1. Allgemeiner Geltungsbereich.

1.1. Geltungsbereich. Diese Sicherheitsbedingungen („Sicherheitsbedingungen“) gelten für die im Rahmen des Vertrags bereitgestellten Lösungen und/oder Dienstleistungen, zu denen die Software, die SaaS-Lösung und/oder die Dienstleistungen von Commvault gehören können.

1.2. Vorrang. Im Falle eines Widerspruchs zwischen diesen Sicherheitsbedingungen und dem Hauptteil des Vertrags haben diese Sicherheitsbedingungen in Bezug auf sicherheitsrelevante Angelegenheiten Vorrang, sofern dies nicht durch geltendes Recht untersagt ist.

 

2. Einhaltung von Vorschriften.

2.1. Einhaltung der Vorschriften durch Commvault.

2.1.1 Allgemeines. Commvault hat ein Sicherheitsprogramm implementiert und unterhält dieses, das auf die Einhaltung von NIST 800-30/CSF und branchenüblichen Best Practices ausgerichtet ist. Für seine SaaS-Lösungen verfügt Commvault über Zertifizierungen und Bewertungen durch unabhängige Stellen, darunter ISO 27001, SOC 2 Typ II, HIPAA (einschließlich der Verarbeitung geschützter Gesundheitsdaten) und PCI. Eine aktuelle Liste der Zertifizierungen, Bewertungen und weiterer Bescheinigungen finden Sie in unserem Trust Center: https://trust.commvault.com/resources.

2.1.2 FedRAMP. Unser Government Cloud SaaS-Angebot ist nach FedRAMP Klasse D (High) zertifiziert und erfüllt die grundlegenden Kontrollanforderungen der FedRAMP Klasse D (High) auf der Grundlage von NIST SP 800-53. Weitere Informationen finden Sie im FedRAMP-Marketplace-Eintrag von Commvault: https://marketplace.fedramp.gov/products/FR2115384377.

 

3. Modell der geteilten Verantwortung.

3.1. Einschränkungen bei der Datennutzung und -verarbeitung. Commvault darf Kundendaten ausschließlich zum Zweck der Bereitstellung der Lösungen gemäß seinen Allgemeinen Geschäftsbedingungen und der Datenverarbeitungsvereinbarung verwenden. Commvault darf Kundendaten ohne die schriftliche Zustimmung des Kunden nicht für andere Zwecke verarbeiten.

3.2. Verantwortlichkeiten im Zusammenhang mit der SaaS-Lösung. Sicherheit und Compliance in Bezug auf Infrastruktur und Datenschutz unterliegen einem Modell der geteilten Verantwortung. Commvault ist dafür verantwortlich, die SaaS-Lösung zu sichern und Kundendaten während der Übertragung und im Ruhezustand innerhalb der von Commvault definierten Dienstgrenze gemäß den hierin festgelegten Bestimmungen zu schützen. „Definierte Servicegrenze“ bezeichnet die Systeme, die Infrastruktur und die Anwendungen, die sich im direkten Besitz von Commvault befinden und von Commvault für die Bereitstellung der SaaS-Lösung betrieben und kontrolliert werden, unter Ausschluss unter anderem von Kundenumgebungen, vom Kunden verwalteten Konfigurationen, Identitätsanbietern und allen Komponenten, die außerhalb der direkten betrieblichen Kontrolle von Commvault liegen. Der Kunde ist für die Einrichtung und Aufrechterhaltung seiner eigenen Sicherheits- und Compliance-Programme verantwortlich, soweit diese sich auf seine Nutzung der Commvault-Lösungen und/oder -Dienste beziehen. Dies umfasst die Verantwortung für Sicherheitsmaßnahmen außerhalb der definierten Servicegrenze von Commvault, insbesondere: (i) die Verwaltung des Zugriffs auf seine Anwendungen und Infrastruktur, einschließlich der Authentifizierung von Benutzern und der Verwaltung von Zugangsdaten; (ii) die Aufrechterhaltung eines angemessenen Schutzes der Endgeräte; (iii) die Erfüllung aller Compliance-Verpflichtungen in Bezug auf seine Daten und seine Umgebung; und (iv) die rechtmäßige Nutzung der Lösungen. Unsere Dokumentation enthält Leitlinien zu Sicherheit und Konfiguration.

 

4. Überwachung des Sicherheitsstatus.

