Unterauftragsverarbeiter und weitere Empfänger

Fassung 1.0 · Stand: 8. September 2026

Diese Seite benennt die Dienstleister, die wir beim Betrieb von Zapfla einsetzen, und die weiteren Stellen, an die dabei personenbezogene Daten gelangen können. Sie ist die Liste, auf die § 14 unserer Allgemeinen Geschäftsbedingungen und Ziffer 18 unserer Datenschutzerklärung verweisen. Sie ist ohne Anmeldung erreichbar, und zwar unter zapfla.de/de/unterauftragsverarbeiter und unter app.zapfla.de/legal/unterauftragsverarbeiter.

Anbieter der Plattform ist 365tec, Inhaber Daniel Ovadia, Eugen-Richter-Str. 159, 76187 Karlsruhe, Deutschland, E-Mail info@zapfla.de.

1. Unterauftragsverarbeiter nach Art. 28 DSGVO

Unterauftragsverarbeiter sind Dienstleister, die personenbezogene Daten ausschließlich weisungsgebunden für uns verarbeiten. Wir verpflichten jeden von ihnen auf die Pflichten aus dem Auftragsverarbeitungsvertrag mit Ihnen und haften Ihnen gegenüber für die Einhaltung dieser Pflichten. Eingesetzt sind derzeit:

• IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland — Betrieb des Servers und des Rechenzentrums, Ablage der Sicherungskopien sowie Versand unserer E-Mails über einen SMTP-Zugang. Betroffen sind sämtliche in der Plattform gespeicherten Daten sowie die Zugriffsprotokolle des vorgeschalteten Webservers. Ort der Verarbeitung ist ausschließlich Deutschland. Grundlage ist ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO.
• Apple Inc., One Apple Park Way, Cupertino, Kalifornien, Vereinigte Staaten — Zustellung von Benachrichtigungen an die iOS-App über den Benachrichtigungsdienst von Apple. Übermittelt werden dabei das Gerätetoken sowie Titel und Text der jeweiligen Meldung. Ort der Verarbeitung sind die Vereinigten Staaten. Zu den Grundlagen dieser Übermittlung und dazu, wie Sie sie vollständig vermeiden können, informiert Ziffer 18 der Datenschutzerklärung. Auf Android setzen wir für die Zustellung keinen Dienst eines Dritten ein.

Weitere Unterauftragsverarbeiter setzen wir nicht ein. Insbesondere nutzen wir keinen externen Dienst zur Fehler- oder Verfügbarkeitsüberwachung, keinen gesonderten Versanddienstleister für E-Mails, kein Auslieferungsnetzwerk und keine verwaltete Cloud-Datenbank.

2. Weitere Empfänger, die nicht in unserem Auftrag verarbeiten

Die folgenden Unternehmen erhalten Daten, verarbeiten sie aber nicht weisungsgebunden für uns, sondern in eigener Verantwortung. Sie sind deshalb keine Unterauftragsverarbeiter. Wir führen sie hier auf, damit die Übersicht über die Stellen vollständig ist, an die Daten gelangen können.

• Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande — Abwicklung der Zahlungen für das Abonnement, für einzelne Rechnungen und für die Ad-hoc-Bezahlfunktion sowie Auslieferung der Symbole der Zahlungsarten auf der Seite mit den Zahlungseinstellungen im Dashboard. Verarbeitung im Europäischen Wirtschaftsraum. Mollie erfüllt dabei zugleich eigene aufsichts- und geldwäscherechtliche Pflichten.
• Google Ireland Limited, Dublin, Irland, und Google LLC, Mountain View, Kalifornien, Vereinigte Staaten — Anmeldung über ein Google-Konto sowie der Kartendienst von Google, wenn Sie in der App die Navigation zu einem Ladepunkt starten.
• Microsoft Corporation, Redmond, Washington, Vereinigte Staaten — Anmeldung über ein Microsoft- oder Entra-Konto.
• Apple Distribution International Limited, Hollyhill Industrial Estate, Hollyhill, Cork, Irland, und Apple Inc., One Apple Park Way, Cupertino, Kalifornien, Vereinigte Staaten — Anmeldung über ein Apple-Konto. Für die Zustellung von Benachrichtigungen an die iOS-App handelt Apple demgegenüber in unserem Auftrag; sie ist deshalb unter Ziffer 1 aufgeführt.
• CartoDB Inc., 307 Fifth Avenue, Floor 9, New York, NY 10016, Vereinigte Staaten — Auslieferung der Kartenkacheln an die mobile App über basemaps.cartocdn.com; das Unternehmen tritt unter der Bezeichnung CARTO auf. Der Abruf erfolgt unmittelbar vom Gerät der nutzenden Person. Dabei erfährt der Anbieter deren IP-Adresse, die Kennung unserer App und über die angeforderten Kachelkoordinaten den betrachteten Kartenausschnitt. Wir nutzen die Kacheln ohne Zugangsschlüssel nach den öffentlichen Nutzungsbedingungen des Anbieters; einen Vertrag über eine Auftragsverarbeitung haben wir mit ihm nicht geschlossen.

