Anhang II zum Auftragsverarbeitungsvertrag: Unterauftragsverarbeiter

Liste der Unterauftragsverarbeiter zum Zeitpunkt der Veröffentlichung. Der erste Teil enthält die Unterauftragsverarbeiter, die Kundendaten verarbeiten oder verarbeiten können; der zweite die Dienste mit öffentlichen Daten, die die Plattform abfragt und die keine Unterauftragsverarbeiter sind. Die Spalte „Kundendaten?“ antwortet mit ja, nein oder möglich, samt Begründung. Die Zeilen 5 und 6 (Sentry) werden der Transparenz halber aufgeführt: Hodeitek verarbeitet die Fehlerberichte als Verantwortlicher (Klausel 2.2), und Sentry ist für diese Verarbeitung sein Dienstleister, nicht Unterauftragsverarbeiter des Kunden.

Dieser Anhang ist Teil des Auftragsverarbeitungsvertrags der Beta und ihrer Bedingungen.

1.Erster Teil. Unterauftragsverarbeiter

Nr. und Anbieter: 1. OVHcloud (OVH SAS)
Dienst: Managed Kubernetes, Managed PostgreSQL und Object Storage; technische Protokolle in OVHcloud Logs Data Platform (Graylog, GELF über TLS). KI-Inferenz durch dieselbe Einheit (OVHcloud AI Endpoints) wird gesondert in Zeile 7 geführt
Zweck: Hosting der Plattform, der Datenbank und der hochgeladenen Dateien
Ort der Verarbeitung: Gravelines, Frankreich (EU); Protokolle in gra2 (Gravelines), Aufbewahrung 1 Jahr
Daten, die er erhält: Alle gespeicherten Kundendaten; in den technischen Protokollen Mandantenkennung, Nutzerkennung, gesalzener Hash der IP-Adresse, Pfad, Land sowie Text und Kontext jeder Zeile
Kundendaten?: Ja. Hostet die Datenbank, die Dateien und die Rechenleistung, wo alle Kundendaten verarbeitet werden
Übermittlungsgarantie: Innerhalb des EWR: keine Übermittlung

Nr. und Anbieter: 2. Aiven Oy (Helsinki, Finnland; Unternehmenskennung 2795743-5), weiterer Unterauftragsverarbeiter (Hodeitek → OVHcloud → Aiven): betreibt den Dienst OVHcloud Managed PostgreSQL. Hodeitek beauftragt OVHcloud, und OVHcloud setzt Aiven ein
Dienst: Plattform, die die verwaltete PostgreSQL von OVHcloud ausführt und von Aiven aus der Ferne betrieben wird.
Zweck: Ausführung der verwalteten Datenbank
Ort der Verarbeitung: EU (Frankreich, Gravelines; die verwalteten Sicherungskopien auch in Straßburg, Frankreich: Anhang I, I.2)
Daten, die er erhält: Dieselben Kundendaten wie die Datenbank der Zeile 1, soweit Aiven Zugriff darauf hat
Kundendaten?: Möglich. Die Datenbank enthält alle Kundendaten, und Aiven muss sie möglicherweise aus der Ferne verarbeiten, um den Dienst zu betreiben
Übermittlungsgarantie: Server in der EU; für jede Verarbeitung außerhalb des EWR Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914, gemäß dem Auftragsverarbeitungsvertrag von Aiven

