Datenschutzerklärung

1. Verantwortliche Stelle

Wolf-Agents
Inhaber: Eduard Wolf
Vorderhainberg 21
94496 Ortenburg, Deutschland

Telefon: +49 151 46533415
E-Mail: info@wolf-agents.com

Hinweis zur aktuellen Pre-Launch-Phase: Die Plattform befindet sich derzeit in einer geschlossenen Beta-Phase. Während dieser Phase werden keine kostenpflichtigen Abonnements abgeschlossen; die Stripe-Integration ist im Test-Modus aktiv. Es findet daher aktuell keine Übermittlung von Zahlungsdaten an Stripe in den USA statt (vgl. Abschnitt 10). Mit dem Public Launch wird die Stripe-Integration auf den Live-Modus umgestellt; diese Datenschutzerklärung wird zu diesem Zeitpunkt aktualisiert und Beta-Tester werden gemäß Abschnitt 21 informiert.

Datenschutzbeauftragter: Wolf-Agents beschäftigt weniger als 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, und führt keine Verarbeitungen durch, die nach Art. 35 DSGVO eine Datenschutz-Folgenabschätzung erfordern. Die Voraussetzungen für eine zwingende Bestellung eines Datenschutzbeauftragten gemäß § 38 BDSG sind daher nicht erfüllt. Bei Fragen zum Datenschutz wenden Sie sich bitte direkt an die oben genannten Kontaktdaten.

2. Hosting & Server-Logfiles

Unsere Website wird auf einem Hetzner Server (Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland) in Deutschland gehostet. Die Content-Delivery erfolgt über Bunny.net (BunnyWay d.o.o., Cesta komandanta Staneta 4A, 1215 Medvode, Slowenien), einem europäischen CDN-Anbieter mit Edge-Servern in der EU. Mit beiden Anbietern bestehen Auftragsverarbeitungsverträge. Alle Daten werden ausschließlich auf europäischen Servern verarbeitet und verlassen niemals die EU.

Bei jedem Aufruf werden automatisiert folgende Logdaten verarbeitet:

• IP-Adresse des anfragenden Rechners
• Datum und Uhrzeit der Anfrage
• Angeforderte Ressource (URL)
• Referrer-URL (zuvor besuchte Seite)
• Browser-Typ, -Version und Betriebssystem
• Übertragene Datenmenge
• Zugriffsstatus (HTTP-Statuscode)

Diese Daten werden zur Bereitstellung der Website, Abwehr von Angriffen und Fehleranalyse verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO i.V.m. Erwägungsgrund 49 DSGVO (Netz- und Informationssicherheit als anerkanntes berechtigtes Interesse). Unser berechtigtes Interesse liegt in der technischen Bereitstellung und Aufrechterhaltung einer funktionsfähigen Website, der Gewährleistung der IT-Sicherheit sowie der Erkennung und Abwehr von Cyberangriffen und Missbrauch. Diese Interessen überwiegen die Interessen der betroffenen Personen, da ausschließlich technische Daten kurzzeitig verarbeitet werden und eine zuverlässige Website-Nutzung ohne diese Verarbeitung nicht möglich wäre. Die Zugriffsprotokolle einschließlich der IP-Adresse werden täglich rotiert und nach 14 Tagen vollständig gelöscht; eine vorherige Anonymisierung der IP-Adresse findet nicht statt.

3. Cookies & Browser-Speicher

Wir setzen keine Statistik-, Marketing- oder Tracking-Cookies ein. Es werden keine Werbenetzwerke, Retargeting-Pixel, Analytics-Dienste oder vergleichbare Dienste eingebunden. Ein Cookie-Banner ist daher nicht erforderlich.

3.1 Technisch notwendige Cookies

Folgende Cookies werden ausschließlich für die Authentifizierung und Sicherheit gesetzt. Gemäß § 25 Abs. 2 Nr. 2 TDDDG ist hierfür keine Einwilligung erforderlich, da sie für den vom Nutzer ausdrücklich gewünschten Dienst technisch notwendig sind:

• wolf.session_token / __Secure-wolf.session_token: Authentifizierungs-Cookie (HttpOnly, Secure, SameSite=Lax). Gültigkeitsdauer: 24 Stunden, Erneuerung nach 4 Stunden Aktivität.
• wolf.session_data / __Secure-wolf.session_data: Session-Cache-Cookie (HttpOnly, Secure, SameSite=Lax). Gültigkeitsdauer: 5 Minuten.
• scan_unlock: Token-Cookie für die Freischaltung von Scan-Ergebnissen per E-Mail-Link (HttpOnly, Secure, SameSite=Lax). Gültigkeitsdauer: 7 Tage.

Zusätzlich speichert das Cookie wolf-theme im eingeloggten Bereich Ihre gewählte Darstellung (hell, dunkel oder Systemeinstellung). Es dient ausschließlich der Komfort-Funktion, enthält keine personenbezogenen Daten und wird ebenfalls nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung gesetzt.

