Dieser Vertrag beschreibt, wie Gideon Defender, Inc. personenbezogene Daten im Auftrag von Kunden verarbeitet und schützt, die die Gideon-Sicherheitsplattform nutzen.
Zuletzt aktualisiert: 20. August 2026
Vertrag und Geltungsbereich
Dieser Auftragsverarbeitungsvertrag (Data Processing Agreement, DPA) ist Bestandteil des Master Subscription Agreement, der Nutzungsbedingungen oder eines anderen Hauptvertrags (Vertrag), der zwischen Gideon Defender, Inc. (Gideon oder Auftragsverarbeiter) und der den Vertrag schließenden juristischen Person (Kunde oder Verantwortlicher) geschlossen wird.
Dieses DPA regelt die Verarbeitung personenbezogener Daten durch Gideon im Auftrag des Kunden im Zusammenhang mit den gemäß dem Vertrag erbrachten Diensten. Es gilt, wenn es in den Vertrag einbezogen oder auf andere Weise zu dessen Bestandteil gemacht wird.
1. Begriffsbestimmungen
Business und Service Provider haben die ihnen im California Consumer Privacy Act in der durch den California Privacy Rights Act geänderten Fassung (CCPA) zugewiesene Bedeutung. Für die Zwecke dieses DPA ist der Kunde in Bezug auf die im Rahmen des Vertrags verarbeiteten personenbezogenen Informationen das Business und Gideon der Service Provider.
Verantwortlicher bezeichnet die Stelle, die über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet; für die von diesem DPA erfasste Verarbeitung ist dies der Kunde.
Datenschutzgesetze bezeichnet die anwendbaren Gesetze und Vorschriften zum Schutz der Privatsphäre und zum Datenschutz, einschließlich, soweit anwendbar, der Datenschutz-Grundverordnung (EU) 2016/679 (DSGVO), der UK GDPR und des CCPA.
Personenbezogene Daten und, für die Zwecke des CCPA, personenbezogene Informationen bezeichnen Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen und die Gideon im Rahmen des Vertrags im Auftrag des Kunden verarbeitet.
Auftragsverarbeiter bezeichnet die Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet; für die von diesem DPA erfasste Verarbeitung ist dies Gideon.
Sicherheitsvorfall bezeichnet eine bestätigte versehentliche oder unrechtmäßige Vernichtung, einen Verlust, eine Veränderung, eine unbefugte Offenlegung von oder einen unbefugten Zugriff auf personenbezogene Daten, die von Gideon übermittelt, gespeichert oder anderweitig verarbeitet werden.
Unterauftragsverarbeiter bezeichnet einen von Gideon beauftragten Drittverarbeiter, der Gideon bei der Erbringung der Dienste unterstützt.
2. Rollen und Umfang der Verarbeitung
2.1 Rollen der Parteien
Für die im Rahmen dieses DPA verarbeiteten personenbezogenen Daten ist der Kunde der Verantwortliche und, soweit der CCPA gilt, das Business. Gideon ist der Auftragsverarbeiter und, soweit der CCPA gilt, der Service Provider. Gideon verarbeitet personenbezogene Daten ausschließlich im Auftrag des Kunden und gemäß dessen dokumentierten Weisungen und wird personenbezogene Informationen nicht verkaufen oder weitergeben, wie diese Begriffe im CCPA definiert sind.
2.2 Einzelheiten der Verarbeitung
Kategorien betroffener Personen: Mitarbeiter, Auftragnehmer und autorisierte Nutzer des Kunden, die über Gideons Plattform für Identitäts-, Endpunkt- und Zugriffsverwaltung Verwaltungs- oder Authentifizierungsvorgänge durchführen.
Arten personenbezogener Daten: Berufliche Kontaktdaten, einschließlich Namen, geschäftlicher E-Mail-Adressen und Benutzernamen; Gerätemetadaten; IP-Adressen; Authentifizierungs- und Zugriffsprotokolle; Metadaten zu WebAuthn- und FIDO2-Anmeldedaten; sowie Telemetriedaten, die für Identitätsprüfung, Bewertung des Gerätesicherheitsstatus und Durchsetzung von Zugriffsrichtlinien erforderlich sind.
