartners |
EU (Niederlande) Niederländisches Zahlungsinstitut; reine EU-Datenverarbeitung; DSGVO-AVV gemäß Art. 28 DSGVO & PCI-DSS-Zertifizierung. |
|
Strato AG Strato AG, Otto-Ostrowski-Straße 3, 10249 Berlin, Deutschland |
Domain-Registrierung, DNS-Hosting und Bereitstellung geschäftlicher E-Mail-Postfächer | Absender- und Empfänger-E-Mail-Adressen, E-Mail-Inhalte, Header, Dateianhänge sowie Server-Verbindungsdaten und IP-Adressen |
DE / EU (Berlin / Karlsruhe) Deutscher Hosting-Anbieter; ISO 27001 zertifizierte Rechenzentren in Deutschland (Berlin/Karlsruhe); DSGVO-AVV vorhanden. |
|
Cloudflare, Inc. (Turnstile) Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA |
Missbrauchsprävention: Cloudflare Turnstile als Anbieter von Firebase App Check für die CRM-Anwendung, die Admin-Konsole und das Steuerberater-Portal (Nachweis, dass Anfragen aus unserer echten Anwendung stammen) sowie als Bot-Schutz für das Kontaktformular dieser Website. Nicht im Angebotsportal. | IP-Adresse, User-Agent sowie Browser- und Geräteeigenschaften des aufrufenden Browsers; serverseitig das Turnstile-Prüftoken und die IP-Adresse bei dessen Verifikation |
USA Nicht regional gebunden, eine Verarbeitung außerhalb der EU ist daher möglich. Ausschließlich zur Echtheitsprüfung, keine Auswertung zu Werbezwecken. DSGVO-AVV über das Cloudflare Data Processing Addendum (DPA), EU-Standardvertragsklauseln (SCCs) & DPF-Zertifizierung. |
3. Änderungsverfahren & Widerspruchsrecht (Art. 28 Abs. 2 S. 2 DSGVO)
Beabsichtigt ZETL CRM, bestehende Unterauftragsverarbeiter zu ersetzen oder neue hinzuzuziehen, wird der betreffende Eintrag mindestens 14 Tage, bevor der neue Unterauftragsverarbeiter mit der Verarbeitung beginnt, in diesem Verzeichnis veröffentlicht — unter Angabe der Fassungskennung und des Veröffentlichungstags, die Abschnitt 4 für jede Fassung ausweist. Gleichzeitig erhalten die administrativen Nutzer des Auftraggebers in der Anwendung einen Hinweis, der auf diese Seite und auf den Auftragsverarbeitungsvertrag verweist und um Bestätigung der aktuellen Fassung bittet. Diese beiden Kanäle — die Veröffentlichung hier und der Hinweis in der Anwendung — sind die Information in Textform gemäß Art. 28 Abs. 2 S. 2 DSGVO; ein zusätzlicher Versand per E-Mail erfolgt nicht.
Die Hinzuziehung stützt sich auf die allgemeine schriftliche Genehmigung, die der Auftraggeber in § 5 Abs. 1 des Auftragsverarbeitungsvertrages erteilt hat (Art. 28 Abs. 2 S. 1 DSGVO). Eine gesonderte Genehmigung der einzelnen Änderung ist daher nicht erforderlich, und die Änderung hängt nicht davon ab, dass der Auftraggeber die Bestätigung in der Anwendung erteilt: Die Bestätigung dokumentiert, dass die Information zugegangen ist. Das Widerspruchsrecht nach Art. 28 Abs. 2 S. 2 DSGVO besteht unabhängig davon.
Dem Auftraggeber steht das Recht zu, der beabsichtigten Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen nach Zugang der Information zu widersprechen. Wann die Information hier veröffentlicht wurde, weist Abschnitt 4 für jede Fassung taggenau aus. Im Falle eines berechtigten Widerspruchs bemüht sich ZETL um eine einvernehmliche Abhilfe; kommt eine solche nicht zustande, steht dem Auftraggeber ein Sonderkündigungsrecht hinsichtlich des Hauptvertrages zu (§ 5 Abs. 3 des Auftragsverarbeitungsvertrages).
4. Fassungen & Änderungshistorie
Jede Änderung dieses Verzeichnisses oder des Auftragsverarbeitungsvertrages erhält eine Fassungskennung und einen Veröffentlichungstag. Es ist dieselbe Kennung, die der Hinweis in der Anwendung nennt, sodass ein Auftraggeber abgleichen kann, welche Fassung er zuletzt bestätigt hat.
| Fassungskennung | Veröffentlicht am | Änderung |
|---|---|---|
| 22.10.2026 | 22.10.2026 | Erstveröffentlichung. |