Zum Hauptinhalt springen

Rechtliche Informationen

Auftragsverarbeitungsvertrag (DPA)

Zuletzt aktualisiert: 31. Oktober 2026

Dokument, das von einer Juristin oder einem Juristen zu prüfen ist. Die mit [À VALIDER] gekennzeichneten Angaben müssen vervollständigt und das Ganze vor dem kommerziellen Start von einer Fachperson im Recht gegengelesen werden. Maßgeblich ist allein die französische Fassung dieses Dokuments.

Diese Vereinbarung, geschlossen in Anwendung von Artikel 28 DSGVO, ist fester Bestandteil der AVB. Sie regelt die Verarbeitungen, die Tarek BELHADJ EI unter dem Handelsnamen KAYZEN (der „Auftragsverarbeiter“) im Auftrag des geschäftlichen Kunden (der „Verantwortliche“) über die Plattform Kayzen Security durchführt.

Kurzfassung

  • KAYZEN verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden.
  • Kundendaten für das Hosting in der EU vorgesehen, verschlüsselt, pro Kunde isoliert.
  • Verletzungen des Schutzes personenbezogener Daten werden unverzüglich gemeldet.
  • Rückgabe und anschließende Löschung der Daten bei Vertragsende.

1. Gegenstand, Art und Zweck

Bereitstellung einer Cybersicherheitsplattform: Schutz, Inventarisierung, Aktualisierung und Überwachung der Geräte des Verantwortlichen, Erkennung von und Reaktion auf Vorfälle, Compliance-Berichte und, je nach Optionen, E-Mail-Sicherheit.

2. Kategorien von Daten und betroffenen Personen

  • Betroffene Personen: Beschäftigte, Führungskräfte und Nutzer der Geräte des Verantwortlichen; E-Mail-Korrespondenzpartner bei K-Mail.
  • Daten: Kennungen und Benutzernamen, Namen und Merkmale der Geräte, Software-Inventar, DNS-Protokolle, Sicherheitsereignisse, Fingerabdrücke und, mit ausdrücklicher Zustimmung, Dateiproben, Metadaten und Inhalte analysierter E-Mails (K-Mail).
  • Besondere Kategorien von Daten werden nicht gezielt gesucht; ihr zufälliges Vorhandensein in einem analysierten Inhalt wird mit denselben Garantien behandelt.

3. Dauer

Der Vertrag gilt für die gesamte Dauer des Abonnements und bis zur Löschung der Daten an dessen Ende.

4. Pflichten des Auftragsverarbeiters

  • die Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, auch in Bezug auf Übermittlungen, es sei denn, es besteht eine Verpflichtung nach dem Recht der Union oder eines Mitgliedstaats, über die er den Verantwortlichen vorab informiert;
  • die Vertraulichkeit der zur Verarbeitung der Daten befugten Personen zu gewährleisten;
  • die in Artikel 5 beschriebenen Sicherheitsmaßnahmen umzusetzen;
  • den Verantwortlichen bei der Beantwortung von Anträgen auf Ausübung von Rechten und bei der Einhaltung seiner Pflichten nach den Artikeln 32 bis 36 DSGVO zu unterstützen, einschließlich seiner Folgenabschätzungen und der vorherigen Konsultation der Aufsichtsbehörde;
  • gegenüber dem Verantwortlichen uneingeschränkt für die Erfüllung der Pflichten seiner Unterauftragsverarbeiter verantwortlich zu bleiben;
  • den Verantwortlichen unverzüglich zu informieren, wenn eine Weisung seiner Ansicht nach gegen die Vorschriften verstößt.

5. Sicherheitsmaßnahmen

  • Hosting der Kundendaten in der Europäischen Union [À VALIDER : Name des Hosters];
  • Verschlüsselung bei der Übertragung (TLS 1.3) und im Ruhezustand, mit Schlüsseln, die jedem Kunden eigen sind;
  • Trennung der Kunden durch systematische Filterung und Sicherheitsregeln auf Zeilenebene der Datenbank;
  • gegenseitige Authentifizierung der Agenten, signierte Befehle und Updates, Schutz gegen Wiedereinspielung;
  • starke Authentifizierung, minimale Rechte und Audit-Protokoll der internen Zugriffe;
  • automatisch durchgesetzte Speicherdauern; verschlüsselte Sicherungen.

6. Weitere Auftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zum Einsatz der auf der Seite Unterauftragsverarbeiter aufgeführten weiteren Auftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen über jede Hinzufügung oder Ersetzung mindestens 30 Tage im Voraus; dieser kann aus einem berechtigten Grund widersprechen und, mangels Einigung, ohne Vertragsstrafe kündigen. Jeder weitere Auftragsverarbeiter unterliegt gleichwertigen Pflichten.

7. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten schnellstmöglich und spätestens 48 Stunden nach Kenntnisnahme, mit den Informationen, die für dessen eigene Meldung an die Aufsichtsbehörde nützlich sind. [À VALIDER : Frist]

8. Audits

Der Auftragsverarbeiter stellt die erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Audits, höchstens einmal jährlich außer bei Vorfällen, mit angemessener Vorankündigung und unter Wahrung der Vertraulichkeit der anderen Kunden.

9. Vertragsende

Nach Ende des Abonnements ermöglicht der Auftragsverarbeiter den Export der Daten während 30 Tagen und gibt sie danach nach Wahl des Verantwortlichen an diesen zurück oder löscht sie samt Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht.

10. Übermittlungen

Die Kundendaten sind für das Hosting in der Europäischen Union vorgesehen. Nur die auf der Seite Unterauftragsverarbeiter als außerhalb der EU ansässig ausgewiesenen Unterauftragsverarbeiter (Versand transaktionaler E-Mails und, falls aktiviert, optionale Dienste wie Kayzen Copilot) dürfen Daten erhalten, und zwar unter den Garantien der Artikel 45 oder 46 DSGVO (Angemessenheitsbeschluss oder Standardvertragsklauseln).