Anlage 2 — Empfänger personenbezogener Daten

zum Vertrag zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO — Tapcoat
Stand: Mai 2026

Diese Anlage benennt alle Stellen, an die im Zusammenhang mit der Tapcoat-Plattform personenbezogene Daten übermittelt oder durch die diese verarbeitet werden. Sie ist in vier rechtlich getrennte Sektionen gegliedert:

• Sektion A — Auftragsverarbeiter nach Art. 28 DSGVO (AVV-pflichtig)
• Sektion B — Gemeinsam Verantwortliche nach Art. 26 DSGVO (Joint-Controller-Vereinbarung statt AVV)
• Sektion C — Eigenständig Verantwortliche (Empfänger ohne Weisungsbindung, kein AVV)
• Sektion D — Tools ohne planmäßige Verarbeitung von Mandant:innen-Daten

Der Auftraggeber genehmigt die in Sektion A aufgeführten Unterauftragsverarbeiter. Änderungen oder Ergänzungen werden gemäß Hauptvertrag mindestens 30 Tage im Voraus angekündigt; ein Widerspruchsrecht des Auftraggebers bleibt unberührt.

Drittlandtransfers werden in der Spalte „Rechtliche Garantien“ ausgewiesen. Die Absicherung erfolgt jeweils über die EU-Standardvertragsklauseln (Modul 2, Durchführungsbeschluss 2021/914) und — soweit anwendbar — über den Angemessenheitsbeschluss EU-US Data Privacy Framework vom 10. Juli 2023.

Sektion A — Auftragsverarbeiter nach Art. 28 DSGVO

Sektion B — Gemeinsam Verantwortliche nach Art. 26 DSGVO

Für die nachfolgenden Empfänger ist eine Vereinbarung über die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO maßgeblich; ein klassischer AVV nach Art. 28 DSGVO ist hier nicht einschlägig. Die Verarbeitung erfolgt auf Grundlage entsprechender Cookie- und Tracking-Einwilligungen der Website-Besucher:innen.

Sektion C — Eigenständig Verantwortliche

Die nachfolgenden Empfänger handeln nicht weisungsgebunden für Tapcoat, sondern als eigene Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. Ein Auftragsverarbeitungsvertrag ist daher nicht zu schließen; es gelten die jeweiligen Berufs- bzw. Verschwiegenheitspflichten.

Sektion D — Tools ohne planmäßige Verarbeitung von Mandant:innen-Daten

Die nachfolgenden Tools werden von Tapcoat-Mitarbeitenden eingesetzt, sind aber nicht zur Verarbeitung personenbezogener Mandant:innen-Daten freigegeben. Es besteht eine interne Anweisung, keine echten Mandant:innen-Daten in diese Systeme einzugeben. Sollte sich der Einsatzbereich ändern und künftig personenbezogene Daten von Mandant:innen verarbeitet werden, sind die Tools zwingend in Sektion A aufzunehmen und die Verantwortlichen vorab zu informieren.

Ergänzende Hinweise

• Drittlandtransfer: Für Apple, Google, DigitalOcean (nicht Hetzner — verarbeitet in Deutschland), Sentry, Cloudflare, GitHub, GitLab, HubSpot, ActiveCampaign und Dropbox erfolgen Übermittlungen außerhalb der EU/EWR. Die Absicherung erfolgt jeweils über Standardvertragsklauseln (Modul 2, Durchführungsbeschluss 2021/914) und — soweit anwendbar — ergänzend über den Angemessenheitsbeschluss EU-US Data Privacy Framework vom 10. Juli 2023.
• Apple / APNs: Apple Distribution International Limited stuft sich nach eigener Aussage für den Apple Push Notification Service (APNs) nicht als Auftragsverarbeiter im Sinne von Art. 28 DSGVO ein, da der Payload technisch nicht eingesehen werden kann.
• Capawesome (Genz IT): Sub-Sub-Prozessoren (insbesondere CDN- und Datenbank-Anbieter) sind im DPA zwischen Tapcoat und Capawesome geregelt und nicht Gegenstand dieser Anlage.
• Sentry: Verarbeitet Daten in den USA. IP-Masking ist serverseitig aktiviert.
• Wallet-Pass-Generierung: Erfolgt im Tapcoat-Backend (DigitalOcean FRA1). Sofern Tapcoat künftig externe Pass-Generierungsdienste einsetzt, ist diese Liste entsprechend zu ergänzen.
• Datenresidenz DigitalOcean: Die Verarbeitung erfolgt in den deutschen Rechenzentren der eingesetzten Hosting-Anbieter: DigitalOcean FRA1 (Frankfurt am Main) und Hetzner (Falkenstein/Nürnberg).