Wer ausser uns
Daten verarbeitet

Nicht jeder Eintrag betrifft jeden Kunden. Die Kennzeichnung sagt, wann er greift:

Was hier NICHT steht, und warum das wichtig ist: die Systeme, die der Kunde selbst anbindet — seine Zeiterfassung, seine Buchhaltung, sein Kalender, sein Dateispeicher. Sie sind keine weiteren Auftragsverarbeiter von uns; die Begründung steht am Ende dieser Liste.

Das ist der Auftragsverarbeiter, der alles trägt. Ohne ihn läuft nichts.

Getrennt aufgeführt, obwohl derselbe Anbieter: Es ist ein anderer Dienst mit anderem Datenumfang, und ein Wechsel des Anmeldedienstes wäre eine Änderung, die nach § 7.3 AVV anzuzeigen ist.

Der Ort ist bewusst nicht auf die EU verengt. Anders als bei Rechenleistung und Datenbanken lässt sich für diesen Dienst keine Region festlegen; maßgeblich ist die Angabe des Anbieters.

Nicht jede KI-Funktion ist gleich heikel. Die Unterschiede stehen hier, nicht im Kleingedruckten:

Seit dem 2026-08-19 unter dem Cloud-Vertrag. Bis dahin lief der KI-Verkehr über die allgemein zugängliche Gemini-Schnittstelle (generativelanguage.googleapis.com), deren Bedingungen von denen des Google Cloud Data Processing Addendum abweichen — unter dem die übrige Infrastruktur seit jeher läuft. Umgestellt auf Vertex AI: dieselben Modelle, aber im eigenen Google-Cloud-Projekt, angemeldet über das Dienstkonto der Anwendung, verarbeitet in Frankfurt am Main — demselben Ort wie Server und Datenbanken.

Die Anmeldung über das Dienstkonto statt über einen Zugangsschlüssel ist dabei nicht Geschmackssache: mit Schlüssel-Anmeldung greift die Regionsbindung nach Anbieterdokumentation nicht, und die Zusage oben wäre dann eine Konfiguration ohne Wirkung.

Was das nicht bedeutet. Google verarbeitet weiterhin Daten für uns — ein Auftragsverarbeitungsvertrag macht einen weiteren Auftragsverarbeiter nicht überflüssig, er macht ihn zulässig. Deshalb steht dieser Eintrag hier, und deshalb bleibt er stehen.

Der Versand läuft über den Postausgangsserver von Google Workspace (smtp.gmail.com) unter dem Absender der Betreiberin. Anhänge können Nachweise und Zertifikate mit Klarnamen enthalten.

⚠️ Warum dieser Eintrag genauer hinzusehen ist, als seine Größe vermuten lässt: Start- oder Zieladresse einer Dienstreise ist regelmäßig die Wohnanschrift der beschäftigten Person. Es werden nur die beiden Adressen übermittelt, kein Name — die Zuordnung bleibt bei uns.

Der Zugang ist unserer, nicht der des Kunden. Der Kunde hinterlegt dafür nichts und kann es nicht abschalten, ohne auf die automatische Kilometerberechnung zu verzichten.

Der improwe workspace kann auf Wunsch des Kunden dessen eigene Systeme ansprechen — etwa eine Zeiterfassung, eine Buchhaltung, einen Kalender oder einen Dateispeicher. Diese Anbieter stehen bewusst nicht in der Liste oben. Der Grund ist keine Auslegungsfrage:

Ein weiterer Auftragsverarbeiter ist einer, den WIR beauftragen. Art. 28 Abs. 4 DSGVO verlangt vom Auftragsverarbeiter, dass er den weiteren Auftragsverarbeiter auf entsprechende Pflichten verpflichtet und für dessen Verhalten wie für eigenes haftet (§ 7.4 des AVV).

Mit den Systemen des Kunden haben wir keinen Vertrag. Wir haben sie nicht ausgewählt, wir können sie nicht verpflichten, und wir können nicht für sie haften. Sie hier aufzuführen, wäre eine Zusage, die wir nicht einhalten können.

