/01Abgrenzung: Eigenleistung
Die physische Stellplatz-Infrastruktur wird im Twin-Site-Konzept an zwei Rechenzentrums-Standorten in Oberfranken bereitgestellt — Coburg und Neustadt bei Coburg. Beide Anbieter sind nachstehend als Unterauftragsverarbeiter aufgeführt, weil sie physischen Zugang zur Hardware haben, auch wenn sie auf keine Anwendung und kein Konto zugreifen.
Diese Übersicht wird laufend aktuell gehalten und ist Bestandteil der Anlage 2 zum Auftragsverarbeitungsvertrag (HSP-AVV-2026 v2.0). Den Vertrag selbst und die technisch-organisatorischen Maßnahmen finden Sie im Downloadbereich.
/02Aktive Unterauftragsverarbeiter
Die folgenden Drittanbieter werden bei den genannten Services als Unterauftragsverarbeiter eingesetzt. Für jeden besteht ein Vertrag nach Art. 28 Abs. 4 DSGVO. Bei Drittlandtransfers gelten Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914, ergänzt um ein Transfer Impact Assessment nach EDSA-Empfehlung 01/2020.
Acht der neun Anbieter verarbeiten ausschließlich in Deutschland. Der neunte — Microsoft Ireland — ist nur dann einschlägig, wenn ein Microsoft-Service ausdrücklich vereinbart wurde.
Städtische Werke Überlandwerke Coburg GmbH (SÜC)
DE · kein DrittlandBamberger Str. 2-6, 96450 Coburg, Deutschland · Kommunaler Versorger der Stadt Coburg
| Eingesetzt bei | Sämtliche Hosting-, Managed-Service-, Cloud- und Colocation-Leistungen — die Server- und Storage-Infrastruktur der HostSpezial GmbH steht physisch im Rechenzentrum der SÜC Coburg |
|---|---|
| Tätigkeit | Bereitstellung von Stellplatz (Rack/Cage), redundanter Stromversorgung (USV, Notstromdiesel), Klimatisierung, Brandschutz, Zutrittssicherung und physischer Gebäudesicherheit |
| Verarbeitete Daten | Keine logische Datenverarbeitung — ausschließlich physischer Zugriff auf die Hardware im Rahmen der Stellplatzleistung. Kein Zugriff auf Anwendungen, Datenbanken oder Konten |
| Datenresidenz | Deutschland (Bayern, Coburg) |
| Drittlandtransfer | Nein |
| Rechtsgrundlage | Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; Colocation-Vertrag |
| Zertifizierungen RZ | Auf Anfrage; Anbieter ist kommunales Versorgungsunternehmen mit etablierten Sicherheitsstandards |
SWN Stadtwerke Neustadt GmbH
DE · kein DrittlandDieselstraße 5, 96465 Neustadt bei Coburg, Deutschland · Kommunaler Versorger der Stadt Neustadt bei Coburg
| Eingesetzt bei | Zweiter Rechenzentrums-Standort für Backup, Replikation und Disaster Recovery der HostSpezial-Infrastruktur (Twin-Site-Konzept gemeinsam mit SÜC Coburg) |
|---|---|
| Tätigkeit | Bereitstellung von Stellplatz (Rack), redundanter Stromversorgung (USV, Notstrom), Klimatisierung, Brandschutz, Zutrittssicherung und physischer Gebäudesicherheit |
| Verarbeitete Daten | Keine logische Datenverarbeitung — ausschließlich physischer Zugriff auf die Hardware im Rahmen der Stellplatzleistung. Kein Zugriff auf Anwendungen, Datenbanken oder Konten |
| Datenresidenz | Deutschland (Bayern, Neustadt bei Coburg) |
| Drittlandtransfer | Nein |
| Rechtsgrundlage | Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; Colocation-Vertrag |
| Zertifizierungen RZ | Auf Anfrage; Anbieter ist kommunales Versorgungsunternehmen mit etablierten Sicherheitsstandards |
Hetzner Online GmbH
DE · kein DrittlandIndustriestr. 25, 91710 Gunzenhausen, Deutschland · Hosting- und Infrastruktur-Provider
