Unterauftragsverarbeiter und Empfänger
Version: v2026.10.09 Gültig ab: 2026-10-09 Anbieter: Paul Bengart, Keplerstraße 4A, 39104 Magdeburg, Deutschland
Diese Liste ist Anlage 2 des Auftragsverarbeitungsvertrags und wird in § 10 der Allgemeinen Geschäftsbedingungen in Bezug genommen. Sie unterscheidet drei Gruppen von Empfängern: Unterauftragsverarbeiter, die Daten im Auftrag des Anbieters verarbeiten (Abschnitt 1); eigenständig Verantwortliche, die Daten in eigener Verantwortung verarbeiten (Abschnitt 2); und teilnehmerseitige Drittanbieter, die erst nach einem Klick des Teilnehmers Daten erhalten (Abschnitt 3). Polar Software, Inc. ist in Abschnitt 1 geführt und hat eine Doppelrolle: Auftragsverarbeiter für Konto-, Checkout- und Subscription-Daten und zugleich als Merchant of Record eigenständig Verantwortlicher für den Verkauf der Tarife. Google Ireland Limited ist in Abschnitt 1 als Auftragsverarbeiter für die Reichweitenmessung auf den Marketing-Seiten der Website geführt; sie erhält dafür keine Studien-, Antwort- oder Kontodaten. Daneben steht Google in Abschnitt 2 als eigenständig Verantwortlicher für die Anmeldung mit Google. Die Verbindung mit Google Sheets ist in Abschnitt 4 gesondert geführt: Dafür ist Google ein vom Kunden gewählter Empfänger und kein Unterauftragsverarbeiter des Anbieters. Auftragsverarbeiter, die ausschließlich Daten verarbeiten, für die der Anbieter selbst Verantwortlicher ist (Reichweitenmessung der Website, Konto- und Abrechnungsdaten), sind hier der Vollständigkeit halber aufgeführt; für sie gilt die Datenschutzerklärung.
1 Unterauftragsverarbeiter (Art. 28 DSGVO)
| Empfänger | Leistung | Datenkategorien | Standort / Region | Transfergrundlage |
|---|---|---|---|---|
| netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland (Amtsgericht Mannheim, HRB 705547) | Anwendungs-Hosting und Dateispeicher: Betrieb des Anwendungsservers; Speicherung von Projektdaten, Designs, Uploads, Antworten einschließlich dateibasierter Sicherungskopie, Exporten, Anwendungsprotokollen und eigenen Sicherungen des Anbieters (Datenbank-Sicherungen und Projektdateien) | Alle über die Plattform verarbeiteten Daten während der Verarbeitung im Arbeitsspeicher des Servers; dauerhaft gespeichert: Projekt- und Studieninhalte, Antwortdaten und Antwort-Metadaten, Exporte, Server- und Anwendungsprotokolle sowie in den Datenbank-Sicherungen alle Inhalte der Datenbank, darunter Konto-, Audit-, Vertrags- und Abrechnungsdaten | Rechenzentrum Nürnberg, Deutschland | EU-Hosting, keine Drittlandübermittlung |
| Ubicloud B.V., Turfschip 267, 1186 XK Amstelveen, Niederlande (Vertragspartner für Kunden im Europäischen Wirtschaftsraum; Zahlungsempfänger Ubicloud Inc., USA) | Verwaltete PostgreSQL-Datenbank für Konten, Workspaces, Projekte, Antworten, Audit-Ereignisse, Vertragsnachweise, Bestelldaten aus Polar und die Nutzungsstatistik der Anwendung; Point-in-time-Recovery der Datenbank | Kontodaten, Projektmetadaten, Antwortdaten und Antwort-Metadaten, Audit- und Sicherheitsereignisse, Vertragsnachweise, Bestelldaten aus Polar und Ergebnisse des Abgleichs mit Polar, Fehlerberichte, Nutzungsdaten der Anwendung (Kontokennung, Zeitpunkt, aufgerufene Funktion, höchstens 90 Tage) | Rechenzentrum Frankfurt am Main, Deutschland; Vertragspartner im Europäischen Wirtschaftsraum; Muttergesellschaft in den USA, Fernzugriff durch den Support des Datenbankanbieters aus den USA möglich | EU-Vertragspartner; für einen Zugriff aus den USA konzerninterne Standardvertragsklauseln des Datenbankanbieters (Ziff. 6.1 seines Auftragsverarbeitungsvertrags) |