Wie die Rechtslage stattdessen aussieht. Der Kunde hat zwei Verträge nebeneinander: einen mit dem Anbieter seines Systems und einen mit uns. Wir sprechen sein System auf seine Weisung an — mit seinen Zugangsdaten, für seine Daten. Welche Verbindung ein Kunde eingerichtet hat, steht in seinem Mandanten; eine Aufzählung an dieser Stelle wäre eine Momentaufnahme, die für jeden anderen Kunden falsch ist.

Was der Kunde daraus zu tun hat

1. Ein eigener Auftragsverarbeitungsvertrag mit dem jeweiligen Anbieter. Er besteht in aller Regel schon, weil der Kunde das System ohnehin nutzt — aber er ist seiner, nicht unserer.
2. Die eigene Datenschutzerklärung muss den Anbieter nennen.
3. Die Weisung an uns ist das Einrichten der Verbindung. Sie kann jederzeit zurückgenommen werden: Verbindung trennen, und der Austausch endet.

Zwei Punkte, die trotzdem uns betreffen

Was aus diesen Systemen bei uns ankommt, unterliegt unserem AVV. Eine Zeiterfassungs-Verbindung kann Abwesenheiten wegen Krankheit und das Vorliegen einer Arbeitsunfähigkeitsbescheinigung mitbringen — besondere Kategorien nach Art. 9 DSGVO, und sie kommen mit dem regelmäßigen Abgleich, ohne dass jemand etwas eingibt. Für sie gilt § 4a des AVV, sobald sie bei uns liegen. Wir sichern sie nach Anlage 2 wie alle Personaldaten.

Ist der Kalender kein Kunden-Konto, sondern unser eigener, greift der entsprechende Eintrag in der Liste oben — dann ist es unser Vertrag und wir stehen dafür ein. Maßgeblich ist, wessen Konto die Verbindung nutzt, nicht welcher Anbieter dahintersteht.

DATEV. Buchhaltungsdaten werden als Datei ein- und ausgelesen. Es besteht keine Verbindung zu einem DATEV-System und es fließen keine Daten dorthin ab; die Datei erzeugt und übergibt der Kunde selbst.

Öffentliche Vergabeportale (TED der Europäischen Union, evergabe-online). Der improwe workspace ruft dort ab, er übermittelt nichts. Daten fließen also zu uns, nicht von uns weg.

Video-Einbettungen in Inhalten. Bindet ein Kunde YouTube- oder Vimeo-Videos in seine Inhalte ein, baut der Browser der betrachtenden Person beim Abspielen eine Verbindung zum Anbieter auf. Wir verwenden die datensparsamen Varianten (youtube-nocookie.com, Vimeo mit dnt=1); eine Übertragung der IP-Adresse lässt sich damit trotzdem nicht ausschließen. Verantwortlich ist, wer die Einbettung gesetzt hat.

Kartenlinks. Adressen werden als Link zu Google Maps ausgegeben, nicht als eingebettete Karte. Daten fließen erst, wenn jemand klickt — und dann an Google, nicht an uns.

Schriftarten. Die Website lädt ihre Schrift selbst aus (next/font); es entsteht kein Aufruf an einen Google-Server aus dem Browser der Besucherin. Bei der PDF-Erzeugung lädt der Server die Schrift nach; dabei werden keine personenbezogenen Daten übermittelt.

Keine Analyse-, Tracking- oder Zahlungsdienste. Eine Erhebung über den gesamten Quelltext am 2026-08-19 hat keinen einzigen gefunden — weder Web-Analyse noch Werbenetzwerke, weder Fehlersammeldienste noch Zahlungsanbieter, und keine Push-Benachrichtigungen. Das ist der Grund, warum der improwe workspace ohne Einwilligungsbanner auskommt.

Das Datum jeder Fassung steht in der Kopfzeile dieser Seite („Fassung 1.0 · gültig seit …"). Es kommt aus dem Fassungs-Register und wird nicht in dieser Tabelle geführt — mit der Freigabe wird der Wortlaut unveränderlich, ein hier eingetragenes Datum liesse sich danach nie mehr berichtigen.