Zusatzvereinbarung zur Datenverarbeitung im SecureChain-Portal

Gültig ab: 15. Oktober 2026

Dieser Zusatz zur Datenverarbeitung für das SecureChain-Portal („DPA“) ist Bestandteil der Nutzungsbedingungen für das SecureChain-Portal, der Lizenzvereinbarung für das SecureChain-Portal sowie aller Bestellungen oder sonstigen schriftlichen oder elektronischen Vereinbarungen zwischen TuxCare, Inc. („TuxCare“) und dem Kunden von TuxCare, der die Hauptvereinbarung („Kunde“) für das SecureChain-Portal, die zugehörige CLI und die Einreichungsworkflows (zusammenfassend als „Dienst“ bezeichnet) akzeptiert (die „Hauptvereinbarung“). Alle hierin nicht definierten Begriffe in Großbuchstaben haben die im Hauptvertrag festgelegte Bedeutung. Sowohl der Kunde als auch TuxCare können hierin als „Partei“ und gemeinsam als die „Parteien“ bezeichnet werden.

Im Zusammenhang mit dem Dienst gehen die Parteien davon aus, dass TuxCare bestimmte personenbezogene Daten, für die der Kunde gemäß den geltenden Datenschutzgesetzen gegebenenfalls als Verantwortlicher oder Auftragsverarbeiter fungiert, außerhalb des Europäischen Wirtschaftsraums („EWR“), der Schweiz und des Vereinigten Königreichs („UK“) verarbeiten kann.

Die Parteien haben vereinbart, diese Datenschutzvereinbarung abzuschließen, um sicherzustellen, dass angemessene Schutzmaßnahmen zum Schutz dieser personenbezogenen Daten gemäß den geltenden Datenschutzgesetzen getroffen werden.

Im Rahmen der Erbringung der Dienstleistung für den Kunden gemäß dem Rahmenvertrag kann TuxCare personenbezogene Daten im Auftrag des Kunden verarbeiten. TuxCare verpflichtet sich, die folgenden Bestimmungen in Bezug auf alle personenbezogenen Daten einzuhalten, die vom Kunden oder für den Kunden an TuxCare übermittelt oder vom Kunden oder für den Kunden unter Nutzung der Dienstleistung erhoben und verarbeitet werden.

1. BEGRIFFSBESTIMMUNGEN

„Anwendbare Datenschutzgesetze“ bezeichnet alle weltweit geltenden Gesetze, Vorschriften und Bestimmungen zum Datenschutz, zur Datensicherheit und zur Cybersicherheit, die von Zeit zu Zeit in Kraft sind, einschließlich, aber nicht beschränkt auf (i) die EU-Datenschutz-Grundverordnung 2016/679, (ii) das Schweizer Bundesgesetz über den Datenschutz vom 25. September 2020, das seit dem 1. September 2023 in Kraft ist („FADP“), und (iii) in Bezug auf das Vereinigte Königreich die DSGVO, da diese gemäß Abschnitt 3 des European Union (Withdrawal) Act 2018 und des Data Protection Act 2018 Bestandteil des britischen Rechts ist.

„Kundendaten“ bezeichnet Daten, die der Kunde oder seine Nutzer an den Dienst übermitteln, einschließlich der Übermittlung an einen Arbeitsbereich oder über die CLI, sowie Daten, die der Dienst daraus ableitet, wie in den Nutzungsbedingungen für das SecureChain-Portal und der SecureChain-Portal-Lizenzvereinbarung näher definiert.

„Personenbezogene Daten des Kunden“ bezeichnet personenbezogene Daten, die in den Kundendaten enthalten sind und die TuxCare im Auftrag des Kunden verarbeitet.

„Datenschutzrahmen“ bezeichnet den EU-US-Datenschutzrahmen, die britische Erweiterung des EU-US-Datenschutzrahmens sowie das vom US-Handelsministerium betriebene Selbstzertifizierungsprogramm im Rahmen des Schweizer-US-Datenschutzrahmens.

„Dokumentierte Anweisungen“ hat die in Ziffer 2.12 angegebene Bedeutung.

„DSGVO“ bezeichnet die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr).

„Personenbezogene Daten“ bezeichnet alle Informationen über eine identifizierte oder identifizierbare natürliche Person, die sich auf eine bestimmte natürliche Person beziehen, diese beschreiben, mit ihr in Verbindung gebracht werden können oder direkt oder indirekt mit ihr verknüpft werden könnten, wie in den geltenden Datenschutzgesetzen definiert, und auf die TuxCare im Rahmen der Erbringung der Dienstleistung für den Kunden zugreift, die speichert oder anderweitig verarbeitet.

Die Begriffe „Verarbeitung“, „Verantwortlicher“, „betroffene Person“, „Aufsichtsbehörde“ und „Auftragsverarbeiter“ haben die in den geltenden Datenschutzgesetzen festgelegte Bedeutung.

„Eingeschränkte Übermittlung“ bezeichnet: (i) sofern die DSGVO gilt, eine Übermittlung personenbezogener Daten über den Dienst aus dem EWR – entweder direkt oder durch Weiterübermittlung – in ein Land oder an einen Empfänger außerhalb des EWR, für das bzw. den keine Angemessenheitsentscheidung der Europäischen Kommission vorliegt; (ii) sofern die britische DSGVO gilt, eine Übermittlung personenbezogener Daten über den Dienst aus dem Vereinigten Königreich, entweder direkt oder durch Weiterübermittlung, an ein Land oder einen Empfänger außerhalb des Vereinigten Königreichs, die nicht auf Angemessenheitsvorschriften gemäß Abschnitt 17A des britischen Datenschutzgesetzes von 2018 beruht; und (iii) eine Übermittlung personenbezogener Daten über den Dienst aus der Schweiz, entweder direkt oder durch Weiterübermittlung, an ein Land oder einen Empfänger außerhalb des EWR und/oder der Schweiz, das bzw. der keiner Angemessenheitsfeststellung der Europäischen Kommission unterliegt.

„SCC“ bezeichnet: (i) sofern die DSGVO Anwendung findet, die Vertragsklauseln im Anhang zum Durchführungsbeschluss 2021/914 der Europäischen Kommission vom 4. Juni 2021 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer („EU-SCCs“); (ii) sofern die britische DSGVO gilt, die verabschiedeten Standarddatenschutzklauseln („UK SCCs“); und (iii) sofern personenbezogene Daten aus der Schweiz in Länder außerhalb der Schweiz oder des EWR übermittelt werden, die EU-SCCs in der gemäß den Leitlinien der Schweizer Datenschutzbehörde geänderten Fassung („Schweizer SCCs“).

„Unterauftragsverarbeiter“ bezeichnet jeden Dritten, der von TuxCare beauftragt wurde, personenbezogene Daten von Kunden im Auftrag von TuxCare im Zusammenhang mit der Erbringung des Dienstes zu verarbeiten, einschließlich aller Dritten, die von einem solchen Unterauftragsverarbeiter beauftragt wurden.

„UK-Zusatz“ bezeichnet den Zusatz zur internationalen Datenübermittlung zu den EU-Standardvertragsklauseln, ein vom britischen Information Commissioner’s Office (ICO) entwickeltes Rechtsinstrument.

