Dienstleister und Datenempfänger

1. Status und rechtliche Einordnung

Nicht jeder externe Dienst ist ein Unterauftragsverarbeiter. Die Liste trennt deshalb vier Fälle: „im Einsatz“ kennzeichnet einen von Ouhud GmbHbeauftragten und im Rahmen der AVV genehmigten Auftragsverarbeiter. „Geplant“ und „optional“ sind noch nicht genehmigte Kandidaten. „Nur bei Kundenaktivierung“ bezeichnet Empfänger, die der Kunde selbst verbindet oder auswählt. „Noch nicht ausgewählt“ markiert eine echte offene Betriebsangabe.

2. Von OUHUD eingesetzte Unterauftragsverarbeiter

3. Geplante und optionale Anbieter

Die folgenden Anbieter sind technische Kandidaten oder optionale Funktionen. Sie sind nicht Bestandteil der aktuellen Unterauftragsgenehmigung und dürfen keine Auftragsdaten erhalten, bevor die jeweils genannten Prüfungen abgeschlossen und Kunden ordnungsgemäß informiert wurden.

4. Zahlungsdienst mit gemischten Rollen

Zahlungsdienste verarbeiten Daten je Einzelleistung teils im Auftrag und teils in eigener gesetzlicher Verantwortung. Sie werden deshalb nicht pauschal als Unterauftragsverarbeiter für Kundeninhalte dargestellt.

5. Vom Kunden aktivierte Integrationen und Empfänger

Diese Dienste erhalten Daten nur, wenn der Kunde eine Verbindung herstellt oder eine Übermittlung auslöst. Sie sind dadurch nicht automatisch vonOuhud GmbH beauftragte Unterauftragsverarbeiter. Der Kunde entscheidet über Zweck, Auswahl und Konfiguration und muss die Zulässigkeit seiner Übermittlung prüfen.

6. Selbst betriebene technische Komponenten

PostgreSQL, Redis, MinIO, ClamAV und der isolierte Dokumentparser sind nach der aktuellen Architektur selbst betriebene Softwarekomponenten innerhalb der gewählten Hostingumgebung. Sie sind keine eigenständigen externen Empfänger. Ihre Infrastrukturverarbeitung wird dem tatsächlichen Hosting-Anbieter zugerechnet.

Eine bloße Konfigurationsmöglichkeit macht noch keinen Datenempfänger. Deshalb werden Sentry, Webflow, Shopify, AWS, Backblaze, Google Vertex oder andere reine Roadmap- und Platzhalterdienste hier nicht als aktiv ausgegeben. Lokal eingebundene Webfonts werden beim Build bereitgestellt und lösen keinen Browseraufruf an Google Fonts aus.

7. Internationale Übermittlungen

Aus Sicht von EU und EWR werden Auftragsdaten nur auf Grundlage eines Angemessenheitsbeschlusses nach Art. 45 DSGVO oder geeigneter Garantien nach Art. 46 DSGVO übermittelt. Eine Zertifizierung nach einem Datenschutzrahmen gilt nur, wenn der konkrete Empfänger und die betroffene Datenart aktuell erfasst sind. Andernfalls werden insbesondere die Standardvertragsklauseln 2021/914, eine Transferprüfung und erforderliche ergänzende Maßnahmen benötigt.

Für Bekanntgaben aus der Schweiz gelten Art. 16 bis 18 DSG. Anerkannte Standarddatenschutzklauseln werden mit den erforderlichen Schweizer Anpassungen verwendet. Eine technische Option oder ein Marketinghinweis des Anbieters genügt nicht als Transfernachweis.

8. Neue Anbieter, Mitteilung und Widerspruch

Neue oder ersetzte Unterauftragsverarbeiter werden mindestens 30 Tage vor Beginn aktiv an die im Kundenkonto hinterlegte Administratoradresse mitgeteilt. Die Mitteilung enthält Anbieter, Zweck, Datenkategorien, Verarbeitungsorte und Transfergrundlage. Eine bloße Änderung dieser Website ersetzt die aktive Mitteilung nicht.

Kunden können innerhalb der Frist aus nachvollziehbaren datenschutzrechtlichen Gründen widersprechen. Ouhud GmbH prüft eine zumutbare Alternative. Ist sie nicht möglich, wird die betroffene Funktion nicht über den beanstandeten Anbieter bereitgestellt; Rechte zur Kündigung des betroffenen Leistungsteils richten sich nach der Vereinbarung zur Auftragsverarbeitung.

9. Kontakt und aktuelle Fassung

Fragen zu Empfängern, Rollen oder Transfergarantien richten Sie an info@ouhud.com. Maßgeblich für die AVV-Genehmigung ist die bei Vertragsschluss dokumentierte Liste „im Einsatz“ zuzüglich später ordnungsgemäß mitgeteilter Änderungen.