Startseite Funktionen Sicherheit Funktionsweise Preise
Anmelden Meine kostenlose Diagnose starten

Datenschutzrichtlinie

Hinweis zur Sprache. Dokument: Datenschutzrichtlinie. Auf Englisch angezeigte Passagen: 18 von 154. Die französische Fassung dieses Dokuments ist die Referenzfassung. Um eine Fassung in Ihrer Sprache zu erhalten, schreiben Sie an contact@syaga.eu.

Version 1.0 - Letzte Aktualisierung : 25. Juni 2026

Präambel

Die vorliegende Datenschutzrichtlinie hat zum Ziel, die Nutzer und Kunden des Dienstes SYAGA Audit darüber zu informieren, wie ihre personenbezogenen Daten erhoben, verarbeitet und geschützt werden, im Einklang mit der Verordnung (EU) 2016/679 vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (DSGVO) und dem französischen Gesetz Nr° 78-17 vom 6. Januar 1978 in geänderter Fassung über Informatik, Dateien und Freiheiten.

SYAGA Audit ist ein Dienst zur Sicherheits- und Konformitätsprüfung der Microsoft-365-Umgebung, der ausschließlich lesend auf die Konfigurationen und Metadaten des Microsoft-365-Tenants des Kunden zugreift. Der Dienst greift nicht auf den Inhalt der Nachrichten, Dateien oder E-Mails der Nutzer des geprüften Tenants zu und speichert keinerlei Passwörter.

Das vorliegende Dokument erfüllt die Informationspflicht nach Artikel 13 (Direkterhebung) und Artikel 14 (indirekte Erhebung) DSGVO.

1. Identität und Kontaktdaten des Verantwortlichen

Verantwortlicher für die Konto- und Kundenbeziehungsdaten ist :

SYAGA CONSULTING

Verhältnis Auftragsverarbeiter / Verantwortlicher : für die im Rahmen der Prüfung erhobenen Konfigurationsdaten und Metadaten des Microsoft-365-Tenants handelt SYAGA als Auftragsverarbeiter im Sinne von Artikel 28 DSGVO, wobei der Kunde Verantwortlicher für seine eigenen M365-Daten bleibt. Die vorliegende Richtlinie deckt den Bereich ab, für den SYAGA als Verantwortlicher handelt (Kontodaten, Rechnungsstellung, Support). Die im Auftrag des Kunden durchgeführte Verarbeitung wird durch den Auftragsverarbeitungsvertrag (AVV) geregelt.

Datenschutz-Ansprechpartner

Für alle Anfragen zum Datenschutz : dpo@syaga.eu

Die Benennung eines Datenschutzbeauftragten ist im Sinne von Artikel 37 DSGVO nicht verpflichtend ; der Verantwortliche, in Person des Geschäftsführers, ist Ansprechpartner für alle Fragen zu personenbezogenen Daten.

2. Erhobene personenbezogene Daten

2.1 Konto- und Kundenbeziehungsdaten

SYAGA erhebt als Verantwortlicher :

2.2 Prüfdaten (Konfiguration und Metadaten Microsoft 365)

Im Rahmen der Prüfung greift der Dienst ausschließlich lesend über die Microsoft-Graph-API auf die Konfigurationsdaten und Metadaten des M365-Tenants des Kunden zu, insbesondere :

Was der Dienst nicht erhebt : Inhalt der E-Mails, Dateien, Dokumente, Nachrichten, Passwörter, sensible Daten im Sinne von Artikel 9 DSGVO.

Ephemeral architecture: the audit runs in memory inside a disposable scan container (no disk storage). Your results disappear at the earlier of two events: you tick the discharge box on your report page, once you have downloaded your files, and deletion is triggered by that action; failing that, by automatic expiry, no later than 2 hours after the end of the scan for your score, your findings and your report, and no later than 24 hours after you send them for the information you provide yourself (company profile, declarative questionnaire). The Microsoft session token is encrypted at rest (Fernet) and does not live longer than 58 minutes; the technical token used during the scan expires automatically no later than 3 hours after it is issued. You can revoke access at any time from your Microsoft Enterprise Applications, without asking us. SYAGA then retains only billing data, for 10 years from the close of the financial year, as the law requires of any company.

