Auftragsverarbeitungsvertrag für die Beta

Vertragsparteien

Einerseits HODEITEK S.L., mit NIF B56478027, Gesellschaftssitz in Markole, Aretxabaleta, 20550, Gipuzkoa, Spanien, eingetragen im Handelsregister von Gipuzkoa (Registro Mercantil de Gipuzkoa), Hoja SS-46529, Tomo 3121, Folio 144, vertreten durch die Person, die in ihrem Namen unterzeichnet. Im Folgenden „Hodeitek“ oder „der Auftragsverarbeiter“.

Kontakt für den Datenschutz: privacy@hodeitek.com. Kontakt für Sicherheit und Vorfälle: security@hodeitek.com.

Andererseits die Organisation, die sich um die Teilnahme an der Beta beworben hat, mit den Angaben zu Identifizierung, Vertretung und Kontakt (Firma, NIF, Gesellschaftssitz, Vertreter, Kontakt-E-Mail für diesen Vertrag und gegebenenfalls Datenschutzbeauftragter), die in ihrer Bewerbung für die Beta und in der Zulassungs-E-Mail von Hodeitek enthalten sind. Im Folgenden „der Kunde“.

Der Kunde unterzeichnet in einer der beiden folgenden Eigenschaften (eine ankreuzen):

• ☐ Direktweg. Der Kunde ist eine Endorganisation und handelt als Verantwortlicher. Hodeitek handelt als Auftragsverarbeiter.
• ☐ MSSP-Weg. Der Kunde ist ein MSSP-Partner, der als Auftragsverarbeiter seiner eigenen Kunden (die die Verantwortlichen sind) handelt. Hodeitek handelt als Unterauftragsverarbeiter. Zusätzlich gilt Teil II.

Hodeitek und der Kunde erkennen einander die Fähigkeit zu, diesen Vertrag zu schließen, und erklären hierzu Folgendes:

Vorbemerkungen

1. Hodeitek veranstaltet das Beta-Programm der Plattform HodeiShield, dessen Bedingungen auf hodeishield.com veröffentlicht sind (im Folgenden „die Beta-Bedingungen“). Die Beta-Bedingungen, die Zulassungs-E-Mail von Hodeitek und dieser Vertrag bilden die Teilnahmevereinbarung.

2. Die Beta-Bedingungen sehen vor, dass die Daten, die der Teilnehmer in die Plattform lädt, von Hodeitek als Auftragsverarbeiter verarbeitet werden, aufgrund eines Auftragsverarbeitungsvertrags nach Art. 28 der Verordnung (EU) 2016/679 („DSGVO“), der bei der Anlage des Beta-Kontos und vor dem Hochladen personenbezogener Daten unterzeichnet wird.

3. Dieser Vertrag erfüllt diese Zusage. Er unterliegt der DSGVO, dem Organgesetz 3/2018 („LOPDGDD“; das spanische Organgesetz über den Schutz personenbezogener Daten und die Gewährleistung digitaler Rechte) und den übrigen anwendbaren Vorschriften.

1.Begriffsbestimmungen

Die Begriffe der DSGVO (Verantwortlicher, Auftragsverarbeiter, personenbezogene Daten, Verarbeitung, Verletzung des Schutzes personenbezogener Daten usw.) haben die Bedeutung nach Art. 4 DSGVO. Darüber hinaus gilt:

• Plattform: der Dienst HodeiShield, erreichbar unter app.hodeishield.com, mit seinen APIs, dem Endpoint-Agenten und den übrigen Komponenten, die Hodeitek dem Kunden während der Beta zur Verfügung stellt.
• Kundendaten: die personenbezogenen Daten, die der Kunde, seine Nutzer oder seine Systeme in die Plattform eingeben oder die die Plattform im Auftrag des Kunden aus diesen Daten erzeugt und die in Klausel 5 beschrieben sind.
• Beta: der Zeitraum der Teilnahme des Kunden am Programm, der nach den Beta-Bedingungen 3 Monate ab der Annahme des Platzes des Kunden dauert, und zwar nie vor dem 2. November 2026; die Bewerbungen enden am 31. Dezember 2026.
• Unterauftragsverarbeiter: der Dritte, den Hodeitek zur Verarbeitung von Kundendaten heranzieht (Anhang II).
• Dokumentierte Weisungen: die Weisungen nach Klausel 6.

2.Gegenstand und Umfang

2.1. Dieser Vertrag regelt die Verarbeitung der Kundendaten, die Hodeitek im Auftrag des Kunden vornimmt, um ihm die Plattform während der Beta zur Verfügung zu stellen, sowie die anschließende Frist für Rückgabe und Löschung.

2.2. Außerhalb des Gegenstands. Nicht Teil dieses Auftrags sind die folgenden Daten, weil Hodeitek sie als Verantwortlicher verarbeitet, wie es die Beta-Bedingungen und der Datenschutzhinweis der Konsole besagen:

• die Daten des Antrags auf Teilnahme an der Beta (es gilt die Datenschutzerklärung von hodeishield.com);
• die Daten der Nutzerkonten der Konsole, die Authentifizierung, die Zugriffs- und Sicherheitsprotokolle und, wenn über die Konsole gebucht wird, die Abrechnung (es gilt der Datenschutzhinweis der Konsole, app.hodeishield.com/privacy);
• die Fehler- und Absturzberichte, die der Endpoint-Agent (und, getrennt davon, die Konsole) an Sentry (Functional Software, Inc.) sendet. Hodeitek verarbeitet sie als Verantwortlicher, um Fehler der Plattform zu diagnostizieren und zu beheben, auf der Grundlage seines berechtigten Interesses am Fortbestand und an der Qualität des Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Die Berichte des Agenten enthalten die Fehlermeldung und den Stack-Trace, die Agent-Version, die Umgebung, das Betriebssystem, die Kernel-Version und die Architektur; die IP-Adresse der Verbindung gelangt zu den Servern von Sentry, und die Berichte enthalten nicht die Ergebnisse der Prüfungen. Die der Konsole sind in Anhang I, Abschnitt I.11, beschrieben. Sie werden 90 Tage aufbewahrt. Die Berichte des Agenten sind in den veröffentlichten Binärdateien standardmäßig aktiv, und jedes Gerät kann sie mit der Markierungsdatei /etc/hodei-shield/telemetry-off (Linux und macOS) oder %ProgramData%\Hodei-Shield\telemetry-off (Windows) oder mit HODEI_SENTRY_DSN=off abschalten, wie es die Dokumentation des Agenten beschreibt; für die Berichte der Konsole gibt es keinen Schalter je Kunde (Anhang II, Detail zu Sentry). Hodeitek informiert über diese Verarbeitung im Datenschutzhinweis der Konsole. Sentry ist dabei ein Dienstleister von Hodeitek und kein Unterauftragsverarbeiter des Kunden (Anhang II, Zeilen 5 und 6).

2.3. Erscheint ein in 2.2 beschriebenes Datum auch innerhalb der Kundendaten (zum Beispiel der Name eines Nutzers als Urheber eines Nachweises oder als Verantwortlicher für ein Risiko, oder ein Eintrag des Auditprotokolls, der eine Änderung an Kundendaten festhält), wird diese konkrete Verwendung nach diesem Vertrag behandelt.

