CRA Workspace Auftragsverarbeitungsvertrag
Version: CRA-WORKSPACE-DPA-2026-10-16-DRAFT-1
SHA-256: dfe21daeb51f6c6e5546914fd9f4bd1534b814ad59792eb187162cefe2ad5191
Auftragsverarbeiter
Bartosz Kowalczyk
ul. Gieysztora 4/161, 02-999 Warszawa
kontakt@cracompliance.pl
Im Auftrag oder authentifizierten Workspace bezeichnete Kundenorganisation
1. Parteien und Geltungsbereich
Vertragsparteien sind die im Auftrag oder Annahmenachweis bezeichnete Kundenorganisation und der unten bezeichnete CRACompliance-Betreiber. Der Kunde ist Verantwortlicher für die dem CRA Workspace anvertrauten Daten, der Betreiber ist Auftragsverarbeiter. Ist der Kunde selbst Auftragsverarbeiter, bestätigt er die Genehmigung des zuständigen Verantwortlichen zur Unterauftragsverarbeitung; der Betreiber befolgt nur davon gedeckte Weisungen. Der Vertrag betrifft die Verarbeitung im Kundenauftrag, nicht eigene Zwecke des Betreibers wie Abrechnung, Geschäftskontakte und Dienstsicherheit gemäß Datenschutzhinweisen.
2. Dokumentierte Weisungen
Gegenstand ist der Betrieb eines gehosteten Registers für Produkte, Releases, SBOMs, Schwachstellen, Meldefälle und Nachweise mit den Funktionen des bestellten Dienstes. Dieser Vertrag, Organisationseinstellungen, Handlungen befugter Nutzer und schriftliche Anweisungen des Organisationsadministrators sind dokumentierte Weisungen. Die Verarbeitung einschließlich Übermittlungen ist darauf beschränkt. Verlangt Unionsrecht oder mitgliedstaatliches Recht eine andere Verarbeitung, informiert der Betreiber vorher, soweit gesetzlich zulässig. Hält er eine Weisung für datenschutzwidrig, informiert er den Kunden unverzüglich und setzt die betreffende Handlung bis zur Klärung aus.
Anlage A. Beschreibung der Verarbeitung
Dauer: Dienstleistung, anschließend vereinbartes Exportfenster und begrenzte Löschfrist für Sicherungskopien. Vorgänge: Entgegennahme, Organisation, Speicherung, Abruf, Offenlegung an Befugte, Export und Löschung. Betroffene: Organisationsnutzer, Beschäftigte und Auftragnehmer des Kunden, Lieferanten- und Kundenkontakte, Forschende sowie in berechtigt übermittelten Vorfallsunterlagen genannte Personen. Daten: Namen, geschäftliche E-Mail, Rollen, Kennungen, Zeitstempel, Aktivitätsverlauf und personenbezogene Daten in bereitgestellten Unterlagen. Der Kunde bestimmt die Rechtsgrundlage und minimiert Inhalte. Der Standarddienst ist nicht für Daten nach Art. 9 oder 10 DSGVO, Passwörter, private Schlüssel oder Kartendaten bestimmt; dies bedarf vor dem Upload einer gesonderten schriftlichen Vereinbarung.
3. Vertraulichkeit und Zugriff
Der Betreiber gewährt nur befugten Personen Zugriff, die zur Vertraulichkeit verpflichtet sind oder einer entsprechenden gesetzlichen Pflicht unterliegen, beschränkt auf erforderliche Aufgaben. Der Kunde verwaltet Mitglieder und Rollen, prüft Exportempfänger und gibt private Zugangslinks nicht an Unbefugte weiter. Servicezugriff des Betreibers ist auf Betrieb, Sicherheit, beauftragte Unterstützung oder gesetzliche Pflichten beschränkt.
