Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag

Parteien

Verantwortlicher ("Auftraggeber"): das bei der Registrierung angegebene Unternehmen, vertreten durch die registrierende Person. Die Angaben aus dem Registrierungsformular — Firmenname, Straße und Hausnummer, Postleitzahl und Ort, Name und E-Mail-Adresse des Ansprechpartners sowie die gewählte Adresse der Umgebung — sind Bestandteil dieser Vereinbarung. Der Auftraggeber hält diese Angaben aktuell und teilt Änderungen an info@optware.de mit.

Auftragsverarbeiter ("Auftragnehmer"):
OptWare GmbH, Prüfeninger Straße 20, 93049 Regensburg
Datenschutzbeauftragter: Robert Heindl, Projekt 29 GmbH & Co. KG, Ostengasse 14, 93047 Regensburg; Anfragen über info@optware.de
Kontakt für Datenschutzanfragen: info@optware.de

1. Gegenstand, Dauer, Rangfolge

1.1 Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten, die der Auftragnehmer im Rahmen der Bereitstellung und des Betriebs der Umgebung des Auftraggebers unter <firma>.swp.optware.de einschließlich des zugehörigen Identitäts- und Zugriffsmanagements im Auftrag des Auftraggebers durchführt.

1.2 Die Vereinbarung wird mit der Annahme bei der Registrierung geschlossen und läuft, solange der Nutzungsvertrag besteht. Sie endet mit dem Nutzungsvertrag; die Pflichten zur Löschung nach Ziffer 11 gelten fort.

1.3 Der Auftragnehmer verarbeitet die Daten ausschließlich im Gebiet der Europäischen Union bzw. des Europäischen Wirtschaftsraums. Eine Verarbeitung in einem Drittland findet nur in dem in Anlage 3 genannten Umfang und nur auf Grundlage eines gültigen Übermittlungsinstruments nach Kapitel V DSGVO statt. Nicht erfasst ist die Zustellung von Push-Benachrichtigungen nach Ziffer 5.5: Der Push-Dienst, den der Browser oder das Betriebssystem der empfangenden Person vorgibt, kann seinen Sitz oder seine Server außerhalb der EU bzw. des EWR haben; die Benachrichtigung erhält er nur verschlüsselt.

1.4 Diese Vereinbarung geht den Nutzungsbedingungen in datenschutzrechtlichen Fragen vor. Für Verarbeitungen, für die der Auftragnehmer selbst Verantwortlicher ist (Registrierung, Portal, Reichweitenmessung, Abwehr von Missbrauch, siehe Teil A der Datenschutzerklärung), gilt diese Vereinbarung nicht.

2. Art, Umfang, Zweck der Verarbeitung; betroffene Personen und Datenkategorien

Gegenstand, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen und die Arten der verarbeiteten Daten ergeben sich aus Anlage 1.

3. Weisungsrecht

3.1 Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen dieser Vereinbarung und nach den dokumentierten Weisungen des Auftraggebers. Die Nutzung der Anwendung durch den Auftraggeber und die von ihm vorgenommene Konfiguration gelten als Weisung.

3.2 Weisungen erfolgen in Textform an info@optware.de. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

3.3 Weisungsberechtigt ist die registrierende Person sowie jede Person, die der Auftraggeber dem Auftragnehmer in Textform benennt.

3.4 Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies dem Auftraggeber unverzüglich mit und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

3.5 Der Auftragnehmer führt Weisungen im Rahmen der bereitgestellten Funktionen der Anwendung aus, insbesondere Export, Löschung und die Einstellungen der Umgebung. Weisungen, die darüber hinausgehen — etwa individuell aufgebaute Auswertungen, Sonderlöschläufe oder Anpassungen der Anwendung —, kann der Auftragnehmer ablehnen, weil die Nutzung unentgeltlich erfolgt und ohne Support mit zugesagten Fristen angeboten wird (§ 3 Abs. 5 der Nutzungsbedingungen). Weisungen, zu deren Ausführung der Auftragnehmer nach Art. 28 DSGVO verpflichtet ist, bleiben hiervon unberührt; sie führt er auch dann aus, wenn dafür keine Funktion bereitsteht.

