Auftragsverarbeiter & Unterauftragnehmer

Grundsätze unserer Dienstleisterauswahl

Wir wählen Dienstleister nach drei Kriterien: Verarbeitung möglichst in der EU, Vertrag nach Art. 28 DSGVO mit dokumentierten technischen und organisatorischen Maßnahmen, und Datensparsamkeit – jeder Dienst erhält nur die Daten, die für seine Aufgabe erforderlich sind. Vertrauliche Kundeninhalte werden vor der Übermittlung an KI-Dienste pseudonymisiert oder entfernt, soweit vertraglich nichts anderes vereinbart ist.

Hosting & Infrastruktur

Hetzner Online GmbH, Gunzenhausen (Deutschland): Betrieb der Server für Website und Kundenbereich in deutschen Rechenzentren; Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht. Cloudflare Inc. (USA/EU): DNS, TLS-Terminierung und Schutz vor Überlastangriffen; Übermittlung auf Grundlage der EU-Standardvertragsklauseln und des EU-U.S. Data Privacy Framework, soweit Daten die EU verlassen.

Zahlungsdienstleister

Stripe Payments Europe Ltd. (Irland), PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg) und Mollie B.V. (Niederlande) verarbeiten Zahlungsdaten in eigener datenschutzrechtlicher Verantwortung; wir erhalten und speichern keine vollständigen Kartendaten. Die Auswahl der Zahlart liegt bei Ihnen im Bestellvorgang.

KI-Werkzeuge in der Leistungserbringung

Für maschinelle Übersetzung setzen wir DeepSeek als Werkzeug ein, für Bildgenerierung Magnific/Freepik. Übermittelt werden ausschließlich die zu übersetzenden bzw. zu bebildernden Inhalte – ohne Kundenstammdaten, ohne Zugangsdaten und, bei vertraulichen Projekten, nach Pseudonymisierung sensibler Passagen. Ergebnisse durchlaufen stets menschliche Prüfung, bevor sie Kunden erreichen.

Analyse & Werbung (nur nach Einwilligung)

Google Ireland Ltd. für Google Analytics 4 und Google-Ads-Messung – ausschließlich nach Ihrer Einwilligung über den Cookie-Dialog; Details in der Cookie-Richtlinie. Für den E-Mail-Versand von Anmeldelinks des Kundenbereichs nutzen wir eigene Serverinfrastruktur.

Änderungen dieser Liste

Kommt ein Dienstleister hinzu oder entfällt einer, aktualisieren wir diese Seite. Kunden mit Auftragsverarbeitungsvertrag informieren wir über wesentliche Änderungen vorab und räumen die vertraglich vereinbarten Widerspruchsrechte ein.

Praxisbeispiel Schritt für Schritt

Stellen Sie sich vor, Sie beauftragen uns mit der Übersetzung Ihrer Unternehmenswebseite. Zunächst bereiten wir die Inhalte auf: Wir extrahieren die Texte aus Ihrem Content-Management-System und entfernen vertrauliche Kundenstammdaten wie Namen oder direkte Kontaktdaten, die nicht zum Übersetzungsgegenstand gehören. Die zu übersetzenden Textbausteine werden pseudonymisiert, indem wir etwa Firmennamen durch Platzhalter ersetzen, sofern dies vertraglich nicht anders geregelt ist.

Anschließend übermitteln wir die aufbereiteten Inhalte an DeepSeek, unseren Auftragsverarbeiter für maschinelle Übersetzung. DeepSeek erhält dabei ausschließlich die reinen Textdateien – ohne Metadaten Ihres Benutzerkontos, ohne Zugangsdaten und ohne Informationen zur Zahlungsabwicklung. Nach der maschinellen Übersetzung prüft ein menschlicher Redakteur das Ergebnis auf Richtigkeit und Stimmigkeit. Erst nach dieser Qualitätssicherung wird die Übersetzung an Sie ausgeliefert.

Parallel dazu kann für die Bebilderung Magnific oder Freepik eingesetzt werden. Auch hier gilt: Nur die Bildmotive werden übermittelt, keine personenbezogenen Daten. Die gesamte Kette ist durch Auftragsverarbeitungsverträge und technisch-organisatorische Maßnahmen abgesichert. Sollten Sie eine Zahlung leisten, wickeln Stripe, PayPal oder Mollie die Transaktion in eigener Verantwortung ab – wir speichern keine vollständigen Kartendaten.