4.1. Kontinuierliche Überwachung. Commvault führt eine kontinuierliche Überwachung der SaaS-Lösung gemäß den bewährten Praktiken der Branche durch, einschließlich, aber nicht beschränkt auf Schwachstellenscans, Bedrohungserkennung, Konformitätsprüfungen der Konfiguration und Protokollierung von Sicherheitsereignissen.

4.2. DevSecOps und Tests. Commvault integriert Sicherheitsüberprüfungen in seinen Entwicklungslebenszyklus, einschließlich Überprüfungen auf sicheren Code, statischer und dynamischer Analysen sowie jährlicher Penetrationstests.

4.3. Behebung. Commvault unterhält Prozesse zur Identifizierung und Behebung von Schwachstellen gemäß seinen internen Richtlinien. Für die SaaS-Lösung unternimmt Commvault wirtschaftlich angemessene Anstrengungen, um kritische Schwachstellen innerhalb von 30 Tagen und Schwachstellen mit hohem Schweregrad innerhalb von 60 Tagen zu beheben, sofern mit dem Kunden nichts anderes schriftlich vereinbart wurde.

 

5. Sicherheit und Einhaltung von Vorschriften.

5.1. Zugriffskontrolle. Das Personal und die Systeme von Commvault unterliegen Zugriffskontrollen, die darauf ausgelegt sind, Kundendaten gemäß Abschnitt 4.2 (Zugriff) der Allgemeinen Geschäftsbedingungen für die SaaS-Lösung vor unbefugtem Zugriff zu schützen. Zu diesen Kontrollen gehören, soweit zutreffend, die Multi-Faktor-Authentifizierung, das Prinzip der geringsten Berechtigungen und der rollenbasierte Zugriff, die Aufgabentrennung, Verfahren zur Zugriffsgenehmigung, regelmäßige Zugriffsprüfungen sowie Verfahren zum Entzug veralteter Zugriffsrechte.

5.2. Sensibilisierung und Schulung. Commvault unterhält ein jährliches Schulungs- und Sensibilisierungsprogramm, das den geltenden Rechtsvorschriften entspricht und von externen Prüfern unabhängig überprüft wird, um dessen Wirksamkeit und Integrität zu überwachen.

5.3. Prüfungsrechte

5.3.1. Unabhängige Audits. Der Nachweis der Einhaltung der Vorschriften erfolgt durch Dokumentation, einschließlich, aber nicht beschränkt auf Auditberichte von Dritten, die unter https://trust.commvault.com/resources verfügbar sind.

5.3.2. Prüfungsrechte des Kunden.

5.3.2.1. Auf Anfrage stellt Commvault aktuelle Sicherheits- und Compliance-Unterlagen zur Verfügung, einschließlich Prüfberichte von Dritten, Zertifizierungen, Zusammenfassungen von Penetrationstests, Sicherheits-Whitepapers und Beschreibungen von Kontrollmaßnahmen („Sicherheitsunterlagen“).

5.3.2.2. Der Kunde kann seine Prüfungsrechte ausüben, indem er höchstens einmal jährlich oder nach einem wesentlichen Sicherheitsvorfall, der Kundendaten betrifft, einen angemessenen, schriftlichen Sicherheits- oder Compliance-Fragebogen einreicht. Commvault wird nach Treu und Glauben innerhalb eines wirtschaftlich angemessenen Zeitraums antworten, indem es entweder den Fragebogen ausfüllt oder inhaltlich gleichwertige Informationen bereitstellt.

5.3.2.3. Der Kunde erkennt an, dass die Prüfungsrechte keine Vor-Ort-Inspektionen, keinen Zugang zu Einrichtungen oder Systemen, keine Befragungen von Mitarbeitern, keinen Zugang zur Infrastruktur, zum Quellcode, zu Protokollen, zu internen Aufzeichnungen, zu Beweismitteln (einschließlich Screenshots oder Konfigurationen) sowie keine technischen Tests (einschließlich Penetrationstests, Schwachstellenscans oder Social-Engineering-Übungen) umfassen.

5.4. Notfallplanung. Commvault unterhält einen Geschäftskontinuitäts- und Recovery-Plan für die SaaS-Lösung, der regelmäßig getestet wird. Die Infrastruktur der SaaS-Lösung ist so ausgelegt, dass sie globale Redundanz, schnelle Failover-Fähigkeiten und die Isolierung bei der Recovery-Wiederherstellung unterstützt. Der Geschäftsfortführungs- und Recovery-Plan von Commvault wird jährlich von externen Prüfern validiert.

