Diese Seite ist eine unverbindliche Übersetzung des englischen Rechtstextes. Bei Abweichungen ist die englische Fassung maßgeblich.
Dieses Verzeichnis nennt die für NoCert eingesetzten oder genehmigten Anbieter und ihre Rollen. Infrastruktur- und Zustellanbieter verarbeiten gegebenenfalls personenbezogene Kundendaten auf Weisung. Zahlungs-, Rechnungs- und Kontosupportanbieter können dagegen für Zwecke tätig sein, für die NoCert selbst Verantwortlicher ist, oder eigene gesetzliche Pflichten erfüllen. Ihre Auflistung macht nicht jede Verarbeitung zur Unterauftragsverarbeitung nach diesem DPA. Alle betroffenen Kunden einschließlich Free- und Testkunden erhalten die Vorabinformation nach Abschnitt 8 des DPA.
Hosting und Edge-Infrastruktur
| Unterauftragsverarbeiter | Rolle | Standort | Übermittlungsmechanismus |
|---|---|---|---|
| OVHcloud SAS (France) | Cloud-Hosting personenbezogener Kundendaten für von nocert gehostete Bereitstellungen | Frankreich und Deutschland (EWR) | Keine (EWR) |
| Scaleway SAS (France) | Kurzzeitige Rechenleistung für ausgehende Relays (öffentliche TLS-Scans und Alarmzustellung); verarbeitet Daten ausschließlich während der Übertragung und speichert keine personenbezogenen Kundendaten | Europäische Union (EWR) | Keine (EWR) |
| Cloudflare, Inc. (USA) und Cloudflare Ireland Limited (Ireland) | Edge-Auslieferung, WAF und DDoS-Schutz; verarbeitet Anfragen und begrenzte technische Metadaten, ist aber nicht das führende System für Anwendungsdaten | Globales Netzwerk; US- und EWR-Unternehmen. Keine Zusage ausschließlich europäischer Netzwerkverarbeitung. | Anwendbares Anbieter-DPA; Angemessenheitsbeschluss nach Artikel 45, sofern er gültig ist und den Empfänger sowie den Dienst abdeckt; andernfalls Garantien nach Artikel 46 und die erforderliche Bewertung. |
Zahlung und Rechnungsstellung
| Unterauftragsverarbeiter | Rolle | Standort | Übermittlungsmechanismus |
|---|---|---|---|
| Stripe Payments Europe Ltd. (Ireland) und Stripe, Inc. (USA) | Zahlungsabwicklung | Irland (EWR) und USA | EU-Standardvertragsklauseln, Modul 2 + DPF |
| Tiime SAS (France) | E-Rechnung als von der DGFiP offiziell zertifizierte Plateforme Agréée | Frankreich (EWR) | Keine (EWR) |
Cloud- und E-Mail-Infrastruktur
| Unterauftragsverarbeiter | Rolle | Standort | Übermittlungsmechanismus |
|---|---|---|---|
| Google LLC / Google Ireland Limited, Google Workspace | Geschäfts- und Support-E-Mail; aktueller SMTP-Anbieter für Anmeldecodes, Warnungen, Kontomitteilungen und optionale Nachrichten. Verarbeitet Empfängeradressen und Inhalte, gegebenenfalls einschließlich Angaben zur Kundeninfrastruktur. | Globale Anbieterinfrastruktur; keine Zusage ausschließlich europäischer E-Mail-Verarbeitung. | Anwendbares Anbieter-DPA; Angemessenheitsbeschluss nach Artikel 45, sofern er gültig ist und den Empfänger sowie den Dienst abdeckt; andernfalls Garantien nach Artikel 46 und die erforderliche Bewertung. |
| Amazon Web Services EMEA SARL / Amazon Web Services, Inc., Amazon SES | Zusätzlicher Anbieter für Transaktions-E-Mails bei Aktivierung, vorbehaltlich DPA und Transfergarantien. Google Workspace ist der aktuelle Standardanbieter. | EU-Region für NoCert-Aktivierung erforderlich; internationale Support- oder Unterauftragnehmerzugriffe unterliegen Transfergarantien. | Anwendbares Anbieter-DPA; Angemessenheitsbeschluss nach Artikel 45, sofern er gültig ist und den Empfänger sowie den Dienst abdeckt; andernfalls Garantien nach Artikel 46 und die erforderliche Bewertung. |
Weitere Unterauftragsverarbeiter
Jeder oben genannte Unterauftragsverarbeiter kann weitere Unterauftragsverarbeiter einsetzen, die Zugriff auf personenbezogene Kundendaten haben. Auf angemessene schriftliche Anfrage an stellt nocert deren Liste bereit, soweit die Angaben öffentlich verfügbar sind oder nocert sie aufgrund des Vertrags mit dem betreffenden Unterauftragsverarbeiter erhalten kann. Diese Verpflichtung setzt die Stellungnahme 22/2024 des EDSA zu den Pflichten von Verantwortlichen und Auftragsverarbeitern in Bezug auf Unterauftragsverarbeiter sowie Abschnitt 8 des DPA um.
Benachrichtigungen
Alle betroffenen Kunden einschließlich Free- und Testkunden erhalten mindestens 30 Tage vor einer geplanten Anbieteränderung eine direkte Mitteilung nach Abschnitt 8 des DPA. Diese notwendigen Datenschutzmitteilungen sind von optionalen Einrichtungshinweisen und Monatsübersichten getrennt. Die Abmeldung optionaler Nachrichten deaktiviert diese Mitteilungen nicht.