Nr. und Anbieter: 3. Cloudflare, Inc.
Dienst: DNS, Content Delivery Network, Firewall und TLS-Terminierung; Anti-Bot-Prüfung Turnstile des öffentlichen Trust Centers; API für eigene Domains (Custom Hostnames) der Trust Center
Zweck: Auslieferung und Schutz des Datenverkehrs der Plattform
Ort der Verarbeitung: Globales Netz; Einheit in den Vereinigten Staaten
Daten, die er erhält: Der gesamte Datenverkehr bei der Übertragung, den Cloudflare im Klartext sieht, da es TLS am Rand terminiert und mit gegenseitigem TLS zum Ursprung neu aufbaut (einschließlich der Kundendaten, die in jeder Anfrage übertragen werden), mit IP und technischen Daten des Browsers. Turnstile: das Token und die IP des Besuchers. API für eigene Domains: der Hostname, den der Kunde mit seinem Trust Center verknüpfen will
Kundendaten?: Ja (TLS-Terminierung: sieht den Inhalt der Anfragen). Möglich bei Turnstile (IP von Besuchern des öffentlichen Trust Centers). Nein bei der API für eigene Domains (ein Hostname, grundsätzlich nicht personenbezogen)
Übermittlungsgarantie: EU-U.S. Data Privacy Framework, solange Cloudflare, Inc. als aktiver Teilnehmer geführt wird, und, falls es nicht mehr gilt, Standardvertragsklauseln (Beschluss (EU) 2021/914)

Nr. und Anbieter: 4. Resend (USA; vertragsschließende Einheit: Plus Five Five, Inc. (handelt als Resend), 2261 Market Street #5039, San Francisco, CA, USA, laut DPA und Nutzungsbedingungen des Anbieters, eingesehen am 2026-10-14)
Dienst: API für transaktionale E-Mails, aus n8n aufgerufen
Zweck: Versand der E-Mails der Plattform: Einladungen, Warnmeldungen, Hinweise, Einladungen zu Fragebögen und Schwachstellenhinweise an Lieferanten
Ort der Verarbeitung: Vereinigte Staaten (Hauptverarbeitung laut DPA); Versandregion: eu-west-1 (Irland), über die API von Resend gemessen und von der Konsole erfasst (2026-10-14). Amazon Web Services, Inc. ist auf der Seite der Unterauftragsverarbeiter von Resend (aktualisiert am 27-08-2026, überprüft am 2026-10-06) als Hosting- und Versandanbieter aufgeführt
Daten, die er erhält: E-Mail-Adresse und Name des Empfängers (Nutzer des Kunden und Ansprechpartner von Lieferanten) und Inhalt des Hinweises
Kundendaten?: Ja. Erhält Name und E-Mail-Adresse von Personen und den Text der Hinweise, die Daten des Kunden enthalten
Übermittlungsgarantie: Resend ist ein US-amerikanisches Unternehmen, und sein DPA gibt an, dass seine Hauptverarbeitung in den USA erfolgt (Klausel 6.1). Garantien nach diesem DPA: Standardvertragsklauseln des Beschlusses (EU) 2021/914, Modul zwei und, wenn der Kunde Auftragsverarbeiter ist, Modul drei (Klausel 6.2), und erklärter Beitritt zum EU-U.S. DPF (Klausel 11.1)

Nr. und Anbieter: 5. Functional Software, Inc. (Sentry), für die Konsole, die öffentliche API und den MCP-Server (Dienstleister von Hodeitek als Verantwortlichem; kein Unterauftragsverarbeiter des Kunden)
Dienst: Fehlerüberwachung (Browser, Server und Edge der Konsole; öffentliche API und MCP-Server)
Zweck: Diagnose technischer Fehler der Plattform, eigener Zweck von Hodeitek als Verantwortlichem (Klausel 2.2)
Ort der Verarbeitung: Speicherung in der EU-Region von Sentry. Mögliche Zugriffe aus den USA durch Functional Software, Inc.
Daten, die er erhält: Gefilterte Fehlerberichte (ohne Nutzer, Cookies und Header; E-Mail-Adressen, IP und Geheimnisse im Text geschwärzt); gesampelte Performance-Traces; Protokolle der Anwendung mit einer geschlossenen Liste von Attributen (Mandant, Anfrage, Land, Pfad, Status), ohne Nutzerkennung und Hash der IP; Bildschirmwiedergabe nur bei Fehler und maskiert. Siehe Detail unten
Kundendaten?: Nicht als Unterauftragsverarbeiter: Hodeitek verarbeitet diese Berichte als Verantwortlicher (Klausel 2.2). Möglich. Der Freitext von Meldungen und Traces kann Namen oder Daten des Kunden enthalten, die der Filter nicht erkennt (er entfernt E-Mail-Adressen, IP, Tokens und Geheimnisse, keine Namen). Die geschlossene Liste von Attributen der Protokolle enthält keine Daten von Personen
Übermittlungsgarantie: Speicherregion: keine Übermittlung. Zugriffe aus den USA: EU-U.S. DPF und, falls nicht anwendbar, Standardvertragsklauseln, Module 2 und 3, nach dem öffentlichen DPA von Sentry v5.1.0 (29-05-2024), https://sentry.io/legal/dpa/

