Vereinbarung zur Auftragsverarbeitung

Diese Vereinbarung zur Auftragsverarbeitung („DPA“) ist Bestandteil der Nutzungsbedingungen (die „Vereinbarung“) zwischen ExtraGM LLC („ExtraGM“, „wir“, „uns“) und dem Unternehmen, das über ein ExtraGM-Konto verfügt (der „Kunde“). Sie gilt immer dann, wenn ExtraGM personenbezogene Daten im Auftrag des Kunden verarbeitet und eines der nachstehend aufgeführten Datenschutzgesetze auf diese Verarbeitung Anwendung findet. Kunden erklären sich damit einverstanden, indem sie die Vereinbarung akzeptieren; eine Unterschrift ist nicht erforderlich. Falls Sie eine unterzeichnete Kopie benötigen, wenden Sie sich bitte an support@extragm.com.

1. Begriffsbestimmungen

„Datenschutzgesetze“ bezeichnet alle Gesetze zum Datenschutz und zu personenbezogenen Daten, die für die Verarbeitung im Rahmen der Vereinbarung gelten, einschließlich der EU-Datenschutz-Grundverordnung 2016/679 („DSGVO“), die DSGVO als Teil des britischen Rechts und das britische Datenschutzgesetz von 2018 („UK-DSGVO“), das Schweizer Bundesgesetz über den Datenschutz („BDSG“) sowie Datenschutzgesetze einzelner US-Bundesstaaten wie den California Consumer Privacy Act („CCPA“).

„Personenbezogene Daten des Kunden“ bezeichnet personenbezogene Daten, die der Kunde, seine Eigentümer, Führungskräfte oder Mitarbeiter in die Dienste eingeben oder die die Dienste über diese erstellen und die ExtraGM im Auftrag des Kunden verarbeitet.

„Unterauftragsverarbeiter“ bezeichnet ein Unternehmen, das ExtraGM mit der Verarbeitung personenbezogener Kundendaten beauftragt.

„SCCs“ bezeichnet die von der Europäischen Kommission im Durchführungsbeschluss (EU) 2021/914 genehmigten Standardvertragsklauseln. „UK-Zusatz“ bezeichnet den vom britischen Information Commissioner herausgegebenen Zusatz zu den SCCs für den internationalen Datentransfer (Version B1.0, in Kraft seit dem 21. März 2022).

„Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „personenbezogene Daten“, „Verletzung des Schutzes personenbezogener Daten“, „Verarbeitung“ und „Aufsichtsbehörde“ haben die in der DSGVO festgelegten Bedeutungen. „Dienstleistungen“ hat die in der Vereinbarung festgelegte Bedeutung.

2. Rollen

In Bezug auf personenbezogene Daten des Kunden ist der Kunde der Verantwortliche und ExtraGM der Auftragsverarbeiter. Wenn der Kunde selbst als Auftragsverarbeiter für einen anderen Verantwortlichen auftritt, ist ExtraGM dessen Unterauftragsverarbeiter, und der Kunde ist dafür verantwortlich, die Anweisungen dieses Verantwortlichen weiterzugeben.

ExtraGM ist Verantwortlicher und nicht Auftragsverarbeiter für die personenbezogenen Daten, die es zur Führung seines eigenen Geschäfts benötigt: Konto- und Anmeldedaten des Kontoinhabers des Kunden, Abrechnungs- und Zahlungsunterlagen, Support-Konversationen, Website-Besuche und Marketing. Unsere Datenschutzerklärung gilt für diese Daten.

Der Kunde ist dafür verantwortlich, eine rechtmäßige Grundlage für die Daten zu haben, die er in die Dienste eingibt, seine Mitarbeiter darüber zu informieren, wie ihre Daten verwendet werden, sowie für die Richtigkeit dieser Daten. Der Kunde sollte keine besonderen Kategorien personenbezogener Daten (wie z. B. Gesundheitsdaten) in die Dienste eingeben, es sei denn, dies ist nach seinem eigenen Recht zulässig und nur soweit erforderlich, beispielsweise in einer Abwesenheitsmitteilung.

3. Verarbeitung auf Anweisung des Kunden

ExtraGM verarbeitet personenbezogene Daten des Kunden ausschließlich gemäß den dokumentierten Anweisungen des Kunden. Die Vereinbarung, diese DPA sowie die Nutzung und die Einstellungen der Dienste durch den Kunden stellen diese Anweisungen dar. ExtraGM verarbeitet personenbezogene Daten des Kunden nicht für andere Zwecke, es sei denn, ein für ExtraGM geltendes Gesetz schreibt dies vor; in diesem Fall werden wir den Kunden vorab informieren, sofern das betreffende Gesetz dies nicht untersagt. Wir werden den Kunden informieren, wenn wir der Ansicht sind, dass eine Anweisung gegen Datenschutzgesetze verstößt.

