Auftragsverarbeitungsvertrag

Diese Seite ist eine unverbindliche Übersetzung des englischen Rechtstextes. Bei Abweichungen ist die englische Fassung maßgeblich.

Dieser Auftragsverarbeitungsvertrag (das „DPA“) wird geschlossen zwischen:

• Perspective Analytics SAS, einer in Frankreich unter RCS Saint-Nazaire 988 270 757 eingetragenen société par actions simplifiée mit Sitz in 2 rue du Général de Gaulle, 44290 Guémené-Penfao, France („nocert“); und
• dem Kunden, wie er in seinem Konto beim Dienst bezeichnet ist.

nocert und der Kunde werden gemeinsam als „Parteien“ bezeichnet. Das DPA ist Bestandteil der unter nocert.io/de/legal/terms veröffentlichten Nutzungsbedingungen (die „Bedingungen“) und wird vom Kunden zusammen mit den Bedingungen über das einheitliche Kontrollkästchen im Kontoerstellungsformular gemäß Art. 28 der Verordnung (EU) 2016/679 (die „DSGVO“) angenommen.

Dieses DPA regelt die Verarbeitung personenbezogener Daten durch nocert im Auftrag des Kunden bei der Bereitstellung des Dienstes. Es ergänzt die Bedingungen und geht ihnen bei allen Fragen zum Schutz personenbezogener Daten vor.

Datum des Inkrafttretens: das Datum der Annahme der Bedingungen durch den Kunden.

1. Definitionen

Großgeschriebene Begriffe, die in diesem DPA nicht definiert sind, haben die in den Bedingungen angegebene Bedeutung. Für die Zwecke dieses DPA:

• Anwendbares Datenschutzrecht: die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, „DSGVO“), die französische Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés in ihrer jeweils geltenden Fassung (die „Loi Informatique et Libertés“) sowie alle sonstigen für eine Partei geltenden Datenschutzvorschriften der Europäischen Union oder ihrer Mitgliedstaaten.
• Personenbezogene Kundendaten: personenbezogene Daten innerhalb der Kundendaten im Sinne der Bedingungen, die nocert bei der Bereitstellung des Dienstes im Auftrag des Kunden verarbeitet.
• Personenbezogene Daten, Verarbeitung, Verantwortlicher, Auftragsverarbeiter, Betroffene Person, Verletzung des Schutzes personenbezogener Daten, Besondere Kategorien personenbezogener Daten und Aufsichtsbehörde: haben die in Art. 4 DSGVO festgelegte Bedeutung.
• Unterauftragsverarbeiter: ein in Anhang III aufgeführter Dritter, den nocert mit der Verarbeitung personenbezogener Kundendaten in seinem Auftrag beauftragt.
• Standardvertragsklauseln der EU: die Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäß der DSGVO, angenommen durch den Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021.
• UK-Nachtrag: der Nachtrag zur internationalen Datenübertragung zu den Standardvertragsklauseln der EU, herausgegeben vom britischen Information Commissioner's Office gemäß Abschnitt 119A des Data Protection Act 2018.
• DPF: der EU-US-Datenschutzrahmen, der durch den Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10. Juli 2023 geschaffen wurde.
• TIA: Transfer Impact Assessment, wie in den EDSA-Empfehlungen 01/2020 empfohlen.
• TOMs: Technische und organisatorische Maßnahmen im Sinne von Art. 32 DSGVO, aufgeführt in Anhang II.

2. Gegenstand, Umfang, Dauer und Verhältnis zu den Bedingungen

Gegenstand und Art der Verarbeitung. nocert verarbeitet personenbezogene Kundendaten ausschließlich im Auftrag des Kunden, um den Dienst bereitzustellen: Erkennung, Überwachung und Alarmierung von TLS-Zertifikaten; Compliance-Bewertung; Erstellung von Feststellungen und Nachweisexporten; Benutzerauthentifizierung; Audit-Protokollierung; sowie Betrieb des beim Kunden eingesetzten Sentinel-Agenten gemäß Anhang IV.

Kategorien personenbezogener Daten, Kategorien betroffener Personen und Dauer: im Detail in Anhang I dargelegt.

Dauer. Dieses DPA tritt am Datum des Inkrafttretens in Kraft und bleibt anwendbar, solange nocert personenbezogene Kundendaten im Auftrag des Kunden verarbeitet, gegebenenfalls einschließlich der in den Bedingungen festgelegten Read-only- und Backup-Aufbewahrungszeiträume nach der Kündigung.

Verhältnis zu den Bedingungen. Dieses DPA ist Bestandteil des durch die Bedingungen begründeten Vertragsverhältnisses. Bei einem Widerspruch in Bezug auf personenbezogene Daten gilt folgende Rangfolge:

1. die EU-Standardvertragsklauseln gehen diesem DPA vor;
2. dieses DPA geht den Bedingungen vor;
3. die Bedingungen haben Vorrang vor allen anderen Dokumentationen.

3. Rollen der Parteien

Kunde als Verantwortlicher. Der Kunde bestimmt die Zwecke und wesentlichen Mittel der über den Dienst durchgeführten Verarbeitung personenbezogener Kundendaten. Der Kunde fungiert als Verantwortlicher im Sinne von Art. 4 Abs. 7 DSGVO.

nocert als Auftragsverarbeiter. nocert verarbeitet personenbezogene Kundendaten ausschließlich im Auftrag des Kunden und gemäß den dokumentierten Weisungen des Kunden, wie in Abschnitt 4 dargelegt. nocert fungiert als Auftragsverarbeiter im Sinne von Art. 4 Abs. 8 DSGVO.

Sentinel-Agent. Der Sentinel-Agent (in den Bedingungen definiert) ist Bestandteil des Dienstes und Teil der Verarbeitungstätigkeit von nocert als Auftragsverarbeiter. Anhang IV beschreibt die Sentinel-Verarbeitung im Detail, einschließlich der Kategorien der erfassten Daten, Ausgangsziele, Integritätsgarantien und der Aufteilung der betrieblichen Verantwortung zwischen den Parteien.

Gesonderte Einordnung als Verantwortlicher für aggregierte Daten und Bedrohungsinformationen. Die Verarbeitung anonymisierter oder aggregierter Daten, die aus personenbezogenen Kundendaten abgeleitet werden, zur Produktverbesserung oder für branchenspezifische Bedrohungsinformationen fällt nicht in den Anwendungsbereich dieses DPA. Vor einer solchen Verarbeitung führt und dokumentiert nocert eine Bewertung des Reidentifizierungsrisikos nach den Methoden der CNIL und der früheren Artikel-29-Datenschutzgruppe – Herausgreifen, Verknüpfbarkeit und Inferenz.

Stellen die resultierenden Daten nach dem Anonymisierungsversuch weiterhin personenbezogene Daten dar, handelt nocert für diese Verarbeitung als eigenständiger Verantwortlicher und erfüllt die entsprechenden Pflichten nach Art. 13 und 14 DSGVO. Die dort verlangten Informationen enthält die Datenschutzerklärung von nocert unter nocert.io/de/legal/privacy; sie umfasst einen eigenen Abschnitt zur Verarbeitung für Bedrohungsinformationen und Produktverbesserung.

