Stand: 12.08.2026 — diese Seite wird aktuell gehalten.
1. Gerichtsbarkeit der eingesetzten IKT-Infrastruktur (Art. 28 Abs. 1 Buchst. a)
Zimun Labs UG (haftungsbeschränkt) ist eine Gesellschaft deutschen Rechts mit Sitz in Deutschland. Der Dienst wird auf der Google Cloud Platform betrieben, Region europe-west3 (Frankfurt am Main, Deutschland); Vertragspartner ist Google Cloud EMEA Limited (Irland). Die eingesetzte Infrastruktur unterliegt damit dem Recht der Europäischen Union sowie deutschem und irischem Recht.
Offen benannt statt wegformuliert: Google Cloud EMEA Limited gehört zu einem Konzern mit US-amerikanischer Muttergesellschaft (Google LLC), die US-Recht einschließlich des CLOUD Act unterliegt. Ein an den Konzern gerichtetes US-Herausgabeverlangen lässt sich daher rechtlich nicht ausschließen. Die nachstehenden Maßnahmen verringern dieses Risiko; sie beseitigen es nicht.
2. Maßnahmen gegen internationalen staatlichen Zugriff auf in der Union gespeicherte nicht-personenbezogene Daten (Art. 28 Abs. 1 Buchst. b)
- Regionsbindung: Speicherung und Verarbeitung sind auf die EU-Region Frankfurt festgelegt; es findet keine Replikation in Drittlandsregionen statt.
- Verschlüsselung: Übertragung ausschließlich über TLS; Speicherung mit Verschlüsselung im Ruhezustand.
- Zugriffskontrolle: rollenbasierte Berechtigungen nach dem Minimalprinzip, dienstkontenbasierte Identitäten, Protokollierung administrativer Zugriffe.
- Vertragliche Absicherung: das Cloud Data Processing Addendum von Google einschließlich der dortigen Zusagen zum Umgang mit behördlichen Herausgabeverlangen (Prüfung, Verweis der anfragenden Behörde an den Kunden, Anfechtung rechtswidriger Verlangen, Information soweit rechtlich zulässig).
- Eigene Unterrichtungszusage: Erhält Zimun selbst ein Datenzugangsverlangen einer Drittlandsbehörde, unterrichtet Zimun die betroffene Organisation vor der Erfüllung, es sei denn, das Verlangen dient Strafverfolgungszwecken und die Unterrichtung würde deren Wirksamkeit beeinträchtigen (Art. 32 Abs. 5 der Verordnung (EU) 2023/2854; AGB Ziffer 12 Abs. 8).
- Rechtlicher Rahmen: Ein Zugriff auf in der Union gespeicherte nicht-personenbezogene Daten durch Drittlandsbehörden ist nach Art. 32 Abs. 1 der Verordnung nur auf der Grundlage internationaler Übereinkünfte (etwa Rechtshilfeabkommen) oder unter den engen Voraussetzungen des Art. 32 Abs. 3 zulässig.
Für personenbezogene Daten gelten daneben die Regeln der DSGVO zu Drittlandübermittlungen; diese sind in der Datenschutzerklärung (Abschnitt Drittlandübermittlungen) beschrieben. Diese Seite betrifft den davon getrennten Regelungsgegenstand des Data Act: nicht-personenbezogene Daten.
3. Änderungen
Ändert sich die eingesetzte Infrastruktur, ihre Region oder ihr Betreiber, wird diese Seite vor Wirksamwerden der Änderung aktualisiert; für Unterauftragsverarbeiter personenbezogener Daten gilt zusätzlich das Mitteilungsverfahren des § 6 Abs. 2 des Auftragsverarbeitungsvertrags.