Zweck dieser Liste und Verhältnis zum AVV
Diese Seite führt die Subunternehmer auf, die die Activento GmbH bei der Erbringung der Plattform-Leistungen einsetzt, auch „Subprozessoren“ genannt, also weitere Auftragsverarbeiter im Sinne des Art. 28 DSGVO. Sie ist die „jeweils aktuelle Liste“ im Sinne des § 7 Absatz 1 unseres Auftragsverarbeitungsvertrags (AVV) und inhaltlich identisch mit dessen Anlage 2.
Rechtlich maßgeblich ist der AVV: Die bei Vertragsschluss genehmigte Ausgangsliste ist Anlage 2 des AVV; über die Aufnahme neuer oder die Ersetzung bestehender Subunternehmer informieren wir jeden Kunden aktiv mindestens 30 Tage vor dem geplanten Einsatz in Textform (E-Mail an die hinterlegte Adresse oder Ankündigung im Dashboard). Diese Website-Liste ist ein zusätzlicher Transparenzkanal, kein Ersatz für die aktive Benachrichtigung. Das Widerspruchsrecht richtet sich nach § 7 Absatz 2 AVV.
Grundsätze: EU-Hosting und Prüfung
Die Activento-Plattform wird ausschließlich in der Europäischen Union betrieben: Anwendung, Datenbanken und Dateispeicher (Dokumente, Medien, Datensicherungen) laufen auf Infrastruktur der Hetzner Online GmbH mit Serverstandort Deutschland. Es gibt keine US-Cloud-Infrastruktur für die Datenhaltung. Fehler-Monitoring, Warteschlangen und Metriken betreiben wir selbst auf eigener Infrastruktur. Dafür wird kein externer Dienstleister eingesetzt.
Jeder Subunternehmer wird vor dem Einsatz geprüft und vertraglich gebunden: Wir schließen mit jedem Subunternehmer einen Vertrag, der ihm die gleichen Datenschutzpflichten auferlegt wie unser AVV (Art. 28 Abs. 4 DSGVO), prüfen seine technischen und organisatorischen Maßnahmen und dokumentieren bei Drittlandbezug eine Bewertung der Übermittlung (Transfer Impact Assessment). Für die Pflichten der Subunternehmer haften wir gegenüber unseren Kunden wie für eigenes Handeln.
Eingesetzte Subunternehmer
| Subunternehmer | Leistung und Zweck | Datenkategorien | Verarbeitungsort | Drittlandtransfer |
|---|---|---|---|---|
| Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland | Hosting der Plattform: Server, Datenbanken und Objektspeicher (Dokumente, Medien, Datensicherungen). | Alle in der Plattform verarbeiteten Daten (Operator-, Nutzer-, Endkunden- und Buchungsdaten). | Deutschland (EU) | Keiner. Verarbeitung ausschließlich in der EU. |
| Brevo SAS (vormals Sendinblue), 7 rue de Madrid, 75008 Paris, Frankreich | Versand transaktionaler E-Mails (z. B. Buchungsbestätigungen an Endkunden, Konto- und Abrechnungs-E-Mails) und Empfang der an Activento gerichteten Support-E-Mails. | E-Mail-Adressen und Inhalte der versendeten und empfangenen E-Mails (Endkunden und Nutzer). | EU | Keiner. Verarbeitung in der EU. |
| Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA | Namensauflösung (DNS) für unsere Domains; Anfragen an Website und Plattform laufen nicht über Cloudflare. Bei der Prüfung einer vom Operator verbundenen eigenen Domain fragt die Plattform außerdem den öffentlichen DNS-Resolver von Cloudflare ab; übermittelt wird dabei nur der Domainname. | Angefragter Domainname und IP-Adresse des anfragenden DNS-Resolvers; keine Inhaltsdaten. | Weltweit verteilte DNS-Server; die Datenhaltung verbleibt bei Hetzner (EU). | EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework. |
| Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich | KI-gestützter Support-Assistent Activento KI (Verarbeitung von Support-Konversationen; bei aktivierter Datenabfrage auch Kunden- und Buchungsdaten des Shops) sowie maschinelle Übersetzung von Texten, die der Operator im Dashboard übersetzen lässt (Übersetzungszentrale, Ticket-Editor, Website-Builder, Angebots-Textbausteine, Sitzpläne). | Inhalte von Support-Konversationen der Nutzer; bei aktivierter Datenabfrage Buchungs-, Bestell- und Kundendaten des Operators (zum Beispiel Namen und Kontaktdaten von Gästen); zur Übersetzung übergebene Shop-Texte des Operators (Produkt-, E-Mail-, Website-, Ticket- und Sitzplan-Texte, die personenbezogene Daten wie Namen von Mitarbeitern enthalten können; keine Rechtstexte und keine Bankdaten). | EU | Keiner. Verarbeitung in der EU. |