Häufige Missverständnisse

Ein verbreitetes Missverständnis betrifft die Rolle von Cloudflare: Viele gehen davon aus, Cloudflare sei Auftragsverarbeiter – das ist es nur für die Infrastrukturleistungen wie DNS und TLS. Tatsächlich verarbeitet Cloudflare als Fulfillment-Dienstleister im Rahmen des Content Deliverys keine personenbezogenen Daten über den technischen Verbindungsaufbau hinaus. Wir haben mit Cloudflare Standardvertragsklauseln abgeschlossen, und die Datenverarbeitung beschränkt sich auf IP-Adressen und Browserkennungen zur Sicherstellung der Website-Verfügbarkeit.

Ein weiteres Missverständnis: Dass Analyse-Tools wie Google Analytics 4 automatisch aktiv seien. Das Gegenteil ist der Fall: Sie werden erst nach Ihrer ausdrücklichen Einwilligung über den Cookie-Dialog geladen. Ohne Einwilligung erfolgt keine Datenübermittlung an Google Ireland Ltd. zu Analyse- oder Werbezwecken. Auch die Zahlungsdienstleister handeln eigenverantwortlich – wir geben keine Kundenprofile weiter, sondern lediglich die für die Transaktion notwendigen Daten.

Schließlich wird oft angenommen, KI-Werkzeuge hätten Zugriff auf das gesamte Kundenprojekt. Tatsächlich erhalten sie nur die konkret zu bearbeitenden Inhalte – und das in pseudonymisierter Form, wenn vertragliche Vertraulichkeitsvereinbarungen bestehen. Eine vollständige Offenlegung von Projektinhalten findet nicht statt.

Zusammenspiel mit unseren anderen Richtlinien

Die Liste der Auftragsverarbeiter und Unterauftragnehmer ist ein zentrales Puzzleteil unseres Datenschutzkonzepts, das mit anderen Richtlinien verzahnt ist. In unserer Datenschutzerklärung erfahren Sie, welche Rechte Sie als betroffene Person haben und wie Sie diese geltend machen – etwa Auskunft, Berichtigung oder Löschung Ihrer Daten. Dort stehen auch die Kontaktdaten unseres Datenschutzbeauftragten.

Unsere Cookie-Richtlinie ergänzt die Liste der Auftragsverarbeiter, indem sie detailliert beschreibt, welche Dienste auf der Website nach Ihrer Einwilligung aktiv werden – insbesondere Google Analytics 4 und Google Ads. Die Einwilligung wird über den Cookie-Dialog verwaltet, und Sie können sie jederzeit widerrufen.

Im Auftragsverarbeitungsvertrag (AVV), den wir mit unseren Kunden schließen, ist festgelegt, welche Daten wir in welchem Umfang verarbeiten dürfen. Die hier genannten Unterauftragnehmer sind dort entweder bereits benannt oder werden als Kategorie (z. B. „Hosting-Dienstleister“) aufgeführt. Bei wesentlichen Änderungen – etwa dem Hinzukommen oder Wegfall eines Dienstleisters – informieren wir Sie vorab und räumen Ihnen das vertraglich vereinbarte Widerspruchsrecht ein.

So stellen wir sicher, dass alle Richtlinien nahtlos ineinandergreifen und Sie jederzeit nachvollziehen können, wer welche Daten zu welchem Zweck verarbeitet.