Zur Klarstellung: Diese Verarbeitung unterliegt dem in Abschnitt 11 der Bedingungen geregelten Verbot, Modelle künstlicher Intelligenz oder maschinellen Lernens zu trainieren.

Ausgeschlossene Verarbeitung. Dieses DPA erfasst keine Verarbeitung personenbezogener Daten, bei der nocert in eigener Verantwortung handelt, insbesondere Kontaktdaten des Kundenkontos, Rechnungsangaben und Nutzungsprotokolle der Plattform. Für diese Verarbeitung gilt die Datenschutzerklärung von nocert unter nocert.io/de/legal/privacy.

4. Dokumentierte Weisungen des Kunden

Dokumentierte Weisungen. nocert verarbeitet personenbezogene Kundendaten nur auf dokumentierte Weisung des Kunden, auch im Hinblick auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, es sei denn, dies ist durch das Recht der Union oder eines Mitgliedstaats, dem nocert unterliegt, erforderlich.

Die dokumentierten Weisungen des Kunden sind:

• die Bedingungen und dieses DPA;
• die vom Kunden über die Plattformschnittstelle oder die API vorgenommene Konfiguration des Dienstes (einschließlich des Hinzufügens oder Entfernens von Überwachungszielen, Warnregeln, Unterkontoberechtigungen usw.);
• die Bereitstellung und Konfiguration des Sentinel-Agenten durch den Kunden auf seiner eigenen Infrastruktur;
• jede spezifische schriftliche Weisung an nocert durch einen autorisierten Vertreter des Kunden.

Hinweis auf rechtswidrige Weisungen. Ist nocert der Auffassung, dass eine Weisung gegen das Anwendbare Datenschutzrecht verstößt, informiert nocert den Kunden unverzüglich und darf ihre Ausführung aussetzen, bis der Kunde sie bestätigt, ändert oder zurücknimmt.

Gesetzliche Verpflichtungen. Wenn das Recht der Union oder eines Mitgliedstaats nocert verpflichtet, personenbezogene Kundendaten anders als auf Weisung des Kunden zu verarbeiten, informiert nocert den Kunden vor der Verarbeitung über diese gesetzliche Anforderung, es sei denn, das Gesetz verbietet eine solche Information aus wichtigen Gründen des öffentlichen Interesses.

5. Vertraulichkeit des Personals

nocert stellt sicher, dass Personen, die zur Verarbeitung personenbezogener Kundendaten berechtigt sind:

• sich zur Vertraulichkeit verpflichtet haben, entweder durch ihren Arbeitsvertrag, eine interne Vertraulichkeitsrichtlinie oder eine separate Geheimhaltungsvereinbarung, mit Verpflichtungen, die über die Beendigung ihrer Beziehung zu nocert hinausgehen;
• nur nach dem Erforderlichkeitsprinzip und im Verhältnis zu ihren Aufgaben auf personenbezogene Kundendaten zugreifen;
• eine angemessene Schulung zum Datenschutz und zu den internen Sicherheitsrichtlinien von nocert erhalten haben;
• ihren Zugriff nach Beendigung ihrer Beziehung zu nocert oder nach Wegfall ihres Zugriffsbedarfs unverzüglich verlieren; bei Produktionssystemen mit personenbezogenen Kundendaten erfolgt der Widerruf innerhalb einer unter Berücksichtigung der Zugriffsart und der jeweiligen Umstände wirtschaftlich angemessenen Frist.

6. Sicherheit der Verarbeitung

Art. 32 DSGVO. nocert ergreift geeignete technische und organisatorische Maßnahmen, um unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten.

TOMs. Die von nocert umgesetzten technischen und organisatorischen Maßnahmen sind in Anhang II beschrieben. nocert darf Anhang II von Zeit zu Zeit aktualisieren, sofern das Schutzniveau dadurch nicht wesentlich verringert wird. Wesentliche Änderungen werden dem Kunden nach dem Änderungsverfahren der Bedingungen mitgeteilt.

Pseudonymisierung und Verschlüsselung. Gegebenenfalls pseudonymisiert und verschlüsselt nocert personenbezogene Daten, insbesondere durch die Verschlüsselung vertraulicher Felder im Ruhezustand und die Anforderung von TLS 1.2 oder höher bei der Übertragung; TLS 1.3 wird bevorzugt, sofern unterstützt.

Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit. nocert implementiert Maßnahmen, um die fortlaufende Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme und -dienste im Verhältnis zu den Ressourcen von nocert und der Art des Dienstes sicherzustellen.

Wiederherstellung. nocert hält die Fähigkeit aufrecht, die Verfügbarkeit personenbezogener Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rechtzeitig nach dem in Anhang II beschriebenen Sicherungs- und Aufbewahrungskonzept wiederherzustellen.

Prüfung und Überprüfung. nocert führt im Entwicklungs- und Veröffentlichungszyklus interne Sicherheitstests durch. Unabhängige Sicherheitsbewertungen durch Dritte erfolgen in einer Häufigkeit, die den Ressourcen von nocert entspricht; soweit Zusammenfassungen vorliegen, werden sie dem Kunden unter einer Geheimhaltungsvereinbarung bereitgestellt. nocert verpflichtet sich nicht zu einem festen Prüfintervall durch Dritte.

7. Verletzung des Schutzes personenbezogener Daten

Benachrichtigung durch nocert. Bei einer Verletzung des Schutzes personenbezogener Daten, die personenbezogene Kundendaten betrifft, benachrichtigt nocert den Kunden unverzüglich nach Kenntniserlangung und in jedem Fall innerhalb von achtundvierzig (48) Stunden nach Kenntniserlangung per E-Mail an die im Kundenkonto hinterlegten technischen und datenschutzbezogenen Kontaktadressen. „Kenntniserlangung“ bezeichnet den Zeitpunkt, zu dem nocert mit hinreichender Sicherheit festgestellt hat, dass ein Sicherheitsvorfall personenbezogene Kundendaten beeinträchtigt hat, gemäß den EDSA-Leitlinien 9/2022 zur Meldung von Verletzungen des Schutzes personenbezogener Daten nach der DSGVO. Die Benachrichtigung darf gestuft erfolgen: eine erste Warnung bei Kenntniserlangung, Zwischenberichte während der Untersuchung und eine abschließende Mitteilung nach Bestätigung des Sachverhalts, jeweils gemäß denselben Leitlinien.

Inhalt der Benachrichtigung. Die Benachrichtigung muss, soweit zum Zeitpunkt der Benachrichtigung verfügbar, Folgendes enthalten:

• eine Beschreibung der Art der Verletzung, soweit möglich einschließlich der Kategorien und der ungefähren Anzahl betroffener Personen sowie der Kategorien und der ungefähren Anzahl betroffener personenbezogener Datensätze;
• den Namen und die Kontaktdaten des nocert-Datenschutzkontakts (), wo weitere Informationen erhältlich sind;
• die wahrscheinlichen Folgen der Verletzung;
• die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Verletzungen auf Kundenseite. Verletzungen des Schutzes personenbezogener Daten, die von der eigenen Infrastruktur des Kunden ausgehen (einschließlich eines kompromittierten Sentinel-Hosts oder einer falsch konfigurierten Bereitstellung unter der Verantwortung des Kunden gemäß Anhang IV.E), sind vom Kunden als Verantwortlicher zu melden; nocert wird bei der Untersuchung und Behebung mitwirken, sofern dies angemessenerweise erforderlich ist.