2.3 Cookies und Tracker

Die Website syaga.eu verwendet ausschließlich unbedingt erforderliche Cookies für den Betrieb des Dienstes :

Es werden weder Reichweitenmess-Cookies (Google Analytics, Matomo oder gleichwertig) noch Werbe-Cookies gesetzt. Diese unbedingt erforderlichen Cookies sind gemäß den Leitlinien der CNIL von der vorherigen Einwilligung befreit (Quelle : cnil.fr -- cookies et traceurs). Ein Informationshinweis zu diesen Cookies ist ausreichend.

3. Zwecke und Rechtsgrundlagen der Verarbeitung

Gemäß Artikel 6 DSGVO beruht jede Verarbeitung auf einer festgelegten Rechtsgrundlage :

ZweckRechtsgrundlage (Art. 6 DSGVO)
Bereitstellung und Ausführung des Prüfdienstes ; Erstellung und Verwaltung des KundenkontosVertragserfüllung -- Art. 6.1.b
Rechnungsstellung, Buchhaltung, ForderungseinzugGesetzliche Pflicht (französisches Handelsgesetzbuch, Art. L.123-22) und Vertragserfüllung -- Art. 6.1.c und 6.1.b
Support und technische UnterstützungVertragserfüllung -- Art. 6.1.b
Sicherheit des Dienstes, Betrugsprävention, ProtokollierungBerechtigtes Interesse -- Art. 6.1.f
Unbedingt erforderliche CookiesVon der Einwilligung befreit (Leitlinien der BfDI)

Für die Prüfdaten des Tenants (Abschnitt 2.2) handelt SYAGA auf Weisung des Kunden (Verantwortlicher). Siehe den AVV.

4. Empfänger und Auftragsverarbeiter

Die Daten werden nur an befugte Personen innerhalb von SYAGA CONSULTING sowie an Auftragsverarbeiter weitergegeben, die unter den Bedingungen von Artikel 28 DSGVO tätig werden :

Es werden keine Daten an Dritte verkauft oder zu kommerziellen Zwecken überlassen.

Die Daten können an Verwaltungs- oder Justizbehörden weitergegeben werden, sofern das Gesetz dies verlangt.

5. Aufbewahrungsfristen

Die Daten werden für einen Zeitraum aufbewahrt, der nicht länger ist als für die verfolgten Zwecke erforderlich (Art. 5.1.e DSGVO) :

DatenkategorieAufbewahrungsfrist
Rohdaten der Prüfung (Findings, Zugriffstoken)Nothing is written to disk: your results live in memory only. They are deleted as soon as you tick the discharge box on your report, and in any event no later than 2 hours after the end of the scan (24 hours for the information you send us yourself).
Daten des aktiven KundenkontosDauer der Vertragsbeziehung, anschließend Löschung innerhalb von 30 Tagen nach Kündigung
Rechnungsdaten und Buchhaltungsbelege10 Jahre ab Abschluss des Geschäftsjahres (gesetzliche Pflicht, Art. L.123-22 französisches Handelsgesetzbuch)
Technische Protokolle (Verbindungsprotokolle)12 Monate (Empfehlung der BfDI)
Proof that you accepted our contractual documents (DPA, terms of sale, privacy policy) and that your Microsoft administrator authorised the read access5 years at most after the end of the contractual relationship. That is how long a claim can still be brought between businesses (French Commercial Code, art. L. 110-4; French Civil Code, art. 2224): beyond that, the proof serves no purpose and we have no reason to keep it.

What we keep, and what we never keep

Zero-knowledge covers what we must not know: the contents of your information system. It does not cover the fact that you are our customer, nor the proof that you authorised us to work. Those two things, the law requires us to be able to demonstrate (GDPR, art. 5.2 and 24.1).

We keep, within the retention periods above:

We never keep:

The dividing line, in one sentence: we keep what proves the work was authorised and invoiced; we keep nothing of what the work revealed.

You may ask us for a copy of the register entry concerning you, at the address given in section 10.

6. Datenübermittlungen außerhalb der Europäischen Union

Die Infrastruktur, die den Dienst SYAGA Audit hostet, befindet sich in Frankreich. Grundsätzlich findet durch SYAGA keine Datenübermittlung außerhalb der EU / des EWR statt.