Nr. und Anbieter: 6. Functional Software, Inc. (Sentry), für den Endpoint-Agenten (Dienstleister von Hodeitek als Verantwortlichem; kein Unterauftragsverarbeiter des Kunden)
Dienst: Fehlerüberwachung des auf den Geräten des Kunden installierten Agenten
Zweck: Diagnose von Ausfällen des Agenten, eigener Zweck von Hodeitek als Verantwortlichem (Klausel 2.2)
Ort der Verarbeitung: EU-Region von Sentry. Mögliche Zugriffe aus den USA wie in der vorigen Zeile
Daten, die er erhält: Nur Fehler und Ausfälle: gefilterte Meldung und Trace, Version, Umgebung, Betriebssystem und Kernel-Version, Architektur. Die IP der Verbindung des Geräts erreicht die Server von Sentry; mit der Projektoption, die das Speichern der IP verhindert, und der Datenbereinigungsregel von Sentry, die den abgeleiteten Standort entfernt, behält das gespeicherte Ereignis weder die IP noch die Stadt (gemessen am 2026-10-06). Diese Regel ist Konfiguration von Sentry und kein Code
Kundendaten?: Nicht als Unterauftragsverarbeiter: Hodeitek verarbeitet diese Berichte als Verantwortlicher (Klausel 2.2). Möglich. Die Beobachtungen des Agenten gehen nicht an Sentry, und der Name des Geräts und des Kontos werden geschwärzt, aber der Text eines Fehlers kann Daten enthalten, die der Filter nicht erkennt; die IP der Verbindung erreicht Sentry, auch wenn sie nicht gespeichert wird
Übermittlungsgarantie: Wie in der vorigen Zeile

