Unterauftragsverarbeiter (Subprocessors)
Transparente Liste aller eingesetzten Dienstleister gemäß Art. 28 Abs. 2–4 DSGVO für die ZETL CRM Plattform.
1. Transparenz & Gesetzliche Grundlagen (Art. 28 Abs. 2–4 DSGVO)
Die Amberon Software UG (haftungsbeschränkt) i. Gr. setzt zur Erbringung der Software-as-a-Service (SaaS)-Leistungen der ZETL CRM Plattform ausgewählte externe Dienstleister als Unterauftragsverarbeiter (Subprocessors) ein. Gemäß Art. 28 Abs. 2 und Abs. 4 DSGVO informieren wir unsere Auftraggeber (Verantwortliche) transparent über die Identität, den Sitz, den Verarbeitungszweck sowie die Datenresidenz und Garantien aller eingesetzten Unterauftragsverarbeiter.
Allen Unterauftragsverarbeitern werden vertraglich dieselben Datenschutz- und Datensicherheitsverpflichtungen auferlegt, die im Auftragsverarbeitungsvertrag (AVV) zwischen ZETL und dem Auftraggeber festgelegt sind.
Die im CRM gespeicherten Mandanten- und Kundendaten werden ausschließlich in ISO 27001 zertifizierten EU-Rechenzentren verarbeitet: Datenbank und Server-Logik in Frankfurt am Main (Deutschland, europe-west3), Dateispeicher in Belgien (europe-west1). Zwei Dienste sind nicht auf eine EU-Region festgelegt, sodass eine Verarbeitung außerhalb der EU möglich ist: Firebase Authentication (Kontokennungen — E-Mail-Adresse, Passwort-Hash, Anmeldezeitpunkte und Anmelde-IP) und die Missbrauchsprävention Firebase App Check mit reCAPTCHA Enterprise (IP-Adresse sowie Geräte- und Nutzungssignale des Browsers). Für diese beiden Dienste stützt sich die Übermittlung auf die EU-Standardvertragsklauseln (SCCs) und die Zertifizierung unter dem EU-U.S. Data Privacy Framework (DPF). Die CRM-Inhalte selbst verlassen die EU nicht.
2. Verzeichnis der genehmigten Unterauftragsverarbeiter
| Unterauftragsverarbeiter & Sitz | Zweck & Funktion | Verarbeitete Datenkategorien | Speicherort & AVV-/Drittland-Garantien |
|---|---|---|---|
|
Google Cloud / Firebase Google Ireland Limited, Dublin, Irland (Muttergesellschaft: Google LLC, Mountain View, CA, USA) |
Anwendungshosting, Datenbanken (Cloud Firestore), Dateispeicher (Cloud Storage), Serverless Compute (Cloud Functions), Authentifizierung sowie Missbrauchsprävention (Firebase App Check mit reCAPTCHA Enterprise) | Sämtliche im CRM gespeicherten Mandanten- & Kundendaten (Kontakte, Angebote, Rechnungen, Dokumente, System-Auditlogs, IP-Adressen); für App Check zusätzlich IP-Adresse sowie Geräte- und Nutzungssignale des Browsers |
EU (Frankfurt am Main & Belgien) ISO 27001 zertifizierte Rechenzentren: Firestore und Cloud Functions in Frankfurt (europe-west3), Cloud Storage in Belgien (europe-west1). Firebase Authentication und reCAPTCHA Enterprise sind nicht regional gebunden, eine Verarbeitung außerhalb der EU ist daher möglich. DSGVO-AVV über Google Cloud Data Processing Addendum (DPA), EU SCCs & DPF-Zertifizierung. |
|
Mistral AI (La Plateforme) Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich |
KI-gestützte Belegerfassung (OCR) & strukturierte Rechnungsdatenextraktion, der KI-Chat-Assistent sowie der KI-Import von Bestandsdaten | Hochgeladene Eingangsrechnungsdokumente (Lieferant, Beträge, IBAN, Positionen); bei freigeschaltetem KI-Assistenten zusätzlich Chat-Eingaben (Prompts) mit berechtigtem CRM-Kontext — der Assistent wird erst freigeschaltet, wenn der AVV auch diese Verarbeitung abdeckt; bei Nutzung des KI-Imports die hochgeladenen Kunden-, Kontakt-, Lieferanten- und Artikellisten (Namen, Anschriften, Kontaktdaten, Preise; Bankverbindungen und Kartennummern werden vorher unkenntlich gemacht); keine Nutzung für Modelltraining |
