Infrastruktur und Zugriffsschutz
Fassung 15.09.2026Alle Vertragsunterlagen
Stand: 15. September 2026
Diese Übersicht beschreibt die für bimetrics eingesetzten Infrastrukturen und die Behandlung internationaler Zugriffe. Sie ergänzt die Unterauftragnehmeranlage, den Auftragsverarbeitungsvertrag und die Datenschutzhinweise. Ein europäischer Speicherort bedeutet nicht automatisch, dass sämtliche beteiligten Unternehmen ausschließlich europäischem Recht unterliegen.
1. Anbieter, Orte und Rechtsordnungen
| Einsatz | Anbieter und relevante Rechtsordnungen | Eingesetzte Orte |
|---|---|---|
| Anwendung, Datenbank und Kundendateien | netcup GmbH, Deutschland; für die eingesetzte Infrastruktur auch Österreich | Anwendungsserver in Wien, Österreich |
| Belegpostfach und Sicherungen | Hetzner Online GmbH, Deutschland; für finnische Infrastruktur auch Finnland | Mail-Infrastruktur Deutschland; Storage Box Helsinki, Finnland |
| KI-Auswertung | Microsoft Azure AI; beteiligte Microsoft-Gesellschaften unterliegen insbesondere irischem und US-amerikanischem Recht, zusätzlich dem Recht der jeweiligen Verarbeitungsorte | Global-Deployments; Inferenz kann international erfolgen |
| Support per E-Mail, Chat und KI | Not Just Tickets Ltd / Plain, Vereinigtes Königreich; nachgelagerte Anbieter unter anderem in den USA | Primäres Hosting London; internationale Verarbeitung einschließlich OpenAI/USA und Anthropic/Global |
| Transaktionsmails | Plus Five Five, Inc. / Resend, USA | Primäre Verarbeitung und Speicherung USA |
| Fehlerdiagnose und Überwachung | Functional Software, Inc. / Sentry, USA | EU-Organisation; weitere Konto-/Dienstverarbeitung und Zugriffe können international erfolgen |
| Eigene Kunden- und Produktanalyse | PostHog Inc. und MotherDuck Corporation, USA; Hetzner Online GmbH, Deutschland | PostHog und MotherDuck Frankfurt; Analytics-Zwischenablage Helsinki |
| Website und Suche | Vercel Inc. und Neon, USA; Microsoft für das verwendete Embeddingmodell | International verteilte Infrastruktur; eigene Umami-Serverfunktionen in Washington, D.C., USA |
Die Zuordnung benennt Rechtsordnungen der Anbieter und nachgewiesene Verarbeitungsorte. Sie ist keine Aussage, dass Behörden tatsächlich auf Daten zugegriffen haben oder jeder nachgelagerte Dienst sämtliche Kundendaten erhält. Aufgaben und Datenumfang sind in den jeweils verlinkten Unterlagen genauer beschrieben.
2. Technischer und organisatorischer Schutz
Wir begrenzen Datenübermittlungen auf die jeweilige Aufgabe und schützen Verbindungen sowie Zugänge durch die in den technischen und organisatorischen Maßnahmen beschriebenen Vorkehrungen. Dazu gehören Berechtigungs- und Mandantentrennung, geschützte Übertragungswege, Filter für technische Diagnosedaten sowie verschlüsselte eigene Sicherungsarchive. Diese Maßnahmen bedeuten keine durchgehende Ende-zu-Ende-Verschlüsselung gegenüber allen eingesetzten Dienstleistern.
Bei Azure Global benötigen die beauftragten KI-Dienste die Eingaben zur Verarbeitung. Wir versprechen hierfür weder ausschließliche EU-Verarbeitung noch eine allgemeine Speicherung von null Tagen. Eigene künftige Infrastruktur- oder KI-Anbieter werden erst bei tatsächlichem Einsatz nach dem vereinbarten Änderungsverfahren berücksichtigt.
3. Behördliche und internationale Zugriffsverlangen
Für Anfragen an bimetrics prüfen wir zuständige Stelle, Rechtsgrundlage, Verbindlichkeit und den konkret verlangten Umfang. Eine ausländische Anordnung schafft für sich allein keine unbegrenzte Berechtigung zur Herausgabe. Unklare oder übermäßige Verlangen werden rechtlich geprüft und im verfügbaren rechtlichen Rahmen begrenzt beziehungsweise angefochten. Herausgegeben werden nur rechtmäßig erforderliche Informationen. Soweit zulässig, informieren wir den betroffenen Kunden vor einer Herausgabe; eine gesetzliche Geheimhaltungspflicht wird berücksichtigt.
Für in der Union gespeicherte nicht personenbezogene Daten beachten wir die Schutzanforderungen des Art. 32 der EU-Datenverordnung. Für personenbezogene Daten gelten zusätzlich die DSGVO und die vereinbarten Übermittlungsgarantien. Ein Angemessenheitsbeschluss oder Standardvertragsklauseln ersetzen weder die Prüfung eines konkreten Zugriffsverlangens noch erforderliche ergänzende Schutzmaßnahmen.
Die eingesetzten Auftragsverarbeitungsvereinbarungen regeln Vertraulichkeit, Weisungen, Sicherheit und den Umgang mit rechtlich erzwungener Verarbeitung. Bei erforderlichen Drittlandübermittlungen werden die für die jeweilige Übermittlung anwendbaren Garantien zugrunde gelegt. Wir verlangen keine Vertraulichkeit, die berechtigte Mitteilungen an Aufsichtsbehörden oder die Wahrnehmung gesetzlicher Rechte verhindert.
4. Informationen und Änderungen
Fragen zu einer konkreten Verarbeitung, zu Übermittlungsgarantien oder einem Anbieterwechsel richten Sie bitte an support@bimetrics.de. Informationen und einschlägige Garantien stellen wir unter Wahrung fremder Daten und berechtigter Geschäftsgeheimnisse zur Verfügung. Änderungen eingesetzter Unterauftragnehmer werden nach dem Verfahren des AVV mitgeteilt; diese Übersicht allein ersetzt eine vorgeschriebene Mitteilung nicht.
Rechtsgrundlage für den Schutz nicht personenbezogener Daten: EU-Datenverordnung, insbesondere Art. 28 und 32. Für personenbezogene Daten: DSGVO, insbesondere Art. 44–49.