Teil A ist Anhang IV unseres Auftragsverarbeitungsvertrags: die Dienstleister, die in unserem Auftrag Daten unserer Kunden verarbeiten. Teil B nennt die Zielsysteme, an die wir nur auf Weisung des Kunden liefern. Änderungen an Teil A kündigen wir mindestens 30 Tage vorher an.
Teil A — Unterauftragsverarbeiter (genehmigungspflichtig)
A1 netcup GmbH
| Feld | Angabe |
|---|---|
| Anschrift | Daimlerstraße 25, 76185 Karlsruhe, Deutschland |
| Leistung | Hosting der Server, Datenbank und Zwischenspeicher; DNS |
| Datenkategorien | alle Kategorien nach AVV Anhang II |
| Betroffene | alle Betroffenen-Kategorien nach AVV Anhang II Nr. 1 |
| Verarbeitungsort | Deutschland, Rechenzentrum Nürnberg |
| Übermittlungsgrundlage | keine Drittlandübermittlung |
| Vertrag | Auftragsverarbeitungsvertrag von netcup (im Kundenbereich abgeschlossen) |
A2 Backblaze, Inc.
| Feld | Angabe |
|---|---|
| Anschrift | Backblaze, Inc., 201 Baldwin Ave, San Mateo, CA 94401, USA |
| Leistung | Speicherung verschlüsselter Datensicherungen (Offsite-Backup) |
| Datenkategorien | alle Kategorien — ausschließlich als clientseitig AES-256-verschlüsselte Sicherungsdateien; die Schlüssel liegen ausschließlich beim Auftragsverarbeiter (uncoverflow), zu keinem Zeitpunkt bei Backblaze |
| Verarbeitungsort | EU, Region EU-Central (Amsterdam, Niederlande) |
| Übermittlungsgrundlage | Standardvertragsklauseln im Data Processing Addendum von Backblaze; zusätzlich EU-US Data Privacy Framework (lt. Backblaze-GDPR-Notice zertifiziert: EU-US DPF inkl. UK-Extension und Swiss-US DPF; Stand 29.09.2026) |
| Vertrag | Data Processing Addendum von Backblaze (Bestandteil der Nutzungsbedingungen) |
| Hinweis | Speicherort in der EU; Drittlandbezug nur über den Sitz der Muttergesellschaft (möglicher behördlicher Zugriff nach US-Recht). Wegen clientseitiger Verschlüsselung sind die Inhalte für Backblaze nicht lesbar. |
A3 Brevo (Sendinblue SAS)
| Feld | Angabe |
|---|---|
| Anschrift | Brevo SAS (vormals Sendinblue SAS), 7 rue de Madrid, 75008 Paris, Frankreich |
| Leistung | Versand von Alarm- und Berichts-E-Mails des Dienstes; System- und Anmelde-Mails (Einmal-Link) der Nutzerkonten als Auftragsverarbeiter des Anbieters (AGB § 15 Abs. 1 lit. d) |
| Datenkategorien | E-Mail-Adressen und Namen der Nutzer des Kunden; Inhalte der Berichts- und Alarm-Mails (aggregierte Kennzahlen, Kampagnennamen, keine Kontaktdaten von Endkunden des Kunden) |
| Verarbeitungsort | EU |
| Übermittlungsgrundlage | EU-Datenhaltung; etwaige Zugriffe der US-Tochter Sendinblue, Inc. nach dem Auftragsverarbeitungsvertrag von Brevo (Standardvertragsklauseln) |
| Vertrag | Auftragsverarbeitungsvertrag (DPA) von Brevo (Bestandteil der Nutzungsbedingungen) |
A4 Anthropic
| Feld | Angabe |
|---|---|
| Vertragspartner | Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland (CRO 760497) |
| Konzernmutter / verarbeitende Stelle | Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA |
| Leistung | KI-Auswertung: Daten-Chat, Wochenbericht, Analysehinweise, Anzeigenentwürfe, Übersetzung von Oberflächentexten |