„Datenschutzgesetze der US-Bundesstaaten“ bezeichnet alle in den Vereinigten Staaten von Amerika geltenden Gesetze der einzelnen Bundesstaaten zum Schutz und zur Verarbeitung personenbezogener Daten, darunter unter anderem den California Consumer Privacy Act in der durch den California Privacy Rights Act geänderten Fassung sowie dessen Durchführungsbestimmungen („CCPA“), den Colorado Privacy Act, den Connecticut Data Privacy Act und den Delaware Personal Data Privacy Act.

Für die Zwecke von Ziffer 7 haben die Begriffe „Dienstleister“, „Auftragsverarbeiter“, „verkaufen“ und „weitergeben“ die in den Datenschutzgesetzen der US-Bundesstaaten festgelegten Bedeutungen.

2. STATUS DER PARTEIEN

2.1 Die Art der gemäß dieser Datenschutzvereinbarung verarbeiteten personenbezogenen Daten sowie Gegenstand, Dauer, Art und Zweck der Verarbeitung und die Kategorien der betroffenen Personen sind in Anhang 1 beschrieben.

2.2 Jede Partei gewährleistet in Bezug auf personenbezogene Daten, dass sie die geltenden Datenschutzgesetze einhält (und dafür sorgt, dass ihre Mitarbeiter diese einhalten, sowie wirtschaftlich angemessene Anstrengungen unternimmt, um sicherzustellen, dass ihre Unterauftragsverarbeiter diese einhalten). Im Verhältnis zwischen den Parteien trägt der Kunde die alleinige Verantwortung für die Richtigkeit, Qualität und Rechtmäßigkeit der personenbezogenen Daten sowie für die Art und Weise, auf die der Kunde die personenbezogenen Daten erhoben hat.

2.3 In Bezug auf personenbezogene Daten des Kunden erkennen die Parteien an und vereinbaren, dass der Kunde der Verantwortliche (oder, falls der Kunde im Auftrag eines anderen Verantwortlichen handelt, der Auftragsverarbeiter) und TuxCare der Auftragsverarbeiter (oder Unterauftragsverarbeiter) ist, soweit zutreffend. TuxCare verarbeitet personenbezogene Daten des Kunden ausschließlich gemäß dieser DPA.

2.3.1 Diese Datenschutzvereinbarung gilt für personenbezogene Daten innerhalb der Kundendaten, die TuxCare auf Anweisung des Kunden verarbeitet. TuxCare handelt als unabhängiger Verantwortlicher für die eigene Kontoverwaltung, die Zugriffssicherheit, die Rechnungsstellung und die geschäftliche Kommunikation. Die Datenschutzerklärung des SecureChain-Portals beschreibt diese Verarbeitung durch den Verantwortlichen. Die Vertragsannahme stellt keine Einwilligung jeder einzelnen Person dar, die in einem Repository oder einer SBOM genannt wird.

2.4 Ist der Kunde ein in der EU ansässiger Auftragsverarbeiter, versichert der Kunde gegenüber TuxCare, dass seine Anweisungen und Handlungen in Bezug auf die personenbezogenen Daten – einschließlich der Beauftragung von TuxCare als weiteren Auftragsverarbeiter und des Abschlusses der Standardvertragsklauseln (SCC) mit allen relevanten Anhängen – vom zuständigen Verantwortlichen genehmigt wurden. Ist der Kunde ein in Großbritannien ansässiger Auftragsverarbeiter, so sichert der Kunde TuxCare zu, dass seine Anweisungen und Handlungen in Bezug auf die personenbezogenen Daten, einschließlich der Beauftragung von TuxCare als weiteren Auftragsverarbeiter und des Abschlusses des UK-Zusatzes, vom jeweiligen Verantwortlichen genehmigt wurden. Ist der Kunde ein in der Schweiz ansässiger Auftragsverarbeiter, versichert der Kunde gegenüber TuxCare, dass seine Anweisungen und Handlungen in Bezug auf die personenbezogenen Daten, einschließlich der Beauftragung von TuxCare als weiteren Auftragsverarbeiter und des Abschlusses der für internationale Datenübermittlungen gemäß dem Schweizer DSG erforderlichen Standardvertragsklauseln, vom jeweiligen Verantwortlichen genehmigt wurden.

2.5 Jede Vertragspartei benennt innerhalb ihrer Organisation einen Datenschutzbeauftragten, der befugt ist, von Zeit zu Zeit Anfragen bezüglich personenbezogener Daten zu beantworten; die Vertragsparteien teilen der jeweils anderen Vertragspartei den Namen des Datenschutzbeauftragten mit, und der Datenschutzbeauftragte bearbeitet solche Anfragen unverzüglich.

2.6 Während der gesamten Laufzeit des Hauptvertrags gewährleistet der Kunde fortlaufend, dass alle an TuxCare übermittelten personenbezogenen Daten rechtmäßig erhoben und unter vollständiger Einhaltung der geltenden Datenschutzgesetze übermittelt wurden. Während der Laufzeit dieser DPA ist der Kunde allein dafür verantwortlich, sicherzustellen, dass er über eine gültige Rechtsgrundlage gemäß den geltenden Datenschutzgesetzen (einschließlich der Einwilligung, sofern diese erforderlich ist) für die Verarbeitung der personenbezogenen Daten des Kunden durch TuxCare im Rahmen des Hauptvertrags und dieser DPA verfügt und diese aufrechterhält sowie alle erforderlichen Einwilligungen der betroffenen Personen einzuholen und aufrechtzuerhalten.

2.7 Der Kunde versichert, dass er den betroffenen Personen alle erforderlichen Informationen und Hinweise bezüglich der Verarbeitung ihrer personenbezogenen Daten, einschließlich der Beauftragung von TuxCare, in transparenter, verständlicher und leicht zugänglicher Weise zur Verfügung gestellt hat. Dies umfasst auch Personen, deren personenbezogene Daten in den Kundendaten enthalten sind, ohne dass sie Mitarbeiter des Kunden sind, wie beispielsweise Autoren von vorgelagerten Paketen, Ansprechpartner bei Lieferanten und Autoren von Commits. Diese Klausel 2.7 gilt nur für personenbezogene Daten, die der Kunde TuxCare zur Verfügung stellt oder TuxCare anweist, zu erheben.

2.8 Der Kunde gewährleistet, dass die TuxCare zur Verfügung gestellten personenbezogenen Daten korrekt sind und, soweit erforderlich, auf dem neuesten Stand gehalten werden. Der Kunde wird TuxCare über alle Korrekturen oder Löschungen informieren, die zur Wahrung der Richtigkeit der Daten erforderlich sind.

2.9 Der Kunde gewährleistet, dass der Umfang der übermittelten personenbezogenen Daten auf das beschränkt ist, was im Hinblick auf die in dieser DPA festgelegten Verarbeitungszwecke angemessen, relevant und erforderlich ist.

2.10 Der Kunde gewährleistet, dass seine Anweisungen an TuxCare zur Verarbeitung personenbezogener Daten stets rechtmäßig sind und den geltenden Datenschutzgesetzen entsprechen.

