Data Processing Agreement pursuant to Art. 28 GDPR

between the Controller

and

BauCloud GmbH, Jörg-Hube-Str. 99, 81927 Munich, Germany – hereinafter referred to as “Processor” –

Preamble

This Agreement specifies the data protection rights and obligations of the contracting parties in connection with the contract concluded between them for the use of the software “Librario” (hereinafter “Librario Service Agreement”). It applies to all activities in which the Processor or sub-processors engaged by the Processor process personal data (hereinafter “Data”) on behalf of and in accordance with the instructions of the Controller.

SS 1 Subject Matter, Duration, Nature and Purpose of Processing

1)

The subject matter of the contract is the provision of the SaaS services specified in the Librario Service Agreement. The detailed description of the subject matter of processing, the nature and purpose of processing, the types of personal data, and the categories of data subjects is set out in Annex 1 to this Agreement.

2)

The duration of this Agreement (term) is determined by the term of the Librario Service Agreement. The right to extraordinary termination for good cause remains unaffected.

3)

The processing of Data by the Processor shall generally take place in a Member State of the European Union (EU) or in another Contracting State of the Agreement on the European Economic Area (EEA).

4)

The Processor is entitled to engage sub-processors in third countries, provided that the legal requirements pursuant to Art. 44 et seq. GDPR for data transfers are ensured. The sub-processors engaged and their locations can be found in the online list maintained pursuant to SS 5 of this Agreement.

SS 2 Obligations of the Processor

1)

The Processor shall process personal data exclusively within the scope of the agreements made and in accordance with documented instructions from the Controller (cf. SS 3), unless the Processor is required to process by Union or Member State law to which the Processor is subject.

2)

The Processor shall organize its internal operations in such a way as to meet the specific requirements of data protection. The Processor shall implement all technical and organizational measures required pursuant to Art. 32 GDPR to ensure a level of protection appropriate to the risk for the Controller’s Data. The current technical and organizational measures can be viewed at the Technical and Organizational Measures (TOM) document and are considered an integral part of this Agreement. The Processor reserves the right to adapt the TOMs to technical progress and further development, but shall ensure that the contractually agreed level of protection is never reduced. Material changes shall be documented to the Controller.

3)

The Processor reserves the right to modify the security measures implemented, while ensuring that the contractually agreed level of protection is not reduced. Material changes shall be documented to the Controller.

4)

The Processor shall ensure that persons authorized to process the Controller’s Data have committed themselves to confidentiality pursuant to Art. 28(3)(b), Art. 29 and Art. 32 GDPR and have been instructed in the data protection provisions relevant to them.

5)

The Processor shall designate a contact person to the Controller for all data protection matters arising under this Agreement.

6)

The Processor shall maintain a record of all categories of processing activities carried out on behalf of the Controller pursuant to Art. 30(2) GDPR.

SS 3 Controller’s Right to Issue Instructions

1)

The Processor may only process Data in accordance with instructions from the Controller. The Controller’s instructions are issued in particular through the use of the software “Librario” provided under the Librario Service Agreement and its functionalities by the Controller or users authorized by the Controller (e.g., by creating, modifying, or deleting publications, categories, and user accounts). This self-service use constitutes the primary documented instruction.

2)

Instructions are initially established by the Librario Service Agreement and this Agreement and may subsequently be amended, supplemented, or replaced by the Controller in text form (e.g., by email) to the contact point designated by the Processor through individual instructions.

3)

The Processor shall immediately inform the Controller if the Processor is of the opinion that an instruction violates the GDPR or other applicable data protection provisions. The Processor is entitled to suspend the execution of the relevant instruction until it is confirmed or amended by the Controller after review.

SS 4 Support Obligations for the Controller

1)

The Processor shall assist the Controller, where possible, with appropriate technical and organizational measures in fulfilling the Controller’s obligation to respond to requests for exercising the data subject’s rights under Chapter III of the GDPR (Art. 12-22).

2)

The Processor shall assist the Controller, taking into account the nature of processing and the information available to the Processor, in ensuring compliance with the obligations pursuant to Art. 32 to 36 GDPR (security of processing, notification of personal data breaches to the supervisory authority, communication to the data subject, data protection impact assessment, prior consultation).

