Bedingungen zur Auftragsverarbeitung

Dieses Dokument ist ein Entwurf der Bedingungen zur Auftragsverarbeitung nach Artikel 28 DSGVO, die KROMSE anbieten möchte. Es wird veröffentlicht, damit die Rechtsberatung eines Entwicklungspartners die geplante Vereinbarung und ihre Lücken frühzeitig prüfen kann, bevor ein Beschaffungsprozess begonnen hat.

Dieser Entwurf ist keine abgeschlossene Vereinbarung zur Auftragsverarbeitung. Er wird weder durch das Lesen noch durch die Annahme der Nutzungsbedingungen zu einer solchen Vereinbarung. Unterschrift, Wirksamkeitsdatum und das Verhältnis zu gesondert ausgehandelten Vereinbarungen sind rechtlich noch nicht bestätigt.

Für personenbezogene Daten in den Scan-Eingaben, Dokumenten und Arbeitsbereichsinhalten, die du mit KROMSE verbindest, bist du Verantwortlicher und KROMSE ist Auftragsverarbeiter.

Für die Kontodaten der Personen, die sich bei KROMSE anmelden, ist KROMSE eigenständig Verantwortlicher. Dies ist in der Datenschutzerklärung beschrieben.

Eine separate KI-Verarbeitungsrichtlinie (Konfigurierte Anbieter / Nur EU / Rein deterministisch) gilt zusätzlich zur KI-Dateneinstellung. Beide Einstellungen müssen eine KI-Anfrage erlauben. Nur EU und Rein deterministisch blockieren derzeit alle Kunden-KI-Anfragen ohne Ersatzanbieter: Es ist kein EU-KI-Endpunkt freigegeben. Ein rein deterministischer Scan sendet keinen Repository-Quelltext und keine Ausschnitte an KI; Chat und Bewertungen können seine Befundmetadaten verwenden, auch bei angehängten Scans oder Befunden. Aus blockiert neue Anfragen. Gespeicherte Bewertungen bleiben mit dem aufgezeichneten Modell und Datum sichtbar.

KROMSE analysiert Repository-Code, SBOMs, Firmware und Container-Images, dokumentiert die Ergebnisse und stellt sie in deinen Abläufen dar. Zur automatisierten Analyse gehören externe Schwachstellenabfragen mit Komponenten- und Schwachstellenkennungen gemäß Abschnitt 5 der Datenschutzerklärung. KI-Verarbeitung erfolgt, wenn du optionale Code-Prüfung auswählst, eine Chat-Nachricht sendest oder eine KI-Befundbewertung anforderst. Chat und Bewertungen können Pfade und Zeilennummern enthalten. Automatischer Quellkontext und Repository-Werkzeuge erfordern die Einstellung Codeausschnitte und einen KI-zugelassenen Scan. Kostenlose Bewertungen dürfen keine Repository-Dateien auflisten oder lesen. Die Einstellung Aus blockiert neue KI-Anfragen. Rein deterministische Scans sperren Quelltext und Ausschnitte; Chat und Bewertungen dürfen Befundmetadaten verwenden. Gespeicherte Bewertungen bleiben mit Modell und Datum sichtbar.

Temporäre Repository-Kopien, gespeicherte Firmware-Eingaben, Scan-Nachweise und Arbeitsbereichsdatensätze haben unterschiedliche Lebenszyklen gemäß Abschnitt 4 der Datenschutzerklärung. Dieser Entwurf legt keine Löschfrist bei Kontoschließung fest.

Du bestimmst, welche personenbezogenen Daten sich in deinen Eingaben befinden. KROMSE trifft diese Auswahl nicht. Personenbezogene Daten können auf folgenden Wegen zu KROMSE gelangen:

• Quellcode und Repository-Inhalte mit Namen und E-Mail-Adressen von Autoren sowie möglicherweise Testdaten, Ausgangsdaten, Kommentaren oder Konfigurationen mit personenbezogenen Daten deiner Mitarbeitenden, Kunden oder Endnutzer.
• Hochgeladene SBOMs und Firmware sowie ausgewählte Container-Images, die Autorenangaben, Konfigurationen, Dateien oder andere personenbezogene Daten enthalten können.
• Scan-Nachweise, die Ausschnitte dieses Codes zitieren können.
• Unterstützte Text- und Office-Dateien, die bei der Einrichtung innerhalb von KROMSE ausgelesen werden. Externe OCR und PDF-/Bildauslesung sind deaktiviert.
• Arbeitsbereichsinhalte, die dein Team in Produkte, Vorgänge und Berichtsentwürfe eingibt.
• Kontodaten der Personen aus deinem Unternehmen, die KROMSE verwenden.