Nr. und Anbieter: 7. OVH SAS (Frankreich), dieselbe Einheit wie in Zeile 1
Dienst: OVHcloud AI Endpoints (KI-Inferenz), eine zu OpenAI kompatible API, über n8n, in den fünf Abläufen mit Modell: HodeiAI, virtueller CISO, Verfassen von Richtlinien (die Abdeckungsanalyse erreicht das Modell nicht), Risikoanalyse von Lieferanten-Scans und Klassifizierung regulatorischer Neuerungen (siehe Detail unten). Servicebedingungen: Anlage 10 („AI Endpoints“) der Besonderen Bedingungen für Public-Cloud-Dienste von OVHcloud (OVHcloud Public Cloud, Appendix 10 (26-08-2026), pp. 52-53). Unterauftragsverarbeiter von OVH: die seines eigenen Auftragsverarbeitungsvertrags; Anlage 10 erwähnt sie nicht
Zweck: HodeiAI, virtueller CISO, Berichte, Verfassen von Richtlinien und Teil der Risikoanalyse der Lieferanten-Scans
Ort der Verarbeitung: EU (Frankreich, Gravelines, laut der Dienstdokumentation von OVH), Dienstseite aktualisiert am 03-02-2026, nicht vertraglich; der Vertrag legt keine Region fest. Nach dem Vertrag speichert der Dienst die Anfragen oder die Daten nicht, auch nicht vorübergehend, außer bei der Batch-API, die HodeiShield nicht nutzt, und OVHcloud verwendet sie nicht wieder, auch nicht zum Training von Modellen (OVHcloud Public Cloud, Appendix 10 (26-08-2026), pp. 52-53). Eigene Aufbewahrung der Konversationen durch Hodeitek: 90 Tage
Daten, die er erhält: HodeiAI und virtueller CISO: die Frage, die letzten 20 Nachrichten, der Kontext des Mandanten und die Ergebnisse der Werkzeuge, die der Agent abfragt (Lieferanten, Risiken, Nachweise, Compliance), pseudonymisiert. Richtlinien: der Rahmen, die Kategorie, der Ton, die Sprache und der Name der Organisation zum Verfassen der Richtlinie, pseudonymisiert. Lieferanten-Scans: Domain, Typ, Bewertung, Befunde und Daten von Shodan im Klartext, mit nur einer Ersetzung nach Mustern für E-Mail, Telefon, IBAN und DNI/NIE. Regulatorische Neuerungen: nur öffentliche Quellen
Kundendaten?: Ja, solange der Mandant HodeiAI aktiviert hat (alle Abläufe außer regulatorischen Neuerungen hängen von diesem Schalter ab). Nein bei der Klassifizierung regulatorischer Neuerungen (nur öffentliche Texte)
Übermittlungsgarantie: Innerhalb des EWR: OVH SAS hat seinen Sitz in Frankreich, und der Standort des Dienstes ist die EU (Frankreich, Gravelines, laut der Dienstdokumentation von OVH); es gibt keine internationale Übermittlung.

Nr. und Anbieter: 8. Microsoft Corporation (Microsoft 365), mit Microsoft Ireland Operations Ltd. als Vertreter im EWR
Dienst: Postfächer für Support, Sicherheit und Datenschutz (info@hodeitek.com, security@hodeitek.com, privacy@hodeitek.com)
Zweck: Support-Anfragen und Sicherheitsmitteilungen per E-Mail bearbeiten
Ort der Verarbeitung: Irland (EU), innerhalb des EWR (EU Data Boundary); punktuelle Zugriffe von Microsoft Corporation (USA)
Daten, die er erhält: Nur das, was der Kunde in der Nachricht schreibt oder anhängt, wenn er über diesen Kanal Kundendaten sendet; außerdem E-Mail-Adresse und Name des Absenders
Kundendaten?: Möglich. Der Support per E-Mail kann Kundendaten erhalten, wenn der Teilnehmer sie einfügt oder anhängt
Übermittlungsgarantie: Innerhalb des EWR für die Speicherung; punktuelle Zugriffe aus den USA stützen sich auf das EU-U.S. DPF und hilfsweise auf die Standardvertragsklauseln

Nr. und Anbieter: 9. UptimeRobot s. r. o. (Bratislava, Slowakei, EU)
Dienst: Statusseite und E-Mail-Benachrichtigungen über Vorfälle und Wartungsarbeiten an alle, die sich anmelden: status.hodeishield.com, eine öffentliche Statusseite von UptimeRobot, mit den Vorfällen und Mitteilungen, die Hodeitek veröffentlicht
Zweck: Den Zustand des Dienstes und Vorfälle melden und jeden, der sich anmeldet, per E-Mail benachrichtigen
Ort der Verarbeitung: Primär in der EU und sekundär in den USA, in Rechenzentren, die von seinen Unterauftragsverarbeitern betrieben werden (Auftragsverarbeitungsvertrag von UptimeRobot, Anhang 1 und Klausel 11.1)
Daten, die er erhält: Wenn sich jemand für die Benachrichtigungen anmeldet, seine E-Mail-Adresse, die UptimeRobot in seiner Datenbank speichert und die der Inhaber der Seite nicht einsehen kann (Datenschutzerklärung von UptimeRobot); bei Besuchern der Seite die IP-Adresse und Nutzungsprotokolle (Auftragsverarbeitungsvertrag, Anhang 1). Die Monitore prüfen nur öffentliche Adressen der Plattform
Kundendaten?: Möglich. Ein Abonnent kann ein Nutzer des Kunden sein; die Seite erhält keine Daten des Mandanten.
Übermittlungsgarantie: Die Einheit sitzt in der EU. Für das, was in den USA oder anderen Drittländern verarbeitet wird, gelten Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), Modul zwei oder drei je nach Rolle des Kunden (Auftragsverarbeitungsvertrag von UptimeRobot, Klauseln 11.2 und 11.3). UptimeRobot erklärt keinen Beitritt zum EU-U.S. DPF