Praxisbeispiel Schritt für Schritt

Nehmen wir an, Sie beauftragen uns mit der Übersetzung Ihrer Unternehmenswebseite. Der Ablauf beginnt mit der Aufbereitung der Inhalte: Wir extrahieren die Texte aus Ihrem Content-Management-System und entfernen vertrauliche Kundenstammdaten wie Namen oder direkte Kontaktdaten, die nicht zum Übersetzungsgegenstand gehören. Anschließend pseudonymisieren wir die zu übersetzenden Textbausteine, indem wir etwa Firmennamen durch Platzhalter ersetzen, sofern dies vertraglich nicht anders geregelt ist. In diesem vorbereiteten Zustand übermitteln wir die Inhalte an DeepSeek, unseren Auftragsverarbeiter für maschinelle Übersetzung. DeepSeek erhält ausschließlich die reinen Textdateien – ohne Metadaten Ihres Benutzerkontos, ohne Zugangsdaten und ohne Informationen zur Zahlungsabwicklung. Nach der maschinellen Übersetzung prüft ein menschlicher Redakteur das Ergebnis auf Richtigkeit und Stimmigkeit. Erst nach dieser Qualitätssicherung wird die Übersetzung an Sie ausgeliefert. Parallel kann für die Bebilderung Magnific oder Freepik eingesetzt werden. Auch hier gilt: Nur die Bildmotive werden übermittelt, keine personenbezogenen Daten. Die gesamte Kette ist durch Auftragsverarbeitungsverträge und technisch-organisatorische Maßnahmen abgesichert. Sollten Sie eine Zahlung leisten, wickeln Stripe, PayPal oder Mollie die Transaktion in eigener Verantwortung ab – wir speichern keine vollständigen Kartendaten. Dieses konkrete Beispiel zeigt, wie Datensparsamkeit und unsere vertraglichen Verpflichtungen bereits im normalen Projektablauf umgesetzt werden.

Häufige Missverständnisse

Ein häufiges Missverständnis ist die Annahme, dass wir Ihre Inhalte ungeschützt an Drittanbieter weitergeben. Tatsächlich bereiten wir die zu übermittelnden Daten stets so auf, dass nur das Nötigste übermittelt wird: Bei der Nutzung von KI-Werkzeugen wie DeepSeek erhalten diese ausschließlich die reinen Textbausteine, nicht aber Ihre Zugangsdaten, Kundenstammdaten oder Zahlungsinformationen. Ebenso ist zu beachten, dass Zahlungsdienstleister wie Stripe, PayPal und Mollie nicht als unsere Auftragsverarbeiter, sondern als eigenständige Verantwortliche handeln – wir speichern keine vollständigen Kartendaten. Ein weiteres Missverständnis betrifft die Speicherorte: Unsere Server laufen bei Hetzner in Deutschland, während Cloudflare für DNS und Schutz zuständig ist. Sollten Daten die EU verlassen, geschieht dies auf Grundlage der EU-Standardvertragsklauseln und des EU-U.S. Data Privacy Framework. Schließlich ist nicht allen bewusst, dass Analyse- und Werbedienste wie Google Analytics nur nach Ihrer Einwilligung über den Cookie-Dialog eingesetzt werden. Diese Klarstellungen helfen, das Vertrauen in die Datenverarbeitung bei uns zu stärken.

Was das für Kunden konkret bedeutet

Die hier veröffentlichte Liste unserer Auftragsverarbeiter und Unterauftragnehmer gibt Ihnen als Kunden einen transparenten Überblick darüber, welche Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeiten. Sie können jederzeit nachvollziehen, wer Ihre Daten zu welchem Zweck erhält und auf welcher rechtlichen Grundlage dies geschieht. Für Kunden, die mit uns einen Auftragsverarbeitungsvertrag geschlossen haben, enthält diese Seite die wesentlichen Informationen, die zur Erfüllung Ihrer eigenen Dokumentationspflichten nach Art. 28 DSGVO erforderlich sind.

In der Praxis bedeutet dies: Wenn Sie uns mit der Lokalisierung Ihrer Website beauftragen, wissen Sie, dass die dafür erforderlichen Texte an DeepSeek zur maschinellen Übersetzung übermittelt werden – jedoch in pseudonymisierter Form und nur nach Abschluss eines Auftragsverarbeitungsvertrags. Sie können sich darauf verlassen, dass Ihre Inhalte nicht für andere Zwecke genutzt werden. Sollten sich Änderungen in der Liste ergeben, informieren wir Sie rechtzeitig, sodass Sie gegebenenfalls Widerspruch einlegen können. Ihre Rechte auf Auskunft, Berichtigung und Löschung bleiben durch die Zusammenarbeit mit unseren Dienstleistern unberührt.

