Auftragsverarbeitungsvereinbarung

Parteien und Geltung dieser AVV

Diese AVV wird geschlossen zwischen der Sencai Tech s.r.o. mit Sitz in Prag, Tschechische Republik, eingetragen beim Stadtgericht Prag („Sencai“, „wir“), und dem Kunden, der die Allgemeinen Geschäftsbedingungen akzeptiert hat („Sie“). Sie ist Bestandteil der AGB und wird mit deren Annahme verbindlich; eine gesonderte Unterschrift ist nicht erforderlich. Wenn Sie für Ihre Unterlagen einen Unterschriftsnachweis wünschen, kann ein Owner oder Admin Ihrer Organisation diese AVV in der Plattform unterzeichnen. Die aktuelle Fassung ist unter sencai.space/legal/dpa/ veröffentlicht. Dies ist Version 1.0 dieser AVV. Für Kunden, die eine frühere Fassung der AGB akzeptiert haben, gilt sie als Änderung der AGB nach deren Bestimmungen über Änderungen.

Anwendungsbereich und Rollen

Diese AVV gilt für personenbezogene Daten, die Sencai bei der Erbringung des Dienstes in Ihrem Auftrag verarbeitet, wie nachstehend beschrieben („personenbezogene Kundendaten“). Für personenbezogene Kundendaten sind Sie bzw. die Organisation, die Sie vertreten, Verantwortlicher und Sencai ist Auftragsverarbeiter. Sind Sie selbst Auftragsverarbeiter für einen anderen Verantwortlichen - etwa ein Managed Service Provider, der für seine Kunden tätig ist -, handelt Sencai als Ihr Unterauftragsverarbeiter, und Sie stellen sicher, dass Ihre Weisungen an Sencai von diesem Verantwortlichen autorisiert sind. Personenbezogene Daten, die Sencai für eigene Zwecke verarbeitet, etwa für die Kontoregistrierung, die Abrechnung und die Absicherung des Dienstes, fallen nicht unter diese AVV und unterliegen der Datenschutzerklärung, nach der Sencai Verantwortlicher ist. Manche Aufzeichnungen, etwa Anmeldeereignisse und der Audit-Trail, dienen beiden Zwecken: Diese werden im Rahmen dieser AVV verarbeitet, wenn sie zur Erbringung des Dienstes für Sie verwendet werden, und im Rahmen der Datenschutzerklärung, wenn sie zur Absicherung des Dienstes verwendet werden.

Rangfolge und Sprache

Widersprechen sich diese AVV und die AGB hinsichtlich der Verarbeitung personenbezogener Daten, hat diese AVV Vorrang. Diese AVV ist in englischer Sprache verfasst. Übersetzungen werden lediglich zur Erleichterung bereitgestellt; weicht eine Übersetzung von der englischen Fassung ab, ist die englische Fassung maßgeblich.

Gegenstand, Dauer, Art und Zweck

Gegenstand der Verarbeitung ist die Bereitstellung der Sencai-Plattform, einer Multi-Cloud-Control-Plane, die nach den AGB als Software-as-a-Service bereitgestellt wird. Die Verarbeitung erfolgt für die Laufzeit der Vereinbarung und danach, bis die personenbezogenen Kundendaten wie im Abschnitt über Löschung und Rückgabe beschrieben gelöscht sind. Sie umfasst das Erheben von Daten über die von Ihnen eingerichteten Verbindungen; ihr Speichern, Ordnen und Anzeigen für Ihre berechtigten Nutzer; ihre Analyse, etwa für Sicherheitsscans, Kostenanalysen und, soweit Sie diese nutzen, die KI-Funktionen; ihre Übermittlung an Ihre Infrastruktur und an die Anbieter, mit denen Sie über die Plattform arbeiten; die Ausführung der von Ihnen angeforderten Aktionen bei Cloud-Anbietern und auf Ihren Servern; sowie ihr Löschen. Zweck ist die Erbringung des Dienstes für Sie gemäß den AGB und Ihren Weisungen, einschließlich des von Ihnen angeforderten Supports und der nach Artikel 32 DSGVO erforderlichen Sicherheit dieser Verarbeitung.

