Informationen zum Datenverarbeitungsdienst

EU-Datenverordnung / Data Act · Version 1.0, Stand 22.08.2026

Diese Seite enthält die Informationen, die die Verordnung (EU) 2023/2854 (Datenverordnung, „Data Act“) einem Anbieter von Datenverarbeitungsdiensten auferlegt: das Online-Register nach Art. 26 Buchstabe b, die Angaben zum Anbieterwechsel nach Art. 26 Buchstabe a, die Entgeltangaben nach Art. 29 Abs. 4 bis 6 sowie die Angaben nach Art. 28 Abs. 1 zur Gerichtsbarkeit der IKT-Infrastruktur und zu den Maßnahmen gegen internationalen staatlichen Zugang. Sie ist zugleich die Website, die der Vertrag nach Art. 28 Abs. 2 der Datenverordnung benennt.

Anbieter: Shapebase GmbH, Wiener Str. 26, 10999 Berlin, Deutschland. Amtsgericht Charlottenburg, HRB 286690 B. Geschäftsführer: Mark Hashimoto.

Änderungshistorie: Version 1.0, Stand 22.08.2026 – erste Fassung.

1. Geltungsbereich

Shapebase erbringt einen Datenverarbeitungsdienst: die Software-as-a-Service-Anwendung Shapebase.

Diese Seite gilt für den produktiven Dienst. Für Vorschau- und Testinstanzen gelten die Einschränkungen in Abschnitt 11.

2. Verfahren, Methoden und Formate des Anbieterwechsels

Kein Wechselwerkzeug. Shapebase stellt kein automatisiertes Wechsel- oder Migrationswerkzeug bereit. Der Export erfolgt auf Anforderung des Kunden durch den Anbieter.

Verfahren. Der Kunde teilt den Wechsel in Textform mit und gibt an, ob er zu einem anderen Anbieter, zu einer IKT-Infrastruktur in eigenen Räumlichkeiten wechseln oder seine Daten löschen lassen möchte. Der Anbieter stellt die exportierbaren Daten anschließend zum Abruf bereit und unterstützt den Kunden während des gesamten Wechselprozesses, insbesondere durch Bereitstellung der für die Durchführung erforderlichen Informationen und Unterlagen. Auf Wunsch des Kunden organisiert der Anbieter einen Test oder unterstützt den Kunden bei seinen Tests, um zu überprüfen, ob der Wechsel in der Praxis funktioniert.

Formate. Die Daten werden im CSV-Format bereitgestellt. Vom Kunden hochgeladene Dateien werden in ihrem Originalformat zurückgegeben.

Übertragung von Inhalten auf den Dienst. Daten werden bei Vertragsbeginn und im laufenden Betrieb vom Kunden bereitgestellt und von Shapebase auf Anforderung eingelesen.

Bekannte Einschränkungen und technische Beschränkungen. Über die in Abschnitt 4 genannten, vom Export ausgenommenen Kategorien hinaus bestehen keine bekannten Einschränkungen. Die Inhaltsdaten werden ausschließlich in der Europäischen Union gespeichert (Abschnitt 6), sodass sich aus dem Speicherort keine Beschränkungen des Wechsels ergeben.

3. Online-Register: exportierbare Daten, Datenstrukturen und Formate

Dieses Register erfüllt Art. 26 Buchstabe b der Datenverordnung.

Zu den Normen. Für Datenverarbeitungsdienste dieser Art sind in der zentralen Datenbank der Union nach Art. 35 Abs. 8 der Datenverordnung derzeit keine gemeinsamen Spezifikationen und keine harmonisierten Normen veröffentlicht. Shapebase stellt die exportierbaren Daten deshalb nach Art. 30 Abs. 5 der Datenverordnung in einem strukturierten, gängigen und maschinenlesbaren Format bereit.

Aktualisierung. Shapebase hält dieses Register nach Art. 30 Abs. 4 der Datenverordnung auf dem neuesten Stand. Änderungen werden in der Änderungshistorie am Kopf dieser Seite vermerkt.

4. Vom Export ausgenommene Kategorien

Vom Datenexport ausgenommen sind ausschließlich Daten, die für das interne Funktionieren des Dienstes spezifisch sind oder nicht dem Kunden zustehen:

• vom Anbieter beschaffte geografische Referenzdatenbestände. Sie werden vom Anbieter geladen, mandantenübergreifend vorgehalten und stammen nicht vom Kunden. Daten, die der Kunde selbst bereitstellt, sind hiervon nicht betroffen und in vollem Umfang exportierbar;
• Protokolldaten des Betriebs;
• abgeleitete Daten, die der Anbieter aus den Daten des Kunden erzeugt, etwa Prüfsummen;
• Zugangsdaten und Geheimnisse;
• Daten anderer Kunden.

