2. Veröffentlichung, Änderungen und Widerspruchsrecht

1. Veröffentlichung und Aktualisierung

• SWAPTO hält die jeweils aktuelle Liste der eingesetzten Subprozessoren auf dieser Seite bereit.

• SWAPTO behält sich vor, neue Subprozessoren zu beauftragen oder bestehende zu ersetzen, sofern die Anforderungen der DSGVO und der mit den Kunden geschlossenen Verträge eingehalten werden.

• Änderungen werden mindestens 30 Tage vor erstmaliger Nutzung des neuen/ersetzenden Subprozessors angekündigt – durch Aktualisierung dieser Seite und, soweit vertraglich vereinbart, zusätzlich per E‑Mail und/oder über das Kundenportal. 

2. Widerspruchsrecht der Kunden

• Kunden können innerhalb von 30 Tagen nach Bekanntgabe einer geplanten Änderung schriftlich aus datenschutzrechtlich relevanten und objektiv nachvollziehbaren Gründen widersprechen.

• Nach Eingang eines begründeten Widerspruchs arbeiten SWAPTO und der Kunde in guter Absicht zusammen, um eine technisch und wirtschaftlich angemessene Lösung zu finden (z. B. alternative Konfiguration, Anpassung des Leistungsumfangs).

• Kommt keine für beide Seiten zumutbare Lösung zustande, kann der Kunde seine vertraglich vereinbarte Sonderkündigungs‑ bzw. Opt‑out‑Option in Bezug auf die betroffenen Leistungen ausüben, ohne Vertragsstrafe. Dies richtet sich nach dem jeweiligen Hauptvertrag / AVV und dem Verfahren zur Vertragsänderungskontrolle. 

• Erfolgt kein Widerspruch innerhalb der Frist, gilt die Änderung als akzeptiert und der neue/ersetzende Subprozessor als genehmigt.

​

3. Datenschutz, Sicherheit und internationale Übermittlungen

1. Vertragliche Absicherung

• Alle Subprozessoren sind durch Auftragsverarbeitungsverträge nach Art. 28 DSGVO bzw. gleichwertige Vereinbarungen an die Einhaltung der DSGVO‑Grundsätze, strikte Weisungsgebundenheit, Vertraulichkeit und angemessene technische und organisatorische Maßnahmen (TOMs) gebunden.

• SWAPTO führt vor der Beauftragung und regelmäßig während der Laufzeit Risikobewertungen und Sicherheits‑/Compliance‑Prüfungen durch.

  ​

2. Internationale Datenübermittlungen

• Soweit Subprozessoren Daten außerhalb der EU/des EWR verarbeiten (z. B. Microsoft, Twilio), stellt SWAPTO sicher, dass die Voraussetzungen der Art. 44 ff. DSGVO erfüllt werden. Dies erfolgt insbesondere durch:

  • Angemessenheitsbeschlüsse der EU‑Kommission, soweit vorhanden, und/oder

  • EU‑Standardvertragsklauseln (SCC) gemäß dem jeweils geltenden Durchführungsbeschluss, ggf. ergänzt um zusätzliche technische und organisatorische Maßnahmen (z. B. Verschlüsselung, Pseudonymisierung, Zugriffsbeschränkungen).

• Details zu den eingesetzten Transfermechanismen und ergänzenden Maßnahmen ergeben sich aus dem jeweiligen Auftragsverarbeitungsvertrag und ggf. den Data Transfer Impact Assessments (DTIA/TIA) von SWAPTO.

​

4. Verhältnis zu AVV, SCC und „Snapshot‑Liste“

• Bei Abschluss eines individuellen Auftragsverarbeitungsvertrags (AVV / DPA) wird in der Regel eine „Snapshot‑Liste“ der zum Zeitpunkt des Vertragsschlusses eingesetzten Subprozessoren in Anhang 2 bzw. einem vergleichbaren Anhang aufgenommen.

• Diese Snapshot‑Liste dokumentiert den Ausgangsbestand der genehmigten Subprozessoren; spätere Änderungen erfolgen nicht rückwirkend, sondern über die hier veröffentlichte Live‑Liste und das oben beschriebene Änderungsverfahren. 

• Soweit zwischen dem Kunden und SWAPTO EU‑Standardvertragsklauseln (SCC, Modul 2) vereinbart sind, kann diese Seite – zusammen mit der Snapshot‑Liste – als Ausfüllung von Anhang III („Liste der Unterauftragsverarbeiter“) der SCC dienen, sofern dies im Vertrag ausdrücklich so geregelt ist.

​​

5. Nachweise, Historie und Audit‑Unterstützung

• SWAPTO führt ein internes Subprozessor‑ und Vendor‑Register mit Angaben u. a. zu:

  • Vertrags‑/AV‑Status,

  • Datenschutz‑ und Sicherheitsbewertungen,

  • Zertifizierungen und Audit‑Berichten,

  • historischer Änderungschronik (Hinzufügungen, Ersetzungen, Entfernen von Subprozessoren).

• Auf schriftliche Anfrage und im Rahmen der vertraglich vereinbarten Audit‑ und Informationsrechte stellt SWAPTO Kunden angemessene Nachweise zur Verfügung (z. B. aktuelle Liste, Änderungsprotokoll, Zusammenfassungen von Audit‑Reports). 

  ​

6. Kontakt für Datenschutz und Subprozessor‑Anfragen

Für Fragen zu dieser Subprozessorliste, zu geplanten Änderungen oder zu datenschutzrechtlichen Aspekten wenden Sie sich bitte an:

• E‑Mail (Datenschutz / Subprozessoren): legal@swapto.tech

• Postalisch: SWAPTO GmbH, Fulerumer Straße 164, 45149 Essen, Deutschland

​

7. Stand der Subprozessorliste

Letzte Aktualisierung: 10.05.2026

SWAPTO überprüft und aktualisiert diese Subprozessorliste regelmäßig sowie anlassbezogen (z. B. bei Hinzufügen oder Ersetzen eines Subprozessors). Änderungen werden nach Maßgabe der vertraglichen Regelungen mitgeteilt (vgl. Abschnitt 3 dieser Seite, AVV und Verfahren zur Vertragsänderungskontrolle).