ARDNTECH | Auftragsverarbeitungsvertrag (DPA)

1 · Identifikation der Parteien 2 · Gegenstand und Zwecke der Verarbeitung 3 · Kategorien verarbeiteter Daten 4 · Kategorien betroffener Personen 5 · Aufbewahrungsfristen 6 · Zugelassene Unterauftragnehmer 7 · Technische und organisatorische Sicherheitsmaßnahmen 8 · Meldung von Datenschutzverletzungen 9 · Rechte der betroffenen Personen 10 · Rückgabe / Löschung bei Vertragsende 11 · Übermittlungen außerhalb der Europäischen Union 12 · Audit und Kooperation Signature

Überblick

Die drei DSGVO-Rollenauf einen Blick.

Bevor wir auf die zwölf Artikel im Detail eingehen, hier die Verteilung der Verantwortlichkeiten im Sinne der Verordnung (EU) 2016/679. Diese Struktur ist die Grundlage aller folgenden Pflichten.

Verantwortlicher

Der Kunde. Définit les finalités et les moyens du traitement. Détient le pouvoir décisionnel sur les données stockées dans le coffre : choix des secrets, des destinataires, de la politique d'accès et de la durée de conservation.

Auftragsverarbeiter

ARDNTECH EI. Exécute le traitement pour le compte du Client, dans le strict respect de ses instructions documentées et dans les limites de l'objet précisé à l'article 2 du présent DPA.

Betroffene Personen

Ihre Nutzer. Membres des organisations du Client et destinataires de partages de secrets. Bénéficient des droits Art. 15 à 22 RGPD, outillés techniquement par ARDNTECH.

Artikel 1

1. Identifikation der Parteien

Dieser Auftragsverarbeitungsvertrag (nachstehend "DPA") ergänzt die AGB von ARDNTECH und präzisiert die jeweiligen Pflichten des Verantwortlichen (des Kunden) und des Auftragsverarbeiters (des Herausgebers von ARDNTECH) im Sinne der Verordnung (EU) 2016/679 (DSGVO).

Auftragsverarbeiter: ARDNTECH, eingetragen im Handelsregister unter Nr. 913308706, mit Geschäftssitz in 24 rue de la Glau 08700 Gespunsart. DSB: dpo@aegirex.eu.

Verantwortlicher: die juristische oder natürliche Person, die ARDNTECH abonniert und den Dienst zum Speichern und Teilen digitaler Geheimnisse nutzt.

Artikel 2

2. Gegenstand und Zwecke der Verarbeitung

ARDNTECH ist ein Dienst zur Speicherung von Geheimnissen mit Ende-zu-Ende-Verschlüsselung (Zero-Knowledge). Der Auftragsverarbeiter verarbeitet die Daten im Auftrag des Verantwortlichen ausschließlich zu folgenden Zwecken:

Speicherung opaque kryptographischer Blobs (mit dem öffentlichen Schlüssel des Verantwortlichen verschlüsselte Geheimnisse, serverseitig nicht entschlüsselbar).
Authentifizierung, Kontoverwaltung, Verwaltung der Organisationszugehörigkeiten.
Versand operativer Benachrichtigungen (HIBP-Leak-Alarm Opt-in, Mitgliedereinladung, Audit-Alarm).

Artikel 3

3. Kategorien verarbeiteter Daten

Der Auftragsverarbeiter verarbeitet die folgenden Datenkategorien und nur diese:

Kategorie	Betroffene Daten	Rechtsgrundlage (Art. 6 DSGVO)
Nutzerkonto	E-Mail-Adresse, Argon2id-Hash des Master-Passworts, öffentlicher OpenPGP-Schlüssel, optionaler Name.	Vertragserfüllung (Art. 6.1.b DSGVO)
Gespeicherte Geheimnisse	Opaque OpenPGP-Blobs (verschlüsselt). Der Auftragsverarbeiter kann sie nicht lesen.	Vertragserfüllung (Art. 6.1.b DSGVO)
Audit-Journale	Anmeldeereignisse, Geheimnis-Erstellung/Lesen/Freigabe/Löschen, IP, User-Agent, HMAC-Signaturen.	Berechtigtes Interesse an der Sicherheit (Art. 6.1.f DSGVO)
Rechnung	Firmenname, Handelsregisternummer, Anschrift, Rechnungs-E-Mail, Zahlungshistorie.	Gesetzliche Buchhaltungspflicht (Art. 6.1.c DSGVO)

Artikel 4

4. Kategorien betroffener Personen

Betroffene Personen sind: (a) die vom Verantwortlichen zum Zugriff auf ARDNTECH autorisierten Nutzer; (b) gegebenenfalls die Empfänger von Geheimnis-Freigaben, die von diesen Nutzern initiiert werden; (c) die auf den dem Verantwortlichen ausgestellten Rechnungen genannten Kontakte.

Artikel 5

5. Aufbewahrungsfristen

Die Daten werden für folgende Dauern aufbewahrt:

Nutzerkonto: solange das Konto aktiv ist, gelöscht innerhalb von 30 Tagen nach ausdrücklicher Anfrage oder Kündigung.
Geheimnisse: solange der Nutzer sie nicht löscht. Irreversible und sofortige Löschung auf Nutzeraktion.
Audit-Journale: 13 Monate (von der CNIL empfohlene Aufbewahrungsdauer für Nachvollziehbarkeit), danach anonymisierte Archivierung.
Rechnungsdaten: 10 Jahre (gesetzliche Pflicht, frz. Handelsgesetzbuch L123-22).
Technische Anwendungslogs (außer Audit): 30 Tage rollierend, automatische IP-Anonymisierung darüber hinaus.