Zu Microsoft : Der Verantwortliche erkennt an, dass die Microsoft-Graph-API von der Microsoft Corporation (Vereinigte Staaten) betrieben wird. Etwaige Übermittlungen unter Beteiligung von Microsoft werden durch dessen von der Europäischen Kommission genehmigte Standardvertragsklauseln und gegebenenfalls durch dessen Teilnahme am EU-U.S. Data Privacy Framework abgesichert. Die geprüften Daten sind diejenigen des eigenen Microsoft-365-Tenants des Kunden, die in seinem Auftrag ausschließlich lesend über Microsoft Graph abgerufen werden. Microsoft handelt als Anbieter des Kunden. Etwaige Übermittlungen unter Beteiligung der Microsoft-Infrastruktur werden durch die von der Europäischen Kommission genehmigten Standardvertragsklauseln und die Teilnahme von Microsoft am EU-U.S. Data Privacy Framework abgesichert.

Stripe Payments Europe, Limited führt Übermittlungen außerhalb der EU durch, die durch Mechanismen gemäß Kapitel V DSGVO abgesichert sind. Die Übermittlungen an Stripe werden durch das EU-U.S. Data Privacy Framework, für das Stripe zertifiziert ist, sowie hilfsweise durch die Standardvertragsklauseln der Europäischen Kommission (2021) abgesichert, die in das Data Transfers Addendum von Stripe integriert sind.

7. Rechte der betroffenen Personen

Gemäß den Artikeln 15 bis 22 DSGVO stehen jeder betroffenen Person die folgenden Rechte zu :

Wichtig für die Prüfdaten : für die Konfigurationsdaten und Metadaten des Tenants sind Anträge auf Ausübung der Rechte an den Kunden (Verantwortlicher) zu richten, der SYAGA bei Bedarf hinzuzieht (Art. 28.3.e DSGVO).

Modalitäten der Ausübung

Diese Rechte werden durch eine Anfrage an dpo@syaga.eu oder per Post an SYAGA CONSULTING 2 Impasse Paul Langevin, 13110 Port-de-Bouc ausgeübt. Eine Antwort erfolgt innerhalb eines Monats (Art. 12.3 DSGVO), verlängerbar um zwei Monate bei Komplexität.

Beschwerde bei der BfDI

Jede betroffene Person hat das Recht, eine Beschwerde bei der BfDI einzureichen (Art. 77 DSGVO) :

BfDI -- Graurheindorfer Str. 153, 53117 Bonn -- www.bfdi.bund.de

8. Datensicherheit (Art. 32 DSGVO)

SYAGA setzt geeignete technische und organisatorische Maßnahmen um, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten (Art. 32 DSGVO) :

Ausrichtung an mehreren Referenzrahmen

Die Sicherheitsmaßnahmen von SYAGA Audit sind in Übereinstimmung mit mehreren anerkannten Sicherheitsreferenzrahmen konzipiert. SYAGA beansprucht keine formelle Zertifizierung nach diesen Referenzrahmen die Maßnahmen orientieren sich an den Anforderungen der Norm ISO/IEC 27001, wobei ein Zertifizierungsverfahren eingeleitet wurde, jedoch bis heute keine Zertifizierung erlangt wurde ; die Maßnahmen sind ausgerichtet an und inspiriert von diesen Rahmenwerken :

SYAGA Audit unterstützt seine Kunden gerade dabei, ihre eigene Konformität mit diesen Referenzrahmen (DSGVO, NIS2, BSI) innerhalb ihrer Microsoft-365-Umgebung zu messen.

9. Änderungen dieser Richtlinie

Die vorliegende Richtlinie kann aktualisiert werden, um rechtlichen, regulatorischen oder technischen Entwicklungen Rechnung zu tragen. Maßgeblich ist die unter https://syaga.eu/confidentialite.html veröffentlichte Fassung. Bei wesentlichen Änderungen werden die registrierten Nutzer innerhalb einer angemessenen Frist vor Inkrafttreten der Änderungen per E-Mail informiert.

10. Kontakt

Für alle Fragen zu dieser Richtlinie oder zum Schutz Ihrer Daten :

Rechtliche und dokumentarische Referenzen