3.2 Local Storage (Browser-Speicher)

Für eine verbesserte Nutzererfahrung speichern wir folgende Präferenzen im Local Storage Ihres Browsers:

• dash-sidebar-collapsed: Speichert den Zustand der Dashboard-Seitenleiste
• wolf-news-last-read: Zeitstempel der letzten News-Ansicht (für Ungelesen-Indikator)
• as-scan-{id}: Temporärer Scan-Fortschritt (automatische Löschung nach 10 Minuten)

Diese Speicherungen dienen ausschließlich der Komfort-Funktion und enthalten keine personenbezogenen Daten. Es handelt sich nicht um Cookies und nicht um Tracking. Gemäß § 25 Abs. 2 Nr. 2 TDDDG ist hierfür keine Einwilligung erforderlich, da die Speicherung für den vom Nutzer ausdrücklich gewünschten Dienst technisch notwendig ist.

4. Online-Sicherheitstools

Wir bieten kostenlose Sicherheits-Analyse-Tools an, die als passive Informations- und Konfigurations-Audit-Dienste arbeiten. Sie ermitteln anhand öffentlich abrufbarer Daten (HTTP-Header, DNS-Records, TLS-Zertifikate, Mailserver-Antworten) den jeweiligen IST-Zustand sicherheitsrelevanter Konfigurationen einer vom Nutzer eingegebenen Domain bzw. eines API-Endpunkts. Die Tools schützen nicht aktiv (kein Antivirus, keine Firewall, kein WAF, keine Code-Analyse, kein Penetration Test). Bei der Nutzung dieser Tools werden folgende Daten verarbeitet:

4.1 Web Security Check

Zweck: Analyse von HTTP-Security-Headern, SSL/TLS-Zertifikaten und DNS-Sicherheitseinstellungen einer Website.

Vom Nutzer eingegebene Daten:

• Website-URL oder Domain-Name

Datenfluss und technische Verarbeitung:

1. DNS-Abfragen werden über unseren eigenen, vollständig rekursiven Resolver auf dem Scanner-Server durchgeführt; er fragt die zuständigen Nameserver direkt ab, ohne einen fremden DNS-Dienst einzuschalten. Übermittelt wird dabei nur der Domain-Name, nicht Ihre IP-Adresse. Ist der eigene Resolver ausnahmsweise nicht verfügbar oder liefert er eine technisch abgeschnittene Antwort, weichen wir auf den DNS-Dienst der Digitalen Gesellschaft (Schweiz) aus; auch dabei wird ausschließlich der Domain-Name übermittelt.
2. HTTP-Header-Analyse erfolgt über unseren dedizierten Scanner-Server bei Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland). Der Scanner kontaktiert die Zielwebsite mit einer Browser-ähnlichen Anfrage (curl-impersonate). Die Zielwebsite sieht nur die IP-Adresse unseres Scanners, nicht Ihre IP-Adresse.
3. SSL/TLS-Analyse prüft Zertifikate, TLS-Versionen und Cipher-Suites der Zielwebsite.
4. Abgleich mit der HSTS-Preload-Liste: Für die Bewertung der Transportverschlüsselung fragen wir bei hstspreload.org ab, ob die geprüfte Domain in der Preload-Liste der Browserhersteller steht. Der Dienst wird vom Chromium-Projekt betrieben; der Abruf erfolgt vom Server aus, nicht aus Ihrem Browser. Übermittelt wird ausschließlich der geprüfte Domain-Name — nicht Ihre IP-Adresse und nicht Ihr Browserkennzeichen. Das Ergebnis halten wir bis zu 24 Stunden im Arbeitsspeicher vor, um wiederholte Abfragen zu vermeiden. Näheres in Abschnitt 14.
5. Fallback-System: Bei Nichterreichbarkeit des Hauptscanners wird ein Backup-Scanner bei netcup GmbH (Daimlerstraße 25, 76185 Karlsruhe, Deutschland) genutzt. Beide Scanner befinden sich in Deutschland.

Speicherdauer: Ein Scan hinterlässt Daten an mehreren Stellen mit unterschiedlichen Fristen:

• Auftragsdatensatz (24 Stunden): Damit die Ergebnisseite den Scan zuordnen kann, legen wir beim Start einen Datensatz in unserem Zwischenspeicher (Redis auf dem Server bei Hetzner) ab. Er enthält die geprüfte Domain sowie Ihre IP-Adresse und Ihr Browserkennzeichen (User-Agent) und wird nach 24 Stunden automatisch gelöscht.
• Ergebnis-Zwischenspeicher (7 Tage): Das vollständige Analyseergebnis wird bis zu 7 Tage im selben Zwischenspeicher vorgehalten, damit Sie den Report erneut aufrufen können. Es enthält Angaben über die geprüfte Website — etwa deren IP-Adresse, die Antwort-Header, Zertifikatsangaben und in der Datei security.txt veröffentlichte Kontaktadressen —, jedoch keine weiteren Angaben über Sie. Bei technisch nicht belastbaren Messungen beträgt die Frist nur 15 Minuten.
• Zusammenfassung in der Datenbank: Zu jedem belastbaren Scan speichern wir eine Zeile mit Domain, Tool, Score, Note und Zeitpunkt — auch dann, wenn Sie nicht angemeldet sind. Weder Ihre IP-Adresse noch Ihr Browserkennzeichen werden hier gespeichert. Solange der Auftragsdatensatz existiert (längstens 24 Stunden), lässt sich die Zeile über die Scan-Kennung mit ihm verbinden; danach bleibt sie ohne Bezug zu Ihrer Person zurück. Anonyme Zeilen löschen wir nach 90 Tagen, einem Konto zugeordnete nach 400 Tagen. Löschen Sie Ihr Konto, entfernen wir sofort den Kontobezug; die verbleibende anonyme Zeile fällt dann unter die 90-Tage-Frist.
• Anonyme Aufrufzählung: Beim Start eines Scans zählen wir zusätzlich mit, welches Werkzeug mit welcher Domain-Endung (z. B. .de) aufgerufen wurde. Die vollständige Domain und jeder Bezug zu Ihnen fehlen darin; dieser Zähler wird dauerhaft aufbewahrt.
• Domain-Verzeichnis (24 Monate): Zu jeder geprüften Domain führen wir einen Zähleintrag mit erstem und letztem Prüfzeitpunkt sowie der Anzahl der Prüfungen. Er enthält keinen Bezug zur prüfenden Person und entfällt 24 Monate nach der letzten Prüfung.
• Nutzungsstatistik (dauerhaft): Monatliche Summen — wie viele Prüfungen mit welchem Werkzeug und welchem Ergebnis — bewahren wir dauerhaft auf. Sie enthalten weder Domain-Namen noch Angaben zu einzelnen Personen und sind daher keine personenbezogenen Daten mehr.

