Unterauftragsverarbeiter und weitere Empfänger

Stand: 04.11.2026 · Version 1.17

Anlage 3 zum Auftragsverarbeitungsvertrag für leitstelle.live (https://leitstelle.live/avv)

Auftragsverarbeiter: Wulffapps, Inhaber Jan Wulff, Alte Str. 5e, 50769 Köln

Änderungen dieser Liste kündigt Wulffapps mindestens vier Wochen vorher per E-Mail an. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund Einspruch erheben, sonst steht ihm ein Sonderkündigungsrecht zu (§ 9 AVV).

1. Unterauftragsverarbeiter

Nr.	Unterauftragsverarbeiter	Leistung	Verarbeitete Daten	Ort der Verarbeitung	Garantie bei Drittlandbezug
1	one.com Group AB, Kalvebod Brygge 24, 1560 Kopenhagen V, Dänemark	Bereitstellung des Servers für den Betrieb der Plattform in der Produktion (Anwendungen, Datenbanken, Dateien, lokale Datensicherungen) einschließlich des eigenen Mailservers von Wulffapps für die Postfächer der Organisationen (Domäne org.leitstelle.live: Empfang, Prüfung und Versand von E-Mails) und der Telefonie-Brücke (Vermittlung von Telefonaten zwischen Browser bzw. App und dem SIP-Anbieter des Kunden)	alle Daten der Plattform (Speicherung und Betrieb); Rufnummern, Verbindungsdaten und Sprachdaten von Telefonaten über die Plattform (Sprachdaten nur während des Gesprächs)	Niederlande (EU)	nicht erforderlich
2	IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland	Bereitstellung der Server-Infrastruktur für den eigenen Mailserver von Wulffapps, über den die E-Mails der Plattform versendet werden (Einladungen, Anmeldung, Benachrichtigungen, Alarmierungs-E-Mails über das Standardpostfach, sofern der Kunde kein eigenes Postfach hinterlegt)	E-Mail-Adressen, Namen und Inhalte versendeter E-Mails	Deutschland	nicht erforderlich
3	Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg	externer Speicherort für Datensicherungen (Offsite-Backup, Amazon S3)	alle Daten der Plattform, ausschließlich in verschlüsselter Form (AES-256-GCM, Verschlüsselung vor dem Upload, Schlüssel liegt nicht bei AWS)	Schweden (Region Stockholm, eu-north-1), keine Kopie in andere Regionen	Datenschutz-Zusatz von AWS (AWS GDPR DPA) mit EU-Standardvertragsklauseln; ein Zugriff durch Amazon Web Services, Inc. (USA) ist nicht ausgeschlossen, das Unternehmen ist nach dem EU-US Data Privacy Framework zertifiziert
4	Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Firebase Cloud Messaging)	Zustellung von Push-Mitteilungen an die Einsatz-App (Android) und an die Tablet-App Leitstelle Mobil (Android)	Geräte-Token, Inhalt der Mitteilung, Zeitpunkt. Einsatz-App: Titel, Text und technische Zusatzdaten der Alarmierung; bei der Einstellung „Push nur mit Hinweis, Inhalt nach Abruf in der App“ nur ein Hinweis ohne Einsatzinhalte sowie technische Kennungen und die Art der Mitteilung. Leitstelle Mobil (nur während des Dienstes): Titel und Text der Meldung bzw. Chat-Nachricht, Art der Meldung, technische Kennungen von Meldung, Einsatz, Einheit und Chat-Unterhaltung; Meldungen ohne Namen von Patienten (höchstens deren Kennung), Chat-Nachrichten mit dem eingegebenen Text	EU und USA	Firebase Data Processing and Security Terms; EU-US Data Privacy Framework (Google LLC); Standardvertragsklauseln
5	seven communications GmbH & Co. KG, Willestr. 4–6, 24103 Kiel, Deutschland	Versand von SMS und Sprachanrufen (Text-to-Speech) zur Alarmierung und Benachrichtigung, Empfang von SMS-Antworten	Rufnummern von Empfängern, Inhalt der Nachricht bzw. Ansage, Absenderkennung, Zustellstatus, eingehende Antworten	Deutschland; Zustellung über nationale und internationale Mobilfunknetze	nicht erforderlich
6	What3Words Limited, 65 Alfred Road, London W2 5EU, Vereinigtes Königreich	Umwandlung von Positionen in 3-Wort-Adressen und von 3-Wort-Adressen in Positionen sowie Vorschläge zu eingegebenen 3-Wort-Adressen; nur für Organisationen, die What3Words im Portal eingeschaltet haben (Standard aus)	Koordinaten (Position eines Auftrags, eines Zugangs oder einer Feldmitte, Position des Einsatzes als Bezug für Vorschläge), eingegebene und in Alarm-Mails oder Schnittstellenaufrufen enthaltene 3-Wort-Adressen; Abruf über den Server der Plattform, ohne Namen, Einsatzinhalte und IP-Adressen der Nutzer	Vereinigtes Königreich	Angemessenheitsbeschluss der EU-Kommission für das Vereinigte Königreich (Art. 45 DSGVO)

Hinterlegt eine Organisation im Portal einen eigenen Schlüssel von What3Words, laufen die Anfragen ihrer Organisation über ihren eigenen Vertrag mit What3Words Limited (vom Kunden bestimmter Dienst, § 9 Abs. 7 AVV).