Zusammenarbeit. Unter Berücksichtigung der Art der Verarbeitung und der nocert verfügbaren Informationen unterstützt nocert den Kunden bei der Erfüllung seiner Pflichten nach Art. 33 und 34 DSGVO, einschließlich seiner Meldung an die zuständige Aufsichtsbehörde und gegebenenfalls der Benachrichtigung betroffener Personen.

Dokumentation. nocert dokumentiert Verletzungen des Schutzes personenbezogener Daten, die personenbezogene Kundendaten betreffen, einschließlich der Fakten, Auswirkungen und ergriffenen Abhilfemaßnahmen.

8. Unterauftragsverarbeiter

Allgemeine Genehmigung. Der Kunde erteilt nocert eine allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten in seinem Namen zu beauftragen, vorbehaltlich der in diesem Abschnitt dargelegten Bedingungen.

Ursprüngliche Liste. Die bei Annahme dieses DPA zugelassenen Unterauftragsverarbeiter sind in Anhang III aufgeführt. Die aktuelle Liste wird unter nocert.io/de/legal/dpa/subprocessors geführt.

Änderungsmitteilung. nocert informiert Kunden mit einem kostenpflichtigen Plan über jede beabsichtigte Hinzunahme oder Ersetzung eines Unterauftragsverarbeiters mindestens dreißig (30) Kalendertage, bevor der neue Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Kundendaten beginnt. Die Mitteilung erfolgt per E-Mail an die im Kundenkonto hinterlegte Adresse oder über das Benachrichtigungssystem der Plattform. Kunden in der Testphase werden nicht individuell benachrichtigt; ihr Zugriff auf die aktuelle Liste unter nocert.io/de/legal/dpa/subprocessors bleibt unberührt.

Widerspruchsrecht. Der Kunde kann der Hinzunahme oder Ersetzung eines Unterauftragsverarbeiters aus berechtigten Datenschutzgründen widersprechen, indem er innerhalb von dreißig (30) Tagen nach der Mitteilung eine schriftliche Erklärung an sendet.

Beilegung. Die Parteien erörtern den Widerspruch nach Treu und Glauben. Erzielen sie innerhalb von dreißig (30) Tagen keine Einigung, darf der Kunde den betroffenen Dienst schriftlich kündigen und erhält eine anteilige Erstattung der im Voraus gezahlten Entgelte für den Zeitraum, in dem er diesen Dienst nicht mehr nutzt.

Auswirkung eines Widerspruchs auf den Einsatz. Widerspricht der Kunde fristgerecht, lässt nocert den neuen oder ersetzenden Unterauftragsverarbeiter die personenbezogenen Daten dieses Kunden erst nach dem zuerst eintretenden der folgenden Ereignisse verarbeiten: (i) Beilegung des Widerspruchs nach Treu und Glauben; (ii) Ablauf der 30-tägigen Erörterungsfrist ohne Einigung; oder (iii) Kündigung durch den Kunden nach diesem Abschnitt. Diese aufschiebende Wirkung gilt nicht für den nachstehend geregelten Notfallersatz.

Weitergegebene Verpflichtungen. Bei der Beauftragung eines Unterauftragsverarbeiters legt nocert ihm vertraglich dieselben Datenschutzpflichten auf wie in diesem DPA, insbesondere die Pflicht, hinreichende Garantien für geeignete technische und organisatorische Maßnahmen zu bieten, gemäß Art. 28 Abs. 4 DSGVO. nocert bleibt dem Kunden gegenüber für die Erfüllung der Pflichten des Unterauftragsverarbeiters voll verantwortlich.

Weitere Unterauftragsverarbeiter: Sichtbarkeit der Kette. Gemäß der Stellungnahme 22/2024 des EDSA zu Auftragsverarbeitern und Unterauftragsverarbeitern stellt nocert, wenn ein Unterauftragsverarbeiter selbst weitere Unterauftragsverarbeiter mit Zugriff auf personenbezogene Kundendaten einsetzt, auf angemessene schriftliche Anfrage des Kunden die von diesem Unterauftragsverarbeiter geführte Liste zur Verfügung, sofern diese Liste öffentlich zugänglich oder im Rahmen des Vertrags von nocert mit dem Unterauftragsverarbeiter erhältlich ist.

Notfallersatz. Wenn ein Unterauftragsverarbeiter aus Gründen höherer Gewalt, der Sicherheit oder der Kontinuität des Dienstes dringend ersetzt werden muss, kann nocert den Ersatz vornehmen und den Kunden danach schnellstmöglich informieren. Das oben genannte rückwirkende Widerspruchsrecht bleibt dreißig (30) Tage nach dieser Mitteilung bestehen.

9. Internationale Datenübermittlungen

Primäres Hosting in der EU/im EWR für nocert-gehostete Bereitstellungen. Personenbezogene Kundendaten in von nocert gehosteten Bereitstellungen werden hauptsächlich im Europäischen Wirtschaftsraum auf der Infrastruktur von OVHcloud SAS in Frankreich und Deutschland gehostet und verarbeitet. Bei selbst gehosteten Bereitstellungen bestimmt der Kunde den Standort der primären Hosting-Infrastruktur. nocert übermittelt personenbezogene Kundendaten nur in den in diesem Abschnitt beschriebenen Fällen außerhalb des EWR.

Begrenzte Übermittlungen über Unterauftragsverarbeiter. Bestimmte in Anhang III aufgeführte Unterauftragsverarbeiter (insbesondere Stripe, Inc., Cloudflare, Inc., Google LLC als Betreiber von Google Workspace und Amazon Web Services für Amazon EC2, Amazon EKS und Amazon SES) sind außerhalb des EWR ansässig oder können im Rahmen ihrer Dienste begrenzte personenbezogene Daten außerhalb des EWR verarbeiten. Bei solchen Übermittlungen stützt sich nocert gegebenenfalls auf die folgenden Garantien:

• die EU-Standardvertragsklauseln 2021/914, Modul 2 (Verantwortlicher an Auftragsverarbeiter) oder Modul 3 (Auftragsverarbeiter an Unterauftragsverarbeiter), die durch Bezugnahme in die eigene Datenverarbeitungsvereinbarung des Unterauftragsverarbeiters und durch Anhang V dieses DPA einbezogen werden;
• gegebenenfalls der UK-Nachtrag zu den EU-Standardvertragsklauseln, herausgegeben vom britischen Information Commissioner’s Office für Übermittlungen betreffend betroffene Personen im Vereinigten Königreich; die Parteien erkennen an, dass der UK Data (Use and Access) Act 2025 einen geänderten britischen „data protection test“ für internationale Übermittlungen eingeführt hat, und nocert richtet sein britisches Übermittlungskonzept nach den jeweils aktuellen ICO-Leitlinien zu diesem Test aus;
• sofern der Unterauftragsverarbeiter nach dem EU-US Data Privacy Framework zertifiziert ist, diese Zertifizierung als zusätzliche Garantie;
• eine von nocert für jede betroffene Übermittlung vorgehaltene Transfer Impact Assessment gemäß den EDSA-Empfehlungen 01/2020 und dem praktischen TIA-Leitfaden der CNIL.

