Verantwortlicher bleiben Sie.

Wo wir personenbezogene Daten in Ihrem Auftrag verarbeiten, sind Sie Verantwortlicher und wir Auftragsverarbeiter nach Art. 28 DSGVO. Was das konkret heißt — welche Maßnahmen gelten, welche Dienste vorkommen, wer im Ernstfall meldet — steht auf dieser Seite, damit Ihr Datenschutzbeauftragter es prüfen kann, bevor er gefragt wird.

Diese Seite: Daten in Ihrem Auftrag; Sie sind Verantwortlicher, wir Auftragsverarbeiter.
Nicht zu verwechseln: Datenschutzerklärung; Was beim Besuch dieser Website passiert. Dort sind wir Verantwortlicher.

Ort

Kundenprojekte laufen auf Container-Infrastruktur bei Anbietern innerhalb der EU bzw. des EWR. Wo der Schutz besonders sensibler Daten es gebietet — etwa bei Daten von Schülerinnen und Schülern — verarbeiten wir lokal und self-hosted.

Diese Website selbst ist die Ausnahme. Sie wird über GitHub Pages ausgeliefert, also aus den USA; beim Abruf werden Verbindungsdaten dorthin übermittelt. Grundlage ist der Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Wir sagen das hier, weil eine Seite über EU-Verarbeitung, deren eigener Absender in den USA liegt, sonst genau einmal auffällt — und danach wird alles andere auch geprüft.

Maßnahmen

Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Der für Ihr Vorhaben geltende Stand wird als Anlage 2 zum AV-Vertrag festgehalten — eine allgemeine Liste beschreibt die Grundsätze, nicht Ihr System.

Verschlüsselung: In der Übertragung durchgehend TLS; im ruhenden Zustand, wo es angemessen ist.
Zugriff: Prinzip der geringsten Rechte, getrennte Zugänge je Person und System, Mehr-Faktor-Authentifizierung.
Ort der Verarbeitung: Container-Infrastruktur bei Anbietern innerhalb der EU bzw. des EWR. Wo der Schutz sensibler Daten es gebietet — etwa bei Daten von Schülerinnen und Schülern — lokal und self-hosted.
Sicherung: Regelmäßige Sicherungen mit Wiederherstellungsprüfung. Eine Sicherung, die nie zurückgespielt wurde, ist eine Vermutung.
Trennung: Daten unterschiedlicher Auftraggeber werden getrennt verarbeitet. Bei unseren Produkten heißt das eine eigene Instanz mit eigener Datenbank je Einrichtung.
Protokollierung: Sicherheitsrelevante Ereignisse werden protokolliert.

Dienste

Welche Dienste im Betrieb überhaupt vorkommen. Nicht jedes Vorhaben nutzt jeden davon — verbindlich ist Anlage 3 zum AV-Vertrag, die für Ihr Projekt ausgefüllt wird. Diese Liste steht hier, weil „wer sind Ihre Sub-Verarbeiter" die erste Frage jedes Datenschutzbeauftragten ist und die Antwort keine Woche brauchen sollte.

Hetzner

Deutschland

Server und Container-Infrastruktur

Hostinger

Hosting für einzelne Vorhaben

Cloudflare

Namensauflösung und Schutz vor Angriffen

GitHub

USA

Quellcode-Verwaltung, Auslieferung dieser Website

Angemessenheitsbeschluss EU-US Data Privacy Framework, Art. 45 DSGVO

Sie erteilen mit dem AV-Vertrag eine allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter. Änderungen teilen wir rechtzeitig in Textform mit; aus wichtigem, datenschutzbezogenem Grund können Sie widersprechen.

Im Ernstfall

Meldung einer Datenpanne unverzüglich nach Bekanntwerden: Wir melden Ihnen eine Verletzung des Schutzes personenbezogener Daten in Textform, mit den uns verfügbaren Angaben nach Art. 33 Abs 3 DSGVO — damit Sie Ihre eigene Meldung binnen 72 Stunden erfüllen können. Die Frist läuft bei Ihnen, nicht bei uns; wir haben sie nur nicht zu verbrauchen.
Betroffenenanträge Unterstützung im angemessenen Rahmen: Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch — Art. 15 bis 22. Wendet sich jemand direkt an uns, leiten wir ihn an Sie weiter: Verantwortlicher sind Sie, nicht wir.
Löschung und Rückgabe nach Ihrer Wahl: Nach Abschluss der Verarbeitung geben wir die Daten zurück oder löschen sie samt Kopien, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung bestätigen wir auf Wunsch in Textform.
Nachweise und Prüfung auf Anforderung: Wir stellen die Informationen bereit, die Sie zum Nachweis brauchen, und ermöglichen Überprüfungen — durch Auskunft, geeignete Nachweise oder, nach Ankündigung und ohne Störung des Betriebs, vor Ort.

Meldungen und Anfragen zur Datenverarbeitung gehen an office@stoicera.com. Es antwortet einer der beiden Gründer — wie unter Betrieb und Wartung beschrieben.