Datenschutzerklärung

1. Verantwortlicher

[Firmenname inkl. Rechtsform], [Straße Hausnummer], [PLZ] [Ort], Deutschland. E-Mail: [kontakt@example.com]. Weitere Angaben im Impressum.

Für alle Fragen zum Datenschutz erreichen Sie uns unter [datenschutz@example.com].

2. Hosting

VulnWarden läuft auf einem eigenen virtuellen Server bei DigitalOcean (DigitalOcean, LLC, New York, USA) im Rechenzentrum Frankfurt am Main. Anwendung, Datenbank, Warteschlange und Datensicherungen liegen dort; Anfragen erreichen den Server direkt, ohne vorgeschaltetes Netz eines Dritten. DigitalOcean verarbeitet die Daten als Auftragsverarbeiter nach unseren Weisungen (Art. 28 DSGVO); zur Übermittlung in die USA siehe Abschnitt 12.

3. Aufruf der Website

Um die Seite auszuliefern und Angriffe zu erkennen, verarbeitet unser Webserver bei jedem Aufruf Ihre IP-Adresse. Ins Zugriffsprotokoll schreiben wir nur eine gekürzte IP-Adresse (bei IPv4 ohne die letzte Zahl, bei IPv6 nur die ersten 48 Bit), Datum und Uhrzeit, die aufgerufene Adresse ohne Parameter, den Statuscode und die übertragene Datenmenge; Browserkennung, Referrer und Cookies werden nicht protokolliert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb. Die Protokolle löschen wir nach 14 Tagen; in den Datensicherungen des Servers bleiben sie höchstens weitere 7 Tage erhalten. Unsere Anwendung selbst protokolliert nur technische Kennungen, keine Inhalte und keine IP-Adressen.

Schriftarten und alle anderen Bestandteile der Seite werden von unserem eigenen Server ausgeliefert. Es werden keine Inhalte von Drittanbietern nachgeladen, und wir setzen keine Analyse-, Tracking- oder Werbedienste ein.

4. Cookies

Wir verwenden ausschließlich technisch notwendige Cookies: ein Sitzungs-Cookie, das Sie nach der Anmeldung angemeldet hält, sowie kurzlebige Cookies, die einen Anmelde- oder Verbindungsvorgang (zum Beispiel die Verknüpfung mit GitLab) gegen Missbrauch absichern. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO. Eine Einwilligung ist dafür nicht erforderlich, deshalb zeigen wir kein Cookie-Banner.

Nach der Registrierung legen wir Ihre E-Mail-Adresse im Sitzungsspeicher Ihres Browsers (sessionStorage) ab, damit die Bestätigungsseite eine neue Bestätigungs-E-Mail anfordern kann. Der Eintrag verlässt Ihren Browser nicht und wird beim Schließen des Tabs gelöscht.

5. Nutzerkonto und Anmeldung

Für ein Konto verarbeiten wir:

• Name, E-Mail-Adresse und Agenturzugehörigkeit mit Rolle;
• Ihr Passwort ausschließlich als Hash sowie das Geheimnis und die Backup-Codes der Zwei-Faktor-Anmeldung, verschlüsselt gespeichert;
• je Sitzung IP-Adresse und Browserkennung, um Ihnen aktive Sitzungen zuzuordnen und Missbrauch zu erkennen;
• kurzfristige Zähler je IP-Adresse zur Begrenzung von Anmeldeversuchen (Schutz vor Passwort-Raten);

Für diese Daten sind wir selbst verantwortlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst unser Vertragspartner sind. Nutzen Sie den Dienst als Beschäftigte oder Beschäftigter einer Agentur, ist es Art. 6 Abs. 1 lit. f DSGVO: Unser berechtigtes Interesse und das Ihrer Agentur ist, Ihnen den vereinbarten Zugang bereitzustellen. Für die Sicherheit des Dienstes (Sitzungsdaten, Zähler) gilt ebenfalls Art. 6 Abs. 1 lit. f DSGVO. Kontodaten speichern wir, solange das Konto besteht. Abgelaufene Sitzungen löschen wir automatisch, Zähler nach spätestens einem Tag. Nach Löschung des Kontos oder Vertragsende löschen wir die Daten, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

6. Daten, die Agenturen über ihre Kunden speichern

Agenturen hinterlegen ihre Kunden, deren Websites und Repositories. Daraus erstellen wir eine Liste der eingesetzten Softwarepakete und gleichen sie mit Sicherheitshinweisen ab. Dazu gehören auch Bewertungen und Notizen zu Schwachstellen, Einladungen mit der E-Mail-Adresse der eingeladenen Person und das Protokoll der Aktionen in der Agentur (wer wann was geändert hat). Diese Inhalte verarbeiten wir als Auftragsverarbeiter im Auftrag der jeweiligen Agentur auf Grundlage eines Vertrags nach Art. 28 DSGVO. Verantwortlich für diese Daten ist die Agentur; Anfragen dazu richten Sie bitte an sie.