3.Laufzeit

3.1. Dieser Vertrag tritt am Tag der letzten Unterschrift in Kraft, jedenfalls bevor der Kunde reale personenbezogene Daten hochlädt. Ohne unterzeichneten Vertrag darf der Kunde nur Testdaten ohne reale Personen verwenden.

3.2. Er läuft für die Dauer der Beta des Kunden zuzüglich der Frist für Rückgabe und Löschung nach Klausel 15.

3.3. Die Pflichten zu Vertraulichkeit, Sicherheit und Löschung gelten fort, solange Hodeitek oder seine Unterauftragsverarbeiter noch Kundendaten aufbewahren, einschließlich der Sicherungskopien bis zu deren Ablauf.

3.4. Verhältnis zum Vertrag über den kostenpflichtigen Dienst. Dieser Vertrag regelt die Verarbeitung der Kundendaten während der Beta und der 30 Tage nach ihrem Ende (Klausel 15.1). Wechselt der Kunde in einen kostenpflichtigen Vertrag, richtet sich die Verarbeitung während des kostenpflichtigen Dienstes nach dem Auftragsverarbeitungsvertrag dieses Dienstes, den Hodeitek unmittelbar mit dem zahlenden Kunden unterzeichnet und der diesen Vertrag ersetzt, sobald der Kunde ihn annimmt; bis dahin gilt dieser Vertrag weiter für die Kundendaten. Dieser Vertrag regelt den kostenpflichtigen Dienst nicht.

4.Art und Zweck der Verarbeitung

4.1. Art: Hosting, Speicherung, Organisation, Abfrage, Analyse, Abgleich mit öffentlichen Sicherheitsquellen, Berechnung von Bewertungen und Berichten, Versand von Benachrichtigungen, die der Kunde konfiguriert, Sicherung, Export und Löschung der Kundendaten, im Rahmen der Funktionen der Plattform.

4.2. Alleiniger Zweck: dem Kunden die Plattform während der Beta zur Verfügung zu stellen, damit er seine Sicherheits- und Compliance-Lage und die seiner Lieferanten misst. HodeiShield misst diese Lage und zertifiziert oder garantiert nicht die Einhaltung irgendeines Regelwerks.

4.3. Hodeitek verwendet die Kundendaten weder für eigene Zwecke noch für Werbung noch zum Training von Modellen künstlicher Intelligenz. Es nimmt sie auch nicht in kundenübergreifende aggregierte Indikatoren (Vergleiche oder Benchmark, Observatorium) auf, es sei denn, der Kunde aktiviert dies ausdrücklich in der Plattform. Die einzige Ausnahme von diesen beiden Sätzen ist die Aggregation und Anonymisierung, die der Kunde in Klausel 6.5 anweist, mit dem dort festgelegten Zweck und den dort festgelegten Grenzen. Kommentare und Vorschläge, die der Kunde zur Plattform mitteilt, unterliegen den Beta-Bedingungen, ohne seine Daten einzuschließen.

5.Datenarten und Kategorien betroffener Personen

5.1. Je nach den vom Kunden genutzten Funktionen kann die Plattform folgende Kundendaten verarbeiten:

5.2. Besondere Kategorien. Die Plattform ist nicht für besondere Kategorien von Daten (Art. 9 DSGVO) oder strafrechtliche Daten (Art. 10 DSGVO) vorgesehen. Der Kunde verpflichtet sich, sie nicht hochzuladen. Sollte ein Nachweis oder Dokument sie enthalten, teilt der Kunde dies Hodeitek vorher mit, damit geprüft werden kann, ob sie mit den Maßnahmen aus Anhang I verarbeitet werden können.

5.3. Die Beta-Bedingungen verpflichten den Kunden, nur Domains, Assets und Lieferanten anzulegen, zu deren Analyse er berechtigt oder ermächtigt ist.

6.Dokumentierte Weisungen

6.1. Hodeitek verarbeitet die Kundendaten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in Drittländer (Art. 28 Abs. 3 Buchst. a DSGVO), es sei denn, es ist durch das Recht der Union oder eines Mitgliedstaats zu etwas anderem verpflichtet. In diesem Fall teilt Hodeitek dem Kunden diese Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

6.2. Dokumentierte Weisungen sind: (a) dieser Vertrag und seine Anhänge; (b) die Konfiguration, die der Kunde oder seine berechtigten Nutzer in der Plattform vornehmen (zum Beispiel welche Lieferanten sie anlegen, welche Fragebögen sie versenden, welche Ziele für Warnmeldungen sie konfigurieren, ob sie HodeiAI aktivieren); (c) zusätzliche Weisungen, die der Kunde schriftlich an privacy@hodeitek.com sendet und die Hodeitek bestätigt.

6.3. Hodeitek informiert den Kunden unverzüglich, wenn eine Weisung seiner Meinung nach gegen die DSGVO oder andere Datenschutzvorschriften verstößt (Art. 28 Abs. 3 letzter Unterabsatz DSGVO).

6.4. HodeiAI. Der Assistent HodeiAI sendet Inhalte an einen Unterauftragsverarbeiter (Anhang II). In der Beta ist er standardmäßig aktiviert, und ein Administrator des Kunden (tenant_admin oder org_admin) kann ihn jederzeit unter Einstellungen, Bereich HodeiAI, deaktivieren: Steht der Schalter auf „deaktiviert“, wird keine Anfrage an den Unterauftragsverarbeiter gesendet. Den Schalter aktiviert zu lassen ist eine dokumentierte Weisung des Kunden. Mandanten von Endkunden, die ein MSSP einbindet (Teil II, M7). Auch in diesen Mandanten ist HodeiAI in der Beta standardmäßig aktiviert, auf Weisung des MSSP, der als Auftragsverarbeiter seiner Endkunden handelt und von jedem von ihnen vor dem Hochladen von Daten die allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 DSGVO für Hodeitek und seine Unterauftragsverarbeiter, einschließlich des KI-Anbieters, eingeholt hat (Klausel M7); der Administrator jedes Endkunden kann es unter Einstellungen, Bereich HodeiAI, deaktivieren. Die dokumentierte Weisung für diese Mandanten erteilt der MSSP als Auftragsverarbeiter seines Endkunden (des Verantwortlichen), und Hodeitek handelt als Unterauftragsverarbeiter. Bei ausgeschaltetem Schalter wird auch die Risikoanalyse der Lieferanten-Scans nicht an OVHcloud AI Endpoints gesendet, weder bei Scans, die ein Nutzer startet, noch bei geplanten Wiederholungs-Scans.