Kategorien betroffener Personen

Personenbezogene Kundendaten können sich auf folgende betroffene Personen beziehen:

• Ihre berechtigten Nutzer der Plattform, etwa Ihre Mitarbeiter und Auftragnehmer.
• Angehörige Ihrer Belegschaft, deren Datensätze aus einem von Ihnen verbundenen Verzeichnisdienst synchronisiert werden, etwa Microsoft Entra ID, Microsoft 365 oder Google Workspace.
• Personen, deren personenbezogene Daten in der Infrastruktur, den Servern, Logs, Terminal-Sitzungen oder Secret-Werten enthalten sind, die Sie über die Plattform verbinden oder verwalten, zum Beispiel Ihre eigenen Kunden und Endnutzer.

Kategorien personenbezogener Daten

Je nach den von Ihnen genutzten Funktionen können personenbezogene Kundendaten die nachstehenden Kategorien umfassen. Der Dienst ist nicht für besondere Kategorien personenbezogener Daten (Artikel 9 DSGVO) oder personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten (Artikel 10 DSGVO) ausgelegt. Enthalten Ihre Infrastruktur, Ihre Logs oder Ihre Secret-Werte solche Daten, sind Sie dafür verantwortlich, vor deren Verarbeitung über den Dienst zu beurteilen, ob die Maßnahmen dieser AVV angemessen sind.

• Infrastrukturdaten: Inventar, Konfiguration und Metadaten der Cloud-Ressourcen und Server, die Sie verbinden oder bereitstellen, etwa Ressourcennamen, Tags, IP-Adressen, DNS-Einträge und Firewall-Regeln, die personenbezogene Daten enthalten können.
• Zugangsdaten für die Cloud-Konten, die Sie verbinden, verschlüsselt gespeichert.
• Daten, die der Sencai-Agent auf Servern erhebt, auf denen Sie ihn installieren, etwa installierte Software und Patch-Status, Ergebnisse von Sicherheitsscans sowie System- und Anwendungslogs.
• Browser-Terminal-Sitzungen: Aufzeichnungen darüber, wer sich wann mit welchem Server verbunden hat, sowie die Daten, die eine Sitzung durchlaufen, solange sie geöffnet ist.
• Verzeichnis- und Identitätsdaten, sofern Sie einen Verzeichnisdienst verbinden: Benutzer- und Gruppendatensätze, Anmelde- und Administrationsereignisse einschließlich E-Mail-Adressen, IP-Adressen und Browser- oder Geräteinformationen sowie das Postfachinventar.
• Der Audit-Trail Ihrer Organisation: welcher Nutzer wann welche Aktion ausgeführt hat, mit IP-Adresse und Browserinformationen.
• Secret-Werte, die Sie für Secret Injection bereitstellen.
• Inhalte, die Sie an die KI-Funktionen übermitteln, zusammen mit dem dabei mitgesendeten Infrastrukturkontext.

Dokumentierte Weisungen

Sencai verarbeitet personenbezogene Kundendaten nur auf Ihre dokumentierte Weisung, auch in Bezug auf Übermittlungen in Länder außerhalb des Europäischen Wirtschaftsraums, sofern nicht das Recht der EU oder eines Mitgliedstaats etwas anderes vorschreibt; in diesem Fall teilt Sencai Ihnen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Ihre Weisungen sind die AGB, diese AVV sowie die Art und Weise, wie Sie den Dienst nutzen und konfigurieren, auch über seine Oberfläche und API. Zusätzliche Weisungen müssen schriftlich erteilt werden, zum Beispiel an privacy@sencai.space, und mit den AGB vereinbar sein. Sencai informiert Sie unverzüglich, wenn eine Weisung seiner Auffassung nach gegen die DSGVO oder andere Datenschutzvorschriften der EU oder der Mitgliedstaaten verstößt. Sie sind für die Rechtmäßigkeit Ihrer Weisungen und der personenbezogenen Daten verantwortlich, die Sie über den Dienst verarbeiten.

