1. Verantwortlicher
Togethers IT-Solutions
Inhaber: Majid Noroozi
Laurastr. 13
88250 Weingarten
Deutschland
Telefon: 0176 22137154
Fax: 0751 95149956
E-Mail: info@togethers.de
2. Gegenstand und Zweck von PassKey Manager
PassKey Manager ist ein geschützter digitaler Dienst zur strukturierten Verwaltung von Firmen- und Kundenzuordnungen, Benutzerkonten, Kategorien, Zugangsdaten und weiteren Informationen, die zur sicheren Verwaltung von IT-Zugängen erforderlich sind.
Die Verarbeitung erfolgt insbesondere zur:
- Bereitstellung und Verwaltung von Benutzerkonten,
- Authentifizierung und Zugriffskontrolle,
- Verwaltung von Firmen-, Kunden- und Mandantenzuordnungen,
- Verwaltung von Zugangsdaten und Passwörtern,
- Durchführung von Zwei-Faktor-Authentifizierung und Sitzungsverwaltung,
- Erkennung und Abwehr unberechtigter Zugriffe und missbräuchlicher Nutzung,
- Protokollierung administrativer und sicherheitsrelevanter Vorgänge,
- Fehleranalyse, Wartung und Sicherstellung des technischen Betriebs,
- Verwaltung von Lizenz-, Vertrags- und Abrechnungsinformationen sowie
- Erfüllung gesetzlicher und vertraglicher Pflichten.
3. Kategorien verarbeiteter Daten
Stamm-, Firmen- und Kundendaten
Hierzu können Firmenname, Kundenzuordnung, interne Kennungen, Vertrags- und Lizenzdaten sowie die für die Mandantentrennung erforderlichen Informationen gehören.
Benutzer- und Kontaktdaten
Hierzu können insbesondere Benutzername, E-Mail-Adresse, Benutzerrolle, Benutzerstatus und Informationen über die organisatorische Zuordnung gehören.
Authentifizierungs- und Sicherheitsdaten
Verarbeitet werden die zur Anmeldung, Zwei-Faktor-Authentifizierung, Sitzungsverwaltung, Zugriffskontrolle, Sperrung und Absicherung von Benutzerkonten erforderlichen Informationen.
Tresor- und Zugangsdaten
Abhängig von den durch berechtigte Nutzer gespeicherten Informationen können insbesondere Kategorien, Bezeichnungen, Benutzernamen oder E-Mail-Adressen, Internetadressen, Notizen und Passwörter verarbeitet werden.
Protokoll- und Sicherheitsdaten
Zur Sicherheit und Nachvollziehbarkeit können insbesondere Zeitpunkt und Art von Vorgängen, Benutzer- und Firmenzuordnung, Login-Versuche, administrative Änderungen, IP-Adressen sowie weitere für die Sicherheitsüberwachung und Fehleranalyse erforderliche technische Informationen verarbeitet werden.
4. Rechtsgrundlagen
Soweit Togethers IT-Solutions selbst Verantwortlicher ist, erfolgt die Verarbeitung je nach Verarbeitungsvorgang insbesondere auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO zur Vertragserfüllung und Durchführung vorvertraglicher Maßnahmen, Art. 6 Abs. 1 lit. c DSGVO zur Erfüllung gesetzlicher Pflichten sowie Art. 6 Abs. 1 lit. f DSGVO zur Wahrung berechtigter Interessen.
Berechtigte Interessen bestehen insbesondere an einem sicheren, stabilen und nachvollziehbaren Betrieb des Dienstes, der Verhinderung unberechtigter Zugriffe, der Missbrauchs- und Angriffserkennung, der Fehleranalyse sowie der Durchsetzung oder Abwehr von Rechtsansprüchen.
Soweit eine Verarbeitung auf einer Einwilligung beruht, ist Art. 6 Abs. 1 lit. a DSGVO Rechtsgrundlage. Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.
5. Verarbeitung im Auftrag unserer Kunden
Nutzen Unternehmen, Arztpraxen oder andere Kunden PassKey Manager zur Verarbeitung personenbezogener Daten, für deren Zwecke und Mittel sie selbst verantwortlich sind, bleibt grundsätzlich der jeweilige Kunde Verantwortlicher im Sinne der DSGVO.
Togethers IT-Solutions verarbeitet solche Daten in diesen Fällen als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage der jeweiligen vertraglichen Vereinbarung und dokumentierten Weisungen des Kunden. Dies kann insbesondere Zugangsdaten, Benutzerinformationen und sonstige vom Kunden in PassKey Manager hinterlegte Informationen betreffen.
6. Hosting und Serverstandort
PassKey Manager wird über Infrastruktur der HostingTime GmbH, Stuttgarter Straße 10, 70469 Stuttgart, Deutschland betrieben.
Die für PassKey eingesetzte Serverinfrastruktur befindet sich in Deutschland. Nach der für PassKey vorgesehenen Betriebsarchitektur werden die produktiven PassKey-Daten nicht auf außereuropäischen Servern betrieben.