2.11 Der Kunde ist allein dafür verantwortlich, zu beurteilen, ob die im Rahmen des Dienstes umgesetzten Sicherheitsmaßnahmen ausreichen, um seinen Verpflichtungen gemäß den geltenden Datenschutzgesetzen nachzukommen. Der Kunde ist zudem dafür verantwortlich, die sichere Nutzung des Dienstes zu gewährleisten, einschließlich des Schutzes personenbezogener Daten, die an den Dienst übermittelt werden oder von diesem stammen.

2.12 Dokumentierte Anweisungen. Die Parteien vereinbaren, dass diese DPA, der Rahmenvertrag, die Dokumentation sowie die Nutzung und Konfiguration des Dienstes durch den Kunden gemäß dem Rahmenvertrag die vollständigen dokumentierten Anweisungen des Kunden an TuxCare für die Verarbeitung der personenbezogenen Daten des Kunden darstellen. Durch die Übermittlung eines Bestandsverzeichnisses, eines Abhängigkeitsberichts oder einer SBOM an einen Workspace weist der Kunde TuxCare an, diese zu speichern, mit Sicherheitshinweisen und Katalogdaten abzugleichen, sie während der gesamten Aufbewahrungsdauer anhand später veröffentlichter Sicherheitshinweise neu zu bewerten, sie mit früheren und späteren Übermittlungen zu vergleichen, Ergebnisse und Empfehlungen zu generieren sowie Warnmeldungen an die vom Kunden konfigurierten Empfänger zu senden. Zusätzliche Anweisungen während der Laufzeit müssen mit dem Rahmenvertrag und der Art des Dienstes im Einklang stehen und treten in Kraft, sobald TuxCare sie schriftlich bestätigt.

3. VERPFLICHTUNGEN VON TUXCARE

3.1 In Bezug auf alle personenbezogenen Daten gewährleistet TuxCare, dass es:

(a) personenbezogene Daten ausschließlich zum Zweck der Erbringung des Dienstes zu verarbeiten und dabei ausschließlich in Übereinstimmung mit (i) dieser DPA, (ii) den schriftlichen Anweisungen des Kunden, wie sie im Hauptvertrag und in dieser DPA festgelegt sind, sowie (iii) den geltenden Datenschutzgesetzen zu handeln;

(b) den Kunden unverzüglich zu informieren, wenn nach Ansicht von TuxCare eine dokumentierte Anweisung gegen geltende Datenschutzgesetze verstößt; TuxCare ist berechtigt, die Ausführung dieser Anweisung auszusetzen, bis der Kunde sie bestätigt, ändert oder zurückzieht. TuxCare ist nicht verpflichtet, die Anweisungen des Kunden einer rechtlichen Prüfung zu unterziehen;

(c) geeignete technische und organisatorische Maßnahmen zu ergreifen, um ein Sicherheitsniveau zu gewährleisten, das den mit der Verarbeitung personenbezogener Daten verbundenen Risiken angemessen ist, insbesondere zum Schutz vor versehentlicher oder unrechtmäßiger Vernichtung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugriff auf personenbezogene Daten. Zu diesen Maßnahmen gehören unter anderem die üblicherweise gemäß anerkannten Sicherheitsstandards wie SOC 2 Typ II oder ISO 27001 und gemäß den geltenden Datenschutzgesetzen erforderlichen Sicherheitsmaßnahmen;

(d) angemessene Maßnahmen zu ergreifen, um sicherzustellen, dass nur befugtes Personal Zugang zu diesen personenbezogenen Daten hat und dass alle Personen, denen es den Zugang zu den personenbezogenen Daten gestattet, zur Vertraulichkeit verpflichtet sind;

(e) den Kunden unverzüglich nach Bekanntwerden, spätestens jedoch innerhalb von vierundzwanzig (24) Stunden nach Bekanntwerden, über jede Sicherheitsverletzung zu informieren, die zur versehentlichen oder rechtswidrigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf personenbezogene Daten führt, die von TuxCare, seinen Unterauftragsverarbeitern oder anderen identifizierten oder nicht identifizierten Dritten übermittelt, gespeichert oder anderweitig verarbeitet werden (eine „Sicherheitsverletzung“). Die erste Benachrichtigung muss die TuxCare zu diesem Zeitpunkt vernünftigerweise vorliegenden Fakten enthalten, und TuxCare hat im Verlauf seiner Untersuchungen und in jedem Fall innerhalb von zweiundsiebzig (72) Stunden nach Kenntniserlangung ergänzende Informationen bereitzustellen;

(f) dem Kunden im Zusammenhang mit einer Sicherheitsverletzung unverzüglich in angemessener Weise zu kooperieren und ihn zu unterstützen sowie ihm alle angemessenen Informationen, die TuxCare über diese Sicherheitsverletzung vorliegen, zur Verfügung zu stellen, soweit diese den Kunden betrifft, einschließlich – soweit zu diesem Zeitpunkt bekannt: der möglichen Ursache und der Folgen der Sicherheitsverletzung für die betroffenen Personen; die Kategorien der betroffenen personenbezogenen Daten; eine Zusammenfassung der möglichen Folgen für die betroffenen Personen; eine Zusammenfassung der unbefugten Empfänger der personenbezogenen Daten; sowie die von TuxCare ergriffenen Maßnahmen zur Schadensminderung;

(g) ohne die vorherige schriftliche Zustimmung des Kunden keine öffentliche Bekanntmachung über eine Sicherheitsverletzung (eine „Mitteilung über eine Sicherheitsverletzung“) zu machen, es sei denn, dies ist nach den geltenden Datenschutzgesetzen erforderlich. Dies hindert TuxCare nicht daran, eine allgemeine Mitteilung über eine Sicherheitsverletzung zu veröffentlichen, die mehrere Kunden betrifft und in der weder der Kunde noch personenbezogene Daten des Kunden identifiziert werden;

(h) den Kunden unverzüglich zu benachrichtigen, wenn TuxCare einen Antrag einer betroffenen Person des Kunden auf Auskunft, Berichtigung oder Löschung der personenbezogenen Daten dieser Person erhält oder wenn eine betroffene Person der Verarbeitung dieser personenbezogenen Daten widerspricht oder einen Antrag auf Datenübertragbarkeit in Bezug auf diese personenbezogenen Daten stellt (jeweils ein „Antrag einer betroffenen Person“). TuxCare darf ohne die vorherige schriftliche Zustimmung des Kunden nicht auf einen Antrag einer betroffenen Person reagieren, es sei denn, um zu bestätigen, dass sich ein solcher Antrag auf den Kunden bezieht, womit der Kunde hiermit einverstanden ist. Soweit der Kunde nicht in der Lage ist, einen Antrag einer betroffenen Person zu bearbeiten, leistet TuxCare auf Anfrage des Kunden angemessene Unterstützung, um die Bearbeitung eines solchen Antrags im Rahmen des Möglichen und im Einklang mit den geltenden Datenschutzgesetzen zu erleichtern. Sofern der Kunde nicht reagiert, kann TuxCare auf die Anfrage einer betroffenen Person in einer Weise reagieren, die TuxCare für angemessen hält. Der Kunde trägt alle angemessenen Kosten, die TuxCare im Zusammenhang mit der Bereitstellung dieser Unterstützung oder der Beantwortung entstehen;