6.5. Aggregierte und anonymisierte Kennzahlen für öffentliche Förderung. Mit der Unterzeichnung dieses Vertrags erteilt der Kunde Hodeitek die dokumentierte Weisung (Art. 28 Abs. 3 Buchst. a DSGVO), Kundendaten zu aggregieren und zu anonymisieren, und zwar ausschließlich, um Nutzungs- und Ergebniskennzahlen des Beta-Programms für die Anträge von Hodeitek auf öffentliche Förderung (Programme der öffentlichen Förderung auf europäischer, nationaler oder regionaler Ebene) und für die Folgeberichte zu gewinnen, die die fördernde Stelle verlangt, wie es die Beta-Bedingungen vorsehen. Die Weisung beschränkt sich auf diesen Zweck und auf diese Bedingungen:

• a) Welche Kennzahlen. Nur Nutzungs- und Ergebniskennzahlen der Gesamtheit der Teilnehmer, zum Beispiel die Zahl der teilnehmenden Organisationen, die durchgeführten Bewertungen, die überwachten Lieferanten, die Behebungszeit oder die Nutzung der einzelnen Module.
• b) Keine personenbezogenen Daten. Das Ergebnis enthält keine personenbezogenen Daten.
• c) Keine Identifizierung einer Organisation. Das Ergebnis identifiziert weder den Kunden noch eine andere Organisation, weder unmittelbar noch durch die Kombination von Angaben wie Branche, Größe oder Region.
• d) Mindestgruppe. Jede Zahl aggregiert die Daten von mindestens 5 teilnehmenden Organisationen, sodass niemand aus ihr die Daten einer anderen ableiten kann; die Zahl einer kleineren Gruppe wird nicht gesondert verwendet.
• e) Ausgeschlossene Inhalte. Das Ergebnis enthält keine Inhalte des Kunden (Nachweise, Dokumente, Antworten auf Fragebögen, Konversationen von HodeiAI), keine Befunde zu bestimmten Lieferanten und keine Einzelheiten zu Schwachstellen.
• f) Berechnung. Die Berechnungen erfolgen in den Systemen und mit den Maßnahmen des Anhangs I, nur durch das Personal nach Klausel 8, und kein Zwischenergebnis, das die Buchstaben b) bis e) nicht erfüllt, verlässt Hodeitek.
• g) Rechenschaft. Hodeitek bewahrt für jeden Antrag und jeden Bericht die Liste der verwendeten Kennzahlen und die Beschreibung ihrer Berechnung auf und stellt sie dem Kunden auf Anfrage zur Verfügung (Klausel 16.1).

Sobald das Ergebnis die Buchstaben b) bis e) erfüllt, ist es eine anonyme Information: Es fällt weder unter die DSGVO (Erwägungsgrund 26 DSGVO) noch unter diesen Vertrag.

6.6. Name des Kunden. Weder Klausel 6.5 noch eine andere Klausel dieses Vertrags ermächtigt Hodeitek, den Kunden zu nennen oder zu identifizieren, sei es durch seinen Namen, sein Logo, ein Testimonial oder eine Erfolgsgeschichte, in welchem Medium auch immer, auch nicht in einem Förderantrag oder in einem Bericht an die fördernde Stelle. Dafür bedarf es einer vorherigen, schriftlichen und widerruflichen Einwilligung des Kunden, die gesondert eingeholt wird und weder Teil der Unterzeichnung dieses Vertrags noch der Annahme der Beta-Bedingungen ist. Die Verweigerung oder der Widerruf der Einwilligung berührt die Teilnahme des Kunden an der Beta nicht. Der Widerruf wirkt für neue Verwendungen: Ab diesem Zeitpunkt verwendet Hodeitek den Namen des Kunden nicht mehr in neuen Anträgen, Berichten oder Materialien, ist aber nicht verpflichtet, zurückzuziehen, was sie vor dem Widerruf bereits bei einer fördernden Stelle eingereicht hat. Enthält dieses Material personenbezogene Daten (zum Beispiel den Namen oder das Zitat einer Person in einem Testimonial), verarbeitet Hodeitek sie als Verantwortlicher, mit eigener Information an diese Person und eigener Rechtsgrundlage, und nicht als Auftragsverarbeiter nach diesem Vertrag. Die natürliche Person, deren Worte, Name oder Bild in einem Testimonial oder einer Erfolgsgeschichte erscheinen würden, willigt selbst ein; sie kann die Einwilligung ohne jede Folge für sich verweigern oder widerrufen, und lehnt sie ab, behält der Kunde seinen Platz und seine Rabatte, weil er das Testimonial abgeben kann, ohne eine Person zu nennen, oder über eine andere Ansprechperson.

7.Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3 DSGVO)

Hodeitek verpflichtet sich:

• a) Weisungen. Die Kundendaten nur auf die dokumentierten Weisungen nach Klausel 6 zu verarbeiten.
• b) Vertraulichkeit. Zu gewährleisten, dass sich die zur Verarbeitung der Kundendaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Klausel 8).
• c) Sicherheit. Die in Klausel 9 und Anhang I beschriebenen Maßnahmen nach Art. 32 DSGVO zu ergreifen.
• d) Unterauftragsverarbeiter. Die Bedingungen der Absätze 2 und 4 des Art. 28 DSGVO für die Inanspruchnahme eines weiteren Auftragsverarbeiters einzuhalten (Klausel 10 und Anhang II).
• e) Rechte der betroffenen Personen. Den Kunden unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen nach Möglichkeit dabei zu unterstützen, Anträge auf Wahrnehmung von Rechten zu beantworten (Klausel 11).
• f) Art. 32 bis 36. Den Kunden bei der Einhaltung der Pflichten nach den Art. 32 bis 36 DSGVO zu unterstützen, unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen (Klauseln 12 und 13).
• g) Ende des Auftrags. Nach Wahl des Kunden alle Kundendaten nach Beendigung der Leistung zu löschen oder zurückzugeben und die vorhandenen Kopien zu löschen, es sei denn, nach dem Recht der Union oder der Mitgliedstaaten besteht eine Pflicht zur Speicherung (Klausel 15).
• h) Nachweis und Audits. Dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Pflichten zur Verfügung zu stellen und Überprüfungen, einschließlich Inspektionen, die vom Kunden oder einem von ihm beauftragten anderen Prüfer durchgeführt werden, zu ermöglichen und dazu beizutragen (Klausel 16).

Darüber hinaus führt Hodeitek das Verzeichnis von Verarbeitungstätigkeiten als Auftragsverarbeiter (Art. 30 Abs. 2 DSGVO), das in seiner Ausgangsform bereits besteht, und arbeitet auf Anfrage mit der Aufsichtsbehörde zusammen (Art. 31 DSGVO).

8.Vertraulichkeit des Personals

8.1. Auf die Kundendaten greifen nur die Personen von Hodeitek zu, die dies benötigen, um die Plattform bereitzustellen, zu warten oder zu sichern oder um eine Anfrage des Kunden zu bearbeiten.

8.2. Diese Personen unterliegen einer schriftlichen Vertraulichkeitsverpflichtung oder einer gleichwertigen gesetzlichen Pflicht, die nach Beendigung ihrer Beziehung zu Hodeitek fortbesteht.

8.3. Der Betriebszugriff auf die Plattform mit Plattformrechten wird im Auditprotokoll festgehalten (siehe Anhang I).

8.4. Ausnahme für die Kennzahlen der Klausel 6.5. Die Vertraulichkeit dieser Klausel und der Klausel 7 Buchst. b hindert Hodeitek nicht daran, einer fördernden Stelle die aggregierten und anonymisierten Kennzahlen der Klausel 6.5 mit dem dort festgelegten Zweck und den dort festgelegten Bedingungen vorzulegen, weil sie keine Kundendaten enthalten. Die Ausnahme erstreckt sich weder auf Zwischenergebnisse noch auf sonstige Informationen des Kunden.

9.Sicherheit der Verarbeitung

9.1. Hodeitek wendet die technischen und organisatorischen Maßnahmen des Anhangs I an, die dem Risiko nach Art. 32 DSGVO angemessen sind.

