Subprozessoren

Verzeichnis der Subprozessoren

Übersicht der weiteren Auftragsverarbeiter (Subprozessoren), die der Anbieter nach Art. 28 Abs. 4 DSGVO und § 5 des Auftragsverarbeitungsvertrags für die Verarbeitung von Kundendaten einsetzt.

Version 4 · Stand: 5. Oktober 2026

Diese Liste ist Anlage 1 zum Auftragsverarbeitungsvertrag (AVV). Sie nennt die Dienste, die personenbezogene Daten im Auftrag der Kunden verarbeiten. Dienste, die der Anbieter für diese Website in eigener Verantwortung nutzt, stehen in der Datenschutzerklärung.

1. Supabase

Firma	Supabase Pte. Ltd.
Anschrift	65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513, Singapur
Datenschutz-Kontakt	privacy@supabase.io
Zweck	Datenbank, Anmeldung und Konten, Dateispeicher, Echtzeit-Abgleich und serverseitige Funktionen (Edge Functions) der Plattform.
Datenkategorien	Die in der Plattform gespeicherten Kundendaten, darunter Konto- und Anmeldedaten der Nutzer, Begehungsinhalte (Stammdaten, Bereiche, Feststellungen, Maßnahmen, Notizen, Kommentare), Fotos mit Metadaten, Tondateien und Transkripte, Unterschriften, Kontaktdaten Dritter, Prüfpunktlisten, erzeugte Berichte und Berichtsvorlagen, Profilbilder und Firmenlogos, Import-Dokumente, Angaben zu versandten E-Mails mit Zustellstatus sowie Rückmeldungen, Beiträge und Unterschriften Externer über die Link-Seiten.
Verarbeitungsort	Frankfurt am Main (Deutschland)
Drittland-Bezug und Garantie	Ja. Der Vertragspartner sitzt in Singapur; für Singapur besteht kein Angemessenheitsbeschluss. Zugriffe von Supabase und seinen Unter-Subprozessoren aus Drittländern sind möglich. Garantie: EU-Standardvertragsklauseln (Modul 3) im Auftragsverarbeitungsvertrag von Supabase.
Verträge	Auftragsverarbeitungsvertrag dieses Subprozessors Verzeichnis seiner Unter-Subprozessoren

2. PowerSync

Firma	Journey Mobile, Inc.
Anschrift	3700 Quebec St, Ste 100 PMB 132, Denver, CO 80207, USA
Datenschutz-Kontakt	dpo@powersync.com
Zweck	Synchronisation der Begehungsdaten zwischen der Plattform und der Mobile App.
Datenkategorien	Kopie der synchronisierten Begehungsdaten des Mandanten: Kunden und Ansprechpartner mit Kontaktdaten (Name, Funktion, E-Mail, Telefon, Anschrift), Projekte, Begehungen mit Anwesenden, Bereiche, Feststellungen, Maßnahmen mit verantwortlicher Person und Frist, Prüfpunktlisten, Notizen, Kommentare und Transkripte sowie die Angaben zu Fotos, Tondateien und Unterschriften (nicht die Dateien selbst); Kennung des angemeldeten Nutzers.
Verarbeitungsort	Dublin (Irland)
Drittland-Bezug und Garantie	Ja. Der Vertragspartner sitzt in den USA. Er setzt unter anderem Amazon Web Services und MongoDB als Unter-Subprozessoren ein; die vollständige Liste ist unten verlinkt. Garantie: EU-Standardvertragsklauseln (Modul 3) im Auftragsverarbeitungsvertrag von PowerSync.
Verträge	Auftragsverarbeitungsvertrag dieses Subprozessors Verzeichnis seiner Unter-Subprozessoren

3. Google Cloud Run

Firma	Google Cloud EMEA Limited
Anschrift	70 Sir John Rogerson’s Quay, Dublin 2, Irland
Datenschutz-Kontakt	Kontaktformular des Cloud-Datenschutzteams
Zweck	Betrieb der Server der Web-App einschließlich der Link-Seiten für Externe, Umwandlung der Berichte von Word in PDF, Umwandlung von Tonaufnahmen und Erstellung der Daten-Exporte (ZIP-Archiv).
Datenkategorien	Inhalte der Anfragen an die Web-App während der Übertragung; Berichtsinhalte bei der Umwandlung in PDF; Tonaufnahmen bei ihrer Umwandlung; Inhalte der Daten-Exporte.
Verarbeitungsort	St. Ghislain (Belgien)
Drittland-Bezug und Garantie	Vertragspartner in der EU (Irland). Eine Übermittlung an die Google LLC und weitere Konzernunternehmen in den USA oder anderen Drittländern ist möglich. Garantie: EU-US Data Privacy Framework (die Google LLC ist zertifiziert) und EU-Standardvertragsklauseln im Cloud Data Processing Addendum.
Verträge	Auftragsverarbeitungsvertrag dieses Subprozessors Verzeichnis seiner Unter-Subprozessoren

