Umgang mit Datenschutzverletzungen und Sicherheitsvorfällen

Unverbindliche Übersetzung. Bei Abweichungen ist der italienische Text maßgeblich.

Dieses Dokument sagt, was geschieht, wenn etwas schiefgeht: ein unbefugter Zugriff, ein Datum, das dort landet, wo es nicht hingehört, ein Dienst, der nicht antwortet, eine Sicherheitslücke im Gerät. Es sagt, wen wir benachrichtigen, in welcher Frist, was wir in die Benachrichtigung schreiben, was wir dich bitten zu tun und was wir dir berichten, wenn alles vorbei ist.

Es betrifft das Modell GT PRO 4G und den zugehörigen Dienst. Es betrifft nicht die früheren Modelle, die nur mit SMS funktionieren, und auch nicht den Bluetooth-Kanal.

Für diese Seite verlangen wir von dir keinen Haken. Es gibt nichts einzuwilligen: Es gibt Verpflichtungen, die wir eingehen, und Dinge, die du tun musst. Im Verhältnis zum Kunden ist dieses Dokument aber nicht nur informativ: Der Auftragsverarbeitungsvertrag verweist darauf (/dpa), und die hier geschriebenen Fristen sind die Fristen, die der Vertrag übernimmt. Sollten dieses Dokument und der Vertrag Unterschiedliches sagen, gilt der Vertrag, und wir korrigieren diesen Text.

Wir sagen du zu dem, der für sich selbst liest. Wenn die Regel je nach Rolle unterschiedlich ist – weil es ein Unterschied ist, ob jemand einen Durchgang verwaltet oder ihn öffnet –, verwenden wir die definierten Begriffe: Kunde, Verwalter, Zutrittsberechtigter, Händler, Installateur, BGates-Mitarbeiter.

Schreib an info@bgates.it auch dann, wenn du keine Beziehung zu uns hast und etwas bemerkt hast. Wir verlangen keine Registrierung, um ein Problem zu melden.

1. Die fünf Dinge, auf die es ankommt

Wenn du nur diesen Abschnitt liest, lies diese fünf.

1. Melde sofort, auch wenn du nicht sicher bist. Die ersten Stunden zählen mehr als jede spätere Erklärung. Ein gemeldeter und dann widerlegter Verdacht kostet niemanden etwas.
2. Wenn du einen Durchgang verwaltest, ist das Erste, was du tust, die Freischaltung aufzuheben: die freigeschaltete Nummer, den QR-Code, das Konto der Person, die nicht mehr hineinkommen soll. Die Aufhebung liegt bei dir und erfordert kein Eingreifen von uns.
3. Wenn die Verletzung die Daten deines Durchgangs betrifft, bist du der Verantwortliche: Die Meldung an den Garante per la protezione dei dati personali (italienische Datenschutzaufsichtsbehörde) obliegt dir, nicht uns. Wir informieren dich innerhalb von 24 Stunden ab dem Zeitpunkt, zu dem wir davon erfahren, und geben dir alles, was du für deine Entscheidung brauchst.
4. Nicht alles, was schiefgeht, ist eine Datenschutzverletzung. Ein Dienst, der nicht antwortet, ist ein Verfügbarkeitsvorfall: lästig, manchmal schwerwiegend, aber etwas anderes – und er wird anders behandelt (Abschnitt 9).
5. Der Durchgang bleibt mit deinen physischen Mitteln zu öffnen. Was auch immer mit unseren Systemen geschieht, Schlüssel, Fernbedienung und manuelle Öffnung funktionieren weiter. Das ist der Grund, warum wir dich bitten, immer eine davon bereitzuhalten (/sicurezza-account).

2. Die Wörter, die wir verwenden, und warum der Unterschied zählt

Drei verschiedene Ereignisse, drei verschiedene Regelungen, drei verschiedene Uhren. Wer sie verwechselt, verliert die Stunden, auf die es ankommt.

