Unterauftragsverarbeiter
nach Art. 28 Abs. 2 und 4 DSGVO
Stand: 11. Oktober 2026
1. Übersicht
| Nr. | Unternehmen | Leistung | Ort der Verarbeitung |
|---|---|---|---|
| 1 | Hetzner Online GmbH | Server, Datenbank, Speicherung der Fotos, Sicherungen | Deutschland, Rechenzentrum Nürnberg |
| 2 | Amazon Web Services EMEA SARL (Amazon SES) | Versand von E-Mails | EU, Region Frankfurt |
| 3 | Google Cloud EMEA Ltd. (Google Workspace) | E-Mail-Postfächer des Betreibers | EU, Übermittlung in die USA möglich |
Fotos, Kinder- und Elterndaten liegen ausschließlich bei Hetzner in Nürnberg. Auch die Protokolle der selbst betriebenen Dienste (mit IP-Adressen, teilweise E-Mail-Adressen) liegen dort, auf demselben Server.
2. Einzelheiten
2.1 Hetzner Online GmbH
| Sitz | Industriestraße 25, 91710 Gunzenhausen, Deutschland |
| Rechenzentrum | Nürnberg |
| Leistung | Cloud-Server mit Anwendung und Datenbank; Hetzner Object Storage für die Fotodateien, die tägliche Kopie der Fotodateien und die verschlüsselten Datenbanksicherungen |
| Daten | alle Daten der Plattform (Anlage 1 zum AVV) |
| Grundlage | Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO mit Hetzner |
| Zertifizierung | ISO/IEC 27001 |
2.2 Amazon Web Services EMEA SARL (Amazon SES)
| Sitz | 38 Avenue John F. Kennedy, L-1855 Luxemburg |
| Region | EU (Frankfurt), eu-central-1 |
| Leistung | technischer Versand von E-Mails: Einladungen, Bestätigung der Registrierung, Benachrichtigungen über neue Alben, technische Meldungen an den Betreiber |
| Daten | Name und E-Mail-Adresse der Empfänger, Name der Einrichtung oder Galerie und der einladenden Person, Einladungscodes und Links. Technische Meldungen an den Betreiber können Protokollzeilen mit IP- oder E-Mail-Adressen enthalten. Keine Fotos. |
| Grundlage | AWS Data Processing Addendum mit Standardvertragsklauseln |
AWS EMEA SARL gehört zu einem US-Konzern. Die Verarbeitung findet in der Region Frankfurt statt. Ein Zugriff von US-Behörden auf Grundlage US-amerikanischen Rechts ist rechtlich nicht vollständig ausgeschlossen. Die Muttergesellschaft Amazon.com, Inc. ist mit Amazon Web Services, Inc. unter dem EU-U.S. Data Privacy Framework zertifiziert.
2.3 Google Cloud EMEA Ltd. (Google Workspace)
| Sitz | 70 Sir John Rogerson's Quay, Dublin 2, Irland |
| Leistung | E-Mail-Postfächer des Betreibers (Google Workspace) |
| Daten | E-Mails, die Nutzer oder Eltern an den Support schreiben; Anfragen aus dem Kontaktformular; technische Meldungen des Servers, die Protokollzeilen mit IP- oder E-Mail-Adressen enthalten können |
| Grundlage | Google Cloud Data Processing Addendum mit Standardvertragsklauseln; Google LLC ist unter dem EU-U.S. Data Privacy Framework zertifiziert |
Fotos und die in der Plattform gespeicherten Kinder-, Eltern- und Einwilligungsdaten werden nicht an Google übermittelt.
3. Weitere Dienste, die keine Unterauftragsverarbeiter sind
| Dienst | Warum kein Unterauftragsverarbeiter |
|---|---|
| Stripe (Zahlungen) | verarbeitet nur Rechnungs- und Zahlungsdaten des Kunden (Name, Rechnungsadresse, E-Mail, Kartendaten auf der Seite von Stripe). Das sind Daten aus dem Vertrag mit KinderAlbum, für die KinderAlbum selbst verantwortlich ist. Keine Fotos, keine Daten von Kindern oder Eltern. |
| Umami (Reichweitenmessung) | läuft auf dem eigenen Server in Nürnberg und ist kein fremder Dienst. Es misst nur die Website, nicht die Plattform; dieselbe Installation misst auch weitere Websites des Betreibers. |
| GitHub (Quellcode, automatische Tests, Auslieferung) | enthält den Programmcode und die Protokolle der automatischen Tests und Auslieferungen; die Tests laufen ohne Daten aus der Plattform. Im Code steht eine dienstliche E-Mail-Adresse einer Lehrkraft (Schutz eines Kontos vor versehentlichem Löschen). |
| IONOS (DNS) | löst nur den Domainnamen auf, ohne personenbezogene Daten aus der Plattform |
Nicht eingesetzt werden: CDN, Cloudflare, externe Fehlerüberwachung, Werbenetzwerke, KI-Dienste Dritter, Schriftarten oder Skripte von fremden Servern.
4. Änderungen
Eine beabsichtigte Hinzuziehung oder Ersetzung kündigt der Auftragsverarbeiter mindestens 14 Tage vorher per E-Mail an. Der Verantwortliche kann innerhalb dieser Frist Einspruch erheben und, wenn keine Einigung zustande kommt, den Vertrag sofort kündigen (AVV § 7).
Diese Übersicht stellt keine Rechtsberatung dar.