4. Pflichten des Auftragnehmers

Der Auftragnehmer

1. verarbeitet die Daten nur zu den in Anlage 1 genannten Zwecken,
2. setzt die technischen und organisatorischen Maßnahmen nach Anlage 2 um und hält sie während der Vertragsdauer aufrecht,
3. verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit und unterrichtet sie über die einschlägigen Datenschutzpflichten (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO),
4. hat einen Datenschutzbeauftragten benannt (siehe oben),
5. unterstützt den Auftraggeber bei der Erfüllung der Betroffenenrechte nach Ziffer 6,
6. unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, soweit die Unterstützung dem Auftragnehmer möglich und ihm die Informationen zugänglich sind,
7. meldet Verletzungen des Schutzes personenbezogener Daten nach Ziffer 7,
8. berichtigt, löscht oder sperrt die Daten nur nach Weisung des Auftraggebers oder nach dieser Vereinbarung,
9. informiert den Auftraggeber unverzüglich, wenn eine Aufsichtsbehörde beim Auftragnehmer Maßnahmen einleitet, die die Verarbeitung für den Auftraggeber betreffen können,
10. informiert den Auftraggeber unverzüglich, wenn eine Behörde oder ein Gericht Zugang zu Daten des Auftraggebers verlangt, soweit dies rechtlich zulässig ist, und legt keine Daten ohne rechtliche Verpflichtung offen,
11. führt ein Verzeichnis aller Verarbeitungstätigkeiten im Auftrag nach Art. 30 Abs. 2 DSGVO.

5. Unterauftragsverarbeiter

5.1 Der Auftraggeber stimmt der Beauftragung der in Anlage 3 genannten Unterauftragsverarbeiter zu.

5.2 Der Auftragnehmer darf weitere Unterauftragsverarbeiter beauftragen oder bestehende austauschen. Er informiert den Auftraggeber darüber mindestens 30 Tage vorher in Textform oder per E-Mail an die hinterlegte Adresse des Ansprechpartners. Der Auftraggeber kann innerhalb von 14 Tagen nach der Information aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Widerspricht er, darf der Auftragnehmer den Nutzungsvertrag zum geplanten Zeitpunkt der Änderung kündigen, wenn die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht erbracht werden kann.

5.3 Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter auf ein Schutzniveau, das dem dieser Vereinbarung entspricht, und bleibt gegenüber dem Auftraggeber verantwortlich.

5.4 Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt und die nicht die Verarbeitung von Daten des Auftraggebers zum Gegenstand haben (zum Beispiel Telekommunikationsleistungen, Reinigung, Wartung durch Prüfer). Der Auftragnehmer sorgt in diesen Fällen für den Schutz der Daten.

5.5 Ebenfalls keine Unterauftragsverarbeitung ist die Zustellung von Push-Benachrichtigungen an Nutzer, die sie in der installierten App für ihr Endgerät eingeschaltet haben. Sie läuft über den Push-Dienst, den der Browser oder das Betriebssystem dieses Endgeräts vorgibt (Anlage 3, Abschnitt B). Der Auftragnehmer wählt diesen Dienst nicht aus, beauftragt ihn nicht, schließt mit ihm keinen Vertrag und bindet weder ein Programm noch ein Konto eines Push-Anbieters ein. Er übergibt ihm die Benachrichtigung ausschließlich Ende-zu-Ende-verschlüsselt nach RFC 8291, sodass der Push-Dienst ihren Inhalt nicht lesen kann.

6. Betroffenenrechte

6.1 Anfragen betroffener Personen richtet der Auftragnehmer an den Auftraggeber weiter, wenn erkennbar ist, dass sie den Auftraggeber betreffen; der Auftragnehmer beantwortet sie nicht selbst.

6.2 Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung im Rahmen der Funktionen der Anwendung sowie, soweit erforderlich, durch Auskunft über die verarbeiteten Daten, Löschung und Bereitstellung eines Exports.

6.3 Der Auftraggeber kann die Daten seiner Umgebung jederzeit selbst über die Einstellungen exportieren. Ausgenommen sind die Push-Abonnements, die zur Zustellung vorgemerkten Benachrichtigungen und der Schlüssel der Anwendung für Push-Benachrichtigungen (Anlage 1): Sie enthalten Schlüsselmaterial der Endgeräte und der Anwendung und dienen allein der Zustellung. Löschungen und Auskünfte, die über die Funktionen der Anwendung hinausgehen, sowie die Löschung der gesamten Umgebung führt der Auftragnehmer nach Weisung durch.