Art und Zweck: Bereitstellung der Cybersicherheitsplattform von Gideon, einschließlich Gideon Identity für Passkey- und FIDO2-basierte Identitäts- und Zugriffsverwaltung, Gideon Endpoint Management für Zero-Touch-Geräteverwaltung und Endpunktschutz sowie Gideon Access für Just-in-Time-Zugriffsverwaltung.
Dauer: Die Laufzeit des Vertrags sowie jeder zusätzliche Zeitraum, für den Gideon die Daten nach geltendem Recht aufbewahren muss.
3. Pflichten von Gideon als Auftragsverarbeiter
3.1 Einhaltung von Weisungen
Gideon verarbeitet personenbezogene Daten gemäß den dokumentierten Weisungen des Kunden, einschließlich Weisungen zu internationalen Übermittlungen, sofern das geltende Recht nichts anderes vorschreibt. Soweit rechtlich zulässig, informiert Gideon den Kunden vor einer gesetzlich vorgeschriebenen Verarbeitung.
3.2 Vertraulichkeit
Gideon stellt sicher, dass zur Verarbeitung personenbezogener Daten befugte Personen Vertraulichkeitsverpflichtungen unterliegen.
3.3 Sicherheitsmaßnahmen
Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung implementiert und unterhält Gideon geeignete technische und organisatorische Maßnahmen, die ein dem Risiko angemessenes Schutzniveau gewährleisten sollen. Dazu gehören die Verschlüsselung bei der Übertragung und im Ruhezustand, die Durchsetzung phishingresistenter Anmeldedaten mittels FIDO2 und WebAuthn, rollenbasierte Zugriffskontrollen und regelmäßige Systemüberprüfungen.
Das SOC-2-Type-II-Audit von Gideon ist im Gange. Nach Abschluss stellt Gideon dem Kunden den Bericht im Rahmen einer für beide Seiten akzeptablen Vertraulichkeitsvereinbarung zur Verfügung. Bis dahin stellt Gideon auf Anfrage aktuelle Sicherheitsdokumentation bereit und beantwortet angemessene Sicherheitsfragebögen von Kunden.
3.4 Unterauftragsverarbeiter
Der Kunde erteilt Gideon die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Gideon stellt auf Anfrage seine aktuelle Liste der Unterauftragsverarbeiter bereit und informiert den Kunden angemessen im Voraus über eine beabsichtigte Hinzufügung oder Ersetzung, sodass der Kunde aus berechtigten Datenschutzgründen widersprechen kann. Gideon bleibt für die Erfüllung der Datenschutzpflichten jedes Unterauftragsverarbeiters verantwortlich, soweit dies nach geltendem Recht und dem Vertrag erforderlich ist.
3.5 Rechte betroffener Personen
Soweit rechtlich zulässig, benachrichtigt Gideon den Kunden unverzüglich, wenn Gideon eine Anfrage einer betroffenen Person zu personenbezogenen Daten erhält, die im Rahmen dieses DPA verarbeitet werden. Gideon antwortet nicht direkt, es sei denn, der Kunde ermächtigt Gideon dazu oder das geltende Recht schreibt dies vor, und leistet angemessene Unterstützung, damit der Kunde Anfragen zu Auskunft, Berichtigung, Löschung oder anderen anwendbaren Rechten beantworten kann.
3.6 Meldung von Sicherheitsvorfällen
Gideon benachrichtigt den Kunden unverzüglich und spätestens 72 Stunden, nachdem Gideon von einem bestätigten Sicherheitsvorfall Kenntnis erlangt hat, der personenbezogene Daten des Kunden betrifft. Soweit bekannt, beschreibt die Benachrichtigung die Art des Vorfalls, die Kategorien und ungefähre Anzahl der betroffenen Personen sowie die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen. Gideon ergreift angemessene Maßnahmen, um die Auswirkungen des Sicherheitsvorfalls zu mindern.