| coolLabs Solutions Kft., Ungarn (Betreiber von Coolify Cloud) | Deployment-Steuerung: Bereitstellung und Aktualisierung der Anwendung mit administrativem Zugriff auf den Anwendungsserver; eine planmäßige Verarbeitung von Inhalts- oder Antwortdaten findet nicht statt | Konfigurationsdaten und Container-Protokolle; im Rahmen des administrativen Zugriffs die auf dem Anwendungsserver gespeicherten Daten | Ungarn (EU); Steuerungsinfrastruktur laut Dienstleister in der EU | EU, keine Drittlandübermittlung |
| Greenmark IT GmbH (do.de), Leinstraße 3, 31061 Alfeld (Leine), Deutschland | Transaktions-E-Mails (Bestätigung der E-Mail-Adresse, Passwort-Zurücksetzen, Kontohinweise, Vertragsbestätigungen, Mitteilungen nach dem Auftragsverarbeitungsvertrag), Zustellung der Nachrichten aus dem Kontaktformular, Betrieb der Postfächer info@, privacy@, security@ und abuse@ | E-Mail-Adressen, Namen, Inhalte und Metadaten von E-Mails, Inhalte von Kontaktanfragen und Support-Kommunikation | Deutschland | EU-Hosting, keine Drittlandübermittlung |
| Polar Software, Inc., 548 Market Street PMB 61301, San Francisco, CA 94104-5401, USA (Registeradresse 3500 South DuPont Highway, Dover, DE 19901, USA) | Konto-, Checkout- und Subscription-Daten zur Bereitstellung der kostenpflichtigen Tarife: Verknüpfung von Konto und Subscription, Subscription-Status, Kunden-E-Mail, Ausführung von Kündigungen und Löschung des Kunden auf Anweisung des Anbieters; der Anbieter erhält von Polar Subscription-ID, Tarif, Status, Ende des Abrechnungszeitraums, Kundenkennung und E-Mail-Adresse sowie je Bestellung Bestell- und Rechnungsnummer, Anlass, Status, Beträge mit Währung, Zeitpunkte von Bestellung und Zahlung und die Kennungen von Checkout und Produkt. Keine Studien- oder Antwortdaten | Kontodaten (E-Mail-Adresse, Kontokennung), Abrechnungsmetadaten (Subscription-ID, Tarif, Status, Ende des Abrechnungszeitraums, Einstufung als Verbraucher oder Unternehmer, Organisationsname), Bestelldaten (Bestell- und Rechnungsnummer, Anlass, Status, Beträge, Zeitpunkte, Kennungen von Kunde, Checkout und Produkt) | USA; Unterauftragsverarbeiter von Polar unter https://polar.sh/legal/sub-processors | EU-Standardvertragsklauseln (Modul 2) gemäß dem Polar Data Processing Addendum |
| Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland | Reichweitenmessung auf den Marketing-Seiten der Website (Google Analytics 4), nur nach Einwilligung des Besuchers im Cookie-Banner; nicht in der Anwendung und nicht in Umfragen. Keine Studien-, Antwort- oder Kontodaten; Google Signals, Werbepersonalisierung und die Datenfreigabe für Google-Produkte und -Dienste sind abgeschaltet; Ereignis- und Nutzerdaten werden bei Google nach 14 Monaten gelöscht | Cookie-Kennung, Geräte- und Browserangaben einschließlich Gerätemodell, Browserkennung und Bildschirmauflösung, aufgerufene Seiten ohne Query-Parameter außer Kampagnenparametern, Herkunftsseite (nur Ursprung der verweisenden Seite), Klicks auf Schaltflächen und Tarife, geöffnete FAQ-Fragen, Scroll-Ereignisse, ausgehende Klicks, Start des Demo-Videos (Ereignis demo_video_play), ungefähre Standortangaben bis zur Stadt; die IP-Adresse wird dafür genutzt und vor der Speicherung verworfen | Irland; Verarbeitung auch durch Google LLC, USA | EU-US Data Privacy Framework (Google LLC zertifiziert); ersatzweise EU-Standardvertragsklauseln nach den Google Ads Data Processing Terms |
Für die Datenbank bei Ubicloud sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und geschützte Gesundheitsinformationen im Sinne des HIPAA von der Verarbeitung ausgeschlossen (§ 3 Abs. 2 des Auftragsverarbeitungsvertrags).