Zusätzlich sind die kurzlebigen Einträge des Zwischenspeichers in unseren verschlüsselten Sicherungskopien enthalten und überdauern dort ihre eigentliche Frist (siehe Abschnitt 19).

Rate-Limiting: Zum Schutz vor Missbrauch begrenzen wir die Zahl der Scans je IP-Adresse. Dafür führen wir einen Tageszähler, dessen Schlüssel Ihre IP-Adresse enthält, in unserem Zwischenspeicher (Redis auf dem Server bei Hetzner). Der Eintrag wird nach 25 Stunden automatisch gelöscht. Eine darüber hinausgehende Auswertung oder Profilbildung findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO i.V.m. Erwägungsgrund 49 DSGVO. Unser berechtigtes Interesse liegt in der Bereitstellung der Sicherheitstools zur Förderung der Netz- und Informationssicherheit der Nutzer und ihrer Systeme. Da nur die technische Konfiguration der vom Nutzer aktiv eingegebenen Domain geprüft wird (keine Inhaltsanalyse, keine Übertragung der Nutzer-IP an die Zielseite), überwiegen diese Interessen.

4.2 E-Mail Security Check

Zweck: Analyse von E-Mail-Sicherheitseinstellungen (SPF, DKIM, DMARC, MTA-STS, BIMI, DANE, DNSSEC) einer Domain.

Vom Nutzer eingegebene Daten:

• Domain-Name (z.B. beispiel.de)

Datenfluss und technische Verarbeitung:

1. DNS-Abfragen werden über unsere eigenen Server durchgeführt für folgende Record-Typen: MX, TXT (SPF, DKIM, DMARC), CNAME (BIMI), TLSA (DANE), DS (DNSSEC), CAA.
2. SMTP-Verbindungstest erfolgt über unseren dedizierten Server bei netcup GmbH (Daimlerstraße 25, 76185 Karlsruhe, Deutschland). Der Server verbindet sich mit dem Mail-Server (MX-Record) der eingegebenen Domain über Port 25, prüft STARTTLS-Unterstützung, TLS-Version und Zertifikatdetails. Der Mail-Server sieht nur die IP-Adresse unseres Servers, nicht Ihre IP-Adresse. Es werden keine E-Mail-Inhalte übertragen oder gelesen.

Speicherdauer: Wie bei 4.1, mit einer Abweichung: Ein 7-tägiger Ergebnis-Zwischenspeicher wird beim E-Mail Security Check nicht angelegt. Es bleiben der Auftragsdatensatz (24 Stunden, mit Ihrer IP-Adresse und Ihrem Browserkennzeichen), die Zusammenfassung in der Datenbank (90 Tage anonym / 400 Tage bei Kontobezug), das Domain-Verzeichnis (24 Monate) und die dauerhafte, nicht personenbezogene Nutzungsstatistik.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO i.V.m. Erwägungsgrund 49 DSGVO (Netz- und Informationssicherheit). Berechtigtes Interesse: Bereitstellung der E-Mail-Security-Analyse für die vom Nutzer aktiv eingegebene Domain.

4.3 API Security Check

Zweck: Analyse von API-Sicherheitseinstellungen (CORS, Authentication, Rate-Limiting, Header-Konfiguration, bekannte Schwachstellen) eines API-Endpunkts.

Vom Nutzer eingegebene Daten:

• API-URL oder Domain-Name

Datenfluss: Wie beim Web Security Check; der Scanner-Server kontaktiert den API-Endpunkt direkt. Die Zielseite sieht nur die IP-Adresse unseres Scanners. Es werden keine Authentifizierungsdaten übermittelt.

Speicherdauer: Beim API Security Check entsteht keine Zeile in unserer Scan-Datenbank und kein 7-tägiger Ergebnis-Zwischenspeicher. Es bleiben der Auftragsdatensatz im Zwischenspeicher (24 Stunden, mit Ihrer IP-Adresse und Ihrem Browserkennzeichen), der Tageszähler des Rate-Limitings (25 Stunden) sowie die dauerhafte anonyme Aufrufzählung (Werkzeug und Domain-Endung, ohne vollständige Domain und ohne Bezug zu Ihnen).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO i.V.m. Erwägungsgrund 49 DSGVO (Netz- und Informationssicherheit). Berechtigtes Interesse: Bereitstellung der API-Security-Analyse für den vom Nutzer aktiv eingegebenen API-Endpunkt.