5.5. Konfigurationsmanagement. Bei der SaaS-Lösung folgen alle Systeme, die Kundendaten verarbeiten, sicheren Konfigurationsrichtlinien, und Änderungen werden durch dokumentierte Arbeitsabläufe gesteuert, die Test- und Genehmigungsverfahren umfassen. Konfigurationsänderungen werden nachverfolgt und überwacht, während der Zugriff auf Konfigurationsänderungen auf autorisiertes Personal beschränkt ist.

5.6. Identifizierung und Authentifizierung. Commvault stellt Authentifizierungskontrollen für die autorisierten Nutzer des Kunden bereit, die auf die Lösungen und/oder Dienste zugreifen, einschließlich Multi-Faktor-Authentifizierung (MFA), Single Sign-On (SSO) über SAML oder OAuth sowie der Integration mit den Identitätsanbietern des Kunden.

5.7. Reaktion auf Vorfälle

5.7.1. Verfahren. Commvault verfügt über dokumentierte Verfahren zur Reaktion auf Vorfälle, einschließlich definierter Rollen, Eskalationswege und Kommunikationsprotokolle.

5.7.2. Sofern gesetzlich nicht anders vorgeschrieben, verpflichtet sich Commvault, den Kunden innerhalb von zweiundsiebzig (72) Stunden nach Bestätigung des Vorfalls durch Commvault über jede Sicherheitsverletzung zu informieren. Der Kunde hat im erforderlichen Umfang an den Vorfallreaktionsverfahren von Commvault mitzuwirken.

5.7.3. „Sicherheitsvorfall“ bezeichnet die versehentliche oder rechtswidrige Zerstörung, den Verlust, die Veränderung, die unbefugte Offenlegung oder den unbefugten Zugriff auf unverschlüsselte Kundendaten.

5.7.4. Kontaktinformationen. Der Kunde kann eine Sicherheitsverletzung oder Bedenken an das Security Incident Response Team von Commvault unter soc@commvault.com melden.

5.7.5. Untersuchung und Forensik. Bei jeder Sicherheitsverletzung, die eine Untersuchung erfordert, wird Commvault: (i) eine angemessene digitale forensische Analyse unter Verwendung branchenüblicher Tools und Methoden durchführen; (ii) relevante Beweismittel gemäß geltendem Recht sichern; (iii) eine Ursachenanalyse durchführen, um die Quelle und den Umfang des Vorfalls zu ermitteln; und (iv) Korrekturmaßnahmen zur Verhinderung einer Wiederholung umsetzen, vorbehaltlich angemessener geschäftlicher Erwägungen und systembedingter Einschränkungen. Gemäß diesem Abschnitt 5.7.5 kann Commvault dem Kunden auf Anfrage einen zusammenfassenden Bericht zur Verfügung stellen.

5.7.6. Koordination mit Dritten. Für Software: Der Kunde leitet die Maßnahmen zur Reaktion auf den Vorfall und koordiniert diese mit geeigneten Dritten, soweit der Kunde dies für erforderlich hält. Commvault leistet dem Kunden im Zusammenhang mit solchen Maßnahmen zur Reaktion auf den Vorfall angemessene Unterstützung und Hilfe. Für die SaaS-Lösung: Soweit gesetzlich vorgeschrieben oder betrieblich erforderlich, kann Commvault Maßnahmen zur Reaktion auf Vorfälle mit geeigneten Dritten koordinieren, darunter Strafverfolgungsbehörden, Aufsichtsbehörden, Anbieter von Cloud-Infrastruktur und andere Sicherheitsanbieter. In beiden Fällen muss die koordinierende Partei die andere Partei über eine solche Koordinierung informieren, sofern dies rechtlich zulässig und betrieblich machbar ist, wobei die vertraulichen Informationen des Kunden unter den gegebenen Umständen so weit wie möglich geschützt werden müssen.

5.8. Wartung. Commvault überwacht die Verfügbarkeit der SaaS-Lösung und führt Tests zur Verfügbarkeit der Infrastruktur durch. Commvault veröffentlicht in regelmäßigen Abständen Patches, Fehlerbehebungen, Upgrades, Updates oder neue Versionen (zusammenfassend die „Updates“)
. Kunden, die unsere Software nutzen, sind für die Pflege und Implementierung von Updates der Software verantwortlich.