Vertraulichkeit

Sencai gewährt Zugang zu personenbezogenen Kundendaten nur Personen, die ihn zur Erbringung, zum Support oder zur Absicherung des Dienstes benötigen, und stellt sicher, dass alle zur Verarbeitung personenbezogener Kundendaten befugten Personen an Vertraulichkeitspflichten gebunden sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Sicherheit der Verarbeitung

Sencai trifft technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, wie es Artikel 32 DSGVO vorschreibt. Zu den derzeit umgesetzten Maßnahmen gehören die nachstehend aufgeführten. Sencai kann sie entsprechend der Entwicklung von Technik und Risiken aktualisieren, sofern das Sicherheitsniveau insgesamt nicht gesenkt wird.

• Hosting der Plattform in EU-Regionen von Google Cloud.
• Trennung zwischen Organisationen: Ressourcen sind der Organisation zugeordnet, zu der sie gehören, und der Zugriff Ihrer Nutzer wird anhand dieser Organisation geprüft.
• Rollenbasierter Zugriff innerhalb jeder Organisation, sodass Nutzer nur sehen und ändern können, was ihre Rolle erlaubt.
• Verschlüsselung mit TLS für Verbindungen zur Plattform über öffentliche Netze; der Sencai-Agent auf Servern nutzt zusätzlich eine gegenseitig authentifizierte Verbindung.
• Verschlüsselung im Ruhezustand (AES-256-GCM) der Zugangsdaten für verbundene Cloud-Konten, die über die Plattform nicht wieder angezeigt werden.
• Secret-Werte, die in Sencai Vault gespeichert sind, wie im nächsten Abschnitt beschrieben.
• Schutz der Anmeldung vor wiederholtem Erraten von Passwörtern, kurzlebige Zugriffstoken sowie Unterstützung für Multi-Faktor-Authentifizierung und Single Sign-on.
• Netzwerkrichtlinien, die begrenzen, welche internen Dienste miteinander kommunizieren können.
• Ein Append-only-, hash-verketteter Audit-Trail, in dem die Änderung oder Entfernung eines früheren Eintrags erkennbar ist.
• Backups der Plattformdatenbank, die verschlüsselt werden, bevor sie gespeichert werden.

Sencai Vault und Secret Injection

Soweit Sie Secret Injection nutzen, speichert Sencai die von Ihnen bereitgestellten Secret-Werte im Ruhezustand verschlüsselt in Sencai Vault, einem Secret-Speicher, den Sencai selbst auf der Infrastruktur von Google Cloud in der EU betreibt. Sencai verwendet diese Werte ausschließlich zur Zustellung an Ihre eigene Infrastruktur: einen Kubernetes-Cluster oder - sofern Sie dies aktivieren - Server, auf denen der Sencai-Agent läuft, und dort nur an Speicherorte, die die eigene Konfiguration des jeweiligen Clusters oder Servers zulässt. Gespeicherte Werte können über die Plattform weder angezeigt noch exportiert werden. Plattformdienste können auf sie nur über dedizierte Zugangsdaten zugreifen, die darauf beschränkt sind, sie zu speichern, zur Zustellung auszulesen oder zu löschen, und der Datenverkehr zwischen Plattformdiensten und Sencai Vault ist mit TLS verschlüsselt. Sencai Vault führt einen Audit-Trail der Zugriffe, in dem Zugangsdaten nur als schlüsselbasierte Hashwerte (HMAC) erscheinen. Jede Zustellung wird mit einem Schlüssel verschlüsselt, der ausschließlich für diese Zustellung erzeugt wird. Ein Wert wird für einen Cluster oder Server erst freigegeben, nachdem ein Administrator Ihrer Organisation dessen Agenten das Vertrauen ausgesprochen hat, und nur für die Zugangsdaten, die dieser Agent zu diesem Zeitpunkt hatte. Frühere Versionen eines ersetzten Werts können aufbewahrt werden, bis die Secret Injection widerrufen oder gelöscht wird. Nach ihrem Widerruf oder ihrer Löschung löscht Sencai den Wert einschließlich aller aufbewahrten Versionen unverzüglich aus Sencai Vault, und Sencai löscht alle solchen Werte, bevor eine Organisation gelöscht wird. Wenn Sie eine Secret Injection widerrufen, weist Sencai den Agenten, der den Wert erhalten hat, an, ihn zu entfernen, sofern eine solche Anweisung gesendet werden kann; kann sie nicht gesendet werden oder wird die Entfernung nicht bestätigt, etwa weil der Agent offline ist oder getrennt wurde oder die Zustellung abgeschaltet ist, kann der Wert in Ihrer Infrastruktur verbleiben. Jede an Ihre Infrastruktur zugestellte Kopie unterliegt Ihrer Kontrolle und kann von jeder Person gelesen werden, die ausreichenden Zugriff auf das System hat, auf dem sie sich befindet, einschließlich privilegierter Benutzer und aller Personen, denen Sie erlauben, über den Sencai-Agenten Befehle auszuführen.