Ersatz des Übermittlungsmechanismus. Für den Fall, dass einer der oben genannten Mechanismen seine Gültigkeit verliert (insbesondere infolge einer gerichtlichen Entscheidung, mit der ein Angemessenheitsbeschluss oder die Standardvertragsklauseln der EU für ungültig erklärt werden):

• nocert führt unverzüglich für jede betroffene Übermittlung eine neue TIA durch und informiert den Kunden über die betroffenen Übermittlungen und die vorgeschlagene Abhilfe;
• nocert führt einen gleichwertigen Ersatzmechanismus so bald ein, wie dies vernünftigerweise möglich ist; dabei berücksichtigt nocert die Zeit, die zuständige EU-Behörden und Unterauftragsverarbeiter benötigen, um einen gleichwertigen Mechanismus bereitzustellen, und dokumentiert alle erforderlichen ergänzenden technischen, vertraglichen oder organisatorischen Maßnahmen;
• bis zum Ersatz kann der Kunde die Aussetzung der betroffenen Übermittlungen durch schriftliche Mitteilung an verlangen; nocert setzt die Aussetzung unverzüglich um;
• der bloße Ersatz des Übermittlungsmechanismus oder die Ergänzung zusätzlicher Maßnahmen ist keine nach Abschnitt 17 der Bedingungen mitteilungspflichtige Änderung dieses DPA, sofern das Schutzniveau für betroffene Personen nicht wesentlich verringert wird.

10. Prüfungs- und Informationsrechte

Informationen. nocert stellt dem Kunden nach Art. 28 Abs. 3 Buchst. h DSGVO alle Informationen bereit, die erforderlich sind, um die Einhaltung von Art. 28 DSGVO und diesem DPA nachzuweisen.

Standardmittel zur Prüfung. Das Recht des Kunden auf Prüfung gemäß Art. 28 Abs. 3 Buchst. h wird auf folgende Weise in dieser Prioritätsreihenfolge ausgeübt:

1. Dokumentenprüfung: Auf angemessene schriftliche Anfrage stellt nocert die aktuelle Fassung von Anhang II (TOMs), Anhang III (Unterauftragsverarbeiter), die Beschreibung der Dienstarchitektur, die geltenden Sicherheitsrichtlinien und jede von nocert beauftragte Zusammenfassung einer unabhängigen Bewertung bereit, die nocert unter einer Geheimhaltungsvereinbarung weitergeben darf.
2. Schriftliche Fragebögen: nocert antwortet innerhalb von dreißig (30) Kalendertagen nach Erhalt auf einen angemessenen schriftlichen Sicherheitsfragebogen, der vom Kunden eingereicht wurde. Ein (1) solcher Fragebogen pro Zeitraum von zwölf (12) Monaten wird kostenlos zur Verfügung gestellt. Ein zusätzlicher Fragebogen kann kostenlos eingereicht werden im Falle von: (i) einer wesentlichen Änderung des Dienstes, (ii) der Hinzufügung eines Unterauftragsverarbeiters, gegen den der Kunde Einspruch erhoben hat, (iii) einer Verletzung des Schutzes personenbezogener Daten oder (iv) einer dokumentierten Anfrage einer zuständigen Aufsichtsbehörde.
3. Videokonferenz und Fernzugriff auf Systeme: Reichen Dokumentenprüfung und Fragebögen für einen bestimmten Punkt nicht aus und weist der Kunde eine konkrete, wesentliche Compliance-Anforderung nach, die anders nicht erfüllt werden kann, dürfen die Parteien eine Videokonferenz oder gegebenenfalls einen begrenzten Fernzugriff auf Backoffice- oder Produktionsverwaltungssysteme von nocert vereinbaren. Diese Sitzungen unterliegen einer Geheimhaltungsvereinbarung, einer wirtschaftlich angemessenen Terminplanung und höchstens einer Sitzung je Kunde und Zeitraum von zwölf (12) Monaten. Kosten oberhalb eines angemessenen kostenlosen Umfangs trägt der Kunde.

Keine physische Prüfung vor Ort in den Räumlichkeiten von nocert. Die Parteien erkennen an, dass nocert personenbezogene Kundendaten nicht in seinen eigenen physischen Räumlichkeiten hostet. Produktionsanwendungsdaten für von nocert gehostete Bereitstellungen werden von OVHcloud SAS in Frankreich und Deutschland gehostet. Bei selbst gehosteten Bereitstellungen betreibt der Kunde die primäre Hosting-Infrastruktur oder wählt sie aus. Die nocert-Administration erfolgt remote. Dementsprechend ist eine physische Prüfung vor Ort in den Räumlichkeiten von nocert im Rahmen dieses DPA nicht anwendbar, da in diesen Räumlichkeiten keine physische Infrastruktur für eine Inspektion vorhanden ist. Wenn eine zuständige Aufsichtsbehörde im Rahmen einer Untersuchung eine Vor-Ort-Kontrolle verlangt, wird nocert im Rahmen des Anwendbaren Datenschutzrechts kooperieren. Bei von nocert gehosteten Bereitstellungen unterliegt die physische Inspektion der Hosting-Infrastruktur weiterhin dem Zugriffs- und Prüfprogramm von OVHcloud. Die Büros von nocert stehen bei Bedarf weiterhin für die Dokumentenprüfung zur Verfügung.

OVHcloud-Prüfungsnachweise. Auf angemessene schriftliche Anfrage stellt nocert dem Kunden Auditberichte, Zertifizierungen oder sonstige Nachweise bereit, die nocert im Rahmen der Beziehung zu OVHcloud erhält, vorbehaltlich geltender Vertraulichkeitsbeschränkungen. Soweit Art. 28 DSGVO dies verlangt, übt nocert seine eigenen vertraglichen Prüfungsrechte gegenüber OVHcloud aus. Diese Bestimmung gewährt dem Kunden keinen direkten physischen Zugang zu OVHcloud-Einrichtungen.

Kosten. Informationsanfragen, Dokumentenprüfung und ein schriftlicher Fragebogen je Zeitraum von zwölf (12) Monaten – zuzüglich der durch die oben genannten Ereignisse ausgelösten zusätzlichen Fragebögen – sind kostenfrei. Eine erste Videokonferenz von bis zu vier (4) Stunden je Zeitraum von zwölf (12) Monaten ist ebenfalls kostenfrei. Darüber hinaus darf nocert angemessene kostenbasierte Gebühren erheben, die vorab schriftlich mitgeteilt und vereinbart werden und sich nach dem dann geltenden Beratungssatz von nocert richten; sie dürfen 1.500 EUR ohne Umsatzsteuer je Beratertag nicht überschreiten. Für Prüfungen aufgrund (i) einer den Kunden betreffenden Verletzung des Schutzes personenbezogener Daten, (ii) einer dokumentierten Anfrage einer zuständigen Aufsichtsbehörde zum Kunden oder (iii) einer wesentlichen Änderung des Dienstes mit wesentlich nachteiliger Auswirkung auf den Schutz personenbezogener Daten fallen keine Kosten an.