7. Verletzung des Schutzes personenbezogener Daten

7.1 Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, über jede Verletzung des Schutzes personenbezogener Daten, die Daten des Auftraggebers betrifft. Die Frist läuft ab Kenntnis des Auftragnehmers, nicht ab dem Eintritt des Vorfalls; sie ist so bemessen, dass dem Auftraggeber für seine eigene Meldung nach Art. 33 DSGVO Zeit bleibt.

7.2 Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die getroffenen oder vorgeschlagenen Maßnahmen. Fehlende Angaben liefert der Auftragnehmer schrittweise nach.

7.3 Meldungen an die Aufsichtsbehörde nach Art. 33 DSGVO und Benachrichtigungen betroffener Personen nach Art. 34 DSGVO obliegen dem Auftraggeber. Der Auftragnehmer unterstützt ihn dabei.

7.4 Adressat der Meldung ist die im Registrierungsdatensatz hinterlegte E-Mail-Adresse des Ansprechpartners. Der Auftraggeber hält diese Adresse aktuell.

8. Nachweise und Kontrollrechte

8.1 Der Auftragnehmer weist die Einhaltung der Pflichten aus dieser Vereinbarung in Textform nach, insbesondere durch die Beschreibung der Maßnahmen in Anlage 2, durch Nachweise seiner Unterauftragsverarbeiter (etwa die Zertifikate nach ISO/IEC 27001 und das Dokument zu den technischen und organisatorischen Maßnahmen der Hetzner Online GmbH) sowie durch Selbstauskunft. Der Auftragnehmer beantwortet Fragen des Auftraggebers zu diesen Maßnahmen innerhalb angemessener Frist.

8.2 Genügen die Nachweise nach Ziffer 8.1 im Einzelfall nicht, kann der Auftraggeber bei einem wichtigen Anlass — insbesondere nach einer Verletzung des Schutzes personenbezogener Daten, bei konkreten Anhaltspunkten für einen Verstoß gegen diese Vereinbarung oder auf Verlangen einer Aufsichtsbehörde — eine Kontrolle vor Ort durchführen. Sie ist mit einer Vorankündigung von mindestens vier Wochen, zu den üblichen Geschäftszeiten und ohne Störung des Betriebs möglich. Der Auftraggeber trägt die Kosten seiner Kontrolle; der Auftragnehmer kann für den eigenen Aufwand eine angemessene Vergütung nach Zeitaufwand verlangen. Die Beschränkung auf den Anlassfall trägt dem Umstand Rechnung, dass die Nutzung unentgeltlich erfolgt; das Recht des Auftraggebers auf Überprüfung nach Art. 28 Abs. 3 lit. h DSGVO wird dadurch nicht ausgeschlossen.

8.3 Kontrollen dürfen die Umgebungen anderer Kunden und deren Daten nicht berühren. Personen, die die Kontrolle durchführen, dürfen keine Wettbewerber des Auftragnehmers sein und sind zur Vertraulichkeit zu verpflichten.

9. Ort der Verarbeitung

Die Verarbeitung findet ausschließlich im Rechenzentrum Nürnberg (nbg1) der Hetzner Online GmbH in Deutschland statt. Eine Verlagerung des Standorts innerhalb Deutschlands oder der EU ist zulässig und wird dem Auftraggeber mitgeteilt. Für den E-Mail-Versand gilt Anlage 3. Push-Benachrichtigungen werden ebenfalls dort erstellt und verschlüsselt; nur die verschlüsselte Benachrichtigung verlässt das Rechenzentrum zur Zustellung nach Ziffer 5.5.

10. Keine Datensicherung im kostenlosen Angebot

10.1 Der Auftragnehmer führt für die Inhalte der Umgebung des Auftraggebers keine Datensicherung durch. Der Auftraggeber ist über diese Einschränkung informiert (§ 5 der Nutzungsbedingungen) und trifft eigene Vorkehrungen zur Sicherstellung der Verfügbarkeit nach Art. 32 Abs. 1 lit. b und c DSGVO.

10.2 Der Auftragnehmer sichert die Plattformbestandteile, die er für den Betrieb benötigt, insbesondere die Datenbank des Identitätsdienstes; diese Sicherungen werden 14 Tage aufbewahrt und liegen in Deutschland.

