Vereinbarung zur Auftragsverarbeitung (AVV) Data Processing Agreement (DPA)

§ 1 Vertragsparteien, Gegenstand und Dauer

1. Diese Vereinbarung zur Auftragsverarbeitung („AVV") konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Rahmen der Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Kunden gemäß Art. 28 DSGVO.
2. Auftragsverarbeiter ist die Dieser GmbH, Lambersartstraße 28, 41747 Viersen, Deutschland, eingetragen im Handelsregister des Amtsgerichts Mönchengladbach unter HRB 20248, vertreten durch die Geschäftsführer Ewald Dieser und Rudolf Dieser (der „Auftragsverarbeiter" oder „Anbieter").
3. Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist die jeweilige Rechtsanwaltskanzlei oder der sonstige Unternehmer im Sinne des § 14 BGB, die bzw. der die Plattform „SecuLex" nutzt (der „Verantwortliche" oder „Kunde").
4. Gegenstand der Auftragsverarbeitung ist die Erbringung der Leistungen der Software-as-a-Service-Anwendung SecuLex auf Grundlage der Allgemeinen Geschäftsbedingungen (AGB) des Anbieters (der „Hauptvertrag").
5. Die Dauer dieser AVV richtet sich nach der Laufzeit des Hauptvertrages. Sie beginnt mit dem Abschluss dieser AVV im Rahmen der Registrierung der Kanzlei und endet automatisch mit der Beendigung des Hauptvertrages, unbeschadet der nachwirkenden Pflichten zur Datenlöschung und Geheimhaltung.

Section 1 — Contracting parties, subject matter and term

1. This Data Processing Agreement ("DPA") specifies the data protection rights and obligations of the parties regarding the processing of personal data by the Provider on behalf of the Customer pursuant to Art. 28 GDPR.
2. The Processor is Dieser GmbH, Lambersartstraße 28, 41747 Viersen, Germany, registered in the commercial register of the local court of Mönchengladbach under HRB 20248, represented by its managing directors Ewald Dieser and Rudolf Dieser (the "Processor" or "Provider").
3. The Controller within the meaning of Art. 4(7) GDPR is the respective law firm or other business customer within the meaning of § 14 BGB using the "SecuLex" platform (the "Controller" or "Customer").
4. The subject matter of this processing is the provision of services under the Software-as-a-Service application SecuLex based on the Provider's General Terms and Conditions (the "Main Agreement").
5. The term of this DPA corresponds to the term of the Main Agreement. It commences upon conclusion of this DPA during Firm Registration and ends automatically upon termination of the Main Agreement, without prejudice to surviving obligations regarding data deletion and confidentiality.

§ 2 Art und Zweck der Verarbeitung

1. Die Art der Verarbeitung umfasst das Speichern, Auslesen, Übermitteln, Bereitstellen, Verwalten und Löschen personenbezogener Daten mittels automatisierter Prozesse über die Cloud-Infrastruktur des Anbieters.
2. Der Zweck der Verarbeitung ist die Bereitstellung einer hochsicheren, Ende-zu-Ende-verschlüsselten Kommunikations- und Aktenverwaltungsplattform für den Verantwortlichen, seine Berufsträger, Mitarbeitenden und Mandanten zur Bearbeitung anwaltlicher Mandate und verfahrensbezogener Kommunikation.
3. Die Verarbeitung umfasst insbesondere die verschlüsselte Vorhaltung von Akteninhalten, die Bereitstellung von Authentifizierungs- und Autorisierungsdiensten, den Versand transaktionsbezogener Benachrichtigungs-E-Mails sowie die Erstellung systemtechnischer Sicherungskopien.

Section 2 — Nature and purpose of processing

1. The nature of processing comprises the storage, retrieval, transmission, provision, management and erasure of personal data using automated processes via the Provider's cloud infrastructure.
2. The purpose of processing is the provision of a highly secure, end-to-end encrypted communication and Case management platform for the Controller, its professionals, staff and clients for the handling of legal mandates and case-related communications.
3. Processing specifically includes the encrypted storage of Case contents, the provision of authentication and authorization services, the dispatch of transactional notification emails, and the generation of technical system backups.