Betroffene Personen sind somit deine Mitarbeitenden und alle Personen, deren personenbezogene Daten in verbundenen Eingaben oder Dokumenten enthalten sind.

Ob besondere Kategorien personenbezogener Daten verarbeitet werden dürfen und unter welchen Bedingungen, ist rechtlich noch nicht bestätigt. KROMSE setzt keine technische Kontrolle ein, die solche Daten in einem geprüften Repository verhindert.

Produktaktionen erteilen Verarbeitungsweisungen: Anhängen einer Git-Quelle oder Container-Referenz, Hochladen von SBOM oder Firmware, Starten eines Scans, Auswählen optionaler KI-Code-Prüfung, Senden einer Chat-Nachricht, Anfordern einer KI-Befundbewertung und Hochladen unterstützter Dokumente zur lokalen Auslesung. Abschnitt 5 der Datenschutzerklärung beschreibt die dabei übermittelten Daten.

KROMSE verwendet deine Daten nicht für eigene Zwecke, verkauft sie nicht und verwendet weder Quellcode noch Arbeitsbereichsinhalte zum Training maschineller Lernmodelle.

Personen, die zur Verarbeitung von Kundendaten befugt sind, unterliegen Vertraulichkeitspflichten.

Die Form dieser Verpflichtung, etwa Arbeits- oder Auftragnehmerverträge, ist in diesem Dokument noch nicht beschrieben; es sagt keine Hintergrundprüfungen oder Schulungen zu.

Die folgenden technischen Maßnahmen sind derzeit umgesetzt. Dies beschreibt das laufende System und keinen Zielzustand.

• Trennung der Arbeitsbereiche: Jeder Datensatz trägt die Organisationskennung, und Datenzugriffe werden danach gefiltert. Daten eines Kunden sind aus dem Arbeitsbereich eines anderen nicht erreichbar.
• Rollenbasierte Zugriffskontrolle innerhalb eines Arbeitsbereichs mit serverseitiger Durchsetzung der Berechtigungen.
• Scan-Nachweise in einem privaten, serverseitig verschlüsselten Objektspeicher. Verschlüsselung und Inhalts-Hash werden beim Schreiben überprüft. Lokale Nachweisspeicherung wird in der Produktionskonfiguration abgelehnt.
• Repository-Arbeitskopien liegen in einem temporären Arbeitsbereich pro Scan und werden nach Abschluss gelöscht. Gespeicherte Nachweise können Codeausschnitte enthalten; hochgeladene Firmware hat einen eigenen Aufbewahrungsablauf.
• Code für KI-Prüfungen wird um Zugangsdaten bereinigt. Dateien, in denen der Scanner Zugangsdaten gefunden hat, werden ausgeschlossen.
• GitHub-Installationszugangsdaten bleiben auf API-Aufrufe beschränkt. Sie werden nie an den Archiv-Download-Host weitergegeben oder in Speicher, Protokolle oder Fehlermeldungen geschrieben.
• Abgesichertes Entpacken von Archiven mit Schutz vor Pfadmanipulationen, symbolischen Links, übergroßen Einträgen und Archivbomben.
• Prüfprotokoll mit erkennbaren Manipulationen: Einträge werden über SHA-256 mit dem vorherigen Eintrag verkettet.
• Scanner laufen ohne Root-Rechte in einem isolierten Container-Image mit über Prüfsummen festgelegten Binärdateien.
• Schutz der Datenbank auf dem Hetzner-Datenbankserver: Das Volume mit der PostgreSQL-Datenbank ist im Ruhezustand verschlüsselt, API und Worker sind für Verbindungen über das private Netzwerk mit TLS und Zertifikatsprüfung konfiguriert, und Datenbanksicherungen werden vor der Speicherung verschlüsselt. Das beschreibt die Konfiguration, keine unabhängige Prüfung.

KROMSE hat keinen SOC-2-Bericht, keine ISO-27001-Zertifizierung und keinen Penetrationstest durch Dritte. Dieses Dokument enthält keine Zusage, eine solche Zertifizierung zu erlangen, aufrechtzuerhalten oder nachzuweisen.

KROMSE setzt für die Plattform die folgenden Unterauftragsverarbeiter ein. Einwilligungsbasierte Website-Analyse ist in Abschnitt 3 der Datenschutzerklärung beschrieben.

