Eingesetzte Dienstleister und Auftragsverarbeiter
Für den Betrieb von UmkreiZ setzen wir die folgenden Dienstleister ein. Soweit sie personenbezogene Daten in unserem Auftrag und nach unseren Weisungen verarbeiten, kommen sie als Auftragsverarbeiter in Betracht:
- Supabase – Hosting, Datenbank, Authentifizierung, Dateispeicherung und serverseitige Funktionen (zentrale Backend-Infrastruktur).
- OpenAI – Verarbeitung der Eingaben für die KI-Funktionen im Anbieterbereich.
- Cloudflare – Bot- und Missbrauchsschutz (Turnstile) bei Registrierung und Anmeldung.
- MapTiler – Bereitstellung von Kartenmaterial und serverseitiger Geokodierung (Umwandlung von Adressen in Geokoordinaten).
- Google Workspace – geschäftliche E-Mail-Kommunikation und interne Bürokommunikation; die konkrete Workspace-Edition und die Abdeckung der Datenregionsrichtlinie werden kontobezogen dokumentiert.
- Google / Firebase Cloud Messaging – vorbereitete Zustellung freiwilliger Händler-Push-Hinweise an App-Installationen; eigenständiger Dienst mit Firebase-Auftragsverarbeitungsbedingungen, nicht automatisch vom Workspace-Vertrag oder dessen Datenregionsrichtlinie erfasst.
- Stripe – Checkout und Kundenportal für kostenpflichtige Anbieterpakete Pro und Premium; je nach Verarbeitung als Auftragsverarbeiter oder eigenständig Verantwortlicher.
- Brevo – transaktionale Einladungs- und betriebliche Benachrichtigungs-E-Mails.
Die App wird zudem über die App-Stores von Apple und Google verteilt; diese Anbieter verarbeiten Daten im Rahmen der Distribution teils eigenverantwortlich. Für Anbieterpakete Pro und Premium verarbeitet Stripe als Zahlungsdienstleister die für Checkout, Abrechnung und Kundenportal erforderlichen Daten.
Horizont: Backend-Verarbeitung und öffentliche Datenquelle
Soweit Horizont freigeschaltet ist, verarbeitet die bestehende Backend-Infrastruktur von Supabase den erforderlichen eigenen Unternehmens-, Standort- und Deal-Kontext sowie Mitgliedsberechtigungen, Hinweiszustände, Aktivitäten und Zuordnungen. Datenkategorien, Rechtsgrundlagen und die Unterscheidung zwischen Abruffenster und Löschung erläutert Ziffer 6.1 der Datenschutzerklärung. Die bloße Anzeige regelbasierter Wetterhinweise löst keinen externen KI-Aufruf aus; für gesondert angeforderte KI-Funktionen gelten die bestehenden Hinweise zu OpenAI.
Der Deutsche Wetterdienst (DWD) ist davon getrennt als öffentliche Datenquelle für Wettervorhersagen eingebunden, nicht als Auftragsverarbeiter der Unternehmens- und Mitgliedsdaten. UmkreiZ lädt öffentliche Dateien serverseitig herunter, ohne Nutzer-GPS-Daten, Unternehmensangaben oder Kundeneingaben an den DWD zu senden. Der DWD erhält beim HTTP-Abruf technische Verbindungsdaten wie Server-IP-Adresse, Abrufzeitpunkt und Angaben zur angeforderten Datei. Die Anzeige lädt keine DWD-Ressourcen direkt vom Endgerät. Herkunft und Nutzungsrechte sind im Wetterdaten-Quellenhinweis beschrieben; aus der Datenlizenz folgt keine Zusicherung eines Auftragsverarbeitungsvertrags oder einer bestimmten Datenregion.
Horizont: regionale Veranstaltungsdaten
Bei freigeschalteter Event-Funktion verarbeitet Supabase die normalisierten Veranstaltungs- und Provenienzdaten im Auftrag von UmkreiZ. Die Verfügbarkeit hängt von Quellenfreigabe, Region, Datenlage und Tarif ab. Eine Eventquelle oder ein Veranstaltungsdatenanbieter wird nicht allein durch eine technische Einbindung zum Auftragsverarbeiter. Die bloße Prüfung eines möglichen DZT-, kommunalen oder sonstigen Anbieters ändert die Rollen- und Empfängerangabe nicht.
Vor einer Aktivierung werden der konkrete Anbieter, seine Vertragsrolle, die datensatzbezogene Lizenz, Attribution, Originalquelle, kommerzielle Nutzung, Provenienz, Aktualität, Löschung, geografische Abdeckung und gegebenenfalls Drittland- oder Unterauftragsverarbeitung gesondert geprüft. Eine öffentliche oder offene Datenquelle ist nicht allein deshalb Auftragsverarbeiter von UmkreiZ; umgekehrt ersetzt eine Datenlizenz keine Datenschutz- oder Transferprüfung. Nutzer-GPS, Unternehmensangaben und Kundeneingaben werden für den serverseitigen Quellenabruf nicht an die Quelle übermittelt, soweit keine gesondert freigegebene Funktion dies ausdrücklich erfordert.
Die jeweilige Quelle bleibt bis zum Abschluss dieser Prüfung gesperrt. Die möglichen Datenkategorien, technischen Schutzmaßnahmen und die 90-Tage-Aufbewahrung von Event- und Provenienzdaten beschreibt die Datenschutzerklärung zu regionalen Veranstaltungsdaten.
Eine künftig eingesetzte Eventquelle wird nicht allein aufgrund ihrer Datenbereitstellung als Auftragsverarbeiter bezeichnet. Ihre konkrete Rolle, mögliche technische Verbindungsdaten beim Serverabruf sowie Vertrags-, Unterauftragsverarbeitungs- und Transferangaben werden vor Aktivierung geprüft und nur nach dieser Prüfung veröffentlicht.