3.7 Löschung oder Rückgabe
Bei Beendigung oder Ablauf des Vertrags löscht Gideon nach Wahl des Kunden die personenbezogenen Daten unverzüglich und gemäß dem Vertrag oder gibt sie zurück, sofern das geltende Recht keine weitere Speicherung verlangt.
er die anwendbaren Datenschutzgesetze in Bezug auf die Erhebung und Verarbeitung personenbezogener Daten sowie deren Übermittlung an Gideon eingehalten hat und weiterhin einhalten wird.
er die erforderlichen Hinweise erteilt und die Einwilligungen oder sonstigen Rechtsgrundlagen eingeholt hat, die für die im Vertrag vorgesehene Verarbeitung personenbezogener Daten durch Gideon erforderlich sind.
5. Internationale Datenübermittlungen
Werden personenbezogene Daten aus dem Europäischen Wirtschaftsraum, dem Vereinigten Königreich oder der Schweiz in ein Land übermittelt, für das kein angemessenes Schutzniveau anerkannt ist, richten die Parteien einen anwendbaren rechtmäßigen Übermittlungsmechanismus ein, bevor sie sich auf diese Übermittlung stützen. Dazu können die Standardvertragsklauseln der Europäischen Kommission, Modul Zwei für Übermittlungen vom Verantwortlichen an den Auftragsverarbeiter, und, soweit anwendbar, das UK International Data Transfer Addendum gehören.
Alle erforderlichen Übermittlungsanhänge, Beschreibungen der Übermittlungen sowie technischen und organisatorischen Maßnahmen sind von den Parteien zu vervollständigen. Steht ein abgeschlossener Übermittlungsmechanismus im Widerspruch zu diesem DPA, hat dieser Mechanismus für die betreffende Übermittlung Vorrang.
6. CCPA-spezifische Bedingungen
Soweit Gideon im Auftrag des Kunden dem CCPA unterliegende personenbezogene Informationen verarbeitet, wird Gideon:
personenbezogene Informationen nicht verkaufen oder weitergeben.
personenbezogene Informationen nicht für einen anderen Zweck als die Erbringung der im Vertrag festgelegten Dienste oder eine anderweitig nach dem CCPA zulässige Nutzung aufbewahren, verwenden oder offenlegen.
personenbezogene Informationen nicht außerhalb der direkten Geschäftsbeziehung zwischen Gideon und dem Kunden aufbewahren, verwenden oder offenlegen.
vom Kunden erhaltene personenbezogene Informationen nicht mit personenbezogenen Informationen aus einer anderen Quelle zusammenführen, außer soweit dies nach dem CCPA zulässig ist.
bestätigen, dass Gideon diese Beschränkungen versteht und einhalten wird.
7. Audit-Rechte
Gideon stellt über seine Sicherheitsdokumentation und sein Trust Center die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieses DPA nachzuweisen. Mit einer schriftlichen Vorankündigung von mindestens 30 Tagen und höchstens einmal pro Kalenderjahr kann der Kunde ein Audit oder einen Compliance-Fragebogen anfordern; ausgenommen sind Fälle nach einem bestätigten Sicherheitsvorfall oder Anforderungen einer Aufsichtsbehörde. Die Anfrage unterliegt angemessenen Vertraulichkeitsvorkehrungen und darf den Geschäftsbetrieb von Gideon nicht unangemessen beeinträchtigen. Sobald verfügbar, kann Gideon seinen SOC-2-Type-II-Bericht anstelle eines Vor-Ort-Audits vorlegen, sofern der Bericht die angeforderten Kontrollen angemessen abdeckt.
8. Kontaktinformationen
Bei Fragen zu diesem DPA oder zu den Datenschutzpraktiken von Gideon wenden Sie sich an das Datenschutz- und Sicherheitsteam.
Rechtsträger: Gideon Defender, Inc.
Postanschrift: 2621 NE 212th Ter, Miami, FL 33180, Vereinigte Staaten.
