Auftragsverarbeitung (AVV)

Vertragsparteien

Dieser Vertrag zur Auftragsverarbeitung (nachfolgend „Vertrag“ oder „AVV“) wird geschlossen zwischen dem Kunden, der die tidiam-Plattform nutzt, mit den im Kundenkonto hinterlegten Angaben (Firma, Anschrift, vertretungsberechtigte Person) (nachfolgend „Verantwortlicher“) und

VIZYOU-SOLUTIONS GmbH, Alfredstr. 73, 45130 Essen, vertreten durch ihre Geschäftsführung, E-Mail: privacy@tidiam.com (nachfolgend „Auftragsverarbeiter“), gemeinsam die „Parteien“.

Präambel

Der Auftragsverarbeiter erbringt für den Verantwortlichen die Leistung „tidiam“, eine Software-as-a-Service-Plattform für Identity Security Posture Management (Erkennung von Fehlkonfigurationen und Compliance-Risiken in Identitätssystemen). Im Rahmen dieser Leistung verarbeitet der Auftragsverarbeiter personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO. Er gilt für alle Tätigkeiten, die mit dem zugrunde liegenden Hauptvertrag (Nutzungs- bzw. Servicevertrag / AGB) zusammenhängen und bei denen Beschäftigte oder Beauftragte des Auftragsverarbeiters personenbezogene Daten des Verantwortlichen verarbeiten.

Wesentliches Merkmal der Leistung: tidiam arbeitet ausschließlich lesend. Es findet kein Provisioning, keine Veränderung, kein Löschen und kein Zurückschreiben von Daten in die Quellsysteme des Verantwortlichen statt.

§ 1 Gegenstand und Dauer des Auftrags

(1) Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung der tidiam-Plattform, insbesondere das Auslesen, Speichern, Analysieren und Auswerten von Identitäts- und Konfigurationsdaten aus den vom Verantwortlichen angebundenen Quellsystemen (z. B. Microsoft Entra ID, Active Directory, Okta, Keycloak).

(2) Die Dauer des Auftrags entspricht der Laufzeit des Hauptvertrags. Der Vertrag endet automatisch mit Beendigung des Hauptvertrags, ohne dass es einer gesonderten Kündigung bedarf.

(3) Die Verarbeitung der Plattformdaten erfolgt ausschließlich in Rechenzentren in Deutschland (Hetzner, Falkenstein) bzw. im Gebiet der Europäischen Union / des Europäischen Wirtschaftsraums, soweit nicht in Anlage 2 (Unterauftragsverarbeiter) ausdrücklich etwas anderes geregelt und durch geeignete Garantien nach Kapitel V DSGVO abgesichert ist.

§ 2 Art und Zweck der Verarbeitung, Datenkategorien und Betroffene

Zweck und Art der Verarbeitung. Zweck der Verarbeitung ist die Analyse der Identitäts- und Berechtigungslandschaft des Verantwortlichen zur Erkennung von Sicherheits- und Compliance-Risiken sowie die Erstellung auditfähiger Berichte. Die Art der Verarbeitung umfasst: Erheben (Auslesen aus Quellsystemen über sichere Schnittstellen), Speichern, Strukturieren, Auswerten, Aufbereiten in Berichten und Löschen.

Kategorien betroffener Personen.

• Beschäftigte, ehemalige Beschäftigte und ggf. externe Identitäten (Gastkonten) des Verantwortlichen, die in den angebundenen Identitätssystemen geführt werden;
• Inhaber von Dienst-/Service-Konten sowie privilegierten Konten des Verantwortlichen;
• administrative Nutzer des Verantwortlichen, die ein tidiam-Benutzerkonto besitzen;
• Beschäftigte von Dienstleistern des Verantwortlichen, soweit ihnen in den angebundenen Systemen über eine Delegation (z. B. Azure Lighthouse) Zugriff auf Ressourcen des Verantwortlichen eingeräumt ist.

Kategorien personenbezogener Daten.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Verantwortliche stellt sicher, dass über die angebundenen Systeme keine solchen Daten an den Auftragsverarbeiter übermittelt werden.

