Unterauftragsverarbeiter
Diese Seite weist die Unterauftragsverarbeiter aus, die Andreas Kosmowicz e.K. (KosmosKosmos Webentwicklung) im Rahmen der Auftragsverarbeitung nach Art. 28 DSGVO einsetzt. Geltungsbereich: Betrieb der festiware Event-Management-Plattform als Software as a Service.
Fassung 2026-09, Stand 12. September 2026. Nächste turnusmäßige Überprüfung: März 2027. Diese Seite ist Anhang 2 zum jeweiligen Auftragsverarbeitungsvertrag; maßgeblich für den Vertragsschluss ist die dem Vertrag beigefügte Fassung.
Eingesetzte Dienstleister
Diese Dienstleister verarbeiten personenbezogene Daten unserer Auftraggeber weisungsgebunden im Rahmen der Leistungserbringung. Mit jedem von ihnen besteht ein Vertrag nach Art. 28 DSGVO.
| Anbieter | Leistung | Verarbeitungsort | Rechtsgrundlage und Garantien |
|---|---|---|---|
| Hetzner Online GmbH Gunzenhausen, Deutschland | Anwendungs- und Datenbank-Hosting, VPS-Infrastruktur, tägliche Systemsicherungen | Rechenzentrum Falkenstein/Vogtland, Deutschland | AVV nach Art. 28 DSGVO abgeschlossen. ISO/IEC 27001 zertifiziert. Keine Drittlandsübermittlung. |
| Sinch Germany GmbH Berlin, Deutschland (Mailgun) | Versand transaktionaler E-Mails aus der Plattform | EU-Region | AVV/DPA abgeschlossen. Für den Konzernbezug außerhalb der EU: EU-US Data Privacy Framework sowie Standardvertragsklauseln (Beschluss 2021/914/EU). ISO/IEC 27001. |
| Netcup GmbH Karlsruhe, Deutschland | E-Mail-Hosting sowie Webhosting und Dateispeicher für ergänzende Webauftritte | Deutschland | AVV nach Art. 28 DSGVO abgeschlossen. Keine Drittlandsübermittlung. |
| InternetX GmbH Regensburg, Deutschland | Domain- und DNS-Verwaltung | Deutschland | AVV nach Art. 28 DSGVO abgeschlossen. Verarbeitet lediglich Domain-Registrierungsdaten. |
| Help Scout Inc. Boston, USA | Support-Ticketsystem und Hilfe-Funktion im festiware-Frontend | EU-Region, Zugriff aus den USA möglich | DPA abgeschlossen. EU-US Data Privacy Framework, Standardvertragsklauseln. Verarbeitet ausschließlich Daten aus aktiv initiierten Supportanfragen. |
| Functional Software, Inc. San Francisco, USA (Sentry) | Fehler- und Ausnahme-Monitoring der Anwendung | EU-Region, Frankfurt | DPA abgeschlossen. EU-US Data Privacy Framework, Standardvertragsklauseln, SOC 2 Typ II. Personenbezogene Inhalte werden nicht gezielt erfasst. |
| Mistral AI SAS Paris, Frankreich | KI-gestützte Texterkennung und Auswertung, insbesondere Erkennung handschriftlich ausgefüllter Formulare wie fotografierter Stundenzettel sowie Textassistenz innerhalb der Plattform. Eine Übermittlung findet nur statt, wenn die betreffende Funktion für die Instanz des Auftraggebers aktiviert ist. | EU-Region (Frankreich) | AVV/DPA nach Art. 28 DSGVO abgeschlossen. Anbieter mit Sitz in der EU, keine Drittlandsübermittlung. Übermittelt wird nur der jeweils zu verarbeitende Inhalt; eine Nutzung zum Training der Modelle durch den Anbieter findet nicht statt. Ergebnisse sind Vorschläge, die Übernahme erfolgt durch eine Person. |
| Spatie BV Antwerpen, Belgien (Mailcoach) | Versand und Verwaltung von Newslettern und Serien-E-Mails an die vom Auftraggeber gepflegten Empfängerlisten | EU/EWR | Auftragsverarbeitung auf Grundlage des Data Processing Agreement des Anbieters, abrufbar unter www.mailcoach.app/features/fully-gdpr-compliant. Infrastruktur nach Anbieterangabe vollständig innerhalb der EU beziehungsweise des EWR bei Unternehmen mit Eigentümerschaft in der EU/dem EWR, Daten verschlüsselt gespeichert. |
| Brevo GmbH Berlin, Deutschland | Versand von Newslettern und Serien-E-Mails in Bestandskonfigurationen. Der Einsatz läuft aus und wird durch Mailcoach abgelöst. | Deutschland | AVV nach Art. 28 DSGVO abgeschlossen. Keine Drittlandsübermittlung. |
Empfänger als eigenständig Verantwortliche
Die folgenden Stellen sind keine Unterauftragsverarbeiter. Sie erhalten personenbezogene Daten, verarbeiten diese jedoch zur Erfüllung eigener gesetzlicher und vertraglicher Pflichten in eigener Verantwortung im Sinne des Art. 4 Nr. 7 DSGVO. Die Angabe dient der Vollständigkeit des Datenflusses.