| Datenkategorien | überwiegend aggregierte Kennzahlen (Umsätze, Kosten, Konversionen je Kanal/Tag); Kampagnen-, Produkt- und Seitennamen; Freitexteingaben der Nutzer; in Einzelfällen Einzeldatensätze ohne Klartext-Kontaktdaten (technisch bestätigt 29.09.2026: Kontaktdaten liegen systemweit ausschließlich SHA-256-pseudonymisiert vor und werden nicht an Anthropic übermittelt) |
| Verarbeitungsort | USA; keine EU-Datenresidenz |
| Übermittlungsgrundlage | Standardvertragsklauseln im Data Processing Addendum von Anthropic (Anthropic beruft sich nach eigener Datenschutzerklärung nicht auf das EU-US Data Privacy Framework; Stand 07.10.2026) |
| Weitere Zusicherungen | keine Nutzung der über die API übermittelten Daten zum Training; Löschung in der Regel nach 30 Tagen (Anthropic Commercial Terms, Stand 07.10.2026) |
| Vertrag | Anthropic Commercial Terms und Data Processing Addendum (Bestandteil der API-Nutzung) |
Teil B — Empfänger auf Weisung des Kunden (keine Unterauftragsverarbeiter)
Diese Systeme erhalten Daten nur, wenn der Kunde sie im Dienst aktiviert und mit eigenen Zugangsdaten verbunden hat. Der Kunde schließt die erforderlichen Verträge mit dem jeweiligen Betreiber selbst. Die Rollenangaben sind unverbindliche Hinweise auf die übliche Einordnung nach den Bedingungen der Betreiber; maßgeblich ist der Vertrag des Kunden mit dem Betreiber.
| Empfänger | Typische Daten | Übliche Rolle des Betreibers (Hinweis) | Vom Kunden abzuschließen |
|---|---|---|---|
| Google Ads (inkl. Data Manager API, Customer Match) | Konversionen, Werte, Klick-Kennungen, gehashte E-Mail/Telefon/Name, PLZ/Land im Klartext, Browser-Angaben, transient IP | teils eigener Verantwortlicher (Controller-Controller-Bedingungen), teils Auftragsverarbeiter nach Google Ads Data Processing Terms | Google Ads Bedingungen, Customer-Match-Richtlinien |
| Google Analytics 4 (Measurement Protocol) | Ereignisse, Klick-IDs (gclid, msclkid), pseudonyme Kennung, gehashte Kontaktdaten, Adresse im Klartext (nur mit Marketing-Einwilligung), transient IP | nach den Google-Bedingungen des Kunden (Google Analytics Data Processing Terms); üblich: Auftragsverarbeiter des Kunden | Google Analytics Bedingungen, Data Processing Terms |
| Meta (Conversions API) | Ereignisse, gehashte Kontaktdaten und Adresse, fbp/fbc, Browser-Angaben, transient IP |
gemeinsam mit dem Kunden Verantwortlicher für Erhebung/Übermittlung (Controller Addendum), danach eigener Verantwortlicher | Meta Business Tools Terms, Controller Addendum |
| Microsoft Advertising | Konversionen, msclkid, gehashte E-Mail/Telefon | nach Microsoft-Bedingungen | Microsoft Advertising Agreement |
| TikTok | Ereignisse, ttclid/_ttp, gehashte Kennungen, transient IP und Browser-Kennung |
nach TikTok-Bedingungen | TikTok Business Terms |
| Konversionen, li_fat_id, gehashte E-Mail, transient IP, Ländercode im Klartext (API-Format) | nach LinkedIn-Bedingungen | LinkedIn Ads Agreement | |
| X (Twitter) | Konversionen, twclid, gehashte Kennungen (E-Mail/Telefon), transient IP und Browser-Kennung | nach X-Bedingungen | X Ads Terms |
| Snapchat | Ereignisse, Klick-Kennung/_scid, gehashte Kennungen und Adresse, transient IP und Browser-Kennung |
nach Snap-Bedingungen | Snap Business Terms |
