Transparenz, Datenschutz und Informationssicherheit

Rechtliches & Compliance
Eine belastbare Grundlage für Ihre IT-Services

Datenschutz, Informationssicherheit und nachvollziehbare Vertragsgrundlagen sind Bestandteil unserer Services. Wir stellen unseren Kunden deshalb einen dokumentierten und regelmäßig überprüften Rahmen zur Verfügung: Verträge, technische und organisatorische Maßnahmen, Zertifizierungen und externe Prüfungen.

  • ISO/IEC 27001:2022Informationssicherheit
  • ISO 9001:2015Qualitätsmanagement
  • ISO 45001:2018Arbeits- & Gesundheitsschutz
  • Externer DSBRegelmäßige Datenschutzprüfung
  • DeutschlandOrt der Verarbeitung

Einordnung

Wer wofür verantwortlich ist

Soweit wir personenbezogene Daten im Auftrag unserer Kunden verarbeiten, handeln wir als Auftragsverarbeiter gemäß Art. 28 DS-GVO. Bei unseren Hosting- und SaaS-Leistungen ist das regelmäßig der Fall.

Verantwortlicher im Sinne von Art. 4 Nr. 7 DS-GVO bleiben Sie. Sie entscheiden, welche Daten in den Systemen verarbeitet werden, auf welcher Rechtsgrundlage das geschieht und wie Sie Betroffenenrechte erfüllen. Wir verarbeiten diese Daten nach Ihren Weisungen und unterstützen Sie im vertraglich vereinbarten Umfang. Welche Konstellation im Einzelfall greift, hängt von der gebuchten Leistung ab und wird im jeweiligen Auftrag konkretisiert.

Hinweis zu den Unterlagen: Die auf dieser Seite beschriebenen Verträge, Anhänge und Nachweise erhalten Sie im Rahmen der Angebotserstellung – oder , wenn Sie vorab prüfen möchten. Diese Seite ersetzt die Dokumente nicht, sie ordnet sie ein.

Nachweise

Zertifizierungen und externe Prüfungen

Unsere Managementsysteme sind zertifiziert und werden im Rahmen der vorgesehenen Audits regelmäßig überprüft. Sie schaffen einen strukturierten Rahmen für Informationssicherheit, Qualität sowie Arbeits- und Gesundheitsschutz. Die Zertifizierung erfolgt durch die Cert & Smile GmbH nach ISO/IEC 17021-1:2015.

Informationssicherheit

DIN EN ISO/IEC 27001:2022

Zertifiziertes Informationssicherheits-Managementsystem. Der Geltungsbereich umfasst Entwicklung und Vertrieb von IT-Lösungen auf Basis kommerzieller Software und offener Standards sowie Beratung und Managed Services.

Grundlage für Risikobewertung, Maßnahmen und Kontrollen
Qualität

DIN EN ISO 9001:2015

Zertifiziertes Qualitätsmanagementsystem für die Bereitstellung datenschutzkonformer Cloud-Dienste (IaaS und SaaS) sowie Managed Services. Nachgewiesen durch ein Third-Party-Audit in Stage 1 und Stage 2.

Grundlage für definierte und dokumentierte Prozesse
Arbeits- & Gesundheitsschutz

DIN EN ISO 45001:2018

Zertifiziertes Managementsystem für Arbeitssicherheit und Gesundheitsschutz. Der Geltungsbereich umfasst Bereitstellung, Administration und Betrieb sicherer Cloud-Infrastrukturen, Managed Services und IT-Dienstleistungen.

Grundlage für sichere Arbeitsbedingungen im Betrieb
Datenschutz

Externer Datenschutzbeauftragter

Rechtsanwalt Thomas Rickert, Rickert Rechtsanwaltsgesellschaft mbH, Bonn, begleitet uns unabhängig und führt jährlich ein Datenschutzaudit durch. Betrachtet werden dabei unter anderem das Verzeichnis der Verarbeitungstätigkeiten, das Löschkonzept, die technischen und organisatorischen Maßnahmen, die Vereinbarungen zur Auftragsverarbeitung sowie die Schulung der Beschäftigten.