Einschränkungen für Prüfer. Beauftragt der Kunde einen externen Prüfer, kann nocert der Wahl eines Prüfers widersprechen, der in direktem Wettbewerb mit nocert steht oder keine ausreichenden Garantien für Unabhängigkeit und Kompetenz bietet. Der Kunde wird in diesem Fall einen Ersatzprüfer vorschlagen.

11. Unterstützung des Kunden

Rechte betroffener Personen (Art. 12 bis 22 DSGVO). nocert unterstützt den Kunden durch geeignete technische und organisatorische Maßnahmen und soweit möglich dabei, Anfragen betroffener Personen zu Auskunft, Berichtigung, Löschung, Einschränkung, Portabilität und Widerspruch zu beantworten. Wendet sich eine betroffene Person mit einer solchen Anfrage direkt an nocert, leitet nocert sie unverzüglich an den Kunden weiter, ohne inhaltlich zu antworten, sofern das Gesetz keine Antwort verlangt.

Self-Service-Tools. Soweit sinnvoll stellt nocert dem Kunden Self-Service-Tools in der Plattformschnittstelle und über die API zur Verfügung (einschließlich Löschung von Überwachungszielen und Zugriff auf Prüfprotokolle), die den Kunden bei der Beantwortung von Anfragen betroffener Personen unterstützen. Ein Kunde kann eine übertragbare Kopie der Kundendaten anfordern, indem er dem schriftlichen Anforderungsverfahren in Abschnitt 16 der Bedingungen folgt.

DSFA und vorherige Konsultation (Art. 35 und 36 DSGVO). Unter Berücksichtigung der Art der Verarbeitung und der nocert verfügbaren Informationen unterstützt nocert den Kunden bei Datenschutz-Folgenabschätzungen und gegebenenfalls vorherigen Konsultationen mit der zuständigen Aufsichtsbehörde. Diese Unterstützung umfasst: (a) eine Beschreibung der Verarbeitung durch den Dienst; (b) die aktuelle Fassung von Anhang II (TOMs); und (c) die aktuelle Liste der Unterauftragsverarbeiter und Verarbeitungsorte.

Compliance-Unterstützung (Art. 32 bis 36 DSGVO). Über die oben beschriebene besondere Unterstützung hinaus arbeitet nocert in angemessenem Umfang mit dem Kunden zusammen, damit dieser seine allgemeinen Pflichten nach Art. 32 bis 36 DSGVO erfüllt.

Kosten. Die zur Beantwortung von Standardanfragen betroffener Personen und zur standardmäßigen DSFA-Unterstützung vernünftigerweise erforderliche Unterstützung wird kostenlos bereitgestellt. Wenn die Unterstützung außergewöhnliche oder wiederholte Arbeiten erfordert, kann nocert angemessene, kostenbasierte Gebühren erheben, die im Voraus mitgeteilt und vereinbart werden.

12. Löschung oder Rückgabe personenbezogener Daten

Wahl des Kunden. Bei personenbezogenen Kundendaten in von nocert kontrollierten Systemen darf der Kunde vor Wirksamwerden der Beendigung des Dienstes verlangen, dass nocert die Daten in einem unterstützten strukturierten Format zurückgibt, indem er den in Abschnitt 16 der Bedingungen beschriebenen schriftlichen Portabilitätsantrag stellt, oder sie löscht. Ohne ausdrückliche Wahl kann der Kunde diesen Antrag noch während der anwendbaren Aufbewahrungsfrist stellen; anschließend löscht nocert die Daten nach dem unten beschriebenen Verfahren.

Selbstgehostete Bereitstellungen. Der Kunde ist für die Rückgabe oder Löschung personenbezogener Kundendaten verantwortlich, die ausschließlich in der vom Kunden kontrollierten Infrastruktur gespeichert sind. nocert bleibt für die Löschung aller unter seiner Kontrolle stehenden Kopien gemäß diesem Abschnitt verantwortlich.

Übereinstimmung mit den Bedingungen: nach der Kündigung. Für Daten unter der Kontrolle von nocert gelten die in Abschnitt 16 der Bedingungen festgelegten Fristen: Read-only Mode für von nocert gehostete Bereitstellungen während 60 Tagen nach der Kündigung; Löschung aus den Produktionssystemen am Ende dieses Zeitraums nach einer Erinnerungs-E-Mail sieben (7) Tage zuvor; Löschung der Backups innerhalb von dreißig (30) Tagen nach dieser Löschung. Für Kopien unter der Kontrolle von nocert bei selbst gehosteten Bereitstellungen gilt derselbe Zeitplan.

Übereinstimmung mit den Bedingungen: Test- und Gratis-Konten. Für Konten, die nicht in einen kostenpflichtigen Plan umgewandelt werden, läuft das Konto gemäß Abschnitt 4 der Bedingungen im kostenlosen Plan weiter, und es werden keine personenbezogenen Kundendaten planmäßig gelöscht. Die Löschung folgt dem Verfahren aus Abschnitt 16 der Bedingungen auf Antrag des Kunden oder bei einer Kündigung (Löschung aus den Produktionssystemen, danach Bereinigung der Backups mit personenbezogenen Kundendaten binnen dreißig (30) Tagen nach dieser Löschung).

Gesetzliche Aufbewahrungspflichten. nocert kann begrenzte personenbezogene Kundendaten über die Löschfrist hinaus aufbewahren, und zwar nur in dem Umfang, der zur Einhaltung gesetzlicher Aufbewahrungspflichten (insbesondere Buchhaltungs- und Steuerpflichten nach französischem Recht) erforderlich ist. Diese gespeicherten Daten werden nicht weiterverarbeitet und nach Ablauf der geltenden Aufbewahrungsfrist gelöscht.

Bestätigung der Löschung. Auf schriftliche Anfrage des Kunden stellt nocert innerhalb einer angemessenen Frist eine schriftliche Bescheinigung über die Löschung der unter seiner Kontrolle stehenden Daten aus.

13. Haftung, Art. 82 DSGVO und Freistellung durch den Kunden

Haftung zwischen den Parteien. Die Haftung jeder Partei gegenüber der anderen aus oder im Zusammenhang mit diesem DPA richtet sich nach der Haftungsbeschränkung in Abschnitt 14 der Bedingungen: die in zwölf (12) Monaten tatsächlich gezahlten Entgelte, vorbehaltlich des Mindestbetrags von 6.000 EUR, der absoluten Obergrenze von 30.000 EUR für die Pläne Pro und Business sowie der dort genannten Ausnahmen. Die in Abschnitt 14 der Bedingungen geregelte Faurecia-Schutzklausel gilt auch für die Haftung aus diesem DPA.

