Unterauftragsverarbeiter
KIES – Stand: 08.11.2026
Diese Übersicht unterscheidet Unterauftragsverarbeiter für die Verarbeitung von Kundendaten in KIES, eigenständig eingesetzte Website-Dienstleister und Anbieter für die kaufmännische Vertragsabwicklung. Maßgeblich sind der tatsächliche Einsatz und die jeweilige datenschutzrechtliche Rolle.
1. Verarbeitung in der KIES-Anwendung
BKData GmbH betreibt KIES als SaaS-Anwendung und verarbeitet darin vom Kunden eingestellte personenbezogene Daten grundsätzlich auf dessen Weisung. Microsoft Azure ist für die derzeit vorhandene Entwicklungsumgebung als Infrastruktur-Dienstleister vorgesehen beziehungsweise eingesetzt. Die konkrete produktive Konfiguration ist vor dem regulären Leistungsbeginn gesondert festzulegen.
| Unternehmen | Leistung | Betroffene Daten | Standort/Region | Stand |
|---|---|---|---|---|
| Microsoft Ireland Operations Limited, Dublin, Irland (Microsoft Azure) | Azure App Service, Azure SQL Database und damit zusammenhängende Infrastruktur-, Speicher-, Sicherungs- und Diagnoseleistungen im tatsächlich gebuchten Umfang; keine unbestätigte Zuordnung von Azure Communication Services | Je nach Dienst und Zugriff: KIES-Kundendaten, Benutzer- und Kontodaten, hochgeladene Dokumente sowie Betriebs-/Diagnosedaten | Azure-Region und weitere Verarbeitungs-/Supportstandorte sind anhand des jeweiligen Mandanten- und Subunternehmervertrags sowie der PROD-Konfiguration zu bestimmen | DEV-Infrastruktur bekannt; PROD-Region, Dienstumfang und AVV-Nachweise vor Vertragsfreigabe abzugleichen |
Die vertragliche Einbindung von Microsoft (einschließlich Microsoft Products and Services Data Protection Addendum), die aktuelle Unterauftragsverarbeiterliste, mögliche Fernzugriffe und gegebenenfalls geeignete Drittlandtransfergarantien sind anhand der tatsächlich geltenden Microsoft-Vertragsunterlagen und Azure-Einstellungen zu prüfen. Eine pauschale Zusage ausschließlicher Verarbeitung innerhalb der EU/EWR wird hier nicht abgegeben.
2. Website und Anfragen (nicht Teil der Auftragsverarbeitung in der KIES-Anwendung)
Bei Websitebesuchen und allgemeinen Anfragen entscheidet BKData regelmäßig selbst über Zwecke und Mittel der Verarbeitung. Diese Dienstleister gehören daher nicht automatisch zur Unterauftragsverarbeiterkette des KIES-Kunden-AVV. Einzelheiten sind in der Datenschutzerklärung zu erläutern.
| Unternehmen | Leistung | Quelle | Stand |
|---|---|---|---|
| STRATO AG, Berlin | Hosting der öffentlichen KIES-Website und zugehöriger Webinfrastruktur; nicht das Hosting der KIES-SaaS-Anwendung | Website-Datenschutzerklärung | Website-Dienstleister; konkrete Vertrags- und Hostingkonfiguration abgleichen |
| Usercentrics A/S (Cookiebot) | Consent-Management, sofern auf der Website tatsächlich eingebunden | Website-Datenschutzerklärung / Cookie-Einstellungen | Einsatz und Vertrag anhand des produktiven Websiteskripts prüfen |
| OpenAI / ChatGPT | Etwaige Unterstützung bei Anfragen nur, soweit tatsächlich in einem freigegebenen Prozess eingesetzt; keine pauschale Übermittlung von KIES-Kundendaten behauptet | Website-Datenschutzerklärung / tatsächliche Prozessdokumentation | Rolle, Datenkategorien und tatsächliche Nutzung vor Aussage über den Einsatz überprüfen |
3. Vertragsabwicklung und Abrechnung
Für Bestellungen, Verträge und Zahlungen sind fynk und Qonto in der KIES-Projektplanung vorgesehen. Ob ein Anbieter im jeweiligen Prozess Auftragsverarbeiter, eigenständig Verantwortlicher oder in einer anderen Rolle handelt, ergibt sich aus der konkret genutzten Leistung und den vereinbarten Verträgen. Diese Anbieter sind deshalb nicht ohne weiteren Nachweis als Unterauftragsverarbeiter für die in KIES gespeicherten Fachdaten eingeordnet.
| Dienst | Zweck | Abgrenzung |
|---|---|---|
| fynk | Vertragserstellung und Vertragsverwaltung; API-Automatisierung in Vorbereitung | Vertrags- und Kontaktdaten; AVV-/Rollenprüfung abhängig vom tatsächlichen Einsatz |
| Qonto | Abrechnung und Zahlungsvorgänge; API-Anbindung vorgesehen | Rechnungs- und Zahlungsdaten; je nach Dienst eigenständige Verantwortlichkeit und/oder Auftragsverarbeitung |
Eine zusätzliche Verarbeitung von KIES-Evidenzen oder hochgeladenen Fachunterlagen durch diese Dienste wird hier nicht behauptet.
4. Änderungen und Information
Der Einsatz neuer oder der Austausch bestehender Unterauftragsverarbeiter für die KIES-Anwendung erfolgt nach dem jeweils vereinbarten AVV gemäß Art. 28 Abs. 2 und 4 DSGVO. Bei einer allgemeinen Genehmigung sind Kunden über beabsichtigte Änderungen so zu informieren, dass sie nach Maßgabe des Vertrags Einwände erheben können. Eine konkrete Frist wird nur dann zugesagt, wenn sie im geltenden AVV verbindlich vereinbart ist. Die vorliegende Website-Übersicht ersetzt weder die vertraglich vereinbarte Liste noch den Nachweis der Unterauftragsverarbeitungsverträge.