Liste der Unterauftragsverarbeiter

Animiyo ist eine mandantenfähige SaaS-Plattform für die Haustierverwaltung: Eine auf Google Cloud Run gehostete Next.js-Webanwendung und eine native iOS-Anwendung teilen sich dasselbe Firebase-Backend im Google-Cloud-Projekt petdiary-10327. Keine dieser Komponenten läuft auf Maschinen, die demjenigen gehören, der den Dienst entwickelt, sodass jedes von der Plattform verarbeitete Datum einen Drittanbieter durchläuft. Die Veröffentlichung der Liste dieser Anbieter ist der direkteste Weg, jedem zu ermöglichen, zu überprüfen, wo seine Daten landen.

Animiyo hat zwei unterschiedliche Rollen. Es ist der Verantwortliche für die Konten der Haustierhalter, also für Personen, die sich registrieren und die Anwendung für sich selbst nutzen. Es ist hingegen der Auftragsverarbeiter für die Daten, die Mandanten, Tierarztpraxen und Geschäfte, über ihre eigenen Kunden verarbeiten. Diese Liste gilt in beiden Fällen, mit einem Unterschied in der rechtlichen Einordnung: Im ersten Fall sind die Anbieter von Animiyo bestellte Auftragsverarbeiter, im zweiten sind sie nach Artikel 28 Absätze 2 und 4 der Verordnung (EU) 2016/679 zugelassene Unterauftragsverarbeiter.

Zwei Arten von Lesern nutzen diese Seite. Die betroffene Person, also diejenige, deren Daten verarbeitet werden, nutzt sie, um zu überprüfen, dass die Erklärung unter /privacy die Wahrheit sagt, und um die unter /diritti-privacy beschriebenen Rechte auszuüben. Der Mandant als Verantwortlicher nutzt sie, um die in der Vereinbarung unter /dpa festgelegte Informationspflicht zu erfüllen, sein eigenes Verzeichnis von Verarbeitungstätigkeiten zu aktualisieren und zu entscheiden, ob er einen Anbieter akzeptiert oder ihm widerspricht. Die Veröffentlichung erfüllt daher sowohl die Transparenzpflicht gegenüber den betroffenen Personen als auch die Informationspflicht gegenüber den Mandanten als Verantwortliche.

Die nachstehenden Tabellen sind der Kern dieses Dokuments: Die Absätze sind nur dazu da, sie zu erläutern. Ändert sich eine Zeile, ändert sich auch das Aktualisierungsdatum oben auf der Seite, und im Änderungsprotokoll am Ende erscheint ein Eintrag.

Ein Anbieter wird erst aktiviert, nachdem er eine feste Reihe von Prüfungen bestanden hat, die stets in derselben Reihenfolge angewendet werden. Dies ist keine Ermessensbewertung: Es sind Mindestanforderungen, und ein Anbieter, der sie nicht erfüllt, gelangt nicht in die Plattform, so bequem oder günstig der Dienst auch sein mag.

• Ausreichende Garantien nach Artikel 28 Absatz 1: eine unterzeichnete Auftragsverarbeitungsvereinbarung, dokumentierte Sicherheitsmaßnahmen, Transparenz darüber, wo die Daten gespeichert werden.
• Ein absolutes Verbot von Klauseln, die es dem Anbieter erlauben, Daten für eigene Zwecke zu verarbeiten, einschließlich des Trainings von Modellen künstlicher Intelligenz, ohne gesonderte und widerrufbare Einwilligung.
• Meldung von Verletzungen innerhalb von vierundzwanzig Stunden, bis zu achtundvierzig Stunden hinnehmbar.
• Eine Pflicht zur Löschung der Daten innerhalb von dreißig Tagen nach Ende der Beziehung, mit schriftlicher Bestätigung, dass die Löschung erfolgt ist.
• Veröffentlichung der eigenen Liste weiterer Unterauftragsverarbeiter durch den Anbieter.
• Minimierung: Für dieselbe Funktion wählen wir den Anbieter, der die geringste Menge der benötigten Daten erhält.