10.3 Damit der Auftraggeber seine eigene Pflicht aus Art. 32 Abs. 1 lit. b und c DSGVO erfüllen kann, stellt der Auftragnehmer in den Einstellungen der Umgebung einen jederzeit abrufbaren Export in einem strukturierten, maschinenlesbaren Format bereit. Die Entscheidung, in welchen Abständen der Auftraggeber diesen Export nutzt und wo er ihn aufbewahrt, liegt beim Auftraggeber.

11. Löschung und Rückgabe

11.1 Der Auftragnehmer verarbeitet die Daten nur solange, wie es für die vereinbarten Zwecke erforderlich ist.

11.2 Nach Beendigung des Nutzungsvertrags löscht der Auftragnehmer die Daten des Auftraggebers: die Datenbank und den Datenbankbenutzer der Umgebung, die Container und die Konfiguration der Umgebung sowie die zugehörigen Benutzerkonten und Organisationsdaten im Identitätsdienst. Die Löschung erfolgt spätestens 30 Tage nach Beendigung.

11.3 Auf Verlangen des Auftraggebers, das spätestens 14 Tage nach Beendigung zu stellen ist, stellt der Auftragnehmer vor der Löschung einen Export in einem strukturierten, gängigen und maschinenlesbaren Format bereit.

11.4 Bei Inaktivität wird die Umgebung nach 30 Tagen ohne Anmeldung pausiert und nach weiteren 30 Tagen mit allen Daten gelöscht; vor jedem Schritt informiert der Auftragnehmer den hinterlegten Ansprechpartner 7 Tage vorher. Der Auftraggeber weist den Auftragnehmer hiermit an, in diesem Fall zu löschen.

11.5 Sicherungen der Plattformbestandteile nach Ziffer 10.2 laufen turnusmäßig innerhalb von 14 Tagen aus; Protokolldaten laufen nach den in Anlage 2 genannten Fristen aus. Eine gezielte Löschung innerhalb einer laufenden Sicherung ist technisch nicht möglich und wird durch den Ablauf des Turnus erreicht.

11.6 Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen, darf der Auftragnehmer über das Vertragsende hinaus nach den jeweiligen Aufbewahrungsfristen verwahren.

12. Haftung

12.1 Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gilt § 10 der Nutzungsbedingungen.

12.2 Der Auftraggeber ist als Verantwortlicher für die Rechtmäßigkeit der Verarbeitung, für die Rechtsgrundlage und für die Information der betroffenen Personen zuständig.

13. Schlussbestimmungen

13.1 Änderungen dieser Vereinbarung bedürfen der Textform. § 13 der Nutzungsbedingungen gilt entsprechend, soweit eine Anpassung aufgrund geänderter rechtlicher Anforderungen erforderlich ist.

13.2 Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

13.3 Es gilt deutsches Recht.

Gegenstand: Bereitstellung und Betrieb einer mandantenfähigen Webanwendung zur Personal- und Einsatzplanung ("Smart Workforce Planning") nebst Identitäts- und Zugriffsmanagement.

Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Verändern, Übermitteln innerhalb der Umgebung und, für eingeschaltete Push-Benachrichtigungen, verschlüsselt an den Push-Dienst des Endgeräts (Ziffer 5.5), Einschränken und Löschen im Rahmen des Betriebs, der Fehlerbehebung, der Wartung, der Absicherung und der Bereitstellung neuer Versionen.

Zweck: Nutzung der Anwendung durch den Auftraggeber zur Planung und Verwaltung des Personaleinsatzes, Benachrichtigung der Nutzer über veröffentlichte Pläne, soweit sie Push-Benachrichtigungen eingeschaltet haben, Einsicht eingeplanter Personen in ihre eigenen Einsätze, auch ohne eigenes Benutzerkonto über einen Beitrittslink, den eine planende Person des Auftraggebers für einen Plan eingeschaltet hat, sowie Authentifizierung und Autorisierung der Nutzer des Auftraggebers.