§ 3 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Dieser Vertrag, die Konfiguration der Leistung durch den Verantwortlichen sowie die im Hauptvertrag beschriebene Leistung stellen die initialen Weisungen dar. Weitere Weisungen erfolgen in Textform (z. B. E-Mail) an die in § 14 genannte Kontaktstelle.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie bestätigt oder geändert wird.

§ 4 Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich auf dokumentierte Weisung, einschließlich Übermittlungen in Drittländer (Art. 28 Abs. 3 lit. a DSGVO).
• Sicherstellung, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO).
• Ergreifung aller nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen; diese sind in Anlage 1 beschrieben (Art. 28 Abs. 3 lit. c DSGVO).
• Einhaltung der Bedingungen für die Inanspruchnahme weiterer Auftragsverarbeiter (§ 6, Anlage 2; Art. 28 Abs. 3 lit. d DSGVO).
• Unterstützung des Verantwortlichen bei der Beantwortung von Anträgen Betroffener (§ 7) sowie bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (§ 8), unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen (Art. 28 Abs. 3 lit. e und f DSGVO).
• Löschung oder Rückgabe der Daten nach Abschluss der Leistung gemäß § 10 (Art. 28 Abs. 3 lit. g DSGVO).
• Bereitstellung aller erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten sowie Ermöglichung und Beitrag zu Überprüfungen/Audits gemäß § 9 (Art. 28 Abs. 3 lit. h DSGVO).
• Führung eines Verzeichnisses aller Verarbeitungstätigkeiten im Auftrag (Art. 30 Abs. 2 DSGVO).
• Benennung eines Ansprechpartners für Datenschutzfragen gemäß § 14.

§ 5 Technische und organisatorische Maßnahmen (TOM)

(1) Der Auftragsverarbeiter setzt die in Anlage 1 dokumentierten technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO um und hält sie während der gesamten Vertragslaufzeit aufrecht.

(2) Die Maßnahmen unterliegen der technischen Fortentwicklung. Der Auftragsverarbeiter darf sie anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dem Verantwortlichen mitgeteilt.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche stimmt der Inanspruchnahme der in Anlage 2 aufgeführten Unterauftragsverarbeiter zu (allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 DSGVO).

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter. Der Verantwortliche kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichen Grund widersprechen.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten dieses Vertrags entsprechen (Art. 28 Abs. 4 DSGVO). Für Übermittlungen in Drittländer werden geeignete Garantien nach Kapitel V DSGVO (insb. EU-Standardvertragsklauseln bzw. Angemessenheitsbeschluss/Data Privacy Framework) sichergestellt.

(4) Als Unterauftragsverarbeitung gelten nicht Nebenleistungen, die der Auftragsverarbeiter als Hilfsdienst in Anspruch nimmt (z. B. reine Telekommunikationsleistungen ohne konkreten Bezug zu den Daten).

§ 7 Rechte der betroffenen Personen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung von Betroffenenrechten (Art. 15 bis 22 DSGVO).

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, sofern keine Weisung des Verantwortlichen vorliegt.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, in Textform.

(2) Die Meldung enthält, soweit verfügbar: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen sowie ergriffene/vorgeschlagene Gegenmaßnahmen.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO. Die Pflicht zur Meldung an die Aufsichtsbehörde und an Betroffene obliegt dem Verantwortlichen.

§ 9 Kontrollrechte und Nachweise

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Verantwortliche kann sich von der Einhaltung der TOM vor Beginn und danach regelmäßig überzeugen. Der Nachweis kann durch aktuelle Zertifikate/Berichte (z. B. nach genehmigten Verhaltensregeln, Audit-Berichte) oder durch Vorlage geeigneter Dokumentation erbracht werden.

(3) Vor-Ort-Kontrollen sind mit angemessener Vorankündigung (14 Tage), während der üblichen Geschäftszeiten und so durchzuführen, dass der Geschäftsbetrieb des Auftragsverarbeiters nicht unverhältnismäßig beeinträchtigt wird.

§ 10 Löschung und Rückgabe von Daten

(1) Nach Abschluss der Leistung löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht (Art. 28 Abs. 3 lit. g DSGVO).