7. Verbindung mit GitHub und GitLab

Wenn eine Agentur ein GitHub- oder GitLab-Konto verbindet, erhalten wir von dort die freigegebenen Repositories, deren Abhängigkeitsdateien (zum Beispiel package-lock.json) und die Kennungen, die zur Prüfung der Berechtigung nötig sind. Zugangsschlüssel speichern wir verschlüsselt. Quellcode speichern wir nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für die Nutzung von GitHub (GitHub, Inc., USA) und GitLab (GitLab Inc., USA) gelten deren eigene Datenschutzbestimmungen.

8. Der Website-Scanner

VulnWarden ruft nur Websites ab, deren Inhaber die Kontrolle über die Domain zuvor nachgewiesen hat, und liest dabei wenige öffentliche Seiten und Skripte wie ein Browser. Unsere Anfragen enthalten keine personenbezogenen Daten. Mehr dazu auf der Informationsseite zum Scanner.

9. E-Mail-Versand

Bestätigungs-, Einladungs- und Warn-E-Mails versenden wir über Resend (Plus Five Five, Inc., San Francisco, USA) aus deren EU-Region. Dabei werden Empfängeradresse, Betreff und Inhalt der E-Mail sowie Zustellinformationen verarbeitet. Resend ist unser Auftragsverarbeiter; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

10. Fehleranalyse

Um Fehler zu erkennen, senden wir technische Fehlerberichte an Sentry (Functional Software, Inc., San Francisco, USA), gespeichert in der EU-Region. Vor dem Versand entfernen wir Nutzerdaten, Cookies, Anfrageinhalte, Header und Fehlermeldungstexte; übrig bleiben Fehlertyp, Programmstelle und technische Kennungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein fehlerfreier Dienst.

11. Benachrichtigungen an Chat-Dienste

Während des internen Tests senden wir Warnungen (Name der Schwachstelle, betroffene Kunden und Websites oder Repositories) zusätzlich an einen internen Chat-Kanal unseres eigenen Teams bei Discord (Discord Inc., San Francisco, USA). Betroffen sind nur unsere eigenen Kunden; Daten anderer Agenturen gelangen nicht dorthin. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, schnell auf Sicherheitslücken zu reagieren. Bevor weitere Agenturen den Dienst nutzen, schalten wir diese Weiterleitung ab oder richten sie pro Agentur mit deren Einwilligung und Kanal ein.

12. Übermittlung in Drittländer

Einige der genannten Dienstleister haben ihren Sitz in den USA. Wir übermitteln Daten dorthin nur, wenn das Unternehmen unter dem EU-US Data Privacy Framework zertifiziert ist (Angemessenheitsbeschluss nach Art. 45 DSGVO) oder wir mit ihm die Standardvertragsklauseln der EU-Kommission vereinbart haben (Art. 46 Abs. 2 lit. c DSGVO). Wo möglich, nutzen wir Rechenzentren in der EU.

13. Externe Datenquellen

Sicherheitshinweise beziehen wir unter anderem von OSV.dev, der CISA (Known Exploited Vulnerabilities) und FIRST (EPSS). Dabei übermitteln wir keine personenbezogenen Daten und keine Daten unserer Kunden.

14. Ihre Rechte

Sie haben jederzeit das Recht auf:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO);
• Berichtigung unrichtiger Daten (Art. 16 DSGVO);
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit (Art. 20 DSGVO);
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO);
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), zum Beispiel bei der für uns zuständigen: [Zuständige Datenschutz-Aufsichtsbehörde mit Anschrift].

Schreiben Sie uns dazu an [datenschutz@example.com].

15. Weitere Hinweise

Die Angabe von Name und E-Mail-Adresse ist für ein Konto erforderlich; ohne sie können wir den Dienst nicht bereitstellen. Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt. Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert; es gilt die jeweils hier veröffentlichte Fassung.