Zusätzliche Ausnahme. Unbeschadet der bereits in Abschnitt 14 der Bedingungen genannten zwingenden Ausnahmen gilt die dortige Obergrenze nicht für vorsätzliche oder grob fahrlässige Verstöße von nocert gegen dieses DPA als Auftragsverarbeiter, einschließlich vorsätzlicher oder grob fahrlässiger Verstöße gegen die Pflichten aus Art. 28 und 32 DSGVO. Damit bleibt die Wirksamkeit von Art. 28 DSGVO als wesentliche Vertragspflicht im Sinne von Artikel 1170 des französischen Code civil gewahrt.

Art. 82 DSGVO: Ansprüche der betroffenen Person. Wenn eine betroffene Person einen Anspruch gemäß Art. 82 DSGVO gegen den Kunden oder gegen nocert erhebt:

• Im Verhältnis zwischen den Parteien trägt jede Partei gemäß Art. 82 Abs. 5 DSGVO den Anteil der Haftung, der dem auf ihren eigenen Verstoß gegen die DSGVO entfallenden Teil entspricht.
• Nichts in diesem DPA schränkt die Haftung einer der Parteien gegenüber betroffenen Personen gemäß Art. 82 DSGVO ein; eine solche Haftung kann vertraglich nicht begrenzt werden.

Bußgelder (Art. 83 DSGVO). Jede Vertragspartei trägt die von einer Aufsichtsbehörde gemäß Art. 83 DSGVO gegen sie verhängten Bußgelder für ihre eigenen Verstöße. nocert haftet nicht für gegen den Kunden verhängte Bußgelder, wenn der Verstoß auf eigene Entscheidungen, Konfigurationen oder Weisungen des Kunden zurückzuführen ist.

Freistellung durch den Kunden: Sentinel und kundenseitig kontrollierte Infrastruktur. Soweit einem Anspruch einer betroffenen Person gegen nocert nach Art. 82 DSGVO ganz oder teilweise einer der folgenden Umstände zugrunde liegt:

• ein Verstoß des Kunden gegen die Gewährleistung zur Scanberechtigung oder gegen die Zusicherungen zu Sanktionen, Dual-Use-Gütern oder kryptografischen Exportkontrollen nach Abschnitt 9 der Bedingungen;
• der Verstoß des Kunden gegen die in Anhang IV.E dargelegten Sentinel-Bereitstellungs-, Host-Sicherheits- oder Scan-Bereichspflichten;
• der Einsatz oder die Verwendung eines modifizierten oder abgeleiteten Sentinel unter Verstoß gegen Anhang IV.F;

stellt der Kunde nocert nach Abschnitt 14 der Bedingungen für den ihm zurechenbaren Anteil frei. Für die Kontrolle der Rechtsverteidigung gilt Abschnitt 14 der Bedingungen.

14. Hinweis zur Compliance-Bewertung

Die Parteien erinnern daran, dass vom Dienst erstellte Compliance-Scores, Ausrichtungsindikatoren, Feststellungen und Nachweisexporte (einschließlich in Bezug auf PCI-DSS, ISO 27001, NIS2, ANSSI oder andere Frameworks) informativer Natur sind und keine Rechtsberatung, behördliche Zertifizierung, Prüfungsurteil oder Compliance-Garantie darstellen, wie in Abschnitt 8 der Bedingungen dargelegt. Der Kunde bleibt der alleinige und ausschließliche Verantwortliche zum Zwecke der Feststellung der Einhaltung gesetzlicher Vorschriften, auch in Bezug auf personenbezogene Daten.

Richtigkeitsgrundsatz (Art. 5 Abs. 1 Buchst. d DSGVO). Enthält ein Ergebnis der Compliance-Bewertung personenbezogene Daten einer betroffenen Person – etwa einer natürlichen Person, die als für einen nicht konformen Vermögenswert verantwortlich bezeichnet wird –, bleibt der Kunde als Verantwortlicher für deren Richtigkeit zuständig und kann die Berichtigungsmechanismen aus Abschnitt 11 nutzen. nocert gewährleistet die Richtigkeit der Bewertungsergebnisse nicht über den Betrieb der Bewertungslogik nach besten Kräften hinaus.

15. Laufzeit, Vorrang, Kollisionsregel und Fortgeltung

Laufzeit. Dieses DPA tritt am Datum des Inkrafttretens in Kraft und bleibt anwendbar, solange nocert personenbezogene Kundendaten im Auftrag des Kunden verarbeitet.

Fortgeltung. Die folgenden Abschnitte gelten ihrer Natur entsprechend und für die jeweils genannten oder zur Zweckerfüllung vernünftigerweise erforderlichen Zeiträume über die Vertragsbeendigung hinaus: Abschnitt 5 (Vertraulichkeit des Personals); Abschnitt 7 (Verletzungen des Schutzes personenbezogener Daten, die vor der Kündigung eingetreten sind oder später entdeckt werden); Abschnitt 11 (Unterstützung bei Anfragen betroffener Personen oder Kontakten mit Aufsichtsbehörden, die vor oder kurz nach der Kündigung eingeleitet wurden); Abschnitt 12 (Löschung); Abschnitt 13 (Haftung, Art. 82 DSGVO und Freistellung durch den Kunden); sowie Abschnitt 14 (Hinweis zur Compliance-Bewertung).

Rangfolge. Im Falle eines Konflikts in einer Angelegenheit im Zusammenhang mit personenbezogenen Daten:

1. die Standardvertragsklauseln der EU (Anhang V) haben Vorrang vor diesem DPA;
2. dieses DPA geht den Bedingungen vor;
3. die Bedingungen haben Vorrang vor allen anderen Dokumentationen.

Für alle anderen Fragen gilt die in den Bedingungen festgelegte Rangfolge.

16. Anwendbares Recht, Gerichtsstand, Verjährungsfrist und Sprache

Dieses DPA unterliegt französischem Recht. Für Streitigkeiten aus oder im Zusammenhang mit diesem DPA gilt derselbe Gerichtsstand wie in Abschnitt 18 der Bedingungen.

Vertragliche Verjährungsfrist. Unbeschadet der Ansprüche nach Art. 82 DSGVO, für die die gesetzlichen Verjährungsfristen gelten, und der Ansprüche nach Artikel 1648 des französischen Code civil muss jede Klage aus oder im Zusammenhang mit diesem DPA innerhalb von zwölf (12) Monaten ab dem Tag erhoben werden, an dem die klagende Partei von den anspruchsbegründenden Tatsachen Kenntnis hatte oder hätte haben müssen, gemäß Artikel 2254 des französischen Code civil. Dieser Abschnitt ist die ausdrückliche Vereinbarung der Parteien zur Verkürzung der Frist nach Artikel 2224 des Code civil und entspricht der gleichlautenden Klausel in Abschnitt 20 der Bedingungen.

Sprache. Dieses DPA wurde in englischer Sprache verfasst; allein die englische Fassung ist rechtsverbindlich. Übersetzungen, die nocert zur besseren Verständlichkeit bereitstellt, entfalten keine Rechtswirkung; bei Abweichungen ist die englische Fassung maßgeblich. Der Kunde bestätigt ausdrücklich, dass er als Unternehmer dieses DPA auf Englisch lesen und verstehen kann, und stimmt Englisch als Arbeitssprache des Vertrags zu. Die Verwendung des Englischen wird zwischen Unternehmern im Einklang mit der circulaire du 19 mars 1996 über die Anwendung der loi n° 94-665 du 4 août 1994 vereinbart.

