Unterauftragsverarbeiter (Sub-Prozessoren)

1. Gegenstand und Verhältnis zum Auftragsverarbeitungsvertrag

(1) Diese Übersicht listet die Unterauftragsverarbeiter (nachfolgend “Sub-Prozessoren”) auf, die die Datargo GmbH, Frankfurt am Main (nachfolgend “Datargo”), im Rahmen der Bereitstellung der Module Datargo Monitor, Datargo CRM, Datargo ID, Datargo ERP und NextPKI sowie des Bündelangebots Datargo One (einzeln und gemeinsam nachfolgend “Leistungen”) zur Verarbeitung personenbezogener Daten ihrer Geschäftskunden einsetzt.

(2) Diese Übersicht ist Bestandteil des Auftragsverarbeitungsvertrags (AVV) nach Art. 28 DSGVO und konkretisiert dessen Ziffer 7 (Inanspruchnahme weiterer Auftragsverarbeiter). Soweit zwischen dieser Übersicht und dem AVV Widersprüche bestehen, geht in Fragen der Verarbeitung personenbezogener Daten der AVV vor. Bei einer von dieser Übersicht abweichenden Individualabrede geht diese vor (§ 305b BGB). Die Regelung gilt ausschließlich im Verhältnis zu Unternehmern im Sinne des § 14 BGB, zu juristischen Personen des öffentlichen Rechts und zu öffentlich-rechtlichen Sondervermögen (reines B2B).

(3) Sub-Prozessor ist ein von Datargo beauftragter weiterer Auftragsverarbeiter im Sinne des Art. 28 Abs. 4 DSGVO, der personenbezogene Daten des Kunden im Auftrag von Datargo verarbeitet. Datargo verpflichtet jeden Sub-Prozessor vertraglich auf Datenschutzpflichten, die denen des AVV entsprechen, insbesondere auf hinreichende Garantien zur Umsetzung geeigneter technischer und organisatorischer Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt ein Sub-Prozessor seinen Datenschutzpflichten nicht nach, haftet Datargo gegenüber dem Kunden für die Einhaltung der Pflichten des Sub-Prozessors nach Maßgabe der Haftungsregelung des Hauptvertrages.

2. EU-Hosting und Verarbeitungsort

(1) Datargo setzt Sub-Prozessoren ausschließlich innerhalb der Europäischen Union ein. Die Verarbeitung personenbezogener Daten findet ausschließlich in der Europäischen Union statt; das Hosting der Leistungen erfolgt auf Eigeninfrastruktur der Datargo GmbH mit eigenem autonomen System (AS) in einem Rechenzentrum in Frankfurt am Main. Die technischen Erreichbarkeits- und Verfügbarkeitsprüfungen (Prüfregionen/Check-Nodes) werden teils über Infrastruktur von Drittanbietern weltweit durchgeführt; an diesen Prüf-Nodes werden ausschließlich nicht personenbezogene Rohdaten der Server-Checks verarbeitet, keine personenbezogenen Daten der Kunden, die in der Europäischen Union verbleiben.

(2) Die in dieser Übersicht geführten Sub-Prozessoren verarbeiten personenbezogene Daten grundsätzlich innerhalb der Europäischen Union. Eine Ausnahme bildet die Zustellung von App-Push-Benachrichtigungen über den Push-Dienst von Apple (Apple Inc., USA, Apple Push Notification service): Die damit verbundene Übermittlung in die USA ist über das EU-US Data Privacy Framework (Art. 45 DSGVO) und ergänzende Standardvertragsklauseln abgesichert. Setzt Datargo dabei die in der Europäischen Union ansässige Gesellschaft eines Anbieters mit US-amerikanischer Muttergesellschaft ein (Twilio Ireland Limited für die SMS- und Sprach-Alarmierung), erfolgt die Verarbeitung gleichwohl ausschließlich in der EU; ergänzend sind Standardvertragsklauseln vereinbart, die einem etwaigen behördlichen Zugriff über die Muttergesellschaft (etwa nach dem US-CLOUD-Act) entgegenwirken. Hiervon zu unterscheiden ist die Zahlungsabwicklung im Rahmen der eigenen Vertragsabrechnung von Datargo (Zahlungsdienstleister Stripe, Stripe, LLC, USA): Diese erfolgt nicht als Auftragsverarbeitung für den Kunden, sondern in eigener Verantwortlichkeit von Datargo; die damit verbundene Übermittlung in die USA ist über das EU-US Data Privacy Framework (Art. 45 DSGVO) und ergänzende Standardvertragsklauseln abgesichert (Einzelheiten in der Datenschutzerklärung ). Sollte darüber hinaus ausnahmsweise und nach gesonderter Vereinbarung eine Verarbeitung durch einen Sub-Prozessor außerhalb der Europäischen Union in Betracht kommen, erfolgt diese nur unter den Voraussetzungen der Ziffer 9 des AVV (insbesondere Angemessenheitsbeschluss oder Standardvertragsklauseln nebst Transfer Impact Assessment); ein solcher Sub-Prozessor würde in der nachstehenden Liste mit dem entsprechenden Übermittlungsmechanismus gesondert ausgewiesen.

3. Allgemeine Genehmigung, Änderungsbenachrichtigung und Widerspruch

(1) Allgemeine Genehmigung. Der Kunde erteilt Datargo mit Abschluss des AVV die allgemeine schriftliche Genehmigung zur Inanspruchnahme von Sub-Prozessoren im Sinne des Art. 28 Abs. 2 S. 1 und Abs. 4 DSGVO. Die in der nachstehenden Liste aufgeführten Sub-Prozessoren gelten mit Vertragsschluss als genehmigt.

