Rechtliches

Vertrauen und Datenverarbeitung

Was ein Einkäufer, ein Datenschutzbeauftragter oder eine Beschaffungsabteilung vor einer Zusammenarbeit mit uns prüfen muss: mit wem Sie den Vertrag schließen, wo die Daten liegen, welche Rechtsinstrumente die Übermittlungen abdecken und was wir belegen können und was noch nicht.

Gültig ab: Juli 2026

1. Mit wem Sie den Vertrag schließen

Ihr Vertragspartner ist die BITS Blackrock IT Solutions LLC, eine Gesellschaft mit beschränkter Haftung nach ägyptischem Recht. Wir sind deutsch geführt und haben kundenseitige Teams in Riad, Dubai und Berlin, aber es gibt keine deutsche, saudische oder emiratische Rechtsperson: Der Vertrag kommt mit der ägyptischen Gesellschaft zustande. Wir sagen das offen, weil es im ersten Gespräch auf den Tisch gehört und nicht erst in der rechtlichen Prüfung.

  • Rechtsträger: BITS Blackrock IT Solutions LLC
  • Handelsregister-Nr. 191833, Investitionsregisteramt Alexandria
  • Einheitliche Unternehmensregisternummer: 01000191833
  • Eingetragener Sitz: 8 Ali Basha Zulfakar St, Mostafa Kamel, Sidi Gaber, Alexandria, Ägypten
  • Entwicklung: Kairo. Kundenseitige Präsenz: Riad, Dubai, Berlin

2. Wo Ihre Daten liegen

Bei Systemen, die wir bauen und die Sie selbst betreiben, bleiben Ihre Daten in der von Ihnen gewählten Umgebung, und wir haben nur den Zugriff, den Ihr Team uns einräumt. Bei Systemen, die wir für Sie betreiben, wird die Hosting-Region vor Beginn der Entwicklung vertraglich festgelegt.

  • Zielumgebungen: AWS, Azure, Google Cloud, Ihre eigene Private Cloud oder On-Premise in Ihrem Rechenzentrum
  • Region und Datenhaltung werden je Projekt festgelegt und in den Vertrag aufgenommen, nicht erst zum Zeitpunkt des Deployments entschieden
  • Der On-Premise-Betrieb steht gerade für die Fälle zur Verfügung, in denen Daten Ihr Netzwerk überhaupt nicht verlassen dürfen

3. Zugriff aus Ägypten und die Rechtsgrundlage dafür

Unser Entwicklungsteam sitzt in Kairo. Wenn Ihr Projekt es erfordert, dass dieses Team auf personenbezogene Daten zugreift, stellt dieser Zugriff eine Übermittlung in ein Drittland dar, und wir behandeln ihn auch als solche, statt darüber hinwegzugehen.

  • Für Ägypten besteht kein Angemessenheitsbeschluss der EU. Übermittlungen personenbezogener Daten aus dem EWR stützen sich auf die EU-Standardvertragsklauseln, die als Teil des Auftragsverarbeitungsvertrags abgeschlossen werden.
  • Für saudische Kunden werden Übermittlungen außerhalb des Königreichs im Einklang mit dem PDPL und den Übermittlungsregeln der SDAIA abgewickelt, einschließlich der dort geforderten Risikobewertung.
  • Wo eine Übermittlung für Sie überhaupt nicht in Frage kommt, entfällt sie beim On-Premise-Weg: Der Zugriff der Entwicklung beschränkt sich dann auf das, was Sie einräumen, in Ihrer Umgebung und unter Ihrer Protokollierung.

4. Unterauftragsverarbeiter

Diese Website selbst nutzt bewusst nur wenige Dritte. Unterauftragsverarbeiter, die für ein konkretes Kundenprojekt hinzukommen, werden im Auftragsverarbeitungsvertrag dieses Projekts vor Arbeitsbeginn benannt, und wir informieren Sie, bevor wir einen weiteren aufnehmen.

  • Hosting und Auslieferung der Website: Vercel Inc.
  • Verarbeitung des Kontaktformulars: Web3Forms
  • Cloud-Infrastruktur für Systeme, die wir in Ihrem Auftrag betreiben: AWS, Microsoft Azure oder Google Cloud, in der mit Ihnen vereinbarten Region
  • Jeder in einem Kundensystem eingesetzte Anbieter von KI-Modellen wird im jeweiligen Projekt benannt und kann auf Wunsch durch ein selbst gehostetes Modell ersetzt werden

5. Wie wir bauen

Sicherheit wird von Anfang an eingeplant und nicht am Ende geprüft. Das sind Arbeitsweisen, keine Zertifizierungen, und so benennen wir sie auch.

  • Jedes Projekt beginnt mit einer dokumentierten Architektur einschließlich der Datengrenze, bevor Code geschrieben wird
  • Code-Review, Testabdeckung und ein Security-Review sind verbindliche Schritte, keine optionalen
  • Verschlüsselung bei der Übertragung und im Ruhezustand; der Zugriff auf Kundenumgebungen ist rollenbasiert und wird protokolliert
  • Jedes System wird unter der Annahme gebaut, dass es sensible Daten führt, unabhängig davon, ob das derzeit der Fall ist

6. Zertifizierungen: wo wir tatsächlich stehen

Wir bauen Plattformen, die andere Organisationen durch Audits nach ISO 27001, SOC 2, NIS2 und DORA tragen. Das ist nicht dasselbe, wie diese Zertifizierungen selbst zu besitzen, und wir lassen beides nicht durcheinandergehen.

  • BITS ist derzeit nicht nach ISO 27001 zertifiziert. Die Zertifizierung ist angestoßen; wir werden den Stand hier veröffentlichen, sobald er sich ändert, und die Zertifizierung nicht behaupten, bevor sie erteilt ist.
  • Die auf dieser Website genannten Framework-Bezeichnungen beschreiben, was unsere Plattformen für unsere Kunden erfüllen sollen, und nicht Zertifizierungen, die BITS hält.
  • Wenn Ihr Beschaffungsprozess heute einen zertifizierten Lieferanten verlangt, sagen wir Ihnen, dass wir diese Anforderung nicht erfüllen, statt die Frage zu umgehen.

7. Dokumente, die Sie anfordern können

Senden Sie uns eine Anfrage, und wir stellen Ihnen die für Ihr Projekt einschlägigen Dokumente bereit. Sollte etwas aus dieser Liste in der von Ihnen benötigten Form noch nicht existieren, sagen wir Ihnen das, statt Sie hinzuhalten.

  • Auftragsverarbeitungsvertrag (AVV) einschließlich der Standardvertragsklauseln
  • Beschreibung der technischen und organisatorischen Maßnahmen (TOM)
  • Liste der Unterauftragsverarbeiter für Ihr konkretes Projekt
  • Antworten auf Sicherheitsfragebögen, ausgefüllt von einem Gründer und nicht von einem Vertriebsteam
  • Rahmenvertrag (Master Services Agreement) und die Leistungsbeschreibung (Statement of Work) des Projekts

Bei Fragen zu dieser Seite oder zur Anforderung der oben genannten Dokumente wenden Sie sich an unser Kontaktformular. Ein Gründer antwortet direkt.