Unterauftragsverarbeiter der Dienstleister. netcup setzt Unternehmen der Anexia-Gruppe (Österreich und Deutschland) als Unterauftragsverarbeiter ein. Die Unterauftragsverarbeiter von Ubicloud sind unter https://www.ubicloud.com/docs/about/sub-processors veröffentlicht.
Doppelrolle von Polar. Polar ist zugleich Merchant of Record und für den Verkauf der Tarife im eigenen Namen, die Zahlungsabwicklung (über Stripe), die Rechnungsstellung mit Steuerausweis, die Steuern und Erstattungen eigenständig Verantwortlicher; hierfür gelten die Polar Buyer Terms (https://polar.sh/legal/checkout-buyer-terms) und die Polar Privacy Policy (https://polar.sh/legal/privacy). Zahlungsmitteldaten (insbesondere Kartendaten) erhält der Anbieter nicht. Für die als Auftragsverarbeiter verarbeiteten Daten meldet Polar Verletzungen des Schutzes personenbezogener Daten nach dem Polar Data Processing Addendum innerhalb von 72 Stunden.
2 Eigenständig Verantwortliche
Diese Empfänger verarbeiten personenbezogene Daten in eigener Verantwortung nach Art. 4 Nr. 7 DSGVO. Sie sind keine Unterauftragsverarbeiter; für ihre Verarbeitung gelten ihre eigenen Datenschutzhinweise. Die Rechtsgrundlagen der Übermittlung beschreibt die Datenschutzerklärung.
| Empfänger | Rolle und Leistung | Datenkategorien | Standort | Transfergrundlage | Vertragsgrundlage |
|---|---|---|---|---|---|
| Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland | Anmeldung mit Google (OAuth 2.0 / OpenID Connect), nur wenn der Nutzer diese Anmeldung wählt | E-Mail-Adresse, Konto-ID, Anzeigename | Irland | Nach den vom Anbieter veröffentlichten Garantien (Angemessenheitsbeschluss oder Standardvertragsklauseln), siehe dessen Datenschutzerklärung | Google Privacy Policy |
| Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland | Anmeldung mit Microsoft (OAuth 2.0 / OpenID Connect), nur wenn der Nutzer diese Anmeldung wählt | E-Mail-Adresse, Konto-ID, Anzeigename | Irland | Nach den vom Anbieter veröffentlichten Garantien (Angemessenheitsbeschluss oder Standardvertragsklauseln), siehe dessen Datenschutzbestimmungen | Microsoft Privacy Statement |
3 Teilnehmerseitige Drittanbieter nach Klick
Ein Kunde kann in eine Befragung Videos von YouTube oder Vimeo einbetten. Beim Laden der Befragungsseite wird keine Verbindung zum Videoanbieter aufgebaut; der Teilnehmer sieht einen lokalen Platzhalter mit Hinweis. Erst wenn der Teilnehmer die Wiedergabe durch Klick startet, ruft sein Browser das Video beim Anbieter ab. Der Anbieter des Videos erhält dabei die IP-Adresse und Browserangaben des Teilnehmers sowie Wiedergabedaten; Umfrageantworten werden nicht übermittelt. Der Kunde entscheidet über die Einbettung und informiert die Teilnehmer in seinem Datenschutzhinweis.
