Rechtliches
AVV & Unterauftragsverarbeiter
Zusammenfassung des Auftragsverarbeitungsvertrags und die Liste der Unterauftragsverarbeiter.
8. August 2026
Zuletzt aktualisiert
§1
1. Zweck
Diese Seite fasst den Auftragsverarbeitungsvertrag (AVV) zusammen, der gilt, wenn Graneth personenbezogene Daten in Ihrem Auftrag als Auftragsverarbeiter verarbeitet und Sie als Kunde Verantwortlicher sind. Ein unterzeichneter AVV im vollen Wortlaut ist auf Anfrage erhältlich.
§2
2. Rollen
Für Code, Funde und GitHub-Identitätsdaten, die mit den Repositories Ihrer Organisation verknüpft sind, sind Sie der Verantwortliche und Graneth der Auftragsverarbeiter. Für die eigenen Konto- und Abrechnungsunterlagen von Graneth ist Graneth der Verantwortliche.
§3
3. Gegenstand, Art und Dauer
Die Verarbeitung umfasst das Scannen, Speichern und Analysieren des Codes und der Metadaten Ihrer verbundenen Repositories, solange Ihr Konto aktiv ist, zuzüglich gesetzlich vorgeschriebener Aufbewahrungsfristen.
§4
4. Kategorien betroffener Personen
Entwickler und Mitwirkende in Ihrer Organisation, deren GitHub-Identität in gescannten Commits, Pull-Requests oder Code-Kommentaren erscheint.
§5
5. Datenkategorien
GitHub-Identität (Benutzername, E-Mail, Avatar), Quellcode und Diffs, Scan-Funde sowie Pull-Request-Metadaten.
§6
6. Pflichten des Auftragsverarbeiters
Graneth verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung, behandelt sie vertraulich, wendet die auf der Seite Vertrauen & Sicherheit beschriebenen technischen und organisatorischen Maßnahmen an, benachrichtigt Sie unverzüglich über eine Verletzung des Schutzes personenbezogener Daten und löscht oder gibt die Daten nach Beendigung der Beauftragung auf Verlangen zurück.
§7
7. Weitergabe an Unterauftragsverarbeiter
Jeder nachstehend aufgeführte Unterauftragsverarbeiter ist an Datenschutzbedingungen gebunden, die mit diesem AVV im Einklang stehen. Über wesentliche Änderungen bei Unterauftragsverarbeitern informieren wir Kunden, soweit erforderlich.
§8
8. Vollständiger AVV & Kontakt
Für einen unterzeichneten AVV im vollen Wortlaut, Standardvertragsklauseln oder jede datenschutzrechtliche Frage nutzen Sie bitte die Kontaktangaben am Ende dieser Seite.
Subunternehmer
| Subunternehmer | Zweck | Standort |
|---|---|---|
| Anthropic, PBC | LLM-gestützte Triage von Scan-Funden und dateiübergreifende Analyse (Claude API) | USA |
| GitHub, Inc. (Microsoft) | OAuth-Anmeldung, Repository- und Pull-Request-Zugriff, Webhook-Zustellung | USA |
| Stripe, Inc. | Zahlungsabwicklung für einmalige Credit-Paket-Käufe | USA / Irland |
| Railway Corporation | Anwendungs-Hosting und PostgreSQL-Datenbank | USA |
| Amazon Web Services (S3) | Verschlüsselte Datenbank-Backups | USA (Region konfigurierbar) |
Semgrep, die Static-Analysis-Engine, läuft als lokaler Prozess in Graneths eigener Infrastruktur — Ihr Code wird dafür an keinen Drittanbieter gesendet.