Unterauftragsverarbeiter- und Dienstleisterliste

Kundenversion · Anlage zum AVV · Transparenzinformation

Hinweis zur Verwendung. Diese Liste beschreibt die von BetriebPlus unmittelbar eingesetzten Anbieter, soweit sie im Rahmen der Leistungserbringung personenbezogene Daten verarbeiten können. Sie ist als Kundentransparenz und als Anlage zum Vertrag zur Auftragsverarbeitung gedacht. Die jeweiligen Anbieter können ihrerseits weitere Unterauftragsverarbeiter einsetzen; hierfür wird auf die jeweils aktuelle Anbieterinformation verwiesen.

1. Zweck und Geltungsbereich

BetriebPlus verarbeitet im Auftrag von Kundenbetrieben personenbezogene Daten, soweit Kunden die Web-App für ihre interne Organisation nutzen. Diese Liste benennt die hierfür unmittelbar eingesetzten Unterauftragsverarbeiter und technischen Dienstleister, beschreibt deren Zweck, den möglichen Datenbezug sowie relevante Verarbeitungsorte und Transfergrundlagen.

Die Einordnung richtet sich nach der tatsächlichen Verarbeitung. Ein Anbieter kann zugleich technische Infrastruktur bereitstellen und – soweit er dabei personenbezogene Kundendaten im Auftrag verarbeitet – Unterauftragsverarbeiter im Sinne von Art. 28 DSGVO sein.

Abgrenzung. Nicht aufgeführt werden reine Entwicklungswerkzeuge oder sonstige Anbieter, an die bestimmungsgemäß keine produktiven Kunden- oder Beschäftigtendaten übermittelt werden. Werden neue produktive Anbieter eingeführt, wird diese Liste vor oder spätestens mit deren Einsatz entsprechend dem im AVV geregelten Änderungsverfahren aktualisiert.

2. Aktuell eingesetzte Anbieter

Die Übersicht beschreibt direkte BetriebPlus-Anbieter. Unterauftragsverarbeiter dieser Anbieter werden nicht als eigene BetriebPlus-Vertragspartner dargestellt; maßgeblich sind deren jeweils aktuelle Subprozessorlisten.

3. Anbieterprofile

3.1 Vercel Inc.

Vercel stellt die Hosting- und Laufzeitplattform für die öffentliche Website und die BetriebPlus-Web-App bereit. Dazu gehören insbesondere Deployment, CDN-Auslieferung, die Ausführung serverseitiger Next.js-Funktionen und technische Runtime-Logs.

• Eingesetzt wird der Vercel-Plan Pro.
• Dynamische BetriebPlus-Funktionen sind auf die Region fra1 (Frankfurt, EU) konfiguriert.
• Das CDN ist global verteilt; Vercel ist ein US-Unternehmen und kann internationale Verarbeitungsvorgänge einbeziehen.
• Es ist nicht vorgesehen, Passwörter, Geheimnisse oder unnötige personenbezogene Inhalte in Runtime- oder Build-Logs zu schreiben.
• Vercel führt eine eigene, laufend aktualisierte Liste seiner Unterauftragsverarbeiter.

Vertrags- und Transferrahmen: Vercel-DPA für Pro-/Enterprise-Kunden; DPF und Standardvertragsklauseln soweit anwendbar.

3.2 Supabase Pte. Ltd.

Supabase stellt die zentrale Datenbank- und Authentifizierungsinfrastruktur bereit. Zusätzlich werden plattformbezogene Logs, Backups und – für hierfür freigeschaltete Module – privater Object Storage verwendet.

• Primäre Projektregion der BetriebPlus-Produktionsumgebung: Frankfurt / EU (eu-central-1).
• Supabase Auth verarbeitet insbesondere E-Mail-Adressen, Auth-IDs, Passwort-Hashes, Sessions und Login-Ereignisse.
• Die PostgreSQL-Datenbank verarbeitet die fachlichen Betriebs- und Nutzerdaten der App.
• Für freigeschaltete Module wird privater Supabase Storage verwendet. Dazu zählen E-Rechnungsoriginale und optional je Information ein Bild (JPEG/PNG/WebP, maximal 4 MiB). Info-Bilder werden nur nach serverseitiger Berechtigungsprüfung ausgeliefert. Die Funktion wird erst mit ihrer Freischaltung eingesetzt.
• Der Bildspeicher verwendet denselben Supabase-Auftragsverarbeiter; ein zusätzlicher direkter Anbieter wird dadurch nicht eingeführt.
• Der Vertragspartner hat Sitz in Singapur; Support-, Plattform- oder Unterauftragsverarbeitung kann zusätzliche Drittlandbezüge verursachen.