4.4 Gemeinsame Aspekte der Tools

• Keine Nutzer-IP an Zielseiten: Die von Ihnen analysierten Websites/Domains sehen nur die IP-Adresse unserer Scanner-Server, nicht Ihre persönliche IP-Adresse.
• Kein Account erforderlich: Die Tools können ohne Registrierung genutzt werden.
• Server-Logs: Unser Webserver führt ein Zugriffsprotokoll, das je Anfrage Zeitstempel, aufgerufene Adresse, Statuscode, Browserkennzeichen und Ihre IP-Adresse enthält. Die Protokolle werden täglich rotiert und nach 14 Tagen vollständig gelöscht. Eine vorherige Anonymisierung der IP-Adresse findet nicht statt. Die Anwendungsprotokolle der Scanner enthalten Zeitstempel, geprüfte Domain und Fehlercodes, jedoch keine Besucher-IP. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit, Fehleranalyse, Missbrauchsabwehr).

4.5 Scan-Report-Freischaltung (E-Mail-Gate)

Für den vollständigen Zugriff auf Scan-Ergebnisse ohne Registrierung bieten wir eine E-Mail-basierte Freischaltung an. Dabei wird Ihre E-Mail-Adresse zum Versand der Bestätigungs-E-Mail verarbeitet und im Anschluss ausschließlich verschlüsselt (AES-256-GCM) sowie als SHA-256-Hash zur Zuordnung gespeichert; im Klartext wird sie nicht persistiert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) sowie Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung). Die Zustellung des Reports ist nicht an eine Marketing-Einwilligung gekoppelt (Art. 7 Abs. 4 DSGVO) — die Newsletter-Checkbox ist freiwillig und für den Report-Erhalt ohne Bedeutung.

Security-Tipps und Produkt-Updates (Newsletter): Wenn Sie beim E-Mail-Gate die entsprechende Checkbox aktivieren, informieren wir Sie in unregelmäßigen Abständen per E-Mail über Sicherheits-Tipps, neue Tools und Funktionen von Wolf-Agents. Die Einwilligung wird im Double-Opt-In-Verfahren bestätigt: Sie erhalten eine separate Bestätigungs-E-Mail, und Ihre Einwilligung wird erst nach Klick auf den Bestätigungslink wirksam. Zum Nachweis der Einwilligung (Art. 7 Abs. 1 DSGVO, § 7 UWG) protokollieren wir den Zeitpunkt der Anmeldung und der Bestätigung, die jeweilige IP-Adresse sowie die Version des Einwilligungstextes. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — formlos an info@wolf-agents.com und, sobald wir Marketing-E-Mails versenden, zusätzlich über den Abmeldelink in jeder solchen E-Mail (Art. 7 Abs. 3 DSGVO). Nach einem Widerruf bewahren wir den Datensatz noch 6 Monate als Nachweis des Widerrufs auf und löschen ihn anschließend.

5. Kontaktaufnahme

5.1 Kontaktformular

Wenn Sie uns über das Formular kontaktieren, verarbeiten wir die von Ihnen übermittelten Pflicht- und freiwilligen Angaben (Name, E-Mail-Adresse, Nachricht sowie optional Unternehmen, Telefonnummer oder Projektdetails) zur Bearbeitung Ihres Anliegens bzw. zur Anbahnung eines Vertrags. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Kommunikation).

Wir verwenden ein Double-Opt-In-Verfahren: Nach Absenden der Anfrage erhalten Sie eine Bestätigungs-E-Mail. Bis zur Bestätigung speichern wir das zugehörige Token pseudonymisiert in einem Redis-Zwischenspeicher auf unserem eigenen Server bei Hetzner Online GmbH (Deutschland) mit einer Speicherdauer von 48 Stunden.

5.2 Bot- und Spam-Schutz (Proof-of-Work)

Zum Schutz vor automatisierten Formular-Missbräuchen setzen wir ein eigenes Proof-of-Work-Verfahren ein, das vollständig auf unserer eigenen Infrastruktur läuft. Dabei löst der Browser des Nutzers eine kleine Rechenaufgabe. Es werden keine personenbezogenen Daten erhoben.

Zur Verifizierung übermittelt Ihr Browser lediglich:

• Das berechnete Proof-of-Work-Ergebnis
• Einen einmalig-gültigen Token (verfällt nach Verwendung)

Das Verfahren setzt keine Cookies, speichert keine IP-Adressen und überträgt keine Daten an Dritte. Die gesamte Verarbeitung erfolgt auf unserer eigenen europäischen Infrastruktur. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im Schutz unserer Formulare vor automatisiertem Missbrauch (Bots, Spam) und der Sicherstellung der Verfügbarkeit unserer Dienste. Da das Verfahren ohne Cookies und ohne personenbezogene Daten arbeitet, ist der Eingriff in die Rechte der Nutzer minimal.

