Unterauftragnehmer
Fassung 2026-09-16-v2Alle Vertragsunterlagen
Fassung vom 15. September 2026
Diese Anlage betrifft Dienstleister, die personenbezogene Daten im Auftrag des bimetrics-Kunden für die vereinbarte Leistung verarbeiten. Eigene Dienstleister von bimetrics für Vertragsverwaltung oder Produktanalyse und selbstständig verantwortliche Banken, Zahlungsdienste oder Berater sind davon zu unterscheiden. Die Einordnung richtet sich nach der jeweiligen Tätigkeit.
1. Direkte Unterauftragnehmer für die Kundenleistung
| Anbieter | Aufgabe und Datenumfang | Verarbeitungsort und Übermittlung |
|---|---|---|
| netcup GmbH, Deutschland | Hosting der bimetrics-Anwendung einschließlich hierfür gespeicherter Kundeninhalte, Datenbank- und Dateibestände sowie notwendiger Betriebsdaten. | Eingesetzte Anwendungsserver: Wien, Österreich. |
| Hetzner Online GmbH, Deutschland | Zusätzliche Infrastruktur, Sicherung von Datenbank und Dateien; Betrieb des Belegpostfachs. Insoweit Kundeninhalte, Absender-/Empfängerangaben, Nachrichten/Anhänge und notwendige Betriebsdaten. | Eingesetzte Storage Box für Sicherungen: Helsinki, Finnland. Webhosting-/Mail-Infrastruktur für das Belegpostfach: Deutschland. Das gesonderte Analytics-Object-Storage in Helsinki ist in Abschnitt 3 eingeordnet. |
| Microsoft Ireland Operations Limited / Microsoft Azure AI, Irland | KI-Auswertung von Eingaben, Dokumenten, Bildern und daraus ermittelten Ergebnissen im Umfang der jeweils beauftragten Funktion. | Global-Deployments: weltweite Verarbeitung an den Standorten, an denen Microsoft das betreffende Modell betreibt. Die Auftragsverarbeitung richtet sich nach dem vertraglich einbezogenen Microsoft-DPA; für internationale Übermittlungen gelten dessen Schutzmechanismen einschließlich EU-Standardvertragsklauseln, soweit erforderlich. Keine EU-only- oder allgemeine ZDR-Zusage. |
| Not Just Tickets Ltd / Plain, Vereinigtes Königreich | E-Mail- und Chat-Support einschließlich KI-gestützter Bearbeitung. Kundeninhalte nur im Umfang der beauftragten Unterstützung; insbesondere Nachrichten, erforderliche Anhänge, Kontakt-, Zuordnungs- und Bearbeitungsdaten. | Primäres Hosting London, Vereinigtes Königreich; nachgelagerte internationale Verarbeitung einschließlich KI, siehe Abschnitt 2. Die DPA ist in die Nutzungsbedingungen einbezogen. Für Übermittlungen nach UK gilt der Angemessenheitsbeschluss; die DPA regelt die nachgelagerte Transferkette einschließlich Standardvertragsklauseln und UK-Zusatz. |
| Plus Five Five, Inc. / Resend, USA | Versand der im Kundenauftrag erforderlichen Nachrichten einschließlich Absender, Empfänger und erforderlicher Inhalte. Nachrichten zur eigenen Kontoführung/Abrechnung von bimetrics sind davon zu unterscheiden. | Primäre Verarbeitung und Speicherung USA. Die regulär einbezogene DPA enthält EU-Standardvertragsklauseln: Modul 3 für die Unterauftragsverarbeitung, Modul 2 für eigene Verantwortlichenzwecke von bimetrics. Eine europäische Versandregion ist keine EU-Speichergarantie. |
| Functional Software, Inc. / Sentry, USA | Fehlerdiagnose und technische Überwachung, soweit hierbei für die beauftragte Leistung notwendige personenbezogene Betriebsdaten verarbeitet werden. Insbesondere technische Klassifikationen, Zeit-/Versionsinformationen und pseudonyme Vorgangskennungen; kein vorgesehener Transfer von Belegrohinhalt. | EU-Organisation; zusätzliche Verarbeitung insbesondere von Konto-/Überwachungsdaten und Dienstleisterzugriffe können außerhalb EU/EWR erfolgen. Die angebotene Sentry-DPA sieht das EU-US Data Privacy Framework sowie ergänzend rollenbezogene EU-Standardvertragsklauseln für nicht davon erfasste Übermittlungen vor. |
2. Nachgelagerte Verarbeitung bei Plain
Die Plain-Unterauftragnehmerliste wurde am 14./15. September 2026 unmittelbar im Trust Center geprüft. bimetrics nutzt nach bestätigter Betreiberangabe E-Mail, Chat und Support-KI. Die Liste umfasst Dienste für unterschiedliche Aufgaben; daraus folgt nicht, dass jeder dieser Anbieter alle bimetrics-Supportinhalte erhält. Für den eingesetzten Umfang sind insbesondere diese acht veröffentlichten Angaben relevant:
| Bezeichnung in der Plain-Liste | Veröffentlichte Aufgabe | Veröffentlichter Ort |
|---|---|---|
| Amazon Web Services | Hosting/Infrastruktur | Vereinigtes Königreich |
| OpenAI | KI/LLM | USA |
| Anthropic | KI/LLM | Global |
| Postmark | E-Mail-Infrastruktur | USA |
| Vercel | Hosting/Infrastruktur | Verteilt |
| Cloudflare | Infrastruktur, Firewall und DDoS-Schutz | Verteilt |
| Liveblocks | Zusammenarbeit in Echtzeit | USA |
| Turbopuffer | Datenbank/Hosting | EU |
Die KI-Beschreibung von Plain nennt OpenAI und Anthropic für die Verarbeitung von Gesprächsinhalten. Sie beschreibt kein Modelltraining und OpenAI-ZDR für den dort erläuterten Pfad. Dies ist keine Aussage über eine vollständige Löschung aller bei Plain gespeicherten Nachrichten oder eine ausschließlich europäische KI-Verarbeitung.