Vertrags- und Transferrahmen: Supabase-DPA über die Supabase-AGB (DPA-Fassung vom 01.06.2026) mit EU-Standardvertragsklauseln; ergänzende Transfer-Impact-Prüfung und technische Schutzmaßnahmen.

3.3 IONOS SE

IONOS wird für den transaktionalen E-Mail-Versand sowie für die Support-Mailbox von BetriebPlus eingesetzt. Hierüber werden insbesondere Einladungs-, Passwort-Reset- und System-E-Mails versendet sowie Supportanfragen empfangen.

• Supportkommunikation soll keine Passwörter, Diagnosen, medizinischen Unterlagen oder ungeschwärzten sensiblen Screenshots enthalten.
• Abgeschlossene Supportkommunikation wird nach der internen Aufbewahrungsregel grundsätzlich nicht unbegrenzt vorgehalten.
• IONOS verwaltet eine eigene Liste eingesetzter Unterauftragnehmer; diese wird im Rahmen der regelmäßigen Anbieterprüfung berücksichtigt.

Vertragsrahmen: IONOS-AVV, abgeschlossen am 12.06.2026, Teil der IONOS-AGB.

3.4 UptimeRobot s. r. o.

UptimeRobot wird nach AVV Anlage 3 B als technischer Dienstleister ohne planmäßigen Zugriff auf Kundeninhalte zur Verfügbarkeitsüberwachung ausgewählter öffentlicher BetriebPlus-Endpunkte eingesetzt. Das Monitoring ist so ausgestaltet, dass keine eigentlichen App-Inhalte oder Beschäftigtendaten an den Dienst übertragen werden.

• Überwacht werden insbesondere Erreichbarkeit, Antwortstatus und Reaktionszeiten.
• Verarbeitet werden technische Monitoring- und Kontaktdaten; besondere Kategorien personenbezogener Daten sind nicht vorgesehen.
• UptimeRobot nennt primäre Verarbeitung in der EU und zusätzliche US-Unterauftragsverarbeiter für einzelne Infrastrukturleistungen. Die veröffentlichte DPA-Fassung ist Version 2.2 vom 28. August 2026.

Vertrags- und Transferrahmen: UptimeRobot DPA Version 2.2 vom 28. August 2026; Standardvertragsklauseln für einschlägige Drittlandtransfers.

4. Drittlandübermittlungen

BetriebPlus trifft keine pauschale Aussage, dass sämtliche Daten ausschließlich innerhalb der EU oder des EWR verarbeitet werden. Die primären App- und Datenbankpfade werden soweit möglich in europäischen Regionen betrieben; einzelne Anbieter haben jedoch ihren Sitz in Drittländern oder setzen internationale Unterauftragsverarbeiter ein.

Schutzmechanismen. Drittlandverarbeitungen werden nur auf Grundlage eines zulässigen Transfermechanismus eingesetzt. Je nach Anbieter kommen insbesondere ein Angemessenheitsbeschluss, das EU-U.S. Data Privacy Framework und/oder die EU-Standardvertragsklauseln sowie ergänzende Transfer-Impact-Prüfungen und technische bzw. organisatorische Maßnahmen in Betracht.

Für BetriebPlus sind insbesondere der US-Bezug von Vercel, der Vertragspartner-Sitz von Supabase in Singapur sowie einzelne US-Unterauftragsverarbeiter von UptimeRobot relevant. Die jeweils geltende rechtliche und vertragliche Absicherung wird im internen Transferregister und in der TIA-Dokumentation gepflegt.

5. Unterauftragsverarbeiter der Anbieter

Die oben genannten Anbieter können zur Leistungserbringung weitere Unterauftragsverarbeiter einsetzen. Da sich diese Listen unabhängig von BetriebPlus ändern können, werden sie nicht statisch vollständig in diesem Dokument wiederholt. Maßgeblich sind die aktuellen Anbieterlisten sowie die im jeweiligen DPA vorgesehenen Informations- und Widerspruchsmechanismen.

