In klarer Sprache
- Wenn Ihre verbundenen Quellen personenbezogene Daten enthalten, ist Ihre Organisation der Verantwortliche und wir sind der Auftragsverarbeiter.
- Wir verarbeiten ausschließlich auf Ihre Weisung, nur die Metadaten und Berechtigungen, die Ihre OAuth-Genehmigung offenlegt.
- Fünf Unterauftragsverarbeiter, mit vorheriger Ankündigung, bevor wir einen hinzufügen. Meldung von Verletzungen innerhalb von 48 Stunden nach Kenntniserlangung.
- Die EU-Standardvertragsklauseln decken internationale Datenübermittlungen ab.
- Bei Beendigung können Sie alles exportieren, anschließend löschen wir es.
1. Parteien, Geltungsbereich und Rollen
Dieser Auftragsverarbeitungsvertrag ("DPA") ist Bestandteil der Terms of Service zwischen Enterprise.Systems ("Auftragsverarbeiter") und der Kundenorganisation ("Verantwortlicher"). Er gilt, wann immer auf der Plattform verarbeitete Customer Source Data personenbezogene Daten im Sinne der DSGVO oder vergleichbarer Gesetze enthalten. Im Falle eines Widerspruchs hinsichtlich der Verarbeitung personenbezogener Daten hat dieser DPA Vorrang vor den Terms.
2. Begriffsbestimmungen
"DSGVO" bezeichnet die Verordnung (EU) 2016/679. "Personenbezogene Daten", "Verarbeitung", "betroffene Person", "Verantwortlicher", "Auftragsverarbeiter" und "Aufsichtsbehörde" haben die in der DSGVO festgelegten Bedeutungen. "Customer Source Data" hat die in den Terms of Service festgelegte Bedeutung.
3. Einzelheiten der Verarbeitung
- Gegenstand — Analyse der Sicherheitslage der verbundenen Quellen des Verantwortlichen.
- Dauer — die Laufzeit des Vertrags zuzüglich der Kulanzfrist für die Löschung.
- Art und Zweck — schreibgeschützte Aufzählung von Ressourcen, Berechtigungen und Prinzipalen über vom Verantwortlichen genehmigte OAuth-Berechtigungen; Auswertung anhand von Sicherheitsregeln; Erzeugung von Feststellungen und Erläuterungen, einschließlich KI-gestützter Analyse.
- Kategorien personenbezogener Daten — Ressourcen-Metadaten (Namen, Kennungen, Freigabeeinstellungen) und Prinzipal-Identitäten (Namen, E-Mail-Adressen, Rollen) der Nutzer, Mitarbeiter und Dienst-/KI-Agenten des Verantwortlichen. Keine Dateiinhalte; es werden keine besonderen Kategorien erhoben, und etwaige in Metadaten vorhandene besondere Kategorien sind beiläufig.
- Betroffene Personen — die Mitarbeiter, Kollaborateure und externen Parteien des Verantwortlichen, die Berechtigungen in den verbundenen Quellen besitzen.
4. Verarbeitung auf Weisung
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf der Grundlage der dokumentierten Weisungen des Verantwortlichen — diese bestehen aus den Bedingungen, diesem DPA und der Konfiguration der Plattform durch den Verantwortlichen (welche Quellen zu verbinden sind, welche Scopes genehmigt werden, Einstellungen zur Aufbewahrung) — es sei denn, eine Verarbeitung ist gesetzlich vorgeschrieben; in diesem Fall informiert der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung, soweit dies rechtlich zulässig ist. Der Auftragsverarbeiter informiert den Verantwortlichen, falls eine Weisung nach seiner Auffassung gegen das Datenschutzrecht verstößt.
5. Vertraulichkeit
Zur Verarbeitung personenbezogener Daten befugte Personen sind durch vertragliche oder gesetzliche Vertraulichkeitspflichten gebunden.
6. Sicherheitsmaßnahmen (Art. 32)
Der Auftragsverarbeiter implementiert und unterhält geeignete technische und organisatorische Maßnahmen, einschließlich:
- Verschlüsselung bei der Übertragung (TLS 1.2+) und Verschlüsselung gespeicherter Quellzugangsdaten im Ruhezustand (AES-256-GCM mit einem dedizierten Schlüsselverschlüsselungsschlüssel).