Unterauftragsverarbeiter

Sie erteilen Sencai eine allgemeine schriftliche Genehmigung, die im Verzeichnis der Unterauftragsverarbeiter unter sencai.space/legal/subprocessors/ aufgeführten Unterauftragsverarbeiter in Anspruch zu nehmen. Sencai erlegt jedem Unterauftragsverarbeiter durch einen schriftlichen Vertrag Datenschutzpflichten auf, die mindestens dasselbe Schutzniveau bieten wie die dieser AVV, insbesondere hinreichende Garantien dafür, dass geeignete technische und organisatorische Maßnahmen umgesetzt werden, wie es Artikel 28 Absatz 4 DSGVO vorschreibt. Sencai haftet Ihnen gegenüber vorbehaltlich des Abschnitts „Haftung“ in vollem Umfang für die Erfüllung der Pflichten jedes Unterauftragsverarbeiters. Cloud-Anbieter, deren Konten Sie selbst verbinden, sind keine Unterauftragsverarbeiter von Sencai: Diese Konten unterliegen weiterhin Ihrem eigenen Vertrag mit dem Anbieter, und Sencai handelt darin ausschließlich auf Ihre Weisung. Soweit Sencai Ihre Ressourcen in von Sencai betriebenen Cloud-Konten ausführt, wird Ihnen der darunterliegende Anbieter vor Beginn der Zusammenarbeit als Unterauftragsverarbeiter benannt und in das Verzeichnis aufgenommen. Sencai kündigt jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 14 Tage vor deren Wirksamwerden an, indem Sencai das Verzeichnis aktualisiert und die Owner Ihrer Organisation per E-Mail benachrichtigt. Sie können der Änderung innerhalb dieser Frist schriftlich an privacy@sencai.space widersprechen; Sencai wird sich dann gemeinsam mit Ihnen nach Treu und Glauben um eine Ausräumung des Widerspruchs bemühen, und lässt er sich nicht ausräumen, können Sie den betroffenen Dienst kündigen - oder die Vereinbarung, wenn der Dienst ohne diesen Unterauftragsverarbeiter nicht erbracht werden kann -, und zwar mit Wirkung vor dem Zeitpunkt, ab dem die Änderung für Ihre Daten gilt.

Internationale Datenübermittlungen

Personenbezogene Kundendaten werden vorrangig in der EU/im EWR gespeichert. Verarbeitet ein Unterauftragsverarbeiter sie außerhalb des Europäischen Wirtschaftsraums, stützt sich die Übermittlung auf die im Verzeichnis für diesen Unterauftragsverarbeiter angegebene Grundlage - einen Angemessenheitsbeschluss der Europäischen Kommission oder die Standardvertragsklauseln -, soweit erforderlich zusammen mit zusätzlichen Garantien. Die KI-Funktionen senden die Inhalte, die Sie an sie übermitteln, an die im Verzeichnis benannten Modellanbieter, die sie außerhalb der EU verarbeiten können; diese Anbieter werden nur eingebunden, wenn Sie diese Funktionen nutzen. Wählen Sie in einem Cloud-Konto, das Sie selbst verbinden, eine Region außerhalb des Europäischen Wirtschaftsraums, gelangen die Daten auf Ihre Weisung dorthin.