Kategorien betroffener Personen:

• Beschäftigte des Auftraggebers, deren Einsatz geplant wird
• Nutzer der Umgebung (Administratoren, Planer, eingeladene Personen sowie Personen, die einem Plan über einen Beitrittslink ohne eigenes Benutzerkonto beigetreten sind)
• ggf. weitere Personen, die der Auftraggeber in der Anwendung erfasst (zum Beispiel externe Kräfte, Leiharbeitnehmer, Ansprechpartner)

Arten personenbezogener Daten:

• Stammdaten: Vorname, Nachname, E-Mail-Adresse, ggf. Personalnummer, Zuordnung zu Organisationseinheit oder Team
• Zugangsdaten: Passwort ausschließlich als Hashwert, Rollen, Organisationszugehörigkeit, Zeitpunkt der letzten Anmeldung, Sitzungsdaten
• Planungsdaten: Verfügbarkeiten, Schichten, Einsätze, Arbeitszeiten, Qualifikationen und Rollen, Abwesenheiten ausschließlich ohne Angabe des Grundes
• Kommunikationsdaten: an die Nutzer versendete Systemnachrichten (Einladung, Bestätigung der E-Mail-Adresse, Passwort setzen) sowie Push-Benachrichtigungen über die Veröffentlichung oder Änderung eines Plans und vom Nutzer selbst angeforderte Testbenachrichtigungen; ihr Inhalt beschränkt sich auf den Zeitraum des Plans, die Zahl der eigenen Schichten bzw. der neuen, verschobenen und entfallenen Schichten und einen Verweis auf den Plan in der Umgebung, ohne Namen anderer Personen und ohne Freitext der planenden Personen
• Push-Abonnements, nur wenn ein Nutzer Push-Benachrichtigungen eingeschaltet hat: Kennung des Benutzerkontos, vom Push-Dienst vergebene Zustelladresse (Endpunkt), öffentlicher Schlüssel und Authentifizierungsgeheimnis des Endgeräts, Sprache der Benachrichtigungen, Anzeigemodus der App, Browserkennung (User-Agent, auf 255 Zeichen gekürzt), Zeitpunkt der letzten Bestätigung durch die installierte App und der letzten Testbenachrichtigung sowie Anlage- und Änderungszeitpunkt
• Beitritte ohne Benutzerkonto, nur wenn eine planende Person für einen Plan einen Beitrittslink eingeschaltet hat: der Beitrittslink des Plans; je beigetretenem Endgerät die Kennung der Person, ein Prüfwert (SHA-256) des Zufallswerts, den das Endgerät als Cookie hält, der Plan, über den die Person beigetreten ist, sowie Zeitpunkt des Beitritts und des letzten Abrufs
• Protokolldaten: Zugriffszeiten, IP-Adresse, angefragte Adressen, Anmelde- und Sicherheitsereignisse, technische Fehler
• vom Auftraggeber freiwillig hochgeladene Dateien, soweit die Anwendung dies vorsieht

Ausgeschlossene Daten: Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (insbesondere Gesundheitsdaten, Angaben zu Religion oder Gewerkschaftszugehörigkeit) und Daten nach Art. 10 DSGVO sind nicht Gegenstand dieser Vereinbarung und dürfen nach § 7.2 der Nutzungsbedingungen nicht in die Umgebung eingegeben werden. Abwesenheiten werden ausschließlich neutral gekennzeichnet, ohne Angabe eines Grundes. Der Auftragnehmer richtet die Anwendung so ein, dass sie ohne solche Angaben genutzt werden kann; der Auftraggeber weist die planenden Personen entsprechend an.

Stand 9. Oktober 2026. Der Auftragnehmer darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