(i) nach Beendigung, Ablauf oder Abschluss des Dienstes die personenbezogenen Daten des Kunden gemäß dessen Anweisungen zurückzugeben oder zu löschen, einschließlich aller Kopien, sofern nicht geltendes Recht eine Aufbewahrung vorschreibt. Die Löschung erfolgt innerhalb der in Anhang 1(h) genannten Fristen; die Löschung aus Sicherungskopien kann sich verzögern, bis diese Kopien im Rahmen des Standard-Sicherungszyklus von TuxCare überschrieben werden. Während dieses Zeitraums beschränkt TuxCare die Verarbeitung auf die Speicherung, die Sicherheit, die rechtmäßige Aufbewahrung sowie die autorisierte Rückgabe oder Löschung. Eine wiederhergestellte Sicherungskopie unterliegt weiterhin der Löschanweisung. Anhang 1 beschreibt die Aufbewahrungsregelungen;

(j) unter Berücksichtigung der Art der Verarbeitung und der TuxCare zur Verfügung stehenden Informationen dem Kunden die Unterstützung zu gewähren, die dieser in angemessener Weise im Zusammenhang mit den Verpflichtungen von TuxCare gemäß den geltenden Datenschutzgesetzen in Bezug auf (i) Datenschutz-Folgenabschätzungen, (ii) Meldungen an die Aufsichtsbehörde gemäß den geltenden Datenschutzgesetzen und/oder Mitteilungen des Kunden an die betroffenen Personen als Reaktion auf eine Sicherheitsverletzung sowie (iii) die Einhaltung der Verpflichtungen des Kunden gemäß den geltenden Datenschutzgesetzen in Bezug auf die Sicherheit der Verarbeitung, vorausgesetzt, dass der Kunde alle angemessenen Kosten übernimmt, die TuxCare im Zusammenhang mit der Erbringung dieser Unterstützung entstehen;

(k) dem Kunden Informationen über die Region und das Land zur Verfügung zu stellen, in denen die personenbezogenen Daten von TuxCare oder in dessen Auftrag gespeichert und verarbeitet werden;

(l) die genaue Anschrift der betreffenden Einrichtungen nur auf ausdrückliche Aufforderung einer zuständigen Aufsichtsbehörde mitzuteilen und nur dann, wenn diese Mitteilung zur Erfüllung ihrer Verpflichtungen gemäß den geltenden Datenschutzgesetzen geeignet ist;

(m) ein Verzeichnis aller Kategorien von Verarbeitungsvorgängen führen, die im Auftrag des Kunden gemäß Artikel 30 Absatz 2 DSGVO durchgeführt werden, und dieses der Aufsichtsbehörde auf Anfrage zur Verfügung stellen; und

(n) auf Ersuchen mit der zuständigen Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammenzuarbeiten.

3.2 TuxCare darf personenbezogene Daten des Kunden nicht für eigene Zwecke verarbeiten. Jede Verarbeitung von Daten, die aus dem Dienst stammen, durch TuxCare für eigene Zwecke beschränkt sich auf die in Ziffer 2.3.1 beschriebene Verarbeitung, die nicht unter diese DPA fällt und in der Datenschutzerklärung des SecureChain-Portals offengelegt ist.

3.3 Erhält TuxCare von einer Behörde eine rechtsverbindliche Aufforderung zur Offenlegung personenbezogener Daten des Kunden, wird TuxCare (a) die Behörde, soweit möglich, an den Kunden weiterleiten; (b) den Kunden unverzüglich benachrichtigen, sofern dies nicht gesetzlich untersagt ist; (c) die Rechtmäßigkeit der Aufforderung prüfen und diese anfechten, sofern berechtigte Gründe für die Annahme bestehen, dass sie nach dem für TuxCare geltenden Recht rechtswidrig ist; und (d) nur die unbedingt erforderlichen Informationen offenlegen. TuxCare wird personenbezogene Daten des Kunden nicht freiwillig an eine Behörde weitergeben. Diese Klausel gilt unabhängig davon, ob die Verarbeitung eine eingeschränkte Übermittlung beinhaltet.

4. WEITERVERARBEITUNG

4.1 Der Kunde erteilt TuxCare eine allgemeine schriftliche Ermächtigung, Unterauftragsverarbeiter für die Erbringung des Dienstes einzuschalten. Die zum Zeitpunkt des Inkrafttretens eingeschalteten Unterauftragsverarbeiter sind in Anhang 3 aufgeführt, in dem für jeden Unterauftragsverarbeiter dessen Name, Standort, die von ihm durchgeführte Verarbeitung und der zugrunde liegende Übermittlungsmechanismus angegeben sind. Unterauftragsverarbeiter werden ausschließlich für Hosting, Speicherung und Datensicherung, die Zustellung von Benachrichtigungen, Überwachung, Support-Tools und andere Funktionen eingeschaltet, die für die Erbringung des Dienstes erforderlich sind.

4.2 TuxCare hat den Kunden gemäß Ziffer 4.4 über jede beabsichtigte Hinzunahme oder den Austausch eines Unterauftragsverarbeiters zu informieren. Der Kunde kann aus datenschutzrechtlichen Gründen innerhalb von dreißig (30) Tagen nach der Benachrichtigung durch schriftliche Mitteilung an [email protected] Widerspruch einlegen. Die Parteien werden den Widerspruch nach Treu und Glauben erörtern. Wenn die Parteien den Widerspruch nicht innerhalb von dreißig (30) Tagen nach der Mitteilung des Kunden beilegen können, kann der Kunde als einziges Rechtsmittel das betroffene Abonnement kündigen oder den betroffenen Arbeitsbereich löschen, und TuxCare erstattet alle im Voraus gezahlten Gebühren, die dem nicht in Anspruch genommenen Teil der Abonnementlaufzeit zuzurechnen sind. Wenn der Kunde nicht innerhalb der oben genannten Frist Widerspruch einlegt, gilt der Unterauftragsverarbeiter als vom Kunden autorisiert.

4.3 TuxCare beauftragt jeden Unterauftragsverarbeiter im Rahmen eines schriftlichen Vertrags, der dem Unterauftragsverarbeiter dieselben Datenschutzverpflichtungen auferlegt wie TuxCare in dieser DPA. Falls ein Unterauftragsverarbeiter seinen Datenschutzverpflichtungen nicht nachkommt, haftet TuxCare gegenüber dem Kunden weiterhin in vollem Umfang für die Erfüllung der Verpflichtungen dieses Unterauftragsverarbeiters. TuxCare stellt dem Kunden auf Anfrage eine Kopie der Datenschutzbestimmungen seiner Unterauftragsverträge zur Verfügung, wobei geschäftliche Informationen unkenntlich gemacht werden.

4.4 TuxCare wird die Hinzunahme oder den Austausch eines Unterauftragsverarbeiters mindestens dreißig (30) Tage vor Beginn der Verarbeitung der personenbezogenen Daten des Kunden durch diesen Unterauftragsverarbeiter ankündigen.

5. PRÜFUNG UND AUFZEICHNUNGEN

5.1 TuxCare stellt dem Kunden gemäß den geltenden Datenschutzgesetzen diejenigen Informationen zur Verfügung, die sich im Besitz oder unter der Kontrolle von TuxCare befinden und die der Kunde in angemessener Weise anfordert, um nachzuweisen, dass TuxCare die Verpflichtungen eines Auftragsverarbeiters gemäß den geltenden Datenschutzgesetzen in Bezug auf die Verarbeitung der personenbezogenen Daten des Kunden erfüllt.

