Auftragsverarbeitungsvertrag (AVV)

1. Parteien und Einbeziehung

Dieser AVV wird zwischen dem Kunden als Verantwortlichem und Narek Sarkissian, Krahestraße 6, 40233 Düsseldorf, Deutschland, als Auftragsverarbeiter geschlossen. Er wird Bestandteil des SaaS-Vertrags, sobald der Kunde AC Reviewer für eine Organisation aktiviert oder einen kostenpflichtigen Plan bestellt. Abweichende Kundenangaben können in Textform ergänzt werden.

2. Gegenstand, Dauer, Art und Zweck

Gegenstand ist die Verarbeitung von Daten zur Authentifizierung, Anbindung von Code- und Requirements-Systemen, Analyse von Pull Requests, Durchführung optionaler isolierter Tests, Darstellung von Evidenz, Teamverwaltung, Support und Abrechnung. Die Verarbeitung dauert für die Vertragslaufzeit zuzüglich vereinbarter oder gesetzlicher Aufbewahrungsfristen.

3. Daten und betroffene Personen

Verarbeitet werden können Konto- und Kontaktdaten, Rollen, Repository-, Commit-, Pull-Request- und Tickettexte, begrenzte Quellcodeausschnitte und Diffs, Review- und Testresultate, Screenshots, technische Nutzungsdaten sowie verschlüsselte Integrations-Credentials. Betroffen sein können Beschäftigte, Auftragnehmer, Repository-Mitwirkende, Ticket-Autoren, Kundenkontakte und andere Personen, deren Daten in autorisierten Inhalten vorkommen.

4. Weisungen

Wir verarbeiten Daten nur auf dokumentierte Weisung des Kunden, soweit keine gesetzliche Pflicht entgegensteht. Produktkonfiguration, Integrationen, Supportanfragen und dieser Vertrag bilden die dokumentierten Weisungen. Rechtswidrige Weisungen werden beanstandet und bis zur Klärung nicht ausgeführt.

5. Pflichten des Auftragsverarbeiters

• Vertraulichkeitsverpflichtung für zugriffsberechtigte Personen.
• Geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO.
• Unterstützung bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und Behördenanfragen im angemessenen Umfang.
• Unverzügliche Information über bestätigte Verletzungen des Schutzes personenbezogener Daten.
• Löschung oder Rückgabe nach Vertragsende, soweit keine Aufbewahrungspflicht besteht.

6. Technische und organisatorische Maßnahmen

• Strikte Organisations- und Rollenprüfung für jeden Backendzugriff.
• Transportverschlüsselung und verschlüsselte Speicherung von Drittanbieter-Credentials.
• Secret Manager, kurzlebige GitHub-Installationstokens und signierte Webhooks.
• Idempotenz, Rate Limits, Audit-Ereignisse und redigierte strukturierte Logs.
• Isolierte gVisor-Sandboxes ohne Backend-Secrets, mit Ressourcen-, Zeit- und Netzwerkgrenzen.
• Konfigurierbare Review-Aufbewahrung und kurze TTLs für Testartefakte.

7. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung für die unter /subprocessors aufgeführten Anbieter. Wesentliche Änderungen werden mindestens 14 Tage vorher über das Produkt, per E-Mail oder auf dieser Seite angekündigt, soweit dies praktisch möglich ist. Ein begründeter Widerspruch ist innerhalb dieser Frist möglich; kann keine zumutbare Alternative angeboten werden, darf der Kunde die betroffene Leistung kündigen.

8. Drittlandübermittlungen

Übermittlungen außerhalb des EWR erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere aufgrund eines Angemessenheitsbeschlusses oder Standardvertragsklauseln mit erforderlichen Zusatzmaßnahmen.

9. Nachweise und Kontrollen

Wir stellen auf Anfrage angemessene Informationen zum Nachweis der Einhaltung bereit. Audits sind mit mindestens 30 Tagen Vorlauf, während üblicher Geschäftszeiten und unter Wahrung der Sicherheit anderer Kunden durchzuführen. Vorhandene Prüfberichte und Dokumentation sollen vorrangig genutzt werden. Zusätzlicher Aufwand kann zu angemessenen Sätzen berechnet werden, sofern der Audit keine wesentliche Pflichtverletzung zeigt.

10. Löschung und Export

Während der Vertragslaufzeit kann der Kunde Daten über die vorgesehenen Produktfunktionen und Supportwege exportieren oder löschen lassen. Nach Vertragsende löschen oder anonymisieren wir Auftragsdaten innerhalb von 30 Tagen, soweit keine konfigurierten Fristen, Backups oder gesetzlichen Pflichten entgegenstehen. Backups werden im regulären Überschreibungszyklus entfernt und bis dahin gesperrt.

11. Rangfolge und Haftung

Bei Widersprüchen zu den AGB geht dieser AVV für datenschutzrechtliche Auftragsverarbeitung vor. Im Übrigen gelten Haftungsregelungen des Hauptvertrags und die zwingenden Vorgaben der DSGVO.