6. Nicht als direkte Unterauftragsverarbeiter eingesetzt

Nach dem derzeitigen Produktstand werden folgende Kategorien nicht als direkte BetriebPlus-Unterauftragsverarbeiter für Kundendaten eingesetzt:

• Werbe- oder Retargetingdienste und Produktanalyse-Tracker
• externer Consent-Manager für nicht notwendige Trackingtechnologien
• externer Error-Tracking-Dienst wie Sentry als direkter BetriebPlus-Vertragspartner
• Zahlungsdienstleister für automatisiertes Billing
• externer Push-Dienst für Hintergrundbenachrichtigungen
• KI-Dienste zur Verarbeitung von Kunden-, Beschäftigten- oder Chatdaten

Dass einzelne direkte Anbieter solche Unternehmen ihrerseits als eigene Unterauftragsverarbeiter einsetzen, ist hiervon zu unterscheiden und wird über deren Anbieterlisten erfasst.

GitHub wird für Quellcode und Entwicklungsworkflow eingesetzt. Produktive Kunden-, Beschäftigten- oder Rechnungsdaten, Datenbank-Dumps und Secrets sind dort kein zulässiger Inhalt. GitHub wird deshalb im vorgesehenen Betriebsmodell nicht allein wegen der Repository-Nutzung als Unterauftragsverarbeiter für Kundendaten geführt.

7. Änderung und Information

Der Einsatz neuer oder der Ersatz bestehender Unterauftragsverarbeiter richtet sich nach dem Vertrag zur Auftragsverarbeitung. BetriebPlus informiert Auftraggeber nach dem dort vereinbarten Änderungsverfahren. Im Regelfall erfolgt die Information mit angemessenem Vorlauf; soweit vorgelagerte Anbieter eine entsprechend lange Vorankündigung ermöglichen, grundsätzlich mindestens 30 Kalendertage vor dem Einsatz. Bei kurzfristigen Anbieteränderungen erfolgt die Information unverzüglich nach Kenntnis unter Wahrung der vertraglichen Rechte des Auftraggebers.

• Der Auftraggeber kann aus angemessenen datenschutzrechtlichen Gründen widersprechen.
• BetriebPlus prüft Einwände und versucht, eine zumutbare Lösung zu finden.
• Neue produktive Anbieter werden intern vor ihrer Aktivierung auf DPA/AVV, Sicherheit, Unterauftragsverarbeiter und Drittlandtransfers geprüft.
• Diese Liste wird bei wesentlichen Anbieter- oder Architekturänderungen aktualisiert.

8. Datenschutzkontakt

Fragen zu dieser Liste oder zu Unterauftragsverarbeitern können gerichtet werden an:

• Datenschutz: datenschutz@betriebplus.com
• Support: support@betriebplus.com

9. Quellen und Dokumentationsstand

Die folgenden offiziellen Anbieterinformationen wurden für diese Fassung herangezogen. Für die Vertragsakte werden maßgebliche DPA-/AVV-Fassungen und relevante Anbieterlisten zusätzlich intern archiviert.

Versionshinweis. Diese Fassung ersetzt Version 1.2 vom 25. September 2026. Sie gleicht die Liste mit Anlage 3 des AVV Version 3.5 vom 23. Oktober 2026 ab: Vertragsstatus von Supabase und IONOS, Vercel-Plan und Regionen sowie die Einordnung von UptimeRobot. Es wird kein neuer direkter Unterauftragsverarbeiter eingeführt.

Frühere Änderung (Version 1.2): Beschreibung des optionalen privaten Supabase-Speichers für Info-Bilder.

Frühere Änderung (Version 1.0): Aktualisierung der Vercel-Region auf Frankfurt, Aktualisierung des Supabase- und IONOS-Vertragsstatus, Aufnahme von Supabase Storage für freigeschaltete Module, Aufnahme von UptimeRobot sowie Entfernung interner Freigabe- und Prüfanweisungen aus der Kundenversion.

Diese Liste ist eine Anlage zum Vertrag zur Auftragsverarbeitung und ergänzt dessen Anlage 3. Weitere Angaben zur Datenverarbeitung enthält die Datenschutzerklärung.