Auditbericht auf Anfrage einsehbar

Die Dokumente

Die Vertragsbasis für die Auftragsverarbeitung

Unsere Auftragsverarbeitung besteht aus einem Rahmenvertrag und mehreren Anhängen. Ob Sie bei uns hosten oder wir Ihre eigene Infrastruktur betreuen, entscheidet darüber, welche Variante greift.

Rahmenvertrag

Auftrag zur Auftragsverarbeitung

Regelt Gegenstand und Dauer der Verarbeitung, Ihr Weisungsrecht, unsere Pflichten, die Unterstützung bei Betroffenenrechten, die Meldewege bei Vorfällen sowie Löschung und Rückgabe der Daten nach Vertragsende.

Für Leistungen mit Hosting bei HKN
Rahmenvertrag Variante

Auftragsverarbeitung Fernwartung

Für Auftraggeber, die ihre Infrastruktur selbst betreiben und uns mit administrativen Aufgaben auf ihren Systemen beauftragen. Der Zugriff erfolgt remote und anlassbezogen.

Für Fernwartung eigener Systeme
Anhang 1

Technische und organisatorische Maßnahmen

Dokumentiert die Maßnahmen nach Art. 32 Abs. 1 DS-GVO, orientiert an den Empfehlungen des BSI: Zutritts- und Zugangskontrolle im Rechenzentrum, Zugriffskontrolle auf Systemebene sowie Maßnahmen zu Verfügbarkeit und Wiederherstellung.

Bestandteil jedes AV-Vertrags
Anhang 2

Daten- und Personenkategorien

Beschreibt je Leistung, welche Arten personenbezogener Daten verarbeitet werden und welche Personengruppen davon betroffen sein können – etwa für Nextcloud, Business-Mail oder vServer.

Wird je Leistung ausgefüllt
Anhang 3

Beauftragte Unterauftragnehmer

Führt die eingesetzten Unterauftragsverarbeiter mit Einsatzzweck, Sitz und Datenschutzkontakt auf. Zum Einsatz kommen nur die Dienstleister, die für die gebuchten Leistungen erforderlich sind.

Wird bei Änderungen fortgeschrieben
Anhang 5

Externer Datenschutz-Auditbericht

Der jährliche Bericht unseres externen Datenschutzbeauftragten. Er dient Ihnen als Nachweis im Rahmen Ihrer Kontrollrechte und kann dazu beitragen, den Bedarf einer eigenen Vor-Ort-Prüfung zu reduzieren.

Wird jährlich neu erstellt
Zusatzvereinbarung

Sondervereinbarung nach § 203 StGB

Für Berufsgeheimnisträger. Wir verpflichten die für Sie tätigen Beschäftigten und die eingesetzten Unterauftragnehmer schriftlich zur Verschwiegenheit und weisen auf die strafrechtlichen Folgen einer Verletzung hin.

Auf Anforderung, gesondert zu schließen
Nachweise

Zertifikate und Auditberichte

Zum Nachweis einer ordnungsgemäßen Verarbeitung legen wir Ihnen unsere Unternehmens- und Rechenzentrumszertifikate sowie den externen Auditbericht zu unseren DS-GVO-Maßnahmen vor.

Im Rahmen Ihrer Kontrollrechte
Website

Impressum und Datenschutzerklärung

Die Angaben zur Verarbeitung auf hkn.de selbst, getrennt von der Auftragsverarbeitung für Ihre Systeme. Auf der Website setzen wir keine Tracking- oder Analyse-Dienste und keine extern geladenen Schriftarten ein.

Zu Impressum & Datenschutz

Zu den Unterauftragnehmern: Mit den eingesetzten Unterauftragsverarbeitern bestehen die erforderlichen datenschutzrechtlichen Vereinbarungen. Entsprechende Nachweise stellen wir im Rahmen der gesetzlichen und vertraglichen Kontrollrechte zur Verfügung.