4. Google Vertex AI (Gemini)

Firma	Google Cloud EMEA Limited
Anschrift	70 Sir John Rogerson’s Quay, Dublin 2, Irland
Datenschutz-Kontakt	Kontaktformular des Cloud-Datenschutzteams
Zweck	KI-Funktionen der Plattform: Prüfpunktlisten-Import, Bericht-Import, Kommentarvorschlag, Maßnahmenvorschlag und Audio-Transkription.
Datenkategorien	Hochgeladene Import-Dokumente einschließlich der darin enthaltenen Fotos; für Maßnahmenvorschläge die Texte, Fotos, Notizen, Maßnahmen und Transkripte der Feststellung samt Bereich und Prüfpunkt; für Kommentarvorschläge dieselben Angaben zur Feststellung, zum Prüfpunkt oder als Zusammenfassung aller Feststellungen der Begehung, jeweils mit dem Entwurfstext des Nutzers; für die Transkription die Tondatei.
Verarbeitungsort	Frankfurt am Main (Deutschland)
Drittland-Bezug und Garantie	Vertragspartner in der EU (Irland). Eine Übermittlung an die Google LLC und weitere Konzernunternehmen in den USA oder anderen Drittländern ist möglich. Garantie: EU-US Data Privacy Framework (die Google LLC ist zertifiziert) und EU-Standardvertragsklauseln im Cloud Data Processing Addendum.
Verträge	Auftragsverarbeitungsvertrag dieses Subprozessors Verzeichnis seiner Unter-Subprozessoren

5. Google Cloud Storage

Firma	Google Cloud EMEA Limited
Anschrift	70 Sir John Rogerson’s Quay, Dublin 2, Irland
Datenschutz-Kontakt	Kontaktformular des Cloud-Datenschutzteams
Zweck	Tägliche Sicherung der Dateien der Plattform.
Datenkategorien	Die im Dateispeicher der Plattform abgelegten Dateien: Fotos mit Metadaten, Tondateien, Unterschriften, erzeugte Berichte, Berichtsvorlagen, Profilbilder und Firmenlogos sowie Nachweisfotos Externer von den Link-Seiten. Nicht gesichert werden Entwurfsberichte, hochgeladene Import-Dokumente, Daten-Exporte (ZIP-Archiv) und die Archive der Daten-Rückgabe.
Verarbeitungsort	Frankfurt am Main (Deutschland)
Drittland-Bezug und Garantie	Vertragspartner in der EU (Irland). Eine Übermittlung an die Google LLC und weitere Konzernunternehmen in den USA oder anderen Drittländern ist möglich. Garantie: EU-US Data Privacy Framework (die Google LLC ist zertifiziert) und EU-Standardvertragsklauseln im Cloud Data Processing Addendum.
Verträge	Auftragsverarbeitungsvertrag dieses Subprozessors Verzeichnis seiner Unter-Subprozessoren

6. Sentry

Firma	Functional Software, Inc.
Anschrift	45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA
Datenschutz-Kontakt	compliance@sentry.io
Zweck	Fehlerdiagnose der Web-App und der Mobile App: Fehlerereignisse, Sitzungsaufzeichnung und Melde-Berichte der Nutzer sowie Server-Fehler der Web-App.
Datenkategorien	Fehlermeldungen und Ablaufspuren mit Nutzer- und Mandantenkennung, Anwendungsversion, aufgerufener Route sowie Browser- oder Geräteangaben; in der Sitzungsaufzeichnung die angezeigten Texte im Klartext, darunter Namen von Kunden und Ansprechpartnern sowie Objektadressen; im Melde-Bericht ein Bild des sichtbaren Bereichs, der Konsolen-Puffer, die E-Mail-Adresse des Melders sowie Beschreibung und Kategorie der Meldung.
Verarbeitungsort	Frankfurt am Main (Deutschland). In den USA liegen nur die Konto- und Organisationsdaten von Begehung.pro bei Sentry (Nutzerkonten, Einstellungen), keine Ereignisse, Aufzeichnungen oder Anhänge.
Drittland-Bezug und Garantie	Ja. Der Vertragspartner sitzt in den USA. Garantie: EU-US Data Privacy Framework (die Functional Software, Inc. ist zertifiziert) und EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag von Sentry.
Verträge	Auftragsverarbeitungsvertrag dieses Subprozessors Verzeichnis seiner Unter-Subprozessoren

