Vereinbarung zur Auftragsverarbeitung

1. Geltungsbereich, Status und Vorrang

Diese Vereinbarung zur Auftragsverarbeitung (die „Vereinbarung“) ist Bestandteil der Nutzungsbedingungen zwischen der Breneshold LLC, einer nach dem Recht des Bundesstaates Florida, Vereinigte Staaten, gegründeten Gesellschaft mit beschränkter Haftung (limited liability company) („Witnio“, der Auftragsverarbeiter), und dem in der Bestellung angegebenen Kunden („Kunde“, der Verantwortliche) und gilt immer dann, wenn Witnio personenbezogene Daten im Auftrag des Kunden verarbeitet.

Sie ist so abgefasst, dass sie Artikel 28 der Verordnung (EU) 2016/679 (DSGVO) entspricht und, soweit die UK-DSGVO oder das Schweizer Datenschutzgesetz (DSG) gilt, zusammen mit den entsprechenden Zusätzen zu lesen ist.

Im Falle eines Widerspruchs geht diese Vereinbarung für die im Auftrag des Kunden durchgeführte Verarbeitung den Nutzungsbedingungen und der Datenschutzerklärung vor. Soweit die Standardvertragsklauseln gelten, gehen diese dieser Vereinbarung vor.

Sie wird verbindlich, wenn beide Parteien sie unterzeichnen oder sie ausdrücklich in eine Bestellung einbezogen wird. Der Unterschriftenblock, die Angaben zur Gesellschaft und das Datum des Inkrafttretens werden auf dem unterzeichneten Exemplar dieser Vereinbarung ergänzt.

2. Begriffsbestimmungen und Rollen

„Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „personenbezogene Daten“, „Verarbeitung“ und „Verletzung des Schutzes personenbezogener Daten“ haben die ihnen in der DSGVO zugewiesene Bedeutung.

Der Kunde ist der Verantwortliche für die personenbezogenen Daten, die in den von ihm übermittelten Nachweisen und Konfigurationen enthalten sind, und gewährleistet, dass er über eine Rechtsgrundlage für diese Verarbeitung verfügt und alle erforderlichen Hinweise erteilt und Einwilligungen eingeholt hat.

Witnio ist der Auftragsverarbeiter dieser Daten und verarbeitet sie ausschließlich auf dokumentierte Weisung des Kunden.

Für Konto-, Abrechnungs-, Support- und Website-Daten sowie für die Sicherheits- und Audit-Aufzeichnungen, die Witnio führen muss, ist Witnio eigenständiger Verantwortlicher. Diese Verarbeitung regelt die Datenschutzerklärung, nicht diese Vereinbarung.

3. Gegenstand, Dauer, Art und Zweck

Gegenstand: Erbringung der vom Kunden bestellten Beobachtungs- und Nachweisdienste mit echten Geräten.

Dauer: die Laufzeit der Nutzungsbedingungen zuzüglich der nachstehend festgelegten Export- und Löschfristen.

Art und Zweck: Ausführung von Prüfungen auf physischen Geräten; Aufzeichnung des Beobachteten; Maskierung und Minimierung des Erfassten; Erzeugung, Hashing und Signierung von Nachweisen; Speicherung der Nachweise und Bereitstellung an den Kunden; Warnmeldungen; und Support.

Verarbeitungsvorgänge: Erheben, Erfassen, Organisation, Ordnen, Speicherung, Auslesen, Abfragen, Verwendung, Einschränkung, Löschen und Vernichtung.

4. Kategorien betroffener Personen und personenbezogener Daten

Kategorien betroffener Personen: das Personal und die autorisierten Benutzer des Kunden; die natürlichen Personen, deren Kennungen in dem Datenverkehr erscheinen, den der Kunde an eine Witnio-Rufnummer richtet; und jede natürliche Person, die auf einem Screenshot oder einer Aufzeichnung eines vom Kunden konfigurierten Ziels erkennbar ist.