Soweit der Hostingdienstleister personenbezogene Daten im Auftrag verarbeitet, erfolgt dessen Einsatz auf Grundlage der datenschutzrechtlich erforderlichen Vereinbarungen.
7. Server-, Sicherheits- und Aktivitätsprotokolle
Beim Zugriff auf PassKey Manager können aus technischen und sicherheitsbezogenen Gründen Protokolldaten verarbeitet werden. Dazu können IP-Adresse, Datum und Uhrzeit, angeforderte Ressource, technische Statusinformationen sowie sicherheitsrelevante Ereignisse gehören.
Zusätzlich können administrative Vorgänge wie das Anlegen, Ändern, Deaktivieren oder Exportieren von Datensätzen protokolliert werden. Passwörter selbst werden nicht in Aktivitäts- oder Sicherheitsprotokolle geschrieben.
8. Anmeldung und Zwei-Faktor-Authentifizierung
Für den Zugang werden Authentifizierungsdaten verarbeitet. Zur zusätzlichen Absicherung kann eine Zwei-Faktor-Authentifizierung eingesetzt werden. Die dabei verarbeiteten Informationen dienen ausschließlich der Authentifizierung, Kontosicherheit und Missbrauchsvermeidung.
9. Umgang mit Passwörtern und Tresorinhalten
PassKey Manager ist für die Verwaltung besonders schutzbedürftiger Zugangsdaten konzipiert. Tresorinhalte werden nicht zu Werbe-, Profiling- oder Analysezwecken ausgewertet oder verkauft.
Togethers IT-Solutions nimmt keine routinemäßige inhaltliche Einsicht in gespeicherte Passwörter. Ein technischer Zugriff durch besonders berechtigte Administratoren kann nur dann erfolgen, wenn dies für einen ausdrücklich veranlassten Export, einen autorisierten Support- oder Sicherheitsvorgang oder zur Erfüllung gesetzlicher Pflichten erforderlich ist. Zugriffe und administrative Vorgänge werden soweit technisch vorgesehen nachvollziehbar protokolliert.
Konkrete Details der eingesetzten Sicherheits- und Verschlüsselungsarchitektur werden aus Sicherheitsgründen nicht öffentlich bekannt gegeben.
10. Rollen-, Rechte- und Mandantentrennung
Der Zugriff auf PassKey Manager richtet sich nach den eingerichteten Rollen und Berechtigungen. Benutzer erhalten ausschließlich die ihnen zugewiesenen Funktionen. Firmen- und Kundendaten werden logisch voneinander getrennt verwaltet. Administrative Sonderfunktionen sind besonders berechtigten Konten vorbehalten.
11. Export von Zugangsdaten
Ein Export von Zugangsdaten kann durch einen besonders berechtigten Administrator und nur bezogen auf die ausgewählte Firma beziehungsweise den ausgewählten Kunden ausgelöst werden. Ein Export kann sensible Zugangsdaten einschließlich Passwörtern enthalten.
Die Übergabe erfolgt über einen geschützten Übertragungsweg. Soweit eine zusätzliche Dateiverschlüsselung vereinbart oder eingesetzt wird, werden Zugangsdaten und Kennwort für die Entschlüsselung getrennt voneinander übermittelt. Der Empfänger ist nach Übergabe für die sichere Aufbewahrung der Exportdatei verantwortlich.
Exportvorgänge können aus Sicherheits- und Nachweisgründen protokolliert werden. Die Passwortinhalte selbst werden nicht in das Aktivitätsprotokoll übernommen.
12. Vertragsende, Datenübergabe und endgültige Löschung
Nach bestätigter Übergabe und nach Ablauf der vereinbarten beziehungsweise gesetzlich erforderlichen Aufbewahrungsfrist werden die dem Kunden zugeordneten Tresor- und Zugangsdaten aus dem aktiven PassKey-System endgültig gelöscht. Diese Löschung ist im aktiven System nicht rückgängig zu machen.
Soweit Daten vorübergehend noch in technisch erforderlichen, zugriffsgeschützten Sicherungskopien enthalten sind, werden diese ausschließlich zu Wiederherstellungs- und Ausfallsicherungszwecken vorgehalten und nach Maßgabe der vorgesehenen Backup-Rotation überschrieben beziehungsweise gelöscht. Eine reguläre Wiederherstellung einzelner gekündigter Kundentresore aus Sicherungskopien findet nicht statt.
Gesetzliche Aufbewahrungspflichten, insbesondere für Vertrags-, Abrechnungs- oder Nachweisdaten, bleiben unberührt. Solche Pflichten führen jedoch nicht dazu, dass die Passwörter eines gekündigten Kundentresors für eine weitere aktive Nutzung vorgehalten werden.