Interner Ablauf bei uns

Bevor wir einen neuen Dienstleister als Auftragsverarbeiter einsetzen, durchläuft dieser einen standardisierten Prüfprozess. Zunächst bewerten wir, ob die Verarbeitung tatsächlich notwendig ist und ob sie nicht durch eigene Mittel effizienter oder datenschutzfreundlicher erfolgen kann. Anschließend fordern wir vom Dienstleister eine detaillierte Beschreibung seiner technischen und organisatorischen Maßnahmen (TOM) an. Auf dieser Basis prüfen wir, ob die Datensicherheit dem Stand der Technik entspricht und ob die Daten ausschließlich im EWR oder in einem Drittland mit angemessenem Schutzniveau verarbeitet werden.

Nach erfolgreicher Prüfung schließen wir einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO ab, der die genauen Verarbeitungszwecke, die Kategorien personenbezogener Daten, die Dauer und die Pflichten des Dienstleisters festlegt. Alle Verträge werden zentral dokumentiert und regelmäßig auf Aktualität geprüft. Bei wesentlichen Änderungen – etwa einem Standortwechsel des Dienstleisters – informieren wir unsere Kunden mit Auftragsverarbeitungsvertrag vorab und räumen ein Widerspruchsrecht ein. Die gesamte Auswahl und Überwachung erfolgt durch unsere Datenschutzabteilung in enger Abstimmung mit der IT.

Begriffe verständlich erklärt

Auftragsverarbeiter: Ein Dienstleister, der in unserem Auftrag personenbezogene Daten verarbeitet, ohne diese für eigene Zwecke zu nutzen. So verarbeitet beispielsweise Hetzner als Hosting-Dienstleister Ihre Daten auf unseren Servern – aber nur nach unseren Weisungen. Die rechtliche Grundlage ist ein Vertrag nach Art. 28 DSGVO.

Unterauftragnehmer: Ein vom Auftragsverarbeiter beauftragtes Unternehmen, das wiederum Teile der Datenverarbeitung übernimmt. In unserer Kette gibt es derzeit keine Unterauftragnehmer; alle genannten Dienste sind direkt von uns beauftragt.

Standardvertragsklauseln (SCC): Von der EU-Kommission erlassene Vertragsklauseln, die ein angemessenes Datenschutzniveau bei der Übermittlung personenbezogener Daten in Drittländer sicherstellen sollen. Sie werden eingesetzt, wenn kein Angemessenheitsbeschluss vorliegt.

Pseudonymisierung: Die Ersetzung identifizierender Merkmale durch ein Pseudonym, sodass ein Bezug zur betroffenen Person nur mit zusätzlichem Wissen möglich ist. In der Praxis ersetzen wir vor der Übermittlung an KI-Dienste Namen oder konkrete Firmenbezeichnungen durch Platzhalter, um die Datenmenge zu minimieren.

Technisch-organisatorische Maßnahmen (TOM): Sicherheitsvorkehrungen wie Verschlüsselung, Zugriffskontrollen oder Firewalls, die in Auftragsverarbeitungsverträgen dokumentiert werden.

Häufige Missverständnisse

Im Umgang mit Auftragsverarbeitern und Unterauftragnehmern begegnen uns immer wieder typische Fehlvorstellungen. Ein verbreitetes Missverständnis ist die Annahme, dass jeder Dienstleister, der in der Leistungserbringung involviert ist, automatisch ein Auftragsverarbeiter sei. Tatsächlich unterscheidet die DSGVO zwischen Auftragsverarbeitern (die Daten nach Weisung des Verantwortlichen verarbeiten) und eigenständig Verantwortlichen (wie Zahlungsdienstleister, die Daten für eigene Zwecke nutzen). Wir weisen daher in unserer Liste explizit darauf hin, wenn ein Dienstleister in eigener Verantwortung handelt. Ein weiteres Missverständnis betrifft die geografische Grenze der Datenverarbeitung. Viele Kunden gehen davon aus, dass eine Verarbeitung außerhalb der EU generell unzulässig sei. Richtig ist, dass Übermittlungen in Drittländer nur unter bestimmten Garantien erfolgen dürfen, etwa durch Standardvertragsklauseln oder Angemessenheitsbeschlüsse. Wir dokumentieren diese Grundlagen für jeden Dienstleister transparent. Auch die Rolle von Künstlicher Intelligenz wird oft falsch eingeschätzt. Manche Kunden befürchten, dass KI-Werkzeuge wie DeepSeek automatisch Zugriff auf sämtliche Kundendaten erhalten. Tatsächlich beschränken wir die Übermittlung strikt auf das für die Dienstleistung notwendige Minimum und pseudonymisieren sensible Inhalte vorab. Nicht zuletzt herrscht Unsicherheit über die Dauer der Auftragsverarbeitungsverträge: Diese gelten nicht unbegrenzt, sondern enden mit der Beendigung des Hauptvertrags oder werden regelmäßig aktualisiert. Wir klären diese Punkte bei Vertragsschluss und bei wesentlichen Änderungen.