§ 3 Art der Daten und Kategorien betroffener Personen

1. Gegenstand der Verarbeitung sind folgende Kategorien personenbezogener Daten:
   1. Metadaten und Bestandsdaten: Vor- und Nachname, geschäftliche E-Mail-Adresse, Kanzleizugehörigkeit, Benutzerrollen und Berechtigungen, Aktenbezeichnungen, Aktenzeichen, Zeitstempel von Zugriffen und Änderungen, technische Protokolldaten, IP-Adressen sowie Dateigrößen und kryptografische Hashes.
   2. Inhaltsdaten: Textnachrichten, Schriftsätze, Verträge, Notizen, Aktenordnerstrukturen und Dateianhänge (z. B. PDF-, Bild- und Office-Dateien), die von den Nutzern der Kanzlei oder Mandanten in Akten eingestellt werden.
2. Der Verantwortliche nimmt zur Kenntnis, dass Inhaltsdaten auf den Endgeräten der berechtigten Personen clientseitig Ende-zu-Ende verschlüsselt werden. Der Auftragsverarbeiter verfügt über kein kryptografisches Schlüsselmaterial zur Entschlüsselung der Inhaltsdaten und verarbeitet diese technisch ausschließlich in verschlüsselter Form (Zero-Knowledge-Prinzip).
3. Die Verarbeitung betrifft folgende Kategorien betroffener Personen:
   1. Rechtsanwälte, Notare, Mitarbeitende, Partner und sonstige Beauftragte der Kanzlei des Verantwortlichen (Nutzer);
   2. Mandanten der Kanzlei, Organe oder Mitarbeitende von Mandanten, Verfahrensbeteiligte, Zeugen, Sachverständige, Gegenparteien, deren Prozessbevollmächtigte sowie sonstige Personen, deren Daten Gegenstand der anwaltlichen Mandatsbearbeitung sind.

Section 3 — Categories of data and data subjects

1. The subject matter of processing includes the following categories of personal data:
   1. Metadata and account data: First and last name, business email address, firm affiliation, user roles and permissions, Case titles, reference numbers, timestamps of access and modification, technical log data, IP addresses, file sizes, and cryptographic hashes.
   2. Content data: Text messages, pleadings, contracts, notes, folder structures, and file attachments (e.g. PDF, image, and office documents) uploaded to Cases by Firm Users or clients.
2. The Controller acknowledges that Content data is end-to-end encrypted on the devices of authorized persons. The Processor possesses no cryptographic key material to decrypt Content data and processes such data strictly in encrypted form (zero-knowledge principle).
3. Processing affects the following categories of data subjects:
   1. Lawyers, notaries, staff, partners, and other agents of the Controller's law firm (Users);
   2. Clients of the firm, corporate officers or employees of clients, case participants, witnesses, experts, opposing parties, their legal representatives, and other individuals whose data is processed in the course of legal representation.

§ 4 Weisungen des Verantwortlichen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, es sei denn, er ist durch das Recht der Europäischen Union oder das Recht der Bundesrepublik Deutschland hierzu verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Die Weisungen des Verantwortlichen werden anfänglich durch den Hauptvertrag und diese AVV festgelegt und im laufenden Betrieb durch die Nutzung und Konfiguration der Plattform durch den Verantwortlichen und dessen berechtigte Nutzer erteilt. Ergänzende Einzelweisungen bedürfen der Textform.
3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzvorschriften der Europäischen Union oder der Mitgliedstaaten verstößt. Der Auftragsverarbeiter ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis sie durch den Verantwortlichen bestätigt oder geändert wird.