Eine einzige Bedingung ist nicht verhandelbar. Kein Anbieter darf Nutzerdaten für eigene Zwecke verarbeiten, und insbesondere nicht zum Training von Modellen künstlicher Intelligenz, ohne gesonderte, informierte und widerrufbare Einwilligung. In jedem anderen Punkt kann eine ungünstigere Klausel durch technische oder organisatorische Maßnahmen ausgeglichen werden; in diesem Punkt kann sie es nicht, weil Daten, die in ein Modell eingegangen sind, auf keine überprüfbare Weise mehr zurückgeholt oder gelöscht werden können. Führt ein Anbieter eine solche Klausel in seine Bedingungen ein, wird der Dienst nach dem weiter unten beschriebenen Verfahren ersetzt.

Dies ist die Haupttabelle des Dokuments. Für jeden Anbieter gibt sie den Dienst, die Kategorien der erhaltenen Daten, den Ort der Verarbeitung und die rechtliche Rolle an. Die Rolle lautet Auftragsverarbeiter, weil der Anbieter Daten im Auftrag von Animiyo und nach dessen Weisungen verarbeitet; gegenüber den Mandanten als Verantwortliche ist derselbe Anbieter ein zugelassener Unterauftragsverarbeiter.

Die Google-Gruppe erscheint achtmal statt einmal. Dies ist keine sinnlose Wiederholung: Jede Zeile ist ein eigener Dienst, mit eigener Konfiguration, eigenem Standort und eigener Datenkategorie. Firebase Authentication kennt die E-Mail-Adresse, nicht aber den Inhalt der Gesundheitsakte; Cloud Storage for Firebase enthält Fotografien, weiß aber nichts über Termine; Google Analytics 4 sieht nur die öffentliche Website und niemals den angemeldeten Bereich. Die getrennte Auflistung der Dienste macht es möglich, zu verstehen, welche Daten von einem Vorfall betroffen wären, der nur einen von ihnen betrifft, und einen zu ersetzen, ohne die anderen anzutasten.

Die Bezeichnung globale Infrastruktur kennzeichnet die Dienste, bei denen keine Verarbeitungsregion gewählt werden kann: Der Anbieter erbringt sie über ein verteiltes Netz, und die Daten können an mehr als einem Ort verarbeitet werden. Dies gilt für Push-Benachrichtigungen, für Prüfungen zur Betrugsprävention und für die Messung der öffentlichen Website, also für Dienste, die technische Kennungen statt Kontoinhalte verarbeiten. In diesen Fällen ist die Grundlage der Übermittlung dieselbe wie im Abschnitt über den Datenstandort beschrieben.

Stripe Payments Europe Limited erscheint in der Liste, obwohl es keine Daten erhält. Die Integration ist im Code vorhanden, das Gateway ist jedoch durch ein Konfigurations-Flag ausgeschaltet, sodass keine Zahlungsinformationen die Plattform verlassen. Die Zeile bleibt aus Gründen der Transparenz in der Tabelle: An dem Tag, an dem das Flag eingeschaltet wird, wird dies keine verborgene Neuerung sein, und die Aktivierung folgt in jedem Fall der für Änderungen bei Unterauftragsverarbeitern festgelegten Vorankündigungsfrist.

Einige Funktionen der Plattform lesen Informationen aus öffentlichen Datenbanken: ein Medikamentendatenblatt, den Nährwert eines Futters, eine Rassenbeschreibung, einen Wechselkurs, eine Kartenkachel. Es handelt sich um Aufrufe, die nur Daten lesen, vom Browser des Nutzers ausgehen und weder die Kontokennung noch irgendwelche Tagebuchinhalte übermitteln. Sie übermitteln jedoch die IP-Adresse des Browsers und die technischen Details der Anfrage, weshalb sie angegeben werden müssen.

Diese Dienste sind keine Auftragsverarbeiter, weil sie keine Daten im Auftrag von Animiyo verarbeiten und von Animiyo keine Weisungen erhalten, wie sie die erlangten Informationen verwenden sollen. In Bezug auf die von ihnen erhobenen Verbindungsdaten sind sie eigenständige Verantwortliche: Sie legen Zwecke und Mittel selbst fest, wenden ihre eigenen Erklärungen an und haften unmittelbar für ihre eigenen Entscheidungen. Der Unterschied ist keine Formalität. Ein Auftragsverarbeiter verarbeitet Daten nur so, wie es ihm aufgetragen wurde, und löscht sie auf Verlangen; ein eigenständiger Verantwortlicher haftet aus eigenem Recht, und Anfragen zu diesen Verbindungsdaten müssen an ihn gerichtet werden.

