Sub-Prozessoren und Infrastruktur

Aufgeführt sind ausschließlich Dienstleister, die wir produktiv einsetzen und mit denen ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO besteht. Dienstleister, über deren künftigen Einsatz wir zwar entschieden haben, für die aber noch kein Vertrag geschlossen ist, führen wir hier bewusst nicht — sie wären kein Ist-Zustand. Ebenso wenig aufgeführt sind eigene Arbeitsmittel, durch die keine Kundendaten laufen; sie sind keine Auftragsverarbeiter im Sinne der mit Ihnen geschlossenen Verträge.

Angabe nach Art. 28 Abs. 1 lit. a Data Act

Für unsere Leistungen setzen wir Infrastruktur ein, die dem Recht eines Mitgliedstaats der Europäischen Union unterliegt. Im Einzelnen:

• Webhosting, Website, serverseitige Endpunkte und E-Mail laufen auf Infrastruktur der Hostinger International Ltd. mit Sitz und Verarbeitung in Zypern. Maßgeblich ist damit das Recht eines EU-Mitgliedstaats; das Unionsrecht gilt unmittelbar. Drittstaatliches Recht findet auf diese Infrastruktur keine Anwendung.
• Die Zahlungsabwicklung erfolgt über die Stripe Payments Europe Ltd. mit Sitz in Irland; auch hier gilt das Recht eines EU-Mitgliedstaats. Die Konzernmutter Stripe, Inc. unterliegt jedoch US-amerikanischem Recht. Soweit Daten innerhalb des Konzerns übermittelt werden, kann US-Recht auf sie Anwendung finden. Wir benennen das ausdrücklich, statt es zu verschweigen — abgesichert ist die Übermittlung über das EU-U.S. Data Privacy Framework und die EU-Standardvertragsklauseln.
• Eigene Systeme, die wir zur Leistungserbringung betreiben, stehen in unseren Geschäftsräumen in Würzburg und unterliegen deutschem Recht.

Mit Ausnahme der oben beschriebenen konzerninternen Möglichkeit bei der Zahlungsabwicklung unterliegt keine der für unsere Leistungen eingesetzten Infrastrukturen dem Recht eines Drittstaats.

Angabe nach Art. 28 Abs. 1 lit. b Data Act

Die folgende Beschreibung betrifft nicht personenbezogene Daten, die wir in der Union halten — etwa Konfigurationen, Quellcode, Betriebs- und Geschäftsdaten unserer Kunden. Sie beschreibt die Maßnahmen, mit denen wir einem behördlichen Zugriff aus Drittstaaten vorbeugen, soweit ein solcher Zugriff mit dem Unionsrecht kollidieren würde. Für personenbezogene Daten gelten zusätzlich die Regelungen der DSGVO und der mit Ihnen geschlossene Auftragsverarbeitungsvertrag.

Technische Maßnahmen

• Speicherung und Verarbeitung ausschließlich auf Infrastruktur in der Europäischen Union sowie auf eigenen Systemen in Deutschland. Der wirksamste Schutz gegen einen Zugriff ist, den Datenabfluss gar nicht erst entstehen zu lassen.
• Verschlüsselung während der Übertragung: TLS 1.2 oder höher wird erzwungen, HSTS ist aktiv, unverschlüsselte Aufrufe werden dauerhaft umgeleitet.
• Verschlüsselung im Ruhezustand: Der Systemdatenträger unseres lokalen Verarbeitungssystems ist vollständig verschlüsselt.
• Fernzugriff ausschließlich über einen Ende-zu-Ende-verschlüsselten VPN-Tunnel auf WireGuard-Basis. Es besteht keine Portweiterleitung und kein aus dem Internet erreichbarer Fernzugriffsdienst; Container-Dienste sind an die lokale Schnittstelle gebunden.
• Zugangsdaten, Schlüssel und Tokens werden getrennt vom Quellcode gehalten; Umgebungen verschiedener Auftraggeber werden getrennt betrieben.