Umfang

Unser Standard – Ihre individuellen Anforderungen

Für den überwiegenden Teil der Prüfungen, die Einkauf, Datenschutz oder IT-Sicherheit an uns richten, halten wir fertige Unterlagen bereit. Darüber hinausgehende Anforderungen setzen wir ebenfalls um; sie erfordern allerdings eine individuelle Bearbeitung.

Unser Standard

Von uns gepflegt, regelmäßig überprüft und Grundlage unserer Angebote:

  • Vertrag zur Auftragsverarbeitung, in beiden Varianten
  • Technische und organisatorische Maßnahmen
  • Daten- und Personenkategorien je Leistung
  • Übersicht der eingesetzten Unterauftragnehmer
  • Zertifikate der Managementsysteme
  • Auditnachweise, einschließlich des externen Datenschutzaudits
  • Leistungsbeschreibungen zu den gebuchten Services
  • Standardinformationen zur Informationssicherheit

Ihre individuellen Anforderungen

Möglich und regelmäßig umgesetzt, mit individuellem Bearbeitungsaufwand verbunden:

  • Prüfung kundeneigener Verträge zur Auftragsverarbeitung
  • Individuelle Vertragsklauseln und Einkaufsbedingungen
  • Security Questionnaires
  • Compliance- und Datenschutz-Fragebögen
  • Individuelle Nachweisforderungen
  • Abstimmungen mit Ihren Rechts-, Einkaufs-, Datenschutz- oder Compliance-Abteilungen

Wie wir damit umgehen: Unsere Standardunterlagen stellen wir im Rahmen unserer Angebote ohne zusätzlichen Prüfungsaufwand zur Verfügung. Darüber hinaus unterstützen wir Sie gerne bei individuellen Anforderungen. Da diese regelmäßig eine individuelle Bearbeitung durch unsere Fachabteilungen oder gegebenenfalls externe Berater erfordern, behandeln wir diesen Aufwand als gesonderte Beratungsleistung. Sofern zusätzliche Kosten entstehen, stimmen wir diese vor Beginn der Bearbeitung mit Ihnen ab.

Zuordnung

Welcher Vertrag für welche Leistung gilt

Die Übersicht zeigt die typische Konstellation je Leistung. Maßgeblich sind der jeweilige Auftrag und das vereinbarte Servicelevel.

Typische Zuordnung von Leistung, Rahmenvertrag und Betriebsverantwortung
Leistung Rahmenvertrag Verarbeitete Daten Betrieb
Nextcloud Auftragsverarbeitung Hosting Dateien, Kalender, Adressbücher, Aufgaben, Chat, Videokonferenzen HKN als Managed Service
Business-Mail (Zimbra) Auftragsverarbeitung Hosting E-Mails, Adress- und Kontaktdaten, Kalender, Aufgaben, Dateiablage HKN als Managed Service
vServer / Cloud-Instanz Auftragsverarbeitung Hosting Individuell, in Anhang 2 je Auftrag konkretisiert HKN, Umfang abhängig vom gebuchten Servicelevel
Fernwartung Auftragsverarbeitung Fernwartung Nur die Daten, die bei den beauftragten administrativen Arbeiten anfallen Auftraggeber, HKN administriert im beauftragten Umfang
Confidential Nextcloud Auftragsverarbeitung Hosting wie Nextcloud, zusätzlich verschlüsselt im laufenden Betrieb HKN, eingesetzte Infrastruktur in Anhang 3 ausgewiesen

Abgrenzung

Verantwortungsteilung im Betrieb

Ein Managed Service nimmt Ihnen Betriebsaufgaben ab, nicht aber die datenschutzrechtliche Verantwortung. Die Gegenüberstellung zeigt die übliche Aufteilung. Welche Aufgaben im Einzelfall bei uns liegen, richtet sich nach der gebuchten Leistung und dem vereinbarten Servicelevel.