5.3 Serverseitiges Rate-Limiting

Zur Abwehr massenhafter Formularanfragen speichern wir kurzzeitige Zähler pro IP-Adresse und Zeitfenster in einem Redis-Zwischenspeicher auf unserem eigenen Server bei Hetzner Online GmbH (Deutschland). Die Frist richtet sich nach dem jeweiligen Endpunkt und reicht von 60 Sekunden (Bot-Schutz) über 60 Minuten (Formulare, E-Mail-Gate) bis zu 25 Stunden (Tageskontingent der Scan-Werkzeuge). Die Einträge werden nach Ablauf der jeweiligen Frist automatisch gelöscht; eine weitergehende Profilbildung findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Aufrechterhaltung der Dienstqualität, dem Schutz vor Denial-of-Service-Angriffen und der Gewährleistung einer fairen Nutzung für alle Besucher. Da nur ein temporärer Zähler und keine personenbezogenen Profile gespeichert werden und die Einträge längstens nach 25 Stunden automatisch verfallen, überwiegen diese Sicherheitsinteressen.

5.4 Validierung von E-Mail-Adressen (ZeroBounce)

Zur Vermeidung fehlerhafter oder missbräuchlicher Kontaktaufnahmen prüfen wir eingegebene E-Mail-Adressen automatisiert über ZeroBounce (ZeroBounce Ltd., 44 Broadway, London E15 1XH, UK). Die Verarbeitung erfolgt am EU-Endpoint des Anbieters; aufgrund des Sitzes von ZeroBounce in London handelt es sich gleichwohl um einen Drittlandtransfer i.S.d. Art. 44 ff. DSGVO. Dieser ist abgesichert durch (a) den Angemessenheitsbeschluss der EU-Kommission für das Vereinigte Königreich (Durchführungsbeschluss (EU) 2021/1772 vom 28. Juni 2021, derzeit in Verlängerung über den ursprünglichen Auslaufzeitpunkt 27. Juni 2025 hinaus) sowie ergänzend (b) EU-Standardvertragsklauseln (Modul Verantwortlicher → Auftragsverarbeiter, Durchführungsbeschluss (EU) 2021/914) als Rückfall-Mechanismus. Übermittelt werden die E-Mail-Adresse und ggf. technische Metadaten wie die IP-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Sicherstellung valider Kommunikation, der Vermeidung von Spam-Fallen und der Reduzierung von Bounce-Raten, die unserer E-Mail-Reputation schaden könnten. Da lediglich die technische Gültigkeit der E-Mail-Adresse geprüft wird (keine Inhaltsanalyse), überwiegen diese Interessen. ZeroBounce agiert als Auftragsverarbeiter; es bestehen ein Auftragsverarbeitungsvertrag sowie EU-Standardvertragsklauseln. Informationen: https://www.zerobounce.net/privacy-policy.html.

5.5 E-Mail-Versand und Archivierung (Scaleway TEM, Tuta)

Nach erfolgreicher Prüfung versenden wir Ihre Nachricht über Scaleway Transactional Email (Scaleway SAS, 8 rue de la Ville l'Évêque, 75008 Paris, Frankreich) in der Region fr-par (Paris). Unsere Postfächer betreiben wir mit Tuta (Tutao GmbH, Deisterstraße 17a, 30449 Hannover, Deutschland); E-Mails werden Ende-zu-Ende verschlüsselt gespeichert. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) sowie Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten). Alle E-Mail-Dienste werden ausschließlich auf europäischen Servern betrieben.

Kein E-Mail-Tracking: Scaleway Transactional Email bietet keine Open-Tracking-Pixel und kein Click-Tracking-Rewriting an. In den von uns versendeten E-Mails werden daher weder unsichtbare Tracking-Pixel eingebettet noch Links über einen Tracking-Redirect umgeschrieben. Wir erfahren technisch nicht, ob, wann oder wie oft Sie eine E-Mail geöffnet oder einen darin enthaltenen Link angeklickt haben. Wir erhalten lediglich technische Zustellinformationen wie Bounces oder Soft-Failures, soweit diese vom Empfänger-Mailserver an Scaleway zurückgemeldet werden — diese dienen ausschließlich der Sicherstellung der Zustellbarkeit.

5.6 Alternative Kontaktwege

Bei einer Kontaktaufnahme per E-Mail oder Telefon verarbeiten wir die von Ihnen bereitgestellten Kommunikationsdaten auf denselben Rechtsgrundlagen und zu den oben genannten Zwecken.

6. Registrierung & Benutzerkonto

Bei der Registrierung verarbeiten wir: Name, E-Mail-Adresse und Passwort. Das Passwort wird ausschließlich als kryptographischer Hash gespeichert (bcrypt). Optional können Firmenname, USt-IdNr. und Rechnungsadresse hinterlegt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

6.1 Passwort-Sicherheitsprüfung (HaveIBeenPwned)

Bei Registrierung und Passwortänderung prüfen wir, ob das gewählte Passwort in bekannten Datenlecks vorkommt. Dazu wird ein SHA-1-Hash des Passworts erzeugt und nur die ersten 5 Zeichen (k-Anonymity-Verfahren) an die API von HaveIBeenPwned (Troy Hunt, Australien via Cloudflare CDN) übermittelt. Ihr Passwort wird niemals im Klartext übertragen. Es handelt sich nicht um einen Drittlandtransfer personenbezogener Daten, da nur ein nicht-rückrechenbarer Hash-Prefix übertragen wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz Ihres Kontos vor kompromittierten Passwörtern).