| Ereignisse, epik, gehashte Kennungen (E-Mail/Telefon/Name) und Adresse, transient IP und Browser-Kennung | nach Pinterest-Bedingungen | Pinterest Business Terms | |
| Ereignisse, rdt_cid, gehashte Kennungen, transient IP und Browser-Kennung | nach Reddit-Bedingungen | Reddit Ads Terms | |
| Klaviyo | Ereignisse, Klartext-E-Mail und ggf. Klartext-Telefonnummer (transient übergeben), pseudonyme Besucher-Kennung | i. d. R. Auftragsverarbeiter des Kunden | Klaviyo DPA |
| Brevo (als Zielsystem) | Ereignisse, Klartext-E-Mail, pseudonyme Besucher-Kennung | i. d. R. Auftragsverarbeiter des Kunden | Brevo DPA (eigener Vertrag des Kunden, unabhängig von A3) |
| CleverReach | Empfänger-Datensatz mit Klartext-E-Mail | i. d. R. Auftragsverarbeiter des Kunden | CleverReach AVV |
| Iterable | Ereignisse, Klartext-E-Mail oder pseudonyme Kennung | i. d. R. Auftragsverarbeiter des Kunden | Iterable DPA |
| Customer.io | Ereignisse, Klartext-E-Mail oder pseudonyme Kennung | i. d. R. Auftragsverarbeiter des Kunden | Customer.io DPA |
| Awin | Käufe mit Affiliate-Klickreferenz | nach Awin-Bedingungen | Awin Advertiser Agreement |
| Matomo (vom Kunden betriebene oder beauftragte Instanz) | Ereignisse, pseudonyme Kennung, Nutzer-ID, Browser-Kennung, transiente IP (nur bei hinterlegtem token_auth) | Auftragsverarbeiter des Kunden bzw. Kunde selbst | ggf. AVV mit dem Matomo-Hoster |
| Generischer Webhook | alle Ereignisfelder nach Konfiguration | vom Kunden festzulegen | nach Empfänger |
Lesende Verbindungen (Abruf von Werbekosten, Berichten und Produktdaten aus Google Ads, Google Merchant Center, Google Search Console, Google Business Profile, GA4, Meta, TikTok, LinkedIn, X, Snapchat, Microsoft Advertising, Shopify, WooCommerce, lexoffice, sevDesk, HubSpot, Pipedrive, Microsoft Bookings, Sipgate, Ahrefs, AccuRanker) sind Quellen auf Weisung des Kunden, keine Empfänger personenbezogener Daten. An Keyword-Werkzeuge (Google Keyword Planner, Ahrefs, AccuRanker) werden nur Suchbegriffe und Domains übermittelt, keine personenbezogenen Daten.
Kein Unterauftragsverarbeiter, sondern eigener Dienstleister des Anbieters: Stripe Payments Europe, Ltd. (Zahlungsabwicklung für die Vergütung des Kunden) — verarbeitet ausschließlich Vertrags- und Zahlungsdaten des Kunden in eigener Verantwortung bzw. im Auftrag des Anbieters als Verantwortlichem; siehe Datenschutzerklärung des Anbieters.
Lokal ohne Übermittlung: Die Ableitung des Landes aus der IP-Adresse erfolgt mit einer lokal gespeicherten Datenbank (DB-IP Lite); es findet keine Übermittlung statt.
Änderungsprotokoll
| Version | Datum | Änderung | Angekündigt am |
|---|---|---|---|
| 2026-09-19-entwurf | 19.09.2026 | Erstfassung für Neuverträge | — |
| 2026-09-29-entwurf | 29.09.2026 | Fakten eingesetzt: Anschriften Backblaze/Brevo/Anthropic-Irland; Backblaze-DPF (inkl. UK/Swiss) lt. GDPR-Notice; Anthropic-Datenumfang technisch bestätigt (nur SHA-256-Pseudonyme); Schlüssel-Formulierung Backblaze präzisiert | — (Entwurf, keine Ankündigungspflicht) |
| 2026-10-07-entwurf | 07.10.2026 | Anthropic-Anschrift; Anthropic ohne DPF (nur SCC) verifiziert; Vertragsangaben ohne Datum; Keyword-Werkzeuge klargestellt | — (Entwurf, keine Ankündigungspflicht) |