3)

The Processor shall notify the Controller without undue delay after becoming aware of any personal data breach affecting the Data it processes.

SS 5 Sub-processing

1)

The Controller hereby grants the Processor general written authorization to engage further processors (sub-processors) within the meaning of Art. 28(2) GDPR.

2)

A current list of sub-processors engaged by the Processor and generally approved by the Controller is made available online by the Processor. The list published at the time of contract conclusion is deemed approved.

3)

The Processor shall inform the Controller of any intended changes concerning the addition or replacement of sub-processors by updating the online list and providing notification in text form (e.g., by email). The Controller may object to such changes within a period of 14 days after receipt of the notification for important data protection reasons. If no objection is raised within this period, the change is deemed approved. In the event of a justified objection, either party is entitled to terminate the Librario Service Agreement and this Agreement with 30 days’ notice.

4)

The Processor shall conclude a contract with the sub-processor that meets the requirements of Art. 28 GDPR and imposes on the sub-processor the same data protection obligations as set out in this Agreement. The Processor shall regularly verify the sub-processor’s compliance with these obligations.

SS 6 Controller’s Audit Rights

1)

The Processor shall make available to the Controller all information necessary to demonstrate compliance with the obligations laid down in Art. 28 GDPR upon request.

2)

The Controller is entitled to verify compliance with data protection regulations and contractual agreements at the Processor’s premises through audits, including inspections, either personally or through an appointed auditor. The Processor shall tolerate such measures and provide support.

3)

The Processor may also demonstrate compliance with technical and organizational measures by presenting suitable, current certifications, reports, or report excerpts from independent bodies (e.g., auditors, data protection officers) or appropriate certification (e.g., ISO 27001). Such evidence shall be provided to the Controller free of charge. For on-site inspections requested by the Controller beyond this, the Processor may charge remuneration based on its documented expenses.

SS 7 Liability

1)

The Controller and Processor shall be liable to data subjects in accordance with the provisions of Art. 82 GDPR.

2)

In the internal relationship, the Processor is only obligated to compensate for damages if it has violated an obligation specifically incumbent upon it under this Agreement or the GDPR, or has disregarded a lawful instruction of the Controller. The Controller is solely responsible for assessing the lawfulness of the processing instructed by the Controller pursuant to Art. 6(1) GDPR.

SS 8 Termination of Contract and Data Deletion

1)

Upon termination of the Librario Service Agreement or at any time upon instruction of the Controller, the Processor shall, at the Controller’s choice, either return all personal data processed in connection with the contract to the Controller or delete it in a data protection-compliant manner.

2)

The deletion or return shall be confirmed to the Controller in writing.

3)

Statutory retention obligations of the Processor remain unaffected by the provision in paragraph 1.

4)

The obligations under this Agreement, in particular regarding confidentiality and data security, shall continue after termination of the contract for as long as personal data remains within the Processor’s sphere of control.

SS 9 Final Provisions

1)

Amendments and supplements to this Agreement require text form. This also applies to the waiver of this formal requirement.

2)

In the event of any conflicts, the data protection provisions of this Agreement shall take precedence over the provisions of the Librario Service Agreement.

3)

Should individual parts of this Agreement be invalid, this shall not affect the validity of the Agreement as a whole.

4)

German law shall apply. The place of jurisdiction is Munich.

Annex 1: Description of Data Processing

(pursuant to SS 1 of this Agreement)

1. Nature and Purpose of Processing:

• Provision and operation of the SaaS application “Librario”: This includes the provision of the software for the management of bibliographic information and scientific literature via the Internet, including the hosting and infrastructure required for operation.
• Data processing for contract performance: Storage and processing of bibliographic metadata, PDF documents, and user-generated content (categories, annotations, collections) as entered and managed by the Controller and authorized users. Data is retained for the duration of the contract.
• Technical support and maintenance: Processing of data in the context of support requests from the Controller for troubleshooting and maintenance of the application.
• Security logging: Logging of technical data such as IP addresses and login times to ensure system security and traceability.