Die Stelle, an der sich die ersten beiden berühren. Sind die personenbezogenen Daten über längere Zeit nicht zugänglich oder lassen sie sich nicht mehr wiederherstellen, ist der Verlust der Verfügbarkeit auch eine Verletzung des Schutzes personenbezogener Daten: Die Verfügbarkeit ist eines der drei Dinge, die die Verordnung schützt, zusammen mit der Vertraulichkeit und der Integrität. Die Frage lautet also nicht „Hat man Daten gesehen?“, sondern „Hat jemand sie gesehen, verändert, verloren, oder können wir sie dem, der ein Recht darauf hat, nicht mehr zurückgeben?“. Ist die Antwort auf eine dieser Fragen ja, gelten die Abschnitte 6, 7 und 8.

Ein Ereignis kann alles drei zugleich sein. Ein Defekt, den ein Fremder ausnutzt, um einen Durchgang zu öffnen und das Öffnungsprotokoll zu lesen, setzt die Uhr der DSGVO (Verordnung (EU) 2016/679) und die der Verordnung über die Cybersicherheit von Produkten in Gang, und gleichzeitig ist der Dienst ausgefallen. Die drei Verfahren laufen parallel: Keines wartet auf das andere.

Was keine Verletzung des Schutzes personenbezogener Daten ist – und wir schreiben das, weil du uns danach fragen wirst:

• eine fehlgeschlagene Öffnung wegen fehlender Abdeckung durch das Mobilfunknetz oder wegen eines Defekts des Antriebs des Durchgangs;
• eine im Voraus angekündigte geplante Wartung (Abschnitt 9.3);
• eine versehentlich freigeschaltete Nummer durch den, der den Durchgang verwaltet: Das ist ein Konfigurationsfehler, und wer ihn gemacht hat, korrigiert ihn, indem er die Freischaltung aufhebt. Er wird zu einer Verletzung, wenn dieser Fehler Daten anderer Personen offengelegt hat – zum Beispiel, wenn er einem Fremden das Öffnungsprotokoll sichtbar gemacht hat;
• die Tatsache, dass die Nummer des Anrufers im Öffnungsprotokoll gespeichert bleibt: Das ist die Funktionsweise des Dienstes, beschrieben in /privacy, kein Vorfall.

3. Wie wir es bemerken

Eine Pflicht, deren Frist mit einem Ereignis beginnt, das niemand sieht, beginnt nie. Deshalb schreiben wir ehrlich, woher die Meldungen heute kommen.

So ist es vorgesehen, ist aber zum 22. September 2026 noch nicht umgesetzt: die Weiterleitung der automatischen Alarme an eine namentlich benannte zuständige Person und an eine Vertretung, mit Aufzeichnung der Uhrzeit, zu der der Alarm gesehen wurde. Bis dahin stützt sich die Erkennung überwiegend auf die Meldungen von Personen, und dieses Dokument behauptet nicht das Gegenteil.

3.1 Der „Zeitpunkt des Bekanntwerdens“

Das ist der Zeitpunkt, zu dem jemand bei BGates mit hinreichender Sicherheit weiß, dass ein Sicherheitsvorfall personenbezogene Daten betroffen hat. Ab da laufen alle Fristen dieses Dokuments: die 24 Stunden gegenüber dem Kunden als Verantwortlichem, die 72 Stunden gegenüber dem Garante, die 24 Stunden der Frühwarnung für das Produkt.

Zwei Klarstellungen, weil das der Punkt ist, über den gestritten wird:

1. ein anfänglicher Verdacht setzt die Frist nicht in Gang, verpflichtet aber dazu, sofort zu prüfen. „Wir wussten es nicht“ schützt nicht den, der nicht hingeschaut hat;
2. Datum und Uhrzeit des Bekanntwerdens werden zuerst vermerkt, im Verzeichnis der Verletzungen (Abschnitt 12), vor jeder anderen Tätigkeit. Wird die Frist überschritten, sagen wir das und schreiben den Grund dazu: Eine begründete Verzögerung sieht das Gesetz vor, eine verschwiegene nicht.

