LEGAL
Auftragsverarbeitungsvertrag für ZTPipe
Zuletzt aktualisiert: 7. November 2026
Diese deutsche Fassung ist eine Übersetzung, die der leichteren Verständlichkeit dient. Maßgeblich sind die japanische und die englische Fassung.
Dieser Auftragsverarbeitungsvertrag (der „AVV“) legt die Bedingungen fest, zu denen Packet Pilot LLC („wir“) bei der Bereitstellung von ZTPipe (die Desktop-App, das Kundenportal, der Lizenzdienst, der Dienst für die Netzwerkprüfung und Proof; der „Dienst“) personenbezogene Daten im Auftrag eines Kunden („Sie“) verarbeitet. Dieser AVV ist Bestandteil der Nutzungsbedingungen von ZTPipe und soll die Anforderungen von Art. 28 DSGVO erfüllen. Wenn Sie einen gesonderten schriftlichen Vertrag abschließen möchten, wenden Sie sich bitte an die in Artikel 10 genannte Adresse.
Artikel 1 (Gestaltung von ZTPipe und Geltungsbereich dieses AVV)
- ZTPipe verarbeitet den Inhalt Ihrer E-Mails (Betreff, Text, Anhänge und Empfänger), Ihre Schlüssel und Ihre Kontakte ausschließlich auf Ihren Geräten und sendet sie nicht an unsere Server. Wir verarbeiten sie nicht (Datenschutzerklärung, Abschnitte 1 und 2).
- Dieser AVV gilt für die personenbezogenen Daten, die bei der Nutzung des Dienstes unsere Server erreichen und die wir als Auftragsverarbeiter verarbeiten.
- Für Daten, für die wir Verantwortlicher sind — die Portalkonten Ihrer Administratoren und Nutzer, Rechnungskontakte und sonstige Daten, die wir zur Vertragsverwaltung, Authentifizierung und Abrechnung verarbeiten —, gilt die Datenschutzerklärung.
- Die Begriffe „personenbezogene Daten“, „Verantwortlicher“, „Auftragsverarbeiter“, „Verarbeitung“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung nach Art. 4 DSGVO.
Artikel 2 (Gegenstand der Verarbeitung)
| Personenbezogene Daten | (1) Optionale Notizen, die Ihr Administrator zu jeder Lizenz hinterlegt (etwa der Name des Nutzers). (2) Daten der Lizenzprüfung: ein auf dem Gerät aus der E-Mail-Adresse des Nutzers und der Seriennummer berechneter Abgleichswert (die E-Mail-Adresse selbst wird nicht gesendet), eine aus dem Signaturschlüssel des Geräts abgeleitete Gerätekennung, das Betriebssystem, die App-Version und der Zeitpunkt der Prüfung. (3) Hashwerte von Nachrichten und Anhängen, wenn ein Proof hinzugefügt wird (deren Inhalt wird nicht gesendet). |
|---|---|
| Zwecke | Prüfung der Lizenzen und der Anzahl der Geräte, Ausstellung von Proofs und Bereitstellung des Dienstes. |
| Art der Verarbeitung | Speicherung, Abgleich, Einholen von Zeitstempeln (nur Hashwerte) und sonstige für die Funktionen des Dienstes erforderliche Vorgänge. |
| Dauer | Für die Laufzeit des Vertrags und bis zum Abschluss der Löschung nach Artikel 7. |
| Betroffene Personen | Ihre Organe und Beschäftigten sowie die Nutzer, denen Sie Lizenzen zuweisen. |
Der Dienst ist so gestaltet, dass wir keine E-Mail-Adressen oder Gerätenamen zu den Abgleichswerten und Gerätekennungen besitzen, und wir beschränken die verarbeiteten personenbezogenen Daten auf ein Minimum.
Artikel 3 (Unsere Pflichten)
- Wir verarbeiten personenbezogene Daten nur auf Ihre dokumentierte Weisung (einschließlich der Nutzungsbedingungen und Ihrer Nutzung des Dienstes selbst). Verpflichtet uns das Recht zu einer anderen Verarbeitung, teilen wir Ihnen dies vorab mit, sofern das Recht dies nicht verbietet.
- Wir verpflichten die Beschäftigten, die personenbezogene Daten verarbeiten, zur Vertraulichkeit und gewähren Zugriff nur denjenigen, die ihn benötigen.
- Sind wir der Auffassung, dass eine Weisung von Ihnen gegen die DSGVO oder anderes anwendbares Recht verstößt, informieren wir Sie unverzüglich.
- Wir verwenden Ihre personenbezogenen Daten nicht für andere als die in diesem AVV genannten Zwecke und verkaufen sie nicht an Dritte.
Artikel 4 (Unterauftragsverarbeiter)
Sie sind damit einverstanden, dass wir die folgenden Unterauftragsverarbeiter einsetzen.
| Unterauftragsverarbeiter | Zweck | Standort |
|---|---|---|
| Amazon Web Services | Hosting des Dienstes (Region Tokio) und Versand von E-Mails (Amazon SES) | Japan |
| Stripe | Abwicklung von Kreditkartenzahlungen. Kartennummern werden direkt von Stripe erhoben und laufen nicht über unsere Systeme. | USA und weitere |
Der Zeitstempeldienst für Proof (PP-TSA) wird von uns selbst betrieben und ist kein Unterauftragsverarbeiter. Wir erlegen jedem Unterauftragsverarbeiter vertraglich Pflichten auf, die denen dieses AVV im Wesentlichen entsprechen, und haften für dessen Handeln wie für eigenes. Wenn wir einen Unterauftragsverarbeiter hinzufügen oder wechseln, veröffentlichen wir die Änderung auf dieser Seite und informieren Sie mindestens 30 Tage vor ihrem Wirksamwerden. Sie können innerhalb von 14 Tagen nach der Mitteilung aus berechtigtem Grund widersprechen. Kommt keine Einigung zustande, können Sie den Vertrag für die Leistungen kündigen, die diesen Unterauftragsverarbeiter erfordern.