2. Types of Personal Data:

• Master and contact data of administrative users: Name, email address.
• Technical access and usage data: IP addresses, user agent information, and timestamps of administrative users during login and use of the application.
• Bibliographic content data: To the extent that publications managed by the Customer contain personal data (e.g., author names, contributor information), these are processed as part of the service.

3. Categories of Data Subjects:

• Employees of the Controller who administratively manage and use the application.
• Authors and contributors whose names appear in bibliographic records managed by the Customer (indirectly, through metadata).

Technische- und organisatorische Maßnahmen (TOM)

Diese Übersicht enthält die technischen und organisatorischen Maßnahmen gemäß Art. 32 DS-GVO, die zur Sicherstellung eines dem Risiko angemessenen Schutzniveaus implementiert wurden. Die TOMs sind integraler Bestandteil der Vereinbarung zur Auftragsverarbeitung und werden in Verbindung mit den eingesetzten Unterauftragsverarbeitern umgesetzt.

Kontrollziel Vertraulichkeit

Zutrittskontrolle

Maßnahmen, die geeignet sind, Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren.

• Technisch: Die physische Sicherheit der Server-Infrastruktur wird durch den Betrieb in hochsicheren Rechenzentren unserer Cloud-Provider (siehe Liste der Unterauftragsverarbeiter) gewährleistet. Die Angemessenheit der dortigen Maßnahmen wird mittels anerkannter Zertifizierungen (z.B. ISO/IEC 27001, SOC 2) verifiziert. (TOM-019)

Zugangskontrolle

Maßnahmen, die geeignet sind zu verhindern, dass Datenverarbeitungssysteme (Computer) von Unbefugten genutzt werden können.

• Organisatorisch: Der Zugang zu allen Unternehmenssystemen erfordert eine sichere Authentifizierung. Wo eine passwortbasierte Anmeldung erfolgt, wird diese durch eine Richtlinie für Passwortkomplexität geregelt. Grundsätzlich wird der Zugang jedoch durch die verpflichtende Nutzung von Multi-Faktor-Authentifizierung (MFA, siehe TOM-031) und Single-Sign-on (SSO, siehe TOM-032) abgesichert. (TOM-027)
• Technisch: Zum Schutz vor Datenzugriff bei Verlust oder Diebstahl sind die Datenträger aller vom Unternehmen bereitgestellten Endgeräte (Laptops, Mobiltelefone) mittels moderner, systemnativer Verschlüsselungstechnologien (z.B. BitLocker, FileVault, LUKS) vollständig verschlüsselt (Data-at-Rest). (TOM-028)
• Technisch: Sämtliche persistente Speichermedien der Cloud-Infrastruktur (VM-Festplatten, Datenbank-Storage, Objektspeicher, Backups) werden mittels cloud-nativer Verschlüsselungsdienste im Ruhezustand verschlüsselt (Encryption-at-Rest mit AES-256 oder höher). Die Schlüsselverwaltung erfolgt über die jeweiligen Key Management Services der Cloud Service Provider. (TOM-029)
• Technisch: Der Zugang zu allen unternehmenskritischen Systemen wird durch eine verpflichtende Multi-Faktor-Authentifizierung (MFA) abgesichert. Dies umfasst insbesondere den administrativen Zugriff auf die Cloud-Infrastruktur, interne Kollaborationstools (z.B. Google Workspace) sowie alle administrativen Konten innerhalb der SaaS-Anwendung. (TOM-031)
• Technisch: Mitarbeiter authentifizieren sich an allen IT-Systemen über ein zentrales Single-Sign-On (SSO)-Verfahren, sofern die Systeme SSO unterstützen. Als Identity Provider dient ein zentrales System (z.B. Google Workspace) mit verpflichtender Multi-Faktor-Authentifizierung gemäß TOM-031. Systeme ohne SSO-Unterstützung werden gemäß TOM-027 abgesichert. (TOM-032)

Zugriffskontrolle

Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.

