Trust-Center

Daten und Datenschutz für Website-Besucher

atvari.eu kommt ohne Benutzerkonten und ohne Cookies aus und verfolgt keine Besucherinnen und Besucher. Das Kontaktformular sendet nichts an uns: Es öffnet Ihr E-Mail-Programm mit vorbelegtem Text, und Daten verlassen Ihr Gerät erst, wenn Sie selbst absenden. Die Website enthält keine Werbung, keine Tracking-Skripte und keine eingebetteten Drittanbieter-Widgets.

• Wir setzen keine Cookies, und die Webanalyse ist aggregiert: Sie arbeitet ohne personenbezogene Daten.

Zwecke, Rechtsgrundlagen, Ihre Rechte nach der DSGVO, die Server-Logfiles des Hosts und die Bedingungen der einzelnen Anbieter weiter unten: all das findet sich in unserer Datenschutzerklärung.

Hosting und Anbieter

An dieser Website sind vier Anbieter beteiligt:

Wo verfügbar, verlinken die Anbieternamen auf deren Auftragsverarbeitungsverträge.

Daten und Datenschutz für Kunden

Die Kundenbeziehung stützt sich auf die folgenden Dokumente:

• Grundvertrag: ein Rahmenvertrag mit projektspezifischer Leistungsbeschreibung, direkt mit Ihnen vereinbart; je nach deren Inhalt liegt ein Dienst- oder Werkvertrag vor.
• Auftragsverarbeitungsvertrag (Vorlage): je Auftrag gemeinsam unterschrieben.
• Unterauftragnehmer-Anlage: die maßgebliche Unterauftragsverarbeiter-Liste; Teil des AVV.
• Technische und organisatorische Maßnahmen (TOMs): die sicherheitstechnische Basis, auf die der AVV verweist.

Wo ein Projekt etwas anderes braucht, wird das in der Leistungsbeschreibung vereinbart; die öffentlichen Muster bleiben so für alle einheitlich.

Unterauftragsverarbeiter für Kundenprojekte

Für Kundenprojekte verarbeiten die folgenden Anbieter Daten in unserem Auftrag. Ihre Auftragsverarbeitungsverträge sind verlinkt. Kundenengagements nutzen unseren Auftragsverarbeitungsvertrag (Vorlage); die maßgebliche Liste (mit Datenkategorien, dem 14-tägigen Widerspruchsverfahren und den Löschregeln) ist unsere Unterauftragnehmer-Anlage; diese Tabelle spiegelt sie:

Die Anbieter ziehen weitere Unterauftragnehmer hinzu und dokumentieren diese auf eigenen Seiten. Details stehen in den Kundenverträgen.

Sicherheitskontrollen

Wir halten den Stand der Technik konkret. Das Wesentliche: Zugriff nur über persönliche Need-to-know-Konten mit Mehrfaktor-Authentifizierung, Verschlüsselung auf allen Geräten und in der Übertragung, getrennte Produktions- und Kundenumgebungen ohne gemeinsame Konten, und Backups bei den Anbietern. Die TOMs-Anlage (v1.0) hält alles in Vertragswortlaut fest, als Teil des AVV.

Schwachstellenmanagement

Abhängigkeiten sind über Lock-Dateien gepinnt und gelangen nur über reproduzierbare, geprüfte Änderungen in Projekte; dieselbe Disziplin gilt für den Code, den wir für Kunden ausliefern. Sicherheitsmeldungen werden laufend geprüft: Kritische werden innerhalb von 7 Tagen behandelt, alles Weitere folgt dem monatlichen Update-Zyklus. Freigaben steuert atvari selbst, so erreicht ein Update ein Kundenprojekt nie ohne einen bewussten, reproduzierbaren Schritt.

Vorfallreaktion

atvari betreibt keine eigenen Produktionssysteme; die oben genannten Dienste werden von den Anbietern betrieben. Sollten wir von einem Sicherheitsereignis erfahren, das Daten betrifft, die wir für Kunden verarbeiten, informieren wir die Kunden innerhalb von 48 Stunden, wie es der Auftragsverarbeitungsvertrag vorsieht: Schadensbegrenzung, Behebung und eine schriftliche Zusammenfassung folgen.

Schwachstellen melden

Sie haben ein Problem mit dieser Website gefunden, etwa Inhalte, die nicht dem entsprechen, was wir veröffentlichen, unerwartetes Verhalten oder ein Transportsicherheitsproblem? Schreiben Sie an security@atvari.eu mit dem Betreff „Security disclosure". Wir bestätigen Meldungen in der Regel innerhalb weniger Werktage und bitten um ein angemessenes Zeitfenster, um das Problem zu beheben, bevor etwas veröffentlicht wird. Unser Kontakt ist auch als /.well-known/security.txt hinterlegt. Verschlüsselte Meldungen (PGP) sind willkommen: Unsere Schlüssel sind über das Web Key Directory (WKD) auffindbar, und die security.txt-Datei enthält neben dem Fingerabdruck des Offenlegungsschlüssels auch eine URI, die stets den aktuellen Schlüssel liefert.

Interne KI-Werkzeuge

Wir nutzen KI-Werkzeuge für unsere eigene Engineering-Arbeit. Personenbezogene Daten von Kundinnen und Kunden bleiben außen vor: In der Kundenarbeit tauchen Daten nur in den Diensten unter „Unterauftragsverarbeiter für Kundenprojekte" auf, unter den dort beschriebenen Vereinbarungen.