5.2 Der Kunde kann sein Recht auf Einsichtnahme gemäß den geltenden Datenschutzgesetzen in Bezug auf seine personenbezogenen Daten über TuxCare ausüben, sofern:

(a) einen nicht älter als achtzehn (18) Monate zurückliegenden Prüfbericht, der von einem unabhängigen externen Wirtschaftsprüfer erstellt wurde und aus dem hervorgeht, dass die technischen und organisatorischen Maßnahmen von TuxCare ausreichend sind und einem anerkannten branchenüblichen Prüfungsstandard entsprechen, sofern ein solcher Bericht vorliegt, sowie die Sicherheitsdokumentation von TuxCare und die schriftlichen Antworten auf den angemessenen Sicherheitsfragebogen des Kunden, die innerhalb eines Zeitraums von zwölf (12) Monaten höchstens einmal vorgelegt werden dürfen;

(b) der Aufsichtsbehörde zusätzliche Informationen, die sich im Besitz oder unter der Kontrolle von TuxCare befinden, wenn diese im Zusammenhang mit der von TuxCare im Rahmen dieser DPA durchgeführten Verarbeitung personenbezogener Kundendaten zusätzliche Informationen anfordert oder verlangt; und

(c) Verlangt der Kunde eine Prüfung, die über die in (a) und (b) beschriebenen Unterlagen hinausgeht, so darf eine solche Prüfung höchstens einmal innerhalb eines Zeitraums von zwölf (12) Monaten nach angemessener vorheriger schriftlicher Ankündigung während der üblichen Geschäftszeiten und in einer Weise durchgeführt werden, die den Geschäftsbetrieb von TuxCare nicht beeinträchtigt. Der Kunde trägt die TuxCare im Zusammenhang mit einer solchen Prüfung entstehenden angemessenen Kosten.

6. DATENÜBERMITTLUNGEN

6.1 Primärer Mechanismus – Datenschutz-Rahmenwerk. TuxCare, Inc. beteiligt sich am Datenschutz-Rahmenwerk und bescheinigt dessen Einhaltung. Solange diese Zertifizierung gültig ist und die betreffenden personenbezogenen Daten abdeckt, stützt sich TuxCare auf das Datenschutz-Rahmenwerk, um personenbezogene Daten zu empfangen, die aus dem EWR, dem Vereinigten Königreich und der Schweiz in die Vereinigten Staaten übermittelt werden, und wird diesen Daten mindestens das gleiche Schutzniveau gewähren, wie es gemäß den Grundsätzen des Datenschutz-Rahmenwerks erforderlich ist.

6.2 Ausweichmechanismus – Standardvertragsklauseln. Sofern das Datenschutz-Rahmenwerk eine Übermittlung nicht abdeckt, nicht mehr als gültiger Übermittlungsmechanismus gilt oder ausgesetzt, für ungültig erklärt oder widerrufen wird, gelten die EU-Standardvertragsklauseln automatisch für eingeschränkte Übermittlungen aus dem EWR, ohne dass es weiterer Maßnahmen seitens einer der Parteien bedarf. Die EU-Standardvertragsklauseln gelten als abgeschlossen und durch Verweis in diese DPA aufgenommen und werden wie folgt ergänzt:

(a) Der Kunde ist der „Datenexporteur“ und TuxCare ist der „Datenimporteur“;

(b) Modul 2 (Verantwortlicher zu Auftragsverarbeiter) findet Anwendung, wenn der Kunde als Verantwortlicher für personenbezogene Kundendaten auftritt und TuxCare als Auftragsverarbeiter fungiert. Modul 3 (Auftragsverarbeiter zu Auftragsverarbeiter) findet Anwendung, wenn der Kunde als Auftragsverarbeiter im Auftrag eines anderen Verantwortlichen oder Auftragsverarbeiters handelt und TuxCare als Unterauftragsverarbeiter fungiert;

(c) In Ziffer 7 gilt die fakultative Verknüpfungsklausel;

(d) In Ziffer 9 gilt Option 2 (allgemeine schriftliche Genehmigung), und die Frist für die vorherige Ankündigung von Änderungen bei Unterauftragsverarbeitern beträgt dreißig (30) Tage, wie in Ziffer 4.4 dieser DPA festgelegt;

(e) In Ziffer 11 findet die fakultative Formulierung keine Anwendung;

(f) In Ziffer 13 wird die zuständige Aufsichtsbehörde gemäß dieser Ziffer bestimmt;

(g) In Ziffer 17 gilt Option 1, und die EU-Standardvertragsklauseln unterliegen dem Recht der Niederlande;

(h) Gemäß Ziffer 18 Buchstabe b werden Streitigkeiten von den niederländischen Gerichten entschieden;

(i) Anhang I der EU-Standardvertragsklauseln wird durch die in Anhang 1 dieser Datenschutzvereinbarung aufgeführten Informationen ergänzt. Für die Zwecke von Anhang I.A ist der Datenexporteur der Kunde, wie er bei der Annahme des Rahmenvertrags oder in der Bestellung angegeben ist, und der Datenimporteur ist TuxCare, Inc., 20791 Three Oaks Pkwy, #980, Estero, FL 33929, USA ([email protected]). Die Annahme des Rahmenvertrags gilt als Unterzeichnung von Anhang I;

(j) Anhang II der EU-Standardvertragsklauseln wird durch Ziffer 3.1 Buchstabe c und Anhang 2 dieser Datenschutzvereinbarung ergänzt; und

(k) Anhang III der EU-Standardvertragsklauseln wird durch die Liste der Unterauftragsverarbeiter in Anhang 3 ergänzt.

6.3 Vereinigtes Königreich. In Bezug auf Übermittlungen personenbezogener Daten, die der britischen DSGVO unterliegen, gelten die EU-Standardvertragsklauseln (i) in der gemäß Ziffer 6.2 oben ergänzten Fassung und (ii) gelten als gemäß dem britischen Nachtrag geändert, der als von den Parteien unterzeichnet gilt und integraler Bestandteil dieser DPA ist. Die Tabellen 1 bis 3 in Teil 1 des britischen Nachtrags gelten als mit den in dieser DPA sowie in Anhang 1 und den Klauseln 3.1(c) und 4 aufgeführten Informationen ausgefüllt. Tabelle 4 in Teil 1 gilt als durch Auswahl von „keine der Parteien“ ausgefüllt. Etwaige Widersprüche zwischen den EU-Standardvertragsklauseln und dem britischen Nachtrag werden gemäß den Abschnitten 10 und 11 des britischen Nachtrags geklärt.