4. Was wir in den ersten Stunden tun

Der Reihe nach, und die Reihenfolge ist Teil des Verfahrens:

1. Wir dämmen ein, ohne Beweise zu vernichten. Wir widerrufen die betroffenen Sitzungen und Zugangsdaten, schließen den Zugang, isolieren die Komponente. Wir löschen keine Protokolle, starten nicht neu, um „aufzuräumen“, und überschreiben nichts.
2. Wir sichern die Beweise. Die Protokolle des Webservers bestehen 14 Tage, die des Nachrichtenkanals und der Prozesse 60 (/conservazione): Wenn wir keine Kopie außerhalb der Rotation anlegen, verschwinden sie von selbst, während wir noch dabei sind, zu verstehen.
3. Wir eröffnen die Zeile im Verzeichnis der Verletzungen, mit der Uhrzeit des Bekanntwerdens.
4. Wir bewerten das Risiko für die Personen: welche Art von Daten, wie viele, wer sie sind, was ihnen passieren kann. Für uns wiegt ein Umstand besonders schwer: Wenn das Ereignis freigeschaltete Nummern, Einladungstoken, QR-Codes, Passwörter eines Geräts oder Schlüssel offengelegt hat, ist das nicht nur ein Problem der Vertraulichkeit – es ist der Schlüssel zu einer echten Tür. In diesem Fall ist das Risiko in der Regel hoch, und die direkte Benachrichtigung der Personen ist ernsthaft in Betracht zu ziehen.
5. Wir entscheiden, wen wir benachrichtigen, nach den Kriterien der Abschnitte 6, 7, 8 und 10.
6. Wir stellen wieder her, und erst danach schließen wir den Fall mit der Analyse aus Abschnitt 11.

Vor der Bewertung teilen wir nach außen nichts mit. Das ist keine Verschwiegenheit: Eine falsche Benachrichtigung an Tausende von Personen richtet mehr Schaden an als drei Stunden Schweigen, und eine detaillierte Benachrichtigung, solange die Lücke noch offen ist, ist eine Einladung. Wenn die Bewertung erfolgt ist, teilen wir mit – auch wenn wir noch nicht alles wissen (Abschnitt 6.3).

5. Was du tun musst

5.1 Melden, und zwar schnell

Schreib an info@bgates.it – oder nutze das Meldeformular im persönlichen Bereich und in der App, sobald es verfügbar ist –, sobald du eines dieser Dinge bemerkst:

Was du schreiben solltest: was du beobachtet hast, wann (auch ungefähr), wo (Adresse der Seite, Seriennummer des Geräts, Name des Durchgangs), wie es sich wiederholt, wenn du es weißt, und eine Kontaktmöglichkeit für die Antwort. Was du nicht schreiben solltest: Passwörter, sechsstellige Codes, Inhalt der QR-Codes. Wir brauchen sie nicht, und eine E-Mail ist nicht der Ort, an dem man sie aufbewahrt.

So ist es vorgesehen, ist aber zum 22. September 2026 noch nicht umgesetzt: das Meldeformular im persönlichen Bereich und in der App. Bis dahin ist der Kanal info@bgates.it, und er genügt.

5.2 Die Freischaltung aufheben – das, was nur du sofort tun kannst

Wenn du einen Durchgang verwaltest, erfordert die Aufhebung kein Eingreifen von uns und wartet nicht auf unsere Antwort:

1. hebe die Freischaltung der Nummer auf, die zur betroffenen Person oder zum betroffenen Telefon gehört;
2. sperre den offengelegten QR-Code oder lass ihn neu erzeugen; ist es der am Durchgang angebrachte dauerhafte QR-Code, verliert der alte Code seine Gültigkeit, und der neue wird gedruckt;
3. deaktiviere das Konto dessen, der nicht mehr verwalten soll;
4. lies das Öffnungsprotokoll erneut für den betroffenen Zeitraum und melde uns die Zeilen, die du nicht erkennst;
5. lehne die Zutrittsanfragen ab, die über den QR-Code eingegangen sind und die du nicht erkennst: Die in einer Anfrage angegebene Nummer ist selbst angegeben und nicht geprüft.

Wenn dir einer dieser Vorgänge im persönlichen Bereich nicht gelingt, schreib an info@bgates.it, und wir führen ihn aus und sagen dir, wann er erledigt ist.

