Auftragsverarbeitungsvertrag (AVV)
Zuletzt aktualisiert: 30. Oktober 2026
Diese deutsche Übersetzung dient nur der Information. Rechtsverbindlich ist allein die französische Fassung.
1. Parteien und Rollen
Ihre Organisation („der Kunde“) ist Verantwortlicher für die Daten, die sie in CheckOps sendet. ClearCloud („der Auftragsverarbeiter“) verarbeitet sie in ihrem Auftrag, ausschließlich zur Erbringung des in den Nutzungsbedingungen beschriebenen Dienstes. Dieser Vertrag ist Teil davon.
2. Pflichten des Auftragsverarbeiters (Artikel 28 Abs. 3 DSGVO)
- Die Daten nur auf dokumentierte Weisung des Kunden verarbeiten: Die Nutzung des Dienstes gilt als Weisung.
- Die Vertraulichkeit der zugriffsberechtigten Personen gewährleisten.
- Die Sicherheitsmaßnahmen aus Anhang II umsetzen.
- Weitere Auftragsverarbeiter nur zu den Bedingungen aus Anhang III einsetzen.
- Den Kunden bei Anträgen auf Ausübung von Rechten sowie bei seinen Sicherheits- und Meldepflichten unterstützen.
- Den Kunden über jede ihn betreffende Datenschutzverletzung unverzüglich informieren, spätestens 48 Stunden nach Kenntnisnahme.
- Die Daten am Ende des Vertrags, bei der Löschung des Kontos, löschen.
- Die zum Nachweis der Einhaltung dieser Pflichten nötigen Informationen bereitstellen.
3. Pflichten des Kunden
Der Kunde stellt sicher, dass er für die gesendeten Daten eine Rechtsgrundlage hat, und beschränkt diese Daten auf das Notwendige. SBOMs und Scanner-Ergebnisse beschreiben Software: Sie sollten keine personenbezogenen Daten enthalten, abgesehen von den Namen von Autoren oder Maintainern der Komponenten.
4. Laufzeit und anwendbares Recht
Dieser Vertrag gilt so lange wie das Konto des Kunden. Er unterliegt französischem Recht.
Anhang I · Beschreibung der Verarbeitung
| Gegenstand | Inventar der Softwarekomponenten, Erkennung von Schwachstellen, Warnungen, CRA-Meldungen und Berichte |
|---|---|
| Betroffene Personen | Nutzer des Kunden; Empfänger der Warnungen; gegebenenfalls in SBOMs genannte Autoren |
| Daten | E-Mail-Adressen, Namen, Rollen; Inhalte der SBOMs und Scanner-Ergebnisse |
| Dauer | Laufzeit des Kontos |
Anhang II · Technische und organisatorische Maßnahmen
- Hosting in Frankreich; Verschlüsselung bei der Übertragung (TLS).
- API-Tokens als Hash gespeichert; Tokens der Warnkanäle verschlüsselt (AES-256-GCM).
- Trennung der Daten pro Organisation, bei jeder Anfrage geprüft; Rollen pro Mitglied.
- Administrationskonsole nur von freigegebenen IP-Adressen erreichbar.
Anhang III · Genehmigte weitere Auftragsverarbeiter
| Unterauftragsverarbeiter | Aufgabe | Standort | Daten |
|---|---|---|---|
| OVH SAS (OVHcloud) | Hosting der Plattform, der Datenbank und der Backups | Frankreich | Alle Daten des Dienstes |
| Scaleway SAS | Versand der E-Mails (Warnungen, Einladungen) | Frankreich | E-Mail-Adresse des Empfängers, Inhalt der Warnung |
Jede Ergänzung oder Ersetzung wird mindestens 30 Tage im Voraus per E-Mail angekündigt; der Kunde kann widersprechen, indem er sein Konto kündigt.
Anhang IV · Übermittlungen außerhalb der Europäischen Union
Keine.