Auftragsverarbeitungsvertrag (DPA)

Die folgenden verifizierten ergänzenden Bestimmungen (v1.0-RC1, 8. November 2026) haben bei Widersprüchen Vorrang vor den allgemeinen Bestimmungen weiter unten in diesem Dokument.

2. AUFTRAGSVERARBEITUNGSVERTRAG (AVV) — AKTUALISIERTE ANLAGEN

2.1 Rollen

Für seine eigenen Konto-, Vertriebs-, Support-, Sicherheits- und Webvorgänge kann Govexa Verantwortlicher sein. Für personenbezogene Daten, die ein Geschäftskunde auf die Govexa-Plattform hochlädt oder Govexa über Konnektoren zur Verarbeitung bereitstellt, handelt Govexa grundsätzlich auf dokumentierte Weisung des Kunden als Auftragsverarbeiter oder Unterauftragsverarbeiter.

2.2 Kategorien verarbeiteter Daten — Anlage A

Je nach Nutzung können personenbezogene Kundendaten Folgendes umfassen:

Identität und Benutzerverzeichnis

• Vorname, Nachname;
• geschäftliche E-Mail-Adresse;
• Benutzer-/Kontokennung;
• Organisation, Abteilung und Rolle;
• Angaben zu Administrator-/privilegierten Rollen;
• Angaben zu Aktivierung/Status der MFA;
• letzte Anmeldung oder Kontoaktivität.

GRC-Daten

• Prozess-, Asset-, Daten-, Risiko-, Kontroll- und Pflichteneinträge;
• Audit-, Feststellungs-, Maßnahmen- und Nachweisdaten;
• Einträge zu Lieferanten/Dritten;
• technische Schwachstellen und Sicherheitsbefunde;
• vom Kunden hochgeladene Dateien und Beschreibungen.

Konnektordaten

Je nach vom Kunden aktivierter Integration aus AWS, Google, Okta, Microsoft Entra, GitHub, Jira, Slack oder anderen unterstützten Systemen:

• Benutzerverzeichnis und Zugriffsinformationen;
• MFA-/Identitätssicherheitsstatus;
• letzte Anmeldung/Aktivität;
• Administrator- und privilegierte Rollen;
• Cloud-Konfigurations- und Sicherheitsmetadaten;
• Repository-Konfiguration und Sicherheitseinstellungen;
• sonstige Konfigurationsmetadaten, die die Integration zur Erzeugung von GRC-Nachweisen benötigt.

Govexa greift nur im Rahmen der vom Kunden aktivierten Integration und seiner Weisungen zu.

2.3 Von Govexa verwaltete KI-Unterauftragsverarbeiter

Bei Nutzung der von Govexa verwalteten KI kann Anthropic der Standard-KI-Unterauftragsverarbeiter sein. OpenAI kann ein optionaler KI-Unterauftragsverarbeiter sein, wenn Govexa ihn für den betreffenden Mandanten/Tarif aktiviert.

Der für die KI-Funktion erforderliche Prompt und kontextbezogene Kundendaten können an den jeweiligen Anbieter übermittelt werden. Mechanismen für internationale Übermittlungen werden für den Anbieter nach anwendbarem Recht gehandhabt.

Anthropic ZDR wird von Govexa nicht als vertragliche Eigenschaft zugesagt, sofern es nicht für das betreffende Konto von Govexa gesondert aktiviert und verifiziert ist.

2.4 Kundengesteuerte KI — kein Unterauftragsverarbeiter

Verlangt der Kunde schriftlich, für die KI-Funktionen der Plattform sein eigenes Anthropic-/OpenAI-Konto, seinen eigenen API-Schlüssel oder seinen selbst gehosteten Ollama-/Modellserver zu nutzen, gilt dieser Anbieter bzw. dieses System nicht als von Govexa ausgewählter Unterauftragsverarbeiter, sondern als vom Kunden ausgewählter/angewiesener Dritter oder eigener Lieferant des Kunden.