| Stelle | Leistung | Verarbeitungsort | Rechtsgrundlage und Garantien |
|---|---|---|---|
| Mollie B.V. Amsterdam, Niederlande | Zahlungsabwicklung im festiware TicketShop sowie für die Zahlungen des Auftraggebers an den Auftragnehmer: Name, E-Mail-Adresse und Zahlungsdaten der zahlenden Person | Niederlande, Verarbeitung innerhalb der EU | Zahlungsdienstleister mit eigener Erlaubnis nach PSD2 und damit eigenständig Verantwortlicher für Zahlungsverkehr, Aufsichts- und Geldwäschepflichten. Die Angabe dient der Vollständigkeit des Datenflusses. |
Nicht einbezogene Systeme
Die folgenden Systeme nutzen wir für die eigene Unternehmensverwaltung. Sie erhalten ausschließlich Vertrags- und Ansprechpartnerdaten unserer Auftraggeber, jedoch keine Inhaltsdaten aus deren Instanzen, und sind daher keine Unterauftragsverarbeiter im Sinne der Auftragsverarbeitungsverträge:
- Haufe Service Center GmbH (Lexware Office) — Rechnungslegung, Deutschland, AVV abgeschlossen
- Notion Labs, Inc. — Aufgaben- und Projektverwaltung, EU-Region, EU-US Data Privacy Framework, Standardvertragsklauseln
- Kimai (Kevin Papst) — Zeiterfassung, Österreich/Deutschland, AVV abgeschlossen
- You Don't Need a CRM! SAS — Vertriebsverwaltung, Frankreich, DPA abgeschlossen
- Anthropic Ireland, Limited — KI-gestützte Textanalyse und Entwurfserstellung (Claude), Irland, Verarbeitung in den USA, Commercial Terms mit Data Processing Addendum, Standardvertragsklauseln Modul 2 und 3
Änderungen
Wir unterrichten unsere Auftraggeber vor Wirksamwerden in Textform über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Dem Auftraggeber steht ein Widerspruchsrecht von 14 Tagen ab Zugang der Mitteilung aus datenschutzrechtlichen Gründen zu. Kommt keine Einigung zustande, kann er den Hauptvertrag außerordentlich kündigen. Dieses Verzeichnis wird halbjährlich überprüft und in Fassungen geführt.
Änderungshistorie
| Fassung | Datum | Änderung |
|---|---|---|
| 2026-09 | 12.09.2026 | Gliederung nach Verarbeitungsrolle eingeführt (Unterauftragsverarbeiter, eigenständig Verantwortliche, interne Systeme). Help Scout durchgängig als Unterauftragsverarbeiter ausgewiesen, nicht mehr modulabhängig. Netcup um das E-Mail-Hosting erweitert und dafür dogado gestrichen. Amazon Web Services gestrichen, da nicht mehr im Einsatz. Cloudflare ersatzlos gestrichen, da nicht im Einsatz. Anthropic Ireland (Claude) unter den nicht einbezogenen Systemen ergänzt. Firmierungen und Verarbeitungsorte präzisiert. Mistral AI für die KI-gestützte Belegerkennung und Spatie BV (Mailcoach) für den Newsletterversand als Unterauftragsverarbeiter ergänzt. Brevo von den internen Systemen zu den Unterauftragsverarbeitern verschoben und als auslaufend gekennzeichnet, Ablösung durch Mailcoach. Mollie B.V. als eigenständig Verantwortlicher ausgewiesen, nicht mehr modulabhängig. |
| 2026-01 | 23.01.2026 | Rechtsgrundlage für Drittlandstransfers von EU-US Privacy Shield auf EU-US Data Privacy Framework und Standardvertragsklauseln umgestellt. |
Kontakt
Fragen zu diesem Verzeichnis oder zur Auftragsverarbeitung richten Sie bitte an Andreas Kosmowicz e.K., Klingenstraße 22, 04229 Leipzig, andreas@kosmoskosmos.de.
Ständige Adresse dieser Seite: https://festiware.eu/unterauftragsverarbeiter