Diese Liste ist Anlage 2 des Auftragsverarbeitungsvertrags und wird laufend aktualisiert. Sie nennt alle Dienstleister, die Timeveo einsetzt und die dabei personenbezogene Daten aus der Plattform verarbeiten können.
Der Einsatz erfolgt auf Grundlage der allgemeinen Genehmigung nach Art. 28 Abs. 2 Satz 1 DSGVO. Jeder dieser Dienstleister ist vertraglich auf ein Schutzniveau verpflichtet, das dem AVV entspricht.
1. Eingesetzte Unterauftragsverarbeiter
| Unternehmen | Zweck | Datenkategorien | Sitz / Region | Garantien |
|---|---|---|---|---|
| ONETSOLUTIONS SAS, 1 Allée de l’Ecluse, 33370 Yvrac, Frankreich (RCS Bordeaux 533 905 659) | Hosting und Betrieb der Timeveo-Applikation und der Datenbank | Alle in der Plattform gespeicherten Daten | Frankreich (EU) | Verarbeitung innerhalb der EU, AVV |
| Cloudflare, Inc. | DNS, Content Delivery, Schutz vor Angriffen, Hosting der Landing- und Rechtsseiten, Tunnel zur Fehlerüberwachung, Speicherung der nächtlichen Sicherungen der Fehlerüberwachung (R2) | Verbindungsdaten (IP-Adresse, User-Agent, angefragte URL), Formulardaten der Pilot-Warteliste, Sicherungskopien der Fehlerüberwachungsdaten | USA, Verarbeitung über europäische Edge-Standorte; Sicherungen in der EU-Jurisdiktion von R2 | EU-Standardvertragsklauseln, EU-US Data Privacy Framework, Cloudflare Data Processing Addendum |
| Oracle Deutschland B.V. & Co. KG (Oracle Cloud Infrastructure) | Betrieb der selbst gehosteten Fehlerüberwachung (GlitchTip) und der Verfügbarkeitskontrolle der Plattform | Technische Fehlermeldungen und Stacktraces, pseudonyme Mandanten- und Nutzer-IDs, Browsertyp und aufgerufene Seite ohne Suchparameter; IP- und E-Mail-Adressen werden vor der Speicherung entfernt, keine Formularinhalte; Aufbewahrung 90 Tage | Deutschland (EU), Region Frankfurt am Main; Konzernmutter USA | Verarbeitung innerhalb der EU, Oracle Data Processing Agreement for Oracle Cloud Services, EU-Standardvertragsklauseln bzw. Binding Corporate Rules for Processors, EU-US Data Privacy Framework |
| Sendinblue SAS, handelnd als Brevo | Versand transaktionaler E-Mails (Terminbestätigungen, Erinnerungen, Systemnachrichten) | Name, E-Mail-Adresse, Inhalt der jeweiligen Nachricht, Zustellstatus | Frankreich (EU) | Verarbeitung innerhalb der EU, AVV |
| seven communications GmbH & Co. KG (seven.io) | Versand von SMS, insbesondere Terminerinnerungen und Einmalcodes | Telefonnummer, Nachrichteninhalt, Zustellstatus | Deutschland (EU) | Verarbeitung innerhalb der EU, AVV |
| Twilio Ireland Limited | Ausweichweg für den SMS-Versand, wenn seven.io nicht verfügbar ist | Telefonnummer, Nachrichteninhalt, Zustellstatus | Irland (EU), Konzernmutter USA | EU-Standardvertragsklauseln, EU-US Data Privacy Framework, Twilio Data Protection Addendum |
| Meta Platforms Ireland Limited | Versand von WhatsApp-Nachrichten über die WhatsApp Business Platform: Einmalcodes über den Zugang von Timeveo sowie Terminnachrichten über den WhatsApp-Business-Zugang deines Betriebs, dessen Einrichtung über Meta läuft | Telefonnummer, Nachrichteninhalt, Zustellstatus; bei der Einrichtung zusätzlich die Zugangsdaten deines Meta-Kontos gegenüber Meta | Irland (EU), Konzernmutter USA | EU-Standardvertragsklauseln, EU-US Data Privacy Framework, Meta Data Processing Terms |