5.9. Datenträgerschutz. Für die SaaS-Lösung nutzt Commvault renommierte Drittanbieter von Cloud-Infrastrukturen, die Maßnahmen zum Datenträgerschutz gemäß ihren veröffentlichten Sicherheitsstandards aufrechterhalten. Die Bereinigung und Vernichtung von Datenträgern mit Kundendaten erfolgt gemäß den Standards und Verfahren der jeweiligen Drittanbieter von Cloud-Diensten. Bei der Software ist der Kunde allein für die Umsetzung von Maßnahmen zum Datenträgerschutz verantwortlich, einschließlich der Bereinigung und Vernichtung aller Datenträger, die Kundendaten enthalten, innerhalb der Umgebung des Kunden.

5.10. Physischer und umgebungsbezogener Schutz. Kundendaten werden durch physische Kontrollmaßnahmen geschützt, darunter unter anderem gesicherte Einrichtungen und Geräte, autorisierter und dokumentierter Personenzugang, gesperrte Serverbereiche, überwachter und protokollierter Zugang zu den Einrichtungen sowie unterstützende Sicherheits- und Authentifizierungssysteme.

5.11. Programmmanagement. Commvault unterhält ein Informationssicherheitsprogramm, das Folgendes umfasst: (a) eine definierte Organisationsstruktur sowie dokumentierte Richtlinien, Rollen, Verantwortlichkeiten und strategische Ziele; (b) Risikomanagement durch regelmäßige Risikobewertungen und formelle Prozesse zur Identifizierung, Bewertung, Minderung und Nachverfolgung von Sicherheitsrisiken; (c) ein auf Branchenstandards abgestimmtes Rahmenwerk für Sicherheitskontrollen; (d) Sicherheitstests zur Abwehr potenzieller Angriffsvektoren sowie einen mehrschichtigen Sicherheitsansatz in Entwicklung und Betrieb; (e) Schulungs- und Weiterbildungsprogramme für Sicherheitspersonal; und (f) regelmäßige Überprüfungen und Aktualisierungen des Programms.

5.12. Personensicherheit. Sofern dies nicht gesetzlich untersagt ist, führt Commvault gemäß geltendem Recht Hintergrundüberprüfungen für Mitarbeiter durch, die Zugriff auf Kundendaten haben. Commvault unterhält einen Einarbeitungsprozess für Vertraulichkeitsverpflichtungen und die Bestätigung von Richtlinien, Beschäftigungsrichtlinien sowie Prozesse für Rollenwechsel und Kündigungen.

5.13. Risikobewertung. Commvault verfügt über Sicherheitsrichtlinien, die darauf ausgelegt sind, die Einhaltung geltender Sicherheitsstandards zu gewährleisten, sowie über Verfahren für Sicherheitstests und die Identifizierung von Schwachstellen, zu denen Penetrationstests und Programme zur Offenlegung von Schwachstellen, Prozesse zum Schwachstellenmanagement und Sicherheitsbewertungen gehören können, die alle gemäß den internen Richtlinien durchgeführt werden. Nachweise über unabhängige Audits sind gemäß Abschnitt 5.3.1 verfügbar.

5.14. System- und Informationsintegrität

5.14.1. Verschlüsselung. Commvault verschlüsselt Kundendaten bei der Übertragung unter Verwendung aktueller Versionen von TLS oder anderer Sicherheitsprotokolle mit starken Verschlüsselungsalgorithmen und im Ruhezustand unter Verwendung aktueller Versionen von AES-Verschlüsselungsalgorithmen gemäß den Branchenstandards.

5.14.2. Schlüsselverwaltung. Verschlüsselungsschlüssel werden sicher in einer verschlüsselten Datenbank gespeichert, die durch rollenbasierte Zugriffskontrolle und optional durch eine Passphrase geschützt ist. Die Integration mit externen Schlüsselverwaltungsdiensten (wie nachstehend definiert) wird zur Verbesserung der Sicherheit und zur Trennung gemäß Abschnitt 5.14.3 unterstützt.