Anhang I beschreibt die Verarbeitung: ihren Gegenstand, ihre Art, ihren Zweck und ihre Dauer sowie die Arten von personenbezogenen Daten und die betroffenen Personen.

4. Vertraulichkeit

ExtraGM gewährt Zugang zu personenbezogenen Daten des Kunden nur Personen, die diese zur Bereitstellung, Unterstützung oder Sicherung der Dienste benötigen, und nur, nachdem diese sich zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Geheimhaltungspflicht unterliegen.

5. Sicherheit

ExtraGM ergreift die in Anhang II aufgeführten technischen und organisatorischen Maßnahmen, um die personenbezogenen Daten des Kunden vor versehentlicher oder unrechtmäßiger Vernichtung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugriff zu schützen. Wir können diese Maßnahmen im Laufe der Zeit aktualisieren, sofern das allgemeine Schutzniveau dadurch nicht gesenkt wird.

6. Unterauftragsverarbeiter

Der Kunde erteilt ExtraGM die allgemeine Ermächtigung, Unterauftragsverarbeiter einzusetzen. Die derzeitigen Unterauftragsverarbeiter sind in Anhang III aufgeführt.

ExtraGM wird den Kunden mindestens 30 Tage vor Beginn der Verarbeitung personenbezogener Daten des Kunden durch einen neuen Unterauftragsverarbeiter per E-Mail an den Kontoinhaber sowie durch Aktualisierung von Anhang III informieren. Der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen Widerspruch einlegen, indem er sich schriftlich an support@extragm.com wendet. Wir werden uns dann nach bestem Wissen und Gewissen bemühen, eine Lösung zu finden. Sollte uns dies nicht gelingen, kann der Kunde den Vertrag kündigen, und wir erstatten ihm alle im Voraus gezahlten Gebühren für den Zeitraum nach der Kündigung.

ExtraGM erlegt jedem Unterauftragsverarbeiter durch einen schriftlichen Vertrag Datenschutzverpflichtungen auf, die die personenbezogenen Daten des Kunden mindestens ebenso gut schützen wie diese DPA. ExtraGM bleibt gegenüber dem Kunden für die Arbeit seiner Unterauftragsverarbeiter verantwortlich. Apple Inc. bildet hier eine Ausnahme: Apple bietet den Apple Push Notification service ausschließlich im Rahmen seiner standardmäßigen Lizenzvereinbarung für das Apple Developer Program an, nicht im Rahmen einer separaten Vereinbarung zur Auftragsverarbeitung. Gemäß diesen Bedingungen darf Apple nur in begrenzten Fällen auf den Inhalt einer Benachrichtigung zugreifen oder diesen offenlegen, beispielsweise zur Erfüllung rechtlicher Verfahren oder zur Durchsetzung dieser Bedingungen.

7. Anfragen von betroffenen Personen

Die meisten Anfragen können direkt in den Diensten bearbeitet werden: Eigentümer und Manager können Mitarbeiterdaten einsehen, korrigieren und entfernen, und Mitarbeiter können ihr eigenes Konto löschen. Unter Berücksichtigung der Art der Verarbeitung unterstützt ExtraGM den Kunden bei der Beantwortung von Anfragen betroffener Personen zur Ausübung ihrer Rechte. Wendet sich eine betroffene Person bezüglich personenbezogener Daten des Kunden direkt an ExtraGM, leiten wir die Anfrage an den Kunden weiter und beantworten sie nicht selbst, es sei denn, der Kunde bittet uns darum oder es ist gesetzlich vorgeschrieben.

8. Verletzungen des Schutzes personenbezogener Daten

ExtraGM wird den Kunden unverzüglich, spätestens jedoch innerhalb von 48 Stunden, benachrichtigen, nachdem wir Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erhalten haben, die personenbezogene Daten des Kunden betrifft. Die Benachrichtigung enthält, soweit uns dies zum jeweiligen Zeitpunkt bekannt ist, eine Beschreibung des Vorfalls, der betroffenen Daten und Personen, der voraussichtlichen Folgen sowie der ergriffenen oder vorgeschlagenen Maßnahmen. Wir werden weitere Informationen hinzufügen, sobald diese verfügbar sind, angemessene Maßnahmen zur Eindämmung der Verletzung ergreifen und den Kunden dabei unterstützen, seinen eigenen Verpflichtungen zur Benachrichtigung der Behörden und der betroffenen Personen nachzukommen. Die Meldung einer Verletzung stellt kein Schuldeingeständnis dar.