7. Amazon Web Services (Amazon SES, Amazon SNS, Amazon EventBridge)

Firma	Amazon Web Services EMEA SARL
Anschrift	38 Avenue John F. Kennedy, L-1855 Luxemburg, Luxemburg
Datenschutz-Kontakt	aws-EU-privacy@amazon.com
Zweck	Versand aller E-Mails der Plattform: an Dritte (Protokolle und Berichte mit Anhang, Aufgaben-Mails, Mails zur Abstimmung eines Entwurfs) und an die eigenen Nutzer (Anmelde-, Bestätigungs-, Passwort- und Benachrichtigungs-Mails); Rückmeldung der Zustell-, Rückweisungs- und Beschwerde-Ereignisse; Verifizierung der Absender-Domain eines Kunden.
Datenkategorien	Name und E-Mail-Adresse der Empfänger, Betreff, Inhalt und Anhang der Mails, Absender-Adresse und Absender-Domain, Zustellereignisse.
Verarbeitungsort	Frankfurt am Main (Deutschland)
Drittland-Bezug und Garantie	Vertragspartner in der EU (Luxemburg). Eine Übermittlung an die Amazon.com, Inc. und weitere Konzernunternehmen in den USA oder anderen Drittländern ist möglich. Garantie: EU-Standardvertragsklauseln (Module 2 und 3) im AWS-Datenverarbeitungsnachtrag; die Amazon.com, Inc. ist zudem nach dem EU-US Data Privacy Framework zertifiziert.
Verträge	Auftragsverarbeitungsvertrag dieses Subprozessors Verzeichnis seiner Unter-Subprozessoren

8. Google Firebase Cloud Messaging

Firma	Google LLC
Anschrift	1600 Amphitheatre Parkway, Mountain View, CA 94043, USA
Datenschutz-Kontakt	Kontaktformular des Firebase-Datenschutzteams
Zweck	Zustellung von Push-Benachrichtigungen an die App auf Android-Geräten, iPhones und iPads; an iPhones und iPads über den Apple Push Notification service.
Datenkategorien	Geräte-Kennung der App (Registrierungs-Kennung) und Inhalt der Benachrichtigung: sichtbarer Teil (Titel und Text) und Daten-Teil (Art, Kennungen, App-interner Zielpfad, Platzhalter-Werte). Je nach Art enthält der Inhalt Namen von Personen (wer eine Maßnahme als erledigt meldet, Autor eines Beitrags, Unterzeichner), Empfänger einer nicht zustellbaren oder nicht versendeten Mail, Kundenname, Objektname, Maßnahmentext, den Auszug eines Beitrags (bis 200 Zeichen), Berichtsdaten (Format, Versiegelungsdatum, Versionsnummer), Fehler-Codes und den Diagnose-Text des Mail-Dienstes. Keine Dateinamen, Fotos oder Dateien.
Verarbeitungsort	Weltweite Infrastruktur von Google, auch in den USA
Drittland-Bezug und Garantie	Vertragspartner in den USA. Garantie: EU-US Data Privacy Framework (die Google LLC ist zertifiziert) und EU-Standardvertragsklauseln in den Firebase Data Processing and Security Terms.
Verträge	Auftragsverarbeitungsvertrag dieses Subprozessors Verzeichnis seiner Unter-Subprozessoren