• Technisch: Die datenschutzkonforme Vernichtung von Dokumenten mit personenbezogenen Daten erfolgt mittels Aktenvernichter der Sicherheitsstufe P4 oder höher (DIN 66399). Dies stellt sicher, dass vernichtete Dokumente nicht rekonstruierbar sind. (TOM-033)
• Organisatorisch: Die Anzahl der Konten mit administrativen Berechtigungen für die Produktiv-Infrastruktur und kritische Systeme wird nach dem Need-to-Know-Prinzip auf das absolute betriebsnotwendige Minimum beschränkt. (TOM-034)
• Organisatorisch: Es ist ein dokumentierter Prozess für die Verwaltung von Benutzerberechtigungen implementiert. Dieser regelt die Beantragung, Genehmigung, Einrichtung und den Entzug von Zugriffsrechten. (TOM-035)
• Organisatorisch: Die vergebenen Zugriffsrechte, insbesondere jene mit erhöhten Privilegien, werden mindestens halbjährlich auf ihre fortdauernde Notwendigkeit hin überprüft (Access Review). (TOM-036)
• Technisch: Es ist ein Rollen- und Berechtigungskonzept implementiert, das dem Prinzip der minimalen Rechtevergabe (Principle of Least Privilege) folgt. Benutzer und Systeme erhalten nur jene Berechtigungen, die für die Erfüllung ihrer jeweiligen Aufgaben zwingend erforderlich sind. Dies wird sowohl auf Ebene der Cloud-Infrastruktur (z.B. mittels Google Cloud IAM) als auch innerhalb der SaaS-Anwendung durchgesetzt. (TOM-037)

Trennungskontrolle

Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können.

• Organisatorisch: Der Zugriff auf Datenbankebene wird durch ein restriktives Berechtigungskonzept gesteuert. Anwendungsspezifische Service-Accounts erhalten nur die minimal erforderlichen Rechte (z.B. Lese-/Schreibrechte auf bestimmte Tabellen oder Datenbanken), die für ihre Funktion notwendig sind. (TOM-023)
• Technisch: Die Anwendungs- und Datenarchitektur gewährleistet eine strikte logische Trennung der Kundendaten (Mandantentrennung). Es ist technisch sichergestellt, dass ein authentifizierter Benutzer ausschließlich auf die Daten des eigenen Mandanten zugreifen kann. (TOM-024)
• Technisch: Das Unternehmen betreibt physisch und/oder logisch strikt voneinander getrennte Systemumgebungen für Entwicklung, Test und Produktion. Es ist sichergestellt, dass in Entwicklungs- und Testumgebungen keine produktiven personenbezogenen Daten verarbeitet werden. (TOM-026)

Pseudonymisierung

Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechende technichen und organisatorischen Maßnahmen unterliegen

• Organisatorisch: Wo immer möglich und zweckmäßig, werden personenbezogene Daten pseudonymisiert oder anonymisiert. (TOM-022)

Kontrollziel Integrität

Weitergabekontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist.

• Technisch: Die Vertraulichkeit und Integrität von Daten während der Übertragung (Data-in-Transit) wird durch eine ausschließliche Verwendung von starken Verschlüsselungsprotokollen sichergestellt. Die Kommunikation mit der SaaS-Anwendung und zwischen internen Systemkomponenten wird mittels TLS 1.2 oder höher (z.B. über HTTPS) abgesichert. (TOM-002)
• Organisatorisch: Umgang mit E-Mails - Mitarbeiter sind angewiesen, sensible Kundendaten oder Passwörter niemals unverschlüsselt per E-Mail zu versenden. Hierfür werden dedizierte, sichere Kanäle genutzt. (TOM-003)

Eingabekontrolle

Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind.

• Technisch: Das Unternehmen stellt durch Protokollierungsmechanismen (Audit-Trails) sicher, dass kritische Aktionen von Benutzern mit administrativen Rechten (z.B. Anlegen, Ändern, Löschen von Kundendaten oder Konfigurationen) nachvollziehbar aufgezeichnet werden. (TOM-001)
• Technisch: Änderungen am Quellcode der SaaS-Anwendung werden über ein Versionierungssystem (z.B. Git) verwaltet. Änderungen werden über Pull Requests mit Code-Review umgesetzt, um die Stabilität des Haupt-Branches zu gewährleisten. (TOM-038)
• Technisch: Produktive Deployments erfolgen ausschließlich aus einem geschützten Haupt-Branch über automatisierte CI/CD-Pipelines. Dies stellt sicher, dass nur geprüfter und freigegebener Code in die Produktivumgebung gelangt. (TOM-049)

Kontrollziel Verfügbarkeit und Belastbarkeit

Verfügbarkeitskontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind.