Die technische Freigabe setzt zusätzlich voraus, dass vollständige Abrufstände, stabile externe Kennungen sowie Aktualisierungs-, Absage-, Verschiebungs- und Löschinformationen nachvollziehbar verarbeitet werden können. Ohne diesen Nachweis wird keine Eventquelle als produktive Verarbeitungskette eingesetzt.
Firebase Cloud Messaging: freiwillige Händler-Hinweise
Der Händler-Push ist zum Stand dieser Erklärung technisch vorbereitet, aber noch nicht zum Empfang freigeschaltet. Vorgesehen ist zunächst ein Android-Pilot; Nutzer-Push und iOS/APNs werden damit nicht freigegeben. Datenkategorien, Einwilligung, OS-Berechtigung, begrenzte Auswertung und Speicherfristen erläutert Ziffer 6.3 der Datenschutzerklärung.
Supabase übernimmt Kontozuordnung, Mitglieds- und Berechtigungsprüfung, Auswahl, Versandregeln und Speicherung. Der serverseitige Versanddienst übermittelt an FCM den Registrierungstoken, Titel und Nachrichtentext, einen App-Link zur Chance und eine technische Nachrichtenkennung. Google verwendet hierfür eine eigene Firebase-Installationskennung. Push-Öffnung und spätere Deal-Zuordnung werden im UmkreiZ-Backend ausgewertet, nicht mit einem Firebase-Analytics-SDK. Die Marketing-Website und das Web-Anbieterportal binden dafür kein Firebase-Messaging-SDK ein.
Die Firebase-Servicebedingungen verweisen für FCM auf die Google APIs Terms of Service und die Firebase Data Processing and Security Terms. Letztere regeln die Auftragsverarbeitung; Google handelt bei Anwendung europäischen Datenschutzrechts für die dort erfassten personenbezogenen Kundendaten als Auftragsverarbeiter. Die API-Standardbedingungen nennen Google LLC, 1600 Amphitheatre Parkway, Mountain View, California 94043, USA, sofern keine abweichenden dienstbezogenen Zusatzbedingungen gelten. Kontobezogene Annahme und Rechtseinheit werden dokumentiert.
Abschnitt 10 der Firebase-Datenschutzbedingungen sieht für betroffene Drittlandübermittlungen eine anwendbare Transferlösung, insbesondere das EU-US Data Privacy Framework für erfasste, zertifizierte US-Gesellschaften, und gegebenenfalls Standardvertragsklauseln vor. Eine Verarbeitung außerhalb der EU, insbesondere in den USA, ist möglich. Die kontobezogene Vertrags- und Transferprüfung ist weiterhin offen; eine technische Betreiberfreigabe bestätigt ihre Anwendbarkeit nicht; eine ausschließliche EU-Verarbeitung wird nicht zugesichert. Informationen zu weiteren Empfängern stehen in der Liste der Firebase-Unterauftragnehmer. Weitere Angaben und Informationen zu Garantien können über team@umkreiz.app angefordert werden.
Die Löschung eines Registrierungstokens ist von der Löschung der Firebase-Installationskennung getrennt. Der aktualisierte App-Ablauf löscht beim entsprechenden Gerätewiderruf den Backend-Token nach erfolgreicher Deaktivierung und versucht die Tokenlöschung bei Google sowie die gesonderte Firebase-Installationslöschung. Dafür ist die neue App-Version erforderlich. Fehlgeschlagene Bereinigung wird erneut versucht. Nach Googles Aufbewahrungshinweisen bleibt die Installationskennung bis zu einem API-Löschaufruf gespeichert; danach kann ihre Entfernung aus Live- und Backup-Systemen bis zu 180 Tage dauern. Minimale Einwilligungs- und Widerrufnachweise werden als Betreiberentscheidung bis drei Jahre nach Widerruf gespeichert, ohne Tokens, Gerätekennungen, Plattformdaten oder Versandinhalte. Deaktivierte operative Einstellungen werden nach 30 Tagen entfernt. Die neue Backend-Migration setzt diese Fristen um; die bestehenden kurzen Fristen für Geräte- und Versanddaten bleiben unverändert.
Vertragliche Grundlage
Auftragsverarbeitungsverträge, konkrete Vertragspartner, Unterauftragsverarbeiter und gegebenenfalls Transfergarantien werden für den jeweiligen Dienst kontobezogen geführt und regelmäßig überprüft. App-Store-Betreiber werden insoweit als eigenständig Verantwortliche tätig.
Drittlandtransfer
Bei einzelnen Diensten kann eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums oder durch global betriebene Infrastruktur stattfinden, insbesondere bei Firebase Cloud Messaging, Google Workspace, Stripe, OpenAI, Cloudflare und Brevo. Für jeden konkreten Dienst sind Rechtseinheit, Empfängerländer, Unterauftragsverarbeiter und Transfermechanismus kontobezogen zu prüfen. Diese öffentliche Seite bestätigt deshalb keine pauschale EU-Region, kein bestimmtes DPA und keine bestimmte Transfergarantie. Eine Drittlandübermittlung darf nur erfolgen, wenn die jeweils geltende Grundlage nach Art. 44 ff. DSGVO geprüft und dokumentiert ist.
Technische und organisatorische Maßnahmen
Wir setzen Transportverschlüsselung, restriktive und rollenbasierte Zugriffsrechte (Row-Level-Security), Protokollierung sicherheitsrelevanter Vorgänge, serverseitige Validierung von Berechtigungen sowie eine getrennte Verarbeitung öffentlicher und nicht öffentlicher Daten ein.