Anhang I: Beschreibung der Verarbeitung

A. Parteien

• Datenexporteur (Verantwortlicher): der Kunde, wie im Kundenkonto angegeben.
• Datenimporteur (Auftragsverarbeiter): Perspective Analytics SAS, 2 rue du Général de Gaulle, 44290 Guémené-Penfao, France.
• Datenschutzkontakt des Datenimporteurs: .

B. Beschreibung der Verarbeitung

C. Zuständige Aufsichtsbehörde

• Commission Nationale de l'Informatique et des Libertés (CNIL)
• 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France
• Telefon: +33 (0)1 53 73 22 22. Website: https://www.cnil.fr

Anhang II: Technische und organisatorische Maßnahmen (TOMs) und Prüfbarkeitsmaßnahmen

Nachstehend wird der aktuelle Stand der von nocert umgesetzten technischen und organisatorischen Maßnahmen beschrieben. nocert darf diese Maßnahmen an die technische Entwicklung und den Stand der Technik anpassen, sofern das Schutzniveau nicht wesentlich verringert wird. Ergänzende unverbindliche Erläuterungen werden unter nocert.io/de/security veröffentlicht.

Bereitstellungsbereich. Die nachstehenden Maßnahmen gelten für die von nocert kontrollierten Komponenten und Verarbeitungstätigkeiten. Bei selbst gehosteten Bereitstellungen ist der Kunde für die von ihm kontrollierten Infrastruktur-, Netzwerk-, physischen Sicherheits-, Backup- und Disaster-Recovery-Ebenen verantwortlich, es sei denn, das entsprechende Custom-Bestellformular weist nocert ausdrücklich eine Maßnahme zu. Die von nocert bereitgestellten Kontrollen auf Anwendungsebene unterliegen gegebenenfalls der Bereitstellung und Konfiguration des Kunden.

A. Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 Buchst. a DSGVO)

• Für kundenorientierte Web-/API- und Sentinel-API-Verbindungen wird mindestens TLS 1.2 erzwungen; TLS 1.3 wird bevorzugt, soweit der Client es unterstützt.
• AES-256-GCM-Verschlüsselung für MFA-Geheimnisse, Connector-Anmeldeinformationen, gespeicherte Einstellungsgeheimnisse, Material zur Offenlegung von Sentinel-Registrierungstoken und gespeicherte OIDC-ID-Tokens.
• Argon2id Passwort-Hashing.
• Kommunikation zwischen Sentinels und dem Dienst, gesichert durch RFC 9421 HTTP-Nachrichtensignaturen.

B. Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit von Verarbeitungssystemen und -diensten (Art. 32 Abs. 1 Buchst. b DSGVO)

• Rollenbasierte Zugriffskontrolle nach dem Prinzip der geringsten Rechte.
• Für den nocert-Administratorzugriff ist eine Multi-Faktor-Authentifizierung erforderlich.
• Sitzungsbasierte Authentifizierung für Benutzer mit HttpOnly-, Secure- und SameSite=Strict-Cookies.
• Bei von nocert gehosteten Bereitstellungen werden Kunden in einer mandantenfähigen Architektur auf Datenbank- und Anwendungsebene logisch isoliert.
• Bei von nocert gehosteten Bereitstellungen: Cloudflare WAF und DDoS-Abwehr am Edge.
• Zentralisierte Protokollaufbewahrung ermöglicht die Erkennung und Reaktion auf Anomalien.

C. Rechtzeitige Wiederherstellung der Verfügbarkeit und des Zugriffs auf personenbezogene Daten im Falle eines physischen oder technischen Vorfalls (Art. 32 Abs. 1 Buchst. c DSGVO)

• Bei von nocert gehosteten Bereitstellungen: verschlüsselte Backups mit regelmäßigen Wiederherstellungstests.
• Dokumentiertes Verfahren zur Reaktion auf Vorfälle.
• Bei von nocert gehosteten Bereitstellungen ist das Notfallwiederherstellungskonzept auf die OVHcloud-Hostingumgebung abgestimmt.

D. Verfahren zur regelmäßigen Prüfung, Beurteilung und Bewertung der Wirksamkeit der technischen und organisatorischen Maßnahmen (Art. 32 Abs. 1 Buchst. d DSGVO)

• Interne Sicherheitstests während des gesamten Entwicklungs- und Release-Zyklus.
• Unabhängige Sicherheitsbewertungen durch Dritte werden in einer auf die Ressourcen von nocert abgestimmten Häufigkeit durchgeführt, wobei zusammenfassende Ergebnisse den Kunden im Rahmen einer Geheimhaltungsvereinbarung zur Verfügung gestellt werden, sofern vorhanden.
• Regelmäßige Überprüfung der Zugriffsberechtigungen und der aktuellen Liste der Unterauftragsverarbeiter.

E. Personalmaßnahmen

• Vertraulichkeitsverpflichtungen für alle Personen, die zur Verarbeitung personenbezogener Kundendaten berechtigt sind.
• Schulung zum Datenschutz und zu internen Sicherheitsrichtlinien.
• Widerruf des Zugriffs unverzüglich und innerhalb eines wirtschaftlich angemessenen Zeitraums für den Zugriff auf Produktionssysteme, die personenbezogene Kundendaten enthalten, nach Beendigung der Beziehung oder Wegfall der Notwendigkeit, auf personenbezogene Kundendaten zuzugreifen.

F. Sentinel-Agent: Software-Supply-Chain-Maßnahmen

• Kryptografische Signatur auf jeder Sentinel-Release-Binärdatei.
• Software Bill of Materials (SBOM), die mit jeder Version in einem Standardformat (CycloneDX oder SPDX) veröffentlicht wird.
• Hinweise zu Sicherheitslücken, die auf einer speziellen Sicherheitsseite oder Mailingliste veröffentlicht werden.
• Patches zur Behebung identifizierter Schwachstellen werden in angemessener Zeit veröffentlicht und nach Schweregrad priorisiert.

G. Überprüfbarkeitsmaßnahmen (über die TOMs nach Art. 32 hinaus)

• Der Quellcode von Sentinel wird unter der Apache-Lizenz, Version 2.0 (Apache-2.0) vertrieben. Der vollständige Quellcode der aktuellen Sentinel-Version wird unter nocert.io/de/sentinel-source als signiertes Archiv veröffentlicht, das jeder ohne kostenpflichtigen Plan oder Konto herunterladen und prüfen kann. Dies ermöglicht es dem Kunden oder einem von ihm beauftragten unabhängigen Prüfer, den Verarbeitungscode zu prüfen.

H. Unterauftragsverarbeiterverwaltung

• Öffentliche Liste unter nocert.io/de/legal/dpa/subprocessors.
• Gleichwertige Datenschutzpflichten werden jedem Unterauftragsverarbeiter vertraglich auferlegt.

