GControl-Anhang zur Auftragsverarbeitung

Was dieser Anhang ist

Die Angaben nach Art. 28 Abs. 3 für gehostetes GPlatform Control. Er ist Bestandteil der Vereinbarung zur Auftragsverarbeitung, in der die Pflichten stehen.

Betreiben Sie GControl auf eigener Infrastruktur, sind Sie verantwortlich, und es gibt keine Verarbeitung in Ihrem Auftrag zu vereinbaren — wohl aber erhalten wir die kleine Nutzlast, die der Datenschutzhinweis beschreibt, für die wir aus eigenem Recht verantwortlich sind. Das sind zwei verschiedene Verhältnisse, und es lohnt, sie auseinanderzuhalten.

Art und Zweck der Verarbeitung

Betrieb der Steuerungsebene für Ihre Anwendungen: Lizenzen und Berechtigungen halten, Katalog und Releases führen, Zustand und Nutzung erfassen, Sicherungen anlegen und nachhalten und das Prüfprotokoll dessen führen, was mit ihnen geschehen ist.

Kategorien betroffener Personen

• Ihre Administrationen und Betreiberinnen und Betreiber — die Personen mit Konten in der Steuerungsebene.
• Die Endnutzer der von Ihnen betriebenen Anwendungen, ausschließlich als Zahl. Eine Endnutzeridentität wird hier nicht verarbeitet.
• Personen, die in einem Protokolleintrag als handelnd genannt sind.

Kategorien personenbezogener Daten

Kontodaten Ihrer Leute in der Steuerungsebene: Name, E-Mail-Adresse, Rolle, Sitzungs- und Wiederherstellungsdaten.

Protokolleinträge: wer wann was getan hat, der Gegenstand der Handlung, der angegebene Grund und der Hash, der die Zeile mit der vorherigen verkettet.

Befehlsdaten: welcher Befehl angefragt wurde, von wem, mit welcher Begründung, wie Ihre Seite entschieden hat, wer zugestimmt hat und mit welchem Ergebnis.

Daten zu Support-Sitzungen: Umfang und Grund, anfragende und genehmigende Person, Ablauf sowie ob eine Shell genehmigt und geöffnet wurde.

Betriebsmessungen: Zustandsproben, Nutzungseimer, Platz- und Nutzerzahlen, Instanz- und Anwendungsversionen. Sie beschreiben Systeme, nicht Menschen; Ausnahme sind die Zahlen, und Zahlen sind keine Identitäten.

Was nicht verarbeitet wird

Die Endnutzer Ihrer Anwendungen, deren Inhalte, deren Identitäten. Die Messwerte hinter einer Nutzungssumme. Ihre Sicherungsinhalte. Irgendwelche Zugangsdaten von Ihnen.

Verarbeitungsvorgänge

Erhebung, Speicherung, Abruf, Verwendung, Einschränkung, Löschung in den unten genannten Grenzen und Sicherung. Eindämmungsmaßnahmen — Freeze, Seal — soweit die Bedingungen es zulassen, jeweils auf beiden Seiten protokolliert.

Unterauftragsverarbeiter

Die in der allgemeinen Vereinbarung genannten — IONOS SE und Contabo GmbH, beide in Deutschland, dazu eigene Hardware in Deutschland — und für diesen Dienst keine weiteren.

Besondere Sicherheitsmaßnahmen dieses Dienstes

• Die Instanz authentifiziert sich mit einer Instanzkennung und einem rotierenden Bearer-Geheimnis über TLS.
• Die Prüfkette ist hash-verkettet und verankert, sodass ein Umschreiben erkennbar ist.
• Lockdown-Schlüssel werden je Instanz und nie je Organisation gehalten, damit eine Offenlegung nicht jeden Kunden aufschließt; das private Material liegt in Vault, in der Datenbank steht nur ein Pfad.
• Die Schlüsselverwahrung ist registriert, und die Regel, dass die beiden Hälften einer doppelten Signatur nie in derselben Verwahrung liegen, ist festgehalten, damit sie geprüft und nicht angenommen wird.
• Zustandswerte werden vor jeder Speicherung gegen die im Manifest deklarierten Schlüssel der Anwendung gefiltert.
• Support-Zugang erfordert Ihre Freigabe, eine Shell eine zweite und kürzere, und der Ablauf wird auf Ihrer Seite durchgesetzt, damit eine kompromittierte Steuerungsebene ihn nicht verlängern kann.

Aufbewahrung

Zustandsproben: 90 Tage. Nutzungseimer: als Nutzungs- und Abrechnungsnachweis. Instanz-, Lizenz- und Berechtigungsdaten: für die Laufzeit und danach als deren Beleg. Protokolleinträge: zur Integrität der Kette — siehe die Grenze unten.

Die Grenze der Löschung

Die Prüfkette ist hash-verkettet, und genau das macht sie zum Beleg; einzelne Zeilen sind deshalb nicht auf gewöhnlichem Weg löschbar. Ist die Löschung eines Eintrags erforderlich, besprechen wir das Machbare — in der Regel die Schwärzung eines Feldes statt der Entfernung einer Zeile.

Bei Beendigung

Wie in der allgemeinen Vereinbarung: Rückgabe oder Löschung nach Ihrer Wahl, standardmäßig 30 Tage Exportmöglichkeit, Sicherungen laufen nach ihrem eigenen Zyklus ab.