Kategorien personenbezogener Daten: Telefonnummern und Absenderkennungen, maskiert gespeichert; Nachrichteninhalte, maskiert und gekürzt gespeichert, mit einem Hashwert des Originals; Zeitstempel und Latenz; Kontext von Gerät, Betriebssystem, Wählprogramm, SIM, Netzbetreiber und Korridor; Ergebnisse von Web-Anfragen, Weiterleitungsketten, Cookies und Einwilligungsstatus, die auf einem Ziel beobachtet werden; Screenshots und bei einigen Produkten Videoaufnahmen des Gerätebildschirms; sowie das signierte Manifest, das diese Daten miteinander verknüpft.

Besondere Kategorien personenbezogener Daten: Es werden keine angefordert, und der Kunde darf keine Prüfung konfigurieren, die zu ihrer Verarbeitung führt. Werden dennoch Daten besonderer Kategorien erfasst, muss der Kunde Witnio unverzüglich informieren, damit sie gelöscht werden können.

Häufigkeit: fortlaufend, solange die Prüfungen des Kunden aktiv sind.

5. Weisungen des Kunden

Witnio verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, die aus dieser Vereinbarung, den Nutzungsbedingungen, der Bestellung und der vom Kunden im Dienst festgelegten Konfiguration besteht — es sei denn, ein Gesetz, dem Witnio unterliegt, verlangt etwas anderes; in diesem Fall teilt Witnio dem Kunden dies vor der Verarbeitung mit, sofern das betreffende Gesetz dies nicht verbietet.

Witnio informiert den Kunden, wenn eine Weisung nach Auffassung von Witnio gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, und kann die betroffene Verarbeitung aussetzen, bis die Weisung berichtigt ist.

Der Kunde weist Witnio an, die in der Datenschutzerklärung beschriebene Maskierung und Minimierung auf alles Erfasste anzuwenden, und erkennt an, dass dadurch die tatsächlich gespeicherten personenbezogenen Daten reduziert werden.

Der Kunde wird keine personenbezogenen Daten übermitteln, die über das hinausgehen, was die Prüfung erfordert, und wird Testverkehr anstelle der echten Kommunikation von Endnutzern verwenden.

6. Vertraulichkeit des Personals

Witnio stellt sicher, dass jede Person, die befugt ist, personenbezogene Daten nach dieser Vereinbarung zu verarbeiten, an eine Verschwiegenheitspflicht gebunden ist, die über das Ende ihrer Tätigkeit hinaus fortbesteht, in ihren Pflichten geschult ist und nur auf die Daten Zugriff hat, die sie benötigt.

Der Zugriff auf Produktionsdaten ist auf namentlich benanntes Personal beschränkt, erfolgt mit Multi-Faktor-Authentifizierung und wird protokolliert.

7. Sicherheitsmaßnahmen

Witnio setzt die in Anhang II unten beschriebenen technischen und organisatorischen Maßnahmen um und berücksichtigt dabei den Stand der Technik, die Implementierungskosten und die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung sowie das Risiko für die betroffenen Personen.

Witnio kann eine Maßnahme ändern, sofern die Änderung das Gesamtsicherheitsniveau nicht senkt. Die jeweils geltenden Maßnahmen werden auf der Sicherheitsseite dieser Website veröffentlicht, die Bestandteil von Anhang II ist.

8. Unterauftragsverarbeiter

Der Kunde erteilt Witnio eine allgemeine schriftliche Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die zum Datum dieser Vereinbarung beauftragten Unterauftragsverarbeiter sind zusammen mit ihrer Rolle in der Datenschutzerklärung aufgeführt.

Witnio erlegt jedem Unterauftragsverarbeiter durch schriftlichen Vertrag Datenschutzpflichten auf, die nicht weniger schützend sind als die in dieser Vereinbarung, und haftet gegenüber dem Kunden in vollem Umfang für die Leistung des Unterauftragsverarbeiters.