Die wichtigsten Ressourcen der Plattform befinden sich in der Region us-central1 in den Vereinigten Staaten. Das bedeutet, dass Kontodaten, hochgeladene Inhalte und Systemprotokolle außerhalb des Europäischen Wirtschaftsraums verarbeitet werden und dass die Übermittlung auf einer gültigen Rechtsgrundlage sowie auf angemessenen technischen Maßnahmen beruhen muss.

Die Garantien, die die Übermittlung in die Vereinigten Staaten begleiten, sind die folgenden.

• Google Ireland Limited als vertragliche Gegenpartei, gemäß den Google Cloud Data Processing Terms.
• Von der Europäischen Kommission mit dem Durchführungsbeschluss 2021/914 angenommene Standardvertragsklauseln.
• Zertifizierung von Google LLC nach dem EU-US Data Privacy Framework.
• Verschlüsselung der Daten bei der Übertragung mit TLS und im Ruhezustand mit AES mit 256 Bit.
• Eine vom Inhaber dokumentierte Folgenabschätzung der Übermittlung.
• Die Richtlinie von Google zum Umgang mit Anfragen von Behörden.

Eine Verlagerung der Ressourcen in eine europäische Region, im Gebiet europe-west, wird erwogen. Es ist keine beschlossene Entscheidung, denn sie bedeutet, einen Teil der Infrastruktur neu aufzubauen und ein Zeitfenster der Nichtverfügbarkeit des Dienstes in Kauf zu nehmen. Sollte sie erfolgen, wird sie auf dieser Seite mit derselben Vorankündigungsfrist angekündigt, die für das Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters festgelegt ist, damit die Mandanten als Verantwortliche ihre eigene Dokumentation aktualisieren können, bevor die Änderung wirksam wird.

Gegenüber den Mandanten als Verantwortliche beruht die Nutzung der aufgeführten Anbieter auf einer allgemeinen Genehmigung nach Artikel 28 Absatz 4 der Verordnung (EU) 2016/679. Eine allgemeine Genehmigung ist kein Blankoscheck: Wer sie erteilt, behält das Recht, im Voraus zu erfahren, was sich ändert, und zu widersprechen. Das nachstehende Verfahren beschreibt, wie dieses Recht in der Praxis ausgeübt wird.

1. 1

   Veröffentlichung der Vorankündigung

   Mindestens dreißig Tage vor dem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters wird die Änderung auf dieser Seite veröffentlicht, unter Angabe des Anbieters, des Dienstes, der betroffenen Daten und des geplanten Aktivierungsdatums.

2. 2

   Mitteilung an den Mandanten

   Gleichzeitig mit der Veröffentlichung wird die Vorankündigung an die E-Mail-Adresse gesendet, die der Mandant in seinem Profil eingetragen hat. Diese Adresse aktuell zu halten und zu überwachen liegt in der Verantwortung des Mandanten.

3. 3

   Begründeter Widerspruch

   Der Mandant kann innerhalb von fünfzehn Tagen nach der Vorankündigung Widerspruch einlegen, unter Angabe der Gründe für den Widerspruch. Widersprüche werden über die Seite /contatti gesendet und müssen begründet sein, das heißt, sie müssen erklären, welches Risiko oder welche Einschränkung den vorgeschlagenen Anbieter unannehmbar macht.

4. 4

   Suche nach einer alternativen Maßnahme

   Vor dem Aktivierungsdatum prüfen wir, ob der Widerspruch durch alternative Maßnahmen gelöst werden kann: eine andere Konfiguration, eine andere Region, eine Reduzierung der übermittelten Daten oder einen anderen Anbieter für diese Funktion.

5. 5

   Kündigung ohne Vertragsstrafe

   Kann der Widerspruch nicht gelöst werden, kann der Mandant als Verantwortlicher den von der Änderung betroffenen Teil des Dienstes ohne Vertragsstrafe kündigen, in der in der unter /dpa veröffentlichten Vereinbarung festgelegten Weise.