9. Folgenabschätzungen und Konsultationen

Unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen wird ExtraGM dem Kunden angemessene Unterstützung bei Datenschutz-Folgenabschätzungen sowie bei vorherigen Konsultationen der Aufsichtsbehörden im Zusammenhang mit den Diensten leisten.

10. Rückgabe und Löschung

Solange das Konto besteht, kann der Kunde seine Daten in den Diensten einsehen, die von den Diensten angebotenen Datenexporte herunterladen oder eine Kopie bei uns anfordern. Wenn der Kunde sein Konto löscht oder uns auffordert, es zu schließen oder seine Daten zu löschen, löscht ExtraGM die personenbezogenen Daten des Kunden innerhalb von 30 Tagen. Endet eine Testphase oder ein Abonnement ohne entsprechende Aufforderung, wird das Konto pausiert und die Daten werden – weiterhin durch diese Vereinbarung geschützt – so lange aufbewahrt, bis der Kunde das Konto löscht oder uns auffordert, die Daten zu löschen. Kopien in Sicherungskopien werden im Rahmen des normalen Sicherungszyklus überschrieben und werden in der Zwischenzeit nicht verwendet. Dies gilt nicht, wenn wir gesetzlich zur Aufbewahrung der Daten verpflichtet sind; alle aus diesem Grund aufbewahrten Daten bleiben durch diese Datenschutzvereinbarung geschützt.

11. Informationen und Audits

ExtraGM stellt die Informationen zur Verfügung, die zur Nachweisführung der Einhaltung dieser DPA angemessen erforderlich sind, einschließlich der Antworten auf Sicherheitsfragebögen sowie, sofern verfügbar, der Sicherheitsberichte und Zertifizierungen unserer Unterauftragsverarbeiter. Sollte dies nicht ausreichen oder sollte eine Aufsichtsbehörde dies verlangen, kann der Kunde die Einhaltung der Bestimmungen durch ExtraGM einmal jährlich nach schriftlicher Ankündigung von mindestens 30 Tagen während der Geschäftszeiten ohne Beeinträchtigung der Dienste auf eigene Kosten und durch einen zur Vertraulichkeit verpflichteten Prüfer, der kein Wettbewerber von ExtraGM ist, überprüfen lassen.

12. Internationale Übermittlungen

ExtraGM hat seinen Sitz in den Vereinigten Staaten und speichert personenbezogene Daten des Kunden in den Vereinigten Staaten. Einige Unterauftragsverarbeiter können diese Daten in anderen Ländern verarbeiten, wie in Anhang III aufgeführt.

EU und EWR

Werden personenbezogene Daten des Kunden aus dem Europäischen Wirtschaftsraum an ExtraGM in ein Land ohne Angemessenheitsbeschluss übermittelt, gelten die Standardvertragsklauseln (SCCs) und werden durch Verweis wie folgt in diese DPA aufgenommen: Modul 2 (Verantwortlicher an Auftragsverarbeiter) findet Anwendung, und Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter) findet Anwendung, wenn der Kunde ein Auftragsverarbeiter ist; der Kunde ist der Datenexporteur und ExtraGM der Datenimporteur; die optionale Anknüpfungsklausel in Klausel 7 findet Anwendung; gemäß Klausel 9 gilt Option 2 (allgemeine schriftliche Ermächtigung) unter Einhaltung der Ankündigungsfrist in Abschnitt 6 dieser DPA; die optionale Formulierung in Klausel 11 findet keine Anwendung; gemäß Klausel 13 ist die in dieser Klausel festgelegte Aufsichtsbehörde zuständig; gemäß den Klauseln 17 und 18 unterliegen die Standardvertragsklauseln irischem Recht, und Streitigkeiten werden vor irischen Gerichten verhandelt; und die Anhänge I, II und III dieser DPA sind die Anhänge der Standardvertragsklauseln. Die Annahme der Vereinbarung durch den Kunden gilt als Unterzeichnung der Standardvertragsklauseln.