• Hetzner – Hosting in Deutschland für Web-Anwendung, API, CRM, Scanner-Worker und PostgreSQL-Datenbank, mit verschlüsselten Datenbanksicherungen. Hetzner verarbeitet alle von der Plattform verarbeiteten Kundendaten. Für temporäre Scanner-Datenträger besteht keine verifizierte Zusage zur Verschlüsselung ruhender Daten.
• Cloudflare R2 – Scan-Nachweise und hochgeladene Firmware über den EU-Jurisdiktionsendpunkt mit automatischer Regionswahl; dies beschreibt den konfigurierten Endpunkt, kein einzelnes Speicherland.
• Clerk – Authentifizierung, Sitzungen, Workspace-Mitgliedschaften und Einladungs-E-Mails. Kontodaten: Name, E-Mail-Adresse, Organisationszugehörigkeit und Rolle.
• Stripe – Abrechnung von Abonnements und Zahlungen über die gehosteten Seiten von Stripe. Rechnungskontakt, Adresse, Steuer-ID und Zahlungsdaten werden bei Stripe eingegeben; KROMSE übergibt die Kennung des Arbeitsbereichs als Referenz und speichert keine Kartennummern.
• Google Workspace – E-Mails der Anwendung, versendet über den Mail-Dienst von Google (SMTP-Server smtp.gmail.com), einschließlich Kontaktformular-Anfragen und konfigurierter betrieblicher Benachrichtigungen (Absender- und Empfängeradressen sowie Nachrichteninhalt).
• OpenAI – Der KI-Anbieter für jede KI-Funktion, die deine Inhalte sendet: Chat, Befundbewertungen, Triage von Befunden der statischen Analyse und optionale Code-Prüfung, wie in Abschnitt 5 der Datenschutzerklärung beschrieben.
• Anthropic (USA) – Als KI-Unterauftragsverarbeiter genannt. Keine KROMSE-Funktion sendet derzeit deine Inhalte an Anthropic, wie Abschnitt 5 der Datenschutzerklärung beschreibt.
• Mistral AI – Als KI-Unterauftragsverarbeiter genannt; als Endpunkt ist der EU-Endpunkt von Mistral (api.eu.mistral.ai) konfiguriert. Keine KROMSE-Funktion sendet derzeit deine Inhalte an Mistral. Externe Dokument-OCR bleibt deaktiviert.
• GitHub, weitere verbundene Git-Hosts und Container-Registries – Quellen der von dir gewählten Repositories und Images, abgerufen mit deiner Berechtigung.

US-basierte Anbieter sind OpenAI, Anthropic, Clerk, Stripe, Cloudflare, Google und GitHub; die jeweilige Vertragsgesellschaft kann abweichen. Diese Anbieter belegen weder ausschließlich europäische Verarbeitung noch einen vereinbarten Übermittlungsmechanismus.

Abschnitt 6 der Datenschutzerklärung führt die aktuellen Dienstleister und externen Datendienste mit ihren technischen Zwecken auf. Vertragliche Rollen, geltende Vereinbarungen und Übermittlungsregelungen müssen für diesen Entwurf noch geprüft werden.

Clerk verwaltet Anmeldung, Workspace-Mitgliedschaften und Einladungs-E-Mails. Wenn du eine Person einlädst, erhält Clerk deren E-Mail-Adresse und Workspace-Angaben und versendet die Einladung auf deine Anweisung.

OpenAI verarbeitet aktuelle Chat-Nachrichten, relevanten abgerufenen Arbeitsbereichskontext und Websuchanfragen. Chat und Bewertungen können im Modus Nur Metadaten Pfade und Zeilennummern enthalten. Repository-Quelltext erfordert Codeausschnitte und einen KI-zugelassenen Scan; kostenlose Bewertungen dürfen keine Repository-Dateien lesen. Es gibt keinen Mistral-Ersatzanbieter; externe Dokumenten-OCR ist deaktiviert. Optionale KI-Code-Prüfung sendet eine begrenzte, bereinigte Codeauswahl nur bei Aktivierung für den Scan. Deterministische Scans stellen weiterhin externe Schwachstellenabfragen; das Deaktivieren von KI deaktiviert diese Anfragen nicht.

Geplante Dienstleisterwechsel werden von Kromse Labs S.L. geprüft und verifizierten Arbeitsbereichskontakten manuell mitgeteilt, einschließlich Anbieter, Zweck, betroffener Daten und geplantem Datum. Fragen oder Einwände gehen an info@kromse.com und werden vor einer Entscheidung über die betroffene Verarbeitung dokumentiert. Vertragliche Genehmigungen, Ankündigungs- oder Widerspruchsfristen sind in der jeweiligen Kundenvereinbarung festzulegen; dieser Entwurf legt sie nicht fest. Ein automatischer Vorankündigungsdienst besteht nicht.