• Technisch: Backup-Konzept - Es werden regelmäßige, automatisierte Backups aller relevanten Kundendaten und Systemkonfigurationen erstellt. Die Backups werden verschlüsselt und geografisch getrennt vom Produktivsystem aufbewahrt. (TOM-018)
• Organisatorisch: Es ist ein Notfallplan (Disaster Recovery Plan) implementiert, der die Verfahren zur Wiederherstellung des Betriebs der SaaS-Anwendung nach einem schwerwiegenden Ausfall beschreibt. (TOM-020)
• Technisch: Zur Gewährleistung einer hohen Verfügbarkeit wird die Produktiv-Infrastruktur der SaaS-Anwendung redundant über mehrere, physisch getrennte Verfügbarkeitszonen (Availability Zones) innerhalb einer Cloud-Region betrieben. (TOM-021)

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

Datenschutz-Maßnahmen

• Organisatorisch: Das Unternehmen stellt durch die Bereitstellung einer umfassenden und leicht zugänglichen Datenschutzerklärung sicher, dass die Informationspflichten gemäß Art. 13 und 14 DSGVO vollumfänglich erfüllt werden. (TOM-006)
• Organisatorisch: Der Mitarbeiter ist bei Aufnahme seiner Tätigkeit schriftlich zur Wahrung der Vertraulichkeit und des Datengeheimnisses gemäß Art. 28 Abs. 3 lit. b DSGVO verpflichtet worden. Diese Verpflichtung besteht auch nach Beendigung der Tätigkeit fort. (TOM-007)
• Organisatorisch: Der Mitarbeiter wird mindestens einmal jährlich sowie anlassbezogen (z.B. bei neuen Bedrohungslagen oder wesentlichen Prozessänderungen) in den Bereichen Datenschutz und Informationssicherheit geschult. (TOM-008)
• Organisatorisch: Alle relevanten Richtlinien und Verfahrensanweisungen zum Datenschutz und zur Informationssicherheit werden zentral dokumentiert und dem Mitarbeiter in der jeweils aktuellen Fassung zugänglich gemacht. (TOM-009)

Incident-Response-Management

• Organisatorisch: Das Unternehmen stellt sicher, dass alle erkannten Sicherheitsvorfälle und vermuteten Datenpannen lückenlos in einem dedizierten Ticketsystem dokumentiert werden. Jeder Vorfall wird mit einer eindeutigen ID, Zeitstempeln, einer Beschreibung des Vorfalls, den ergriffenen Maßnahmen und dem Ergebnis der Untersuchung erfasst. (TOM-012)

• Organisatorisch: Es existiert ein dokumentierter Incident-Response-Plan (IRP), der die Prozesse zur Erkennung, Analyse, Eindämmung, Beseitigung und Nachbereitung von Sicherheitsvorfällen festlegt. (TOM-013)

• Organisatorisch: Der Incident-Response-Plan beinhaltet einen klar definierten Prozess zur Bewertung von Vorfällen im Hinblick auf eine mögliche Meldepflicht an die Aufsichtsbehörde (gemäß Art. 33 DSGVO) und eine Benachrichtigungspflicht gegenüber Betroffenen (gemäß Art. 34 DSGVO). (TOM-014)

• Technisch: Die Cloud-Infrastruktur wird durch den Einsatz von Netzwerk-Firewalls (Security Groups / VPC Firewalls) geschützt. Die Firewall-Regeln folgen dem Prinzip der minimalen Rechtevergabe (“Default Deny”) und werden regelmäßig auf ihre Notwendigkeit und Korrektheit überprüft. (TOM-015)

• Technisch: Zum Schutz vor Malware und Phishing-Angriffen wird für die E-Mail-Kommunikation ein professioneller E-Mail-Dienstleister eingesetzt, der über aktuelle und automatisch aktualisierte Spam- und Virenfilter verfügt. (TOM-016)