Unterstützung bei Anträgen betroffener Personen

Unter Berücksichtigung der Art der Verarbeitung unterstützt Sencai Sie nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer in Kapitel III DSGVO genannten Rechte zu beantworten. Der Dienst bietet hierfür Self-Service-Werkzeuge: Ihre Nutzer können die zu ihrem Konto gespeicherten personenbezogenen Daten exportieren und in den Datenschutzeinstellungen der Plattform die Löschung ihres Kontos beantragen, und der Audit-Trail Ihrer Organisation kann exportiert werden. Reichen diese Werkzeuge nicht aus, leistet Sencai auf Anfrage an privacy@sencai.space angemessene weitere Unterstützung. Erhält Sencai unmittelbar von einer betroffenen Person einen Antrag, der personenbezogene Kundendaten betrifft, informiert Sencai Sie und beantwortet den Antrag nicht selbst, es sei denn, Sie weisen Sencai dazu an oder das Gesetz verlangt es.

Unterstützung bei Sicherheit, Folgenabschätzungen und Konsultationen

Unter Berücksichtigung der Art der Verarbeitung und der Sencai zur Verfügung stehenden Informationen unterstützt Sencai Sie bei der Einhaltung Ihrer Pflichten nach den Artikeln 32 bis 36 DSGVO - Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzungen und vorherige Konsultation einer Aufsichtsbehörde. Dies geschieht insbesondere, indem Sencai diese AVV mit ihrer Beschreibung der Sicherheitsmaßnahmen, das Verzeichnis der Unterauftragsverarbeiter, die Erklärung zum Datenstandort, Verarbeitungsverzeichnisse, sofern Ihr Plan diese umfasst, und einen Export Ihres Audit-Trails bereitstellt und Ihre angemessenen Fragen zu diesen Zwecken beantwortet.

Verletzungen des Schutzes personenbezogener Daten

Sencai meldet Ihnen eine Verletzung des Schutzes personenbezogener Daten, die personenbezogene Kundendaten betrifft, unverzüglich und in jedem Fall innerhalb von 72 Stunden, nachdem Sencai davon Kenntnis erlangt hat, per E-Mail an die Owner Ihrer Organisation. Die Meldung beschreibt, soweit die Informationen zu diesem Zeitpunkt vorliegen, die Art der Verletzung, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze; die wahrscheinlichen Folgen; die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer möglichen nachteiligen Auswirkungen; sowie eine Anlaufstelle für weitere Informationen. Liegen nicht alle diese Informationen gleichzeitig vor, stellt Sencai sie ohne unangemessene weitere Verzögerung schrittweise zur Verfügung. Sencai ergreift angemessene Maßnahmen zur Eindämmung der Verletzung und unterstützt Sie bei der Meldung an die Aufsichtsbehörde und der Benachrichtigung betroffener Personen, soweit Sie dazu verpflichtet sind.

Löschung und Rückgabe bei Vertragsende

Nach Beendigung der Vereinbarung haben Sie 21 Tage Zeit, Ihre Daten über die Exportfunktionen des Dienstes zu exportieren, wie in den AGB festgelegt. Nach Ablauf dieser Frist löscht Sencai die personenbezogenen Kundendaten, sofern nicht nach dem Recht der EU oder eines Mitgliedstaats eine Verpflichtung zu ihrer Speicherung besteht. Die Löschung erfolgt als Prozess und nicht zu einem einzigen Zeitpunkt; bis sie abgeschlossen ist, werden die Daten nur zum Zweck ihrer Löschung aufbewahrt. Zusätzlich gilt:

