Dienstleister und Unterauftragsverarbeiter

Unverbindliche Übersetzung. Bei Abweichungen ist der italienische Text maßgeblich.

Dieses Dokument führt die Dienstleister auf, die die Business Gates S.r.l. (im Folgenden BGates) für die Erbringung des BGates-Dienstes einsetzt: was jeder tut, welche personenbezogenen Daten er erhält, wo er sitzt, in welcher Rolle er sie verarbeitet und – wenn die Daten den Europäischen Wirtschaftsraum verlassen – auf welcher Garantie die Übermittlung beruht.

Es betrifft das Modell GT PRO 4G und den zugehörigen Dienst. Es betrifft nicht die früheren Modelle, die nur mit SMS funktionieren, und auch nicht den Bluetooth-Kanal.

Es ist ein informatives Dokument: Man liest es, man stimmt ihm nicht zu. Im Verhältnis zum Kunden ist es aber nicht nur informativ: Es ist durch Verweisung Bestandteil des Auftragsverarbeitungsvertrags (/dpa), gemäß Art. 28 Abs. 2 der DSGVO (Verordnung (EU) 2016/679). Die allgemeine Genehmigung für Unterauftragsverarbeiter, die der Kunde mit diesem Vertrag erteilt, bezieht sich auf die Liste, die du hier findest, in der jeweils geltenden Fassung.

Wenn du wissen willst, zu welchen Zwecken wir die Daten verarbeiten und was du verlangen kannst, lies die Datenschutzerklärung (/privacy). Wenn du wissen willst, wie lange wir sie speichern, lies die Richtlinie zur Datenaufbewahrung (/conservazione).

1. Wie diese Liste zu lesen ist

Rolle. Ein Dienstleister kann drei verschiedene Stellungen haben, und der Unterschied ist nicht formal:

• Auftragsverarbeiter (Art. 28 DSGVO): verarbeitet Daten in unserem Auftrag, nur auf unsere Weisung, und darf sie nicht für sich verwenden. Wenn es sich um Daten handelt, für die der Kunde Verantwortlicher ist – die freigeschalteten Nummern, die geräteinterne Nummernliste, das Öffnungsprotokoll seines Durchgangs –, ist dieser Dienstleister Unterauftragsverarbeiter im Sinne des Auftragsverarbeitungsvertrags;
• Auftragsverarbeiter für Verarbeitungen, für die BGates Verantwortlicher ist: verarbeitet in unserem Auftrag Daten, über die wir entscheiden (Sicherheit, Diagnose des Geräts, Rechnungsstellung). Er ist kein Unterauftragsverarbeiter des Kunden und erscheint im Auftragsverarbeitungsvertrag nicht als solcher;
• eigenständiger Verantwortlicher: entscheidet selbst über Zwecke und Mittel seiner Verarbeitung, für eigene Pflichten oder Zwecke. Für diesen Teil können wir ihm keine Weisungen erteilen.

Garantie für die Übermittlung. Sie gilt nur für Dienstleister, die Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten. Sie kann sein: ein Angemessenheitsbeschluss – für die Vereinigten Staaten die Eintragung in die Liste des Data Privacy Framework (Art. 45 DSGVO); von der Europäischen Kommission erlassene Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), begleitet von einer Bewertung der Übermittlung; oder keine, und in diesem Fall schreiben wir das. Abschnitt 7 erklärt, wie wir diese Spalte schließen.

Aktualisiert am. Das ist das Datum, an dem wir die Zeile überprüft haben. Eine nicht überprüfte Zeile wird nicht ohne Datum gelassen: Es wird geschrieben, was fehlt.

Wenn eine Angabe fehlt, schreiben wir das. Wo eine Zeile noch nicht geklärt ist, sagt die Tabelle das mit eigenen Worten – „nicht geklärt“, „keine vorhanden“ –, statt eine Lücke zu lassen, die wie eine Bestätigung aussieht. Abschnitt 11 sammelt alle noch offenen Punkte.

2. Dienstleister, die Daten im Auftrag des Kunden verarbeiten (Unterauftragsverarbeiter)

Das sind die, die mit Daten in Berührung kommen, für die der Kunde Verantwortlicher ist: die freigeschalteten Nummern, die Namen und Nummern, die in den Einladungen übermittelt werden, der Inhalt der Support-Unterhaltungen, das Öffnungsprotokoll, soweit es auf ihren Systemen liegt.