Diese Ausnahmen behindern oder verzögern den Wechsel nicht.

5. Schnittstelle und Dokumentation

Shapebase stellt dem Kunden und einem von ihm benannten übernehmenden Anbieter den Zugang zu den exportierbaren Daten unentgeltlich bereit. Der Export wird auf Anforderung erstellt und in den in Abschnitt 2 genannten Formaten übergeben; die zur Interpretation der Daten erforderlichen Informationen – insbesondere die Bedeutung der Felder und die Verknüpfung der Datensätze untereinander – werden mit dem Export übergeben, sodass die Daten beim übernehmenden Anbieter eingelesen werden können. Die technischen Einzelheiten der Bereitstellung stimmt Shapebase mit dem Kunden im Wechselprozess ab.

6. Gerichtsbarkeit der IKT-Infrastruktur (Art. 28 Abs. 1 lit. a Datenverordnung)

Die für den Dienst eingesetzte IKT-Infrastruktur befindet sich in der Europäischen Union und unterliegt dem Unionsrecht sowie dem nationalen Recht des jeweiligen Standorts:

Die Inhaltsdaten des Dienstes – Datenbankinhalte, hochgeladene Dateien und die Zustellung von E-Mails – werden ausschließlich an den genannten Standorten innerhalb der Europäischen Union gespeichert und verarbeitet.

Hinweis zur Rechtsträgerschaft. Die Shapebase GmbH ist eine deutsche Gesellschaft. Sie unterhält keine Niederlassung, keine Muttergesellschaft und keine Tochtergesellschaft außerhalb der Europäischen Union und unterliegt ausschließlich deutschem Recht und Unionsrecht. Zwei der für den Dienst eingesetzten Unterauftragnehmer sind dagegen Gesellschaften US-amerikanischen Rechts mit Sitz in den Vereinigten Staaten. Die von ihnen für Shapebase eingesetzte Infrastruktur steht in der Europäischen Union; als US-Rechtsträger können diese Gesellschaften daneben der Hoheitsgewalt der Vereinigten Staaten unterliegen. Bei diesen beiden Unterauftragnehmern erfolgen Zugriffe zu Support- und Administrationszwecken aus den Vereinigten Staaten; bei einem von ihnen verbleiben zudem die dort geführten Konto-, Organisations- und Projektmetadaten, die Zugangs- und Schlüsseldaten der Anbindung sowie die Supportkommunikation in den Vereinigten Staaten. Welche Maßnahmen Shapebase hiergegen getroffen hat, beschreibt der folgende Abschnitt.

Die namentliche Aufstellung der eingesetzten Unterauftragnehmer einschließlich ihres Sitzes und ihrer Verarbeitungsorte ist Bestandteil des mit dem Kunden geschlossenen Vertrages über die Auftragsverarbeitung.

7. Maßnahmen gegen internationalen staatlichen Zugang (Art. 28 Abs. 1 lit. b Datenverordnung)

Shapebase hat die folgenden technischen, organisatorischen und vertraglichen Maßnahmen getroffen, um einen internationalen staatlichen Zugang zu oder eine internationale staatliche Übermittlung von in der Union gespeicherten nicht personenbezogenen Daten zu verhindern, soweit ein solcher Zugang oder eine solche Übermittlung im Widerspruch zum Unionsrecht oder zum deutschen Recht stünde.

Technische Maßnahmen

• Die Inhaltsdaten des Dienstes werden ausschließlich in Rechenzentren innerhalb der Europäischen Union gespeichert und verarbeitet. Eine Replikation der Inhaltsdaten in Drittländer findet nicht statt.
• Die Übertragung erfolgt transportverschlüsselt. Ruhende Daten der Datenbank werden verschlüsselt gespeichert.
• Zugänge zur Produktivumgebung und zu den Verwaltungsoberflächen der eingesetzten Unterauftragnehmer sind personengebunden und mit Mehrfaktor-Authentisierung geschützt. Geteilte Konten werden nicht verwendet.