| Expo (650 Industries, Inc.), 624 University Avenue, Palo Alto, CA 94301, USA | Zustellung von Push-Benachrichtigungen an Geräte der Nutzer des Operators (mobile App). | Push-Token der Geräte; auf das Minimum beschränkte Benachrichtigungsinhalte ohne Kontaktdaten von Endkunden. | USA | EU-US Data Privacy Framework sowie ergänzend EU-Standardvertragsklauseln. |
| Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande | Technische Zahlungsanbindung (Mollie Connect) und Abwicklung der Plattformentgelte. | Bestellbezug, Betrag und Währung der über das verbundene Mollie-Konto bezahlten Bestellungen; ihre Zahlungsdaten geben Endkunden direkt bei Mollie ein. Für die Abrechnung der Plattformentgelte zusätzlich Kontoinhaber, IBAN und Mandatsdaten des Operators sowie die abgerechneten Beträge. | EU | Keiner. Verarbeitung in der EU. |
| fiskaly GmbH, Franz-Josefs-Kai 33, 1010 Wien, Österreich | Technische Sicherheitseinrichtung (Cloud-TSE) nach KassenSichV für Kassen in Deutschland sowie Signaturerstellungseinheit und Kassenregistrierung nach RKSV (fiskaly SIGN AT, Meldung an FinanzOnline) für Kassen in Österreich: Activento legt je Operator eine verwaltete Organisation bei fiskaly an und betreibt sie (Herstellermodell). | Firmierung, Anschrift und Steuernummer/USt-IdNr. des Operators; signierte Kassenvorgänge (Belegdaten ohne Endkunden-Kontaktdaten); für österreichische Kassen die vom Operator eingegebenen FinanzOnline-Zugangsdaten des Webservice-Benutzers (Teilnehmer-ID, Benutzer-ID, PIN), die Activento nicht speichert. Das Sicherheitsmodul (SMAERS) läuft in der Google Cloud Platform, Region Frankfurt. | EU; Unterauftragnehmer Google Cloud EMEA Limited (Irland) für das Sicherheitsmodul | Keiner. Verarbeitung in der EU; für Google Cloud EU-Standardvertragsklauseln des Unterauftragnehmers. |
| Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland | Technische Zahlungsanbindung (Stripe Connect) für Operatoren, die ihr Stripe-Konto verbinden. | Bestellbezug, Betrag und Währung der über Stripe bezahlten Bestellungen; ihre Zahlungsdaten geben Endkunden direkt bei Stripe ein. | EU; Übermittlung in die USA (Stripe, LLC) möglich | EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework. |
Für die Zahlungsabwicklung des Operators gegenüber seinen Endkunden besteht ein eigener Vertrag des Operators mit Mollie oder Stripe (bzw. dem gewählten Zahlungsdienstleister); insoweit ist der Zahlungsdienstleister kein Subunternehmer von Activento, siehe den folgenden Abschnitt.
Keine Subunternehmer von Activento
Keine Subunternehmer von Activento sind Dienste, die der Operator selbst auswählt, beauftragt und über die Plattform anbindet (§ 7 Absatz 4 AVV). Insoweit übermittelt Activento Daten ausschließlich auf Weisung des Operators; das Rechtsverhältnis zu diesen Diensten ist allein Sache des Operators. Dazu gehören insbesondere:
- die eigenen Konten des Operators bei Zahlungsdienstleistern (z. B. Mollie, PayPal, Stripe),
- Buchhaltungs-Anbindungen (z. B. Lexware Office),
- vom Operator konfigurierte eigene Cloud-Speicher-Ziele (z. B. Dokument-Spiegelung),
- vom Operator konfigurierte ausgehende Webhooks,
- vom Operator über sein eigenes Konto angebundene Dienste für die elektronische Unterschrift von Angeboten (z. B. Yousign),
- angebundene Vertriebskanäle (OTAs), über die Buchungen importiert werden.
Ebenfalls nicht aufgeführt sind interne Entwicklungs- und Betriebswerkzeuge, die keine personenbezogenen Kundendaten verarbeiten, sowie selbst betriebene Systeme ohne externen Anbieter (z. B. Fehler-Monitoring und Warteschlangen auf eigener Infrastruktur).
Änderungen und Benachrichtigung
Neue oder ersetzte Subunternehmer kündigen wir jedem Kunden mindestens 30 Tage vor dem geplanten Einsatz aktiv in Textform an (E-Mail an die hinterlegte Adresse oder Ankündigung im Dashboard); der Kunde kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen (§ 7 Absatz 2 AVV). Diese Seite wird bei jeder Änderung aktualisiert und trägt das Datum des aktuellen Stands.
Optionale Dienste, die Activento künftig selbst beauftragt, werden erst mit ihrer Aktivierung in die Liste aufgenommen und vorab nach dem vorstehenden Verfahren angekündigt.