9.2. Hodeitek S.L. ist nach ISO/IEC 27001 und nach dem Esquema Nacional de Seguridad (ENS, spanisches Nationales Sicherheitsschema), Kategorie MEDIA (mittel) zertifiziert (ENS-Zertifikat Nr. 34/5704/26/09103, ausgestellt von OCA Instituto de Certificación), mit einem Geltungsbereich, der den SaaS-Dienst HodeiShield einschließt. HodeiShield hat keine CPSTIC-Qualifizierung (Katalog der zertifizierten IKT-Sicherheitsprodukte und -dienste in Spanien) und ist nicht im CPSTIC-Katalog aufgeführt, und Hodeitek zertifiziert nicht die Compliance des Kunden.

9.3. Hodeitek kann die Maßnahmen des Anhangs I aktualisieren, sofern das daraus folgende Sicherheitsniveau nicht niedriger ist als das beschriebene. Eine Absenkung des Sicherheitsniveaus bedarf der Einigung der Parteien.

10.Unterauftragsverarbeiter

10.1. Allgemeine Genehmigung. Der Kunde erteilt Hodeitek eine allgemeine schriftliche Genehmigung (Art. 28 Abs. 2 DSGVO), die Unterauftragsverarbeiter des ersten Teils des Anhangs II in Anspruch zu nehmen, der die vollständige Liste zum Zeitpunkt der Unterzeichnung ist, wie es die Beta-Bedingungen zusagen.

10.2. Vorherige Mitteilung und Widerspruch. Hodeitek teilt dem Kunden an die Kontakt-E-Mail dieses Vertrags jede Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters mindestens 15 Tage im Voraus schriftlich mit. Die Mitteilung nennt, wer der Unterauftragsverarbeiter ist, welche Leistung er erbringt, wo er die Daten verarbeitet und mit welcher Garantie für die Übermittlung.

10.3. Der Kunde kann innerhalb dieser Frist aus vernünftigen datenschutzrechtlichen Gründen widersprechen. Kann Hodeitek keine vertretbare Alternative anbieten, kann der Kunde das Programm verlassen, und es gilt Klausel 15 (30 Tage zum Exportieren oder zur Beantragung der Löschung).

10.4. Die Aktualisierung des Anhangs II nach diesem Verfahren ist keine Änderung des Vertrags im Sinne der Klausel 19.2.

10.5. Gleiche Pflichten. Hodeitek erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die denen dieses Vertrags gleichwertig sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet Hodeitek gegenüber dem Kunden weiterhin für die Einhaltung durch diesen Unterauftragsverarbeiter.

10.6. Ziele, die der Kunde wählt. Dienste, die der Kunde auf eigene Rechnung anbindet, sind keine Unterauftragsverarbeiter von Hodeitek: die Ziele für Warnmeldungen (Slack, Microsoft Teams, PagerDuty, Opsgenie, seine eigenen Webhooks, sein SIEM, Jira und ServiceNow) und die Identitätsanbieter für das Single Sign-on (Google, Microsoft Entra, Okta, OneLogin oder ein eigener). Der Kunde wählt das Ziel und verantwortet es; Hodeitek sendet nur, was der Kunde konfiguriert.

10.7. Quellen öffentlicher Daten. Zur Analyse der Exposition der Lieferanten des Kunden fragt die Plattform Dienste mit öffentlichen Daten ab (Shodan, Have I Been Pwned, OSV.dev, Logo.dev, NVD und weitere, aufgeführt im zweiten Teil des Anhangs II, „Quellen öffentlicher Daten“) und sendet ihnen nur Kennungen dessen, was analysiert wird: Domains, Serveradressen sowie Paket-, Produkt- oder Schwachstellenkennungen; Nutzerkonten sendet sie ihnen nicht. Sie sind keine Unterauftragsverarbeiter und verarbeiten keine personenbezogenen Daten im Auftrag von Hodeitek; sie werden gesondert aufgeführt, damit der Kunde weiß, was die Plattform verlässt. Eine Unternehmensdomain ist in der Regel kein personenbezogenes Datum, sie ist es aber, wenn sie eine natürliche Person identifiziert.

11.Unterstützung bei der Wahrnehmung von Rechten

11.1. Wendet sich eine betroffene Person an Hodeitek, um ein Recht in Bezug auf Kundendaten auszuüben, leitet Hodeitek dies unverzüglich, spätestens innerhalb von 5 Werktagen, an den Kunden weiter und antwortet nicht in dessen Namen, außer auf Weisung des Kunden. Der Hinweis der Konsole fordert die betroffenen Personen bereits auf, sich an die Organisation zu wenden, die ihre Daten hochgeladen hat.

11.2. Der Kunde kann die meisten Kundendaten in der Plattform selbst einsehen und berichtigen und viele davon löschen. Zwei Löschungen der Plattform sind logisch und entfernen das Datum nicht: die eines Lieferanten, der 30 Tage lang wiederhergestellt werden kann und für den es keine Aufgabe zur endgültigen Löschung gibt (und mit ihm bleiben Name und E-Mail-Adresse seines Ansprechpartners bestehen), und die eines Mitglieds des Leitungsorgans. Um diese Daten wirklich zu löschen oder wenn der Kunde dies nicht selbst tun kann, unterstützt Hodeitek ihn dabei, die Daten der betroffenen Person aufzufinden, zu exportieren, zu berichtigen, einzuschränken oder zu löschen, und zwar innerhalb einer Frist, die es dem Kunden erlaubt, innerhalb des Monats nach Art. 12 Abs. 3 DSGVO zu antworten.

12.Unterstützung bei den Art. 32 bis 36 DSGVO

Hodeitek stellt dem Kunden auf Anfrage und mit den ihm verfügbaren Informationen bereit:

• die Beschreibung der Maßnahmen des Anhangs I und ihre Aktualisierung;
• Informationen, damit der Kunde bei Bedarf eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) durchführen und die vorherige Konsultation der Aufsichtsbehörde (Art. 36 DSGVO) einleiten kann;
• die Unterstützung nach Klausel 13 im Fall einer Verletzung des Schutzes personenbezogener Daten.

13.Meldung von Verletzungen des Schutzes personenbezogener Daten

13.1. Hodeitek meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, unverzüglich und spätestens 48 Stunden, nachdem sie ihm bekannt geworden ist (Art. 33 Abs. 2 DSGVO).

13.2. Die Meldung wird an die Kontakt-E-Mail des Kunden gesendet und enthält mindestens und soweit bekannt: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und der betroffenen Datensätze; den Namen und die Kontaktdaten der Person bei Hodeitek, bei der weitere Informationen eingeholt werden können; die wahrscheinlichen Folgen; und die ergriffenen oder vorgeschlagenen Maßnahmen, einschließlich der Maßnahmen zur Abmilderung. Liegen nicht alle Informationen zugleich vor, werden sie schrittweise ohne unangemessene weitere Verzögerung bereitgestellt.

13.3. Hodeitek unterstützt den Kunden bei der Meldung an die Aufsichtsbehörde und gegebenenfalls an die betroffenen Personen (Art. 33 und 34 DSGVO). Die Entscheidung über die Meldung und die Meldung selbst obliegen dem Kunden als Verantwortlichem.