Witnio wird den Kunden mindestens 30 Tage vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters per E-Mail an den Kontokontakt und durch Aktualisierung der veröffentlichten Liste benachrichtigen. Der Kunde kann innerhalb dieses Zeitraums aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben; die Parteien werden den Einspruch in gutem Glauben erörtern, und kann er nicht ausgeräumt werden, kann der Kunde das betroffene Abonnement kündigen und erhält eine Erstattung der dafür ungenutzten, im Voraus gezahlten Entgelte.

die in diesem Dokument genannten Unterauftragsverarbeiter (Stripe, PayPal, Cloudflare, die eigene Infrastruktur von Witnio und Telegram nur für interne Warnmeldungen); Kunden erhalten Änderungsmitteilungen, indem sie an [email protected] schreiben

9. Unterstützung bei den Rechten betroffener Personen

Witnio wird den Kunden nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht unterstützen, Anträge auf Wahrnehmung der Rechte betroffener Personen zu beantworten.

Wendet sich eine betroffene Person wegen im Auftrag des Kunden verarbeiteter Daten direkt an Witnio, wird Witnio nicht inhaltlich antworten und die Anfrage unverzüglich an den Kunden weiterleiten.

Der Dienst stellt dem Kunden Export- und Löschfunktionen zur Verfügung, die das primäre Mittel zur Erfüllung von Auskunfts-, Übertragbarkeits- und Löschungsanträgen sind. Darüber hinausgehende Unterstützung wird zu den angemessenen Sätzen von Witnio berechnet, wenn der Aufwand mehr als geringfügig ist.

10. Unterstützung bei Sicherheit, Folgenabschätzungen und Verletzungen

Witnio wird den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Artikel 32 bis 36 der DSGVO unterstützen, unter anderem durch Bereitstellung der für eine Datenschutz-Folgenabschätzung und eine vorherige Konsultation erforderlichen Informationen.

Witnio wird den Kunden über eine Verletzung des Schutzes personenbezogener Daten, die personenbezogene Daten des Kunden betrifft, unverzüglich und in jedem Fall innerhalb von 72 Stunden, nachdem ihm die Verletzung bekannt wurde, benachrichtigen und dabei die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, soweit bekannt, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen sowie eine Anlaufstelle für weitere Informationen beschreiben. Weitere Informationen folgen im Verlauf der Untersuchung.

Witnio wird eine Aufsichtsbehörde oder eine betroffene Person nicht im Namen des Kunden benachrichtigen, es sei denn, der Kunde weist Witnio dazu an und die Parteien vereinbaren den Wortlaut.

11. Löschung und Rückgabe

Bei Beendigung des Dienstes wird Witnio nach Wahl des Kunden die in seinem Auftrag verarbeiteten personenbezogenen Daten zurückgeben oder löschen.

Die Kundendaten bleiben nach der Beendigung 30 Tage lang über den Dienst exportierbar. Nach Ablauf dieses Zeitraums löscht Witnio sie oder anonymisiert sie unumkehrbar, es sei denn, ein Gesetz, dem Witnio unterliegt, verlangt ihre Speicherung; in diesem Fall behandelt Witnio sie vertraulich und verarbeitet sie ausschließlich zu diesem Zweck.

Kopien, die nur noch in Sicherungskopien vorhanden sind, werden gelöscht, wenn diese Sicherungskopien in ihrem regulären Zyklus überschrieben werden. Witnio bestätigt die Löschung auf Anfrage schriftlich.

12. Audits und Informationen

Witnio stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Artikel 28 der DSGVO erforderlich sind.

Der Kunde kann sein Auditrecht erfüllen, indem er die von Witnio veröffentlichte und bereitgestellte Dokumentation prüft — einschließlich der Sicherheitsseite, des Signaturverfahrens für Nachweise und der schriftlichen Antworten von Witnio auf einen Sicherheitsfragebogen, die Witnio innerhalb von 30 Tagen nach einer angemessenen Anfrage zurücksendet.