| Eingesetzt bei | Externes, zusätzliches Monitoring der HostSpezial-Infrastruktur und ggf. kundenseitiger Systeme — bewusst standortunabhängig vom primären RZ (Coburg) betrieben, um Ausfallszenarien des primären Standorts erkennen zu können |
|---|---|
| Tätigkeit | Bereitstellung der Server-Infrastruktur für das externe Monitoring-System (Uptime-Checks, Verfügbarkeits-/Performance-Metriken, Alerting-Backend) |
| Verarbeitete Daten | Hostnamen, IP-Adressen, Performance-Metriken, Logdaten der überwachten Systeme, Alert-Historie |
| Datenresidenz | Deutschland (Bayern, Gunzenhausen — Hetzner-Rechenzentrumspark) |
| Drittlandtransfer | Nein |
| Rechtsgrundlage | Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Hetzner-AVV in jeweils aktueller Fassung) |
| Zertifizierungen | ISO/IEC 27001 zertifiziert, DIN EN 50600 |
Telekom Deutschland GmbH
DE · kein DrittlandLandgrabenweg 149, 53227 Bonn, Deutschland · Telekommunikations-Carrier / Internet-Provider
| Eingesetzt bei | Internet-Anbindung der Geschäftsräume / Verwaltung der HostSpezial GmbH (Lichtenfels) |
|---|---|
| Tätigkeit | Bereitstellung der Internet-Konnektivität für Büro- und Verwaltungstätigkeit (Transit/Carrier), reine Datenpaket-Vermittlung gemäß Telekommunikationsgesetz (TKG) |
| Verarbeitete Daten | Keine zweckgebundene Verarbeitung von Inhaltsdaten — reine Weiterleitung von Datenpaketen. Verarbeitung von Verkehrsdaten ausschließlich nach TKG-Vorgaben |
| Datenresidenz | Deutschland (Bonn / bundesweit) |
| Drittlandtransfer | Nein |
| Rechtsgrundlage | Telekommunikations-Dienstleistungsvertrag nach TKG; AVV nach Art. 28 DSGVO sofern erforderlich (reine Transit-Tätigkeit fällt nach DSK-Position regelmäßig nicht unter Art. 28 DSGVO) |
| Aufnahme aus Transparenzgründen | Ja — Aufführung erfolgt zur lückenlosen Offenlegung der Wertschöpfungskette |
Vodafone GmbH
DE · kein DrittlandFerdinand-Braun-Platz 1, 40549 Düsseldorf, Deutschland · Telekommunikations-Carrier / Internet-Provider
| Eingesetzt bei | Internet-Anbindung der Geschäftsräume / Verwaltung der HostSpezial GmbH (Lichtenfels) — als zweiter Carrier zur Ausfallsicherheit |
|---|---|
| Tätigkeit | Bereitstellung redundanter Internet-Konnektivität für Büro- und Verwaltungstätigkeit (Transit/Carrier), reine Datenpaket-Vermittlung gemäß Telekommunikationsgesetz (TKG) |
| Verarbeitete Daten | Keine zweckgebundene Verarbeitung von Inhaltsdaten — reine Weiterleitung von Datenpaketen. Verarbeitung von Verkehrsdaten ausschließlich nach TKG-Vorgaben |
| Datenresidenz | Deutschland (Düsseldorf / bundesweit) |
| Drittlandtransfer | Nein |
| Rechtsgrundlage | Telekommunikations-Dienstleistungsvertrag nach TKG; AVV nach Art. 28 DSGVO sofern erforderlich (reine Transit-Tätigkeit fällt nach DSK-Position regelmäßig nicht unter Art. 28 DSGVO) |
| Aufnahme aus Transparenzgründen | Ja — Aufführung erfolgt zur lückenlosen Offenlegung der Wertschöpfungskette |
CPS-Datensysteme GmbH
DE · kein DrittlandGilgenborn 44, 56179 Vallendar, Deutschland · Domain-Registrar und DNS-Provider
| Eingesetzt bei | Domain-Registrierung und DNS-Hosting für Kunden-Domains (sofern HostSpezial mit der Domain-Verwaltung beauftragt ist) |
|---|---|
| Tätigkeit | Verwaltung der Domain-Stammdaten (Owner-/Tech-/Admin-Contact), Pflege der DNS-Zonen, Bereitstellung autoritativer Nameserver |
| Verarbeitete Daten | Domain-Inhaberdaten (gem. Registry-Vorgaben, ggf. öffentliches WHOIS), technische DNS-Records, Anfrage-Metadaten der Resolver |