- Lesezugriff mit geringstmöglichen Rechten auf verbundene Quellen, beschränkt auf vom Verantwortlichen genehmigte OAuth-Scopes.
- Rollenbasierte Zugriffskontrolle innerhalb der Plattform (owner/admin/viewer) und Mandantentrennung auf der Datenebene.
- Ein nur-anfügbares (append-only) Audit-Protokoll der Plattformaktionen.
- Schwachstellenmanagement und zeitnahes Patchen von Plattformabhängigkeiten.
7. Unterauftragsverarbeiter
Der Verantwortliche erteilt eine allgemeine Genehmigung für die in der Datenschutzerklärung aufgeführten Unterauftragsverarbeiter (Anthropic, Cloudflare, RunPod, PayPal und Resend, sobald E-Mail-Funktionen aktiv sind). Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die nicht weniger schützend sind als diese DPA, und bleibt für deren Leistung vollständig haftbar. Der Auftragsverarbeiter kündigt das Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters mindestens 14 Tage im Voraus an; der Verantwortliche kann aus berechtigten Datenschutzgründen Einspruch erheben, in welchem Fall die Parteien eine Lösung anstreben und, sofern keine gefunden wird, der Verantwortliche den betroffenen Dienst kündigen und eine anteilige Rückerstattung vorausbezahlter Gebühren erhalten kann.
8. Unterstützung bei Betroffenenrechten
Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen, einschließlich mittels der Self-Service-Export- und Löschwerkzeuge der Plattform, und leitet jeden Antrag, den er unmittelbar erhält, ohne unangemessene Verzögerung an den Verantwortlichen weiter.
9. Verletzung des Schutzes personenbezogener Daten
Der Auftragsverarbeiter benachrichtigt den Verantwortlichen ohne unangemessene Verzögerung und in jedem Fall innerhalb von 48 Stunden, nachdem er Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt hat, die Customer Source Data betrifft, stellt die für die Pflichten des Verantwortlichen nach Art. 33–34 GDPR vernünftigerweise erforderlichen Informationen bereit und kooperiert bei der Behebung.
10. Internationale Übermittlungen
Übermittlungen personenbezogener Daten aus dem EWR, dem Vereinigten Königreich oder der Schweiz in Länder ohne Angemessenheitsbeschluss unterliegen den EU-Standardvertragsklauseln (Modul 2: Verantwortlicher-zu-Auftragsverarbeiter), die durch Bezugnahme in dieses DPA einbezogen werden, zusammen mit dem UK-Addendum und den Schweizer Anpassungen, soweit anwendbar. Israel profitiert von einem EU-Angemessenheitsbeschluss.
11. Audits
Der Auftragsverarbeiter stellt die zum Nachweis der Einhaltung dieses DPA vernünftigerweise erforderlichen Informationen bereit, einschließlich Zusammenfassungen von Sicherheitsbewertungen, und gestattet Audits durch den Verantwortlichen oder dessen beauftragten Prüfer höchstens einmal pro Jahr mit einer Vorankündigung von mindestens 30 Tagen, während der Geschäftszeiten, unter Vertraulichkeit und auf Kosten des Verantwortlichen, es sei denn, das Audit deckt eine wesentliche Nichteinhaltung auf.
12. Rückgabe und Löschung
Nach Beendigung kann der Verantwortliche die Kundenquelldaten und Ergebnisse für 30 Tage über die Plattform exportieren. Danach löscht der Auftragsverarbeiter personenbezogene Daten innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht, und bestätigt die Löschung auf Anfrage. Gespeicherte Quellzugangsdaten werden bei Trennung der Verbindung oder Löschung des Kontos unverzüglich vernichtet.
13. Haftung und Vorrang
Die Haftung nach diesem DPA unterliegt den Beschränkungen in den Terms of Service, soweit dies das Datenschutzrecht zulässt. Dieses DPA ersetzt alle früheren Datenverarbeitungsbestimmungen zwischen den Parteien.
14. Kontakt
Datenschutzkontakt: [email protected].