Vertrag zur Auftragsverarbeitung (AVV)

Der Auftragsverarbeiter überwacht im Auftrag des Verantwortlichen dessen Geräte auf Sicherheitsvorfälle (siehe AGB § 2). Die Vereinbarung gilt für die Dauer des Hauptvertrags und, soweit danach noch Daten verarbeitet werden, bis zu deren Löschung.

• Datenarten: Sicherheits- und Systemprotokolle der angebundenen Geräte, z. B. Gerätenamen, IP-Adressen, Benutzerkonten, Anmeldeereignisse, Prozess-, Datei- und Netzwerkinformationen; daraus abgeleitete Sicherheitsmeldungen und Bewertungen.
• Betroffene Personen: Beschäftigte und sonstige Nutzer der Geräte des Verantwortlichen sowie Personen, deren Daten in den Protokollen vorkommen (z. B. Absender von Verbindungen).
• Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Sie können aber in Dateinamen oder Protokollen zufällig enthalten sein.

Die Daten werden ausschließlich zur Erkennung, Bewertung und Meldung von Sicherheitsvorfällen sowie zur befristeten Isolierung betroffener Geräte verarbeitet. Eine Nutzung für eigene Zwecke, insbesondere für Werbung oder zum Training von KI-Modellen, findet nicht statt.

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen ergeben sich aus dem Hauptvertrag, den Einstellungen im Kundenportal und Mitteilungen in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen darauf hin.

Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Zugang erhalten nur Mitarbeitende des SOC-Teams, soweit es für ihre Aufgaben erforderlich ist.

• Verschlüsselte Übertragung aller Daten (TLS) zwischen Agents, Plattform und Portal.
• Strikte Trennung der Daten verschiedener Kunden, auch auf Datenbankebene.
• Rollenbasierte Zugriffsrechte und Protokollierung aller Eingriffe an Geräten.
• Hosting in Rechenzentren in der EU, regelmäßige Datensicherung.
• Registrierung neuer Agents nur mit kundenbezogenem Zugangsschlüssel; Widerruf beim Entfernen eines Geräts.
• Regelmäßige Aktualisierung der eingesetzten Software.

Der Auftragsverarbeiter passt die Maßnahmen dem Stand der Technik an, ohne das vereinbarte Schutzniveau zu unterschreiten.

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens vier Wochen im Voraus. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Verbindet der Verantwortliche seinen eigenen Microsoft Defender, ist Microsoft kein Unterauftragsverarbeiter des Auftragsverarbeiters, sondern Dienstleister des Verantwortlichen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Rechte betroffener Personen, bei Datenschutz-Folgenabschätzungen und bei der Meldung von Datenschutzverletzungen.

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den ihm bekannten Informationen nach Art. 33 Abs. 3 DSGVO.

Während der Vertragslaufzeit werden Sicherheitsereignisse im SIEM nach 90 Tagen, Alerts, Nachrichten, Protokolle und Berichte im Kundenportal nach 12 Monaten automatisch gelöscht.

Nach Vertragsende löscht der Auftragsverarbeiter alle Daten des Verantwortlichen nach 30 Tagen, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Auf Wunsch stellt er die Alert-Historie vorher als Export bereit.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen nach vorheriger Abstimmung mit angemessener Vorlaufzeit.

Datenschutzanfragen zur Auftragsverarbeitung: [email protected]