5.3 Mitwirken, wenn der Vorfall deinen Durchgang betrifft

Du bist der Verantwortliche für die Daten deines Durchgangs: Ohne dich lässt sich der Fall nicht abschließen. Wir bitten dich:

• Nachrichten, Benachrichtigungen und Protokolle, die das Ereignis betreffen, nicht zu löschen, auch wenn sie dir nutzlos erscheinen: Sie dienen der Rekonstruktion;
• unsere Fragen zu beantworten zu dem, was du auf deiner Seite siehst, in einer Zeit, die mit den 72 Stunden vereinbar ist, die das Gesetz dir für die Meldung gibt;
• uns zu sagen, was du entschieden hast: ob du dem Garante gemeldet hast, ob du die Personen benachrichtigt hast, ob du meintest, das nicht tun zu müssen. Wir vermerken das in unserem Verzeichnis, denn auch deine Entscheidung gehört zur Geschichte des Ereignisses;
• öffentliche Mitteilungen mit uns abzustimmen, wenn das Ereignis uns beide betrifft. Das schränkt deine gesetzlichen Pflichten gegenüber dem Garante und gegenüber den Personen in keiner Weise ein: Sie gehen jeder Abstimmung vor, und keine Klausel eines BGates-Dokuments setzt sie aus.

5.4 Wenn du nach Schwachstellen suchst

Das sind die Bedingungen, um es in gutem Glauben zu tun: Teste nicht an Anlagen, die nicht dir gehören, greif nicht auf Daten anderer Personen zu, beeinträchtige den Dienst nicht, verändere und lösche nichts, hör auf, sobald du den Beweis hast, dass das Problem besteht, und mach es nicht öffentlich, bevor es behoben wurde oder bevor wir darüber gesprochen haben. Was nicht unter diese Bedingungen fällt, unterliegt der Nutzungsrichtlinie (/uso-consentito).

6. Wenn die Verletzung die Daten deines Durchgangs betrifft: was wir für dich tun

Das ist der häufigste Fall, denn die freigeschalteten Nummern, die geräteinterne Nummernliste, die Anfragen aus den QR-Codes und das Öffnungsprotokoll sind Daten, für die der Kunde Verantwortlicher ist und wir Auftragsverarbeiter sind (/dpa).

6.1 Wer dem Garante meldet: du

Du bist der Verantwortliche, und die Meldung an den Garante obliegt dir. Wir melden nicht an deiner Stelle und ersetzen nicht deine Bewertung: Die Verordnung weist diese Entscheidung dem Verantwortlichen zu, der als Einziger den Nutzungskontext seines Durchgangs kennt. Die Frist, die dir das Gesetz gibt, beträgt 72 Stunden ab dem Zeitpunkt, zu dem du davon erfährst, also ab dem Zeitpunkt, zu dem wir es dir sagen (Art. 33 Abs. 1 DSGVO).

6.2 Wann wir dich benachrichtigen: innerhalb von 24 Stunden

Wir informieren dich unverzüglich und jedenfalls innerhalb von 24 Stunden ab dem Zeitpunkt unseres Bekanntwerdens (Art. 33 Abs. 2 DSGVO). Die Verordnung legt für den Auftragsverarbeiter keine Stundenzahl fest: Diese Zahl legen wir fest, und wir legen sie aus einem rechnerischen Grund auf 24 fest – so bleiben dir mindestens 48 deiner 72 Stunden, um zu bewerten und zu melden.

Wir benachrichtigen dich per E-Mail an die Adresse deines Kontos und in Kopie an die PEC (zertifizierte E-Mail), wenn du sie uns mitgeteilt hast. Ist die Benachrichtigung nicht als zugestellt vermerkt, rufen wir dich unter der Nummer aus den Stammdaten innerhalb derselben Frist von 24 Stunden an: Deine 72-Stunden-Frist hält nicht an, weil eine Nachricht nicht angekommen ist.

6.3 Was in der Benachrichtigung steht

Der Inhalt folgt Art. 33 Abs. 3 DSGVO, also genau dem, was du dem Garante schreiben musst, damit du ihn wiederverwenden kannst:

Wenn wir noch nicht alles wissen, benachrichtigen wir dich trotzdem. Wir senden dir innerhalb der 24 Stunden, was wir wissen, und ergänzen danach schrittweise. Auf das vollständige Bild zu warten, um eine ordentliche Benachrichtigung zu haben, ist der einfachste Weg, deine Frist verstreichen zu lassen.