Section 4 — Controller's instructions

1. The Processor processes personal data only on documented instructions from the Controller, including with regard to transfers of personal data to a third country or an international organization, unless required to do so by Union or Member State law to which the Processor is subject (Art. 28(3)(a) GDPR). In such a case, the Processor informs the Controller of that legal requirement before processing, unless that law prohibits such notification on important grounds of public interest.
2. The Controller's instructions are initially defined by the Main Agreement and this DPA, and during ongoing operations by the configuration and use of the Platform by the Controller and its authorized Users. Supplementary individual instructions require text form.
3. The Processor immediately informs the Controller if, in its opinion, an instruction infringes the GDPR or other Union or Member State data protection provisions. The Processor is entitled to suspend execution of the instruction until confirmed or amended by the Controller.

§ 5 Vertraulichkeit und Berufsgeheimnis (§ 43e BRAO)

1. Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten ermächtigten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
2. Der Auftragsverarbeiter erbringt Dienstleistungen für Berufsgeheimnisträger, bei denen der Zugang zu fremden Geheimnissen im Sinne des § 203 StGB nicht ausgeschlossen werden kann. Die Verpflichtung des Auftragsverarbeiters, seiner Mitarbeitenden sowie eingesetzter Unterauftragnehmer nach Maßgabe des § 43e BRAO und § 203 StGB richtet sich umfassend nach § 12 der AGB, auf dessen Bestimmungen ausdrücklich verwiesen wird. Diese Verpflichtungen bestehen über das Ende dieser AVV und der jeweiligen Beschäftigungsverhältnisse zeitlich unbegrenzt fort.

Section 5 — Confidentiality and professional secrecy (§ 43e BRAO)

1. The Processor ensures that persons authorized to process the personal data have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality (Art. 28(3)(b) GDPR).
2. The Processor renders services for professional secret holders in which access to third-party secrets within the meaning of § 203 of the German Criminal Code (StGB) cannot be excluded. The obligation of the Processor, its employees and engaged subcontractors pursuant to § 43e of the German Federal Lawyers' Act (BRAO) and § 203 StGB is governed comprehensively by Section 12 of the Terms and Conditions (AGB), to which reference is expressly made. These obligations survive the termination of this DPA and the respective employment relationships without limitation in time.

§ 7 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt hiermit seine allgemeine schriftliche Genehmigung zur Einbindung der in Anlage 2 aufgeführten Unterauftragsverarbeiter für die dort benannten Teilleistungen (Art. 28 Abs. 2 Satz 1 DSGVO).
2. Beabsichtigt der Auftragsverarbeiter, weitere Unterauftragsverarbeiter hinzuzuziehen oder bestehende Unterauftragsverarbeiter zu ersetzen, informiert er den Verantwortlichen hierüber mindestens vier Wochen vor Beginn der Verarbeitung durch den neuen Dienstleister in Textform (z. B. per E-Mail oder über die Plattform).
3. Der Verantwortliche kann der beabsichtigten Änderung innerhalb von zwei Wochen nach Zugang der Information aus wichtigem, nachweisbarem datenschutzrechtlichem Grund in Textform widersprechen. Erhebt der Verantwortliche einen solchen begründeten Widerspruch, stimmen sich die Parteien unverzüglich ab. Kann keine Einigung erzielt werden und ist dem Auftragsverarbeiter ein Festhalten an der Erbringung ohne den Unterauftragsverarbeiter wirtschaftlich oder technisch unzumutbar, steht beiden Parteien ein Sonderkündigungsrecht dieser AVV und des Hauptvertrages mit einer Frist von zwei Wochen zum Zeitpunkt des Inkrafttretens der Änderung zu.
4. Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter eine Vereinbarung gemäß Art. 28 Abs. 4 DSGVO ab, die dem Unterauftragsverarbeiter dieselben Pflichten auferlegt, die für den Auftragsverarbeiter nach dieser AVV gelten.

