Allgemeine Genehmigung
Soweit BMA Log personenbezogene Daten als Auftragsverarbeiter verarbeitet, gelten die nachfolgend genannten Anbieter – abhängig von den tatsächlich genutzten Funktionen – als Unterauftragsverarbeiter. Der AVV sieht eine allgemeine Genehmigung für diese Anbieter sowie ein Informations- und Widerspruchsverfahren bei Änderungen vor.
Aktuelle Liste
Cloudflare, Inc.
- Funktion
- Hosting- und Edge-Infrastruktur, Ausführung der Webanwendung, Datenbank- und Objektspeicherfunktionen.
- Daten
- Anwendungsdaten, Dateien, technische Verbindungs- und Sicherheitsdaten.
- Einsatz
- Grundbetrieb von BMA Log
- Drittland
- Cloudflare betreibt eine globale Infrastruktur. Internationale Verarbeitungen richten sich nach dem Cloudflare-DPA und den dort vorgesehenen Transfermechanismen.
- Anbieter-DPA
- Datenschutz-/AV-Unterlagen des Anbieters
Supabase Pte. Ltd
- Funktion
- Authentifizierung und Verwaltung der Benutzeridentität über Supabase Auth.
- Daten
- E-Mail-Adresse, Benutzer-ID, Profil-/Registrierungsmetadaten, Authentifizierungs- und MFA-Daten.
- Einsatz
- Grundbetrieb der Benutzeranmeldung
- Drittland
- Verarbeitung und mögliche Unterauftragsverarbeiter richten sich nach der projektbezogenen Supabase-Konfiguration und dem Supabase-DPA.
- Anbieter-DPA
- Datenschutz-/AV-Unterlagen des Anbieters
Plus Five Five, Inc. (Resend)
- Funktion
- Transaktionaler E-Mail-Versand, insbesondere Demoanfragen, Bestätigungen und vom Benutzer ausgelöster Berichtversand.
- Daten
- E-Mail-Adressen, Absender-/Empfängerangaben, Betreff und Nachricht; beim Berichtversand ausgewählte PDF-Anhänge.
- Einsatz
- Bei Nutzung von E-Mail-Funktionen
- Drittland
- Resend ist ein US-Anbieter. Internationale Übermittlungen werden nach Maßgabe des Resend-DPA und der dort vorgesehenen Garantien behandelt.
- Anbieter-DPA
- Datenschutz-/AV-Unterlagen des Anbieters
OpenAI Ireland Ltd.
- Funktion
- Optionale KI-Unterstützung über die OpenAI API.
- Daten
- Benutzereingabe sowie der für die Anfrage ausgewählte Anlagen-/Prüfkontext; optional Handbuch-PDF oder Foto.
- Einsatz
- Nur bei aktivierter und vom Benutzer ausgelöster KI-Funktion
- Drittland
- Für Kunden mit Sitz im EWR bzw. in der Schweiz sieht das aktuelle OpenAI-DPA OpenAI Ireland Ltd. als Vertragspartner vor. Weitere Verarbeitungen können über von OpenAI eingesetzte Unterauftragsverarbeiter erfolgen.
- Anbieter-DPA
- Datenschutz-/AV-Unterlagen des Anbieters
Unterauftragnehmer der Dienstleister
Die oben genannten Anbieter können ihrerseits weitere Unterauftragsverarbeiter einsetzen. Maßgeblich sind die jeweils vereinbarten Anbieter-DPAs und deren aktuelle Subprocessor-Listen. BMA Log prüft diese Einbindungen im Rahmen der eigenen Dienstleisterverwaltung und aktualisiert diese Liste bei für Kunden relevanten Änderungen.
Änderungen
Beabsichtigen wir, einen neuen Unterauftragsverarbeiter einzusetzen oder einen bestehenden Anbieter zu ersetzen, informieren wir betroffene Firmenkunden vor dem produktiven Einsatz in geeigneter Weise. Ein Widerspruch ist möglich, wenn ein konkreter wichtiger datenschutzrechtlicher Grund besteht.
Noch vor Pilotstart zu dokumentieren
Die konkrete Hosting-/Projektregion der produktiv verwendeten Supabase- und Cloudflare-Ressourcen wird vor dem externen Pilotbetrieb zusätzlich in der internen Dienstleisterdokumentation festgehalten. Diese Information lässt sich nicht zuverlässig allein aus dem Anwendungscode ableiten.