9. Apple Push Notification service

Firma	Apple Inc.
Anschrift	One Apple Park Way, Cupertino, CA 95014, USA
Datenschutz-Kontakt	Datenschutz-Kontaktformular von Apple
Zweck	Zustellung von Push-Benachrichtigungen an iPhones und iPads.
Datenkategorien	Geräte-Kennung beim Apple-Push-Dienst und Inhalt der Benachrichtigung: sichtbarer Teil (Titel und Text) und Daten-Teil (Art, Kennungen, App-interner Zielpfad, Platzhalter-Werte). Je nach Art enthält der Inhalt Namen von Personen (wer eine Maßnahme als erledigt meldet, Autor eines Beitrags, Unterzeichner), Empfänger einer nicht zustellbaren oder nicht versendeten Mail, Kundenname, Objektname, Maßnahmentext, den Auszug eines Beitrags (bis 200 Zeichen), Berichtsdaten (Format, Versiegelungsdatum, Versionsnummer), Fehler-Codes und den Diagnose-Text des Mail-Dienstes. Keine Dateinamen, Fotos oder Dateien.
Verarbeitungsort	Server von Apple, auch in den USA
Drittland-Bezug und Garantie	Vertragspartner in den USA. Die Apple Inc. ist nicht nach dem EU-US Data Privacy Framework zertifiziert. Einen eigenen Auftragsverarbeitungsvertrag für den Apple Push Notification service bietet Apple nicht an; es gelten die Bedingungen des Apple Developer Program License Agreement (Attachment 1). Nach seiner Datenschutzrichtlinie stützt Apple Übermittlungen aus dem Europäischen Wirtschaftsraum auf EU-Standardvertragsklauseln; eine Kopie gibt es über das Datenschutz-Kontaktformular von Apple.
Verträge	Für diesen Dienst geltende Bedingungen des Anbieters

Ankündigung und Widerspruch

Eine beabsichtigte Änderung dieser Liste kündigt der Anbieter per E-Mail an die Adresse des Kundenkontos an, mindestens vier Wochen vor dem Einsatz des neuen oder geänderten Subprozessors. Setzt ein bestehender Subprozessor einen weiteren Unter-Subprozessor ein, informiert der Anbieter unverzüglich, nachdem er selbst davon Kenntnis erlangt hat. Der Kunde kann der Änderung nach § 5 des AVV widersprechen.

Änderungsprotokoll

Datum	Änderung
05.10.2026	Version 4. Google Firebase Cloud Messaging und Apple Push Notification service: Zustellung von Push-Benachrichtigungen an die App.
28.09.2026	Version 3. Google Cloud Storage: Sicherung der Dateien.
25.09.2026	Version 2. Amazon Web Services aufgenommen (Einsatz seit 03.09.2026). Drittland-Angaben berichtigt: Version 1 nannte für alle Einträge keinen Drittland-Bezug; Supabase (Singapur), Journey Mobile und Functional Software (USA) sitzen im Drittland, Google und Amazon können an ihre US-Konzernmütter übermitteln. Je Eintrag ergänzt: vollständige Anschrift, Datenschutz-Kontakt, Datenkategorien, Verarbeitungsort mit Stadt, Garantie sowie die Verträge und Subprozessorenlisten der Anbieter. Google Cloud Run: Zwecke um die Umwandlung Word in PDF, die Umwandlung von Tonaufnahmen und die Daten-Exporte ergänzt; den Betrieb dieser Website verantwortet der Anbieter selbst (siehe Datenschutzerklärung). Google Vertex AI um Kommentarvorschlag, Maßnahmenvorschlag und Audio-Transkription vervollständigt. Sentry: Mobile App und Server-Fehler der Web-App ergänzt. Supabase versendet keine Anmelde- und Passwort-Mails mehr, sie laufen über Amazon Web Services. Verarbeitungsort von PowerSync: Dublin (Irland).
03.09.2026	Einsatzbeginn Amazon Web Services (Amazon SES, Amazon SNS, Amazon EventBridge) für den E-Mail-Versand der Plattform; in dieses Verzeichnis mit Version 2 am 25.09.2026 aufgenommen.
20.08.2026	Version 1. Verzeichnis mit Supabase, PowerSync, Google Cloud Run, Google Vertex AI und Sentry veröffentlicht.

Eine Kopie der Vereinbarung mit einem Subprozessor stellt der Anbieter auf Anfrage zur Verfügung (§ 5 Abs. 5 AVV); für den Apple Push Notification service gelten die verlinkten Bedingungen von Apple. Fragen zu dieser Liste beantwortet der Datenschutz-Kontakt des Anbieters: datenschutz@begehung.pro.