Anlage 3 — Unterauftragsverarbeiter

Mit Abschluss des AVV genehmigt der Verantwortliche die folgenden Unterauftragsverarbeiter. Änderungen werden nach § 5.2 AVV mit 30 Tagen Vorlauf angekündigt.

1. Genehmigte Unterauftragsverarbeiter

Anbieter und Sitz	Leistung	Verarbeitete Daten	Ort der Verarbeitung
Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland	Betrieb der Server für Anwendung, Datenbank (Appwrite), Zwischenspeicher (Redis), Fehlerprotokollierung (GlitchTip) und Reichweitenmessung (Umami)	alle in Anlage 1 genannten Daten	Deutschland
Cloudflare Germany GmbH / Cloudflare, Inc., Objektspeicher R2	Verschlüsselte Sicherungskopien von Datenbank und Dateiablage	alle in Anlage 1 genannten Daten	Standortvorgabe `EEUR` (Osteuropa), siehe Abschnitt 3
Resend, Inc., Vereinigte Staaten	Versand von E-Mails über das Relay der Plattform — nur dort, wo der Verantwortliche keinen eigenen Mailzugang hinterlegt hat	Name, E-Mail-Adresse, Inhalt und Zustellstatus der Nachricht	USA, siehe Abschnitt 3
Hetzner Object Storage (vorgesehen)	Ablage und Auslieferung von Vortragsaufzeichnungen	Bild- und Tonaufnahmen von Vortragenden, Metadaten	Deutschland — noch nicht produktiv; vor Inbetriebnahme wird diese Anlage aktualisiert

Selbst betrieben und deshalb keine Unterauftragsverarbeitung: die Datenbank (Appwrite), die Fehlerprotokollierung (GlitchTip), die Reichweitenmessung (Umami) und der Zwischenspeicher (Redis) laufen auf der oben genannten Infrastruktur unter eigener Verwaltung. Es gibt keine gemanagte Cloud dahinter.

Ebenfalls keine externe Verarbeitung: Schriftarten werden beim Erstellen der Anwendung mitgeliefert und vom eigenen Server ausgeliefert; es findet kein Aufruf einer fremden Schriftart- oder Skriptquelle im Browser der Nutzenden statt.

2. Nachrichtlich: Dienste des Verantwortlichen

Keine Unterauftragsverarbeiter von eventOz. Der Verantwortliche beauftragt sie selbst und schließt, soweit erforderlich, eigene Verträge ab. Aufgeführt, damit das Bild vollständig ist.

Anbieter	Rolle	Auslöser
Wonderful Ventures Ltd (Ticket Tailor), Vereinigtes Königreich	Ticketverkauf; Auftragsverarbeiter des Verantwortlichen. eventOz liest über den hinterlegten Schlüssel Ticket- und Käuferdaten. Vereinigtes Königreich: Angemessenheitsbeschluss der Kommission	Nutzung des externen Ticketsystems
Stripe Payments Europe, Ltd., Irland	Zahlungsabwicklung über das Stripe-Konto des Verantwortlichen (Connect Standard); eigenverantwortlich für Zahlungsdaten	Nutzung der integrierten Kasse
Google Ireland Ltd. (YouTube) / Vimeo.com, Inc., USA / BunnyWay d.o.o., Slowenien	Auslieferung eingebetteter Videos; die Verbindung entsteht direkt vom Endgerät der Nutzenden	Einbettung durch den Verantwortlichen
Ausstellende und sponsernde Unternehmen	Eigene Verantwortliche für übergebene Leads	Scan am Stand mit Bestätigung
Empfänger von Webhooks, API-Zugängen und CSV-Exporten	Vom Verantwortlichen bestimmt	Einrichtung durch den Verantwortlichen
Vom Verantwortlichen beigestellter Versanddienst (etwa Mailjet SAS, Frankreich)	Mailversand für seine Veranstaltungen. Der Zugang wird vom Verantwortlichen hinterlegt; der Anbieter ist damit dessen Auftragsverarbeiter, nicht der von eventOz. Solange der Zugang hinterlegt ist, läuft der Versand darüber und nicht über das Relay der Plattform	Konfiguration eines eigenen SMTP-Zugangs

3. Übermittlung in Drittländer

Der laufende Betrieb findet in der Europäischen Union statt. Zwei Punkte sind gesondert zu bewerten:

Sicherungskopien. Der Objektspeicher ist mit der Standortvorgabe EEUR (Osteuropa) angelegt; die Sicherungen liegen damit in Europa und nicht mehr an einem automatisch gewählten Ort. Zwei Einschränkungen bleiben und sind hier festgehalten, weil Sicherungen den vollständigen Datenbestand enthalten:

Die Standortvorgabe ist ein Hinweis an den Anbieter, keine vertraglich zugesicherte Grenze, und die Region Osteuropa ist nicht deckungsgleich mit dem EWR. Wer eine harte Zusicherung braucht, legt den Ablageort mit der ausdrücklichen Gerichtsstandsbindung „EU” an — eine eigene Einstellung, die nur beim Anlegen des Ablageorts gesetzt werden kann. Eine Umstellung wird geprüft; bis dahin gilt die vertragliche Absicherung unten.
Der Anbieter ist ein US-Unternehmen mit europäischer Tochtergesellschaft; ein Zugriff im Rahmen von Fernwartung und Support ist damit nicht ausgeschlossen.

Die Übermittlung stützt sich auf die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, die Bestandteil des Auftragsverarbeitungsvertrags des Anbieters sind. Die Daten sind im Ruhezustand verschlüsselt und nur über ein auf den Ablageort beschränktes Token zugänglich.

E-Mail-Versand über das Relay der Plattform. Resend, Inc. hat seinen Sitz in den Vereinigten Staaten. Übermittelt werden Empfängeradresse, Absender und Nachrichteninhalt — bei Anmeldemails also auch der Anmeldelink. Grundlage sind die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO aus dem Auftragsverarbeitungsvertrag des Anbieters. Hat der Verantwortliche einen eigenen Versanddienst hinterlegt, ist dieser Weg für seine Veranstaltungen weitgehend nicht in Verwendung. Eine Ausnahme bleibt: Eine Anmeldung, die nicht von einer Veranstaltungsadresse ausgeht — die allgemeine Anmeldeseite /signin — kennt die Organisation im Moment des Versands noch nicht und geht deshalb über das Relay der Plattform. Übermittelt werden dabei die Adresse und der Anmeldelink, kein Veranstaltungsinhalt. Eine Umstellung auf eine EU-Region des Anbieters wird geprüft.

Eingebettete Videos. Bindet der Verantwortliche Inhalte von YouTube oder Vimeo ein, baut der Browser der Nutzenden eine Direktverbindung zum jeweiligen Anbieter auf, einschließlich IP-Adresse. Die Entscheidung darüber trifft der Verantwortliche; er hat die Rechtsgrundlage und die Information der Betroffenen sicherzustellen. Aufzeichnungen, die in den eigenen Objektspeicher hochgeladen werden, sind davon nicht betroffen.

4. Prüfung der Unterauftragsverarbeiter

Vor Beauftragung werden Sitz, Auftragsverarbeitungsvertrag, technische und organisatorische Maßnahmen sowie die Regelung von Drittlandsübermittlungen geprüft. Die Prüfung wird jährlich wiederholt und dokumentiert. Nachweisunterlagen werden dem Verantwortlichen auf Anfrage vorgelegt.