Vereinigtes Königreich

Werden personenbezogene Daten des Kunden aus dem Vereinigten Königreich übermittelt, gilt der UK-Zusatz, der wie folgt durch Verweis einbezogen wird: Tabelle 1 wird mit den Angaben der Parteien in Anhang I ausgefüllt; Tabelle 2 verweist auf die oben ausgewählten Standardvertragsklauseln; Tabelle 3 wird mit den Anhängen I, II und III dieser DPA ausgefüllt; und in Tabelle 4 kann jede Partei den UK-Zusatz gemäß dessen § 19 kündigen.

Schweiz

Werden personenbezogene Kundendaten aus der Schweiz übermittelt, gelten die Standardvertragsklauseln wie oben beschrieben mit folgenden Änderungen: Der Eidgenössische Datenschutz- und Informationsbeauftragte ist die zuständige Aufsichtsbehörde, soweit die Übermittlung dem DSG unterliegt; Verweise auf die DSGVO sind als Verweise auf das DSG zu verstehen; und der Begriff „Mitgliedstaat“ umfasst die Schweiz, sodass betroffene Personen in der Schweiz Ansprüche an ihrem gewöhnlichen Aufenthaltsort geltend machen können.

Sollte die Behörde, die einen Übermittlungsmechanismus genehmigt hat, diesen ersetzen oder ändern, kann ExtraGM durch Aktualisierung dieser DPA auf den Ersatzmechanismus umstellen.

13. Datenschutzgesetze der Vereinigten Staaten

Soweit der CCPA oder ein ähnliches Landesgesetz gilt, fungiert ExtraGM als Dienstleister oder Auftragsverarbeiter des Kunden. ExtraGM wird personenbezogene Daten des Kunden weder verkaufen noch weitergeben; wird diese Daten zu keinem anderen Zweck als der Erbringung der Dienstleistungen oder außerhalb seiner direkten Geschäftsbeziehung mit dem Kunden speichern, verwenden oder offenlegen; wird diese Daten nicht mit personenbezogenen Daten kombinieren, die es von anderen erhält, es sei denn, diese Gesetze lassen dies zu; und wird den Kunden informieren, falls es diesen Verpflichtungen nicht mehr nachkommen kann.

14. Allgemeine Bestimmungen

Im Falle eines Widerspruchs haben die SCCs und der UK-Zusatz Vorrang vor dieser DPA, und diese DPA hat Vorrang vor dem übrigen Vertrag. Die Haftung jeder Partei im Rahmen dieser DPA unterliegt den im Vertrag festgelegten Beschränkungen, es sei denn, Datenschutzgesetze oder die SCCs lassen dies nicht zu. Diese DPA gilt so lange, wie ExtraGM personenbezogene Daten des Kunden verarbeitet. ExtraGM kann diese DPA aktualisieren, indem es eine neue Version auf dieser Seite veröffentlicht und den Kunden per E-Mail darüber informiert; Aktualisierungen führen nicht zu einer Einschränkung des Schutzes der personenbezogenen Daten des Kunden, es sei denn, ein Gesetz oder eine Aufsichtsbehörde verlangt die Änderung. Maßgeblich ist die englische Fassung; Übersetzungen dienen lediglich der Übersichtlichkeit.

Anhang I: Beschreibung der Verarbeitung

A. Vertragsparteien

Datenexporteur (Verantwortlicher oder Auftragsverarbeiter gemäß Modul 3): der Kunde, dessen Name, Adresse und Ansprechpartner in seinem ExtraGM-Konto angegeben sind. Tätigkeiten: Nutzung von ExtraGM zur Dienstplanerstellung, Schulung und Kommunikation mit seinem Restaurantteam. Unterschrift und Datum: durch Annahme der Vereinbarung.

Datenimporteur (Auftragsverarbeiter): ExtraGM LLC, 9722 Groffs Mill Dr, PMB 30011, Owings Mills, MD 21117, USA. Kontakt: support@extragm.com. Tätigkeiten: Erbringung der Dienste im Rahmen der Vereinbarung. Unterschrift und Datum: durch Veröffentlichung dieser DPA und Erbringung der Dienste.