6.4 Schweiz. In Bezug auf die Übermittlung von personenbezogenen Daten, die durch das Schweizer DSG geschützt sind, gelten die EU-SCCs (i) in der gemäß Ziffer 6.2 ergänzten Fassung und (ii) gelten als wie folgt geändert: Verweise auf die „Verordnung (EU) 2016/679“ sind als Verweise auf das Schweizer DSG zu verstehen; in Ziffer 13 ist die zuständige Aufsichtsbehörde der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte; in Ziffer 17 unterliegen die EU-SCCs dem schweizerischen Recht; in Ziffer 18 Buchstabe b werden Streitigkeiten vor den Gerichten der Schweiz beigelegt; Verweise auf Mitgliedstaaten sind so auszulegen, dass sie die Schweiz einschließen; und betroffene Personen in der Schweiz sind nicht davon ausgeschlossen, ihre Rechte an ihrem gewöhnlichen Aufenthaltsort gemäß Ziffer 18 Buchstabe c geltend zu machen.

6.5 Weiterübermittlungen durch Unterauftragsverarbeiter. Wenn TuxCare personenbezogene Daten an einen Unterauftragsverarbeiter mit Sitz außerhalb des EWR, des Vereinigten Königreichs oder der Schweiz übermittelt, stellt TuxCare vor dieser Übermittlung sicher, dass ein gültiger Übermittlungsmechanismus vorhanden ist, und zwar entweder die eigene, aktive Zertifizierung des Unterauftragsverarbeiters im Rahmen des „Data Privacy Framework“ oder die Standardvertragsklauseln (zusammen mit dem Zusatz für das Vereinigte Königreich oder den schweizerischen Ergänzungen, sofern zutreffend), die zugunsten des Kunden abgeschlossen wurden. TuxCare hat die Gesetze und Praktiken jedes Landes außerhalb des EWR, des Vereinigten Königreichs und der Schweiz, in das personenbezogene Daten des Kunden übermittelt werden, gemäß Klausel 14 der EU-SCC geprüft und überprüft diese regelmäßig; auf Anfrage stellt TuxCare dem Kunden eine Zusammenfassung dieser Bewertung zur Verfügung.

6.6 Prüfung und Unterauftragsvergabe gemäß den SCCs. Der Kunde kann sein Prüfungsrecht gemäß Ziffer 8.9 der EU-SCCs ausüben, wie in Ziffer 5.2 dieser DPA dargelegt und vorbehaltlich der dortigen Anforderungen. TuxCare kann Unterauftragsverarbeiter gemäß den Bestimmungen der Ziffern 4 und 6.5 dieser DPA und vorbehaltlich der dortigen Anforderungen beauftragen.

6.7 Alternative Mechanismen. Sollte TuxCare gemäß den geltenden Datenschutzgesetzen verpflichtet sein, einen alternativen Übertragungsmechanismus einzuführen, so gilt dieser Mechanismus automatisch anstelle der oben beschriebenen Mechanismen, soweit er den geltenden Datenschutzgesetzen entspricht, und der Kunde erklärt sich bereit, alle Dokumente zu unterzeichnen oder alle Maßnahmen zu ergreifen, die vernünftigerweise erforderlich sind, um diesem Mechanismus Rechtswirksamkeit zu verleihen.

7. ZUSÄTZLICHE BESTIMMUNGEN GEMÄSS DEN DATENSCHUTZGESETZEN DER US-BUNDESSTAATEN

7.1 Die folgenden Bestimmungen gelten, wenn TuxCare personenbezogene Daten verarbeitet, die den Datenschutzgesetzen der US-Bundesstaaten unterliegen. Soweit die personenbezogenen Daten des Kunden personenbezogene Informationen umfassen, die nach den Datenschutzgesetzen der US-Bundesstaaten geschützt sind und die TuxCare als Dienstleister oder Auftragsverarbeiter im Auftrag des Kunden verarbeitet, wird TuxCare diese personenbezogenen Daten des Kunden in Übereinstimmung mit den Datenschutzgesetzen der US-Bundesstaaten verarbeiten, einschließlich der Einhaltung der anwendbaren Bestimmungen dieser Gesetze und der Gewährleistung desselben Datenschutzniveaus, wie es die Datenschutzgesetze der US-Bundesstaaten vorschreiben, sowie gemäß den schriftlichen Anweisungen des Kunden, soweit dies für die in dieser DPA festgelegten begrenzten und spezifischen Zwecke erforderlich ist. TuxCare wird Folgendes unterlassen:

(a) diese personenbezogenen Kundendaten für andere kommerzielle Zwecke als die in dieser DPA, im Hauptvertrag oder gemäß den Datenschutzgesetzen der US-Bundesstaaten festgelegten begrenzten und spezifischen Zwecke zu speichern, zu nutzen, weiterzugeben oder anderweitig zu verarbeiten;

(b) solche personenbezogenen Kundendaten im Sinne der Datenschutzgesetze der US-Bundesstaaten „verkaufen“ oder „weitergeben“; oder

(c) diese personenbezogenen Kundendaten außerhalb der direkten Geschäftsbeziehung mit dem Kunden zu speichern, zu nutzen, weiterzugeben oder anderweitig zu verarbeiten oder diese personenbezogenen Kundendaten mit personenbezogenen Daten zu verknüpfen, die das Unternehmen aus anderen Quellen erhält, es sei denn, dies ist gemäß den Datenschutzgesetzen der US-Bundesstaaten zulässig.

7.2 TuxCare wird Maßnahmen ergreifen, die darauf abzielen, die Sicherheit personenbezogener Daten zu gewährleisten, und dabei ein Datenschutzniveau sicherstellen, das den Anforderungen der Datenschutzgesetze der US-Bundesstaaten entspricht.

7.3 TuxCare gewährt dem Kunden in angemessenem Umfang Zugang zu den Informationen, die dieser benötigt, um die Einhaltung dieser DPA durch TuxCare zu überprüfen.

7.4 Die Parteien erkennen an und vereinbaren, dass der Austausch personenbezogener Daten zwischen den Parteien nicht Bestandteil einer finanziellen oder sonstigen Gegenleistung ist, die zwischen den Parteien im Zusammenhang mit dem Hauptvertrag oder dieser Datenschutzvereinbarung erbracht wird.

8. ALLGEMEINES

8.1 Diese Datenschutzvereinbarung lässt die Rechte und Pflichten der Parteien aus dem Hauptvertrag unberührt, der weiterhin in vollem Umfang gültig und wirksam bleibt. Im Falle eines Widerspruchs zwischen den Bestimmungen dieser Datenschutzvereinbarung und den Bestimmungen des Hauptvertrags haben die Bestimmungen dieser Datenschutzvereinbarung Vorrang, soweit der Gegenstand die Verarbeitung personenbezogener Daten betrifft.

8.2 Die Haftung von TuxCare im Rahmen oder im Zusammenhang mit dieser DPA unterliegt den in der Hauptvereinbarung enthaltenen Haftungsbeschränkungen. Keine Bestimmung dieser DPA schränkt eine Haftung ein oder schließt sie aus, die nach geltendem Recht nicht eingeschränkt oder ausgeschlossen werden kann.

8.3 Diese DPA gewährt keine Rechte zugunsten Dritter; sie dient ausschließlich dem Nutzen der Vertragsparteien und ihrer jeweiligen zulässigen Rechtsnachfolger und Abtretungsempfänger und gilt nicht zugunsten anderer Personen, noch kann eine Bestimmung dieser Vereinbarung von anderen Personen durchgesetzt werden, mit der Ausnahme, dass diese Klausel die den betroffenen Personen gemäß den SCCs gewährten Rechte zugunsten Dritter nicht einschränkt.