13. Technisch notwendige Cookies und Sitzungsinformationen
PassKey Manager verwendet technisch erforderliche Sitzungs- und Sicherheitsmechanismen, soweit diese zur Anmeldung, Authentifizierung, Aufrechterhaltung einer Sitzung und Absicherung des Dienstes notwendig sind.
Soweit hierfür Informationen auf dem Endgerät gespeichert oder ausgelesen werden, erfolgt dies im Rahmen von § 25 TDDDG. Für unbedingt erforderliche Speicherungen oder Zugriffe ist nach § 25 Abs. 2 TDDDG keine Einwilligung erforderlich.
PassKey Manager setzt nach der derzeitigen Konfiguration keine technisch nicht erforderlichen Tracking- oder Marketing-Cookies ein.
14. Empfänger personenbezogener Daten
Innerhalb von Togethers IT-Solutions erhalten nur Personen beziehungsweise Funktionen Zugriff, die diesen für ihre jeweilige Aufgabe benötigen. Darüber hinaus können insbesondere Hosting-, IT-Infrastruktur- oder technische E-Mail-Dienstleister Empfänger sein, soweit deren Einsatz für Betrieb, Kommunikation und Sicherheit erforderlich ist.
Eine Weitergabe oder ein Verkauf gespeicherter Zugangsdaten zu Werbe- oder Marketingzwecken findet nicht statt.
15. Speicherdauer und Löschung
Personenbezogene Daten werden grundsätzlich nur so lange verarbeitet, wie dies für den jeweiligen Zweck, die Durchführung des Vertrags, die Systemsicherheit oder gesetzliche Aufbewahrungs- und Nachweispflichten erforderlich ist.
Benutzer- und Tresordaten können zunächst deaktiviert oder logisch gelöscht werden, wenn dies für Audit-, Sicherheits- oder Wiederherstellungszwecke erforderlich ist. Nach Wegfall des jeweiligen Zwecks und entgegenstehender gesetzlicher Pflichten werden sie entsprechend dem Löschkonzept endgültig gelöscht oder anonymisiert.
16. Datensicherungen
Zur Gewährleistung von Verfügbarkeit und Wiederherstellbarkeit können geschützte Datensicherungen angelegt werden. Diese dienen ausschließlich der Ausfallsicherheit und Wiederherstellung des Systems und werden nicht für andere Zwecke ausgewertet.
17. Technische und organisatorische Maßnahmen
Togethers IT-Solutions trifft unter Berücksichtigung des Risikos und des Stands der Technik angemessene technische und organisatorische Maßnahmen im Sinne von Art. 32 DSGVO. Diese dienen insbesondere dem Schutz von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Daten.
Hierzu gehören unter anderem Zugriffskontrollen, Rollen- und Berechtigungskonzepte, Authentifizierungsmaßnahmen, geschützte Datenübertragung und Datenspeicherung, Protokollierungs- und Sicherheitsmechanismen sowie organisatorische Beschränkungen des Zugriffs. Sicherheitskritische Implementierungsdetails werden nicht öffentlich offengelegt.
18. Keine Werbung, kein Profiling und keine automatisierten Entscheidungen
Tresorinhalte werden nicht für personalisierte Werbung oder Profilbildung verwendet. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet im Rahmen von PassKey Manager nicht statt.
19. Rechte betroffener Personen
Betroffenen stehen nach Maßgabe der gesetzlichen Voraussetzungen insbesondere folgende Rechte zu:
- Auskunft nach Art. 15 DSGVO,
- Berichtigung nach Art. 16 DSGVO,
- Löschung nach Art. 17 DSGVO,
- Einschränkung der Verarbeitung nach Art. 18 DSGVO,
- Datenübertragbarkeit nach Art. 20 DSGVO,
- Widerspruch nach Art. 21 DSGVO sowie
- Widerruf einer erteilten Einwilligung nach Art. 7 Abs. 3 DSGVO.
Zur Ausübung dieser Rechte genügt eine Nachricht an info@togethers.de.
Soweit Togethers IT-Solutions Daten ausschließlich als Auftragsverarbeiter eines Kunden verarbeitet, ist grundsätzlich der jeweilige Kunde Ansprechpartner für Betroffenenrechte. Togethers IT-Solutions unterstützt den Verantwortlichen im gesetzlich erforderlichen Umfang.
20. Beschwerderecht
Betroffene Personen haben gemäß Art. 77 DSGVO das Recht, sich bei einer zuständigen Datenschutzaufsichtsbehörde zu beschweren.
Zuständige Aufsichtsbehörde für nichtöffentliche Stellen in Baden-Württemberg ist insbesondere:
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Heilbronner Straße 35
70191 Stuttgart
Deutschland
21. Änderungen dieser Datenschutzerklärung
Diese Datenschutzerklärung kann angepasst werden, wenn sich PassKey Manager, die eingesetzten Dienstleister, technische Abläufe oder gesetzliche Anforderungen ändern. Es gilt die jeweils veröffentlichte aktuelle Fassung.