(2) Aufgrund der mandantengetrennten Architektur (eigenes Datenbank-Schema pro Organisation) werden bei Beendigung sämtliche Daten des Verantwortlichen durch Löschung des Mandanten-Schemas entfernt; verknüpfte Daten werden kaskadierend mitgelöscht.

(3) Der Export bzw. die Rückgabe der Daten erfolgt auf Anforderung innerhalb von 30 Tagen in einem gängigen Format; die endgültige Löschung erfolgt spätestens 90 Tage nach Vertragsende (entsprechend § 9 der AGB). Die Löschung wird auf Verlangen in Textform bestätigt.

§ 11 Haftung

Für die Haftung gelten die Bestimmungen des Art. 82 DSGVO sowie die Regelungen des Hauptvertrags. Im Verhältnis der Parteien haftet jede Partei für Schäden, die durch ihren jeweiligen Verstoß gegen die Pflichten aus diesem Vertrag bzw. der DSGVO verursacht werden.

§ 12 Vertraulichkeit

Der Auftragsverarbeiter verpflichtet alle mit der Verarbeitung befassten Personen vor Aufnahme der Tätigkeit zur Vertraulichkeit. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

§ 13 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Dies gilt auch für die Abbedingung des Textformerfordernisses.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in Bezug auf den Datenschutz vor.

(3) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die unwirksame Bestimmung ist durch eine wirksame zu ersetzen, die dem wirtschaftlichen Zweck am nächsten kommt.

(4) Es gilt das Recht der Bundesrepublik Deutschland.

§ 14 Kontaktstellen

§ 15 Vertragsschluss in elektronischer Form

Dieser AVV wird als Anlage zu den Allgemeinen Geschäftsbedingungen (AGB) einbezogen (vgl. § 9 Abs. 1 der AGB). Mit der Annahme der AGB im Bestell- bzw. Buchungsprozess (aktives Ankreuzen des entsprechenden Kästchens) schließen die Parteien diesen AVV in elektronischer Form wirksam ab; eine eigenhändige Unterschrift ist nicht erforderlich (Art. 28 Abs. 9 DSGVO). Der Auftragsverarbeiter protokolliert Version und Zeitpunkt der Annahme. Auf Wunsch, insbesondere im Enterprise-Tarif, stellt der Auftragsverarbeiter eine unterschriftsreife Fassung bereit.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die folgenden Maßnahmen beschreiben den Stand zum Erstellungsdatum dieses Dokuments.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zutrittskontrolle: Hosting in einem ISO-zertifizierten Rechenzentrum in Deutschland (Hetzner, Falkenstein); physische Sicherheit durch den Rechenzentrumsbetreiber.
• Zugangskontrolle: Server-Zugriff ausschließlich über SSH mit Schlüssel-Authentifizierung (kein Passwort-Login); Root-Login deaktiviert; Zugriff nur über dedizierten Deploy-Benutzer. Getrennte App- und Datenbank-Server in einem privaten Netz; die Datenbank ist nicht öffentlich erreichbar. Anwendungs-Authentifizierung über JWT mit Verifizierung der E-Mail vor Aktivierung; optionale Zwei-Faktor-Authentifizierung (TOTP) für Plattform-Nutzer; bei Single Sign-on wird eine nachgewiesene MFA des Identitätsanbieters verlangt.
• Zugriffskontrolle: Mandantentrennung über getrennte Datenbank-Schemata pro Organisation (Schema-per-Tenant); Trennung der Zugriffe über TenantMiddleware anhand des JWT; rollenbasierte Anwendungsberechtigungen.
• Trennungskontrolle: Logische Trennung der Mandantendaten auf Datenbankebene; getrennte Demo- und Produktivumgebung (die Demo-Umgebung verarbeitet ausschließlich synthetische Daten).
• Pseudonymisierung/Verschlüsselung: Connector-Geheimnisse (z. B. Client-Secrets, Bind-Passwörter) werden mit Fernet (AES-128-CBC + HMAC-SHA256, authentifizierte Verschlüsselung) verschlüsselt gespeichert; Passwörter werden ausschließlich als Hash gespeichert; Passwort-Reset- und Einladungs-Token werden gehasht abgelegt. Bei der Active-Directory-Anbindung über den Collector-Agenten verbleiben die Zugangsdaten auf den Systemen des Kunden und werden nicht an den Auftragsverarbeiter übertragen.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Übertragungssicherheit: Transportverschlüsselung durchgängig über TLS. Anbindung an Active Directory ausschließlich über LDAPS (Port 636); unverschlüsseltes LDAP und StartTLS werden serverseitig abgelehnt (Schutz vor Downgrade-Angriffen). Der Collector-Agent kommuniziert ausschließlich ausgehend über HTTPS.
• Eingabe-/Verarbeitungskontrolle: Protokollierung sicherheitsrelevanter Ereignisse in einem Audit-Log; signierte und verifizierte Webhooks (Zahlungsabwicklung).
• Read-only-Architektur: tidiam besitzt keine Schreibrechte auf die Quellsysteme; eine unbeabsichtigte Veränderung von Kundendaten ist architektonisch ausgeschlossen.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Betrieb in Docker-Containern mit Health-Checks; Reverse Proxy (Nginx) mit Rate-Limiting (API und Authentifizierung getrennt) zum Schutz vor Überlast. Der eingehende Netzwerkverkehr ist auf die Cloudflare-Edge beschränkt.
• Firewall (UFW) und Intrusion-Prevention (fail2ban) auf Server-Ebene.
• Datensicherung/Wiederherstellbarkeit: Automatisierte, verschlüsselte Backups der Datenbank (täglich); zusätzlich ein client-seitig verschlüsseltes Offsite-Backup in einem zweiten Rechenzentrum innerhalb der EU. Aufbewahrung nach einem Generationenprinzip; regelmäßige, protokollierte Wiederherstellungstests (Restore-Tests).