Pseudonymisierung und Verschlüsselung

• Transportverschlüsselung: TLS für alle öffentlich erreichbaren Verbindungen, Zertifikate über ACME automatisiert erneuert; HTTP wird auf HTTPS umgeleitet.
• Push-Benachrichtigungen: Inhalt Ende-zu-Ende-verschlüsselt nach RFC 8291 (aes128gcm) mit den Schlüsseln des empfangenden Endgeräts; gegenüber dem Push-Dienst weist sich die Anwendung mit einem eigenen Schlüsselpaar aus (VAPID, RFC 8292), das sie in der Datenbank der Umgebung erzeugt. Der private Schlüssel verlässt diese Datenbank nicht und ist nicht Teil des Exports.
• Verschlüsselung im Identitätsdienst: direkt identifizierende Benutzerattribute werden in der Datenbank verschlüsselt gespeichert; die Suche erfolgt über HMAC-Token, Klartext existiert nur zur Laufzeit.
• Passwörter ausschließlich als Hashwert. Das Verfahren ist in der Richtlinie des Identitätsdienstes verbindlich festgelegt (Argon2id, fünf Iterationen) und nicht nur als Voreinstellung übernommen.
• Der Datenträger des Servers ist nicht als Ganzes verschlüsselt. Der Schutz ruhender Daten erfolgt durch die Verschlüsselung der identifizierenden Benutzerattribute in der Datenbank, durch Passwort-Hashes und durch die physische Zutrittskontrolle des Rechenzentrums.
• Schlüsselmaterial und Zugangsdaten ausschließlich im zentralen Passwortspeicher (Vaultwarden) und in Dateien mit Zugriffsrechten 600 auf dem Server.

Vertraulichkeit — Zutritts-, Zugangs-, Zugriffs- und Trennungskontrolle

• Zutritt: Rechenzentren der Hetzner Online GmbH in Deutschland mit Zutrittskontrolle, Videoüberwachung und Protokollierung nach dem jeweils aktuellen TOM-Dokument von Hetzner, das dieser Anlage beigefügt wird.
• Zugang zum Server: ausschließlich über SSH mit Schlüsselpaar; Anmeldung mit Passwort und tastaturinteraktive Anmeldung sind deaktiviert, eine Anmeldung als root ist nur mit Schlüssel möglich. Wiederholt fehlgeschlagene Anmeldeversuche sperrt fail2ban. Drei voneinander unabhängige Firewall-Schichten schützen die Ports: Cloud-Firewall des Anbieters, Host-Firewall und Regelwerk für die Container-Netzwerke.
• Administrative Oberflächen (Verwaltungskonsole des Identitätsdienstes, interne Betriebsseiten, Analyse-Oberfläche) sind ausschließlich aus dem VPN des Auftragnehmers erreichbar; alle übrigen Zugriffe werden abgewiesen.
• Containerverwaltung: der Auftragnehmer verwaltet die Container über eine von ihm selbst betriebene Portainer-Instanz, die ebenfalls auf Infrastruktur der Hetzner Online GmbH in Deutschland läuft. Der Verwaltungsagent auf dem Server nimmt Verbindungen ausschließlich von den festgelegten IP-Adressen dieser Instanz an; die Beschränkung ist in der Host-Firewall und im Regelwerk für Container-Netzwerke hinterlegt. Ein Dritter erhält dadurch keinen Zugriff.
• Zugriff: Rollenmodell im Identitätsdienst; administrative Rollen sind namentlich benannten Personen zugeordnet, derzeit einer Person. Anmeldeereignisse werden 90 Tage protokolliert.
• Trennung der Mandanten: je Umgebung eine eigene Datenbank mit eigenem Datenbankbenutzer, ein eigenes Container-Netzwerk, ein eigener OAuth-Client und eine eigene Adresse. Die Umgebung ist ausschließlich über diese Adresse erreichbar; der Anwendungsdienst ist nicht direkt aus dem Internet erreichbar.
• Endgeräte: die installierbare App legt auf dem Endgerät nur eine statische Offline-Seite ohne Inhalte der Umgebung ab; Antworten der Anwendung werden dort nicht zwischengespeichert. Push-Benachrichtigungen lassen sich nur in der installierten App einschalten, und die Abmeldung auf einem Endgerät entfernt dessen Abonnement.
• Zugriff ohne Benutzerkonto: nur über einen Beitrittslink, den eine planende Person für einen veröffentlichten Plan einschaltet, jederzeit ersetzt oder ausschaltet; der Link enthält einen Zufallswert von 256 Bit. Wer ihn öffnet, sieht nur den Namen des Plans und die Namen der darin eingeteilten Personen. Ein Gerät, das sich mit einer Person verbindet, erhält ein Cookie mit einem eigenen Zufallswert von 256 Bit (nur über HTTPS, für Skripte nicht lesbar, von anderen Websites aus nicht mitgesendet, nur für die Programmierschnittstelle der Umgebung); in der Datenbank liegt nur dessen Prüfwert (SHA-256). Das Cookie berechtigt ausschließlich zum Lesen der eigenen Einsätze dieser Person in veröffentlichten Plänen. Eine Person kann mit höchstens einem Gerät verbunden sein; die Verbindung lässt sich auf dem Gerät und von der planenden Person jederzeit trennen.
• Trennung von Test und Betrieb; keine Nutzung echter Kundendaten für Tests.
• Verpflichtung aller Mitarbeiter auf Vertraulichkeit; Schulung zum Datenschutz.