13.4. Hodeitek dokumentiert jede Verletzung (Fakten, Auswirkungen und ergriffene Abhilfemaßnahmen).

14.Internationale Übermittlungen

14.1. Die Plattform wird in der EU bei OVHcloud (Gravelines, Frankreich) gehostet.

14.2. Cloudflare, Inc. (USA) erbringt DNS, Content Delivery Network, Firewall und TLS-Terminierung auf dem Weg jeder Anfrage, sieht daher den Datenverkehr im Klartext und kann Daten in den Vereinigten Staaten verarbeiten. Die Übermittlung stützt sich auf das EU-U.S. Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795), solange Cloudflare, Inc. als aktiver Teilnehmer geführt wird, und, falls dieses nicht mehr gelten sollte, auf die Standardvertragsklauseln des Durchführungsbeschlusses (EU) 2021/914, die in den Vertrag mit Cloudflare einbezogen sind.

14.3. Sentry (Functional Software, Inc., USA): Die Sentry-Organisation von Hodeitek speichert die Daten in der Region EU, sodass die Speicherregion keine internationale Übermittlung darstellt. Functional Software, Inc. kann aus den Vereinigten Staaten auf Daten zugreifen oder sie verarbeiten (Support und eigene Unterauftragsverarbeiter); ihr öffentlicher Auftragsverarbeitungsvertrag (Version 5.1.0 vom 29. Mai 2024, https://sentry.io/legal/dpa/) stützt diese Übermittlungen auf das EU-U.S. Data Privacy Framework und, falls dieses nicht zur Anwendung kommt, auf die Standardvertragsklauseln (Module 2 und 3). Bei diesen Fehlerberichten handelt Sentry als Dienstleister von Hodeitek, das Verantwortlicher ist (Klausel 2.2), und nicht als Unterauftragsverarbeiter des Kunden; die genannten Garantien sind die, die Hodeitek mit Sentry hat. Siehe Anhang II.

14.4. Für die übrigen Unterauftragsverarbeiter des Anhangs II wird jede Verarbeitung außerhalb des EWR durch einen Angemessenheitsbeschluss oder durch die Garantien nach Art. 46 DSGVO abgesichert, die Anhang II für jeden angibt. Insbesondere erklärt Resend (Plus Five Five, Inc., USA) in seinem Auftragsverarbeitungsvertrag, dass seine Hauptverarbeitung in den Vereinigten Staaten erfolgt, mit Standardvertragsklauseln und Beitritt zum EU-U.S. Data Privacy Framework (Anhang II, Zeile 4; Versandregion: eu-west-1 (Irland), von der Konsole gemessen (2026-10-14); Übermittlungsgrundlage: DPF/SCC). Die Quellen öffentlicher Daten im zweiten Teil des Anhangs II sind keine Unterauftragsverarbeiter: Es sind öffentliche Dienste Dritter, die die Plattform abfragt und die nur die in jener Tabelle genannten Kennungen dessen erhalten, was analysiert wird (Domains und IP-Adressen der Lieferanten, Kennungen von Softwarepaketen, CPE-Namen und CVE-Kennungen), keine Nutzerkonten. Hodeitek nimmt keine neuen Übermittlungen ohne das Verfahren der Klausel 10 vor. Der Kunde kann unter privacy@hodeitek.com eine Kopie der Garantien anfordern.

15.Rückgabe und Löschung bei Beendigung

15.1. Frist von 30 Tagen. Mit Ende der Beta oder der Teilnahme des Kunden aus irgendeinem Grund (auch bei vorzeitiger Beendigung) hat der Kunde 30 Tage Zeit, bei Hodeitek, durch ein Schreiben an privacy@hodeitek.com, den Export seiner Daten, deren Löschung oder beides zu beantragen. Diese Frist stimmt mit den 30 Tagen schreibgeschützter Nachfrist der Lizenz überein.

15.2. Rückgabe. Der Kunde erhält die Kopie der Kundendaten auf zwei Wegen, die sich ergänzen:

• (a) Selbstbedienung. Solange die Lizenz des Kunden in ihrer Nachfrist ist, kann ein Administrator des Kunden mit der Funktion „Meine Daten exportieren“ der Konsole selbst eine JSON-Datei herunterladen, die die Basisdaten des Arbeitsbereichs (Name, Branche und Anlagedatum) sowie die Inventare der Lieferanten (Name, Domain, Kategorie, Status und Anlagedatum) und der Assets (Name, Kritikalität, Status und Anlagedatum) enthält. Die Funktion umfasst die übrigen Kundendaten nicht, zum Beispiel Benutzer, Ansprechpartner der Lieferanten, Fragebögen und Antworten, Nachweise, Vorfälle, Risiken, Richtlinien, das Inventar des Agenten, die SBOM, das Auditprotokoll oder Unterhaltungen mit HodeiAI.
• (b) Manuelles Verfahren. Auf schriftliche Anfrage des Kunden, die er durch ein Schreiben an privacy@hodeitek.com innerhalb der Frist der Klausel 15.1 stellt liefert Hodeitek ihm eine Kopie der Kundendaten, die die Funktion nach Buchstabe (a) nicht abdeckt, in einem strukturierten, gängigen und maschinenlesbaren Format (JSON oder CSV), über ein manuelles Verfahren, das vom Personal von Hodeitek durchgeführt wird, innerhalb von 30 Tagen nach der Anfrage.
• (c) Unabhängigkeit. Das manuelle Verfahren hängt nicht von der Funktion nach Buchstabe (a) ab. Ist diese Funktion für den Kunden nicht verfügbar (zum Beispiel, weil die Nachfrist der Lizenz abgelaufen ist oder die Lizenz gesperrt wurde) oder funktioniert sie nicht, liefert Hodeitek über das manuelle Verfahren innerhalb derselben Frist auch die Daten, die die Funktion abdecken würde.

15.3. Löschung. Die Löschung erfolgt nicht über die Plattform. Auf schriftliche Anfrage des Kunden, die er durch ein Schreiben an privacy@hodeitek.com stellt, löscht Hodeitek die Kundendaten aus den aktiven Systemen über dasselbe manuelle Verfahren, das von ihrem Personal durchgeführt wird, innerhalb von 30 Tagen nach der Anfrage; verlangt der Kunde sowohl Rückgabe als auch Löschung, löscht Hodeitek nach der Lieferung der Kopie, innerhalb derselben Frist. Hat der Kunde bei Ablauf der Frist der Klausel 15.1 weder auf kostenpflichtig gewechselt noch etwas beantragt, löscht Hodeitek die Kundendaten über dasselbe Verfahren aus den aktiven Systemen, innerhalb von 30 Tagen nach Ablauf dieser Frist. Die Klauseln 15.3 bis, 15.4 und 15.6 bleiben vorbehalten.

15.3 bis. Auditprotokoll und Protokolle zu Betroffenenrechten. (a) Die Einträge des Auditprotokolls, die Änderungen an Kundendaten festhalten (Klausel 2.3), sind nur anfügbar, werden 365 Tage in der Datenbank aufbewahrt und danach im Objektspeicher archiviert. (b) Die Einträge, die Handlungen zu Betroffenenrechten festhalten, die der Kunde in der Plattform verwaltet, in ihrem Modul für Rechteanträge (Eröffnung und Abschluss jedes Antrags), werden 5 Jahre in der Datenbank aufbewahrt und danach archiviert; es sind Kundendaten, die Hodeitek nach den dokumentierten Weisungen des Kunden aufbewahrt, und sie werden nicht zusammen mit den übrigen Kundendaten gelöscht. (c) Die Aufzeichnungen, die Hodeitek als Verantwortlicher über die an Hodeitek selbst gerichteten Rechteanträge führt (Auskunft oder Export, Berichtigung, Einschränkung und Löschung der Daten von Konsolennutzern), sind keine Kundendaten: Sie werden nach Ablauf von 1 Jahr ab der Erledigung des Antrags gesperrt und nach Ablauf von 3 Jahren vernichtet, ohne archiviert zu werden, gemäß den Art. 32 und 72.1.k des spanischen LOPDGDD.