• Technisch: Auf allen Firmen-Endgeräten (Laptops) ist eine moderne Endpoint-Protection-Software (Virenscanner) mit Echtzeitschutz installiert. Die Software und deren Virensignaturen werden automatisch aktualisiert. (TOM-017)

• Technisch: Das Unternehmen aktiviert erweiterten Phishing- und Malware-Schutz in Google Workspace um eingehende E-Mails vor Phishing und schädlicher Software zu schützen durch Erkennung verdächtiger Anhänge/Skripts, schädlicher Links hinter Kurz-URLs, Scannen verknüpfter Bilder und Schutz vor E-Mail-Spoofing mit konfigurierten Aktionen (Spamordner/Warnung). (TOM-017a)

Datenschutzfreundliche Voreinstellungen

• Technisch: Das System ermöglicht Kunden die eigenständige Wahrnehmung ihrer Pflichten als Verantwortliche gegenüber betroffenen Personen. Über Self-Service-Funktionen können Benutzerkonten angelegt, bearbeitet und gelöscht werden (Recht auf Berichtigung und Löschung). Datenexporte sind sowohl über Schnittstellen als auch durch direkte Ausgabe möglich (Recht auf Datenübertragbarkeit und Auskunft). Damit unterstützt das System die fristgerechte Erfüllung von Betroffenenanfragen gemäß Art. 15-20 DSGVO. (TOM-010)
• Technisch: Das Unternehmen folgt dem Grundsatz der Datenminimierung gemäß Art. 5 DSGVO. Die SaaS-Anwendung ist so konzipiert, dass nur die für den jeweiligen Zweck notwendigen personenbezogenen Daten erhoben und verarbeitet werden. Dies betrifft sowohl die Nutzerregistrierung (nur notwendige Stammdaten) als auch die Verarbeitung im laufenden Betrieb. Unnötige Datenfelder werden vermieden und Löschfristen sind implementiert. (TOM-011)

Auftragskontrolle (Outsourcing an Dritte)

• Organisatorisch: Das Unternehmen stellt die Einhaltung der Weisungen des Auftraggebers (Kunden) sicher, indem vor Beginn der Verarbeitung ein rechtsgültiger Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO geschlossen wird. Diese TOMs sind ein verbindlicher Bestandteil dieses Vertrags. (TOM-004)
• Organisatorisch: Alle eingesetzten Unterauftragsverarbeiter werden einem sorgfältigen Auswahl- und Prüfprozess unterzogen. Mit jedem Unterauftragsverarbeiter wird ein AVV gemäß Art. 28 Abs. 4 DSGVO geschlossen, der diesem mindestens die gleichen Datenschutzpflichten auferlegt, die auch für das Unternehmen selbst gelten. (TOM-005)

Sub-processors

This overview lists the sub-processors under Art. 28 GDPR engaged to provide the services agreed in the Librario Service Agreement. The list is an integral part of the Data Processing Agreement and is maintained under the provisions set out there. As of September 15, 2026.

Google Cloud EMEA Limited

Google Workspace, Google Cloud Platform

Gordon House, Barrow Street, Dublin 4, Ireland

• Service: Email and office, e-signatures; compute, storage of the databases holding the literature and user data
• Processing location: EU, primarily: Frankfurt, Germany; Belgium
• Third-country safeguard: Google Cloud Data Processing Addendum (CDPA) incorporating the EU Standard Contractual Clauses (SCCs). Additionally covered by DPF certification.
• References: Privacy Notice · Data Processing Addendum

Amazon Web Services EMEA SARL

38 Avenue John F. Kennedy, L-1855, Luxembourg

• Service: Sending email notifications, data storage (e.g. invoices and files uploaded by the customer)
• Processing location: EU: Frankfurt, Germany; Ireland
• Third-country safeguard: AWS GDPR Data Processing Addendum (DPA) incorporating the EU Standard Contractual Clauses (SCCs). Additionally covered by DPF certification.
• References: Privacy Policy · GDPR DPA

HubSpot Germany GmbH

Am Postbahnhof 17, 10243 Berlin, Germany

• Service: CRM (marketing, sales and support)
• Processing location: EU (AWS data center in Germany)
• Third-country safeguard: HubSpot Data Processing Agreement (DPA) incorporating the EU Standard Contractual Clauses (SCCs) for transfers to HubSpot, Inc. (USA). Additionally covered by DPF certification.
• References: Privacy Policy · Data Processing Agreement

Fly.io, Inc.