Anlage B. Sicherheitsmaßnahmen
Der Betreiber setzt risikogerechte Maßnahmen nach Art. 32 DSGVO um und überprüft sie: HTTPS für die Oberfläche, TLS für Transaktions-E-Mails, Sitzungsauthentifizierung und Rollenprüfung, organisationsgebundene Lese- und Schreibzugriffe, beschränkten Systemdateizugriff, Prüfung von Webhook-Signaturen, Protokollierung relevanter Handlungen, kontrollierte Releases mit Sicherung und Rollback sowie Tests von Wiederherstellung und Löschung. Exporte enthalten SHA-256-Prüfsummen; dies ist keine Verschlüsselung. Die Liste behauptet weder die Verschlüsselung sämtlicher ruhender Daten noch ISO-Zertifizierung oder Schutzgarantie gegen Verletzungen. Änderungen dürfen das vereinbarte Schutzniveau nicht senken. Zusätzliche Anforderungen sind vor Datenübermittlung zu vereinbaren.
4. Betroffenenrechte und Unterstützung
Unter Berücksichtigung der Verarbeitung und verfügbarer Informationen unterstützt der Betreiber den Kunden bei Betroffenenrechten und Pflichten nach Art. 32–36 DSGVO, einschließlich Folgenabschätzung, Konsultation und Verletzungsbearbeitung. Betroffenenanfragen leitet er ohne unangemessene Verzögerung weiter und entscheidet nicht selbst darüber, außer auf Weisung oder kraft Gesetzes. Organisationsadministratoren können exportieren; beschränkte Unterlagen und große Exporte erfordern Betreiberunterstützung ohne Umgehung von Zugriffskontrollen. Vertrags- und Datenschutzkontakt ist die unten genannte Betreiber-E-Mail.
5. Datenschutzverletzungen
Nach Bekanntwerden einer Verletzung anvertrauter personenbezogener Daten benachrichtigt der Betreiber den Kunden ohne unangemessene Verzögerung. Er übermittelt verfügbare Angaben zu Art, Daten und Betroffenen, wahrscheinlichen Folgen, Abhilfe und Kontaktstelle und ergänzt unvollständige Informationen schrittweise. Er unterstützt Eindämmung und Sicherung benötigter Informationen. Der Kunde entscheidet über Meldungen an Aufsicht und Betroffene. Eine Datenschutzmeldung ist nicht automatisch eine CRA-Meldung an ENISA; Verfahren und Fristen bleiben getrennt.
6. Unterauftragsverarbeitung
Der Kunde erteilt eine allgemeine schriftliche Genehmigung für Unterauftragsverarbeiter und Zwecke aus Anlage C. Der Betreiber informiert den Organisationsadministrator mindestens 30 Tage vor geplanter Ergänzung oder Ersetzung per E-Mail mit den zur Bewertung erforderlichen Angaben. Der Kunde kann vor der Änderung begründete datenschutzbezogene Einwände erheben. Bis zur Klärung werden seine Daten nicht an den beanstandeten neuen Unterauftragsverarbeiter übermittelt; die Parteien vereinbaren eine Alternative oder Beendigung des betroffenen Dienstteils mit Export/Löschung. Der Betreiber legt gleichwertige Datenschutzpflichten auf und bleibt dem Kunden für deren Erfüllung verantwortlich. Auf Anfrage stellt er relevante Informationen und Verträge mit begründeten Schwärzungen fremder Daten und Geheimnisse bereit.
Anlage C. Unterauftragsverarbeiter
Hetzner Online GmbH, Deutschland — Anwendungshosting, Speicherung von Workspace-Daten und Sicherungskopien. Brevo / Sendinblue SAS, Frankreich — Transaktions-E-Mails: Empfängeradresse, Nachrichteninhalt und Zustellmetadaten; vollständige SBOMs und Nachweisanhänge werden darüber nicht routinemäßig versandt. Brevo-Protokolle: ein Monat; neue Nachrichtenvorschauen deaktiviert. Stripe/Link verarbeitet Zahlungen in der im Checkout und in den Datenschutzhinweisen beschriebenen gesonderten Rolle; dadurch wird es nicht zum Auftragsverarbeiter für Workspace-Nachweise. Diese Anlage genehmigt keine Übermittlung anvertrauter Daten an generative KI-Dienste. Eine solche Integration mit personenbezogenen Daten erfordert eine vorherige gesonderte Weisung und ergänzte Liste/Bedingungen.