| Empfänger | Leistung | Datenkategorien | Standort | Transfergrundlage | Auslöser |
|---|---|---|---|---|---|
| YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) | Videowiedergabe über youtube-nocookie.com | IP-Adresse, Browserangaben, Wiedergabedaten | Irland / weltweit | Nach den vom Anbieter veröffentlichten Garantien (Angemessenheitsbeschluss oder Standardvertragsklauseln), siehe dessen Datenschutzerklärung | Nur nach Klick des Teilnehmers |
| Vimeo.com, Inc., 330 West 34th Street, 10th Floor, New York, NY 10001, USA | Videowiedergabe mit aktiviertem Do-Not-Track-Parameter (dnt=1) | IP-Adresse, Browserangaben, Wiedergabedaten | USA | EU-US Data Privacy Framework (zertifiziert; Stand der Vimeo Privacy Policy vom 2025-09-19) und EU-Standardvertragsklauseln | Nur nach Klick des Teilnehmers |
4 Vom Kunden gewählte Empfänger; keine weiteren Empfänger
Auf Weisung des Kunden überträgt der Anbieter Daten an Empfänger, die der Kunde selbst wählt. Diese Empfänger sind keine Unterauftragsverarbeiter des Anbieters; sie handeln nach dem Vertrag des Kunden mit ihnen. Ob die Übermittlung zulässig ist, einschließlich einer Übermittlung in Drittländer nach den Bedingungen des Empfängers, verantwortet der Kunde als Verantwortlicher.
| Empfänger | Leistung | Datenkategorien | Standort | Grundlage | Auslöser |
|---|---|---|---|---|---|
| Google als Anbieter des Google-Kontos, das der Nutzer wählt (privates Google-Konto oder Google Workspace) | Verbindung mit Google Sheets (optional, nur in Tarifen mit dieser Funktion): Der Anbieter legt im Google Drive des Kunden eine Tabelle an und aktualisiert sie etwa jede Stunde; die Verbindung nutzt drive.file und aktualisiert nur die von ihr selbst angelegte Tabelle. Diese Berechtigung erlaubt auch ausdrücklich ausgewählte Dateien; diese Auswahl bietet die Verbindung nicht an. Der Anbieter löscht die Tabelle nicht; sie bleibt unter der Kontrolle des Kunden |
Antworten des Projekts wie im Antwortexport im Breitformat (alle Antworten einschließlich unvollständiger, Teilnehmerkennungen, Panel-IDs, soweit erhoben, Freitextantworten, Zeitstempel und Systemangaben), wahlweise mit Codebuch | nach den Bedingungen von Google für das gewählte Google-Konto | Weisung des Kunden (Art. 28 Abs. 3 lit. a DSGVO); Vertrag des Kunden mit Google | Nur wenn ein Nutzer mit Exportrecht das Projekt verbindet und die Übertragung an das angezeigte Google-Konto bestätigt |
Für die Kontodaten der verbindenden Person (Google-Kennung, E-Mail-Adresse, verschlüsselt gespeichertes Aktualisierungstoken) ist der Anbieter selbst Verantwortlicher; Einzelheiten beschreibt die Datenschutzerklärung.
Darüber hinaus sind derzeit keine Empfänger eingebunden, an die der Anbieter personenbezogene Daten übermittelt. Google Analytics 4 (Abschnitt 1) läuft nur auf den Marketing-Seiten der Website nach Einwilligung des Besuchers, nicht in der Anwendung und nicht in Umfragen. Die Nutzungsstatistik der Anwendung wertet der Anbieter selbst in der Datenbank bei Ubicloud aus; ein Analyse-Dienstleister ist daran nicht beteiligt.
5 Änderungsprozess
(1) Überprüfung. Diese Liste wird regelmäßig sowie bei Änderungen der eingesetzten Dienstleister überprüft.
(2) Ankündigung. Über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Anbieter die Workspace-Owner vorab per E-Mail an die im Konto hinterlegte Adresse, sobald ihm die Änderung bekannt ist, in der Regel mindestens 14 Tage vor dem Wirksamwerden, und trägt die Änderung in die Änderungshistorie (Abschnitt 7) ein. Ist ein Wechsel ohne Aufschub erforderlich, informiert der Anbieter nachträglich (§ 8 Abs. 2 des Auftragsverarbeitungsvertrags).
(3) Widerspruch. Kunden können binnen 14 Tagen nach Zugang der Information aus datenschutzrechtlichen Gründen in Textform an privacy@choicery.ai widersprechen. Einigen sich die Parteien nicht, kann jede Partei den Vertrag zum Wirksamwerden der Änderung kündigen (§ 8 Abs. 3 des Auftragsverarbeitungsvertrags). Die Abwicklung richtet sich nach der Wechsel- und Exit-Richtlinie.
