GOpenCDR-Anhang zur Auftragsverarbeitung

Was dieser Anhang ist

Der Auftragsverarbeitungsvertrag ist die Vereinbarung nach Art. 28 DSGVO für jeden gehosteten Dienst. Dieser Anhang nennt, was für die Enterprise-Dienste von GOpenCDR besonders ist, die privaten Mirrors, privaten Namensräume und die Organisationsverwaltung, die die Enterprise-Bedingungen beschreiben. Wo Anhang und Vertrag in einem Punkt zu GOpenCDR voneinander abweichen, geht der Anhang vor.

Er gilt nicht für Registrierungsdaten in gehosteten TLDs, für die Gelhaus Solutions und der TLD-Betreiber nach der Vereinbarung über die gemeinsame Verantwortlichkeit gemeinsam verantwortlich sind, und nicht für das, was wir als Verantwortliche nach dem GOpenCDR-Datenschutzhinweis verarbeiten.

Art und Zweck der Verarbeitung

Der Betrieb der Enterprise-Dienste, die der Kunde bestellt hat: die Auflösung von Anfragen aus den Netzen des Kunden auf seinen privaten Mirrors; die Auslieferung der privaten Zonen des Kunden auf diesen Mirrors; die Verwaltung der Mitglieder, Rollen, Dienstkonten und des Single Sign-on des Kunden; und die Übertragung von Audit-Ereignissen an den Kunden. Sonst nichts.

Kategorien betroffener Personen

• Die Beschäftigten des Kunden und die weiteren Mitglieder, die er aufnimmt.
• Menschen und Geräte, deren DNS-Anfragen die privaten Mirrors des Kunden erreichen.
• Menschen oder Geräte, die in den privaten Zonen des Kunden genannt sind, sofern der Kunde welche nennt.

Kategorien personenbezogener Daten

• Mitgliederdaten: der Name und die E-Mail-Adresse, die der Identitätsanbieter des Kunden liefert, die Kennung aus dem Single Sign-on, über SCIM bereitgestellte Gruppenzugehörigkeiten, Rollen, Sitzungen und Passkeys.
• Resolver-Daten: die Client-Adresse, der abgefragte Name und Typ, die Uhrzeit und der Antwortcode, und nur, wenn die Konfiguration des Kunden das Abfrageprotokoll einschaltet. Standardmäßig führt ein privater Mirror kein Protokoll, das eine Abfrage länger als 24 Stunden mit einer Client-Adresse verbindet, und auch das nur zur Fehlersuche.
• Zonendaten, die der Kunde einträgt. Hostnamen können eine Person oder ein Gerät erkennbar machen.
• Audit-Ereignisse zur Organisation des Kunden.

Der Dienst ist nicht für besondere Kategorien personenbezogener Daten gebaut, und der Kunde trägt solche nicht in Zonen oder Namen ein.

Verarbeitungsvorgänge

Speichern, Auflösen, Veröffentlichen von Zonen auf den Mirrors des Kunden, Zugriffskontrolle, Übertragung von Audit-Ereignissen, Sichern und Löschen.

Unterauftragsverarbeiter

• IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland: Server-Hosting in Deutschland.
• Sentry (Functional Software, Inc.), in dessen EU-Datenregion: Fehlerberichte. Es ist so konfiguriert, dass es keine Nutzerkennung, kein Cookie, keinen Header, keinen Anfrageinhalt, keine Query-Parameter und keine Werte lokaler Variablen erhält. Ein Fehlerbericht enthält die Ausnahme, ihren Stacktrace, die betroffene Route und die Anfragekennung. Functional Software, Inc. sitzt in den Vereinigten Staaten und ist nach dem EU-US Data Privacy Framework zertifiziert.

Ein privater Mirror läuft entweder auf unseren Servern bei IONOS in Deutschland oder auf Infrastruktur, die der Kunde bereitstellt, wie es die Bestellung festlegt. Auf der eigenen Infrastruktur des Kunden erreichen wir ihn nur über den Mirror-Agenten.

Besondere Sicherheitsmaßnahmen dieses Dienstes

• Die Daten des Kunden werden in Datenspeichern, Caches, Protokollen, Sicherungen und Support-Werkzeugen von denen aller anderen Kunden getrennt gehalten.
• Das Abfrageprotokoll ist ausgeschaltet, solange der Kunde es nicht einschaltet. Die Ratenbegrenzung hält ihre Zähler je Adresse nur im Arbeitsspeicher.
• Mitglieder melden sich über das Single Sign-on des Kunden an, für Domains, deren Inhaberschaft verifiziert ist; administrative Rollen brauchen einen Passkey.
• Mirror-Agenten signieren jede Anfrage mit ihrem eigenen Schlüssel. Schlüssel liegen in unserem Schlüsselspeicher und verlassen ihn nie.
• Audit-Einträge werden nur angefügt, und jede Änderung in der Organisation des Kunden erzeugt einen.

Aufbewahrung

• Abfrageprotokolle der Resolver: wie der Kunde sie konfiguriert, höchstens so lange, wie die Bestellung es erlaubt. Standardmäßig keine, und Protokolle zur Fehlersuche werden innerhalb von 24 Stunden gelöscht.
• Mitglieder- und Zonendaten: für die Laufzeit der Bestellung, danach zurückgegeben oder gelöscht, wie es der Auftragsverarbeitungsvertrag vorsieht.
• Audit-Ereignisse: für die Laufzeit der Bestellung. Der Kunde behält über die Übertragung seine eigene Kopie.
• Sicherungen laufen in ihrem eigenen Zyklus ab und werden nur zur Wiederherstellung des Dienstes eingespielt.

Bei Beendigung

Der Kunde kann seine Daten jederzeit exportieren. Nach dem Ende einer Bestellung bleiben die Daten 30 Tage für den Export verfügbar und werden dann gelöscht, wie es der Auftragsverarbeitungsvertrag vorsieht.