Subprozessoren
Inhalt · 4 Abschnitte
Diese Liste nennt die Unterauftragsverarbeiter, die die Proralis UG (haftungsbeschränkt) beim Betrieb von Redcheck einsetzt. Sie ist Anlage 3 zum Vertrag zur Auftragsverarbeitung. Der Kunde stimmt mit Abschluss des Vertrags dem Einsatz der hier genannten Unterauftragsverarbeiter zu.
Eingesetzte Unterauftragsverarbeiter
| Name | Zweck | Ort der Verarbeitung | Grundlage |
|---|---|---|---|
| Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen | Betrieb der Anwendungsserver (red-check.de, app.red-check.de, api.red-check.de, Scan-Worker) | Deutschland | Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO |
| Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen (unsere eigenen Server, betrieben in unserem Auftrag) | PostgreSQL-Datenbank: Konten, Organisationen, Domains, Läufe, Befunde, Rechnungsspiegel, Protokolle | Deutschland | Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO |
| Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen (unsere eigenen Server, betrieben in unserem Auftrag) | Objektspeicher für Berichte als PDF, findings.json, Beweismittel, Datenexporte und Datenbanksicherungen | Deutschland | Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO |
| Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen | Versand der Systemnachrichten zu Konto und Zugang, zu Läufen und Zeitplänen, zu Kontingent und Abrechnung und zum KI-Scan. Absenderadresse ist noreply@red-check.de. | Deutschland | Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO |
| Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irland | Zahlungsabwicklung für kostenpflichtige Pläne: Bezahlvorgang, Kundenportal, Rechnungsstellung, Mahnwesen | Irland; Weiterleitung an die Stripe, Inc., Vereinigte Staaten | Auftragsverarbeitung nach Art. 28 DSGVO; für die Übermittlung in die Vereinigten Staaten Standardvertragsklauseln und EU-US Data Privacy Framework |
Die Zahlungsabwicklung ist derzeit nicht scharfgeschaltet. Solange kein kostenpflichtiger Plan gebucht werden kann, werden an Stripe keine Daten übermittelt.
Welche Systemnachrichten es gibt, listet der Abschnitt „E-Mail-Versand“ der Datenschutzerklärung.
Mit Stripe ist ein Auftragsverarbeitungsvertrag (Data Processing Agreement) abgeschlossen. Die Übermittlung an die Stripe, Inc. in den Vereinigten Staaten ist durch Standardvertragsklauseln abgesichert; Stripe ist zudem unter dem EU-US Data Privacy Framework zertifiziert.
Empfänger, die keine Auftragsverarbeiter sind
Beim Abgleich erkannter Software mit Schwachstellen- und Produktlebenszyklusdaten fragt der Scan-Worker öffentliche Datenquellen ab. Übermittelt werden dabei ausschließlich Produktnamen und Versionsangaben. Weder die geprüfte Domain noch Daten des Kunden oder seiner Besucher werden übertragen. Die Betreiber dieser Quellen verarbeiten daher keine personenbezogenen Daten in unserem Auftrag.
| Quelle | Abgefragt wird | Ort | Übermittelt wird |
|---|---|---|---|
| National Vulnerability Database (NIST) | services.nvd.nist.gov | Vereinigte Staaten | Produktname, Version, CPE-Kennung |
| OSV.dev | api.osv.dev | Vereinigte Staaten | Produktname, Version, Ökosystem |
| Wordfence Intelligence | www.wordfence.com | Vereinigte Staaten | Abruf des öffentlichen Datenbestands zu WordPress-Erweiterungen |
| endoflife.date | endoflife.date | Vereinigtes Königreich | Produktname |
Die Antworten dieser Quellen werden zwischengespeichert, damit derselbe Abruf nicht für jeden Lauf wiederholt wird. Die Abfrage erfolgt vom Scan-Worker, nicht aus der Steuerungsebene.
Für die Auslieferung der Website und der Anwendung werden Zertifikate der Zertifizierungsstelle Let's Encrypt (Internet Security Research Group) verwendet. Dabei wird der Domainname veröffentlicht, wie es bei jedem TLS-Zertifikat der Fall ist; personenbezogene Daten werden nicht übermittelt.
Nicht eingesetzt
Um Missverständnisse zu vermeiden, sei ausdrücklich benannt, was Redcheck nicht einsetzt:
- keine Marketingwerkzeuge und keinen externen Dienst zur Analyse oder Reichweitenmessung. Die Nutzungsanalyse läuft nur mit Einwilligung, auf unserem eigenen Server bei Hetzner in Finnland (EU), und verdeckt Inhalte zu Kunden und Befunden (Abschnitt „Analyse“ der Datenschutzerklärung);
- keine externen Schriften; „Public Sans“ und „DM Mono“ liegen auf dem eigenen Server;
- keine externen Skripte, kein Content Delivery Network, kein Kartendienst, kein eingebettetes Video;
- kein externer Dienst für Fehler- oder Leistungsüberwachung und kein externer Protokolldienst; Anwendungsprotokolle bleiben auf den eigenen Servern;
- keine Anmeldung über Dritte; die frühere Anmeldung über Google wurde ersatzlos entfernt, und es gibt keine Verknüpfung, die je genutzt worden wäre;
- kein System künstlicher Intelligenz für die Daten unserer Kunden. Ein Sprachmodell setzen wir nur bei der Briefwerbung ein (Abschnitt „Briefwerbung an Unternehmen“ der Datenschutzerklärung). Beim KI-Scan (Beta) im Plan Agentur erstellt ein Prüfer von Redcheck den Bericht; Daten unserer Kunden werden dabei an kein System künstlicher Intelligenz übermittelt. Eine Entscheidung mit rechtlicher Wirkung trifft kein System.
Änderungen dieser Liste
Der Anbieter informiert den Kunden über den beabsichtigten Einsatz eines neuen Unterauftragsverarbeiters oder den Wechsel eines bestehenden mindestens dreißig Tage im Voraus in Textform an die im Konto hinterlegte E-Mail-Adresse.
Der Kunde kann der Änderung innerhalb von vierzehn Tagen nach Zugang der Information aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen. Widerspricht er, kann er den Vertrag zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich kündigen. Näheres regelt der Abschnitt „Unterauftragsverarbeiter“ des Vertrags zur Auftragsverarbeitung.
Fragen zu dieser Liste: kontakt@red-check.de