E-Mails versendet und empfängt Wulffapps über eigene Mailserver; ein externer E-Mail-Dienstleister wird nicht eingesetzt. Die Prüfung von Anhängen auf Schadsoftware und die Texterkennung von Faxen laufen auf den eigenen Servern.

Die Einsatz-App und Leitstelle Mobil werden derzeit nur für Android ausgeliefert. Eine iOS-Version und damit der Apple Push Notification Service werden nicht genutzt; eine künftige Hinzuziehung wird nach § 9 AVV angekündigt.

2. Weitere Empfänger ohne Auftragsverarbeitung

Die folgenden Dienste erhalten bei der Nutzung der Plattform einzelne Daten, ohne dass Wulffapps ihnen einen Auftrag zur Verarbeitung des Datenbestands des Kunden erteilt. Es handelt sich um öffentlich zugängliche Dienste, die einzelne Anfragen beantworten, oder um Dienste, die der Kunde selbst bestimmt. Wulffapps beschränkt die übermittelten Daten auf das für die Funktion Erforderliche.

2.1 Karten, Geokodierung und Routing

Dienst	Betreiber	Aufruf durch	Übermittelte Daten	Ort / Garantie
Kartenkacheln (tile.openstreetmap.org)	OpenStreetMap Foundation, St John's Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich	Browser bzw. App des Nutzers direkt (Leitstelle, Leitstelle Mobil, Portal, Einsatz-App, Alarmmonitor)	IP-Adresse, abgerufener Kartenausschnitt (Koordinaten und Zoomstufe), technische Browserdaten	Vereinigtes Königreich (Angemessenheitsbeschluss); Auslieferung über ein weltweites Content Delivery Network
Geokodierung (Nominatim)	OpenStreetMap Foundation (Anschrift wie oben)	Server der Plattform	eingegebene Suchadresse, eine in einer E-Mail erkannte Adresse (erst wenn der Nutzer sie auf der Karte zeigen oder übernehmen will) bzw. Koordinaten für die Adressermittlung; keine Nutzerdaten	Vereinigtes Königreich (Angemessenheitsbeschluss)
Geokodierung (Photon)	komoot GmbH, Kienberger Allee 4, 12529 Schönefeld, Deutschland	Server der Plattform	eingegebene Suchadresse; keine Nutzerdaten	Deutschland
Routing (router.project-osrm.org)	Demo-Server des OSRM-Projekts, bereitgestellt durch FOSSGIS e. V.	Server der Plattform und Einsatz-App direkt vom Endgerät (Navigation zum Einsatzort)	Start- und Zielkoordinaten (beim Aufruf aus der App: aktueller Standort der Einsatzkraft und Einsatzort), beim Aufruf aus der App zusätzlich IP-Adresse des Endgeräts	Deutschland
Postleitzahlen und Orte (OpenPLZ API, openplzapi.org)	Betreiber des Open-Source-Projekts laut Impressum von openplzapi.org	Server der Plattform	Postleitzahl bzw. Ortsname; keine Nutzerdaten	Deutschland

2.2 Wetter, Warnungen und Lagedaten

Dienst	Betreiber	Aufruf durch	Übermittelte Daten	Ort / Garantie
Wettervorhersage (Open-Meteo)	OpenMeteo GmbH, Hintere Schilligmatte 6, 6463 Bürglen, Schweiz	Server der Plattform	Koordinaten des Einsatzgebiets	Schweiz (Angemessenheitsbeschluss)
Wetterwarnungen, Waldbrandgefahrenindex	Deutscher Wetterdienst, Frankfurter Str. 135, 63067 Offenbach am Main	Server der Plattform	keine personenbezogenen Daten (bundesweiter Abruf)	Deutschland
Bevölkerungswarnungen (NINA)	Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, Provinzialstr. 93, 53127 Bonn	Server der Plattform	keine personenbezogenen Daten (bundesweiter Abruf)	Deutschland
Niederschlagsradar (RainViewer)	MeteoLab Inc., Naples, Florida, USA	Server der Plattform (Metadaten) und Browser des Nutzers direkt (Radarbilder)	beim Abruf der Radarbilder: IP-Adresse, abgerufener Kartenausschnitt	USA
Pegelstände (PEGELONLINE)	Wasserstraßen- und Schifffahrtsverwaltung des Bundes	Server der Plattform	keine personenbezogenen Daten	Deutschland
Verkehrslage Autobahn	Die Autobahn GmbH des Bundes	Server der Plattform	keine personenbezogenen Daten	Deutschland
Erdbebenmeldungen (GEOFON)	GFZ Helmholtz-Zentrum für Geoforschung, Potsdam	Server der Plattform	keine personenbezogenen Daten	Deutschland
Feiertage und Ferien (OpenHolidays API, openholidaysapi.org)	Betreiber des Open-Source-Projekts laut Impressum von openholidaysapi.org	Server der Plattform	keine personenbezogenen Daten	Deutschland

Bei Abrufen durch den Server der Plattform erhalten die Betreiber die IP-Adresse des Servers, nicht die der Nutzer.