2.Vom Kunden gewählte Ziele (keine Unterauftragsverarbeiter)

Die Dienste, an die der Kunde auf eigene Rechnung Daten leitet, sind keine Unterauftragsverarbeiter von Hodeitek: die Ziele für Warnmeldungen (Slack, Microsoft Teams, PagerDuty, Opsgenie, eigene Webhooks, SIEM im CEF-Format, Jira und ServiceNow) und die Identitätsanbieter für das Single Sign-on (Google, Microsoft Entra, Okta, OneLogin oder ein eigener). Der Kunde wählt das Ziel, konfiguriert es und verantwortet es; Hodeitek sendet nur, was der Kunde konfiguriert. Der Hinweis der Konsole sagt dasselbe.

3.Stripe und Holded: stehen in der Liste der Konsole und erhalten keine Kundendaten

Stripe und Holded sind Auftragsverarbeiter von Hodeitek für den Zahlungseinzug und die Rechnungsstellung des Abonnements, nur wenn es online gebucht wird. Sie erhalten nur Abrechnungsdaten, die Hodeitek als Verantwortlicher verarbeitet, und nichts aus dem Arbeitsbereich (Lieferanten, Nachweise, Nutzer). Sie sind keine Unterauftragsverarbeiter dieses Vertrags und haben daher keine Zeile im ersten Teil. Die Abrechnung ist ausgeschaltet, solange BILLING_ENABLED nicht true ist, und die Beta ist kostenlos.

4.Zweiter Teil. Quellen öffentlicher Daten (keine Unterauftragsverarbeiter)

Diese Liste unterscheidet sich vom ersten Teil. Die Konsole stellt sie gesondert dar, als „Öffentliche Sicherheitsquellen und Logo-Dienst“: Dienste mit öffentlichen Daten, an die die Automatisierungs-Engine (n8n) Kennungen dessen sendet, was analysiert wird, keine Nutzerkonten. Sie sind keine Unterauftragsverarbeiter. Sie werden angegeben, damit der Kunde weiß, was die Plattform verlässt: Eine Unternehmensdomain ist in der Regel kein personenbezogenes Datum, sie ist es aber, wenn sie eine natürliche Person identifiziert, und die Gesamtheit des Abgefragten offenbart, welche Lieferanten und welche Software der Kunde nutzt. Dieser Vertrag gibt nicht an, wo diese Dienste Daten verarbeiten: Sie sind keine Unterauftragsverarbeiter und erhalten nur, was die Tabelle angibt.

