Combodo iTop

Was Combodo iTop ist und was es leistet

Combodo iTop ist eine quelloffene Plattform für IT Service Management und Configuration Management Database, entwickelt von Combodo SAS in Grenoble in Frankreich. Sie bildet ITIL nahe Prozesse wie Incident, Problem, Change, Service Request, Konfiguration und SLA Management auf einem PHP und MySQL Stack ab. Die Software steht unter der AGPL und wird typischerweise auf der eigenen Infrastruktur des Kunden als interne Backoffice Anwendung für IT Mitarbeiter betrieben. Combodo bietet zusätzlich iTop Hub, eine in der Europäischen Union gehostete SaaS Variante, sowie Beratung und Support an.

Daten und Cookies, die Combodo iTop setzt

iTop verarbeitet Daten aus dem IT Betrieb, also Benutzerkonten von IT Mitarbeitern und Endanwendern mit Tickets, Incident und Change Datensätze, Konfigurationsobjekte der CMDB, Asset Inventare, Verträge und SLA Kennzahlen. Aus Websicht setzt die Anwendung ausschließlich funktionale Erstanbieter Cookies, typischerweise itop-cookie, PHPSESSID für die Sitzung, itop-user-prefs für Oberflächeneinstellungen und itop-token für den CSRF Schutz. Diese Cookies werden serverseitig gesetzt, sind auf den iTop Hostnamen begrenzt und dienen nur der Authentifizierung des Personals und der Aufrechterhaltung einer Sitzung. Werbe, Profiling oder Cross Site Tracking Technologien werden standardmäßig nicht geladen.

DSGVO und ePrivacy Implikationen

Nach der DSGVO ist die betreibende Organisation Verantwortliche für die in Tickets, Assets und Benutzerkonten gespeicherten personenbezogenen Daten, während Combodo nur in der iTop Hub SaaS Variante als Auftragsverarbeiter auftritt. Die ePrivacy Pflichten sind begrenzt, da iTop kein öffentlicher Webtracker ist und seine Cookies unbedingt erforderlich für Authentifizierung und CSRF Schutz sind, was unter die Ausnahme nach Artikel 5(3) der ePrivacy Richtlinie fällt. Die wichtigste DSGVO Arbeit besteht darin, das Verzeichnis von Verarbeitungstätigkeiten zu pflegen, Speicherfristen für Incidents und Audit Logs festzulegen, Zugriffe abzusichern und Betroffenenrechte zu gewährleisten.

Einwilligung und Rechtsgrundlage

Ein Consent Banner ist für die funktionalen Sitzungscookies von iTop nicht erforderlich, da sie unbedingt erforderlich sind, um den vom angemeldeten Nutzer angefragten Dienst bereitzustellen. Als Rechtsgrundlage kommen typischerweise das berechtigte Interesse nach Artikel 6(1)(f) für IT Betrieb und Informationssicherheit, die Vertragsdurchführung nach Artikel 6(1)(b) bei Beschäftigten oder Kunden des Betreibers sowie nationales Arbeitsrecht in Betracht. Wenn iTop über Ticketkennzahlen Leistungsdaten von Beschäftigten erfasst, müssen Arbeitgeber arbeitsrechtliche Vorgaben und gegebenenfalls Mitbestimmungsrechte des Betriebsrats beachten.

Grenzüberschreitende Übermittlungen und praktische Schritte

Wird iTop in der eigenen EU Infrastruktur des Kunden betrieben, finden keine Übermittlungen in Drittländer statt. Die SaaS Option iTop Hub wird standardmäßig bei französischen und europäischen Anbietern wie OVH und Scaleway gehostet, sodass in der Standardkonfiguration keine Übermittlungen außerhalb des EWR erfolgen. Zu den praktischen Schritten zählen die Beschränkung von Adminzugriffen, der Einsatz von SSO oder LDAP mit Mehrfaktor Authentifizierung, das Festlegen von Aufbewahrungsregeln für geschlossene Tickets, die Eintragung von iTop ins Verarbeitungsverzeichnis, der Abschluss eines Artikel 28 Vertrags mit Combodo bei Nutzung von iTop Hub sowie die Aktualisierung der internen Datenschutzinformation für IT Mitarbeiter.