Zwei Tatsachen, die diese Zeilen betreffen und nicht in eine Zelle passen.

Der Text einiger Push-Benachrichtigungen enthält heute die Telefonnummer dessen, der über einen dauerhaften QR-Code um Freischaltung gebeten hat. Diese Nummer läuft über den Benachrichtigungsdienst. Die getroffene Entscheidung lautet, sie aus dem Text zu entfernen: Eine Benachrichtigung, die „Neue Zutrittsanfrage – öffne die App“ sagt, gibt dir dieselbe Information, ohne die Nummer eines Dritten herauszugeben.

Der Versand der Ersatz-SMS verwendet heute eine unverschlüsselte Verbindung zum Gateway des Dienstleisters. Das ist eine Tatsache, und wir schreiben sie hin: Die Umstellung auf eine verschlüsselte Verbindung gehört zu den offenen Punkten aus Abschnitt 11.

3. Dienstleister für Verarbeitungen, für die BGates Verantwortlicher ist

Sie sind keine Unterauftragsverarbeiter des Kunden: Sie verarbeiten Daten zu Zwecken, über die wir entscheiden (Rechnungsstellung, Konnektivität des Geräts, Netzwerkdiagnose, Statistiken der Website). Wir führen sie hier auf, weil der Leser ein Recht darauf hat zu wissen, wo seine Daten landen, nicht weil die Kette aus Art. 28 sie umfasst.

Zu beaconDB. Er erhält nur die Kennungen der Funkzelle, nie die Kennung des Geräts, die Seriennummer oder Stammdaten.

Du kannst von uns verlangen, die Funkzellen-Position abzuschalten, für dein Gerät: Schreib an info@bgates.it. Die Netzwerkdiagnose wird ungenauer, der Dienst funktioniert weiter.

4. Dritte, die dein Browser direkt kontaktiert

Diese Zeile unterscheidet sich von den anderen: Keine Daten laufen über uns. Es ist dein Browser, der sich mit dem Dritten verbindet, und was beim Dritten ankommt, ist deine IP-Adresse mit den technischen Daten der Anfrage.

Die Karte muss hinter einem Antippen liegen. So ist es vorgesehen: Die Karte lädt nicht von selbst, es erscheint ein Feld mit der Schaltfläche „Karte anzeigen“, und nur wenn du sie antippst, kontaktiert dein Browser OpenStreetMap.

6. Dienstleister, die in dieser Liste nicht erscheinen, und warum

Wir geben außerdem Daten, wenn es geschuldet ist, an die Behörden weiter, die sie in den gesetzlich vorgesehenen Fällen anfordern. Die Behörden sind keine Dienstleister: Jede Anfrage wird geprüft und dokumentiert, bevor ihr entsprochen wird.

Wir verkaufen keine Daten, geben sie niemandem für eigene Zwecke Dritter weiter, und auf unseren Seiten gibt es kein Werkzeug zur Messung des Nutzerverhaltens: keine Statistik Dritter, keinen Werbezähler, keinen Dienst zur Erfassung von Fehlern.

7. Übermittlungen aus dem Europäischen Wirtschaftsraum

Unsere Server stehen in Deutschland. Einige Dienstleister verarbeiten jedoch Daten in den Vereinigten Staaten: der WhatsApp-Kanal nach der Zustellung, der Zahlungsdienstleister, die Push-Benachrichtigungsdienste und, nur für diejenigen, die die Statistiken der Website akzeptieren, Google Analytics.

Auf welcher Grundlage. An eine US-amerikanische Organisation, die in der Liste des Data Privacy Framework des Handelsministeriums eingetragen ist, beruht die Übermittlung auf dem Durchführungsbeschluss (EU) 2023/1795 der Europäischen Kommission vom 10. Juli 2023 (Art. 45 DSGVO) und erfordert nicht die Instrumente aus Art. 46. Der Beschluss ist in Kraft: Er wurde in erster Instanz vom Gericht der Europäischen Union (EuG) am 3. September 2025 bestätigt (Rechtssache T-553/23), und das Rechtsmittel ist anhängig. An eine nicht eingetragene Organisation beruht die Übermittlung auf den von der Kommission erlassenen Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), begleitet von einer Bewertung der Übermittlung.