6.4 Wie wir dich unterstützen

Auf deine Anfrage und ohne zusätzliche Kosten (Art. 28 Abs. 3 lit. f DSGVO):

• geben wir dir die Angaben, über die wir verfügen, um die Meldung an den Garante auszufüllen;
• helfen wir dir abzuschätzen, wie viele Personen betroffen sind, indem wir die Daten aus unseren Systemen extrahieren;
• bereiten wir dir, wenn du willst, den Entwurf der Nachricht an die Personen vor;
• stellen wir die Nachricht in deinem Auftrag zu, wenn die einzige verfügbare Kontaktmöglichkeit die Telefonnummer ist – das ist bei den meisten Zutrittsberechtigten der Fall, die kein Konto haben: Wir tun das mit einer kurzen Nachricht ohne Werbung und sagen dir, wie viele sie erreicht hat;
• setzen wir vorsorglich aus: eine freigeschaltete Nummer oder einen QR-Code, wenn du uns darum bittest, bis zu deiner Entscheidung. Das ist eine technische Maßnahme, keine Entscheidung in der Sache.

6.5 Wenn du beschließt, nichts zu tun

Wir vermerken das im Verzeichnis der Verletzungen, mit dem Datum und der Begründung, die du uns gibst. Wir treten nicht an deine Stelle. Ist das Risiko für die Personen jedoch hoch und betrifft es auch Daten, für die wir Verantwortlicher sind, entscheiden wir für diesen Teil selbst, was zu tun ist.

7. Wenn wir der Verantwortliche sind

Das sind die Daten, über die wir entscheiden: die Konten und Stammdaten, die Rechnungsstellung und die Abonnements, die technischen Protokolle der Infrastruktur, die Daten der SIM-Karten, die Funkzellen-Position des Geräts, die Support-Unterhaltungen, das Protokoll der Aktionen unserer Mitarbeiter. Die vollständige Liste steht im Auftragsverarbeitungsvertrag (/dpa) und in der Datenschutzerklärung (/privacy).

In diesen Fällen:

1. melden wir dem Garante per la protezione dei dati personali unverzüglich und möglichst binnen 72 Stunden ab dem Bekanntwerden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Personen (Art. 33 Abs. 1 DSGVO). Überschreiten wir die 72 Stunden, melden wir trotzdem und begründen die Verzögerung;
2. wenn wir beschließen, nicht zu melden, werden die Entscheidung und ihr Grund schriftlich im Verzeichnis der Verletzungen festgehalten. Nicht zu melden ist eine Entscheidung, die man dokumentiert, kein Schweigen;
3. benachrichtigen wir die Personen, wenn das Risiko hoch ist (Abschnitt 8);
4. wenn dieselbe Verletzung auch Daten betrifft, für die ein Kunde Verantwortlicher ist, laufen die beiden Verfahren zusammen: Wir melden für unseren Teil und informieren ihn für seinen, mit den Fristen aus Abschnitt 6.

8. Wann wir dich, der du den Dienst nutzt, direkt benachrichtigen

Wann. Wenn die Verletzung ein hohes Risiko für deine Rechte und Freiheiten zur Folge hat (Art. 34 DSGVO). In unserem Dienst sind die typischen Fälle: die Offenlegung freigeschalteter Nummern zusammen mit der Angabe des Durchgangs, den sie öffnen, die Offenlegung des Öffnungsprotokolls, die Kompromittierung von Token, QR-Codes oder Passwörtern, die einen Durchgang öffnen, die Offenlegung des Inhalts der Support-Unterhaltungen.

