Anlage SUB – Unterauftragnehmer, externe Dienste und Drittlandtransfers

Zweck

Diese Anlage dokumentiert externe Anbieter und technische Dienste, die bei der Bereitstellung von Sentinel System beziehungsweise des Virtuellen Bürger-Schreibtischs personenbezogene Daten im Auftrag verarbeiten können.

Dabei wird zwischen drei Kategorien unterschieden:

• AKTIV – Bestandteil des derzeitigen produktiven Betriebs.
• OPTIONAL – nur bei Aktivierung einer bestimmten Funktion relevant.
• ZU VERIFIZIEREN – technischer beziehungsweise vertraglicher Datenfluss muss vor Aufnahme in die veröffentlichte Liste abschließend geprüft werden.

Ein Anbieter wird nicht allein deshalb als Unterauftragnehmer bezeichnet, weil dessen Software oder Schnittstelle technisch unterstützt wird.

Hetzner – Hosting

Der Virtuelle Bürger-Schreibtisch wird gegenwärtig auf Hetzner-Infrastruktur in Nürnberg betrieben.

Dabei können insbesondere Kontodaten, Dokumente, Metadaten, Schuldnerberatungsdaten und technische Betriebsdaten auf der Infrastruktur verarbeitet werden.

Lokale OCR- und Dokumentenverarbeitung

OCR und Dokumentenkonvertierung sind nach der dokumentierten Sentinel-Architektur innerhalb der eigenen Anwendungsinfrastruktur möglich.

Hierfür werden insbesondere lokale Komponenten eingesetzt beziehungsweise vorgesehen, beispielsweise Tesseract und LibreOffice.

Eine normale OCR- oder Office-Konvertierung erfordert nicht allein aufgrund dieser Funktion die Übermittlung des Bürgerdokuments an einen externen Cloud-OCR-Anbieter.

Diese Komponenten sind deshalb keine externen Unterauftragnehmer.

Externe KI-Dienste

Externe KI-Funktionen existieren beziehungsweise sind innerhalb der Sentinel-Welt vorgesehen. Die Datenflüsse unterscheiden sich je nach Produkt und Funktion erheblich.

Jede externe KI-Verarbeitung erhält deshalb vor Produktivfreigabe einen eigenen Datensatz.

Eine pauschale Aussage, externe KI erhalte keine personenbezogenen Daten, wird nur getroffen, wenn dies für jede entsprechende Funktion tatsächlich belegt ist.

KI-Recherche des Bürger-Schreibtischs

Für den Recherche-Executor des Bürger-Schreibtischs existiert ein enger technischer Datenvertrag.

Nicht übertragen werden sollen insbesondere:

• Bürgerdokumente
• Aktenzeichen
• private Bürgernotizen
• account_id
• user_id
• matter_id

Übermittelt werden dürfen nur die für die ausdrücklich ausgelöste öffentliche Recherche erforderlichen, minimierten Suchparameter.

Das Ergebnis wird als Vorschlag zurückgegeben und vor einer Übernahme in gemeinsame Datenbestände menschlich geprüft.

Web Speech API / Sprachfunktionen

Browser-Sprachfunktionen können abhängig von Browser, Betriebssystem und verwendetem Speech-Service technisch unterschiedlich verarbeitet werden.

Eine ausschließlich lokale Spracherkennung wird deshalb nicht pauschal zugesichert.

Vor produktiver Aktivierung wird der Datenfluss dokumentiert:

eBO / EGVP / SAFE

Diese Dienste sind nicht automatisch Unterauftragnehmer von Sentinel, nur weil Sentinel mit ihnen kommuniziert.

Zu unterscheiden sind technische Kommunikationsinfrastruktur und Auftragsverarbeitung für Sentinel.

SAFE-/eBO-/EGVP-Kommunikation wird deshalb in der Datenflussdokumentation geführt, aber nicht ohne rechtliche Prüfung als klassischer Unterauftragnehmer bezeichnet.

E-Mail-Infrastruktur

Sentinel kann E-Mail-Funktionen bereitstellen beziehungsweise fremde Mailkonten anbinden.