Eine Übermittlung in die Vereinigten Staaten findet ausschließlich in den unter Ziffer 1 und Ziffer 2 genannten Fällen statt. Auf welche Grundlage wir die einzelne Übermittlung stützen, ist in Ziffer 18 der Datenschutzerklärung im Einzelnen beschrieben.

3. Empfänger, die Sie als Betreiber selbst bestimmen

Die folgenden Übermittlungen lösen Sie durch Ihre eigenen Einstellungen in der Plattform aus. Auswahl, Zweck und datenschutzrechtliche Grundlage verantworten Sie; wir übermitteln auf Ihre Weisung.

• Von Ihnen eingetragene Schnittstellenziele — an die von Ihnen hinterlegten Webhook-Ziele übermitteln wir Ereignisse aus Ihrem Mandantenbereich. Das Ereignis über den Beginn eines Ladevorgangs enthält dabei die Kennung des verwendeten Authentifizierungsmediums im Klartext. Zulässig sind ausschließlich verschlüsselte Verbindungen; Ziele in privaten Netzbereichen werden abgewiesen.
• Ihre Roaming-Partner — Sie können Partnern den Abruf von Standort- und Tarifdaten Ihrer Ladepunkte eröffnen. Startet ein Partner darüber eine Ladesitzung, speichern wir die von ihm übermittelte Vertrags- oder Kartenkennung und geben sie mit dem zugehörigen Abrechnungsdatensatz an ihn zurück.
• Hubject GmbH, EUREF-Campus 22, 10829 Berlin, Deutschland — nutzen Sie die Anbindung an diesen Roaming-Verbund, können Sie die Stammdaten Ihrer Ladepunkte mit Bezeichnung, Anschrift, Koordinaten, Anschlussart und Leistung sowie deren Verfügbarkeitsstatus aktiv dorthin übertragen lassen, damit die Ladepunkte im Verbund sichtbar werden. Ladedatensätze und Daten der ladenden Personen werden dabei nicht übertragen. Firmieren Sie als Einzelunternehmen, kann die Anschrift des Standorts personenbezogen sein.
• Ihre Buchhaltung — den Export einer Rechnung als DATEV-CSV-Datei, als allgemeine CSV-Datei, als XRechnung oder als SAP-IDoc-Datei erzeugen wir auf unserem Server und stellen Ihnen die Datei zum Herunterladen bereit. Eine Übermittlung an einen Dritten findet dabei nicht statt; wohin Sie die Datei anschließend weitergeben, etwa an Ihre Steuerberatung, entscheiden Sie. Daneben ist ein Ausgabeweg an den externen Buchhaltungsdienst lexoffice angelegt, bei dem die Rechnungsdaten unmittelbar an dessen Schnittstelle unter api.lexoffice.io übertragen würden. Dieser Weg setzt einen plattformweit hinterlegten Zugang voraus, ist nicht je Mandant konfigurierbar und deshalb derzeit nicht freigeschaltet. Im Dashboard erscheint er in der Auswahl der Ausgabeformate, ist dort aber als nicht konfiguriert gekennzeichnet und nicht auswählbar; ein Export an lexoffice findet daher nicht statt. Vor einer Freischaltung ergänzen wir diese Liste nach Ziffer 5.

4. Keine weiteren Übermittlungen

Einen Dienst zur Reichweitenmessung, zur Analyse des Nutzungsverhaltens, zum Melden von Abstürzen oder zu Werbezwecken setzen wir nicht ein. Eine mandantenübergreifende Auswertung, ein Profiling, eine Weitergabe zu Werbezwecken oder eine Nutzung zum Training von Modellen findet nicht statt. Darüber hinaus können Steuerberatung, Rechtsberatung und Behörden Empfänger sein, soweit dies gesetzlich vorgeschrieben oder zur Geltendmachung von Rechtsansprüchen erforderlich ist.

5. Änderungen dieser Liste

Eine Änderung der unter Ziffer 1 genannten Unterauftragsverarbeiter teilen wir Ihnen mindestens 30 Tage vor ihrem Wirksamwerden in Textform mit. Sie können der Änderung innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen. Die Einzelheiten einschließlich unseres Kündigungsrechts für den Fall eines Widerspruchs regelt § 14 Absatz 2 der Allgemeinen Geschäftsbedingungen. Diese Seite trägt eine Fassungsnummer und ein Datum; frühere Fassungen halten wir zu Nachweiszwecken vor und stellen sie Ihnen auf Anforderung in Textform zur Verfügung.

6. Fragen zu dieser Liste

Fragen zu den hier genannten Dienstleistern und Empfängern richten Sie bitte an info@zapfla.de oder an 365tec, Inhaber Daniel Ovadia, Eugen-Richter-Str. 159, 76187 Karlsruhe.