Unterauftragsverarbeiter
Stand: 12. Juni 2026
Diese Liste wird gemäß AVV § 4 gepflegt. Beabsichtigte Änderungen werden Ihnen mindestens 30 Tage im Voraus mitgeteilt.
Scanara setzt die folgenden Unterauftragsverarbeiter ein, um Ihnen die Plattform bereitzustellen. Alle Unterauftragsverarbeiter sind vertraglich zur Einhaltung gleichwertiger Datenschutzpflichten verpflichtet (DSGVO Art. 28 Abs. 4).
Aktuelle Unterauftragsverarbeiter
| Anbieter | Zweck | Verarbeitete Datenkategorien | Ort der Verarbeitung | Schutzmaßnahme |
|---|---|---|---|---|
| Amazon Web Services (AWS) — Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg | Cloud-Infrastruktur, Datenverarbeitung und -speicherung (App Runner, ECS, Lambda, RDS, S3, Step Functions, SES, Cognito, CloudFront) | Sämtliche im Rahmen des Dienstes verarbeiteten Konto-, Scan-, Assessment- und Protokolldaten | EU (Dublin, eu-west-1); CloudFront-Edge-Standorte in der EU und Nordamerika | AVV mit Amazon Web Services EMEA SARL; primäre Verarbeitung ausschließlich in der EU; die im AWS-AVV einbezogenen Standardvertragsklauseln greifen als Auffanggarantie für etwaige Edge- oder Support-Zugriffe aus Drittländern |
| GitHub, Inc. (Microsoft) — 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA | Quellcode-Repository-Zugriff für Compliance-Scans (nur auf ausdrückliche Anweisung des Kunden) sowie Merge-Gate-Integration (Checks API) | Repository-Inhalte und -Metadaten, GitHub-Konto-Kennungen | USA | EU-US-Datenschutzrahmen (DPF) + Standardvertragsklauseln (Modul 3); Transferfolgenabschätzung (TIA) auf Anfrage |
Hinweis zu Stripe: Stripe Payments Europe, Ltd. (Irland) agiert als eigenständiger Verantwortlicher für Zahlungsdaten und ist daher kein Auftragsverarbeiter im Sinne von DSGVO Art. 28. Stripe ist nicht Gegenstand dieses AVV. Weitere Informationen finden Sie in der Datenschutzerklärung von Stripe.
Weitere Dienstleister (keine Unterauftragsverarbeiter im Sinne des AVV)
Die folgenden Dienste verarbeiten ausschließlich Daten von Besuchern der öffentlichen Marketing-Website, für die Scanara Verantwortlicher ist. Sie verarbeiten keine vom AVV erfassten Kundendaten und werden nur nach Ihrer ausdrücklichen Cookie-Einwilligung geladen (§ 25 Abs. 1 TDDDG).
| Anbieter | Zweck | Schutzmaßnahme |
|---|---|---|
| Google Analytics (GA4) — Vertragspartner: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland; Datenübermittlung an Google LLC (USA) | Website-Analyse auf der öffentlichen Marketing-Website (gtag.js wird ausschließlich nach ausdrücklicher Cookie-Einwilligung geladen) | EU-US-Datenschutzrahmen (DPF) + Standardvertragsklauseln (Modul 2); TIA auf Anfrage |
| Microsoft Clarity — Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA | Session-Replay und Heatmap-Analyse auf der öffentlichen Marketing-Website (Clarity-Script wird ausschließlich nach ausdrücklicher Cookie-Einwilligung geladen) | EU-US-Datenschutzrahmen (DPF) + Standardvertragsklauseln (Modul 2); TIA auf Anfrage |
Benachrichtigung bei Änderungen
Beabsichtigte Änderungen an den Unterauftragsverarbeitern (Hinzufügung oder Austausch) werden Ihnen mindestens 30 Tage im Voraus per E-Mail mitgeteilt. Sie haben das Recht, innerhalb dieser Frist einen begründeten Einwand in Textform (§ 126b BGB) zu erheben. Können sich die Parteien nicht einigen, steht Ihnen gemäß AVV § 4 ein außerordentliches Kündigungsrecht mit einer Frist von 30 Tagen zu.
Um Einwand zu erheben, antworten Sie auf die Benachrichtigungs-E-Mail mit dem Betreff WIDERSPRUCH: [Name des Unterauftragsverarbeiters] oder schreiben Sie an support@scanara.io.
Rechtsgrundlage
Diese Liste wird gemäß DSGVO Art. 28 Abs. 2 und 4 geführt. Alle Unterauftragsverarbeiter sind durch schriftliche Verträge zur Einhaltung gleichwertiger Datenschutzpflichten verpflichtet. Transferfolgenabschätzungen (TIAs) für Drittlandtransfers sind auf Anfrage erhältlich. Die DPF-Zertifizierungen der betroffenen Anbieter werden mindestens jährlich überprüft.
Fragen zur Unterauftragsverarbeitung? support@scanara.io
Änderungshistorie
| Datum | Änderung |
|---|---|
| 12. Juni 2026 | Google Ireland Ltd. als Vertragsentität präzisiert; CloudFront, ECS und Step Functions in der AWS-Dienstliste ergänzt; Anschriften, Datenkategorien und Verarbeitungsorte ergänzt; GA4 und Clarity in eigene Rubrik (keine Unterauftragsverarbeiter im Sinne des AVV) verschoben; Einwand in Textform und Kündigungsmodalitäten an AVV § 4 angeglichen; Stripe-Entität korrigiert (Stripe Payments Europe, Ltd.) |
| 4. Juni 2026 | Erstveröffentlichung |