15.4. Sicherungskopien. Kundendaten, die sich in Sicherungskopien befinden, werden weder wiederhergestellt noch verwendet und werden gelöscht, wenn diese Kopien ablaufen. Insbesondere laufen Kundendaten, die nach ihrer Löschung aus den aktiven Systemen gemäß Klausel 15.3 noch in den Sicherungskopien der vom Hosting-Anbieter (OVHcloud) verwalteten Datenbank verbleiben, mit diesen Kopien aus, spätestens 2 Tage danach, entsprechend der Aufbewahrung von Sicherungskopien, die dieser Anbieter anwendet (Anhang I, I.2).

15.5. Bescheinigung. Auf Anfrage des Kunden bestätigt Hodeitek ihm die Löschung schriftlich, sobald sie erfolgt ist.

15.6. Gesetzliche Aufbewahrung. Hodeitek bewahrt Kundendaten nach Ablauf dieser Fristen nur auf, wenn eine Vorschrift der Union oder eines Mitgliedstaats dies verlangt, gesperrt und nur für diesen Zweck.

15.7. Wechsel auf kostenpflichtig. Wechselt der Kunde innerhalb der 30 Tage auf kostenpflichtig, bleiben seine Daten im kostenpflichtigen Dienst bestehen. Tut er dies später, beginnt er ohne die Daten der Beta.

16.Audits und Inspektionen

16.1. Erster Weg: Dokumentation. Hodeitek stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. Als ersten Weg legt Hodeitek die gültigen Zertifikate nach ISO/IEC 27001 und nach ENS Kategorie MEDIA von Hodeitek S.L. (ENS-Nr. 34/5704/26/09103; https://hodeitek.com/docs/certificado-ens-34-5704-26-09103.pdf) mit deren Geltungsbereich sowie angemessene Antworten auf einen Sicherheitsfragebogen des Kunden vor.

16.2. Audit. Genügt diese Dokumentation für einen bestimmten Zweck nicht oder verlangt es eine Aufsichtsbehörde, kann der Kunde ein Audit durchführen, selbst oder durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer, unter folgenden Bedingungen: vorherige schriftliche Ankündigung mit angemessenem Vorlauf, höchstens einmal während der Beta, außer bei einer Verletzung des Schutzes personenbezogener Daten oder dem Verlangen einer Behörde, zu den Geschäftszeiten, beschränkt auf das Notwendige und ohne Zugang zu Daten anderer Kunden oder zu Informationen, welche die Sicherheit der Plattform gefährden.

16.3. Jede Partei trägt ihre eigenen Auditkosten.

16.4. Die Beta-Bedingungen untersagen Sicherheitstests an der Plattform, außer durch die Meldung von Schwachstellen an security@hodeitek.com. Ein intrusiver technischer Test im Rahmen eines Audits bedarf einer vorherigen schriftlichen Vereinbarung über seinen Umfang.

17.Pflichten des Kunden

Der Kunde:

• ist für die Rechtmäßigkeit der Verarbeitung der Kundendaten und dafür verantwortlich, die betroffenen Personen informiert zu haben (Art. 13 und 14 DSGVO), und eine Rechtsgrundlage für das Hochladen zu haben;
• informiert die Personen, die die Geräte nutzen, auf denen er den Endpoint-Agenten installiert, darüber, dass der Agent die Konfiguration des Geräts prüft und der Plattform den Gerätenamen, das Betriebssystem, dessen Version und Architektur, die IP-Adressen der Schnittstellen und die Ergebnisse der Prüfungen übermittelt und dass er bei einem Fehler einen Fehlerbericht senden kann (Klausel 2.2), und verfügt dafür über eine Rechtsgrundlage. Hodeitek stellt die Beschreibung dessen, was das Gerät verlässt, in der Dokumentation des Agenten zur Verfügung;
• erteilt Weisungen, die mit der DSGVO im Einklang stehen;
• lädt nur Daten von Lieferanten, Domains und Assets hoch, zu deren Analyse er berechtigt oder ermächtigt ist;
• erfüllt auf dem MSSP-Weg zusätzlich Teil II;
• führt eigene Kopien der Informationen, die er für wichtig hält;
• verwaltet die Konten seiner Nutzer und deren Berechtigungen innerhalb der Plattform sorgfältig.

18.Haftung

18.1. Jede Partei haftet gegenüber den betroffenen Personen nach Art. 82 DSGVO.

18.2. Im Verhältnis zwischen den Parteien haftet jede für die Schäden, die sie der anderen durch Verletzung dieses Vertrags oder der DSGVO zufügt.

18.3. Im Verhältnis zwischen den Parteien ist die Gesamthaftung von Hodeitek für Schäden aus diesem Vertrag, einschließlich des Schutzes personenbezogener Daten, wie folgt begrenzt: (a) solange der Kunde die Plattform in der kostenlosen Beta nutzt, auf die unmittelbaren Schäden, die der Kunde nachweist, wie in den Beta-Bedingungen; und (b) ab dem Wechsel zu einem kostenpflichtigen Tarif auf die Entgelte, die der Kunde in den 12 Monaten vor dem haftungsbegründenden Ereignis an Hodeitek für die Plattform gezahlt hat. In beiden Fällen gilt die Obergrenze nicht bei Vorsatz (dolo) oder grober Fahrlässigkeit (culpa grave). Diese Obergrenze gilt nur zwischen den Parteien und berührt nicht die Rechte der betroffenen Personen gegenüber einer von ihnen nach Art. 82 DSGVO.

19.Vorrang, Änderung und Teilnichtigkeit

19.1. Vorrang. In Datenschutzangelegenheiten geht dieser Vertrag den Beta-Bedingungen vor, wie diese selbst vorsehen, und, aufgrund der Einigung der Parteien in diesem Vertrag, der Zulassungs-E-Mail. Im Übrigen gelten die Beta-Bedingungen.

19.2. Änderung. Dieser Vertrag wird nur durch schriftliche Vereinbarung beider Parteien geändert. Änderungen, die Hodeitek an den Beta-Bedingungen vornimmt, ändern diesen Vertrag nicht. Unberührt bleiben das Verfahren für Unterauftragsverarbeiter (Klausel 10) und die Aktualisierung der Maßnahmen ohne Absenkung des Sicherheitsniveaus (Klausel 9.3).

19.3. Wäre eine Klausel nichtig, bleibt der Rest in Kraft, und die Parteien ersetzen sie durch eine wirksame mit möglichst ähnlicher Wirkung.

20.Anwendbares Recht und Gerichtsstand

Dieser Vertrag unterliegt spanischem Recht. Für jede Streitigkeit unterwerfen sich die Parteien den Gerichten von Donostia-San Sebastián, wie in den Beta-Bedingungen. Dies schränkt die Befugnisse der Aufsichtsbehörden nicht ein.