Wie. Mit einer direkten Nachricht: E-Mail, wenn du ein Konto hast, WhatsApp oder SMS, wenn die einzige Kontaktmöglichkeit, die wir haben, deine Telefonnummer ist – das sind dieselben Kanäle, die wir für die Einladungen verwenden. In klarer Sprache, ohne Floskeln, und mit fünf Dingen darin: was geschehen ist, welche Daten dich betreffen, was du riskierst, was wir tun, was du tun kannst (zum Beispiel: verlangen, dass die Freischaltung deiner Nummer aufgehoben wird, die letzten Öffnungen kontrollieren, das Passwort ändern). Und eine Kontaktmöglichkeit für die Antwort.

Wann das Gesetz uns erlaubt, es nicht zu tun (Art. 34 Abs. 3): wenn die Daten so geschützt waren, dass sie für den, der sie gesehen hat, unverständlich bleiben; wenn wir nachträglich Maßnahmen ergriffen haben, die das hohe Risiko abwenden; oder wenn die Benachrichtigung jedes Einzelnen einen unverhältnismäßigen Aufwand erfordern würde – und in diesem Fall machen wir eine öffentliche Bekanntmachung mit gleicher Wirksamkeit, auf der Website und im persönlichen Bereich.

Etwas, das zu dieser ersten Ausnahme gesagt werden muss. Heute sind die Daten in unseren Datenbanken nicht im Ruhezustand verschlüsselt: Auf die erste Ausnahme können wir uns heute fast nie berufen. Wir schreiben das lieber hier, als es gemeinsam herauszufinden, wenn es darauf ankommt.

So ist es vorgesehen, ist aber zum 22. September 2026 noch nicht umgesetzt: die Verschlüsselung der Daten im Ruhezustand in den Datenbanken und auf der Festplatte des Servers.

9. Wenn der Dienst nicht funktioniert, aber die Daten an ihrem Platz sind

9.1 Was wir tun

Eindämmung, Wiederherstellung und die Statusmitteilung aus Abschnitt 9.2. Die Priorität ist, in dieser Reihenfolge: das Öffnen des Durchgangs wieder in Gang bringen, dann den persönlichen Bereich und die App, dann die Zusatzfunktionen.

Was weiter funktioniert, auch wenn unsere Systeme ausgefallen sind. Das Gerät speichert die geräteinterne Nummernliste, also die Liste der freigeschalteten Nummern mit ihren Tagen, ihren Zeitfenstern und ihren Ablaufdaten: Wer von einer freigeschalteten Nummer aus anruft, öffnet weiterhin, auch wenn keine Verbindung zum Dienst besteht. Was nicht funktioniert, sind das Öffnen über die App, die Verwaltung der Nummern, das aktualisierte Öffnungsprotokoll und die Benachrichtigungen.

Was wir dir nicht versprechen. Wir versprechen keinen Verfügbarkeitsprozentsatz, keine Wiederherstellungszeit und auch nicht, dass der Dienst eine Sicherheitsanlage oder ein Notfallsystem ist: Er ist es nicht, und deshalb bitten wir dich, immer eine andere Möglichkeit zum Öffnen des Durchgangs bereitzuhalten. Wofür wir haften, und in welchen Grenzen, steht in den Haftungsbeschränkungen und Verfügbarkeit des Dienstes (/responsabilita) und in den Nutzungsbedingungen (/termini).

9.2 Die Statusmitteilung

Wo. Heute kommt die Benachrichtigung per E-Mail an die Adresse deines Kontos, und die Benachrichtigungen im persönlichen Bereich erreichen diejenigen, die ihn über die Verwaltungsoberfläche nutzen. Die App für Kunden und Zutrittsberechtigte und die mobile App haben heute keine Benachrichtigungen: Deshalb bleibt die E-Mail der Kanal, den wir angeben.

So ist es vorgesehen, ist aber zum 22. September 2026 noch nicht umgesetzt: die öffentliche Statusseite des Dienstes und die Statusbenachrichtigungen in der App. Solange es sie nicht gibt, gibt dieses Dokument die E-Mail an und sonst nichts.

9.3 Geplante Eingriffe

Updates und geplante Eingriffe sind keine Vorfälle, müssen aber vorher angekündigt werden:

• wir kündigen sie dir vorher an, mit Angabe des Zeitfensters und dessen, was nicht verfügbar sein wird;
• während des Firmware-Updates des Geräts gibt es ein Zeitfenster, in dem das Gerät keine Befehle ausführt: In diesem Zeitfenster funktioniert das Öffnen aus der Ferne nicht, während das Öffnen per Anruf von einer freigeschalteten Nummer wieder funktioniert, sobald das Update abgeschlossen ist;
• wir wählen, wenn möglich, Zeiten mit geringer Nutzung.