Das verantwortet die HKN GmbH

  • Infrastruktur und physische Sicherheit der genutzten Rechenzentren, unter anderem mit mehrstufigem Zutrittskonzept, Videoüberwachung und protokolliertem Zutritt
  • Betrieb der gebuchten Managed Services im vereinbarten Umfang
  • Technische Schutzmaßnahmen wie redundante Strom-, Netzwerk- und Klimatechnik sowie redundante Datenhaltung
  • Technische Zugriffskontrollen: SSH-Authentifizierung über Schlüsselpaare, kein direktes Root-Login per Passwort, personenbezogen zuordenbare Schlüssel
  • Transportverschlüsselung (TLS) für die Weboberflächen der bereitgestellten Applikationsserver
  • Patch- und Updateleistungen sowie Datensicherung und Wiederherstellung, soweit vertraglich vereinbart
  • Verarbeitung nach Ihren Weisungen sowie Hinweis, wenn eine Weisung nach unserer Auffassung gegen gesetzliche Regelungen verstößt
  • Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit, auf Wunsch nachweisbar

Das verantworten Sie als Auftraggeber

  • Rechtmäßigkeit der Verarbeitung und Beurteilung der Zulässigkeit nach Art. 6 DS-GVO im Einzelfall
  • Wahrung der Betroffenenrechte; wir unterstützen Sie dabei im vertraglich vereinbarten Umfang
  • Benutzer- und Rechteverwaltung in den Verwaltungsoberflächen Ihrer Systeme
  • Organisatorische Nutzung der Systeme, einschließlich interner Richtlinien und Passwort-Policy ab Übergabe der Zugangsdaten
  • Kundenseitige Konfigurationen sowie eigene Instanzen, soweit hierfür kein Managed Service vereinbart wurde
  • Optionale Sicherheitsfunktionen, die bewusst aktiviert oder konfiguriert werden müssen, etwa serverseitige oder Ende-zu-Ende-Verschlüsselung in Nextcloud sowie S/MIME im Mailverkehr
  • Weisungen über die im Kundenportal als interne Administratoren hinterlegten Ansprechpartner
  • Mitteilung in Textform, wenn Sie besonderen Geheimnisschutzregeln wie § 203 StGB unterliegen

In Umsetzung

DORA-Readiness für Kunden im Finanzsektor

Die Verordnung (EU) 2022/2554 stellt Anforderungen an Finanzunternehmen, insbesondere an deren Management von IKT-Drittparteienrisiken. Als Anbieter von Cloud- und Managed Services bereiten wir Vertragsunterlagen, Nachweise, Prozesse und Informationen so auf, dass regulierte Kunden sie im Rahmen ihrer DORA-Anforderungen nutzen können.

Dafür überprüfen und erweitern wir unsere bestehenden Prozesse und Vertragsunterlagen systematisch. Die Arbeiten bauen auf unserem Informationssicherheitsmanagement nach ISO/IEC 27001 sowie auf unseren Datenschutz- und Qualitätsmanagementprozessen auf. Ziel ist, bis März 2027 ein strukturiertes DORA-Informations- und Vertragsset bereitzustellen. Die DORA-Readiness beschreibt dabei keine Zertifizierung, sondern die systematische Vorbereitung unserer Vertrags-, Nachweis- und Betriebsprozesse auf die Anforderungen regulierter Kunden.

  1. M1 · DORA Gap-Analyse Q3 2026 In Umsetzung

    Analyse bestehender Verträge, Prozesse und Nachweise sowie Abgleich mit den Anforderungen an IKT-Drittdienstleister und den Erwartungen regulierter Kunden.

  2. M2 · Vertrags- und Nachweisanforderungen Q4 2026 Geplant

    Überprüfung und Erweiterung der Vertragsunterlagen, Leistungsbeschreibungen und Sicherheitsnachweise für die Due Diligence regulierter Kunden.

  3. M3 · Incident- und Meldeunterstützung Q4 2026 Geplant

    Strukturierung der Prozesse zur Unterstützung unserer Kunden bei IKT-bezogenen Vorfällen, insbesondere hinsichtlich Informationswegen, Eskalation und Bereitstellung relevanter Informationen.