Integrität — Eingabe-, Weitergabe- und Auftragskontrolle

• Protokollierung von Anmeldungen, Passwortänderungen, Einladungen und administrativen Vorgängen im Identitätsdienst.
• Protokollierung aller Vorgänge der Bereitstellung, Änderung und Löschung einer Umgebung im Orchestrator (Antrag, Freigabe, Änderung von Einstellungen, Einladungen, Stopp, Export, Löschung); eingeladene Personen werden dabei nur mit ihrer internen Kennung festgehalten, nicht mit ihrer E-Mail-Adresse.
• Aufbewahrung der Protokolldaten: Zugriffsprotokolle des Reverse Proxy 14 Tage, Anmelde- und Verwaltungsereignisse des Identitätsdienstes 90 Tage, Verwaltungsprotokoll der Plattform über den Lebenszyklus einer Umgebung 90 Tage, durchgesetzt durch einen täglichen Löschlauf, Container-Protokolle bis zur Rotation, längstens 14 Tage.
• Zweiter Speicherort für IP-Adressen neben dem Zugriffsprotokoll: die Sperrliste der Sperrschicht auf HTTP-Ebene liegt in einer eigenen Datenbank auf dem Server (/var/lib/fail2ban/fail2ban.sqlite3) und enthält die gesperrte IP-Adresse mit Zeitstempel. Die Speicherdauer entspricht der Sperrdauer; danach wird der Eintrag entfernt.
• Aufbewahrung der Push-Daten: Ein Abonnement wird gelöscht, wenn die installierte App es 30 Tage nicht bestätigt hat, wenn der Push-Dienst es als ungültig meldet, bei der Abmeldung auf dem Endgerät, wenn die Anmeldung von der Person getrennt oder die Person gelöscht wird, und mit der Umgebung. Eine zur Zustellung vorgemerkte Benachrichtigung wird nach der Zustellung oder dem Verwerfen gelöscht, spätestens nach 7 Tagen.
• Aufbewahrung der Beitrittsdaten: Der Beitrittslink eines Plans wird gelöscht, wenn die planende Person ihn ausschaltet, und mit dem Plan. Die Verbindung eines Geräts wird gelöscht, wenn die Person auf dem Gerät „Das bin nicht ich“ wählt, wenn die planende Person sie trennt, wenn die Person gelöscht wird, und mit der Umgebung.
• Keine Weitergabe von Daten an Dritte außer an die in Anlage 3, Abschnitt A genannten Unterauftragsverarbeiter und, für eingeschaltete Push-Benachrichtigungen, verschlüsselt an die in Anlage 3, Abschnitt B genannten Push-Dienste.
• Ausgehende Verbindungen für Push-Benachrichtigungen baut die Anwendung nur über HTTPS und nur zu den Adressen der in Anlage 3, Abschnitt B genannten Push-Dienste auf; Abonnements mit einer anderen Zustelladresse nimmt sie nicht an. Beim Push-Dienst wird eine Benachrichtigung höchstens 24 Stunden zur Zustellung vorgehalten.
• Datenübertragung nur verschlüsselt; interne Verbindungen zwischen den Diensten laufen in nicht öffentlich erreichbaren Container-Netzwerken.
• Auswahl der Unterauftragsverarbeiter nach Sorgfaltsprüfung, Verträge nach Art. 28 DSGVO.