10. Die zweite Uhr: die Sicherheit des Produkts

Das Gerät GT PRO 4G ist ein Produkt mit digitalen Elementen im Sinne der Verordnung (EU) 2024/2847 über die Cybersicherheit von Produkten. Die Meldepflichten aus ihrem Art. 14 gelten seit dem 11. September 2026 und finden nach der ausdrücklichen Regelung in Art. 69 Abs. 3 auch auf die bereits vor diesem Datum installierten Geräte Anwendung.

Das bedeutet, zusätzlich zu dem oben Geschriebenen:

Warum wir das in einem Dokument schreiben, das sich an dich richtet. Weil die Empfänger, die Voraussetzungen und die Fristen andere sind als die des Datenschutzes und ein echter Vorfall beide auslöst: Du musst dich nicht wundern, wenn du von uns für dasselbe Ereignis zwei verschiedene Mitteilungen erhältst und wenn der Garante nicht die einzige beteiligte Behörde ist.

Die Sicherheitsupdates. Wir liefern sie für den in den Verkaufsbedingungen (/condizioni-vendita) angegebenen Zeitraum, und wenn ein Update eine Lücke schließt, sagen wir es dir, zusammen damit, was geschieht, wenn du es nicht installierst.

11. Was danach geschieht: Analyse und Korrekturen

Einen Vorfall abzuschließen heißt nicht, den Dienst wieder in Gang zu bringen. Nach der Wiederherstellung gilt für jede Verletzung des Schutzes personenbezogener Daten und für jeden erheblichen Vorfall:

1. wir rekonstruieren den Ablauf: was geschehen ist, wann, was es möglich gemacht hat, was es länger als nötig andauern ließ;
2. wir ermitteln die Ursache und unterscheiden sie vom Symptom. „Menschliches Versagen“ ist keine Ursache: Die Ursache ist das, was es einem menschlichen Fehler ermöglicht hat, diese Wirkung zu entfalten;
3. wir beschließen die Korrekturmaßnahmen, mit einer verantwortlichen Person und einem Datum für jede;
4. wir prüfen, dass sie umgesetzt und nicht nur beschlossen sind;
5. wir aktualisieren, falls nötig, die Dokumente des Dienstes: Wenn ein Vorfall zeigt, dass ein Satz dieser Texte nicht wahr war, wird neben dem System auch der Satz korrigiert.

Was du davon erhältst. Hat der Vorfall die Daten deines Durchgangs betroffen oder den Dienst erheblich unterbrochen, senden wir dir innerhalb von 30 Tagen nach dem Abschluss einen Abschlussbericht, mit den Punkten 1, 2 und 3 oben und dem Stand der Korrekturen. Es ist dasselbe Dokument, das du, wenn du ein Kunde bist, der Unternehmer ist, deiner Rechenschaftsdokumentation (Accountability) beifügen kannst.

Was er nicht enthält. Technische Einzelheiten, die eine Wiederholung des Angriffs ermöglichen würden, Daten anderer Kunden, Zugangsdaten. Wenn du für eine eigene Pflicht mehr Einzelheiten brauchst, frag bei info@bgates.it an, und wir prüfen, wie wir sie dir geben können.

Eine Übung pro Jahr. Mindestens einmal im Jahr simulieren wir einen realistischen Vorfall und messen die Zeit für Erkennung, Übernahme, Bewertung und Meldungsentwurf. Das dient dazu, vorher und nicht währenddessen herauszufinden, an welcher Stelle das Verfahren hakt.

12. Das Verzeichnis der Verletzungen

Wir dokumentieren jede Verletzung des Schutzes personenbezogener Daten, die uns betrifft, einschließlich derer, die niemandem gemeldet werden: Das ist eine Pflicht aus Art. 33 Abs. 5 DSGVO, und die Entscheidung, nicht zu melden, ist selbst etwas, das schriftlich zu begründen ist.