Die Standardvertragsklauseln bleiben auch mit den eingetragenen Dienstleistern in Kraft: Sie werden nicht gekündigt, weil „es ja den Angemessenheitsbeschluss gibt“. Würde der Beschluss für nichtig erklärt, bliebe die Übermittlung ohne Unterbrechung abgedeckt.

Wie wir die Garantien prüfen. Die Eintragung in die Liste des Data Privacy Framework wird Unternehmen für Unternehmen anhand der offiziellen Liste geprüft; die letzte Prüfung erfolgte am 22. September 2026. Die Standardvertragsklauseln bleiben in jedem Fall in Kraft, sodass die Übermittlung auch dann abgedeckt bleibt, wenn die Eintragung entfallen sollte.

Du kannst von uns eine Kopie der Garantien verlangen, die für eine bestimmte Übermittlung gelten, indem du an info@bgates.it schreibst: Wir antworten dir innerhalb eines Monats.

8. Die Verträge mit den Dienstleistern

Mit jedem Dienstleister, der Daten in unserem Auftrag verarbeitet, muss ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO bestehen, und jedem Unterauftragsverarbeiter erlegen wir vertraglich dieselben Pflichten auf, die der Auftragsverarbeitungsvertrag uns gegenüber dem Kunden auferlegt (Art. 28 Abs. 4). Wir haften gegenüber dem Kunden für die Pflichtverletzungen unserer Unterauftragsverarbeiter wie für eigene.

netcup GmbH. Der Auftragsverarbeitungsvertrag von netcup (Auftragsverarbeitungsvertrag, AVV) ist im Kundenbereich des Dienstleisters verfügbar und wird dort abgeschlossen. Die Server, die den Dienst hosten, stehen in Nürnberg, Deutschland: Für das Hosting gibt es keine Übermittlung aus dem Europäischen Wirtschaftsraum, und für diese Zeile ist keine Garantie aus Art. 46 nötig.

9. Wie lange die Daten bleiben

Die Speicherdauern stehen alle in der Richtlinie zur Datenaufbewahrung (/conservazione), die jeder anderswo genannten Zahl vorgeht. Hier stehen nur die, die das betreffen, was über einen Dienstleister läuft, weil das die Frage ist, die beim Lesen dieser Liste entsteht.

Wie lange die Daten beim Dienstleister bleiben, legt der Vertrag mit diesem Dienstleister fest.

10. Wie sich diese Liste ändert, und wie du benachrichtigt wirst

Einen Dienstleister hinzuzufügen oder zu ersetzen, der Daten im Auftrag des Kunden verarbeitet, ist eine wesentliche Änderung. Das Verfahren ist folgendes, und es gilt auch dann, wenn sich nur das Land ändert, in dem ein bereits vorhandener Dienstleister die Daten verarbeitet:

1. Vorankündigung von 15 Tagen. Wir schreiben dem Kunden an die E-Mail-Adresse des Kontos und sagen, wer hinzukommt oder wer sich ändert, was er verarbeiten wird, wo und mit welcher Garantie für die Übermittlung. Gleichzeitig veröffentlichen wir die neue Version dieses Dokuments mit dem neuen Datum.
2. Einspruch. Innerhalb dieser 15 Tage kann der Kunde schriftlich und mit Gründen, die den Datenschutz betreffen, Einspruch erheben. Wir suchen in gutem Glauben innerhalb von 30 Tagen nach einer alternativen Lösung; finden wir keine, kann der Kunde den betroffenen Teil des Dienstes oder das Abonnement ohne Vertragsstrafe kündigen, mit Erstattung des gezahlten und nicht genutzten Anteils.
3. Bis zum Ablauf der Ankündigungsfrist vertrauen wir diesem Dienstleister die Daten des Kunden nicht an, es sei denn, das würde die Erbringung des Dienstes unmöglich machen: In diesem Fall erklären wir das in der Mitteilung, damit die Entscheidung informiert getroffen wird.
4. Dringende Ersetzung. Stellt ein Dienstleister seine Leistung ein oder entfällt seine Zuverlässigkeit, können wir ihn mit einer kürzeren Vorankündigung ersetzen: Wir informieren den Kunden innerhalb von 5 Tagen nach der Ersetzung und erklären den Grund. Das Einspruchsrecht bleibt mit denselben Wirkungen bestehen.
5. Wer nicht Kunde ist – der Zutrittsberechtigte, der Besucher – erhält keine individuelle Mitteilung, weil wir mit ihm kein Vertragsverhältnis haben und oft keine andere Kontaktmöglichkeit als die Nummer, die uns jemand anderes gegeben hat. Für sie gilt die Veröffentlichung hier, mit Datum, und die Mitteilung an diejenigen, die ein Konto haben.