2045 West Grand Avenue Ste B, Chicago, IL 60612, USA

• Service: Compute, storage of the databases holding the literature and user data
• Processing location: EU: Frankfurt, Germany; Amsterdam, Netherlands; Paris, France
• Third-country safeguard: EU-U.S. Data Privacy Framework (DPF) certification. Data Processing Agreement (DPA) with EU Standard Contractual Clauses (SCCs) available as an additional safeguard.
• References: Privacy Policy

DigitalOcean, LLC

101 Avenue of the Americas, 10th Floor, New York, NY 10013, USA

• Service: Compute, storage of the databases holding the literature and user data
• Processing location: EU: Frankfurt, Germany
• Third-country safeguard: EU-U.S. Data Privacy Framework (DPF) certification. Data Processing Agreement (DPA) with EU Standard Contractual Clauses (SCCs) as a fallback.
• References: Privacy Policy · Data Processing Agreement

Elasticsearch AS

Keizersgracht 281, 1016 ED, Amsterdam, Netherlands

• Service: Indexing of documents for search
• Processing location: EU: Ireland (AWS data center); Frankfurt, Germany (Google Cloud data center)
• Third-country safeguard: Data Processing Addendum (DPA) with EU Standard Contractual Clauses (SCCs) for transfers to Elasticsearch, Inc. (USA). Additionally covered by DPF certification.
• References: Privacy Policy · Customer DPA

AppSignal B.V.

Rietwaard 4, ’s-Hertogenbosch, The Netherlands

• Service: IT operations (observability/monitoring)
• Processing location: Netherlands
• Third-country safeguard: N/A (EU processor)
• References: Terms · Privacy Policy

Stripe Payments Europe, Limited

1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Ireland

• Service: Payment processing and SaaS subscription management
• Processing location: Ireland (with onward transfers to the USA)
• Third-country safeguard: Data Transfers Addendum (DTA) with EU Standard Contractual Clauses (SCCs) for transfers to third countries. Additionally covered by EU-U.S. Data Privacy Framework (DPF) certification (including the UK Extension and the Swiss-U.S. DPF).
• References: Privacy Policy · Privacy Center · Data Privacy Framework · Data Transfers Addendum

R&S 35 GmbH

Mainzer Gasse 8, 34613 Schwalmstadt, Germany

• Service: Hotline
• Processing location: Germany
• Third-country safeguard: N/A (processor in Germany only)
• References: DSGVO Informationen

Cloudflare, Inc.

101 Townsend Street, San Francisco, CA 94107, USA

• Service: Content delivery network (CDN), web application firewall (WAF); DDoS and bot mitigation, TLS termination of web traffic
• Processing location: Global anycast network; processing at the nearest data center
• Third-country safeguard: Cloudflare Customer DPA incorporating the EU Standard Contractual Clauses (SCCs). Additionally covered by EU-U.S. Data Privacy Framework (DPF) certification.
• References: Privacy Policy · Customer DPA · GDPR Trust Hub

netcup GmbH

Emmy-Noether-Straße 10, 76131 Karlsruhe, Germany

• Service: Compute, storage of the databases holding the literature and user data; indexing of documents for search
• Processing location: EU: Nürnberg, Germany
• Third-country safeguard: N/A (EU processor)
• References: Datenschutzerklärung · Impressum

Scaleway SAS

8 rue de la Ville-l’Évêque, 75008 Paris, France

• Service: Compute, storage of the databases holding the literature and user data; indexing of documents for search
• Processing location: EU: Paris, France
• Third-country safeguard: N/A (EU processor)
• References: Privacy Policy · DPA (PDF) · Security and Compliance

Change history

• September 15, 2026 Added: Cloudflare, Inc., netcup GmbH, Scaleway SAS. We are consolidating our infrastructure with European providers. The current providers stay listed until the migration is complete; their removal will be announced separately.