Was das für Kunden konkret bedeutet

Die transparente Darstellung unserer Auftragsverarbeiter und Unterauftragnehmer hat für Sie als Kunden mehrere praktische Auswirkungen. Erstens können Sie jederzeit nachvollziehen, welche Dienstleister in welcher Rolle an der Erbringung unserer Leistungen beteiligt sind. Dies erleichtert Ihnen die Erfüllung eigener Datenschutzpflichten, insbesondere wenn Sie Ihrerseits gegenüber Ihren Endkunden Auskunft über die Verarbeitung personenbezogener Daten geben müssen. Zweitens sind Sie durch die bestehenden Auftragsverarbeitungsverträge rechtlich abgesichert: Sollte es bei einem unserer Dienstleister zu einer Datenschutzverletzung kommen, haften wir als Verantwortlicher – nicht Sie. Drittens profitieren Sie von einer reduzierten Datenexposition: Indem wir Daten nur pseudonymisiert oder auf das Nötigste beschränkt an Unterauftragnehmer weitergeben, minimieren wir das Risiko für Ihre vertraulichen Informationen. Viertens bedeutet die Wahl von Dienstleistern mit Sitz in der EU oder mit gleichwertigen Datenschutzstandards, dass für Sie kein zusätzlicher bürokratischer Aufwand entsteht, etwa durch die Notwendigkeit eigener Zusatzvereinbarungen. Fünftens können Sie bei Vertragsabschluss mit uns individuelle Wünsche äußern: Wenn Sie bestimmte Unterauftragnehmer ausschließen möchten, prüfen wir die technische und wirtschaftliche Machbarkeit – im Rahmen der bestehenden vertraglichen Regelungen. Sollte ein von Ihnen nicht gewünschter Dienstleister zwingend erforderlich sein, erörtern wir alternative Lösungen. Insgesamt schaffen wir so eine verlässliche Grundlage für Ihre Datenschutz-Compliance.

Interner Ablauf bei uns

Die Einbindung eines neuen Auftragsverarbeiters oder Unterauftragnehmers durchläuft bei der Baduno GmbH einen festgelegten internen Prozess. Zunächst prüft das Compliance-Team den potenziellen Dienstleister anhand unserer Auswahlkriterien: Sitz in der EU oder Drittland mit angemessenem Datenschutzniveau, Nachweis technisch-organisatorischer Maßnahmen (TOMs) und Bereitschaft zum Abschluss eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. Anschließend wird eine datenschutzrechtliche Folgenabschätzung (DPIA) durchgeführt, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat – etwa bei umfangreicher Verarbeitung besonderer Kategorien von Daten. Nach positivem Prüfergebnis wird der Auftragsverarbeitungsvertrag geschlossen, der unter anderem die Weisungsgebundenheit, die Pflicht zur Vertraulichkeit und die Löschfristen regelt. Parallel passt unsere IT-Abteilung die technischen Schnittstellen an, um eine datensparsame Übermittlung zu gewährleisten. Vor dem produktiven Einsatz testen wir die Implementierung in einer isolierten Umgebung. Ist der Dienstleister für die Leistungserbringung gegenüber Kunden relevant, informieren wir betroffene Kunden mit bestehenden Auftragsverarbeitungsverträgen vorab über die geplante Einbindung und räumen ggf. ein Widerspruchsrecht ein. Die laufende Überwachung erfolgt durch regelmäßige Audits und Kontrollen der TOMs, mindestens jährlich oder anlassbezogen. Änderungen an der Dienstleisterliste werden unverzüglich auf unserer Seite dokumentiert. Dieser Prozess stellt sicher, dass jeder Unterauftragnehmer denselben hohen Datenschutzstandards genügt, den wir auch intern anlegen.