6.2 Sessions & Geräteerkennung

Bei jedem Login speichern wir eine Session mit: IP-Adresse, User-Agent (Browser/Betriebssystem) und Zeitstempel. Sessions sind 24 Stunden gültig. Zur Erkennung neuer Geräte führen wir eine Liste bekannter Geräte (Browser, Betriebssystem, IP-Adresse). Bei Login von einem unbekannten Gerät erhalten Sie eine Sicherheitsbenachrichtigung per E-Mail. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz Ihres Kontos). Sie können aktive Sessions und bekannte Geräte jederzeit unter Einstellungen > Sicherheit einsehen und beenden.

6.3 E-Mail-Verifizierung

Bei der Registrierung senden wir eine Bestätigungs-E-Mail. Der Verifizierungscode wird mit einer Gültigkeitsdauer von 24 Stunden gespeichert und nach Ablauf automatisch gelöscht.

7. Monitoring-Plattform

Registrierte Nutzer können Domains für automatisches Security-Monitoring hinterlegen. Dabei verarbeiten wir:

• Domain-Daten: Domain-Name, DNS-Konfiguration, SSL-Zertifikate, Security-Header, E-Mail-Sicherheitseinstellungen, Uptime-Status
• Scan-Ergebnisse: Security-Scores, Bewertungen, erkannte Änderungen
• Alert-E-Mails: Empfängeradresse und Zeitpunkt der Zustellung

Speicherdauer: Während aktiver Subscription bis zu 90 Tage (Rolling Retention). Nach Kündigung 90 Tage, dann automatische Löschung. Sofortige Löschung jederzeit über Account-Löschung möglich (Art. 17 DSGVO).

Alert-Abmeldung: Jede Monitoring-E-Mail enthält einen individuellen Abmeldelink (RFC 8058 One-Click-Unsubscribe). Die Abmeldung kann jederzeit im Dashboard rückgängig gemacht werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

8. Kostenlose Testphase aktuell nicht aktiv

Keine kostenlose Testphase aktiv: Wolf-Agents bietet derzeit keine kostenlose Testphase mit hinterlegter Zahlungsmethode an. Im paid-only Self-Service-Launch werden bei Abschluss eines kostenpflichtigen Abonnements die in Sektion 7 und Sektion 10 beschriebenen Vertrags- und Zahlungsdaten verarbeitet.

Es werden aktuell keine Trial-Ende-Erinnerungen verarbeitet oder versendet. Sollte später eine kostenlose Testphase eingeführt werden, wird diese Datenschutzerklärung vor Aktivierung um Zweck, Datenkategorien, Rechtsgrundlage, Erinnerungsprozess und Speicherdauer ergänzt.

Monitoring-Daten aus kostenpflichtigen Abonnements unterliegen den regulären Aufbewahrungs- und Löschfristen aus Sektion 15.

9. Team-Accounts, Organisationen und Workspaces

Nutzer können Organisationen und innerhalb dieser Workspaces erstellen sowie Mitglieder per E-Mail einladen. Bei der Einladung speichern wir die E-Mail-Adresse und einen gehashten Einladungstoken. Einladungen verfallen nach 7 Tagen und werden automatisch gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

9.1 Daten-Modell: Organisation und Workspace

Die Plattform nutzt ein zweistufiges Mandanten-Modell zur Trennung von Daten und Berechtigungen:

• Organisation (Subscriber): Die Organisation ist die vertragliche Einheit (Firma, Einzelunternehmer oder persönlicher Arbeitsbereich). Sie trägt die Subscription, das Billing und die rechtliche Verantwortung für die verarbeiteten Daten. In der Datenbank wird sie in der Tabelle organizations geführt.
• Workspace (Sub-Unit): Innerhalb einer Organisation können mehrere Workspaces erstellt werden, um Domains, Monitoring-Konfigurationen und Scan-Ergebnisse logisch zu bündeln (z. B. pro Endkunde eines MSP oder pro Projekt). In der Datenbank geführt in den Tabellen workspaces und workspace_member_overrides.
• Mitgliedschaft: Ein Nutzer kann in mehreren Organisationen und Workspaces Mitglied sein. Die Rolle (org_admin, org_member, workspace_admin, workspace_member, workspace_viewer) regelt den Zugriff. Im Allowlist-Modus kann der Zugriff eines Mitglieds auf bestimmte Workspaces beschränkt werden.

9.2 MSP-Szenario und dreistufige Auftragsverarbeitungs-Kette

Wenn ein Managed Service Provider (MSP) oder ein IT-Systemhaus die Plattform zur Erbringung von Dienstleistungen für eigene Endkunden nutzt, entsteht eine dreistufige Datenschutz-Kette:

• Endkunde des MSP ist Verantwortlicher (Art. 4 Nr. 7 DSGVO) für die in seinem Workspace verarbeiteten Daten.
• Der MSP ist Auftragsverarbeiter (Art. 28 DSGVO) gegenüber seinem Endkunden.
• Wolf-Agents ist Unter-Auftragsverarbeiter gegenüber dem MSP.

Die rechtliche Basis für diese Konstruktion bildet der Auftragsverarbeitungsvertrag (AVV) zwischen Wolf-Agents und der Organisation. Die Sub-Auftragsverarbeiter-Liste ist dauerhaft öffentlich einsehbar.

9.3 Daten-Trennung pro Workspace

Die Datenbank-Architektur stellt sicher, dass Daten eines Workspaces niemals in einen anderen Workspace oder eine andere Organisation gelangen können. Jede API-Abfrage wird sowohl organisations- als auch workspace-gefiltert, sofern der zugreifende Nutzer nicht explizit für den betreffenden Workspace berechtigt ist. Die technischen Maßnahmen sind im AVV, Anhang 1 (TOMs), Kategorie 7 Trennungskontrolle dokumentiert.