Anhang III: Liste der Unterauftragsverarbeiter

Die nachstehende Liste enthält die am Datum des Inkrafttretens dieses DPA zugelassenen Unterauftragsverarbeiter. Die aktuelle Fassung wird unter nocert.io/de/legal/dpa/subprocessors geführt. Beauftragt ein Unterauftragsverarbeiter weitere Unterauftragsverarbeiter mit Zugriff auf personenbezogene Kundendaten, wird die von ihm geführte Liste dem Kunden nach Abschnitt 8 auf angemessene schriftliche Anfrage bereitgestellt.

Hosting und Edge-Infrastruktur

Zahlung und Rechnungsstellung

Cloud- und E-Mail-Infrastruktur

Anhang IV: Beschreibung der Verarbeitung durch den Sentinel-Agenten

Der Sentinel-Agent ist eine Open-Source-Software, die von nocert unter der Apache-Lizenz, Version 2.0 (Apache-2.0) vertrieben wird und vom Kunden in seiner eigenen Infrastruktur bereitgestellt werden kann. Der Sentinel ist Teil des Dienstes und sein Betrieb ist Teil der Verarbeitungstätigkeit von nocert als Auftragsverarbeiter.

A. Bereitstellung

• Wird vom Kunden auf seiner eigenen Infrastruktur, auf Hosts und an vom Kunden gewählten Netzwerkstandorten bereitgestellt.
• Einzelne statisch verknüpfte Binärdatei, keine Laufzeitabhängigkeiten.
• Läuft unprivilegiert: kein Root-Zugriff erforderlich; minimale Systemberechtigungen.
• Der Kunde kann Sentinel jederzeit stoppen, deaktivieren oder deinstallieren.

B. Vom Sentinel erfasste Daten

• TLS-Zertifikate, die durch Scannen der vom Kunden konfigurierten Netzwerkbereiche und Ports ermittelt werden (Subjektmetadaten, SANs, Aussteller, Gültigkeit, Schlüsseltypen und Cipher Suites).
• Hostnamen und IP-Adressen von Hosts, auf denen ein TLS-Zertifikat erkannt wird.
• Durch den Scan implizierte Elemente der Netzwerktopologie (z. B. das Vorhandensein eines Hosts an einer bestimmten IP/einem bestimmten Port).
• Sentinel-Betriebstelemetrie (Version, Betriebszeit, Scanstatistiken und Fehler).

Der Sentinel erfasst nicht: Dateiinhalte, Prozesslisten, Host-Shell-Zugriff, Anmeldeinformationen oder nicht TLS-bezogenen Netzwerkverkehr.

C. Kommunikation

• Sämtliche Kommunikation erfolgt ausschließlich ausgehend vom Sentinel zum Dienst.
• Alle Anfragen werden mit RFC 9421 HTTP-Nachrichtensignaturen signiert, um Integrität und Authentizität sicherzustellen.
• Keine eingehende Verbindung vom Dienst zum Sentinel; keine Remote-Shell und keine Möglichkeit zur Remote-Ausführung.
• Der Sentinel kommuniziert ausschließlich mit dem API-Endpunkt von nocert und mit keinem anderen Dritten.

D. Integrität und Updates

• Sentinel-Release-Binärdateien sind kryptografisch signiert; der Kunde sollte die Signatur vor der Bereitstellung prüfen.
• Jeder Version liegt eine Software-Bill of Materials (SBOM) in einem Standardformat (CycloneDX oder SPDX) bei.
• Der vollständige Quellcode der aktuellen Version wird als signiertes Archiv unter nocert.io/de/sentinel-source veröffentlicht. Release-Binärdateien werden über das signierte APT-Repository verteilt (siehe Anhang II.G).
• Der Kunde ist dafür verantwortlich, zu entscheiden, wann Sentinel-Updates angewendet werden.

E. Verantwortungsverteilung

F. Modifizierte oder abgeleitete Sentinels

Vorbehaltlich der Apache-2.0-Lizenz darf der Kunde den Sentinel ändern oder eine abgeleitete Version erstellen. nocert verarbeitet Telemetriedaten nur, soweit sie dem dokumentierten Protokoll entsprechen. nocert haftet nicht für Folgen des Betriebs eines modifizierten Sentinel, einer abgeleiteten Version oder eines Builds aus anderen Quellen als den offiziellen nocert-Veröffentlichungen, wenn diese Version ungültige, fehlende oder unerwartete Daten erzeugt oder Sicherheitslücken einführt, die in der offiziellen Version nicht vorhanden sind.

Anhang V: EU-Standardvertragsklauseln

Die durch den Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 angenommenen Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer (die „EU-Standardvertragsklauseln“) werden durch Bezugnahme in dieses DPA einbezogen, ohne ihren Wortlaut zu ändern, und zwar in den folgenden Modulen:

• Modul 2 (Verantwortlicher an Auftragsverarbeiter): für Übermittlungen, bei denen der Kunde als Verantwortlicher fungiert und ein Unterauftragsverarbeiter außerhalb des EWR als Auftragsverarbeiter im Rahmen der Weiterleitung von nocert fungiert;
• Modul 3 (Auftragsverarbeiter an Unterauftragsverarbeiter): für Übermittlungen, bei denen nocert als Auftragsverarbeiter fungiert und ein Unterauftragsverarbeiter außerhalb des EWR als weiterer Unterauftragsverarbeiter fungiert.

Für jedes anwendbare Modul gelten folgende Angaben:

• Klausel 7 (Beitrittsklausel): in der Standardkonfiguration nicht anwendbar.
• Klausel 9 (Einsatz von Unterauftragsverarbeitern): Option 2 – allgemeine schriftliche Genehmigung – mit dem 30-tägigen Mitteilungs- und Widerspruchsverfahren aus Abschnitt 8 dieses DPA.
• Klausel 11 (Rechtsbehelf): Die optionale unabhängige Streitbeilegungsstelle wird nicht gewählt.
• Klausel 17 (Anwendbares Recht): französisches Recht.
• Klausel 18 (Wahl des Gerichtsstands und der Gerichtsbarkeit): die Gerichte von Saint-Nazaire, Frankreich. Unbeschadet von Klausel 18 Buchstabe c der EU-Standardvertragsklauseln dürfen betroffene Personen gegen den Datenexporteur oder Datenimporteur vor den Gerichten des Mitgliedstaats ihres gewöhnlichen Aufenthalts klagen.
• Anhang I.A (Liste der Parteien): wie in Anhang I.A oben dargelegt.
• Anhang I.B (Beschreibung der Übermittlung): wie in Anhang I.B oben dargelegt.
• Anhang I.C (Zuständige Aufsichtsbehörde): wie in Anhang I.C oben dargelegt (CNIL).
• Anhang II (Technische und organisatorische Maßnahmen): wie in Anhang II oben dargelegt.
• Anhang III (Liste der Unterauftragsverarbeiter): wie in Anhang III oben dargelegt.

Der vom britischen Information Commissioner’s Office herausgegebene UK-Nachtrag zu den EU-Standardvertragsklauseln gilt für Übermittlungen betreffend betroffene Personen im Vereinigten Königreich als durch Bezugnahme einbezogen. Die Parteien gelten als Unterzeichner des UK-Nachtrags, sobald sie dieses DPA annehmen.