EU (Frankreich / Deutschland) Französischer Anbieter; ausschließliche Inferenz in EU-Rechenzentren; DSGVO-AVV mit vertraglich vereinbarter Zero-Data-Retention (ZDR) für die Belegerfassung, für den Chat-Assistenten erst nach entsprechender Erweiterung des AVV; auch der KI-Import wird erst nach entsprechender Erweiterung des AVV freigeschaltet; kein Drittlandtransfer. |
|
Brevo (Sendinblue SAS) Sendinblue SAS, 106 bd Haussmann, 75008 Paris, Frankreich |
Transaktionaler E-Mail-Versand von Systemnachrichten, Angeboten, Rechnungen (PDF/XRechnung-XML) und Mahnungen; außerdem Weiterleitung von Anfragen über das Kontaktformular unserer Website an unser Vertriebspostfach | Empfänger- und CC-E-Mail-Adressen, Namen, E-Mail-Inhalte sowie PDF/XML-Rechnungsanhänge; bei Kontaktanfragen zusätzlich Name, E-Mail-Adresse, Unternehmen (optional), Betreff und Nachricht des Website-Besuchers |
EU (Deutschland / Frankreich) Französischer Dienstleister; native Datenresidenz & ISO 27001 zertifizierte Server in der EU (Frankfurt/Paris); DSGVO-AVV vorhanden. |
|
Mollie B.V. Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande |
Zahlungsabwicklung für ZETL-CRM-Abonnements (SEPA-Lastschrift, Kreditkarte, Abonnements & Checkout) | Name, E-Mail, Rechnungsadresse, USt-IdNr. & Zahlungsdaten (IBAN, Mandate, Transaktions-IDs) des ZETL-Vertragspartners |
EU (Niederlande) Niederländisches Zahlungsinstitut; reine EU-Datenverarbeitung; DSGVO-AVV gemäß Art. 28 DSGVO & PCI-DSS-Zertifizierung. |
|
Strato AG Strato AG, Otto-Ostrowski-Straße 3, 10249 Berlin, Deutschland |
Domain-Registrierung, DNS-Hosting und Bereitstellung geschäftlicher E-Mail-Postfächer | Absender- und Empfänger-E-Mail-Adressen, E-Mail-Inhalte, Header, Dateianhänge sowie Server-Verbindungsdaten und IP-Adressen |
DE / EU (Berlin / Karlsruhe) Deutscher Hosting-Anbieter; ISO 27001 zertifizierte Rechenzentren in Deutschland (Berlin/Karlsruhe); DSGVO-AVV vorhanden. |
3. Änderungsverfahren & Widerspruchsrecht (Art. 28 Abs. 2 S. 2 DSGVO)
Beabsichtigt ZETL CRM, bestehende Unterauftragsverarbeiter zu ersetzen oder neue hinzuzuziehen, wird der betreffende Eintrag mindestens 14 Tage, bevor der neue Unterauftragsverarbeiter mit der Verarbeitung beginnt, in diesem Verzeichnis veröffentlicht — unter Angabe der Fassungskennung und des Veröffentlichungstags, die Abschnitt 4 für jede Fassung ausweist. Gleichzeitig erhalten die administrativen Nutzer des Auftraggebers in der Anwendung einen Hinweis, der auf diese Seite und auf den Auftragsverarbeitungsvertrag verweist und um Bestätigung der aktuellen Fassung bittet. Diese beiden Kanäle — die Veröffentlichung hier und der Hinweis in der Anwendung — sind die Information in Textform gemäß Art. 28 Abs. 2 S. 2 DSGVO; ein zusätzlicher Versand per E-Mail erfolgt nicht.
Die Hinzuziehung stützt sich auf die allgemeine schriftliche Genehmigung, die der Auftraggeber in § 5 Abs. 1 des Auftragsverarbeitungsvertrages erteilt hat (Art. 28 Abs. 2 S. 1 DSGVO). Eine gesonderte Genehmigung der einzelnen Änderung ist daher nicht erforderlich, und die Änderung hängt nicht davon ab, dass der Auftraggeber die Bestätigung in der Anwendung erteilt: Die Bestätigung dokumentiert, dass die Information zugegangen ist. Das Widerspruchsrecht nach Art. 28 Abs. 2 S. 2 DSGVO besteht unabhängig davon.