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

• Fehler- und Ausnahme-Monitoring des Backends und Frontends (Sentry, EU-Data-Residency); personenbezogene Daten werden in Fehler-Payloads soweit möglich reduziert bzw. maskiert.
• Automatisierte Tests als Teil des Deployment-Prozesses; gesteuertes Deployment über CI/CD.
• Gehärtete HTTP-Sicherheitsheader (HSTS, X-Content-Type-Options, Content-Security-Policy, Referrer-Policy, Permissions-Policy); API-Dokumentation in Produktion deaktiviert; Server-Version verborgen.

Anlage 2: Unterauftragsverarbeiter

1. Unterauftragsverarbeiter mit Verarbeitung personenbezogener Kundendaten

Hinweis zu Cloudflare: Die API-Hosts (api.tidiam.com) werden über Cloudflare geroutet; Cloudflare terminiert das TLS an der Edge und sieht den API-Verkehr damit transient im Klartext (Verarbeitung in transit). Cloudflare ist daher kein reiner CDN-/DNS-Dienstleister, sondern verarbeitet vorübergehend auch Kundendaten. Eine dauerhafte Speicherung der Kundendaten bei Cloudflare findet nicht statt (Datenhaltung at rest ausschließlich bei Hetzner in Deutschland).

2. Dienstleister ohne Verarbeitung personenbezogener Kundendaten

Diese Dienste verarbeiten keine Identitätsdaten von Kunden, werden aber der Vollständigkeit halber offengelegt:

3. Hinweise

• Datenhaltung (at rest) erfolgt ausschließlich bei Hetzner in Deutschland (Falkenstein); das client-seitig verschlüsselte Offsite-Backup liegt in einem zweiten Rechenzentrum innerhalb der EU.
• tidiam informiert Kunden über beabsichtigte Änderungen dieser Liste gemäß den Regelungen des AVV (Widerspruchsrecht).
• Die Demo-Umgebung (demo.tidiam.com) verarbeitet ausschließlich synthetische Daten. Die auf der Website erhobenen Kontakt- und Demo-Anfragedaten (Interessenten) verarbeitet VIZYOU-SOLUTIONS GmbH in eigener datenschutzrechtlicher Verantwortung; sie sind nicht Gegenstand dieses AVV und werden in der Datenschutzerklärung behandelt.