Section 7 — Sub-processors

1. The Controller hereby grants general written authorization to engage the sub-processors listed in Annex 2 for the designated partial services (Art. 28(2) sent. 1 GDPR).
2. If the Processor intends to engage additional sub-processors or replace existing ones, it informs the Controller in text form (e.g. by email or via the Platform) at least four weeks prior to commencement of processing by the new provider.
3. The Controller may object to the intended change in text form within two weeks of receiving notice on demonstrable, serious data protection grounds. If the Controller submits such an objection, the parties consult without delay. If no agreement can be reached and providing the service without the sub-processor is economically or technically unreasonable for the Processor, either party has a special right of termination of this DPA and the Main Agreement with two weeks' notice effective upon the implementation of the change.
4. The Processor concludes an agreement with each sub-processor pursuant to Art. 28(4) GDPR imposing on the sub-processor the same obligations that apply to the Processor under this DPA.

§ 8 Unterstützung bei Betroffenenrechten

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflicht zur Beantwortung von Anträgen auf Wahrnehmung von Betroffenenrechten nach Kapitel III der DSGVO (Art. 12 bis 23 DSGVO).
2. Gemäß § 11 Abs. 4 der AGB und § 3 Abs. 2 dieser AVV liegen Inhaltsdaten beim Auftragsverarbeiter ausschließlich in verschlüsselter Form vor, ohne dass der Auftragsverarbeiter über Schlüssel zur Entschlüsselung verfügt. Bei Auskunfts-, Berichtigungs-, Sperr- oder Löschbegehren betroffener Personen kann der Auftragsverarbeiter den Verantwortlichen daher nur hinsichtlich der im Klartext vorliegenden Metadaten unterstützen. Die Erfüllung von Betroffenenrechten hinsichtlich der Akteninhalte obliegt dem Verantwortlichen eigenständig über die Funktionen der Plattform.
3. Wendet sich eine betroffene Person mit einem Antrag unmittelbar an den Auftragsverarbeiter, leitet dieser das Ersuchen unverzüglich an den Verantwortlichen weiter, sofern eine Zuordnung zum Verantwortlichen möglich ist.

Section 8 — Assistance with data subject rights

1. The Processor assists the Controller, insofar as possible by appropriate technical and organizational measures, in fulfilling the Controller's obligation to respond to requests for exercising data subject rights under Chapter III of the GDPR (Art. 12 to 23 GDPR).
2. Pursuant to Section 11(4) of the Terms and Conditions (AGB) and Section 3(2) of this DPA, Content data is held by the Processor exclusively in encrypted form, without the Processor possessing decryption keys. When data subjects submit requests for access, rectification, restriction or deletion, the Processor can therefore assist the Controller only with respect to plaintext metadata. Fulfilling data subject rights regarding Case contents is the independent responsibility of the Controller using the Platform's capabilities.
3. If a data subject directly contacts the Processor with a request, the Processor forwards the request to the Controller without undue delay, provided the request can be associated with the Controller.

§ 9 Meldung von Verletzungen des Schutzes personenbezogener Daten

1. Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO) unverzüglich, nachdem ihm die Verletzung bekannt geworden ist (Art. 33 Abs. 2 DSGVO).
2. Die Meldung an den Verantwortlichen enthält, soweit zum Meldezeitpunkt bekannt, die in Art. 33 Abs. 3 DSGVO genannten Angaben, insbesondere eine Beschreibung der Art der Verletzung, der betroffenen Kategorien von Daten und Personen, der wahrscheinlichen Folgen der Verletzung sowie der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung oder Abmilderung möglicher nachteiliger Auswirkungen.

Section 9 — Notification of personal data breaches

1. The Processor notifies the Controller of personal data breaches (Art. 4(12) GDPR) without undue delay after becoming aware of the breach (Art. 33(2) GDPR).
2. The notification to the Controller includes, to the extent known at the time of notification, the details specified in Art. 33(3) GDPR, in particular a description of the nature of the breach, the affected categories of data and individuals, likely consequences of the breach, and measures taken or proposed to address or mitigate potential adverse effects.

§ 10 Unterstützung bei Folgenabschätzungen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten (insbesondere bei der Durchführung von Datenschutz-Folgenabschätzungen und vorherigen Konsultationen der Aufsichtsbehörde) unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen.