7. Standort und Übermittlungen
Das primäre Workspace-Hosting befindet sich in der EU. Damit wird nicht behauptet, dass kein Unterauftragsverarbeiter von außerhalb des EWR zugreifen kann. Übermittlungen erfordern dokumentierte Weisung und Einhaltung von Kapitel V DSGVO einschließlich anwendbarer Übermittlungsgrundlage und Schutzbewertung. Brevos Bedingungen sehen geeignete Mechanismen wie Standardvertragsklauseln sowie andere Mechanismen nur bei tatsächlicher Anwendbarkeit vor. Der Betreiber informiert über aktuelle Unterauftragsverarbeiter, Standorte und Garantien. Dieser Vertrag ist selbst kein Standardvertragsklauselwerk der Kommission für Drittlandübermittlungen.
8. Beendigung, Rückgabe und Löschung
Nach endgültiger Dienstbeendigung hat der Organisationsadministrator 30 Tage für den Export. Das Abschalten der Verlängerung oder vorübergehende Zahlungsprobleme lösen allein keine Löschung aus. Der Kunde wählt Rückgabe durch Export mit anschließender Löschung oder nur Löschung und kann gesondert schriftlich anweisen. Danach löscht der Betreiber Daten und bestehende Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht. Rotierende Sicherungskopien werden innerhalb weiterer 30 Tage gelöscht und vom gewöhnlichen Zugriff getrennt; vor Wiederfreigabe wiederhergestellter Daten wird das aktuelle Löschregister erneut angewandt. Streit, offener regulatorischer Fall oder ungeklärte Aufbewahrung sperren den Löschautomatismus und erfordern eine dokumentierte Bewertung mit dem Kunden; sie rechtfertigen allein keine unbegrenzte Aufbewahrung. Gesetzlich notwendige Betreiberunterlagen bleiben getrennt und minimiert. Auf Anfrage bestätigt der Betreiber Umfang und Abschluss der Löschung.
9. Informationen und Prüfungen
Der Betreiber stellt die zum Nachweis der Pflichten nach Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht und unterstützt Prüfungen einschließlich Inspektionen durch den Kunden oder einen befugten unabhängigen Prüfer. Die Parteien vereinbaren verhältnismäßigen Umfang, Vertraulichkeit und Ablauf unter Schutz anderer Kunden; gesetzliche Rechte oder dringliche Maßnahmen bei Verletzungen oder Behördenanfragen dürfen nicht vereitelt werden. Auf Anfrage stellt der Betreiber Sicherheitsbeschreibung, aktuelle Unterauftragsverarbeiterliste und verfügbare Nachweise zu Sicherungs-, Wiederherstellungs- und Löschtests bereit. Nicht vorhandene Zertifizierungen werden nicht behauptet.
10. Annahme und Versionierung
Dieser Vertrag mit Anlagen ist Teil des CRA Workspace-Dienstvertrags und geht für die Verarbeitung anvertrauter Daten vor. Er wird elektronisch durch ausdrückliche Annahme einer vertretungsbefugten Person geschlossen und gilt ab Beginn des betreffenden Dienstes oder dokumentierter Annahme einer bestehenden Organisation. Der Nachweis enthält Version, Sprache, UTC-Zeit, Auftrags- oder Mitgliedskennung, Parteien sowie Prüfsumme und Kopie der angenommenen Texte. Der Kauf anderer Produkte ist keine Annahme dieses Vertrags. Aktualisierungen überschreiben keine frühere Annahme; wesentliche Änderungen erfordern gesonderte Mitteilung und Vereinbarung. Betroffenenrechte, Behördenzuständigkeiten und DSGVO-Pflichten bleiben unberührt.