Unterauftragsverarbeiter

1. Geltung und Genehmigung

Verarbeiten wir personenbezogene Daten im Auftrag einer Firma, sind die nachfolgend genannten Anbieter Unterauftragsverarbeiter im Sinne von Art. 28 Abs. 2 und 4 DSGVO. Mit der Vereinbarung zur Auftragsverarbeitung genehmigt die Firma den Einsatz dieser Anbieter. Welche Anbieter im Einzelfall Daten erhalten, hängt von den genutzten Funktionen ab. Im Verhältnis zu den Anbietern gilt jeweils deren Vereinbarung zur Auftragsverarbeitung (Data Processing Addendum), die Bestandteil ihrer Vertragsbedingungen ist.

2. Aktuelle Liste

Cloudflare

Anbieter: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA
Leistung: Betrieb der Website und der Anwendungen: Ausführung (Cloudflare Workers), Datenbank (Cloudflare D1), Dateispeicher (Cloudflare R2), DNS, Auslieferung, Verschlüsselung der Verbindungen und Schutz vor Angriffen.
Daten: Alle in BMA Log und BMA Office gespeicherten Daten einschließlich hochgeladener Dateien sowie Verbindungs- und Sicherheitsdaten wie IP-Adresse und Browserangaben.
Einsatz: Immer (Grundbetrieb).
Ort der Verarbeitung: Cloudflare R2 (Dateispeicher einschließlich Sicherungen): EU-Jurisdiktion. Cloudflare D1 (Produktivdatenbank): EU-Jurisdiktion, Region Osteuropa; Lesereplikation zum Prüfzeitpunkt deaktiviert (Cloudflare-Dashboard, 03.11.2026). Workers-Ausführung, Verbindungsdaten und Supportzugriffe können über das globale Cloudflare-Netz erfolgen.
Übermittlungsgrundlage: Angemessenheitsbeschluss zum EU-US Data Privacy Framework, zu dessen Einhaltung sich Cloudflare im Data Processing Addendum verpflichtet; ergänzend EU-Standardvertragsklauseln.
Vertragsunterlagen: Data Processing Addendum des Anbieters

Supabase

Anbieter: Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513
Leistung: Anmeldedienst (Supabase Auth): Registrierung, Anmeldung mit Passwort oder E-Mail-Link, Zurücksetzen des Passworts, Zwei-Faktor-Anmeldung und Sitzungsverwaltung einschließlich der zugehörigen E-Mails.
Daten: E-Mail-Adresse, Name, Passwort (nur als Hashwert), Registrierungsangaben, Faktoren der Zwei-Faktor-Anmeldung, Sitzungen und technische Anmeldeprotokolle wie Zeitpunkt und IP-Adresse.
Einsatz: Immer (jede Anmeldung im Web, in BMA Office und in BMA Log Go).
Ort der Verarbeitung: Produktivprojekt Supabase Auth: eu-west-2 (London, Vereinigtes Königreich), am 03.11.2026 über die Projekteinstellungen bestätigt. Zugriffe durch Supabase und dessen Unterauftragnehmer aus weiteren Ländern sind möglich.
Übermittlungsgrundlage: Für Datenübermittlungen in das Vereinigte Königreich gilt der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO, verlängert im Dezember 2025). Für weitere Drittländer kommen die im Data Processing Addendum von Supabase vereinbarten EU-Standardvertragsklauseln in Betracht.
Vertragsunterlagen: Data Processing Addendum des Anbieters