Teil II. Besondere Klauseln für den MSSP-Weg

Sie gelten, wenn der Kunde als MSSP-Partner unterzeichnet. Sie geben wieder, was die Beta-Bedingungen besagen.

M1. Rolle jeder Partei

• Jeder Endkunde, den der MSSP in die Beta einbindet (im Folgenden „Endkunde“), ist der Verantwortliche für seine Daten.
• Der MSSP handelt als Auftragsverarbeiter des Endkunden.
• Hodeitek handelt als Unterauftragsverarbeiter des MSSP.
• Jeder MSSP kann bis zu 3 Endkunden in die Beta einbinden.

M2. Genehmigung des Endkunden (Art. 28 Abs. 2 DSGVO)

Der MSSP gewährleistet, dass er vor dem Hochladen von Daten eines Endkunden über die vorherige schriftliche Genehmigung dieses Endkunden verfügt, Hodeitek als Unterauftragsverarbeiter in Anspruch zu nehmen, und dass diese Genehmigung die Unterauftragsverarbeiter des Anhangs II umfasst. Der MSSP übergibt Hodeitek auf Anfrage eine Kopie dieser Genehmigung.

M3. Spiegelpflichten (Art. 28 Abs. 4 DSGVO)

Der MSSP erklärt, dass die Datenschutzpflichten des Teils I dieselben sind, die der MSSP in seinem Auftragsverarbeitungsvertrag mit jedem Endkunden hat. Erlegt der Vertrag des MSSP mit einem Endkunden strengere Pflichten auf, die Hodeitek betreffen, teilt der MSSP sie vor dem Hochladen von Daten schriftlich mit, und wenn Hodeitek sie annimmt, werden sie als Anhang einbezogen. Werden sie nicht angenommen, wird dieser Endkunde auf diesem Weg nicht eingebunden.

M4. Kommunikationskette

• Die Weisungen des Endkunden gelangen über den MSSP zu Hodeitek. Der MSSP haftet dafür, dass sie die Weisungen des Endkunden wiedergeben.
• Die Mitteilungen von Hodeitek (Verletzungen des Schutzes personenbezogener Daten, Wechsel von Unterauftragsverarbeitern, Anträge betroffener Personen) werden an den MSSP gesendet, der sie unverzüglich an den Endkunden weiterleitet.
• Widerspruch gegen einen neuen Unterauftragsverarbeiter (Klausel 10.3). Der MSSP leitet die Mitteilung nach Klausel 10.2 an jeden Endkunden so rechtzeitig weiter, dass dieser innerhalb der Frist von 15 Tagen widersprechen kann, und übt den Widerspruch in dessen Namen aus. Bietet Hodeitek keine vertretbare Alternative an, kann sich die Wirkung der Klausel 10.3 (das Programm verlassen und Klausel 15 anwenden) auf den Mandanten dieses Endkunden beschränken, ohne den MSSP oder dessen andere Endkunden zu betreffen.
• Audit (Klausel 16). Das Prüfungsrecht nach Art. 28 Abs. 3 Buchst. h DSGVO erstreckt sich auf den Endkunden: Es wird vom MSSP in dessen Namen oder vom Endkunden selbst ausgeübt, mit den Bedingungen der Klausel 16, und ein von mehreren Endkunden desselben MSSP verlangtes Audit kann gemeinsam durchgeführt werden.
• Wenn der MSSP nicht mehr besteht, zahlungsunfähig wird oder das Programm verlässt, kann sich Hodeitek unmittelbar an den Endkunden wenden, um ihm zu ermöglichen, seine Daten innerhalb der Frist der Klausel 15 zu exportieren oder zu löschen.

M5. Ende der Beta des Endkunden

Die Testlizenzen der Endkunden laufen an dem Tag ab, an dem die Beta des MSSP endet. Die 30 Tage der Klausel 15 werden ab diesem Tag für jeden Endkunden gezählt.

M6. Option der direkten Unterzeichnung

Wenn der Endkunde es vorzieht, kann er diesen Vertrag unmittelbar mit Hodeitek auf dem Direktweg unterzeichnen. In diesem Fall ist Hodeitek Auftragsverarbeiter des Endkunden für dessen Daten, die Beziehung des MSSP zu diesen Daten richtet sich nach dem Vertrag zwischen dem MSSP und dem Endkunden, und der Zugriff des MSSP auf den Mandanten des Endkunden ist eine dokumentierte Weisung des Endkunden.

M7. HodeiAI in den Mandanten der Endkunden

• In der Beta übernehmen die vom MSSP eingebundenen Endkunden die Beta-Bedingungen, einschließlich des standardmäßig aktivierten HodeiAI in ihren Mandanten (Klausel 6.4). Der MSSP entscheidet für sie.
• Die dokumentierte Weisung, HodeiAI in diesen Mandanten aktiviert zu lassen, erteilt der MSSP als Auftragsverarbeiter seines Endkunden (des Verantwortlichen), und Hodeitek handelt als Unterauftragsverarbeiter.
• Der MSSP holt von jedem Endkunden vor dem Hochladen von Daten die allgemeine schriftliche Genehmigung (Art. 28 Abs. 2 DSGVO) für Hodeitek und seine Unterauftragsverarbeiter, einschließlich des KI-Anbieters, ein. Den Endkunden zu informieren genügt nicht: Ohne diese vorherige Genehmigung lädt der MSSP dessen Daten nicht hoch. Die Genehmigung (M2) muss ausdrücklich umfassen, dass HodeiAI standardmäßig aktiviert ist, dass es Inhalte an den Unterauftragsverarbeiter OVH SAS über OVHcloud AI Endpoints (KI-Inferenz; Anhang II, Zeile 7) sendet und dass der Administrator des Endkunden es unter Einstellungen, Bereich HodeiAI, deaktivieren kann.
• Die Spiegelpflichten nach Art. 28 Abs. 4 DSGVO (M3) erstrecken sich auf diese Verarbeitung: Der MSSP haftet dafür, dass sein Vertrag mit jedem Endkunden diese Kette von Unterauftragsverarbeitern zulässt.
• Deaktiviert ein Administrator des Endkunden HodeiAI, sendet Hodeitek aus diesem Mandanten keine Anfragen mehr an den Unterauftragsverarbeiter.
• Der MSSP kann dies ändern, und es wird im Verlauf des Kunden festgehalten: Der org_admin des MSSP handelt auf den Mandanten seiner Kunden, org_admin kann die Einstellung von HodeiAI ändern, und die Änderung wird im Verlauf des Mandanten mit dem Urheber festgehalten.

M8. Aggregierte Kennzahlen und Name der Endkunden

• Die Weisung der Klausel 6.5 für die Daten der Endkunden erteilt der MSSP als Auftragsverarbeiter seines Endkunden, mit Hodeitek als Unterauftragsverarbeiter, und der MSSP gewährleistet, dass sein Vertrag mit jedem Endkunden ihm dies erlaubt (M3).
• Bei den Zahlen der Klausel 6.5 zählt jeder Endkunde als eine vom MSSP verschiedene Organisation. Eine Zahl, bei der alle Organisationen bis auf eine der MSSP und seine Endkunden sind, wird nicht verwendet, weil der MSSP, der die Daten seiner Endkunden sieht, die Daten der übrigen Organisation ableiten könnte.
• Das Nennen oder Identifizieren eines Endkunden (Klausel 6.6) erfordert die gesonderte Einwilligung dieses Endkunden; die des MSSP genügt nicht. Die Verweigerung oder der Widerruf berührt weder die Teilnahme des Endkunden noch die des MSSP.