Verfügbarkeit und Belastbarkeit

• Redundanz auf Infrastrukturebene nach dem Standard des Anbieters (Stromversorgung, Klimatisierung, Netzanbindung).
• Sicherung der Plattformbestandteile: tägliche Sicherung der Datenbank des Identitätsdienstes, Aufbewahrung 14 Tage; Sicherungen des Servers beim Anbieter.
• Keine Sicherung der Inhalte der Kundenumgebungen (siehe Ziffer 10), stattdessen ein jederzeit abrufbarer Export für den Auftraggeber.
• Begrenzung der Ressourcen je Umgebung, Begrenzung der Zahl der Umgebungen je Server, Begrenzung der Protokollgröße je Container.
• Schutz vor Überlastung und Missbrauch: Anfragebegrenzung auf den Registrierungs- und Anmeldeadressen und auf den ohne Anmeldung erreichbaren Adressen des Beitrittslinks, dort je IP-Adresse ausschließlich im Arbeitsspeicher der Anwendung gezählt, Sperrlisten für IP-Adressen auch auf HTTP-Ebene, Brute-Force-Erkennung im Identitätsdienst, Notabschaltung der Bereitstellung.
• Sperrschicht auf HTTP-Ebene zur Abwehr automatisierter Angriffe auf die Anmelde- und Registrierungsseiten: fail2ban wertet dazu das bereits genannte Zugriffsprotokoll des Reverse Proxy aus; neue Datenarten werden dafür nicht erhoben. Überschreitet eine IP-Adresse eine Schwelle fehlgeschlagener oder ratenbegrenzter Anfragen, wird sie für eine begrenzte Zeit auf Netzwerkebene abgewiesen. Ein Abgleich von IP-Adressen mit einer externen Reputationsdatenbank (etwa CrowdSec) findet nicht statt; IP-Adressen werden nicht an Dritte übermittelt.
• Aktualisierung der Software durch Ausrollen neuer, versionierter Abbilder; Rückkehr zur Vorgängerversion ist vorgesehen.

Verfahren zur Überprüfung, Bewertung und Evaluierung

• Datenschutzbeauftragter benannt; Verzeichnis der Verarbeitungstätigkeiten geführt.
• Prozess zur Behandlung von Sicherheitsvorfällen mit Benachrichtigung nach Ziffer 7.
• Prüfung der Wiederherstellbarkeit der Plattformbestandteile: mindestens einmal jährlich sowie nach wesentlichen Änderungen der Plattform wird eine Sicherung der Datenbank des Identitätsdienstes in eine frische Umgebung zurückgespielt und die Anmeldung geprüft.
• Überprüfung der administrativen Berechtigungen und der eingesetzten Fremdsoftware auf verfügbare Sicherheitsaktualisierungen: mindestens einmal jährlich sowie nach wesentlichen Änderungen der Plattform. Sicherheitsaktualisierungen des Betriebssystems werden laufend automatisch eingespielt.

A. Unterauftragsverarbeiter

Weitere Unterauftragsverarbeiter werden nicht eingesetzt. Insbesondere wird kein Captcha-Dienst, kein Content-Delivery-Netzwerk eines Dritten und kein Dienst genutzt, der Push-Benachrichtigungen im Auftrag versendet; die Verwaltung der Container (Portainer) betreibt der Auftragnehmer selbst auf eigener Infrastruktur bei der Hetzner Online GmbH in Deutschland, siehe Anlage 2.

B. Push-Dienste der Endgeräte — keine Unterauftragsverarbeiter (Ziffer 5.5)

Hat ein Nutzer Push-Benachrichtigungen in der installierten App eingeschaltet, stellt die Anwendung sie über den Push-Dienst zu, den der Browser oder das Betriebssystem seines Endgeräts vorgibt. In Frage kommen:

Welcher Dienst zuständig ist, bestimmt allein der Browser bzw. das Betriebssystem des Endgeräts. Der Push-Dienst erhält: die Zustelladresse, die er selbst für das Endgerät vergeben hat; die nach RFC 8291 verschlüsselte Benachrichtigung, ihre Größe und ihren Zeitpunkt; die Angaben zur Zustellung (Vorhaltezeit höchstens 24 Stunden, normale Dringlichkeit und eine zufällige Kennung des Plans, mit der eine spätere Benachrichtigung eine noch nicht zugestellte ersetzt); das Zugangstoken der Anwendung mit deren öffentlichem Schlüssel und einer Kontaktadresse des Auftragnehmers; die IP-Adresse des Servers. Den Inhalt der Benachrichtigung kann er nicht lesen. Die Push-Dienste können Daten auch außerhalb der EU bzw. des EWR verarbeiten.

Der Auftragnehmer hält die jeweils aktuelle Liste auf dieser Seite bereit. Änderungen teilt er zusätzlich nach Ziffer 5.2 mit.

Fragen dazu: info@optware.de