Resend

Anbieter: Plus Five Five, Inc. (Resend), USA
Leistung: Versand von E-Mails: Weiterleitung von Demo- und Kontaktanfragen, Prüfberichte und weitere Unterlagen aus BMA Log, Arbeitsberichte und Rechnungen aus BMA Office sowie ausdrücklich angeforderte Test-E-Mails.
Daten: Absender- und Empfängeradressen, Betreff, Nachrichtentext, Anhänge wie PDF-Berichte oder Rechnungen sowie der Versandstatus.
Einsatz: Nur, wenn eine E-Mail versendet wird.
Ort der Verarbeitung: USA; dort findet nach Angaben des Anbieters die Verarbeitung hauptsächlich statt.
Übermittlungsgrundlage: EU-US Data Privacy Framework und EU-Standardvertragsklauseln nach dem Data Processing Addendum von Resend.
Vertragsunterlagen: Data Processing Addendum des Anbieters

OpenAI

Anbieter: OpenAI Ireland Ltd., Dublin, Irland (Vertragspartner für Kunden mit Sitz im EWR)
Leistung: KI-Hilfe auf den Hilfeseiten und KI-Assistent in BMA Log. Die Option zur Speicherung der Antworten beim Anbieter ist deaktiviert („store: false“); zur Erkennung von Missbrauch kann OpenAI Daten nach eigenen Angaben für einen begrenzten Zeitraum aufbewahren.
Daten: Frage bzw. Eingabe; beim KI-Assistenten zusätzlich der ausgewählte Anlagen- und Prüfkontext, zum Beispiel Kunde, Anschrift, Ansprechpartner, Messwerte und Notizen, sowie – nur wenn ausgewählt – ein Handbuch (PDF) oder ein Foto.
Einsatz: Nur, wenn die KI-Funktion aktiviert ist und eine Anfrage gestellt wird.
Ort der Verarbeitung: Irland sowie verbundene Unternehmen von OpenAI in den USA.
Übermittlungsgrundlage: Übermittlungen an OpenAI-Gesellschaften und Dienstleister außerhalb des EWR auf Grundlage von EU-Standardvertragsklauseln oder eines Angemessenheitsbeschlusses nach dem Data Processing Addendum von OpenAI.
Vertragsunterlagen: Data Processing Addendum des Anbieters

3. Unterauftragnehmer der Anbieter

Die genannten Anbieter setzen ihrerseits weitere Dienstleister ein, etwa für Rechenzentren und Cloud-Infrastruktur. Diese sind über die Verträge der Anbieter gebunden; die jeweils aktuellen Listen veröffentlichen die Anbieter selbst.

4. Keine Unterauftragsverarbeiter

Folgende Stellen erhalten zwar im Zusammenhang mit den Anwendungen Daten, verarbeiten sie aber nicht in unserem Auftrag:

Eigenes Resend-Konto einer Firma: Hinterlegt eine Firma für BMA Office ein eigenes Konto bei Resend, werden E-Mails der Firma über dieses Konto versendet. Resend ist dann Auftragsverarbeiter der Firma auf Grundlage ihres eigenen Vertrags mit Resend.
Kalenderanbieter: Bindet eine Firma einen Kalender von Google, Microsoft oder Apple über einen Abonnementlink ein, ruft BMA Log die Termine dort ab. Den Anbieter wählt die Firma selbst.
App-Stores: Apple und Google verarbeiten beim Herunterladen und Aktualisieren von BMA Log Go Daten in eigener Verantwortung.
E-Mail-Empfänger: Empfänger von Berichten, Rechnungen und anderen E-Mails bestimmen die Benutzer der Firma.

Für unsere eigenen E-Mail-Postfächer, in denen Demo- und Supportanfragen eingehen, nutzen wir einen E-Mail-Anbieter. Daten aus den Anwendungen werden dort nur gespeichert, soweit sie uns mit einer Anfrage übersandt werden.

5. Änderungen

Beabsichtigen wir, einen weiteren Unterauftragsverarbeiter einzusetzen oder einen bestehenden zu ersetzen, informieren wir die Firmen mindestens vier Wochen vorher in Textform und aktualisieren diese Liste. Eine Firma kann der Änderung innerhalb von zwei Wochen nach der Information aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Einzelheiten regelt die Vereinbarung zur Auftragsverarbeitung.