9.4 Eingeladene Workspace-Gäste

Bei Annahme einer Einladung akzeptiert der eingeladene Nutzer beim ersten Login die Nutzungsbedingungen für eingeladene Nutzer. Diese regeln die Rechte und Pflichten der Nutzer gegenüber Wolf-Agents, während die vertragliche Hauptbeziehung (Subscription, Billing) zwischen Wolf-Agents und der einladenden Organisation besteht.

Rechte eingeladener Nutzer bei Account-Löschung: Löscht ein eingeladener Nutzer seinen persönlichen Account, werden sein Profil und seine Mitgliedschaften entfernt. Die Daten des Workspaces (Scan-Ergebnisse, Monitoring-Konfigurationen) bleiben bei der Organisation, da diese als Verantwortlicher fungiert. Der Audit-Log wird anonymisiert (Benutzer-ID auf NULL gesetzt) und bleibt zur Nachweisführung sicherheitsrelevanter Vorgänge erhalten (Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; ergänzend ggf. Art. 6 Abs. 1 lit. c DSGVO bei künftigen Pflichten aus dem deutschen NIS2-Umsetzungsgesetz).

9.5 Rechtsgrundlagen

Die Verarbeitung im Organisations- und Workspace-Kontext erfolgt auf folgenden Grundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung gegenüber der Organisation), Art. 28 DSGVO (Auftragsverarbeitung für Workspace-Daten) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Datensicherheit, Mandantentrennung und Audit-Nachvollziehbarkeit).

10. Zahlungsabwicklung (Stripe)

Aktueller Status (Pre-Launch): Während der Pre-Launch-Phase (Closed Beta) ist die Stripe-Integration ausschließlich im Test-Modus aktiviert. Es werden keine realen Zahlungen abgewickelt und keine Zahlungsdaten an Stripe in den USA übermittelt. Die nachfolgenden Ausführungen beschreiben die Verarbeitung im regulären Betrieb nach dem Public Launch; sie greifen erst, sobald kostenpflichtige Abonnements freigeschaltet werden.

Für die Abwicklung kostenpflichtiger Abonnements nutzen wir Stripe (Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland / Stripe, Inc., 354 Oyster Point Blvd, South San Francisco, CA 94080, USA). Bei Abschluss eines Abonnements werden Sie auf die Checkout-Seite von Stripe weitergeleitet. Wir übermitteln dabei:

• E-Mail-Adresse und Name
• Gewählter Tarif und Preis

Zahlungsdaten (Kreditkartennummer, IBAN etc.) werden ausschließlich von Stripe verarbeitet und niemals auf unseren Servern gespeichert. Wir speichern lediglich die Stripe-Kunden-ID und Abonnement-ID. Für die Zahlungsabwicklung agiert Stripe als eigenständig Verantwortlicher (Art. 4 Nr. 7 DSGVO); für die zugeordneten Subscription-Metadaten in unserer Plattform agiert Stripe als Auftragsverarbeiter nach Art. 28 DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Bei Konto-Löschung werden Ihre Daten bei Stripe automatisch gelöscht. Datenschutzinformationen: https://stripe.com/de/privacy.

Drittlandtransfer: Soweit personenbezogene Daten an die Muttergesellschaft Stripe, Inc. in den USA übermittelt werden, erfolgt dies auf Grundlage des EU-US Data Privacy Framework (DPF, Durchführungsbeschluss (EU) 2023/1795 der EU-Kommission vom 10. Juli 2023). Stripe, Inc. ist unter dem DPF zertifiziert. Sollte das DPF durch den EuGH für ungültig erklärt werden oder seine Selbstzertifizierung erlöschen, basiert der Drittlandtransfer als Rückfall-Mechanismus auf den EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Modul Verantwortlicher → Verantwortlicher bzw. Modul Verantwortlicher → Auftragsverarbeiter, je nach Verarbeitungsrolle).

11. Warteliste

Die Anmeldung zur Warteliste erfolgt im Double-Opt-In-Verfahren: Nach Eingabe Ihrer E-Mail-Adresse erhalten Sie eine Bestätigungs-E-Mail. Erst nach Klick auf den Bestätigungslink wird Ihre Anmeldung gespeichert. Bis zur Bestätigung werden Ihre Daten verschlüsselt (AES-256-GCM) in einem Redis-Speicher mit einer Gültigkeitsdauer von 48 Stunden zwischengespeichert. Nach der Bestätigung speichern wir Ihre E-Mail-Adresse, den Zeitpunkt der Anmeldung sowie die bei der Anmeldung verwendete IP-Adresse (Nachweis des Double-Opt-Ins und Schutz vor missbräuchlichen Anmeldungen). Diese Daten verwenden wir ausschließlich, um Ihre Beta-Anmeldung zu prüfen, Ihren Zugang freizuschalten und Sie über die Verfügbarkeit unserer Plattform zu informieren; die Freischaltung erfolgt manuell durch uns. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können Ihre Anmeldung jederzeit widerrufen, indem Sie uns unter info@wolf-agents.com kontaktieren; Ihre Daten werden dann gelöscht.

