Auftragsverarbeitungsvertrag (AVV)

Ausschließlich die deutsche Fassung ist rechtsverbindlich. Die englische Fassung dient nur der Information.

Was der AVV regelt

Logs, Metriken, Traces und Events, die Sie an die Obseria-Plattform senden, können personenbezogene Daten enthalten. Für diese Daten sind Sie Verantwortlicher, die Just Growing GmbH ist Ihr Auftragsverarbeiter. Der Auftragsverarbeitungsvertrag (AVV) enthält die nach Art. 28 Abs. 3 DSGVO erforderlichen vertraglichen Garantien: Obseria verarbeitet die Daten nur auf Ihre dokumentierte Weisung, gewährleistet Vertraulichkeit, trifft geeignete technische und organisatorische Maßnahmen, setzt Unterauftragsverarbeiter nur unter gleichwertigen Pflichten ein, unterstützt Sie bei Betroffenenrechten und Meldepflichten und löscht oder übergibt die Daten nach Ende der Leistung.

Der AVV ist Standard für alle Kunden, von der kostenlosen Testphase bis zum Enterprise-Vertrag. Er ist fester Bestandteil unserer Nutzungsbedingungen und gilt mit Vertragsschluss automatisch. Soweit erforderlich, wird er durch die EU-Standardvertragsklauseln oder das UK International Data Transfer Addendum ergänzt.

Gegenstand, Dauer, Art und Zweck

• Gegenstand: Bereitstellung der Observability-Plattform von Obseria einschließlich Obseria Pipeline als Software-as-a-Service.
• Dauer: für die Laufzeit des Hauptvertrags und bis zur Löschung der Daten nach Vertragsende.
• Art der Verarbeitung: Erfassung, Übermittlung, Maskierung, Speicherung, Indexierung, Analyse, Visualisierung und Löschung von Telemetriedaten.
• Zweck: Überwachung, Fehleranalyse, Alarmierung und Performance-Analyse der Anwendungen und Infrastruktur des Kunden sowie technischer Support auf Anfrage des Kunden.

Kategorien von Daten und betroffenen Personen

Welche personenbezogenen Daten anfallen, hängt davon ab, was Ihre Systeme senden. Typische Beispiele:

• Datenkategorien: IP-Adressen, Nutzer-IDs, Sitzungs- und Gerätekennungen, E-Mail-Adressen oder Namen in Log-Meldungen, URLs und Anfrageparameter, Zeitstempel sowie aus IP-Adressen abgeleitete Standortangaben; bei Nutzern der Plattform zudem Konto- und Audit-Log-Daten.
• Betroffene Personen: Endnutzer Ihrer Anwendungen, Ihre Beschäftigten und Auftragnehmer sowie Nutzer der Obseria-Plattform in Ihrer Organisation.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sollten nicht an Obseria übermittelt werden. Die automatische PII-Maskierung in Obseria Pipeline hilft Ihnen, solche Felder vor der Speicherung zu entfernen oder zu pseudonymisieren.

Technische und organisatorische Maßnahmen

Die vollständige Beschreibung der technischen und organisatorischen Maßnahmen (TOMs) ist Anlage des AVV. Überblick:

Bereich	Maßnahmen
Zugriffskontrolle	Single Sign-on mit SAML/OIDC, Mehr-Faktor-Authentifizierung, rollenbasierte Zugriffskontrolle und Zugriffskontrolle auf Feldebene, Least-Privilege-Prinzip für Mitarbeitende von Obseria, Just-in-time-Zugriff für den Support mit Freigabe durch den Kunden
Verschlüsselung bei der Übertragung	TLS 1.2 oder höher für alle Verbindungen, einschließlich Agenten, APIs und Weboberfläche
Verschlüsselung im Ruhezustand	AES-256-Verschlüsselung aller gespeicherten Daten und Backups; optional kundenverwaltete Schlüssel [Verfügbarkeit je Tarif]
PII-Maskierung	Automatische Erkennung und Maskierung personenbezogener Daten in Obseria Pipeline vor der Speicherung, konfigurierbare Regeln je Datenquelle
Protokollierung	Manipulationssichere Audit-Logs für alle Zugriffe und Konfigurationsänderungen, für den Kunden einsehbar
Verfügbarkeit	Redundanter Betrieb über mehrere Verfügbarkeitszonen, regelmäßige Backups, getestete Notfallwiederherstellung, SLA von 99,95 %
Zertifizierungen	ISO/IEC 27001, 27017 und 27018, SOC 2 Type II, BSI C5 (EU-Region), TISAX

Unterauftragsverarbeiter

Obseria setzt sorgfältig ausgewählte Unterauftragsverarbeiter ein, etwa für Cloud-Infrastruktur und Support. Alle Unterauftragsverarbeiter sind an Datenschutzpflichten gebunden, die denen des AVV gleichwertig sind. Die aktuelle Liste mit Unternehmen, Zweck und Standort finden Sie auf unserer Seite zu den Unterauftragsverarbeitern. Über beabsichtigte Änderungen informieren wir mindestens [Frist, z. B. 30 Tage] im Voraus; Kunden können einer Änderung aus wichtigem Grund widersprechen.

Datenstandort

Sie entscheiden, wo Ihre Telemetriedaten gespeichert und verarbeitet werden:

• EU: Frankfurt (Deutschland) oder Dublin (Irland)
• Vereinigtes Königreich: London
• Ihr eigenes Cloud-Konto (Bring Your Own Cloud), sodass die Daten Ihre Infrastruktur nie verlassen

Obseria überträgt Kundendaten ohne Ihre Weisung nicht aus der gewählten Region. Ein etwaiger Zugriff von Unterauftragsverarbeitern aus Drittländern erfolgt nur auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO.

Löschung und Rückgabe

Während der Laufzeit werden Daten automatisch nach den von Ihnen konfigurierten Aufbewahrungsfristen gelöscht. Nach Vertragsende können Sie Ihre Daten für [Frist, z. B. 30 Tage] exportieren. Anschließend löscht Obseria alle Kundendaten einschließlich Backups innerhalb von [Frist, z. B. 90 Tagen], sofern keine gesetzlichen Aufbewahrungspflichten bestehen. Die Löschung wird auf Anfrage bestätigt.

Kontrollrechte

Sie können die Einhaltung des AVV durch Obseria überprüfen. In der Regel geschieht dies durch Vorlage aktueller Zertifikate und Prüfberichte (etwa ISO-27001-Zertifikate und SOC-2-Type-II-Bericht) unter einer Vertraulichkeitsvereinbarung. Reichen diese nicht aus, sind Vor-Ort-Kontrollen nach angemessener Vorankündigung, zu üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs möglich.

AVV anfordern und unterzeichnen

Der AVV gilt mit Vertragsschluss automatisch und muss nicht gesondert unterzeichnet werden. Wenn Sie für Ihre Unterlagen ein gegengezeichnetes Exemplar benötigen, senden Sie bitte eine E-Mail an info@webect.de unter Angabe Ihres Unternehmensnamens und Ihrer Konto-ID. Sie erhalten den AVV einschließlich Anlagen zur elektronischen Signatur. Unter dieser Adresse beantworten wir auch alle weiteren Fragen zum Datenschutz.