Die regulär einbezogene Plain-DPA erfasst in § 2.1 auch die Unterauftragsverarbeitung, verpflichtet nachgelagerte Anbieter in § 4.5 zu entsprechenden Datenschutzpflichten und regelt Drittlandtransfers in § 5. Zusätzlich gelistete Entwicklungs-, Vertriebs- und optionale Integrationsdienste werden nicht als Empfänger sämtlicher Kundensupportdaten ausgewiesen. Die laufende Kontrolle und Mitteilung tatsächlicher Änderungen richtet sich nach dem AVV; die bei Vertragsschluss einbezogene Fassung bleibt dokumentiert.
3. Abgrenzung zu eigenen Verarbeitungen und Kundendiensten
- PostHog Inc. und MotherDuck Corporation unterstützen bimetrics bei eigener Produktanalyse und Kundenbetreuung. Die hierfür beschriebenen Datenbestände und Rechtsgrundlagen stehen in den Datenschutzhinweisen. Diese Anlage genehmigt keine zusätzliche Verwendung von Kundeninhalten für eigene Zwecke.
- Hetzner Object Storage, Helsinki, Finnland, enthält im Analytics-Pfad zwischengespeicherte PostHog-Exporte. Das ist eine gesonderte Verarbeitung für die interne Kunden-/Nutzungsübersicht und nicht allein aufgrund des Hostinganbieters Teil des Sicherungswegs für Kundenbelege.
- Vercel Inc., USA, Neon und die Websiteanalyse sind im tatsächlich eingesetzten Website-/Suchumfang in den Datenschutzhinweisen beschrieben. Für das eingesetzte Vercel-Pro-Team ist die DPA regulär einbezogen; sie enthält Standardvertragsklauseln für internationale Übermittlungen. Ihre Website-Nutzung begründet keinen pauschalen Unterauftrag über sämtliche App-Kundendaten.
- Stripe verarbeitet eigene Abrechnungsdaten von bimetrics und erfüllt je Dienst eigene regulierte Aufgaben. GoCardless Bank Account Data und die kontoführenden Banken erbringen gesonderte Kontoinformations-/Bankleistungen auf Freigabe des Kunden. Steuerberater können unabhängig verantwortlich sein. Sie werden nicht pauschal als weitere Auftragsverarbeiter unter diesen AVV gestellt.
- Weitere Dienste werden nicht allein deshalb genehmigt, weil ihre künftige Nutzung geplant ist. Für eine tatsächliche Hinzuziehung gelten Informations-, Prüf- und Widerspruchsverfahren des AVV.
4. Änderungen und Nachweise
Änderungen der weiteren Auftragsverarbeiter und relevante Änderungen von Aufgaben oder Verarbeitungsorten werden nach dem Verfahren des AVV mitgeteilt. Die bei einem Vertragsschluss einbezogene Anlagenfassung bleibt im Versionsarchiv nachvollziehbar. Datenschutzanfragen und Einwendungen können an support@bimetrics.de gerichtet werden.
Öffentliche Grundlagen: netcup-AVV, Hetzner, Azure-Vertragspartner und Vertragsrahmen, Microsoft-DPA, Microsoft-Standardvertragsklauseln, Azure-Datenverarbeitung, Plain-DPA, Resend-DPA, Sentry-DPA, Vercel-DPA.