8.4 Diese DPA und alle damit zusammenhängenden Handlungen unterliegen den Gesetzen des Bundesstaates Delaware und sind entsprechend auszulegen, ohne dass Kollisionsnormen zur Anwendung kommen, sofern in den SCCs nichts anderes vorgesehen ist. Die Parteien erkennen die persönliche Zuständigkeit der Gerichte von Delaware sowie deren Gerichtsstand an.

8.5 Diese DPA stellt die endgültige, vollständige und ausschließliche Vereinbarung der Parteien in Bezug auf den Gegenstand dieser Vereinbarung dar und ersetzt sowie vereint alle früheren Erörterungen und Vereinbarungen zwischen den Parteien in Bezug auf diesen Gegenstand. Mit Ausnahme von betrügerisch abgegebenen Erklärungen gelten keine weiteren Zusicherungen oder Bedingungen und sind auch nicht Bestandteil dieser DPA. Änderungen, Ergänzungen oder der Verzicht auf Rechte aus dieser DPA sind nur wirksam, wenn sie schriftlich vereinbart werden; dies schließt die elektronische Annahme einer aktualisierten Fassung dieser DPA durch den Kunden in derselben Weise wie beim Hauptvertrag ein. Diese DPA kann in mehreren Ausfertigungen unterzeichnet werden, von denen jede als Original gilt, die jedoch alle zusammen eine einzige Vereinbarung bilden. Wird diese DPA separat unterzeichnet, versichert und gewährleistet jede unterzeichnende Person, dass sie ordnungsgemäß bevollmächtigt und rechtsfähig ist, diese DPA zu unterzeichnen und zu übergeben. Jede Partei versichert und gewährleistet gegenüber der anderen Partei, dass die Unterzeichnung und Übergabe dieser DPA sowie die Erfüllung der Verpflichtungen dieser Partei aus dieser Vereinbarung ordnungsgemäß genehmigt wurden und dass diese DPA eine gültige und rechtsverbindliche Vereinbarung für jede dieser Parteien darstellt, die gemäß ihren Bestimmungen durchsetzbar ist.

Diese DPA ist Bestandteil des Hauptvertrags und wird vom Kunden in gleicher Weise wie der Hauptvertrag akzeptiert. Für das Inkrafttreten dieser DPA ist keine gesonderte Unterzeichnung erforderlich. Falls ein Kunde eine gesondert unterzeichnete Kopie dieser DPA benötigt, stellt TuxCare diese auf Anfrage zur Verfügung.

ANHANG 1 – ANGABEN ZU PERSONENBEZOGENEN DATEN UND VERARBEITUNGSTÄTIGKEITEN

(a) Die Art der Verarbeitung personenbezogener Daten unterliegt den folgenden Bestimmungen, soweit dies nach den geltenden Datenschutzgesetzen und dem Hauptvertrag zulässig ist:

Empfang von Daten, einschließlich Erfassung, Abruf und Speicherung;
Datenverwaltung, einschließlich Speicherung, Organisation und Strukturierung;
Nutzung von Daten, einschließlich Analyse, Beratung und Tests;
Datenschutz, einschließlich der Einschränkung;
Datenlöschung, einschließlich Vernichtung und Löschung.

(b) Der Zweck besteht darin, den Dienst gemäß den dokumentierten Anweisungen bereitzustellen. Dazu gehören die Speicherung von Bestandslisten und Rohdaten, der Abgleich mit Sicherheitshinweisen, die Neubewertung gespeicherter Scans anhand später veröffentlichter Sicherheitshinweise, der Vergleich von Scans sowie die Speicherung von Befunden und Triage-Aufzeichnungen. Ebenfalls dazu gehören konfigurierte Benachrichtigungen, autorisierte Bildscans, Support, die Sicherheit des Dienstes sowie der Export oder die Löschung von Daten. TuxCare veröffentlicht oder verkauft keine nicht öffentlichen Kundendaten, verwendet diese nicht für Werbezwecke und trainiert damit kein Allzweck-KI-Modell, es sei denn, der Kunde hat hierfür eine gesonderte Genehmigung erteilt.

(c) Zu den personenbezogenen Daten des Kunden können folgende Angaben gehören, sofern der Kunde diese übermittelt oder TuxCare anweist, diese zu erheben:

Bezeichner in Repository-URLs, Zweignamen, Commit-Metadaten, Projekt-Labels, Paketkoordinaten und relativen Pfaden.
Namen, geschäftliche Kontaktdaten und andere Identifikatoren in den Feldern „SBOM-Autoren“, „Lieferanten“, „Lizenzinformationen“, „Kommentare“ oder „Zusätzliche Dokumentfelder“.
Quell-IP-Adressen sowie Konto-, Scan- oder Integrationskennungen, die mit den vom Kunden übermittelten Daten in Verbindung stehen.
Personenbezogene Daten in Befunden, Triage-Notizen, Benachrichtigungsempfängern, Supportanfragen oder angeforderten Diagnoseinformationen.
Anmeldedaten, die der Kunde über die vorgesehenen Steuerelemente für Registrierungsscans oder Integrationen bereitstellt, sofern sie sich auf eine Person beziehen.
Benutzerdaten des Arbeitsbereichs: E-Mail-Adressen, Konto-IDs von Identitätsanbietern, Rollen, Abteilungszugehörigkeit, Zeitpunkt der letzten Anmeldung und der Zustimmung zu den Nutzungsbedingungen sowie Einträge im Prüfprotokoll (einschließlich E-Mail- und Netzwerkadressen) der autorisierten Benutzer des Kunden, soweit diese dem Kunden im Rahmen des Dienstes zur Verfügung gestellt werden.
Die Namen und E-Mail-Adressen der Autoren und Committer von Commits, sofern diese in den Commit-Metadaten oder SBOMs enthalten sind.
Inhalt des Container-Images, der für einen autorisierten Registry-Scan abgerufen wurde. TuxCare speichert das Image ausschließlich vorübergehend, um eine Bestandsliste (SBOM) zu erstellen, und löscht es nach Abschluss des Scans. TuxCare bewahrt die Bestandsliste zusammen mit den Workspace-Daten auf und löscht sie gemäß Absatz (h).
E-Mail-Adressen der Personen, die von den Administratoren des Kunden in den Workspace eingeladen wurden.

Paketnamen, Versionen, Diagramme, Hashes, Image-Digests und Betriebssystemdaten sind technische Daten. Sie können zu personenbezogenen Daten werden, wenn sie mit bestimmten Personen in Verbindung gebracht werden. Das Portal kann das gesamte übermittelte Dokument speichern, einschließlich der Felder, die es nicht für die Analyse verwendet. Für die übliche Einreichung von Abhängigkeiten sind weder Quellcode noch sensible personenbezogene Daten, Passwörter oder private Schlüssel erforderlich.

(d) Die Verarbeitung erfolgt so lange, wie es zur Erbringung der Dienstleistung gemäß den Anweisungen des Kunden erforderlich ist. Die Rückgabe und Löschung nach Ablauf dieses Zeitraums erfolgen gemäß Ziffer 3.1(i) und Absatz (h).

(e) Übermittlung sensibler Daten: Die Vertragsparteien gehen nicht davon aus, dass sensible Daten übermittelt werden.