M9. Information der Nutzer der Geräte

Vor der Installation des Endpoint-Agenten auf Geräten eines Endkunden stellt der MSSP sicher, dass dieser Endkunde, der für seine Daten Verantwortlicher ist (M1), die Personen, die diese Geräte nutzen, über das informiert hat, was Klausel 17 zum Agenten sagt, und dafür über eine Rechtsgrundlage verfügt. Der MSSP kann ihnen diese Information im Namen des Endkunden erteilen, wenn dieser ihn damit beauftragt. Hodeitek stellt die Beschreibung dessen, was das Gerät verlässt, in der Dokumentation des Agenten zur Verfügung.

Anhang I. Technische und organisatorische Maßnahmen

Dieser Anhang beschreibt in allgemeiner Form die Kategorien technischer und organisatorischer Maßnahmen, die Hodeitek auf die Kundendaten anwendet, und behauptet nicht, was er nicht belegen kann. Die detaillierte technische Beschreibung dieser Maßnahmen steht Kunden auf Anfrage zur Verfügung, per E-Mail an privacy@hodeitek.com.

Zertifizierter Rahmen

• Hodeitek S.L. (das Unternehmen) ist nach ISO/IEC 27001 und nach dem Nationalen Sicherheitsschema (ENS), Kategorie MEDIA, zertifiziert, mit einem Geltungsbereich, der den SaaS-Dienst HodeiShield einschließt.
• HodeiShield besitzt weder eine CPSTIC-Qualifizierung noch eine Produktzertifizierung. Dieser Anhang behauptet keine von beiden.

Isolation zwischen Kunden

• Die Daten jedes Kunden sind in der Datenbank von denen anderer Kunden getrennt, und Abfragen laufen im Kontext des Kunden, zu dem sie gehören.
• Diese Maßnahme schützt vor einem Fehler der Anwendung, der das Filtern nach Kunde vergisst. Sie ist keine Barriere gegenüber jemandem, der die ausgeführten Abfragen wählen kann; deshalb wird sie mit der Zugriffskontrolle und dem Auditprotokoll kombiniert.

Verschlüsselung bei der Übertragung

• Der gesamte Datenverkehr der Konsole wird mit TLS verschlüsselt. Cloudflare beendet TLS am Netzwerkrand (Anhang II), und der Ursprungsserver akzeptiert nur authentifizierte Verbindungen von Cloudflare.
• Die Anwendung verbindet sich mit der verwalteten Datenbank über TLS und prüft das Serverzertifikat.
• Der Endpoint-Agent sendet Daten nur über verschlüsselte Verbindungen.

Verschlüsselung und Schutz von Geheimnissen im Ruhezustand

• Passwörter werden mit einem dafür vorgesehenen Hash-Verfahren gespeichert, nie im Klartext.
• Material des zweiten Faktors, private Signaturschlüssel für Sitzungen und Geheimnisse von Integrationen (zum Beispiel SSO, OAuth oder Webhooks) werden verschlüsselt gespeichert.
• API-Schlüssel werden nur als Hash gespeichert, und ihr geheimer Teil wird nur einmal angezeigt, nämlich bei der Erstellung.
• Der Objektspeicher verschlüsselt Dateien serverseitig.
• Die verwaltete Datenbank verschlüsselt ihre Volumes und Sicherungen, laut der Dokumentation des Infrastrukturanbieters (OVHcloud, Anhang II).

Zugriffskontrolle und Authentifizierung

• Der Zugriff ist rollenbasiert, mit getrennten Lese- und Schreibrechten.
• Der zweite Faktor (TOTP) und Passkeys stehen allen Nutzern zur Verfügung. Der Administrator des Kunden kann den zweiten Faktor über die Mandantenrichtlinie für alle seine Nutzer verlangen; standardmäßig ist er nicht verpflichtend, und Hodeitek empfiehlt dem Kunden, ihn zu aktivieren.
• Anmeldeversuche und Versuche mit dem zweiten Faktor sind begrenzt.
• Sitzungen haben eine maximale Dauer, und ungenutzte Konten werden nach einer Frist gesperrt, die der Kunde anpassen kann.

Datensicherungen

• Die verwaltete Datenbank verfügt über automatische Sicherungen, mit fortlaufender Transaktionsprotokollierung zur Wiederherstellung zu einem Zeitpunkt, betrieben vom Infrastrukturanbieter (OVHcloud, Anhang II) und innerhalb des Europäischen Wirtschaftsraums gehalten.
• Dieser Vertrag verspricht weder Hochverfügbarkeit noch Ziele für Wiederherstellungszeit oder Wiederherstellungspunkt.

Protokollierung und Überwachung

• Aktionen in der Konsole werden in einem Auditprotokoll mit Nutzer, Datum, IP und Browser erfasst.
• Das Protokoll ist nur anfügend: Es erlaubt keine Änderungen, und nur ein eigener Löschprozess kann bereits archivierte Einträge entfernen. Die Einträge werden für eine festgelegte Frist aufbewahrt und danach archiviert.
• Die Fehlerberichte und Protokolle, die die Plattform an den Diagnosedienst sendet (Sentry, Anhang II), durchlaufen einen Filter, der Nutzer, Cookies und Anfrage-Header entfernt und Geheimnisse, Token, E-Mail-Adressen und IP-Adressen schwärzt.
• Dieser Filter erkennt keine Personennamen; deshalb behauptet dieser Vertrag bei der Fehlerdiagnose nicht „ohne personenbezogene Daten“. Der Endpoint-Agent meldet nur Fehler und Ausfälle und schwärzt seine Kennungen vor dem Senden.

Minimierung und Pseudonymisierung

• Der Endpoint-Agent erhebt nur die technischen Mindestdaten des Geräts und erhebt keine Benutzernamen, Seriennummern oder MAC-Adressen.
• Es gibt automatische Löschungen nach Fristen, darunter der HodeiAI-Verlauf und abgelaufene Sitzungen. Sie umfassen nicht die Löschung der Kundendaten am Ende der Beta, die sich nach diesem Vertrag richtet.
• Bevor Text an den KI-Anbieter gesendet wird (Anhang II), pseudonymisiert die Plattform E-Mail-Adressen, Telefonnummern, Ausweisnummern, IBAN und die Namen aus dem Wörterbuch des Mandanten, in den Abläufen von HodeiAI und der Richtlinienerstellung. Das gilt nicht für jeden Ablauf und erkennt nicht jeden Personennamen, jede Postanschrift oder jede frei formatierte Kennung, die unverändert hinausgehen können.

Integrität und Schwachstellenmanagement

• Die vom Agenten gesendeten Beobachtungen sind signiert, und die Konsole weist diejenigen zurück, die sich nicht verifizieren lassen.
• Abhängigkeiten werden automatisiert aktualisiert, mit einer Wartezeit, bevor neue Versionen übernommen werden. Produktions-Images und Code werden jede Woche mit Schwachstellen- und statischer Analyse neu gescannt, und bei der Veröffentlichung von Images wird eine Software-Stückliste (SBOM) erzeugt.
• Schwachstellen können an security@hodeitek.com gemeldet werden.