(4) Wegfall. Der Wegfall eines Unterauftragsverarbeiters oder eines Empfängers wird in der Änderungshistorie dokumentiert und bedarf keiner Vorankündigung.
(5) Eigenständig Verantwortliche und teilnehmerseitige Anbieter. Änderungen in den Abschnitten 2 und 3 werden in der Änderungshistorie dokumentiert und in der Datenschutzerklärung nachgeführt.
6 Standort und Jurisdiktion der Infrastruktur
Diese Angaben dienen der Information nach Art. 28 der Verordnung (EU) 2023/2854 (Data Act) über die Rechtsordnung, der die für die Datenverarbeitung eingesetzte Infrastruktur unterliegt.
| Provider | Land der Rechenzentren | Sitzland des Vertragspartners | Rechtsordnungen, denen die Infrastruktur unterliegt |
|---|---|---|---|
| netcup GmbH | Deutschland (Rechenzentrum Nürnberg) | Deutschland | Deutsches Recht und Unionsrecht |
| Ubicloud B.V. | Deutschland (Frankfurt am Main) | Niederlande; Muttergesellschaft Ubicloud Inc. in den USA | Deutsches Recht und Unionsrecht für das Rechenzentrum; niederländisches Recht für den Vertragspartner; US-Recht kann die Muttergesellschaft und deren Support-Fernzugriff erfassen |
| coolLabs Solutions Kft. | Europäische Union (Steuerungsinfrastruktur laut Dienstleister in der EU); der gesteuerte Server steht in Deutschland | Ungarn | Ungarisches Recht und Unionsrecht |
| Greenmark IT GmbH (do.de) | Deutschland | Deutschland | Deutsches Recht und Unionsrecht |
Kopien der eigenen Sicherungen des Anbieters liegen zusätzlich auf einem verschlüsselten externen Datenträger des Anbieters in Deutschland (deutsches Recht und Unionsrecht).
Maßnahmen gegen Zugriffe aus Drittstaaten. Studien- und Antwortdaten werden in der Europäischen Union gespeichert, und die Unterauftragsverarbeiter, die Studien- oder Antwortdaten verarbeiten, haben ihren Vertragssitz in der Europäischen Union. Ein Zugriff auf diese Daten aus einem Drittstaat ist durch den Support des Datenbankanbieters aus den USA möglich; er ist durch die konzerninternen Standardvertragsklauseln des Datenbankanbieters (Ziff. 6.1 seines Auftragsverarbeitungsvertrags) abgesichert. Konto-, Checkout- und Subscription-Daten werden an Polar Software, Inc. in den USA übermittelt (Abschnitt 1); Studien- und Antwortdaten erhält Polar nicht. Google Ireland Limited erhält für die Reichweitenmessung der Website nur Besucherdaten der Marketing-Seiten (Abschnitt 1), keine Studien-, Antwort- oder Kontodaten. Verbindet der Kunde ein Projekt mit Google Sheets, überträgt der Anbieter Antworten auf Weisung des Kunden an Google (Abschnitt 4); diese Kopie liegt außerhalb der Infrastruktur des Anbieters im Google Drive des Kunden. Alle Übertragungen sind verschlüsselt; Zugangsdaten und Schlüssel liegen ausschließlich beim Anbieter. Ersuchen von Behörden oder Gerichten aus Drittstaaten prüft der Anbieter auf ihre Rechtsgrundlage; eine Herausgabe erfolgt nur auf Grundlage einer internationalen Übereinkunft oder unter den Voraussetzungen des Art. 32 Data Act und des Art. 48 DSGVO, beschränkt auf das erforderliche Mindestmaß, und der betroffene Kunde wird informiert, soweit dies rechtlich zulässig ist (§ 10 der Allgemeinen Geschäftsbedingungen, § 6 Abs. 10 des Auftragsverarbeitungsvertrags).
7 Änderungshistorie
| Datum | Änderung |
|---|---|
| 2026-10-09 | Erstfassung (v2026.10.09) |
| 2026-10-18 | Abschnitt 4: Verbindung mit Google Sheets als vom Kunden gewählter Empfänger ergänzt (kein Unterauftragsverarbeiter); Abschnitt 2 (Anmeldung mit Google) unverändert |