5.14.3. Schlüsselverwaltungsdienste von Drittanbietern. Sofern dies technisch machbar ist und sich der Kunde für die Nutzung eines Schlüsselverwaltungsdienstes („KMS“) eines Drittanbieters entscheidet, ist der Kunde allein für die Sicherung dieses KMS verantwortlich, indem er mindestens die folgenden Maßnahmen ergreift: (i) die Umsetzung von NIST 800-57 oder gleichwertiger Sicherheitskontrollen nach Industriestandard zum Schutz des KMS; und (ii) die Sicherung der Verschlüsselungsschlüssel in einer virtuell isolierten Umgebung. Commvault schließt ausdrücklich jegliche Haftung im Zusammenhang mit oder aufgrund der Nutzung des KMS eines Drittanbieters durch den Kunden aus, einschließlich der Unmöglichkeit des Zugriffs auf Daten, die sich aus einer solchen Nutzung ergibt. Commvault ist nicht verantwortlich oder haftbar für die Art und Weise, in der der KMS eines Drittanbieters Daten an Commvault übermittelt, darauf zugreift, diese verarbeitet, speichert, nutzt oder bereitstellt.

5.15 Risikomanagement in der Lieferkette. Commvault führt risikobasierte Lieferantenbewertungen durch, führt Aufzeichnungen über Lieferanten, überprüft regelmäßig die Dokumentation und Bewertungen der Lieferanten und implementiert Sicherheitsmaßnahmen für den Zugriff durch Dritte.

5.16 Datenintegrität und Qualitätskontrollen. Innerhalb der von Commvault definierten Dienstleistungsgrenzen unterhält Commvault Kontrollen zur Gewährleistung der Datenintegrität und -qualität, darunter unter anderem: (a) Autorisierungsrichtlinien für die Eingabe, das Lesen, das Ändern und das Löschen von Daten; (b) die Authentifizierung von autorisiertem Personal; (c) Schutzmaßnahmen für Datenvorgänge, einschließlich der Protokollierung wesentlicher Änderungen, sofern angemessen; (d) Trennung und Schutz von Daten durch Datenbankschemata, logische Zugriffskontrollen und/oder Verschlüsselung; (e) Verwendung von Anmeldedaten zur Benutzeridentifizierung; und (f) Kontrollen zur Sitzungsverwaltung. Diese Kontrollen werden in Übereinstimmung mit den internen Sicherheitsrichtlinien von Commvault aufrechterhalten.

 

6. Datenlokalisierung.

Commvault speichert und verarbeitet Kundendaten in den in der geltenden Dokumentation angegebenen geografischen Regionen, wobei die darin festgelegten Optionen für die regionale Datenverlagerung zur Verfügung stehen.

 

7. Änderungsmanagement.

7.1. Mitteilung von Änderungen. Commvault wird wesentliche Änderungen an seinen Sicherheitsrichtlinien oder -kontrollen, die sich nachteilig auf Kundendaten auswirken könnten, mindestens 30 Tage im Voraus schriftlich ankündigen.

7.2. Kündigung. Wenn eine solche Änderung die Sicherheit wesentlich beeinträchtigt, kann der Kunde die betroffenen Lösungen und/oder Dienste ohne Vertragsstrafe kündigen, wobei jedoch alle Softwareverkäufe endgültig, vom Umtausch ausgeschlossen und nicht erstattungsfähig sind.

 

8. Verpflichtungen der Cloud-Anbieter.

Commvault nutzt für die Bereitstellung von SaaS-Lösungen Cloud-Infrastrukturanbieter von Drittanbietern, darunter möglicherweise Microsoft Azure, AWS, GCP und/oder Oracle Cloud Infrastructure. Commvault übernimmt bestimmte Sicherheitsmaßnahmen dieser Cloud-Anbieter. Die Sicherheitsdokumentation der einzelnen Cloud-Anbieter ist in deren jeweiligen Trust Centers verfügbar.

 

9. Anwendbares Recht und Untermodule.

9.1. Globaler Rahmen. Diese Sicherheitsbedingungen sind für die weltweite Anwendung bestimmt und gelten, sofern sie nicht durch zwingendes lokales Recht außer Kraft gesetzt werden.

9.2. Regionale und branchenspezifische Anhänge. Regionale und branchenspezifische Anhänge (z. B. die Commvault-Kundendatenvereinbarung, der HIPAA-Nachtrag, der Nachtrag für den Finanzsektor) ergänzen diese Sicherheitsbedingungen und haben, soweit erforderlich, Vorrang vor diesen, jedoch ausschließlich in dem Umfang, der für die Einhaltung der Vorschriften erforderlich ist.