Für Datenrückgabe, Berichtigung oder Schließung wende dich an info@kromse.com. Kromse Labs S.L. prüft den anfragenden Inhaber und dokumentiert Umfang, Übermittlungskanal und Zieltermin. Vorhandene Downloads decken ihren angegebenen Umfang ab. Umfassendere Exporte und Löschungen erfolgen manuell mit Prüfungen auf fehlende Objekte, gemeinsam genutzte Konten und aufbewahrte Datensätze. Datenbankeinträge, Objektdateien, Dienstleisterdaten und Backups sind getrennte Schritte. Archivierung ist keine Löschung. Die Abschlussmitteilung benennt entfernte und verbleibende Daten. Eine vollständige Arbeitsbereichslöschung zur Selbstbedienung oder feste Abschlussfrist gibt es nicht.

Anfragen nach zusätzlichen Unterlagen oder Unterstützung bei Bewertungen werden mit dem verifizierten Kundenkontakt einzeln geprüft. Die Antwort dokumentiert verfügbare Nachweise, Lücken und nächste Schritte; sie zertifiziert keine Rechtskonformität des Kunden.

Melde einen vermuteten Vorfall an info@kromse.com und nenne den betroffenen Arbeitsbereich und deine Beobachtung, ohne Passwörter oder unnötige personenbezogene Daten zu senden. Kromse Labs S.L. koordiniert die Reaktion: Meldung erfassen, relevante Nachweise sichern, betroffene Daten und Dienste prüfen, den Vorfall eindämmen und die Wiederherstellung verfolgen. Kundenmitteilungen unterscheiden bestätigte Tatsachen von Unbekanntem und benennen offene Maßnahmen. Die verantwortlichen Personen und ihre Beratung prüfen mögliche Meldeanforderungen; dieser Hinweis trifft keine solche rechtliche Feststellung und verspricht keine feste Reaktionsfrist.

Ein regelmäßiger Prozess versucht, abgelaufene Scan-Nachweisobjekte in begrenzten Stapeln zu löschen, und wiederholt fehlgeschlagene Löschungen. Nach erfolgreicher Löschung ersetzt ein Löschvermerk den Speicherort und hält den Zeitpunkt fest. Der Datenbankeintrag behält den Inhalts-Hash und weitere Metadaten. Befunde, Berichte, Prüfprotokolle und Datenbanksicherungen werden dabei nicht gelöscht. Die reguläre Scan-Bereinigung entfernt die temporäre Quellcode-Kopie; nach einem erzwungenen Worker-Stopp können temporäre Dateien bis zur Bereinigung oder zum Instanzaustausch verbleiben. Hochgeladene Firmware bleibt gespeichert, solange ihre Produkteingabe aktiv ist. Archivieren startet die tarifabhängige Speicherfrist und löscht die Dateien nicht sofort.

Für Datenrückgabe, Berichtigung oder Schließung wende dich an info@kromse.com. Kromse Labs S.L. prüft den anfragenden Inhaber und dokumentiert Umfang, Übermittlungskanal und Zieltermin. Vorhandene Downloads decken ihren angegebenen Umfang ab. Umfassendere Exporte und Löschungen erfolgen manuell mit Prüfungen auf fehlende Objekte, gemeinsam genutzte Konten und aufbewahrte Datensätze. Datenbankeinträge, Objektdateien, Dienstleisterdaten und Backups sind getrennte Schritte. Archivierung ist keine Löschung. Die Abschlussmitteilung benennt entfernte und verbleibende Daten. Eine vollständige Arbeitsbereichslöschung zur Selbstbedienung oder feste Abschlussfrist gibt es nicht. Sicherungskopien können frühere Daten bis zu ihrem bestätigten Ablauf oder ihrer gesonderten Entfernung enthalten. Ein zugriffsbeschränktes Löschverzeichnis hält abgeschlossene Anfragen fest, damit diese vor Wiederinbetriebnahme einer wiederhergestellten Datenbank erneut umgesetzt werden können. Das Entfernen aktiver Daten belegt nicht die Löschung aller Sicherungs- oder Dienstleisterkopien.

Prüfungs- und Inspektionsrechte nach Artikel 28 Absatz 3 Buchstabe h, einschließlich Häufigkeit, Ankündigung, Kosten und der Frage, ob Dokumente einen Vor-Ort-Besuch ersetzen können, sind noch nicht festgelegt und rechtlich noch nicht bestätigt. KROMSE verfügt über keinen Prüfbericht, der anstelle einer Inspektion angeboten werden könnte.

Mehrere Unterauftragsverarbeiter verarbeiten Daten außerhalb des EWR. Der jeweilige Übermittlungsmechanismus (Standardvertragsklauseln, Angemessenheitsbeschluss oder andere Grundlage) sowie gegebenenfalls eine Transfer-Folgenabschätzung sind rechtlich noch nicht bestätigt; dieser Entwurf enthält daher keine Standardvertragsklauseln.