Diese Seite führt die Unterauftragnehmer auf, die die innnow GmbH im Rahmen der Auftragsverarbeitung für ihre Kunden einsetzt.
Maßgeblich für das jeweilige Vertragsverhältnis ist die mit dem Verantwortlichen vereinbarte Anlage 1 des Auftragsverarbeitungsvertrags (AVV). Diese Seite informiert über die aktuell von innnow eingesetzten Unterauftragnehmer.
Die Liste bezieht sich ausschließlich auf Verarbeitungsvorgänge im Rahmen der innnow-Plattform. Verarbeitungsvorgänge auf der öffentlichen Website oder im allgemeinen Geschäftsbetrieb werden hiervon getrennt betrachtet.
Anschrift: Industriestr. 25, 91710 Gunzenhausen, Deutschland
Zweck: Hosting der innnow-Plattform, Server-, Datenbank- und Backup-Infrastruktur.
Verarbeitungsort: Deutschland (derzeit Rechenzentrumsstandort Nürnberg).
Verarbeitete Daten: Je nach beauftragter Funktion insbesondere Nutzerkonten, Organisationsdaten, Feedback- und Freitextdaten, strukturierte Nutzungs- und Portfoliodaten, Auswertungen sowie technische Protokolldaten.
Besonderheiten: Die zentrale Verarbeitung und dauerhafte Speicherung der Plattform-Inhaltsdaten erfolgt auf der von innnow betriebenen Infrastruktur bei Hetzner in Deutschland.
Anschrift: Okta, Inc., 100 First Street, San Francisco, CA 94105, USA (Auth0 Platform / Customer Identity Cloud)
Zweck: Identitäts-, Login- und Zugriffsverwaltung.
Verarbeitungsort: EU (Auth0-Tenant in der Region Europa).
Verarbeitete Daten: Insbesondere dienstliche E-Mail-Adresse, Name soweit im Nutzerkonto hinterlegt, Authentifizierungsdaten, technische Login-Metadaten sowie Rollen-, Organisations- und Berechtigungsinformationen.
Besonderheiten: Auth0 dient ausschließlich der Identitäts- und Zugriffsverwaltung und erhält keinen bestimmungsgemäßen Zugriff auf Feedbackinhalte, Freitexte oder fachliche Auswertungen.
Anschrift: Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland
Zweck: E-Mail-Infrastruktur und Versand transaktionaler Plattform-E-Mails, beispielsweise Einladungen, Aktivierungs-, Hinweis- und Benachrichtigungsmails.
Verarbeitungsort: Deutschland.
Verarbeitete Daten: Empfänger-E-Mail-Adresse, gegebenenfalls Name oder Anrede, für die jeweilige Nachricht erforderliche Inhalte sowie technische Versand- und Zustellungsinformationen.
Besonderheiten: Transaktionale E-Mails sind auf die für den jeweiligen Kommunikationszweck erforderlichen Informationen beschränkt. Feedbackinhalte, vollständige Auswertungen oder sonstige nicht für den Versand erforderliche Plattformdaten werden nicht bestimmungsgemäß übermittelt.
Anschrift: 101 Townsend Street, San Francisco, CA 94107, USA
Zweck: Reverse Proxy, DDoS-Schutz, Web Application Firewall, TLS-Terminierung und technische Sicherheitsfunktionen.
Verarbeitungsort: Global verteiltes Cloudflare-Netzwerk.
Verarbeitete Daten: Technische Verbindungsdaten, insbesondere IP-Adressen, Request-Header, TLS-Verbindungsinformationen und Sicherheitsereignisse, sowie im Rahmen der TLS-Terminierung und Sicherheitsprüfung transient verarbeitete HTTP(S)-Anfrage- und Antwortinhalte.
Besonderheiten: Sämtliche über die Plattform übertragenen Anfragen und Antworten werden im Rahmen der TLS-Terminierung transient entschlüsselt verarbeitet, um Sicherheits- und Schutzfunktionen bereitzustellen. Eine dauerhafte Speicherung dieser Inhalte bei Cloudflare ist nicht vorgesehen.
Dynamische Plattform- und API-Inhalte sind konfigurationsseitig vom Caching ausgenommen.
Cloudflare wird nicht zur fachlichen Auswertung von Plattforminhalten eingesetzt.
Anschrift: 38 Avenue John F. Kennedy, L-1855 Luxemburg
Einsatz: Nur bei freigeschalteten KI-Funktionen gemäß § 7 des AVV.
Zweck: Bereitstellung von KI-Inferenz für die vom Verantwortlichen freigeschalteten Funktionsgruppen, insbesondere Klassifikation, Verschlagwortung, Zusammenfassung, Strukturierung und die Erzeugung unterstützender Analyse- oder Maßnahmenvorschläge.
Verarbeitungsort: EU-Geo-Inferenzprofil. Anfragen können abhängig von der Verfügbarkeit innerhalb der vom EU-Geo-Inferenzprofil unterstützten AWS-Regionen innerhalb der EU/des EWR verarbeitet werden.
Verarbeitete Daten: Je nach freigeschalteter Funktionsgruppe werden insbesondere Freitexte, Antworten, Bewertungen, Schlagwörter, Maßnahmen, Aufgaben und Statusinformationen, fachlich erforderliche Organisationsmerkmale sowie die erforderlichen Nutzungsdaten verarbeitet, soweit möglich minimiert und je nach Funktion aggregiert oder pseudonymisiert.
Derzeit werden für die Verschlagwortung der Kommentartext, die Bewertung, bestehende Schlagwörter und, soweit fachlich erforderlich, die Fachabteilung übermittelt. Namen und E-Mail-Adressen werden nicht bestimmungsgemäß an Bedrock übermittelt. innnow gestaltet die KI-Verarbeitung nach dem Grundsatz der Datenminimierung.
Besondere Schutzmaßnahmen:
Die dauerhafte Speicherung der zentralen Plattform-Inhaltsdaten erfolgt in Deutschland, ihre primäre Verarbeitung innerhalb der EU/des EWR. Konto- und Anmeldedaten werden zusätzlich beim Identitätsdienst, Versanddaten beim E-Mail-Dienst innerhalb der EU/des EWR gespeichert.
Durch global tätige Unterauftragnehmer können darüber hinaus technisch erforderliche transiente Verarbeitungen oder begrenzte Drittlandzugriffe, insbesondere im Rahmen von Sicherheits-, Betriebs- oder Supportleistungen, stattfinden.
Soweit eine Übermittlung personenbezogener Daten in ein Drittland erfolgt, stützt innnow diese auf einen Angemessenheitsbeschluss der Europäischen Kommission einschließlich des EU-US Data Privacy Framework, soweit anwendbar, oder auf EU-Standardvertragsklauseln sowie erforderliche ergänzende Schutzmaßnahmen.
Über die geplante Hinzunahme oder Ersetzung eines Unterauftragnehmers informiert innnow die betroffenen Bestandskunden gemäß § 6 Abs. 2 des AVV mindestens 30 Tage vor dessen Einsatz in Textform. Ein Widerspruch aus wichtigem datenschutzrechtlichem Grund ist innerhalb dieser Frist möglich.
Fragen zur Auftragsverarbeitung oder zu den eingesetzten Unterauftragnehmern können an datenschutz@innnow.de gerichtet werden.