Diese Übersetzung dient nur der Information: Rechtsverbindlich ist allein die französische Fassung.
Auftragsverarbeitungsvereinbarung (AVV/DPA)
Fassung vom 2026-10-31. Vereinbarung gemäß Artikel 28 der Datenschutz-Grundverordnung (DSGVO) zwischen dem Kunden (Verantwortlicher) und Thomas SAMSON (SAMSON Tech) (Auftragsverarbeiter). Sie ist Bestandteil der Allgemeinen Geschäftsbedingungen und gilt ab der Erstellung einer Organisation.
1. Beschreibung der Verarbeitung
- Gegenstand
- Erbringung des Dienstes Wardpod: Schwachstellenanalyse und Software-Inventar der Kubernetes-Cluster des Kunden.
- Art
- Erfassung durch den vom Kunden installierten Agenten, Speicherung, Berechnung von Scores und Prioritäten, Anzeige in der Konsole, Versand von Warnungen und Berichten.
- Dauer
- Die des Abonnements, danach Löschung gemäß Artikel 7.
- Daten
- Cluster-Metadaten: Namen von Clustern, Namespaces, Workloads und Containern, Images, Pakete und Versionen, Schwachstellen, Exposition (Hostnamen von Ingresses und Routen), Sicherheitseinstellungen der Pods. Sie enthalten grundsätzlich keine personenbezogenen Daten, außer jenen, die der Kunde selbst in diese Namen einträgt. Konten der Konsolenbenutzer (Benutzername, E-Mail-Adresse, Aktivitätsprotokoll).
- Betroffene Personen
- Vom Kunden benannte Benutzer der Konsole; gegebenenfalls in den Cluster-Metadaten genannte Personen.
- Ausschlüsse
- Der Agent übermittelt nie die Inhalte der Dateien der Images, die Werte der Umgebungsvariablen der Pods, Secrets, ConfigMaps oder Protokolle.
2. Weisungen des Kunden
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, die aus den Allgemeinen Geschäftsbedingungen, dieser Vereinbarung und der Nutzung der Konsole durch den Kunden besteht. Er informiert den Kunden, wenn eine Weisung seiner Ansicht nach gegen die DSGVO verstößt.
3. Vertraulichkeit
Die zur Verarbeitung der Daten befugten Personen sind zur Vertraulichkeit verpflichtet. Der Auftragsverarbeiter greift auf die Daten einer Organisation nur zu, um den Dienst zu erbringen, ihn auf Verlangen des Kunden zu entstören oder einer gesetzlichen Pflicht nachzukommen.
4. Sicherheit
Umgesetzte technische und organisatorische Maßnahmen:
- Verschlüsselung des Datenaustauschs (HTTPS) zwischen Agent, Konsole und Dienst;
- clusterspezifische Agenten-Tokens; ein Cluster kann nichts von dem ändern, was die anderen sehen;
- Isolierung der Organisationen, durch automatische Tests geprüft; eigene Konsole für jede Organisation bei kostenpflichtigen Plänen;
- Passwörter als Hash gespeichert, Geheimnisse in der Datenbank verschlüsselt, Zwei-Faktor-Authentifizierung verfügbar;
- gehärteter Server (Zugriff per Schlüssel, Firewall, automatische Updates), nur über den Proxy erreichbar;
- zweimal täglich verschlüsselte Backups, getrennt gespeichert, Wiederherstellung getestet;
- kontinuierliche Überwachung und Warnungen; eingeschränkter und protokollierter Administrationszugriff.
5. Unterauftragsverarbeiter
Der Kunde genehmigt den Einsatz der folgenden Unterauftragsverarbeiter:
| Unterauftragsverarbeiter | Funktion | Standort |
|---|---|---|
| OVH SAS | Hosting des Dienstes und der Backups | Frankreich |
| Cloudflare, Inc. | Weiterleitung und Schutz des Datenverkehrs | Weltweites Netz (Data Privacy Framework, Standardvertragsklauseln) |
| Brevo (Sendinblue SAS) | Versand von E-Mails (Warnungen, Berichte) | Frankreich |
Der Auftragsverarbeiter erlegt jedem von ihnen Pflichten auf, die dieser Vereinbarung gleichwertig sind. Er informiert den Kunden mindestens 30 Tage im Voraus per E-Mail über jede Hinzufügung oder Ersetzung; der Kunde kann aus Gründen des Datenschutzes widersprechen und kostenfrei kündigen, wenn keine Lösung gefunden wird.
6. Unterstützung des Kunden
- Betroffenenrechte: Der Auftragsverarbeiter leitet jede Anfrage einer betroffenen Person unverzüglich an den Kunden weiter und hilft ihm bei der Beantwortung.
- Datenschutzverletzung: Er meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten so schnell wie möglich und spätestens 48 Stunden nach Kenntnisnahme, mit den für die Meldung an die Aufsichtsbehörde nützlichen Informationen.
- Folgenabschätzungen: Er stellt dem Kunden die für seine Folgenabschätzungen und die vorherige Konsultation der Behörde nötigen Informationen bereit.
7. Ende der Verarbeitung
Bei Löschung der Organisation oder am Ende des Abonnements werden die Daten aus dem Dienst und dann im Zuge der Rotation aus den Backups gelöscht, innerhalb von höchstens 6 Monaten. Vor der Löschung kann der Kunde seine Daten aus der Konsole exportieren. Abrechnungsdaten bewahrt der Herausgeber aufgrund seiner gesetzlichen Pflichten auf.
8. Audit
Der Auftragsverarbeiter stellt dem Kunden die zum Nachweis der Einhaltung dieser Vereinbarung nötigen Informationen zur Verfügung. Der Kunde kann höchstens einmal jährlich, mit 30 Tagen Vorlauf und auf eigene Kosten, ein Audit durch einen unabhängigen, zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, ohne Zugriff auf Daten anderer Organisationen.
9. Übermittlungen
Die Daten werden in Frankreich gehostet. Eine Übermittlung außerhalb der Europäischen Union durch einen Unterauftragsverarbeiter erfolgt nur mit den von der DSGVO vorgesehenen Garantien (Angemessenheitsbeschluss, einschließlich des Data Privacy Framework, oder Standardvertragsklauseln der Europäischen Kommission).
10. Kontakt
Bei Fragen zu dieser Vereinbarung: [email protected].