B. Beschreibung der Datenübermittlung

• Betroffene Personen: die Eigentümer, Führungskräfte und Mitarbeiter des Kunden sowie weitere Personen, die der Kunde zu seinem Konto einlädt.
• Personenbezogene Daten: Namen und Kurznamen; berufliche E-Mail-Adressen; Rollen, Positionen und Standorte; Verfügbarkeit, Urlaubsanträge und zugehörige Notizen; Zeitpläne, Schichten, Schichttausch und geleistete Arbeitsstunden, einschließlich Ein- und Ausstempelzeiten, Pausen und, sofern der Kunde die Standortprüfung aktiviert, des Standorts des Geräts in diesem Moment (mit der Adresse des Restaurants abgeglichen, nicht gespeichert) sowie des Ergebnisses; Vergütungssätze und Personalkosten (nur für Eigentümer und autorisierte Führungskräfte sichtbar); Team-Chat-Nachrichten, Reaktionen und Ankündigungen; Schulungsunterlagen und deren Lesestatus; App-Sprache, Zeitzone, Benachrichtigungseinstellungen und Push-Token des Geräts; sowie Anmeldedaten wie gehashte Passwörter und Sitzungsprotokolle.
• Besondere Datenkategorien: Es sind keine vorgesehen. Alle Daten dieser Art, die der Kunde freiwillig eingibt, beispielsweise in einer Freistellungsnotiz, werden durch die in Anhang II genannten Maßnahmen geschützt, einschließlich eines rollenbasierten Zugriffs.
• Häufigkeit: fortlaufend, solange der Kunde die Dienste nutzt.
• Art der Verarbeitung: Hosting, Speicherung, Organisation, Anzeige, Versand von Benachrichtigungen und E-Mails, Erstellung von Entwürfen mittels KI (wie z. B. Zeitpläne und Schulungsunterlagen) auf Anfrage eines Nutzers, Übersetzung von Nachrichten auf Anfrage, Datensicherung und Löschung.
• Zweck: Bereitstellung, Unterstützung und Sicherung der Dienste für den Kunden.
• Dauer und Aufbewahrung: für die Laufzeit des Vertrags, anschließend bis zur Löschung gemäß Abschnitt 10.
• Weitergabe an Unterauftragsverarbeiter: der oben beschriebene Gegenstand, die Art und die Dauer, beschränkt auf die von jedem Unterauftragsverarbeiter erbrachte Dienstleistung (Anhang III).

C. Zuständige Aufsichtsbehörde

Die gemäß Klausel 13 der Standardvertragsklauseln (SCCs) bestimmte Aufsichtsbehörde: die Behörde am Sitz des Kunden im EWR oder, falls dieser nicht im EWR ansässig ist, am Sitz seines Vertreters oder am Ort, an dem sich die betroffenen Personen befinden. Für das Vereinigte Königreich ist dies das Information Commissioner’s Office. Für die Schweiz ist dies der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte.

Anhang II: Technische und organisatorische Sicherheitsmaßnahmen

• Verschlüsselung: Der gesamte Datenverkehr zu und von den Diensten erfolgt über TLS. Datenbanken, Dateien und Sicherungskopien werden von unseren Hosting-Anbietern im Ruhezustand (AES-256) verschlüsselt.
• Kundentrennung: Jede Datenbankabfrage unterliegt Sicherheitsregeln auf Zeilenebene, sodass die Daten jedes Kunden nur von den eigenen Nutzern dieses Kunden eingesehen werden können.
• Zugriff nach Rolle: Eigentümer, Führungskräfte und Mitarbeiter sehen unterschiedliche Daten. Vergütungssätze und Personalkosten werden Mitarbeitern niemals angezeigt. Team-Chats sind für ihre Mitglieder privat, und Führungskräfte können keine Chats lesen, an denen sie nicht beteiligt sind.
• Konten: Passwörter werden ausschließlich als „salted hashes“ gespeichert. Links in E-Mails (Einladungen, Passwort-Zurücksetzungen, Downloads) verwenden Einmal-Token, die nach einer bestimmten Zeit ablaufen.
• Zugriff durch ExtraGM-Mitarbeiter: Dieser ist auf die wenigen Personen beschränkt, die ihn benötigen, erfolgt über Konten, die durch Multi-Faktor-Authentifizierung geschützt sind, und dient ausschließlich der Unterstützung, Wartung oder Sicherung der Dienste.
• Datenminimierung: Wir erfassen keine Telefonnummern der Mitarbeitenden. Der genaue Standort wird nur gelesen, wenn der Kunde die Standortprüfung der Zeiterfassung aktiviert, und nur in dem Moment, in dem sich jemand ein- oder ausstempelt; er wird mit der Adresse des Restaurants abgeglichen und nicht gespeichert, und nur das Ergebnis wird aufbewahrt. Fehlerberichte enthalten keine Benutzerdaten, IP-Adressen, Cookies und die geheimen Token in Links.
• KI-Funktionen: An den KI-Anbieter werden ausschließlich die Informationen übermittelt, die für die vom Nutzer angeforderte Aufgabe erforderlich sind; dieser verwendet sie nicht zum Trainieren seiner Modelle.
• Ausfallsicherheit: Tägliche verschlüsselte Backups und Hosting-Anbieter mit redundanter Infrastruktur.
• Entwicklung: Änderungen werden vor der Veröffentlichung geprüft und automatisch getestet; Abhängigkeiten werden auf dem neuesten Stand gehalten; vertrauliche Daten werden aus dem Code ferngehalten.
• Überwachung und Vorfälle: Fehler werden überwacht, und wir befolgen einen Prozess zur Reaktion auf Vorfälle, der den Hinweis in Abschnitt 8 umfasst.
• Lieferanten: Wir wählen Unterauftragsverarbeiter aufgrund ihrer Sicherheitsstandards aus, und jeder von ihnen ist an eine Vereinbarung zur Auftragsverarbeitung gebunden, mit Ausnahme von Apple, dessen Bedingungen in Abschnitt 6 beschrieben sind.