In dieser Konfiguration:

• werden an die KI-Funktion gesendete Daten auf Weisung des Kunden direkt an den vom Kunden gewählten Anbieter/Endpunkt übermittelt;
• liegen Vertrag, AVV, Übermittlungsgarantien und Drittlandübermittlungsmechanismus mit dem Anbieter sowie die erforderliche Information der betroffenen Personen in der Verantwortung des Kunden;
• speichert Govexa unterstützte Verbindungsgeheimnisse wie API-Schlüssel verschlüsselt und zeigt sie in der Oberfläche nicht erneut an;
• weicht Govexa bei Ausfall einer kundengesteuerten KI-Verbindung nicht stillschweigend auf sein eigenes KI-Konto aus.

Eine rein technische Weiterleitung durch Govexa überträgt die eigenständige rechtliche Rolle des direkt vom Kunden gewählten Anbieters nicht auf Govexa.

2.5 Sentry

Sentry gilt nur dann als zur Fehlerüberwachung eingesetzter Unterauftragsverarbeiter, wenn DSN/Integration in der jeweiligen Produktionsumgebung aktiviert ist. Die aktuelle Anwendungskonfiguration enthält sendDefaultPii: false und Bereinigungskontrollen über beforeSend.

Ist Sentry in der Produktion nicht aktiviert, wird es in der öffentlichen Liste der Unterauftragsverarbeiter als „bedingt / nur bei Aktivierung“ ausgewiesen oder aus der Liste aktiver Unterauftragsverarbeiter entfernt.

2.6 Aufbewahrung und Löschung

Solange Govexa noch keinen automatischen festen Aufbewahrungs-/Löschvorgang für alle Datenklassen anwendet, sagen AVV oder Datenschutzerklärung keine technisch nicht angewandte automatische Frist wie „12 Monate“ zu.

Die Aufbewahrung richtet sich nach Datenklasse, Vertrag, Sicherheitsbedarf, gesetzlicher Pflicht und technischem Sicherungszyklus.

audit_log wird derzeit append-only geführt. Für diese Aufzeichnungen wird keine bestimmte automatische Löschfrist zugesagt, bis ein gesondert entworfener und verifizierter Aufbewahrungsmechanismus für deren Löschung/Anonymisierung eingeführt ist.

2.7 Datensicherung und Geschäftskontinuität

In der Datenbankinfrastruktur von Govexa können vom Anbieter angebotene Sicherungsfunktionen genutzt werden. Govexa bietet ein getestetes Wiederherstellungsverfahren und schriftliche RPO/RTO-Ziele jedoch erst dann als vertragliche Garantie an, wenn sie technisch eingerichtet und nachgewiesen sind.

2.8 Internationale Übermittlungen

Für eingeschränkte Übermittlungen nach der DSGVO werden, soweit angemessen, Standardvertragsklauseln der Europäischen Kommission und erforderliche ergänzende Maßnahmen verwendet.

Für Drittlandübermittlungen nach dem KVKK wird der geeignete Mechanismus nach Art. 9 des Gesetzes Nr. 6698 und den geltenden Durchführungsvorschriften verwendet. Wird der KVKK-Standardvertrag verwendet, werden die geltenden Meldepflichten erfüllt.

Allgemeine Bestimmungen

Soweit Govexa personenbezogene Daten im Auftrag des Kunden verarbeitet, ist der Kunde Verantwortlicher bzw. Auftragsverarbeiter und Govexa Auftragsverarbeiter bzw. Unterauftragsverarbeiter.

Govexa verarbeitet Daten nur nach dokumentierten Weisungen und setzt angemessene technische und organisatorische Maßnahmen ein. Berechtigte Personen unterliegen Vertraulichkeitspflichten.

Der Kunde erteilt eine allgemeine Genehmigung zum Einsatz notwendiger Unterauftragsverarbeiter. Anthropic kann Standard-KI-Unterauftragsverarbeiter sein; OpenAI kann bei Auswahl eingesetzt werden. Direkt vom Kunden beauftragte BYOAI-Anbieter können als kundenseitig angewiesene Dritte behandelt werden.

Govexa unterstützt angemessen bei Betroffenenrechten, Datenschutzverletzungen, DPIAs und erforderlichen Prüfungen. Bei bestätigten Verletzungen personenbezogener Daten wird der Kunde ohne unangemessene Verzögerung informiert.

Für erforderliche EWR-Drittlandübermittlungen werden die einschlägigen SCC-Module einbezogen.

• — — — — — — — — — — — — — — — — — — — — — — — --