| Datenresidenz | Deutschland (Vallendar, Rheinland-Pfalz) |
| Drittlandtransfer | Nein |
| Rechtsgrundlage | Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; ergänzend Registry-Vorgaben (DENIC bei .de-Domains) |
hosting.de GmbH
DE · kein DrittlandFranzstr. 51, 52064 Aachen, Deutschland · Domain-Registrar und DNS-Provider
| Eingesetzt bei | Domain-Registrierung und DNS-Hosting für Kunden-Domains (sofern HostSpezial mit der Domain-Verwaltung beauftragt ist; eingesetzt parallel/alternativ zu CPS-Datensysteme je nach TLD und Mandanten-Setup) |
|---|---|
| Tätigkeit | Verwaltung der Domain-Stammdaten (Owner-/Tech-/Admin-Contact), Pflege der DNS-Zonen, Bereitstellung autoritativer Nameserver |
| Verarbeitete Daten | Domain-Inhaberdaten (gem. Registry-Vorgaben, ggf. öffentliches WHOIS), technische DNS-Records, Anfrage-Metadaten der Resolver |
| Datenresidenz | Deutschland (Aachen, Nordrhein-Westfalen) |
| Drittlandtransfer | Nein |
| Rechtsgrundlage | Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; ergänzend Registry-Vorgaben (DENIC bei .de-Domains, ICANN bei gTLDs) |
dacor GmbH
DE · kein DrittlandKarchestraße 1, 96450 Coburg, Deutschland · Telekommunikations-Carrier / Internet-Provider
| Eingesetzt bei | Upstream-Internet-Anbindung des primären Rechenzentrums-Standorts bei der SÜC Coburg |
|---|---|
| Tätigkeit | Bereitstellung der Internet-Konnektivität (Transit/Carrier), reine Datenpaket-Vermittlung gemäß Telekommunikationsgesetz (TKG) |
| Verarbeitete Daten | Keine zweckgebundene Verarbeitung von Inhaltsdaten — reine Weiterleitung von Datenpaketen. Verarbeitung von Verkehrsdaten ausschließlich nach TKG-Vorgaben |
| Datenresidenz | Deutschland (Coburg) |
| Drittlandtransfer | Nein |
| Rechtsgrundlage | Telekommunikations-Dienstleistungsvertrag nach TKG; AVV nach Art. 28 DSGVO sofern erforderlich (reine Transit-Tätigkeit fällt nach DSK-Position regelmäßig nicht unter Art. 28 DSGVO) |
| Aufnahme aus Transparenzgründen | Ja — Aufführung erfolgt zur lückenlosen Offenlegung der Wertschöpfungskette, auch wenn die Sub-AV-Eigenschaft im engeren Sinne strittig ist |
Microsoft Ireland Operations Ltd.
EU + US-KonzernzugriffOne Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland · Konzernmutter: Microsoft Corporation (USA)
| Eingesetzt bei | Microsoft 365 Management, Exchange Online, Teams, SharePoint, Entra ID, Azure-Hosting (nur bei vereinbartem Microsoft-Service — HSP-CLOUD-003) |
|---|---|
| Verarbeitete Daten | Stammdaten, Postfachinhalte, Kalender, Dateien, Login-Daten, Telemetrie |
| Datenresidenz | EU Data Boundary (Rechenzentren in der EU); Zugriff aus US-Konzern möglich |
| Drittlandtransfer | Ggf. USA — abgesichert durch EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795) UND Standardvertragsklauseln (Modul 3) |
| TIA durchgeführt | Ja, nach EDSA-Empfehlung 01/2020; auf Anfrage einsehbar |
| Zertifizierungen | ISO/IEC 27001, ISO/IEC 27018, SOC 2, BSI C5 |
| DPA | Microsoft Products and Services Data Protection Addendum (DPA) in jeweils aktueller Fassung |
/03Information und Widerspruchsrecht
Nach § 5 Abs. 2 unseres Auftragsverarbeitungsvertrags informieren wir bestehende Auftraggeber mindestens 30 Tage vor Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform — per E-Mail an die im Vertrag hinterlegte Datenschutz-Kontaktadresse.
