Auftragsverarbeitung (AVV)

Gegenstand und Dauer der Verarbeitung

Der Auftragsverarbeitungsvertrag (AVV) regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter (Resilience Platform) im Auftrag des Verantwortlichen. Die Verarbeitung erfolgt ausschließlich im Rahmen der bereitgestellten Dienstleistungen zur DORA-Testprogramm-Verwaltung, Risikoanalyse und Compliance-Dokumentation.

Art und Zweck der Verarbeitung

Die Verarbeitung umfasst folgende Tätigkeiten:

• Speicherung und Verwaltung von Nutzerkonten und Zugangsdaten
• Erfassung und Dokumentation von Testergebnissen im DORA-Kontext
• Verwaltung von Nachweisen und Evidence-Dateien
• Protokollierung von Änderungen und Freigabeprozessen
• Bereitstellung von Auswertungen und Berichten

Kategorien betroffener Personen

Von der Verarbeitung betroffen sind:
Mitarbeiter und Beauftragte des Verantwortlichen, die zur Nutzung der Resilience Platform berechtigt sind.

Kategorien personenbezogener Daten

Folgende Datenkategorien können verarbeitet werden:

• Stammdaten: Name, E-Mail-Adresse, Funktion
• Zugangsdaten: Passwort (gehasht), Login-Protokolle
• Inhaltsdaten: Eingaben in Formulare, hochgeladene Dokumente
• Metadaten: Zeitstempel, IP-Adressen (in Protokollen)

Technische und organisatorische Maßnahmen

Die im Rahmen des AVV erforderlichen technischen und organisatorischen Maßnahmen (TOM) sind im dazugehörigen TOM-Dokument detailliert beschrieben. Der Auftragsverarbeiter gewährleistet ein dem Risiko angemessenes Schutzniveau gemäß Art. 32 DSGVO.

Unterauftragsverhältnisse

Eine Einschaltung weiterer Unterauftragsverarbeiter bedarf der vorherigen schriftlichen Zustimmung des Verantwortlichen. Folgende Unterauftragsverarbeiter sind derzeit zugelassen:

• Hetzner Online GmbH (Rechenzentrum, Betriebsumgebung)
• GitHub, Inc. (Versionsverwaltung, CI/CD)

Rechte und Pflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) und bei der Einhaltung der Meldepflichten gemäß Art. 33, 34 DSGVO. Der Verantwortliche bleibt jederzeit Eigentümer seiner Daten.

Kontakt für AVV-Anfragen

Alexander Martens
E-Mail: alexander.martens@amartens.com