Liste der Unterauftragsverarbeiter

0 · Liste der Unterauftragsverarbeiter (für Kunden)

Fassung 2 · Entwurf vom 04.11.2026 (neu: Nr. 7 Mapbox; Fassung 1 gilt ab 01.11.2026 und bis Fassung 2 mit 30 Tagen Vorlauf mitgeteilt ist, legal/MITTEILUNG-UNTERAUFTRAGSVERARBEITER.md) · zu veröffentlichen unter … (Vorschlag https://mitabase.com/legal/subprocessors, noch nicht veröffentlicht — bis dahin geht diese Fassung dem Kunden in Textform zu). Kategorien und ihre Bedingungen: AVV v2 Anlage 3 Teil A. Jede Zeile ist mit dem Code und ~/MitaBase/docs/ESTATE.md abgeglichen (01.11.2026); die Belege stehen in §1–§6.

Teil B — Unterauftragsverarbeiter

Nr. · Unternehmen · Sitz · Kategorie · Leistung · Verarbeitungsort · Daten · Grundlage Drittland

1 · Hetzner Online GmbH · Gunzenhausen, DE · 1 · Server (Instanz, Datenbank, Karten-, Routen- und Adressdienste, Fehlerprotokolle) · Nürnberg, DE · alle Daten der Instanz; Datenbank und Dateien auf verschlüsseltem Datenträger · entfällt (EU)

2 · Hetzner Online GmbH · Gunzenhausen, DE · 1 · Speicher für die tägliche Sicherung (Storage Box) · Falkenstein, DE · Sicherung, vor der Übertragung verschlüsselt (restic); der Anbieter sieht keinen Klartext · entfällt (EU)

3 · Hetzner Online GmbH · Gunzenhausen, DE · 2 · Versand von System-E-Mails (SMTP) · DE · E-Mail-Adresse und Text der Nachricht (Anmeldecodes, Hinweise; Erinnerungs-E-Mails des Kalenders: Titel eines Termins, Datum und Uhrzeit; Morgenübersicht: Zahlen); keine Patientendaten · entfällt (EU)

4 · Google Cloud EMEA Limited · Dublin, IE · 3 · Schein-Prüfung mit Vertex AI — Gemini 3.5 Flash (Google) oder Claude Sonnet 5.5 (Anthropic, von Google betrieben; Anthropic erhält weder Daten noch Zugriff). Voreinstellung seit 01.11.2026: an, wenn der Server den Hauptschalter hat und der Administrator nie „aus" gespeichert hat; je Instanz abschaltbar · Gemini: Region europe-west3 (Frankfurt am Main, DE); Claude: EU-Multi-Region eu (nur EU-Mitgliedstaaten); vertraglich sagt Google die ML-Verarbeitung für die Multi-Region EU zu · nur das Foto des Transportscheins (Art. 9 DSGVO); keine Angaben der Fahrt · Zugriff durch Google LLC (USA) und weitere Konzerngesellschaften für Wartung und Support nach Googles Liste: Angemessenheitsbeschluss (EU) 2023/1795, hilfsweise SCC (CDPA Anhang 3 Ziff. 4.1). Missbrauchserkennung: bei Gemini 3.5 Flash bei Verdacht bis 90 Tage gespeichert, menschliche Prüfung möglich; bei Claude Sonnet 5.5 von Google nicht beschrieben (ungeprüft); kein Opt-out ohne Google Cloud Master Agreement

5 · Apple Inc. / Apple Distribution International Ltd. · Cupertino, USA / Cork, IE · 4 · Benachrichtigungen an iPhones (APNs), direkt vom Server der Instanz · USA nicht ausgeschlossen · Gerätekennung, Titel, eine Zeile ohne Patientennamen, ohne Ort und ohne eingegebenen Text; bei laufender Fahrt (Live Activity) Straße ohne Hausnummer oder Ort des Ziels · Standardvertragsklauseln nach Apples Angaben; DPF-Teilnahme nicht nachgewiesen

6 · Google LLC · Mountain View, USA · 4 · Benachrichtigungen an Android-Geräte (FCM HTTP v1), direkt vom Server der Instanz; die Firebase-Komponente auf dem Gerät übermittelt eine Installationskennung · USA · wie Nr. 5, dazu die Installationskennung · Angemessenheitsbeschluss (EU) 2023/1795 (DPF-Teilnahme von Google LLC, geprüft 18.10.2026)

7 · Mapbox, Inc. (Konzerngesellschaften nach Mapbox' Liste, darunter Mapbox GmbH, DE) · USA · 5 · Karten: Kartendarstellung in der Fahrgast-App und der Fahrer-App; wo der Server es einschaltet, Routen mit Ankunftszeit und Adresssuche für die Instanz · USA (Hosting AWS), Auslieferung über ein weltweites CDN · Apps: der gezeigte Kartenausschnitt und technische Gerätedaten des Kartendienstes; Nutzungs-Telemetrie ist abgeschaltet. Server (nur eingeschaltet): Start- und Zielkoordinaten einer Fahrt — Position des Fahrzeugs und Adresse des Fahrgasts — und eingegebene Suchadressen; kein Name, keine Diagnose · Standardvertragsklauseln (Mapbox DPA, Schedule C, Fassung 2021); DPF-Teilnahme ungeprüft (Liste am 04.11.2026 nicht abrufbar); Mapbox' eigene Unterauftragsverarbeiter (Stand 04.06.2026) sitzen überwiegend in den USA, eine Konzerngesellschaft in Belarus (MapData OOO) — Sanktionsprüfung offen

Teil C — keine Unterauftragsverarbeiter (keine Daten aus der Instanz)

Anbieter · Sitz · wofür · warum keine Unterauftragsverarbeitung

Olinda SAS (Qonto) · Paris, FR · SEPA-Lastschrift der Rechnungen von ETMITA an den Kunden (Hub) · Vertrags- und Zahlungsdaten des Kunden als Vertragspartner; ETMITA ist hierfür Verantwortlicher; keine Daten aus der Instanz, keine Patientendaten

Europäische Kommission (VIES) · Brüssel, BE · Prüfung der USt-IdNr. bei der Registrierung (Hub) · nur die USt-IdNr. des Kunden; ETMITA ist Verantwortlicher

GitHub, Inc. (GHCR) · USA · Quellcode, Bau und Ablage der Server-Abbilder · Quellcode und synthetische Testdaten, keine Daten des Kunden

Expo (650 Industries, Inc.) EAS · USA · Bau und Einreichung der App-Dateien (Bau auf dem Rechner von ETMITA, eas build --local) · Quellcode, keine Daten des Kunden; Benachrichtigungen laufen nicht über Expo (native Gerätekennung)

Apple App Store / TestFlight, Google Play · USA · Verteilung der Fahrer-App · die App kommt von dort, Daten des Kunden gehen nicht dorthin

Werkzeuge der Entwicklung (darunter KI-Assistenten beim Programmieren) · verschieden · Entwicklung und Test der Software · nur Quellcode und synthetische Testdaten (AVV § 4 Abs. 3)

OpenStreetMap-Daten, Schriftarten · — · Karten, Schrift · eigene Kopie auf Nr. 1, kein Abruf zur Laufzeit

Cloudflare, Inc. · USA · nur die Website etmita.com · kein MitaBase-Verkehr, keine Daten des Kunden

Frühere Fassungen: keine — vor dem 01.11.2026 stand die Liste als Anlage 3 Teil B/C im Text der AVV v2.1 (Entwurf, nie unterzeichnet).