Reicht dies nicht aus, um eine nachgewiesene regulatorische Anforderung zu erfüllen, kann der Kunde einmal in jedem Zeitraum von zwölf Monaten ein Vor-Ort-Audit durchführen oder einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer mit dessen Durchführung beauftragen, und zwar mit einer schriftlichen Ankündigungsfrist von mindestens 30 Tagen, während der Geschäftszeiten, ohne unangemessene Störung und auf Kosten des Kunden, einschließlich des angemessenen Zeitaufwands von Witnio. Eine Aufsichtsbehörde kann Audits nach Maßgabe des Gesetzes durchführen.

Ein Prüfer darf kein Wettbewerber von Witnio sein und darf keinen Zugriff auf Daten eines anderen Kunden, den Quellcode von Witnio oder Zugangsdaten erhalten.

13. Internationale Übermittlungen

Witnio verarbeitet personenbezogene Daten auf einer von Witnio in Costa Rica betriebenen Infrastruktur und setzt Unterauftragsverarbeiter mit Sitz in den Vereinigten Staaten und anderswo ein.

Für Übermittlungen personenbezogener Daten aus dem Europäischen Wirtschaftsraum, dem Vereinigten Königreich oder der Schweiz in ein Land ohne Angemessenheitsbeschluss beziehen die Parteien die von der Europäischen Kommission mit dem Durchführungsbeschluss (EU) 2021/914 genehmigten Standardvertragsklauseln durch Verweis ein, wobei Modul Zwei (Verantwortlicher an Auftragsverarbeiter) zwischen dem Kunden als Datenexporteur und Witnio als Datenimporteur gilt, die Kopplungsklausel gilt, die Aufsichtsbehörde und das anwendbare Recht diejenigen des Niederlassungsorts des Kunden sind und Anhang I und Anhang II dieser Vereinbarung die entsprechenden Anhänge dieser Klauseln ausfüllen.

Für das Vereinigte Königreich gilt das UK International Data Transfer Addendum zu diesen Klauseln. Für die Schweiz sind Verweise auf die DSGVO als Verweise auf das DSG zu verstehen, und der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte ist die zuständige Behörde.

Witnio wird den Kunden benachrichtigen, wenn es Witnio nicht mehr möglich ist, diese Klauseln einzuhalten, und der Kunde kann dann die Übermittlung aussetzen oder kündigen.

Breneshold LLC als Datenimporteur nach Modul 2 (Verantwortlicher an Auftragsverarbeiter) der mit dem Durchführungsbeschluss (EU) 2021/914 der Kommission genehmigten Standardvertragsklauseln, wobei die optionale Kopplungsklausel nicht gewählt ist; vor der ersten Übermittlung aus der EU wird eine Folgenabschätzung für die Übermittlung dokumentiert.

14. Haftung

Die Haftung jeder Partei nach dieser Vereinbarung unterliegt den Ausschlüssen und der Gesamthaftungshöchstgrenze der Nutzungsbedingungen, und diese Höchstgrenze ist eine einzige, gemeinsame Höchstgrenze für die Nutzungsbedingungen und diese Vereinbarung zusammen und keine gesonderte.

Nichts in dieser Vereinbarung beschränkt die Rechte einer betroffenen Person gegenüber einer der Parteien oder die Haftung einer Partei, soweit das anwendbare Recht deren Beschränkung nicht zulässt. Soweit die Standardvertragsklauseln gelten, beschränkt nichts in diesem Abschnitt die Haftung nach diesen Klauseln gegenüber einer betroffenen Person.

15. Anhang I — Einzelheiten der Verarbeitung

Datenexporteur: der in der Bestellung angegebene Kunde, der als Verantwortlicher handelt. Kontakt: der im Dienst registrierte Kontokontakt.

Datenimporteur: Breneshold LLC (Florida, Vereinigte Staaten), [email protected]; die Postanschrift ist im Konto und auf den Rechnungen angegeben; handelt als Auftragsverarbeiter und erbringt Beobachtungs- und Nachweisdienste mit echten Geräten.

Kategorien betroffener Personen, Kategorien personenbezogener Daten, besondere Kategorien, Häufigkeit, Art und Zweck, Dauer sowie Angaben zu Unterauftragsverarbeitern: wie in den Abschnitten 3, 4, 8 und 11 dieser Vereinbarung angegeben.