  4. M4 · Drittparteien- und Unterauftragnehmermanagement Q1 2027 Geplant

    Überprüfung der Dokumentation und Steuerung eingesetzter IKT-Drittdienstleister und Unterauftragnehmer sowie der hierfür erforderlichen Kundeninformationen.

  5. M5 · DORA-Readiness-Assessment Februar bis März 2027 Geplant

    Abschließende interne und extern begleitete Prüfung der Vertrags-, Sicherheits- und Nachweisunterlagen für Kunden aus dem regulierten Finanzsektor.

Für Ihre Compliance-Abteilung: Eine Status- und Projektbestätigung sowie die verfügbaren Nachweise zur DORA-Readiness stellen wir auf Anfrage zur Verfügung.

FAQ

Häufige Fragen zu Rechtlichem und Compliance

Auf welcher vertraglichen Basis erbringt die HKN GmbH ihre Leistungen?
Grundlage ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DS-GVO mit mehreren Anhängen: den technischen und organisatorischen Maßnahmen, den Daten- und Personenkategorien, der Übersicht der eingesetzten Unterauftragnehmer und dem externen Datenschutz-Auditbericht. Betreiben Sie Ihre Infrastruktur selbst und beauftragen uns mit administrativen Aufgaben, gilt die Variante für Fernwartung. Bei Widersprüchen zwischen einer individuellen Einzelvereinbarung und dem Rahmenvertrag geht die Einzelvereinbarung vor.
Brauche ich als Kunde einen eigenen Auftragsverarbeitungsvertrag mit HKN?
Bei unseren Hosting- und SaaS-Leistungen regelmäßig ja. Soweit die HKN GmbH personenbezogene Daten im Auftrag des Kunden verarbeitet, schließen wir einen Vertrag zur Auftragsverarbeitung gemäß Art. 28 DS-GVO. Sie erhalten ihn im Rahmen der Angebotserstellung einschließlich der Anhänge; Anhang 2 wird dabei auf die Leistungen zugeschnitten, die Sie tatsächlich beziehen.
Wo werden meine Daten verarbeitet?
Die Verarbeitung durch die HKN GmbH und ihre Beschäftigten findet in der Bundesrepublik Deutschland, einem Mitgliedstaat der Europäischen Union oder einem Vertragsstaat des EWR-Abkommens statt. Eine Verarbeitung außerhalb dieser Staaten erfolgt nur unter den Voraussetzungen von Kapitel 5 der DS-GVO und nur mit Ihrer vorherigen Zustimmung.
Welche Unterauftragnehmer setzt HKN ein?
Die eingesetzten Unterauftragsverarbeiter sind in Anhang 3 des Vertrags zur Auftragsverarbeitung mit Einsatzzweck, Sitz und Datenschutzkontakt aufgeführt. Welche davon Ihre Daten berühren, hängt von den gebuchten Leistungen ab. Mit den eingesetzten Unterauftragsverarbeitern bestehen die erforderlichen datenschutzrechtlichen Vereinbarungen; entsprechende Nachweise stellen wir im Rahmen der gesetzlichen und vertraglichen Kontrollrechte zur Verfügung.
Ist die HKN GmbH nach ISO 27001 zertifiziert?
Ja. Das Informationssicherheits-Managementsystem ist nach DIN EN ISO/IEC 27001:2022 zertifiziert, auditiert von der Cert & Smile GmbH nach ISO/IEC 17021-1:2015. Daneben bestehen Zertifizierungen nach ISO 9001:2015 für das Qualitätsmanagement und nach ISO 45001:2018 für Arbeits- und Gesundheitsschutz. Alle Managementsysteme werden im Rahmen der vorgesehenen Audits regelmäßig überprüft.
Wie lange bewahrt HKN Backups auf?