Section 10 — Assistance with impact assessments

1. The Processor assists the Controller in ensuring compliance with the obligations pursuant to Art. 32 to 36 GDPR (in particular conducting data protection impact assessments and prior consultations with the supervisory authority), taking into account the nature of processing and the information available to the Processor.

§ 11 Löschung und Rückgabe von Daten

1. Nach Beendigung der Erbringung der Verarbeitungsleistungen ist der Auftragsverarbeiter verpflichtet, nach Wahl des Verantwortlichen entweder alle personenbezogenen Daten zu löschen oder zurückzugeben und bestehende Kopien zu löschen, sofern nicht nach dem Recht der Europäischen Union oder dem Recht der Bundesrepublik Deutschland eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht (Art. 28 Abs. 3 lit. g DSGVO).
2. Die Modalitäten von Rückgabe und Löschung richten sich nach § 13 der AGB:
   1. Der Verantwortliche kann seine Daten während der Vertragslaufzeit jederzeit über die Funktion „Backup der Akte" eigenständig ausleiten. Das zur Entschlüsselung erforderliche Schlüsselmaterial liegt ausschließlich beim Verantwortlichen, sodass dieser die Daten autonom entschlüsseln und sichern kann.
   2. Spätestens 90 Tage nach Wirksamwerden der Vertragsbeendigung löscht der Auftragsverarbeiter sämtliche Inhalte und personenbezogenen Daten des Verantwortlichen einschließlich sämtlicher Sicherungskopien unwiderruflich, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Section 11 — Deletion and return of data

1. Upon termination of processing services, the Processor is obliged, at the choice of the Controller, to delete or return all personal data and delete existing copies, unless Union or Member State law requires storage of the personal data (Art. 28(3)(g) GDPR).
2. The modalities of return and deletion are governed by Section 13 of the Terms and Conditions (AGB):
   1. The Controller may independently export its data at any time during the contract term via the "Backup der Akte" feature. The key material required for decryption is held exclusively by the Controller, enabling autonomous decryption and backup.
   2. At the latest 90 days after termination of the contract takes effect, the Processor deletes all Content and personal data of the Controller including all backup copies irrevocably, unless statutory retention obligations prevent deletion.

§ 12 Nachweise und Kontrollen

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO und in dieser AVV niedergelegten Pflichten zur Verfügung und ermöglicht und unterstützt Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden (Art. 28 Abs. 3 lit. h DSGVO).
2. Inspektionen vor Ort erfolgen nach angemessener Vorankündigung in Textform (in der Regel mindestens vier Wochen vorab), während der regulären Geschäftszeiten und ohne Störung des laufenden Geschäftsbetriebs. Der Auftragsverarbeiter kann Vor-Ort-Kontrollen von der Unterzeichnung einer angemessenen Vertraulichkeitsvereinbarung abhängig machen, um Betriebsgeheimnisse und Daten anderer Kunden zu schützen.
3. Hinsichtlich der Unterauftragsverarbeiter kann der Nachweis auch durch Vorlage von deren Zertifizierungen oder Prüfberichten unabhängiger Prüfer erbracht werden.

Section 12 — Audits and demonstrations

1. The Processor makes available to the Controller all information necessary to demonstrate compliance with the obligations laid down in Art. 28 GDPR and this DPA, and allows for and contributes to audits, including inspections, conducted by the Controller or an auditor mandated by the Controller (Art. 28(3)(h) GDPR).
2. On-site inspections occur upon reasonable advance notice in text form (generally at least four weeks in advance), during regular business hours, and without disrupting normal business operations. The Processor may condition on-site audits on the execution of a confidentiality agreement to protect trade secrets and third-party customer data.
3. As regards sub-processors, compliance may also be demonstrated by presenting their certifications or audit reports from independent auditors.