Es gibt eine einzige Ausnahme von der dreißigtägigen Vorankündigung. Muss ein Anbieter aus Sicherheitsgründen ersetzt werden, etwa nach einer schwerwiegenden Schwachstelle oder der plötzlichen Einstellung eines Dienstes, kann der Ersatz mit verkürzter Vorankündigung erfolgen. In diesem Fall ist die Mitteilung an die Mandanten sofort, und das Widerspruchsrecht bleibt unangetastet, wird jedoch nach der Änderung statt davor ausgeübt. Angesichts eines fortbestehenden Risikos dreißig Tage zu warten, würde genau den Personen schaden, die das Verfahren schützen soll.

Diese Liste umfasst die von Animiyo für den Betrieb der Plattform gewählten Anbieter. Sie umfasst nicht die vom Mandanten gewählten Anbieter. Wenn eine Tierarztpraxis oder ein Geschäft seine eigenen Werkzeuge anbindet, Daten aus der Plattform exportiert oder an seine eigenen Anbieter weitergibt, erscheinen diese Anbieter hier nicht und bleiben in der Verantwortung des Mandanten: Der Mandant muss sie als Auftragsverarbeiter bestellen und seine eigenen betroffenen Personen informieren.

Die Unterscheidung ist vor allem für Personen wichtig, die ihre Daten bei einer Praxis oder einem Geschäft hinterlassen haben. Betrifft eine Anfrage einen Anbieter, den der Mandant selbst gewählt hat, muss sie an den Mandanten gerichtet werden, weil der Mandant der Verantwortliche dieser Verarbeitung ist und nur der Mandant weiß, welche Werkzeuge er angebunden hat. Diese Seite bleibt dennoch der Ausgangspunkt, um zu verstehen, welche Anbieter allen gemeinsam sind und welche nicht.

Eine Liste von Unterauftragsverarbeitern sagt viel durch das, was sie weglässt. Die nachstehenden Anbieterkategorien fehlen in der Plattform, und ihr Fehlen ist eine Gestaltungsentscheidung, keine vorübergehende Lage, die auf Budget wartet.

• Kein Werbenetzwerk, kein Datenhändler, kein Anbieter für kommerzielle Profilbildung.
• Kein Anbieter von Modellen künstlicher Intelligenz, der Nutzerdaten erhält.
• Kein Kundendienst eines Dritten mit Zugriff auf die Daten.
• Kein Marketing-E-Mail-System, das mit der Nutzerbasis gespeist wird.
• Kein Verkauf und keine Weitergabe von Daten an Dritte.

Jeder dieser Einträge entspricht einem Anbieter, der nicht in der Haupttabelle erscheint und ohne die oben beschriebene Vorankündigung auch nicht erscheinen wird. Sollte eine dieser Kategorien jemals erforderlich werden, würde die Aufnahme demselben Vorankündigungs- und Widerspruchsverfahren folgen, das für andere Anbieter festgelegt ist, und für Zwecke, die eine Einwilligung erfordern, würde diese Einwilligung gesondert und widerrufbar eingeholt.

Jede Änderung dieser Liste wird auf ebendieser Seite veröffentlicht, die die maßgebliche Quelle ist. Die Mandanten als Verantwortliche werden zusätzlich an der in ihrem Profil eingetragenen E-Mail-Adresse benachrichtigt, weil die Vorankündigung für sie vertragliche und nicht bloß informative Wirkungen hat.

Der einfachste Weg, festzustellen, ob sich etwas geändert hat, ist, das Aktualisierungsdatum oben auf der Seite zu prüfen und es mit dem Änderungsprotokoll am Ende zu vergleichen. Für Fragen zur Liste, um die vertragliche Dokumentation zu einem Anbieter anzufordern oder um einen Widerspruch einzulegen, nutzen Sie die Seite /contatti, die der einzige Kanal für alle Mitteilungen zu diesem Dokument ist.

Spätere Überarbeitungen werden dieser Tabelle hinzugefügt und im Versionsverwaltungsverlauf des Codes nachverfolgt, der den genauen Wortlaut jeder Version zusammen mit dem Datum der Änderung bewahrt. Wer nachvollziehen muss, welche Liste zu einem bestimmten Zeitpunkt in Kraft war, kann über die Seite /contatti nachfragen.