• Daten in Backups werden nicht aus jedem einzelnen Backup entfernt. Diese Daten werden gelöscht, wenn die Backups, die sie enthalten, gelöscht werden, spätestens ein Jahr nach Erstellung des jeweiligen Backups; bis dahin bleiben die Backups verschlüsselt und werden nur zur Wiederherstellung des Dienstes verwendet.
• Einträge im Audit-Trail Ihrer Organisation werden nicht gelöscht, da der Audit-Trail bewusst als Append-only-Protokoll angelegt ist. Nach Beendigung der Vereinbarung bewahrt Sencai sie als Verantwortlicher ausschließlich für Sicherheits- und Beweiszwecke auf, wie in der Datenschutzerklärung beschrieben, wobei der Zugriff auf diese Zwecke beschränkt ist.
• Secret-Werte in Sencai Vault werden gelöscht, wenn die Secret Injection widerrufen oder gelöscht wird, und in jedem Fall, bevor Ihre Organisation gelöscht wird.
• Ressourcen in Cloud-Konten, die Sie selbst verbinden, bleiben Ihre und werden von Sencai im Rahmen der Vertragsbeendigung niemals gelöscht.

Audits und Informationen

Sencai stellt Ihnen die Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Artikel 28 DSGVO niedergelegten Pflichten erforderlich sind. Dies geschieht in erster Linie durch Dokumentation: diese AVV, das Verzeichnis der Unterauftragsverarbeiter, die Erklärung zum Datenstandort, Verarbeitungsverzeichnisse, sofern Ihr Plan diese umfasst, einen Export Ihres Audit-Trails sowie schriftliche Antworten auf angemessene Sicherheitsfragebögen. Sencai verfügt weder über eine ISO-27001- noch über eine SOC-2-Zertifizierung. Soweit Artikel 28 Absatz 3 Buchstabe h DSGVO dies verlangt oder eine Aufsichtsbehörde es fordert, ermöglicht Sencai zudem Überprüfungen, einschließlich Inspektionen, die von Ihnen oder einem von Ihnen beauftragten Prüfer durchgeführt werden, und trägt zu ihnen bei. Solche Audits erfordern eine angemessene Vorankündigung, erfolgen auf Ihre Kosten und unter Vertraulichkeitspflichten und dürfen weder Zugang zu Daten anderer Kunden gewähren noch die Sicherheit des Dienstes beeinträchtigen. Anfragen richten Sie an privacy@sencai.space.

Haftung

Die Haftung aus oder im Zusammenhang mit dieser AVV unterliegt, soweit zwingendes Recht dies zulässt, der Haftungsbeschränkung in den AGB. Nichts in dieser AVV beschränkt die Rechte, die betroffenen Personen nach der DSGVO zustehen.

Laufzeit, Änderungen und anwendbares Recht

Diese AVV gilt, solange Sencai personenbezogene Kundendaten in Ihrem Auftrag verarbeitet, auch nach Beendigung der AGB bis zum Abschluss der Löschung. Sencai kann diese AVV auf dieselbe Weise wie die AGB ändern, mit einer Ankündigungsfrist von mindestens 14 Tagen per E-Mail oder In-App-Benachrichtigung; sind Sie mit einer wesentlichen Änderung nicht einverstanden, können Sie die Vereinbarung mit Wirkung zum Datum des Inkrafttretens der Änderung kündigen. Diese AVV unterliegt dem Recht der Tschechischen Republik, und Streitigkeiten werden, wie in den AGB festgelegt, von den zuständigen Gerichten in Prag, Tschechische Republik, entschieden.

Kontakt

Fragen zu dieser AVV, Datenschutzanfragen, Weisungen und Widersprüche gegen Änderungen bei Unterauftragsverarbeitern: privacy@sencai.space. Sicherheitsvorfälle und Meldungen von Schwachstellen: security@sencai.space. Sencai sendet Mitteilungen nach dieser AVV an die E-Mail-Adressen der Owner Ihrer Organisation; bitte halten Sie diese aktuell.