§ 13 Vorrang vor den AGB

1. Die Bestimmungen dieser AVV gehen den Regelungen der Allgemeinen Geschäftsbedingungen (AGB) des Anbieters im Falle von Widersprüchen in Bezug auf datenschutzrechtliche Pflichten und die Auftragsverarbeitung vor.

Section 13 — Precedence over Terms and Conditions

1. In the event of contradictions regarding data protection obligations and data processing on behalf, the provisions of this DPA take precedence over the provisions of the Provider's General Terms and Conditions (AGB).

§ 14 Abschluss und Schlussbestimmungen

1. Diese AVV wird zwischen den Parteien im Rahmen der Kanzleiregistrierung (Firm Registration) durch Setzen des entsprechenden Kontrollkästchens in Textform rechtswirksam abgeschlossen.
2. Sollten einzelne Bestimmungen dieser AVV ganz oder teilweise unwirksam sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. Die Parteien verpflichten sich, die unwirksame Bestimmung durch eine wirksame Regelung zu ersetzen, die dem wirtschaftlichen und rechtlichen Zweck am nächsten kommt.
3. Es gilt ausschließlich das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG). Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit dieser Vereinbarung ist Mönchengladbach.
4. Diese AVV ist in deutscher und englischer Sprache abgefasst. Maßgeblich für die Auslegung ist ausschließlich die deutsche Fassung; die englische Fassung dient nur unverbindlichen Informationszwecken.

Section 14 — Conclusion and final provisions

1. This DPA is concluded legally binding in text form between the parties during Firm Registration by ticking the designated checkbox.
2. Should individual provisions of this DPA be or become invalid or unenforceable in whole or in part, the validity of the remaining provisions remains unaffected. The parties agree to replace the invalid provision with a valid provision coming closest to the legal and economic purpose.
3. This agreement is governed exclusively by the laws of the Federal Republic of Germany, excluding the UN Convention on Contracts for the International Sale of Goods (CISG). The exclusive place of jurisdiction for all disputes arising from or in connection with this agreement is Mönchengladbach.
4. This DPA is drawn up in German and English. The German version is authoritative; the English version is provided for convenience and information only.

Anlage 2: Unterauftragsverarbeiter

Folgende Unterauftragsverarbeiter sind vom Verantwortlichen genehmigt:

1. Google Cloud EMEA Ltd.
   70 Sir John Rogerson's Quay, Dublin 2, Irland
   Erbringungsort: Europäische Union (Frankfurt, Belgien, Niederlande, Irland)
   Teilleistung:
   • Hosting der statischen Webseiten über Firebase Hosting
   • Datenbank (Firestore) im Multi-Region-Verbund der EU (eur3 – Frankfurt und Belgien)
   • Serverless-Funktionen (Cloud Run, Workflows, Cloud Scheduler) in der EU-Region europe-west4 (Eemshaven, Niederlande)
   • Nutzer-Authentifizierung über Firebase Auth
2. Brevo (Sendinblue SAS)
   106 boulevard Haussmann, 75008 Paris, Frankreich
   Erbringungsort: Europäische Union
   Teilleistung:
   • Versand transaktionsbezogener E-Mails (Einladungsmails, Systemcodes, Bestätigungen)

Annex 2 — Sub-processors

The following sub-processors are approved by the Controller:

1. Google Cloud EMEA Ltd.
   70 Sir John Rogerson's Quay, Dublin 2, Ireland
   Location of processing: European Union (Frankfurt, Belgium, Netherlands, Ireland)
   Partial service:
   • Static website hosting via Firebase Hosting
   • Database (Firestore) in EU multi-region eur3 (Frankfurt and Belgium)
   • Serverless compute (Cloud Run, Workflows, Cloud Scheduler) in EU region europe-west4 (Eemshaven, Netherlands)
   • User authentication via Firebase Auth
2. Brevo (Sendinblue SAS)
   106 boulevard Haussmann, 75008 Paris, France
   Location of processing: European Union
   Partial service:
   • Transactional email delivery (invitation emails, system codes, confirmations)