Zuständige Aufsichtsbehörde: die Behörde des Niederlassungsorts des Kunden im Europäischen Wirtschaftsraum oder, wenn der Kunde dort nicht niedergelassen ist, die Behörde des Mitgliedstaats, in dem sein Vertreter niedergelassen ist oder in dem sich die betroffenen Personen befinden.

16. Anhang II — Technische und organisatorische Maßnahmen

Zugriffskontrolle: Multi-Faktor-Authentifizierung; rollenbasierte Zugriffskontrolle; standardmäßig verweigernde Autorisierung; Mandantenbegrenzung bei jeder Abfrage mandanteneigener Daten; kurzlebige Tokens mit Rotation beim Erneuern; widerrufbare Sitzungen; Inventar von Sitzungen und Geräten; Schutz gegen Brute-Force-Angriffe; sowie in ihrem Umfang begrenzte, rotierbare API-Schlüssel mit Kontingenten und Ratenbegrenzungen.

Netzwerk und Plattform: jede öffentliche Schnittstelle wird als feindlich behandelt; ein Edge-Gateway und eine Ratenbegrenzung vor der Steuerungsebene; die Gerätefarm ist niemals direkt dem Internet ausgesetzt; und Sicherheits-Response-Header auf jeder Seite.

Datenminimierung und Maskierung: Einmal-Passcodes, Rufnummern Dritter, sensible Inhalte, Tokens, Cookies und nicht benötigte Kennungen werden vor der Speicherung und vor jeder KI-Verarbeitung maskiert oder minimiert; Nachrichtentexte werden maskiert und gekürzt gespeichert, mit einem Hashwert des Originals.

Integrität: ein SHA-256-Hashwert für jedes Artefakt; kanonische JSON-Manifeste, signiert mit einem Ed25519-Schlüssel, der außerhalb des Repositorys auf dem Signatur-Host verwahrt wird; ein veröffentlichter öffentlicher Schlüssel, damit ein Manifest unabhängig verifiziert werden kann; und Manipulationserkennung bei der Verifizierung.

Vertraulichkeit von Geheimnissen: keine Zugangsdaten, keine Einmal-Passcodes, keine Cookies und keine Sitzungstokens im Repository, in Protokollen oder in Traces; Geheimnisse werden in einem Secrets-Manager verwahrt.

Tests und Qualitätssicherung: Scans auf Abhängigkeiten, Geheimnisse, Container und unsichere Standardeinstellungen bei jedem Release; Regressionstests auf Authentifizierungsmissbrauch und mandantenübergreifende Zugriffe; und Validierung der Cross-Origin-Konfiguration.

Verfügbarkeit und Belastbarkeit: gezielte Sperrkontrollen, die einen missbräuchlichen Schlüssel, Benutzer oder Mandanten isolieren, ohne die Plattform lahmzulegen; Nachweise, die über eine Sperrung hinweg erhalten bleiben; und dokumentierte Wiederherstellungsverfahren bei Ausfällen von Geräten, Netzwerk und Nachweis-Uploads.

Governance: Audit-Protokollierung privilegierter Aktionen; ein dokumentiertes Vorfallverfahren aus Erkennen, Eindämmen, Widerrufen, Sichern von Beweisen, Ursachenanalyse, Beheben, Regressionstest, erneutem Testen und Dokumentieren; sowie Aufbewahrungsgrenzen, die durch einen automatisierten Aufbewahrungsprozess durchgesetzt werden.

Die jeweils geltenden Maßnahmen werden auf der Witnio-Sicherheitsseite veröffentlicht, die Bestandteil dieses Anhangs ist.

17. Kontakt

Fragen zum Datenschutz und Mitteilungen nach dieser Vereinbarung: [email protected].

Datenschutzbeauftragter oder Vertreter in der EU bzw. im Vereinigten Königreich, sofern ein solcher benannt ist: Breneshold LLC, [email protected].