Redaktionelle Korrekturen – ein Tippfehler, ein besser geschriebener Name, eine klarer formulierte Zeile – aktualisieren das Prüfdatum der Zeile, lösen aber keine Vorankündigung aus und ändern die Version nicht.

Einen Dienstleister zu entfernen erfordert keine Vorankündigung: Wir schreiben es hier und in der nächsten Mitteilung.

Diese Fristen stimmen mit denen aus Abschnitt 14 des Auftragsverarbeitungsvertrags (/dpa) überein. Sollten die beiden Texte voneinander abweichen, hat dieses Dokument Vorrang, denn es ist die aktuelle Liste, auf die dieser Vertrag verweist.

11. Was zum 22. September 2026 noch nicht geklärt ist

Wir schreiben es hierher, statt es aus den Tabellen erraten zu lassen. Es sind die offenen Punkte zum Datum dieser Version, und jeder von ihnen wird mit einer neuen Version dieses Dokuments geschlossen:

• die Auftragsverarbeitungsverträge mit jedem Dienstleister: Bestehen, Datum, Inhalt (Abschnitt 8);
• die Prüfung Name für Name in der Liste des Data Privacy Framework, mit den abgedeckten Kategorien und dem Datum (Abschnitt 7);
• die vertragschließende Stelle und das Land von beaconDB, dem Dienst, der die Kennung der Funkzelle in eine Position umwandelt;
• die Umstellung des SMS-Versands auf eine verschlüsselte Verbindung;
• die Speicherdauern, die jeder Dienstleister anwendet, für die Daten, die er erhält;
• die vertragliche Einordnung des SIM-Betreibers: Verantwortlicher, Auftragsverarbeiter oder beides für verschiedene Teile.

Eine Klarstellung zum Namen des SMS-Dienstleisters. Der Dienstleister, der die Ersatz-SMS zustellt, ist die Commify Italia S.r.l.; Skebby ist nur die Handelsmarke, unter der sie auftritt. In einer Liste von Unterauftragsverarbeitern, auf die Art. 28 Abs. 2 verweist, und in Datenschutzhinweisen nach Art. 13–14 ist der vollständige Name der vertragschließenden Stelle der eigentliche Inhalt der Pflicht, keine Formalität: Deshalb erscheint in der Tabelle die Firma und nicht die Marke.

Änderungen dieses Dokuments

Dieses Dokument ändert sich, wenn sich ein Dienstleister ändert, wenn sich die Garantie ändert, die eine Übermittlung abdeckt, oder wenn eine der Prüfungen aus Abschnitt 11 abgeschlossen wird. Änderungen, die Unterauftragsverarbeiter betreffen, folgen dem Verfahren aus Abschnitt 10, mit der Vorankündigung von 15 Tagen und dem dort vorgesehenen Einspruchsrecht.

Version 2026.10.27-1 – gültig ab 27. Oktober 2026. Wenn wir etwas Wesentliches ändern – einen neuen Zweck, einen neuen Dienstleister, eine längere Speicherdauer –, veröffentlichen wir hier die neue Version mit ihrem Datum, und wenn du ein Konto hast, teilen wir dir das per E-Mail mit. Diesem Dokument stimmst du nicht zu: Du liest es, und wir verlangen von dir keinen Haken. Redaktionelle Korrekturen ändern die Version nicht. Frühere Versionen erhältst du auf Anfrage unter info@bgates.it.