Datensicherungen erstellen wir, soweit sie Bestandteil der gebuchten Leistung sind. Sie werden in der Regel nicht länger als 14 Tage vorgehalten; maßgeblich sind der jeweilige Auftrag und das vereinbarte Servicelevel. Bei Bedarf stellt unser technischer Support ältere Datenstände kurzfristig wieder her. Abweichende Vorhaltefristen lassen sich vereinbaren.
Wer ist für Betriebssystem-Updates verantwortlich?
Für die von uns betriebenen Systeme und die Software-as-a-Service-Leistungen spielen wir die vom Hersteller bereitgestellten Updates regelmäßig ein. Bei eigenen Instanzen des Auftraggebers liegt das Einspielen der Betriebssystem-Updates beim Auftraggeber, sofern nicht Patchservice oder Softwarepflege beauftragt sind. Die konkrete Zuständigkeit ergibt sich aus dem vereinbarten Servicelevel.
Wie unterstützt HKN Kunden bei DORA-Anforderungen?
Die Verordnung (EU) 2022/2554 richtet sich an Finanzunternehmen und stellt Anforderungen an deren Management von IKT-Drittparteienrisiken. Als Anbieter von Cloud- und Managed Services bereiten wir Vertragsunterlagen, Nachweise, Prozesse und Informationen so auf, dass regulierte Kunden sie im Rahmen ihrer DORA-Anforderungen nutzen können. Dazu überprüfen und erweitern wir unsere Prozesse und Vertragsunterlagen systematisch. Ziel ist, bis März 2027 ein strukturiertes DORA-Informations- und Vertragsset bereitzustellen. Es handelt sich um die Unterstützung Ihrer DORA-Anforderungen, nicht um eine eigene Zertifizierung.
Kann ich die HKN GmbH vor Ort auditieren?
Ja, im Rahmen der gesetzlichen und vertraglich vereinbarten Kontroll- und Auditrechte. Art, Umfang, Vorlauf und Durchführung richten sich nach der jeweiligen Vertragsgrundlage und dem Anlass der Prüfung. In vielen Fällen können Zertifikate und externe Auditnachweise zur Prüfung herangezogen werden und den Bedarf einer eigenen Vor-Ort-Kontrolle reduzieren. Soweit für eine individuelle Prüfung zusätzliche Aufwände bei HKN entstehen, gelten die hierzu vereinbarten vertraglichen Regelungen.
Verarbeitet HKN auch Daten, die § 203 StGB unterliegen?
Ja, auf Basis einer gesonderten Vereinbarung. Unterliegen Sie besonderen Geheimnisschutzregeln, teilen Sie uns das bitte in Textform mit. Wir verpflichten dann die für Sie tätigen Beschäftigten sowie die eingesetzten Unterauftragnehmer schriftlich zur Verschwiegenheit und weisen auf die strafrechtlichen Folgen einer Verletzung hin. Von den Unterauftragnehmern lassen wir uns Kopien der entsprechenden Erklärungen aushändigen.
Prüft HKN auch unsere eigenen Vertrags- oder Compliance-Unterlagen?
Ja. Gerne prüfen oder bearbeiten wir kundeneigene Vertragsunterlagen, Verträge zur Auftragsverarbeitung, Security-Fragebögen oder andere Compliance-Anforderungen. Unsere eigenen Standardunterlagen stellen wir im Rahmen unserer Angebote bereit. Die Prüfung oder Bearbeitung kundenspezifischer Dokumente kann zusätzlichen Beratungsaufwand verursachen. Sofern hierfür Kosten entstehen, stimmen wir diese vor Beginn der Bearbeitung mit Ihnen ab.
Wie erhalte ich die Vertrags- und Nachweisunterlagen?
Die Standardunterlagen sind Bestandteil unserer Angebote und werden Ihnen im Rahmen der Angebotserstellung zur Verfügung gestellt. Wenn Sie vorab prüfen möchten, senden wir Ihnen die gewünschten Dokumente auf Anfrage zu. Nennen Sie dabei bitte die Leistungen, um die es geht, damit wir Anhang 2 passend zuordnen können.