Organisatorische Maßnahmen

• Die Shapebase GmbH ist ausschließlich in Deutschland ansässig.
• Zugangs- oder Herausgabeverlangen staatlicher Stellen aus Drittländern werden ausschließlich von der Geschäftsführung bearbeitet. Vor jeder Herausgabe wird geprüft, ob das Verlangen auf einer geltenden internationalen Übereinkunft beruht (Art. 32 Abs. 2 der Datenverordnung) und, falls nicht, ob die Voraussetzungen des Art. 32 Abs. 3 der Datenverordnung erfüllt sind. Sind sie es nicht, lehnt Shapebase das Verlangen ab und ergreift die verfügbaren Rechtsmittel.
• Shapebase unterrichtet den betroffenen Kunden über ein solches Verlangen, soweit dies rechtlich zulässig ist (Art. 32 Abs. 5 der Datenverordnung).
• Wird Zugang gewährt oder werden Daten übermittelt, geschieht dies nur im zulässigen Mindestumfang (Art. 32 Abs. 4 der Datenverordnung).

Vertragliche Maßnahmen

• Mit allen eingesetzten Unterauftragnehmern bestehen Verträge, die den Verarbeitungsort der Inhaltsdaten auf die in Abschnitt 6 genannten Standorte in der Europäischen Union festlegen. Ausgenommen sind die in Abschnitt 6 beschriebenen Zugriffe zu Support- und Administrationszwecken bei den beiden Unterauftragnehmern mit Sitz in den Vereinigten Staaten sowie die dort genannten Metadaten bei einem dieser beiden Unterauftragnehmer; sie sind vertraglich auf die nachstehend genannten Grundlagen gestützt.
• Für die beiden Unterauftragnehmer mit Sitz in den Vereinigten Staaten bestehen zusätzliche Garantien für Drittlandsübermittlungen: eine Zertifizierung nach dem EU-U.S. Data Privacy Framework und/oder Standardvertragsklauseln nach Art. 46 DSGVO.

8. Fristen

• Kündigungsfrist zur Einleitung des Wechsels: ein Monat.
• Übergangsfrist: 30 Kalendertage ab Ablauf der Kündigungsfrist. Der Kunde kann sie einmalig um bis zu drei Monate verlängern; bei komplexen Migrationen können die Parteien einvernehmlich bis zu zwölf Monate vereinbaren.
• Frist für den Datenabruf: 30 Kalendertage ab Ablauf der Übergangsfrist.
• Löschung: Nach Ablauf der Abruffrist und bei erfolgreichem Abschluss des Wechsels löscht Shapebase die exportierbaren Daten und bestätigt die Löschung. In Sicherungskopien enthaltene Daten laufen mit dem Rotations- bzw. Versionierungszyklus aus, spätestens 90 Tage nach der Löschung der zugehörigen Daten. Ausgenommen sind Daten, die nach zwingendem Recht aufzubewahren sind; darüber wird der Kunde unterrichtet.

Maßgeblich ist der jeweilige Vertrag; diese Angaben geben dessen Regelungen wieder.

9. Entgelte

Diese Angaben erfüllen Art. 29 Abs. 4 bis 6 der Datenverordnung.

• Wechselentgelte: keine.
• Entgelte für die Datenextraktion: keine.
• Sanktionen bei vorzeitiger Kündigung: keine.
• Standarddienstentgelte: ergeben sich aus dem jeweiligen Angebot.

Dienste, die einen hochkomplexen oder kostspieligen Wechsel erfordern oder bei denen ein Wechsel ohne erhebliche Beeinträchtigung der Daten, digitalen Vermögenswerte oder Dienstarchitektur nicht möglich wäre, bietet Shapebase nicht an.

10. Bekannte Risiken für die Kontinuität des Dienstes

Es sind keine Risiken bekannt, die der Kontinuität der Bereitstellung der Funktionen oder Dienste entgegenstehen.

11. Nicht geltende Pflichten: Vorschau- und Testinstanzen

Für zeitlich befristete, nicht produktive Vorschau- und Testinstanzen gelten die Pflichten zum Anbieterwechsel und zum Datenexport nach Kapitel VI der Datenverordnung nicht (Art. 31 Abs. 2 der Datenverordnung). Shapebase weist hierauf vor der Bereitstellung einer solchen Instanz hin (Art. 31 Abs. 3 der Datenverordnung). Für die produktive Nutzung gelten die Pflichten uneingeschränkt.

12. Kontakt und Rechtsgrundlage dieser Seite

Fragen zum Anbieterwechsel, zum Datenexport und zu den Angaben auf dieser Seite: kontakt@shapebase.de.

Diese Seite dient der Erfüllung der Informationspflichten nach Art. 26, Art. 28 Abs. 1 und Art. 29 Abs. 4 bis 6 der Verordnung (EU) 2023/2854 und ist die nach Art. 28 Abs. 2 der Datenverordnung im Vertrag genannte Website. Zuständige Behörde für die Durchsetzung des Kapitels VI der Datenverordnung in Deutschland ist die Bundesnetzagentur.