Für jedes Ereignis wird festgehalten: das Aktenzeichen und das Datum der Eröffnung, Datum und Uhrzeit des Bekanntwerdens, wie es zutage kam, der Sachverhalt, die betroffenen Daten und Personen, unsere Rolle (Verantwortlicher oder Auftragsverarbeiter, und für welchen Kunden), die Risikobewertung, ob und wann es dem Garante gemeldet wurde oder warum nicht, ob es den Personen mitgeteilt wurde, wann wir die Kunden als Verantwortliche informiert haben, ob es nach der Verordnung über die Cybersicherheit von Produkten gemeldet wurde, die ergriffenen Maßnahmen und das Datum des Abschlusses.

Wie lange wir es aufbewahren: Das steht in der Richtlinie zur Datenaufbewahrung (/conservazione), dem Dokument, in dem alle Speicherdauern festgelegt sind. Wenn du ein Kunde bist, der Unternehmer ist, kannst du einen Auszug für den dich betreffenden Teil verlangen, zu den Bedingungen des Auftragsverarbeitungsvertrags.

13. Wenn der Vorfall von einem Dienstleister ausgeht

Ein Teil des Dienstes läuft auf Systemen Dritter. Die Dienstleister sind einzeln aufgeführt, mit dem, was sie erhalten, und wo sie sitzen, unter `/fornitori`. Diejenigen, deren Kompromittierung die unmittelbarste Wirkung auf dich hätte, sind die netcup GmbH (hostet die gesamte Plattform), die Meta Platforms Ireland Limited (Zustellung der Einladungen und WhatsApp-Supportkanal), die Commify Italia S.r.l., Marke Skebby (Ersatz-SMS), die Aruba S.p.A. (E-Mail), die Stripe Payments Europe, Limited (Zahlungen) und die Benachrichtigungsdienste von Google, Mozilla und Apple.

Wenn die Verletzung von einem von ihnen ausgeht:

• muss der Dienstleister uns unverzüglich informieren; ab diesem Zeitpunkt laufen unsere Fristen dir gegenüber, genau so, als hätten wir es selbst bemerkt;
• bleiben die Fristen dieses Dokuments unverändert: Dass die Ursache woanders liegt, verschiebt für uns weder die 24 noch die 72 Stunden;
• sagen wir dir, welcher Dienstleister betroffen ist und was er für uns verarbeitet hat, es sei denn, das würde ein zusätzliches Risiko schaffen, solange der Vorfall noch offen ist.

14. Was wir nicht versprechen

• Wir versprechen nicht, dass es nicht passieren wird. Kein BGates-Dokument wird je sagen, dass die Sicherheit absolut, vollständig, garantiert oder hundertprozentig ist: Das ist sie für niemanden.
• Wir versprechen keine Wiederherstellungszeit. Wir versprechen die Reihenfolge der Prioritäten, die Mitteilungen und die Benachrichtigungsfristen dieses Dokuments.
• Wir versprechen nicht, an deiner Stelle zu melden, wenn du der Verantwortliche bist: Die Entscheidung und die Verantwortung bleiben dort, wo das Gesetz sie hinlegt.
• Wir lassen uns nicht freistellen für Rechtsverstöße im Bereich des Schutzes personenbezogener Daten, und keine Klausel der BGates-Dokumente beschränkt unsere Haftung für Vorsatz oder grobe Fahrlässigkeit, für Personenschäden oder für die Verletzung zwingender Vorschriften (/termini, Abschnitt 13.4).

15. Wo du den Rest findest

Version 2026.09.22-1 – gültig ab 22. September 2026. Wenn wir etwas Wesentliches ändern – einen neuen Zweck, einen neuen Dienstleister, eine längere Speicherdauer –, veröffentlichen wir hier die neue Version mit ihrem Datum, und wenn du ein Konto hast, teilen wir dir das per E-Mail mit. Diesem Dokument stimmst du nicht zu: Du liest es, und wir verlangen von dir keinen Haken. Redaktionelle Korrekturen ändern die Version nicht. Frühere Versionen erhältst du auf Anfrage unter info@bgates.it.