Zweiter Teil. Quellen öffentlicher Daten (keine Unterauftragsverarbeiter)
Quelle	Wozu sie abgefragt wird	Was sie erhält	Personenbezogene Daten?
Shodan (`api.shodan.io`)	Messung der öffentlichen Exposition der Lieferanten des Kunden (Auflösung von DNS und öffentliche Daten des Servers), auch beim öffentlichen Domain-Scan, mit einer Zugangsdatei von Hodeitek	Die Domain des Lieferanten und die IP-Adresse, auf die sie aufgelöst wird, beim Scannen eines Lieferanten des Kunden und bei den geplanten Wiederholungs-Scans	Möglich, nur wenn die Domain eine natürliche Person identifiziert (zum Beispiel einen Selbstständigen). Offenbart, welche Lieferanten der Kunde analysiert
Have I Been Pwned (`haveibeenpwned.com`)	Feststellen, ob eine Domain eines Lieferanten in öffentlichen Datenpannen auftaucht, über den öffentlichen Katalog der Datenpannen (`/api/v3/breaches?Domain=`)	Nur die Domain des Lieferanten (Parameter `Domain`) und der Header `user-agent: HodeiShield/1.0`. Es wird keine E-Mail-Adresse und kein anderes personenbezogenes Datum von Kunden gesendet.	Möglich, nur wenn die Domain eine natürliche Person identifiziert. Deshalb ist sie kein Auftragsverarbeiter: Sie erhält keine personenbezogenen Daten von Kunden im Auftrag von Hodeitek
OSV.dev (`api.osv.dev`)	Abgleich der Komponenten der vom Kunden hochgeladenen SBOM mit bekannten Schwachstellen	Die Paketkennung (purl: Name, Version und Ökosystem) jeder Komponente, ohne den Mandanten, der sie hochgeladen hat	Nein. Es sind aber vertrauliche Informationen des Kunden (welche Software er oder sein Lieferant nutzt)
Logo.dev (`img.logo.dev`)	Abruf des Logos eines Lieferanten, Herausgebers oder Konnektors	Die Domain des Lieferanten, des Herausgebers oder des Konnektors	Möglich, nur wenn die Domain eine natürliche Person identifiziert
NVD (`services.nvd.nist.gov`)	Suche nach CVE der Software-Assets (REST-API 2.0, nach CPE)	Der CPE-Name des Softwareprodukts des Assets (Anbieter, Produkt, Version), im Parameter `cpeName`, ohne den Mandanten	Bestandsinformation des Kunden (welche Software er nutzt), von gleicher Art wie die Kennungen, die OSV.dev erhält.
FIRST EPSS (`api.first.org`)	Abruf der Ausnutzungswahrscheinlichkeit jeder CVE	Die CVE-Kennungen	Nein
CISA (Katalog bekannter ausgenutzter Schwachstellen)	Herunterladen einer öffentlichen Liste	Nichts vom Kunden	Nein
Regulatorische Bulletins (BOE, EUR-Lex, EZB, EBA, ESMA, EDSA, Europäische Kommission und INCIBE)	Herunterladen öffentlicher Listen zur Klassifizierung regulatorischer Neuerungen	Nichts vom Kunden	Nein

5.Detail zu OVHcloud AI Endpoints

Detail zu OVHcloud AI Endpoints
Ablauf	Hängt vom Schalter HodeiAI ab	Pseudonymisiert	Kundendaten
HodeiAI und seine Berichte, Zusammenfassung des Dashboards und Antworten des Trust Centers	Ja	Ja, die Anfrage und die Ergebnisse der Werkzeuge	Ja
Virtueller CISO	Ja	Ja	Ja
Verfassen von Richtlinien	Ja	Ja	Ja
Analyse der Abdeckung von Richtlinien	Ja	Ja (gelangt pseudonymisiert zu n8n)	Erreicht OVHcloud AI Endpoints nicht
Risikoanalyse von Lieferanten-Scans	Ja, über die Markierung `ai_analysis`	Nein: Anfrage ohne Pseudonymisierung, nur Ersetzung nach Mustern im Text, den das Modell erhält	Ja: Domain, Befunde und Daten von Shodan des Lieferanten
Klassifizierung regulatorischer Neuerungen	Nein (öffentlicher Text)	Nicht nötig	Nein: nur öffentliche Quellen