| Stripe Payments Europe, Limited | Abrechnung des Timeveo-Tarifs; technische Vermittlung der Zahlungen deiner Kundinnen und Kunden über deinen eigenen verbundenen Stripe-Zugang (Stripe Connect) | Rechnungs- und Kontaktdaten, Zahlungsreferenzen, Transaktionsmetadaten; keine vollständigen Kartendaten in Timeveo | Irland (EU), Konzernmutter USA | EU-Standardvertragsklauseln, EU-US Data Privacy Framework, Stripe Data Processing Agreement |
| PayPal (Europe) S.à r.l. et Cie, S.C.A. | Zahlungsabwicklung im Buchungsvorgang über deinen eigenen PayPal-Zugang | Transaktionsmetadaten, Zahlungsreferenzen | Luxemburg (EU) | Verarbeitung innerhalb der EU |
| SumUp EU Payments UAB | Kartenzahlungen am Kassenterminal über deinen eigenen SumUp-Zugang | Transaktionsmetadaten, Terminal- und Belegdaten; keine vollständigen Kartendaten in Timeveo | Litauen (EU) | Verarbeitung innerhalb der EU |
| fiskaly GmbH | Technische Sicherheitseinrichtung (Cloud-TSE) nach KassenSichV, Signatur von Kassenvorgängen, DSFinV-K-Export | Kassen- und Belegdaten, Zeitstempel, Signaturzähler | Österreich (EU) | Verarbeitung innerhalb der EU, AVV |
Zahlungsdienstleister: Stripe, PayPal und SumUp verarbeiten Zahlungsdaten zusätzlich als eigenständig Verantwortliche, soweit sie eigene aufsichtsrechtliche Pflichten und Betrugsprävention erfüllen. Der Vertrag über die Abwicklung der Zahlungen deiner Kundinnen und Kunden besteht direkt zwischen dir und dem jeweiligen Anbieter. Näheres unter Verantwortlichkeiten.
2. Änderungen und Widerspruch
Timeveo kündigt den Einsatz eines neuen Unterauftragsverarbeiters oder den Wechsel eines bestehenden mindestens 30 Tage vor Aktivierung per E-Mail an die im Konto hinterlegte Administrator-Adresse an. Zusätzlich wird die Änderung im Änderungsprotokoll auf dieser Seite festgehalten.
Du kannst der Änderung innerhalb der Ankündigungsfrist aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Lässt sich der Widerspruch nicht ausräumen, steht beiden Seiten ein Sonderkündigungsrecht nach Ziffer 8 des AVV zu.
3. Änderungsprotokoll
| Datum | Änderung |
|---|---|
| 20.08.2026 | Erstveröffentlichung der Liste mit acht Unterauftragsverarbeitern. |
| 17.09.2026 | Aufnahme der Oracle Deutschland B.V. & Co. KG für die selbst gehostete Fehlerüberwachung; Erweiterung von Cloudflare um den Tunnel zur Fehlerüberwachung und die Sicherungen in R2. |
| 26.09.2026 | Vollständige Firmierung und Anschrift des Hosting-Anbieters ONETSOLUTIONS SAS ergänzt. Aufnahme der seven communications GmbH & Co. KG als SMS-Dienstleister (Twilio bleibt Ausweichweg) und der Meta Platforms Ireland Limited für WhatsApp-Nachrichten. |
| 29.09.2026 | Kein Unterauftragsverarbeiter hinzugefügt oder entfernt. Weggefallen sind drei Einbindungen fremder Inhalte, die keine Auftragsverarbeitung waren: Google Fonts auf den Buchungsseiten, Bunny Fonts in der Verwaltungsoberfläche und ui-avatars.com für Platzhalterbilder. Schriftarten und Platzhalterbilder liefern wir jetzt selbst aus. Die Google-Maps-Karte auf den Buchungsseiten und die Adresssuche in den Standort-Einstellungen laden erst nach einem Klick. |
4. Offene Punkte
Die vertragsschließende Oracle-Gesellschaft wird gegen den Oracle-Cloud-Vertrag bestätigt; bis dahin ist die deutsche Landesgesellschaft genannt. Am Ort der Verarbeitung (Frankfurt am Main, EU) ändert sich dadurch nichts.
Version 1.3, Stand 29. September 2026.