Artikel 5 (Unterstützung bei den Rechten betroffener Personen)
Richtet eine betroffene Person einen Antrag auf Ausübung ihrer Rechte an uns, beantworten wir ihn nicht nach eigenem Ermessen, sondern leiten ihn unverzüglich an Sie weiter (es sei denn, das Recht verpflichtet uns zur direkten Beantwortung). Wir unterstützen Sie in angemessenem Umfang durch die Funktionen des Portals (etwa das Bearbeiten von Lizenznotizen und das Freigeben von Geräteplätzen) und technische Hilfe, damit Sie Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit beantworten können.
Artikel 6 (Meldung von Datenschutzverletzungen)
Erhalten wir Kenntnis von einer Verletzung des Schutzes personenbezogener Daten in dem von uns kontrollierten Bereich, informieren wir Sie unverzüglich. Soweit bekannt, beschreibt die Meldung die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder geplanten Maßnahmen und unsere Kontaktstelle. Müssen Sie als Verantwortlicher eine Aufsichtsbehörde benachrichtigen (bei Anwendbarkeit der DSGVO grundsätzlich binnen 72 Stunden nach Bekanntwerden), unterstützen wir Sie in angemessenem Umfang durch die Bereitstellung der erforderlichen Informationen.
Artikel 7 (Löschung bei Vertragsende)
Nach dem Ende des Vertrags löschen wir die verarbeiteten personenbezogenen Daten, sobald 30 Tage seit dem Vertragsende vergangen sind (Datenschutzerklärung, Abschnitt 11). Ausgenommen sind Informationen, die wir aufgrund gesetzlicher Pflichten aufbewahren müssen. Die Daten auf Ihren Geräten (Nachrichten, Schlüssel und Kontakte) befinden sich nicht auf unseren Servern; sie werden entfernt, wenn Sie die ZTPipe-Daten auf Ihren Geräten löschen. In Sicherungen enthaltene personenbezogene Daten werden mit Ablauf der Aufbewahrungsfrist dieser Sicherungen gelöscht.
Artikel 8 (Internationale Übermittlungen)
Wir verarbeiten personenbezogene Daten in Japan (AWS-Region Tokio). Übermittlungen aus dem Europäischen Wirtschaftsraum nach Japan können ohne gesonderte Standardvertragsklauseln erfolgen, da für Japan ein Angemessenheitsbeschluss der Europäischen Kommission besteht. Für die Zahlungsabwicklung können einige personenbezogene Daten an Stripe (USA) übermittelt werden. Stripe nimmt am EU-U.S. Data Privacy Framework teil und bietet zudem Übermittlungsmechanismen auf Grundlage von Standardvertragsklauseln an. Andere Übermittlungen in Drittländer nehmen wir nicht vor. Sollte dies erforderlich werden, informieren wir Sie vorab und stellen einen rechtmäßigen Übermittlungsmechanismus sicher.
Artikel 9 (Technische und organisatorische Maßnahmen)
Um das von Art. 32 DSGVO geforderte Schutzniveau zu erreichen, treffen wir die folgenden Maßnahmen:
- Verschlüsselung der Daten bei der Übertragung (TLS) und bei der Speicherung
- Schutz von Signaturschlüsseln, Proof-Schlüsseln und sonstigen Geheimnissen durch Schlüsselverwaltungsdienste (AWS KMS / Secrets Manager), ohne sie im Quellcode oder in Konfigurationsdateien abzulegen
- Zugriff nach dem Prinzip der minimalen Rechte und rollenbasierte Zugriffskontrolle
- Zwei-Faktor-Authentifizierung für alle Portalkonten
- Trennung der Daten jedes Kunden
- Aufzeichnung und Sicherung von Audit-Logs
- Regelmäßige Sicherungen und Überprüfung des Wiederherstellungsverfahrens
- Beschränkung des direkten Zugriffs auf die Produktionsdatenbank
- Datenschutz durch Technikgestaltung (E-Mail-Inhalte, Schlüssel und Kontakte werden nicht an unsere Server gesendet, und die verarbeiteten personenbezogenen Daten werden auf ein Minimum beschränkt)
Artikel 10 (Audits, Nachweise und Kontakt)
- Wir stellen Ihnen auf angemessene Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV erforderlich sind.
- Sie können höchstens einmal jährlich mit einer schriftlichen Ankündigung von mindestens 30 Tagen ein Audit verlangen. Audits sind so und zu Zeiten durchzuführen, dass unser Geschäftsbetrieb nicht übermäßig beeinträchtigt wird; die Kosten des Audits tragen Sie. Können wir einen Prüfbericht eines Dritten vorlegen, können wir diesen anstelle eines Audits bereitstellen.
- Für Fragen zu diesem AVV oder für den Wunsch nach einem unterzeichneten schriftlichen Vertrag wenden Sie sich bitte an:
Packet Pilot LLC (Packet Pilot合同会社) — product.support@packet-pilot.net