Password Vault

Password Vault ist eine von PROXYTEC entwickelte Softwarelösung, die zur Installation und zum Betrieb auf einer vom Kunden bereitgestellten bzw. selbst verantworteten Infrastruktur (eigener Server oder VPS) überlassen wird. Da der Kunde die Software auf einem eigenen bzw. selbst verwalteten Server oder VPS betreibt, ist er für dessen Absicherung selbst verantwortlich – insbesondere für Betriebssystem- und Sicherheitsupdates, Firewall- und Zugriffsschutz, die Vergabe sicherer Zugangsdaten sowie für die Einrichtung, den sicheren Betrieb, das Einspielen von Software-Updates und regelmäßige Datensicherungen.

Die Software wird in der jeweils überlassenen Fassung bereitgestellt. Eine Eignung für einen über die Leistungsbeschreibung hinausgehenden Zweck, eine ununterbrochene Verfügbarkeit oder eine absolute Sicherheit gegen unbefugten Zugriff werden nicht zugesichert.

Die Haftung von PROXYTEC – gleich aus welchem Rechtsgrund – ist ausgeschlossen, soweit gesetzlich zulässig. Unberührt bleibt die Haftung für Vorsatz und grobe Fahrlässigkeit, für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, nach dem Produkthaftungsgesetz sowie bei der Verletzung wesentlicher Vertragspflichten. Es gelten ergänzend unsere Allgemeinen Geschäftsbedingungen sowie das Impressum.

Bei einfach fahrlässiger Verletzung wesentlicher Vertragspflichten (Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrages überhaupt erst ermöglicht und auf deren Einhaltung der Vertragspartner regelmäßig vertrauen darf) ist die Haftung auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden begrenzt. Für den Verlust von Daten haftet PROXYTEC nur bis zu dem Aufwand, der bei ordnungsgemäßer und regelmäßiger Datensicherung durch den Kunden zur Wiederherstellung erforderlich gewesen wäre.

Ausgeschlossen ist die Haftung für Schäden, die darauf beruhen, dass der Kunde die Software verändert, in einer nicht dokumentierten Umgebung betreibt, bereitgestellte Sicherheitsupdates nicht einspielt, seinen Server unzureichend absichert, Zugangsdaten oder den Verschlüsselungsschlüssel (ENCRYPTION_KEY) unsachgemäß verwahrt oder keine Datensicherungen vorhält.

Die Software richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB; ein Verbrauchergeschäft liegt nicht vor. Ansprüche des Kunden verjähren in zwölf Monaten ab Kenntnis; hiervon ausgenommen sind Ansprüche wegen Vorsatz, grober Fahrlässigkeit, arglistig verschwiegener Mängel sowie die Fälle des Absatzes 3, die den gesetzlichen Fristen unterliegen. Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts; Gerichtsstand ist – soweit zulässig – der Sitz von PROXYTEC.

Die Bereitstellung der Software stellt keine Rechts-, Datenschutz- oder Compliance-Beratung dar. Ob der Einsatz für seinen konkreten Anwendungsfall geeignet und zulässig ist, prüft der Kunde in eigener Verantwortung – insbesondere im Hinblick auf branchenspezifische Vorgaben und seine Pflichten als datenschutzrechtlich Verantwortlicher.

Diese Installation von Password Vault wird vom jeweiligen Betreiber (Endkunde) auf eigener Infrastruktur betrieben. Datenschutzrechtlich Verantwortlicher für die hier verarbeiteten personenbezogenen Daten (z. B. Namen und E-Mail-Adressen von Mitarbeitern, Protokolldaten) ist ausschließlich der Betreiber – nicht PROXYTEC.

PROXYTEC hat keinen Zugriff auf diese Installation oder die darin gespeicherten Daten; es findet keine automatische Datenübermittlung an PROXYTEC statt – auch keine Telemetrie, keine Lizenz-Rückmeldung und keine Fehlerberichte. Greift PROXYTEC auf Wunsch des Betreibers im Rahmen von Support oder Fernwartung auf die Installation zu, wird PROXYTEC insoweit als Auftragsverarbeiter tätig; hierfür ist vorab ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO zu schließen.

Verarbeitet werden: Stammdaten der Verwaltungskonten und der Mitarbeiter (Name, E-Mail-Adresse, Firmenzugehörigkeit), Anmeldedaten (Passwort-Hash, 2FA-Geheimnis, Secret-Name-Hash), die vom Betreiber hinterlegten Inhalte (Zugangsdaten und Dateien – verschlüsselt) sowie Protokolldaten (Zeitpunkt, Konto, Aktion, IP-Adresse). Rechtsgrundlage und Zweckbestimmung legt der Betreiber fest; typischerweise Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Löschung: Freigaben werden nach der ersten Sichtung bzw. nach Ablauf der eingestellten Frist automatisch und unwiderruflich gelöscht. Protokolleinträge des Audit-Logs werden nach Ablauf der im System eingestellten Aufbewahrungsfrist automatisch entfernt (Voreinstellung 365 Tage, über die Umgebungsvariable AUDIT_RETENTION_DAYS anpassbar). Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit) sind gegenüber dem Betreiber geltend zu machen.

Empfänger: E-Mails (Einladungen, Benachrichtigungen) werden über den vom Betreiber konfigurierten Postausgang versendet. Wählt der Betreiber Microsoft 365 oder Google, werden Empfängeradresse und Nachrichteninhalt an diesen Anbieter übermittelt; eine Verarbeitung außerhalb der EU/des EWR ist dabei möglich und vom Betreiber eigenverantwortlich abzusichern. Die Anwendung selbst bindet keine externen Dienste, Schriftarten oder Analysewerkzeuge ein und setzt außer dem technisch notwendigen Sitzungs-Cookie keine Cookies – eine Einwilligungsabfrage ist daher nicht erforderlich.