6.Detail zu Sentry

Konsole, öffentliche API und MCP-Server:

sendDefaultPii: false im Browser, im Server, im Edge, in der API und im MCP-Server.
Filter beforeSend: löscht den Nutzer, die Cookies und die Header der Anfrage; in Server und Edge löscht er zusätzlich Schlüssel mit dem Namen eines personenbezogenen Datums in extra und tags, und schwärzt am Ende Formen von Geheimnissen, Tokens in URLs, E-Mail-Adressen und IP-Adressen im Text. Er erkennt keine Namen von Personen innerhalb des Textes eines Fehlers.
An Sentry gesendete Protokolle (enableLogs: true): eine geschlossene Liste von Attributen (tenantId, requestId, cfRay, country, component, level, route, durationMs, statusCode, method, status, errorCode), nur als Text, Zahl oder Boolescher Wert; alles andere wird verworfen, und die Meldung und die Texte laufen durch den Filter für Geheimnisse und E-Mail-Adressen. Die Nutzerkennung und der gesalzene Hash der IP gehen nicht an Sentry; sie gehen an die internen Protokolle und an OVHcloud Logs Data Platform (Zeile 1).
Sitzungswiedergabe: nie in normalen Sitzungen; in der Produktion nur bei einem Fehler, mit maskAllText, maskAllInputs und blockAllMedia und mit Sperrung der Elemente mit Zugangslinks.
Gesampelte Performance-Traces (10 % in der Produktion in Browser und Edge; Sampling nach Route im Server) und Server-Profile zu 10 %.
Versand aus dem Browser über ein eigenes Relay (POST /monitoring), das nur an einen Ingest-Host in der EU und an die Projekte der Positivliste weiterleitet und die Header des Browsers nicht an das Ziel weitergibt (nur den Inhaltstyp und die Kodierung), sodass Sentry die IP des Servers der Konsole sieht und nicht die des Nutzers.
Die öffentliche API (api/) und der MCP-Server senden nur Fehler, ohne Anfrage, Nutzer, Breadcrumbs oder Protokolle, ebenfalls über das Relay; ohne befüllten Projektschalter lehnt das Relay sie ab.
Wie es deaktiviert wird: nur Hodeitek kann dies im Deployment tun. Sentry sendet nichts mit SENTRY_ENVIRONMENT=development, aber der Start in der Produktion verlangt einen konfigurierten DSN, und der DSN des Browsers wird beim Kompilieren des Images festgelegt. Es gibt keinen Schalter je Kunde.

Agent:

Der DSN wird beim Kompilieren der offiziellen Binärdateien aus einem CI-Secret eingebunden; deshalb melden die veröffentlichten Binärdateien standardmäßig.
Er sendet nur Fehler, Panics und bestimmte interne Anomalien des Agenten; ohne Sitzungen, Traces, Protokolle oder Metriken.
Wie es deaktiviert wird, in den veröffentlichten Versionen `v2.12.2` und `v2.12.3`: (1) Markerdatei /etc/hodei-shield/telemetry-off unter Linux und macOS oder %ProgramData%\Hodei-Shield\telemetry-off unter Windows, die Vorrang vor jedem DSN hat und Aktualisierungen übersteht; (2) HODEI_SENTRY_DSN mit dem Wert off, false, 0, no, none, disabled oder leer. Dies ist in den Installationsanleitungen des Agenten dokumentiert. Unter Windows sieht der Dienst eine neue Maschinenvariable erst nach einem Neustart des Geräts, weshalb die Markerdatei empfohlen wird.
In `v2.12.1` gibt es keine Markerdatei: Die Deaktivierung war eine Variable HODEI_SENTRY_DSN mit einem Wert, der kein gültiger DSN ist (zum Beispiel off), und der Name des Geräts konnte im Text der Breadcrumbs mitgesendet werden.
Ungefährer Standort: Sentry leitet Land und Stadt aus der IP der Verbindung ab, nachdem das Ereignis das Gerät verlassen hat; kein Code des Agenten kann dies verhindern. Die Datenbereinigungsregel des Projekts hodeishield-agent, die sie entfernt, ist Konfiguration von Sentry, gemessen am 2026-10-06, kein Code.
Die in Windows geladenen Module werden nach Dateiname und Debug-Kennung gesendet, ohne Verzeichnis.