(f) Zu den betroffenen Personen können Mitarbeiter, Auftragnehmer, Verwaltungsmitarbeiter und Ansprechpartner von Dienstleistern des Kunden gehören. Dazu können auch Autoren, Lieferanten und andere Personen zählen, deren Identifikationsmerkmale zufällig in den vom Kunden eingereichten Dokumenten erscheinen. Der Kunde bleibt für Mitteilungen, rechtmäßige Anweisungen und die Befugnis zur Weitergabe ihrer Daten verantwortlich.

(g) Personenbezogene Daten werden in den folgenden Regionen und Ländern gespeichert und verarbeitet:

Hosting von Servern und Datenbanken – Hetzner Online GmbH, Falkenstein, Deutschland (EU);
Sicherungen und Archive – Hetzner Online GmbH, Deutschland (EU), und Amazon Web Services, Inc., USA;
DNS und Zustellung von Workspace-E-Mails – Cloudflare, Inc., USA;
Von den Mitarbeitern von TuxCare genutzte E-Mail- und Dokumentenspeicherdienste – Google LLC, USA.

Der Übertragungsmechanismus für jeden Anbieter ist in Anhang 3 aufgeführt. TuxCare wird den Kunden gemäß den Ziffern 3.1(k) und 4.4 über jede Änderung der in diesem Absatz aufgeführten Regionen und Länder informieren.

(h) Dauer und Aufbewahrung. TuxCare verarbeitet personenbezogene Daten des Kunden für die Laufzeit des Hauptvertrags und für den Zeitraum, der erforderlich ist, um diese gemäß Ziffer 3.1(i) zurückzugeben oder zu löschen. Der Kunde kann den Arbeitsbereich jederzeit über die im Dienst bereitgestellten Funktionen löschen; der Arbeitsbereich wird sofort deaktiviert, und seine Daten werden dreißig (30) Tage nach der Löschung endgültig aus der aktiven Datenbank entfernt. Der Dienst bewahrt eine begrenzte Anzahl von Scans pro Repository auf und löscht ältere Scans automatisch; der Suchverlauf kann auch nach dem Löschen eines älteren Scans erhalten bleiben. Ein kostenloser Workspace ohne Aktivität kann stillgelegt werden: TuxCare benachrichtigt den Kunden nach etwa zwölf (12) Monaten ohne Aktivität, kann den Workspace nach etwa dreizehn (13) Monaten sperren und nach etwa fünfzehn (15) Monaten löschen; vor der Löschung stellt TuxCare dem Kunden einen Archiv-Export der Workspace-Daten zur Verfügung. Ein wiederhergestelltes Backup unterliegt weiterhin der Löschanweisung des Kunden. TuxCare wendet Klausel 3.1(i) auf alle derartigen Kopien an. Ein Archiv begründet kein Recht, personenbezogene Daten des Kunden für einen anderen Zweck aufzubewahren. Die nach geltendem Recht vorgeschriebene Aufbewahrung unterliegt weiterhin einem eingeschränkten Zugriff und einer Zweckbindung.

ANHANG 2 – TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN

In diesem Anhang werden die für den jeweiligen gehosteten Dienst geltenden Kontrollmaßnahmen beschrieben. Er ergänzt Abschnitt 3.1(c) sowie die Angaben zu Anhang II der SCCs. Ein separater schriftlicher Sicherheitsplan regelt etwaige strengere Verpflichtungen innerhalb seines Geltungsbereichs.

Der gehostete Dienst nutzt HTTPS für den Kundenverkehr und sichere Sitzungs-Cookies für den Zugriff über den Browser.
Die Arbeitsbereichsidentität und die Autorisierung beschränken den Zugriff auf das ausgewählte Konto. Unterstützte Rollen, Abteilungen und Token-Bereiche schränken die zulässigen Aktionen und Repositorys ein.
Die gehostete Anwendung nutzt Datenbanksteuerelemente, um den Zugriff der Mandanten zu beschränken. Für privilegierte Dienste und den Betreiberzugriff gelten separate Berechtigungen.
Der Dienst schützt die in der Registrierung und beim Identitätsanbieter gespeicherten Geheimnisse durch authentifizierte Verschlüsselung. Diese Aussage bedeutet nicht, dass jedes Datenbankfeld verschlüsselt wird.
Der Dienst protokolliert Kontoaktivitäten und operative Zugriffsvorgänge, um die Sicherheit zu gewährleisten und Ermittlungen zu unterstützen.
Die Eingabeprüfung überprüft die unterstützten Dokumentformate, die Authentifizierung, die Größe des Hauptteils und den relevanten Token-Gültigkeitsbereich, bevor ein Scan gespeichert wird.
TuxCare beschränkt den Zugang des Personals und legt gemäß Ziffer 3.1(d) Geheimhaltungspflichten fest.
Die Support-Mitarbeiter von TuxCare nutzen zur Unterstützung eine schreibgeschützte Ansicht eines Arbeitsbereichs.
Sicherung, Wiederherstellung, Datenlöschung und Reaktion auf Vorfälle erfolgen gemäß den vereinbarten Dienstleistungsbedingungen und dieser DPA.

Diese Maßnahmen bedeuten nicht, dass das SecureChain-Portal über eine bestimmte Zertifizierung verfügt. Sie ändern weder die Meldepflicht bei Datenschutzverletzungen gemäß Ziffer 3.1(e) noch die Rechte in den geltenden SCCs.

ANHANG 3 – LISTE DER UNTERAUFTRAGNEHMER

TuxCare beauftragt die folgenden Unterauftragsverarbeiter. Der für jeden Unterauftragsverarbeiter zugrunde gelegte Übermittlungsmechanismus ist in der Tabelle aufgeführt. Jeder gemäß Ziffer 4.4 hinzugefügte Unterauftragsverarbeiter wird hier zusammen mit seinem Übermittlungsmechanismus aufgeführt.

Unterauftragnehmer	Standort	Sicherheitszertifizierung	Zweck der Verarbeitung	Übertragungsmechanismus
Hetzner Online GmbH	Falkenstein, Deutschland	ISO 27001	Hosting von Servern und Datenbanken Sicherungen	Nicht erforderlich (EWR)
Amazon Web Services, Inc.	Nord-Virginia und Ohio, Vereinigte Staaten	ISO 27001 SOC 2 Typ 2	Sicherungs- und Archivspeicher	Datenschutzrahmen; Standardvertragsklauseln als Ausweichlösung (Ziffer 6.5)
Cloudflare, Inc.	Vereinigte Staaten (weltweites Netzwerk)	ISO 27001 SOC 2 Typ 2	DNS für die Service-Domains Zustellung von Workspace-E-Mails (Cloudflare-E-Mail-Dienst)	Datenschutzrahmen; Standardvertragsklauseln als Ausweichlösung (Ziffer 6.5)
Google LLC	Vereinigte Staaten	ISO 27001 SOC 2 Typ 2	Geschäftliche E-Mail- und Dokumentenspeicherung (Google Workspace), die beispielsweise von den Mitarbeitern von TuxCare für die Support-Korrespondenz genutzt wird	Datenschutzrahmen; Standardvertragsklauseln als Ausweichlösung (Ziffer 6.5)