(2) Änderungsbenachrichtigung. Datargo unterrichtet den Kunden über jede beabsichtigte Hinzuziehung oder Ersetzung eines Sub-Prozessors vorab mit einer Frist von mindestens 30 Tagen vor der beabsichtigten Beauftragung. Die Unterrichtung erfolgt durch Aktualisierung dieser Übersicht sowie zusätzlich über den nachstehend beschriebenen Benachrichtigungsdienst (siehe Ziffer 5).

(3) Widerspruchsrecht. Der Kunde kann der Hinzuziehung oder Ersetzung eines Sub-Prozessors innerhalb von 14 Tagen ab Unterrichtung aus wichtigem, datenschutzrechtlich begründetem Grund in Textform widersprechen. Erfolgt innerhalb dieser Frist kein Widerspruch, gilt die Änderung als genehmigt. Ein wichtiger datenschutzrechtlicher Grund liegt insbesondere vor, wenn konkrete Anhaltspunkte dafür bestehen, dass der Sub-Prozessor die nach dem AVV und dem Datenschutzrecht erforderlichen Garantien nicht bietet.

(4) Rechtsfolgen des Widerspruchs. Widerspricht der Kunde fristgerecht und aus wichtigem Grund, bemühen sich die Parteien um eine einvernehmliche Lösung. Datargo wird prüfen, ob die betreffende Leistung ohne den Sub-Prozessor oder mit einem alternativen Sub-Prozessor erbracht werden kann. Kann eine einvernehmliche Lösung nicht erreicht werden und hält Datargo am Einsatz des betreffenden Sub-Prozessors fest, ist der Kunde berechtigt, den von der Änderung betroffenen Teil der Leistungen mit angemessener Frist außerordentlich zu kündigen. Weitergehende Ansprüche bestehen insoweit nicht. Maßgeblich sind im Übrigen die Regelungen der Ziffer 7 des AVV .

4. Aktuelle Sub-Prozessoren

(1) Die nachstehende Übersicht weist die zum Stand der Veröffentlichung eingesetzten Sub-Prozessoren mit Verarbeitungszweck, Verarbeitungsort, Kategorien der verarbeiteten Daten und Übermittlungsmechanismus aus.

Hinweis: Die nachstehende Liste benennt die zum Stand der Veröffentlichung tatsächlich eingesetzten Sub-Prozessoren. Sie wird im Trust Center veröffentlicht und bei jeder Änderung nach Maßgabe der Ziffern 3 und 5 aktualisiert.

(2) Die Verarbeitung durch die in der Liste genannten Sub-Prozessoren erfolgt jeweils ausschließlich zu dem angegebenen Zweck und im Rahmen der Weisungen des Kunden und der Vorgaben von Datargo.

5. Benachrichtigungsdienst bei neuen Sub-Prozessoren

(1) Datargo stellt einen Benachrichtigungsdienst bereit, über den Kunden über beabsichtigte Änderungen an der Sub-Prozessoren-Liste informiert werden. Die Benachrichtigung erfolgt über ein Abonnement per E-Mail über das Trust Center sowie die Veröffentlichung auf dieser Seite.

(2) Kunden, die über Änderungen informiert werden möchten, hinterlegen hierzu einen Kontakt über das Trust Center oder über hello@datargo.com . Maßgeblich für den Lauf der Fristen nach Ziffer 3 ist die Unterrichtung über den hinterlegten Kontakt; ist kein Kontakt hinterlegt, gilt die Aktualisierung dieser Seite als Unterrichtung.

(3) Datargo empfiehlt regulierten Kunden (insbesondere Finanzunternehmen im Sinne der Verordnung (EU) 2022/2554 (DORA) sowie wichtigen oder kritischen Einrichtungen im Sinne der Richtlinie (EU) 2022/2555 (NIS2) und ihrer nationalen Umsetzung), den Benachrichtigungsdienst zu abonnieren, um ihren eigenen Pflichten zur Überwachung von IKT-Drittdienstleistern und ihrer Subunternehmer nachkommen zu können. Erweiterte Informations- und Prüfrechte regulierter Kunden ergeben sich aus dem DORA-Addendum und Ziffer 12 des AVV .

6. Abgrenzung zu sonstigen Dienstleistern (Nebenleistungen)

(1) Nicht als Sub-Prozessoren im Sinne dieser Übersicht gelten Dienstleister, die Datargo für Nebenleistungen ohne wesentlichen Bezug zur Verarbeitung personenbezogener Daten des Kunden in Anspruch nimmt (etwa Telekommunikations-, Wartungs-, Beratungs- oder Reinigungsdienstleistungen). Datargo trifft auch insoweit angemessene Maßnahmen zur Wahrung der Vertraulichkeit.

(2) Konzerninterne Unterstützungsleistungen sowie der Einsatz eigener Beschäftigter von Datargo stellen keine Inanspruchnahme von Sub-Prozessoren dar und unterliegen unmittelbar dem AVV .

7. Aktualität und Pflege der Liste

(1) Datargo hält diese Übersicht aktuell und passt sie bei jeder genehmigten oder als genehmigt geltenden Änderung an. Das Datum der letzten Aktualisierung wird auf dieser Seite ausgewiesen: Juni 2026.

(2) Die unterzeichnungsfertige Fassung des AVV einschließlich der jeweils aktuellen Sub-Prozessoren-Liste erhalten Geschäftskunden über hello@datargo.com oder im Trust Center .

Maßgebliche Sprachfassung

Dieses Dokument wird in deutscher, englischer und französischer Sprache bereitgestellt. Die englische und die französische Fassung sind ausschließlich Übersetzungen zur besseren Verständlichkeit. Maßgeblich und im Streitfall sowie bei Auslegungs- oder Übersetzungsdifferenzen allein verbindlich ist die deutsche Fassung.