Anhang III: Unterauftragsverarbeiter

ExtraGM nutzt diese Unterauftragsverarbeiter zur Erbringung der Dienste. Diese Liste wurde zuletzt an dem oben auf dieser Seite angegebenen Datum aktualisiert.

Unterauftragsverarbeiter	Aufgaben für ExtraGM	Betroffene personenbezogene Kundendaten	Standort
Supabase Pte. Ltd.	Datenbank, Anmeldung, Dateispeicherung und Live-Aktualisierungen	Alle personenbezogenen Kundendaten	Vereinigte Staaten (AWS, us-east-1)
Vercel Inc.	Hosting der Website und der Apps	Alle personenbezogenen Kundendaten während der Übertragung	Vereinigte Staaten und die dem Nutzer am nächsten gelegene Region
Anthropic, PBC	KI-Funktionen, wie z. B. Terminentwürfe, Schulungsunterlagen und die Übersetzung von Nachrichten	Nur die Daten, die für die vom Nutzer angeforderte Aufgabe erforderlich sind, wie z. B. Namen, Rollen und Verfügbarkeit	Vereinigte Staaten
Resend (Plus Five Five, Inc.)	Versenden von E-Mails, wie z. B. Einladungen und Passwort-Zurücksetzungen	Namen, E-Mail-Adressen und E-Mail-Inhalte	Vereinigte Staaten
Google LLC (Firebase Cloud Messaging)	Push-Benachrichtigungen an die Android- und iPhone-Apps	Geräte-Push-Token und Benachrichtigungsinhalte	Vereinigte Staaten
Apple Inc. (Apple Push Notification service)	Push-Benachrichtigungen an iPhones	Geräte-Push-Token und Benachrichtigungsinhalte	Vereinigte Staaten
Functional Software, Inc. (Sentry)	Fehlerüberwachung	Technische Fehlerdetails, ohne Benutzerdaten	Vereinigte Staaten
Upstash, Inc.	Gemeinsame Zähler zur Begrenzung von Anfragen, die die Anmeldung und andere Funktionen vor Missbrauch schützen	Kurzlebige Zähler, gespeichert unter gehashten Schlüsseln, die aus IP-Adressen, E-Mail-Adressen oder Benutzer-IDs abgeleitet sind	Vereinigte Staaten

Google LLC liefert über die Google Maps Platform Adressvorschläge, wenn ein Inhaber die Adresse des Restaurants eingibt. Google agiert als eigenständiger Verantwortlicher gemäß seinen eigenen Datenschutzbestimmungen und erhält lediglich den eingegebenen Adresstext; es handelt sich daher nicht um einen Unterauftragsverarbeiter.

Stripe wickelt Zahlungen für ExtraGM als eigenständiger Verantwortlicher ab und ist kein Unterauftragsverarbeiter für personenbezogene Daten von Kunden.

Webbrowser versenden Push-Benachrichtigungen über die Push-Dienste ihrer jeweiligen Hersteller (wie Google, Mozilla, Apple und Microsoft). ExtraGM wählt diese Dienste nicht aus und hat keinen Vertrag mit ihnen. Sie erhalten lediglich eine Push-Abonnementadresse und verschlüsselte Inhalte, die sie nicht lesen können; daher sind sie keine Unterauftragsverarbeiter.