Dem Auftraggeber steht das Recht zu, der beabsichtigten Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen nach Zugang der Information zu widersprechen. Wann die Information hier veröffentlicht wurde, weist Abschnitt 4 für jede Fassung taggenau aus. Im Falle eines berechtigten Widerspruchs bemüht sich ZETL um eine einvernehmliche Abhilfe; kommt eine solche nicht zustande, steht dem Auftraggeber ein Sonderkündigungsrecht hinsichtlich des Hauptvertrages zu (§ 5 Abs. 3 des Auftragsverarbeitungsvertrages).
4. Fassungen & Änderungshistorie
Jede Änderung dieses Verzeichnisses oder des Auftragsverarbeitungsvertrages erhält eine Fassungskennung und einen Veröffentlichungstag. Es ist dieselbe Kennung, die der Hinweis in der Anwendung nennt, sodass ein Auftraggeber abgleichen kann, welche Fassung er zuletzt bestätigt hat. Werden an einem Tag zwei Fassungen veröffentlicht, unterscheidet sie ein angehängter Buchstabe (z. B. 2026-09-17b).
| Fassungskennung | Veröffentlicht am | Änderung |
|---|---|---|
| 2026-09-21 | 21.09.2026 | Die Zeile Mistral AI um eine dritte Verarbeitungstätigkeit erweitert: den KI-Import von Bestandsdaten, bei dem hochgeladene Kunden-, Kontakt-, Lieferanten- und Artikellisten zur Auswertung an den Anbieter gehen. Damit erhält ein bestehender Unterauftragsverarbeiter eine neue Kategorie von Daten Ihrer Kunden. Die Funktion steht mit dieser Fassung bereit; Daten gehen nur dann an den Anbieter, wenn ein Nutzer des Auftraggebers selbst Dateien in den KI-Import hochlädt. |
| 2026-09-18 | 18.09.2026 | AVV § 1 Abs. 3 aufgenommen: Abgrenzung der Daten, die ZETL nicht im Auftrag, sondern als eigener Verantwortlicher verarbeitet — Vertrags-, Abrechnungs- und Supportdaten des Auftraggebers, die bei der Registrierung erfasste Herkunft sowie die freiwilligen Angaben im Willkommensdialog. Keine Änderung am Verzeichnis der Unterauftragsverarbeiter. |
| 2026-09-17c | 17.09.2026 | AVV § 6 um die eigene Meldepflicht des Auftragsverarbeiters bei Verletzungen des Schutzes personenbezogener Daten ergänzt (Art. 33 Abs. 2 DSGVO, 48 Stunden). Das Änderungsverfahren nach § 5 nennt nun die zwei tatsächlich bestehenden Informationskanäle — die Veröffentlichung in diesem Verzeichnis und den Hinweis in der Anwendung — und der AVV enthält das Sonderkündigungsrecht, das zuvor nur diese Seite zusagte. Der Hinweis zur Datenresidenz benennt die zwei Dienste, die nicht auf eine EU-Region festgelegt sind. |
| 2026-09-17b | 17.09.2026 | Firebase App Check mit reCAPTCHA Enterprise als Zweck in der Google-Zeile ergänzt (browserseitige Missbrauchsprävention, zuvor nicht offengelegt). Die Google-Zeile wurde im Speicherort korrigiert (Dateispeicher in Belgien, Firebase Authentication nicht regional gebunden), die Mistral-Zeile auf die Belegerfassung eingegrenzt, für die die Zero-Data-Retention vertraglich vereinbart ist. |
| 2026-09-17 | 17.09.2026 | Strato AG als Unterauftragsverarbeiter aufgenommen (Domain-Registrierung, DNS-Hosting und geschäftliche E-Mail-Postfächer, Rechenzentren in Deutschland). |
| 2026-08-13 | 13.08.2026 | AVV § 6 um die Frist von 98 Tagen ergänzt, innerhalb derer eine Löschung auch in Sicherungskopien, im Point-in-Time-Recovery-Fenster und in Exporten abgeschlossen ist. Keine Änderung am Verzeichnis der Unterauftragsverarbeiter. |
| 2026-08-06 | 06.08.2026 | Der KI-Assistent wurde auf Mistral AI umgestellt. Zwei Unterauftragsverarbeiter (Anthropic und Google Gemini) entfielen; die Mistral-Zeile wurde um die Chat-Verarbeitung als eigenständige Verarbeitungstätigkeit erweitert. |