Zu unterscheiden sind eine Sentinel-eigene Mailbox und ein vom Nutzer eingebundener externer Mailprovider.

Ein vom Bürger selbst eingebundener Mailanbieter ist nicht automatisch Unterauftragnehmer von Sentinel.

Soweit Sentinel selbst Mailinfrastruktur bei einem externen Provider bezieht, wird dieser entsprechend der tatsächlichen Vertragsstruktur geprüft und gegebenenfalls in die Unterauftragnehmerliste aufgenommen.

Messenger und Cloud-Laufwerke

Eine technisch vorhandene Schnittstelle führt nicht automatisch zu einer Datenübertragung.

Erst wenn ein Nutzer einen entsprechenden Dienst verbindet beziehungsweise eine Übertragung auslöst, entsteht der konkrete Datenfluss.

Für jeden unterstützten Dienst wird separat dokumentiert:

Zahlungsdienstleister

Soweit kostenpflichtige Sentinel-Angebote Zahlungsdienstleister einsetzen, können dort insbesondere Zahlungs- und Abrechnungsdaten verarbeitet werden.

Für einen kommunalen Pilot wird geprüft, ob ein Zahlungsdienst überhaupt Bestandteil des Pilotdatenflusses ist. Ist dies nicht der Fall, wird er nicht unnötig in die produktspezifische Pilot-Unterauftragnehmerliste aufgenommen.

DNS, Domain und TLS

Domainregistrare, DNS-Anbieter und Zertifizierungsstellen sind gesondert zu betrachten. Sie verarbeiten nicht automatisch Bürgerdokumente des Systems.

Mögliche Daten beschränken sich abhängig von der Architektur beispielsweise auf IP-Adressen, Domaininformationen, DNS-Anfragen und Zertifikatsmetadaten.

Die Einordnung erfolgt nach dem tatsächlichen technischen Datenfluss.

Monitoring und Fehleranalyse

Externe Monitoring-, Crash-Reporting- oder Analytics-Dienste sind vor Produktivbetrieb zwingend zu erfassen.

Besonders kritisch wären URLs mit Objektkennungen, Benutzerkennungen, Dokumentnamen, Stacktraces mit Inhaltsdaten oder Sessioninformationen.

Monitoringdaten werden als eigener Datenfluss behandelt und dürfen nicht ungeprüft personenbezogene Fachinhalte an externe Systeme übertragen.

Derzeitige Pilotmatrix

Für einen ersten Bürger-Schreibtisch-Pilot wird konservativ nur der derzeit belegbare Status veröffentlicht.

Die Matrix behauptet an keiner Stelle mehr, als derzeit technisch belegt werden kann.

Drittlandgrundsatz

Dazu gehören abhängig vom Empfänger insbesondere:

• Angemessenheitsbeschluss
• geeignete Garantien
• Standardvertragsklauseln
• gegebenenfalls Transfer Impact Assessment
• ergänzende technische Maßnahmen

Ein externer Dienst wird nicht allein deshalb als datenschutzrechtlich unproblematisch behandelt, weil seine API verschlüsselt über HTTPS erreichbar ist.

Änderungen der Unterauftragnehmer

Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter entsprechend der vereinbarten Informationsfrist.

Dem Auftraggeber wird Gelegenheit gegeben, aus datenschutzrechtlich nachvollziehbaren Gründen Einwände gegen die Änderung zu erheben.

Öffentliche Darstellung

Öffentlich werden keine unnötigen internen Details, Ports oder Sicherheitsmechanismen ausgebreitet.

Die öffentliche Zusammenfassung umfasst insbesondere:

• Hosting: Deutschland
• Dokumentenverarbeitung: lokale Verarbeitung, soweit technisch vorgesehen
• Externe KI: nur funktionsbezogen und transparent dokumentiert
• Unterauftragnehmer: aktuelle Liste abrufbar
• Drittlandtransfers: nur unter den Voraussetzungen der DSGVO

Eine vollständige vertrags- und pilotspezifische technische Anlage wird dem Datenschutzbeauftragten beziehungsweise Vertragspartner bereitgestellt.