Organisatorische Maßnahmen

• Anbieterauswahl nach dem Grundsatz „kein Transfer schlägt jeden Transfer-Mechanismus“: Bevorzugt werden Anbieter mit Sitz und Verarbeitung in der Union. Ein neuer Dienstleister wird erst eingesetzt, nachdem ein Vertrag nach Art. 28 DSGVO geschlossen und der Übermittlungsweg geprüft wurde.
• Führung und mindestens vierteljährliche Überprüfung des Sub-Prozessoren-Registers, aus dem diese Seite erzeugt wird. Ein Dienstleister wird erst dann als eingesetzt geführt, wenn er es tatsächlich ist.
• Verbindliche interne Richtlinie zum Einsatz von Werkzeugen, insbesondere KI-gestützter Dienste: Daten von Auftraggebern dürfen nicht in nicht freigegebene Dienste eingegeben werden; für Dienste aus Staaten ohne Angemessenheitsbeschluss gilt ein vollständiges Verbot vertraulicher Kundeninformationen. Ein Verstoß wird als Sicherheitsvorfall behandelt.
• Fester Umgang mit behördlichen Auskunftsverlangen: Jedes Verlangen einer Behörde aus einem Drittstaat wird dokumentiert, auf seine rechtliche Tragfähigkeit geprüft und, soweit es mit dem Unionsrecht kollidiert, nicht befolgt. Wir schöpfen verfügbare Rechtsbehelfe aus und unterrichten den betroffenen Kunden, soweit uns das rechtlich gestattet ist.
• Überprüfung dieser Maßnahmen mindestens jährlich sowie anlassbezogen bei neuen Systemen, neuen Dienstleistern oder nach einem Vorfall.

Vertragliche Maßnahmen

• Mit jedem eingesetzten Dienstleister besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Er verpflichtet den Dienstleister, Daten ausschließlich nach unserer Weisung zu verarbeiten, und bindet dessen eigene Unterauftragnehmer auf dasselbe Schutzniveau.
• Wo eine Übermittlung in ein Drittland in Betracht kommt, sind die EU-Standardvertragsklauseln vereinbart. Deren Klausel 15 verpflichtet den Datenimporteur, uns über bindende Auskunftsverlangen von Behörden zu unterrichten, die Rechtmäßigkeit zu prüfen und das Verlangen anzufechten — genau der Fall, den Art. 28 Abs. 1 lit. b Data Act adressiert.
• Eine Zertifizierung unter dem EU-U.S. Data Privacy Framework behandeln wir als zusätzliche Absicherung, nie als alleinige Grundlage. Die Standardvertragsklauseln bleiben als Rückfallebene bestehen, damit ein Wegfall des Angemessenheitsbeschlusses die Übermittlung nicht grundlos werden lässt.
• Gegenüber unseren Kunden haben wir uns vertraglich verpflichtet, diese Liste aktuell zu halten und beabsichtigte Änderungen rechtzeitig mitzuteilen; einer Änderung kann aus wichtigem datenschutzrechtlichem Grund widersprochen werden (§ 9 Abs. 4 AGB).

Grenzen dieser Angabe

Ein vollständiger Schutz gegen jeden denkbaren behördlichen Zugriff ist rechtlich und technisch nicht erreichbar und wird nicht zugesagt. Soweit ein Dienstleister zu einem Konzern gehört, dessen Muttergesellschaft drittstaatlichem Recht unterliegt, bleibt ein Restrisiko bestehen. Wir begrenzen es, indem wir Daten in der Union halten und für die Erbringung unserer Leistungen — mit Ausnahme der Zahlungsabwicklung — keine Dienste aus Drittstaaten einsetzen.

Wir prüfen diese Angaben mindestens vierteljährlich sowie anlassbezogen. Fragen zu dieser Übersicht, zum Auftragsverarbeitungsvertrag oder zu einzelnen Dienstleistern beantworten wir unter info@wzb-webhosting.com. Anbieterangaben finden Sie in unserem Impressum.