Wie OpenForAll Website-Nachweise nach Kundenweisung verarbeitet

Der Kunde ist Verantwortlicher und VHUG Technologies OÜ Auftragsverarbeiter für personenbezogene Daten, die in kundengewählten Scanzielen und Nachweisen enthalten sind. Die Verarbeitung beginnt mit dem angeforderten Scan und dauert entsprechend Paketaufbewahrung bis zur rechtmäßigen Löschung oder Rückgabe.

• Dienst: Browser-Scans und Behebungsnachweise
• Zweck: Barrieren erkennen, erklären, verfolgen und bestätigen
• Keine Werbung oder zweckfremde OpenForAll-Nutzung
• Verantwortung des Kunden bleibt bestehen

Website, Scanumfang, Zeitplan, Benutzer, Paketaufbewahrung, Behebungsaktionen, Exporte und Supportanfragen bilden die dokumentierten Kundenweisungen. OpenForAll lehnt private Netze ab und ergänzt authentifizierte Scans nur nach gesonderter Konfiguration und Freigabe.

• Nur eigene Ziele oder Ziele mit entsprechender Erlaubnis
• Begrenzte Seiten, Weiterleitungen, Zeit und Anfragen
• Kunde steuert direkten und Agenturzugriff
• Rechtswidrige Weisungen werden soweit zulässig vor Verarbeitung angezeigt

Betroffen sein können Besucher, Kunden, Mitarbeiter, Bewerber, Autoren oder andere Personen in gerenderten Inhalten. Daten können Namen, Kennungen, Kontaktdaten, kontobezogene Texte, Bilder, URLs, technische Metadaten und besondere Kategorien umfassen, die der Kunde auf der Seite sichtbar macht.

• Besondere Kategorien sind für den Scan nicht erforderlich
• Möglichst Test- oder minimierte Inhalte verwenden
• Fokussierte Screenshots und kurze HTML-Ausschnitte begrenzen Nachweise
• Rohresultate und Metadaten können für Reproduzierbarkeit nötig bleiben

Berechtigte Personen müssen zur Vertraulichkeit verpflichtet sein und nur erforderlichen Zugriff erhalten. Die Anwendung begrenzt Zugriff nach Organisation, Rolle, direkter Mitgliedschaft und gedeckelter Agenturbeziehung; Kundennachweise bleiben vor fremden Mandanten geschützt.

• Eigene Benutzerkonten und Passwort-Hashes
• Serverseitig geprüfte Rollen
• Getrennte Kundenarbeitsbereiche
• Zurechenbare Sicherheits- und Verwaltungsereignisse

Aktuelle Maßnahmen umfassen Ziel- und Weiterleitungsprüfung, Sperre privater Netze, isolierte Browserkontexte, begrenzte Scans, CSRF-Schutz, sichere Sitzungen, Anmeldedrosselung, Mandantenprüfung, fokussierte Nachweise, nicht öffentliche Artefakte, sichere Warteschlangen, geprüfte Backups, Abhängigkeitsgates und Betriebsüberwachung.

• Keine Geheimnisse in Quellcode oder Mandantenexporten
• Artefakte nur nach Berechtigungsprüfung
• Backups mit Manifest und SHA-256-Prüfung
• Produktive Verschlüsselung, Hosting-, Recovery- und Zugriffsverfahren noch dokumentieren

Stripe verarbeitet eigene OpenForAll-Abrechnung, soll aber keine Scannachweise erhalten. Produktivhosting, Transaktions-E-Mail und Backup-Anbieter können Kunden- oder Benutzerdaten verarbeiten und müssen vor Abschluss mit Ort, Zweck, Schutzmaßnahmen und Änderungsverfahren gelistet werden.

• Keine Scannachweise an ungelistete Produktivanbieter
• Gleichwertige Pflichten vertraglich weitergeben
• Widerspruchs- und Änderungsmitteilung noch festlegen
• Drittlandtransfer nur mit benannter Grundlage und Schutzmaßnahmen

OpenForAll unterstützt mit Produktkontrollen und angemessenen Informationen bei Betroffenenrechten, Sicherheitspflichten, Folgenabschätzungen, Behördenkonsultation und Verarbeitungsnachweisen. Vermutete Datenschutzverletzungen werden untersucht und dem Kunden ohne unangemessene Verzögerung über das finale Vorfallverfahren gemeldet.

• Mandantenexport und Löschfolgenvorschau
• Auditierbare Zugriffs-, Behebungs-, Abrechnungs- und Einstellungsereignisse
• Kunde verantwortet Antworten zu gescannten Website-Inhalten
• Zeit, Eskalationskontakt und Berichtsformat bleiben Startvoraussetzungen

Organisationsexporte liefern strukturierte Datensätze und Artefaktverweise. Paketablauf entfernt berechtigte Artefakte protokolliert, vollständige Organisationslöschung ist bewusst noch nicht ausführbar. Bei Ende müssen Auftragsdaten zurückgegeben oder gelöscht werden, soweit kein Gesetz Aufbewahrung verlangt.

• Sperrung wird nicht als Löschung ausgegeben
• Geteilte Benutzeridentitäten benötigen eigentumsbewusste Behandlung
• Backups benötigen begrenzten Ablauf und Löschweitergabe
• Audits müssen verhältnismäßig sein und andere Mandanten schützen

Vor Abschluss werden Verantwortlichendaten, Dienst/Paket, Produktiv-Unterauftragsverarbeiter, Hosting- und Backup-Orte, Transferschutz, technische und organisatorische Maßnahmen, Löschplan, Vorfallkontakte, Auditprozess und Signatur oder elektronische Annahme ergänzt.

• Versionierte endgültige Vereinbarung
• Benannte Parteien und Zeichnungsberechtigte
• Vollständige Anlagen statt Platzhalter
• Angenommene Kopie für beide Parteien