Artikel 6

6. Zugelassene Unterauftragnehmer

Der Verantwortliche ermächtigt den Auftragsverarbeiter ausdrücklich, folgende Unterauftragnehmer einzusetzen:

Unterauftragnehmer	Zweck	Verarbeitungsland
Brevo SAS	Versand transaktionaler E-Mails (Benachrichtigung, E-Mail-Verifizierung).	FR
Stancer SAS	Online-Zahlungsabwicklung.	FR
Hoster (im Vertrag zu präzisieren)	Hosting der Anwendungsinfrastruktur und Datenbanken.	FR / EU

Jeder Wechsel eines Unterauftragnehmers wird dem Verantwortlichen mit einer Mindestfrist von 30 Tagen mitgeteilt, sodass dieser ein begründetes Widerspruchsrecht ausüben kann.

Artikel 7

7. Technische und organisatorische Sicherheitsmaßnahmen

Der Auftragsverarbeiter setzt folgende Maßnahmen um (indikative, nicht abschließende Liste):

Ende-zu-Ende-Verschlüsselung der Geheimnisse (OpenPGP.js v6, ECC curve25519, AES-256-GCM SEIPDv2).
Schlüsselableitung aus dem Master-Passwort über Argon2id (5 Durchläufe, 256 MiB, Parallelität 4).
Kryptographische HMAC-SHA-256-Audit-Chain, überprüfbar, O(1)-Erkennung jeder Veränderung.
TLS 1.3 zwingend im Transport, HSTS-Preload, Let's-Encrypt- oder Buypass-Zertifikate automatisch erneuert.
Zwei-Faktor-Authentifizierung (TOTP RFC 6238 + E-Mail) mit verschlüsselten Wiederherstellungscodes.
Tägliche verschlüsselte Backups, 30 Tage aufbewahrt, Wiederherstellung quartalsweise getestet.
Jährlicher Penetrationstest durch einen PASSI (ab V1.0 GA).

Artikel 8

8. Meldung von Datenschutzverletzungen

Gemäß Artikel 33 DSGVO meldet der Auftragsverarbeiter dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten innerhalb von 48 Stunden nach Kenntniserlangung. Die Meldung beschreibt Art, Umfang, wahrscheinliche Folgen und ergriffene oder vorgesehene Maßnahmen.

Artikel 9

9. Rechte der betroffenen Personen

Der Auftragsverarbeiter stellt dem Verantwortlichen die Werkzeuge bereit, um Anfragen betroffener Personen (Auskunfts-, Berichtigungs-, Lösch-, Übertragbarkeits-, Widerspruchsrecht) direkt über die Nutzeroberfläche zu beantworten. Für jede nicht über die Oberfläche abgedeckte Anfrage unterstützt der Auftragsverarbeiter den Verantwortlichen innerhalb von 5 Werktagen.

Artikel 10

10. Rückgabe / Löschung bei Vertragsende

Bei Vertragsende (Kündigung, Nichtverlängerung) hat der Verantwortliche 30 Tage Zeit, seine Daten über die native Übertragbarkeits-Exportfunktion zu exportieren. Nach Ablauf dieser Frist werden sämtliche Daten des Verantwortlichen unwiderruflich aus den Produktivdatenbanken gelöscht. Die verschlüsselten Backups werden innerhalb weiterer 90 Tage gelöscht (Standard-Aufbewahrungsrotation).

Artikel 11

11. Übermittlungen außerhalb der Europäischen Union

Es findet keine Datenübermittlung in ein Drittland außerhalb der EU/des EWR statt. Der Auftragsverarbeiter setzt keine Dienstleister ein, die dem US CLOUD Act, FISA Section 702 oder gleichwertigen Rechtsordnungen unterliegen. Wäre eine solche Übermittlung künftig technisch erforderlich, müsste der Auftragsverarbeiter die ausdrückliche vorherige Zustimmung des Verantwortlichen einholen.

Artikel 12

12. Audit und Kooperation

Der Verantwortliche kann einen unabhängigen Auditor (auf eigene Kosten) beauftragen, die Konformität des Auftragsverarbeiters mit den Verpflichtungen dieses DPA zu prüfen, mit einer angemessenen Vorankündigung von 15 Tagen und einer Vertraulichkeitsverpflichtung. Der Auftragsverarbeiter stellt zudem auf Anfrage alle Dokumente bereit, mit denen er seine Konformität nachweisen kann (Verarbeitungsverzeichnis, Pentest-Berichte etc.). Für jede Anfrage: dpo@aegirex.eu.

Loslegen

Benötigen Sie die Version
unterzeichnet und individuell angepasst?

Diese Vorlage gilt als vertragliche Verpflichtung, sobald sie einer Business- oder Enterprise-Bestellung beigefügt wird. Für eine digital signierte, namentliche und auf Ihre Auftragsverarbeiter und Ihre Rechtsordnung zugeschnittene Fassung richten Sie Ihre Anfrage an Ihren Verantwortlichen oder direkt an den DPO von ARDNTECH EI.

Signierte Fassung anfordern Datenschutzerklärung ansehen

Natives DSGVO, Art. 28 konform

Zero-Knowledge: Der Herausgeber liest Ihre Geheimnisse nicht

Hosting in Frankreich, französische Gerichtsbarkeit

AGPL-3.0-Code, durchgängig auditierbar

Auftragsverarbeiter ausschließlich aus der EU, aufgeführt in Art. 6