Widerspruchsrecht. Sie können innerhalb von 14 Tagen nach Zugang der Information aus wichtigem Grund Einspruch erheben. Bei berechtigtem Einspruch suchen wir gemeinsam eine Lösung; kommt keine Einigung zustande, sind beide Parteien zur außerordentlichen Kündigung der betroffenen Leistung berechtigt.
/04Änderungshistorie
Vollständige Historie aller Änderungen seit Einführung dieser Übersicht. Vor jeder Änderung wurden bzw. werden bestehende Auftraggeber nach § 5 Abs. 2 AVV informiert.
| Version | Datum | Änderungen |
|---|---|---|
| 2.0 | 15.04.2026 | Vollständige Neufassung der Übersicht im Zuge der AVV-Überarbeitung (HSP-AVV-2026 v2.0): strukturierte Darstellung aller neun Sub-Auftragsverarbeiter mit Sitz, Tätigkeit, Datenresidenz und Drittland-Garantien. Ergänzung der Eigenleistungs-Abgrenzung (HostSpezial GmbH ist nicht eigener Sub-AV). Verlinkung aus AVV Anlage 2 und TOM Sektion 5.1. |
| — | 11.03.2026 | Aufnahme Hetzner Online GmbH (Gunzenhausen, DE) als zusätzlicher Sub-Auftragsverarbeiter für standortunabhängiges externes Monitoring. Bewusst außerhalb des primären RZ-Standorts (Coburg) betrieben, um Ausfallszenarien des primären Standorts erkennen zu können. AVV mit Hetzner nach Art. 28 DSGVO; Hetzner ist ISO/IEC 27001 zertifiziert. |
| — | 07.10.2025 | Aufnahme zweiter Rechenzentrums-Standort: SWN Stadtwerke Neustadt GmbH (Neustadt bei Coburg, DE) für Backup-/Replikations-/DR-Zwecke im Twin-Site-Konzept gemeinsam mit SÜC Coburg. Beide Standorte mit unabhängiger Stromversorgung und getrenntem Brandabschnitt. |
| — | 22.07.2025 | Formalisierung der Übersicht-Pflege als kontinuierlicher Prozess gemäß Art. 28 Abs. 2 DSGVO; Einführung des 30-/14-Tage-Vorabinformations- und Widerspruchsverfahrens nach Anpassung des AVV auf Vorversion. Bestehende Sub-AVs unverändert (SÜC Coburg, dacor, CPS-Datensysteme, hosting.de, Microsoft Ireland). |
| — | 14.04.2025 | Aufnahme Microsoft Ireland Operations Ltd. (Dublin, IE) als Sub-Auftragsverarbeiter für vereinbarte Microsoft-365-/Azure-Services. Einsatz nur mandantenspezifisch bei gebuchtem Service. Drittlandtransfer abgesichert durch EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795) sowie Standardvertragsklauseln (Modul 3) und Transfer Impact Assessment nach EDSA-Empfehlung 01/2020. |
| 1.0 | 02.01.2025 | Initiale Konsolidierung der internen Sub-Auftragsverarbeiter-Liste. Bestand: Städtische Werke Überlandwerke Coburg GmbH (SÜC) als primärer Rechenzentrums-Standort, dacor GmbH als Upstream-Internet-Carrier für den primären RZ-Standort, Telekom Deutschland GmbH und Vodafone GmbH als redundante Internet-Anbindung der Geschäftsräume/Verwaltung in Lichtenfels, CPS-Datensysteme GmbH (Vallendar) und hosting.de GmbH (Aachen) für Domain-Registrierung und DNS-Hosting. Alle Vertragsverhältnisse bestehen aus den vorhergehenden Geschäftsjahren; Aufnahme in eine strukturierte interne Liste zum Stichtag. |
Dokument HSP-SUB-2026 · Version 1.0 · Stand 04/2026 · HostSpezial GmbH, Alte Coburger Str. 2, 96215 Lichtenfels