Auftragsverarbeitung nach Art. 28 DSGVO

1. Gegenstand und Dauer

Gegenstand ist die Auswertung der von euch bereitgestellten technischen Daten zur Erstellung des Auditberichts. Die Verarbeitung dauert bis zur Abgabe des Berichts und endet mit der Löschung des Materials, spätestens 30 Tage danach.

2. Art und Zweck, Art der Daten, Kreis der Betroffenen

• Zweck: Analyse der Cluster-Konfiguration und Erstellung eines Befundberichts.
• Art der Daten: technische Konfigurations- und Zustandsdaten, darin möglicherweise Host- und Benutzernamen, Kennungen, IP-Adressen und Protokollausschnitte.
• Betroffene: Beschäftigte und Administratoren des Auftraggebers, gegebenenfalls Nutzer der ausgewerteten Systeme.
• Keine besonderen Kategorien: Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags und sollen nicht übermittelt werden.

3. Weisungsbindung

Wir verarbeiten die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Weisungen erfolgen in Textform, ein Ticket im Portal genügt. Halten wir eine Weisung für rechtswidrig, teilen wir das mit und dürfen die Ausführung aussetzen.

4. Vertraulichkeit

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Der Betrieb erfolgt durch den Inhaber persönlich; ein weiterer Personenkreis hat keinen Zugriff.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Übertragung ausschließlich verschlüsselt (TLS).
• Ablage je Auftrag in einem eigenen Verzeichnis mit eingeschränkten Rechten.
• Zugang zum Upload nur über einen Einwegschlüssel, der nichts herausgibt und nach Abgabe widerrufen wird.
• Prüfsumme (SHA-256) je Archiv, damit Veränderungen auffallen.
• Zugriff auf die Verwaltung nur über ein eigenes Konto mit Rolle, Sperre nach fehlgeschlagenen Anmeldungen.
• Protokollierung jedes Schritts am Auftrag mit Zeitstempel und Urheber.
• Löschung des Materials nach Abgabe des Berichts, nachweisbar am Auftrag vermerkt.

6. Unterauftragsverarbeiter

Wir setzen für die Auswertung keine Unterauftragsverarbeiter ein. Als reine Infrastrukturleistung nutzen wir Hosting und Mailversand in Deutschland. Über die Aufnahme weiterer Unterauftragsverarbeiter informieren wir vorab; ihr könnt widersprechen.

7. Unterstützung des Verantwortlichen

Wir unterstützen euch bei Betroffenenanfragen (Art. 12 bis 23 DSGVO), bei Datenschutz-Folgenabschätzungen und bei Meldepflichten nach Art. 33 und 34 DSGVO. Eine Verletzung des Schutzes personenbezogener Daten melden wir unverzüglich, spätestens binnen 24 Stunden nach Kenntnis.

8. Löschung und Rückgabe

Nach Abschluss des Auftrags löschen wir das Material einschliesslich vorhandener Kopien. Der Zeitpunkt wird am Auftrag festgehalten. Gesetzliche Aufbewahrungspflichten für Auftrags- und Rechnungsdaten bleiben davon unberührt, siehe Datenschutzerklärung.

9. Nachweise und Kontrollen

Wir stellen euch die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglichen Überprüfungen nach vorheriger Ankündigung mit angemessener Frist.

Vertrag anfordern

Setzt beim Beauftragen den Haken für die Auftragsverarbeitung, dann schicken wir den unterschriftsreifen Vertrag zu. Bestehende Aufträge könnt ihr über ein Ticket nachträglich ergänzen.