2.3 Zahlungsdienstleister (eigene Verantwortliche)

Die Zahlungsabwicklung betrifft ausschließlich das Vertragsverhältnis zwischen Kunde und Wulffapps und ist keine Auftragsverarbeitung. Die Zahlungsdienstleister handeln als eigene Verantwortliche.

Dienst	Betreiber	Ort
Mollie	Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande	EU
PayPal (über Mollie)	PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg	EU

2.4 Vom Kunden bestimmte Dienste

Folgende Empfänger bestimmt der Kunde selbst durch Konfiguration der Plattform. Die Übermittlung erfolgt auf seine Weisung; für die Auswahl des Empfängers und die Rechtmäßigkeit der Übermittlung ist der Kunde verantwortlich.

eigene Kartendienste (z. B. WMS/WMTS-Dienste von Behörden oder Dienstleistern), die der Browser bzw. die App direkt abruft
SIP-Anbieter bzw. Telefonanlage für die Telefonie; Gesprächsinhalte und Verbindungsdaten werden über die Telefonie-Brücke der Plattform an den Anbieter des Kunden übermittelt
eigene E-Mail-Postfächer (SMTP/IMAP) für Versand und Eingang, einschließlich des Abgleichs von Ordnern und Lesestatus mit dem Mailserver des Kunden
Empfänger von E-Mails, Weiterleitungen und automatischen Antworten, die Nutzer des Kunden senden oder die der Kunde in Regeln und Abwesenheitsnotizen im Eingang festlegt
Empfänger von Webhooks und Systeme, die über die Schnittstellen (API, FE2, DIVERA) angebunden werden
Navigationsanwendungen, die eine Einsatzkraft aus der Einsatz-App heraus öffnet (z. B. Google Maps über einen Link)

2.5 Telekommunikation

Mobilfunk- und Festnetzbetreiber, über die SMS, Sprachanrufe und Push-Mitteilungen zugestellt werden, sowie Internetzugangsanbieter und die Mailserver der Absender und Empfänger von E-Mails sind keine Unterauftragsverarbeiter, sondern erbringen Telekommunikationsdienste in eigener Verantwortung.

2.6 Dienste auf dem Endgerät und Verbindungsaufbau

Die folgenden Empfänger ergeben sich aus dem derzeitigen technischen Stand. Für alle drei ist eine technische Umstellung vorgesehen, nach der der Eintrag entfällt bzw. angepasst wird. Bis dahin sind sie in den Datenschutzhinweisen für die Apps (https://leitstelle.live/datenschutz-apps, Abschnitte 4, 7 und 10) offengelegt.

Dienst	Betreiber	Aufruf durch	Übermittelte Daten	Ort / Garantie
STUN-Server für Telefonie (stun.l.google.com:19302)	Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA	Browser (Leitstelle) bzw. Einsatz-App direkt beim Aufbau eines Telefonats, zusätzlich zum eigenen STUN/TURN-Server der Plattform	öffentliche IP-Adresse und Port des Endgeräts; keine Gesprächsinhalte	USA; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert
QR-Code-Erkennung (Google ML Kit Barcode Scanning)	Google LLC (Anschrift wie oben)	Einsatz-App auf dem Gerät beim Koppeln eines Alarmmonitors	Erkennung erfolgt auf dem Gerät; laut Google können Nutzungs- und Diagnosedaten der Bibliothek an Google übermittelt werden; kein Bildinhalt	USA (DPF)
Sprachausgabe des Browsers (Fallback des Alarmmonitors)	Anbieter des Browsers bzw. Betriebssystems (z. B. Google LLC, Microsoft Corporation), nur bei Online-Stimmen	Browser des Alarmmonitors, wenn die Server-Sprachausgabe nicht verfügbar ist	vorgelesener Alarmtext (Stichwort, Einsatzort)	USA (DPF)

2.7 Abwehr unerwünschter E-Mails

Dienst	Betreiber	Aufruf durch	Übermittelte Daten	Ort / Garantie
Sperrliste für Mailserver (Spamhaus ZEN)	Spamhaus Technology Ltd., Vereinigtes Königreich	Mailserver der Plattform bei der Annahme einer eingehenden E-Mail, über einen eigenen DNS-Resolver	IP-Adresse des einliefernden Mailservers; keine Inhalte und keine E-Mail-Adressen	Vereinigtes Königreich (Angemessenheitsbeschluss)