Beta-Programm und Feedback-Kommunikation: Nach der Freischaltung und Registrierung nehmen Sie am Beta-Programm von Wolf-Agents teil. Im Rahmen dieses Teilnahmeverhältnisses kontaktieren wir Sie gelegentlich per E-Mail — etwa mit Rückfragen zu Ihrem Feedback, Hinweisen zu Änderungen an der Plattform oder Informationen zum Ablauf der Beta-Phase. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Beta-Teilnahmeverhältnisses, dem Sie bei der Registrierung zugestimmt haben). Diese Kommunikation ist keine Werbung und endet mit dem Beta-Programm oder der Löschung Ihres Kontos; Werbe-E-Mails versenden wir weiterhin nur mit gesonderter Einwilligung (siehe Abschnitt 4.5).

12. Audit-Log

Sicherheitsrelevante Aktionen (Login, Passwortänderung, Domain-Änderungen, Account-Löschung) werden in einem Audit-Log protokolliert. Der Audit-Log enthält die Benutzer-ID, Aktion, betroffene Ressource und Zeitstempel. Bei Account-Löschung wird die Benutzer-ID anonymisiert (auf NULL gesetzt), die Einträge bleiben als anonymisierte Sicherheitsdokumentation für höchstens 10 Jahre erhalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO i.V.m. Erwägungsgrund 49 DSGVO (berechtigtes Interesse an der Nachvollziehbarkeit sicherheitsrelevanter Vorgänge); ergänzend ggf. Art. 6 Abs. 1 lit. c DSGVO bei künftigen gesetzlichen Verpflichtungen aus dem deutschen NIS2-Umsetzungsgesetz (NIS2UmsuCG, Inkrafttreten zum Zeitpunkt der Drucklegung dieser Datenschutzerklärung noch nicht abschließend erfolgt). Sie können Ihren Audit-Log unter Dashboard > Aktivität einsehen.

13. Empfänger / Auftragsverarbeiter

Empfänger personenbezogener Daten sind ausschließlich die nachfolgend genannten Auftragsverarbeiter sowie interne Stellen:

Eine weitergehende Weitergabe erfolgt nur, wenn wir gesetzlich dazu verpflichtet sind oder Sie ausdrücklich eingewilligt haben. Kopien der geschlossenen Standardvertragsklauseln und Auftragsverarbeitungsverträge stellen wir auf Anfrage zur Verfügung.

14. Internationale Datenübermittlung

Unsere eigene Infrastruktur (Server, Datenbanken, Caches) befindet sich ausschließlich in der Europäischen Union. Die deutschen Anbieter Hetzner, netcup und Tuta verarbeiten Daten ausschließlich in Deutschland. Bunny.net (Slowenien) betreibt CDN-Edge-Server innerhalb der EU. Scaleway verarbeitet E-Mail-Daten in der EU-Region fr-par (Paris, Frankreich). Hostinger (Domain-Registrar) hat seinen Sitz in Zypern (EU).

Drittlandtransfers: Folgende Dienste verarbeiten Daten außerhalb der EU:

• Stripe (USA): Zahlungsdaten werden von Stripe Payments Europe Ltd. (Irland) verarbeitet, wobei eine Übermittlung an Stripe, Inc. (USA) stattfinden kann. Grundlage: EU-US Data Privacy Framework (DPF, Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023). Sollte der DPF-Beschluss durch den EuGH für ungültig erklärt werden, basiert der Transfer als Rückfall-Mechanismus auf den EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914). Details: stripe.com/de/privacy.
• ZeroBounce (UK): E-Mail-Validierung über den EU-Endpoint. Aufgrund des Sitzes von ZeroBounce in London handelt es sich um einen Drittlandtransfer. Grundlage: UK Adequacy Decision (Durchführungsbeschluss (EU) 2021/1772 vom 28. Juni 2021, derzeit in Verlängerung über den ursprünglichen Auslaufzeitpunkt 27. Juni 2025 hinaus) sowie ergänzend EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) als Rückfall-Mechanismus.
• Hostinger (Zypern, EU): Domain-Registrar für die Domain wolf-agents.com. Verarbeitet werden Domain-Inhaber-Daten (Name, Anschrift, E-Mail) gemäß ICANN-Vorgaben. Hostinger speichert diese Daten teilweise in einem ICANN-konformen Verzeichnis, das auch von ICANN (USA) eingesehen werden kann. Grundlage: Vertragliche Notwendigkeit nach Art. 6 Abs. 1 lit. c DSGVO i.V.m. ICANN-Vorgaben.
• hstspreload.org (USA, Chromium-Projekt): Beim Web Security Check — und ebenso bei jeder wiederkehrenden Prüfung einer im Dashboard überwachten Domain — fragt unser Server ab, ob die betreffende Domain in der HSTS-Preload-Liste der Browserhersteller steht. Übermittelt werden ausschließlich der geprüfte Domain-Name und die IP-Adresse unseres Servers — keine Daten über Sie: weder Ihre IP-Adresse noch Ihr Browserkennzeichen, und der Abruf erfolgt nicht aus Ihrem Browser. Soweit die geprüfte Domain im Einzelfall einer natürlichen Person zuzuordnen ist, stützen wir die Übermittlung auf Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung der Sicherheitsanalyse). Die Liste ist eine öffentlich abrufbare Ressource; ein Auftragsverarbeitungsverhältnis besteht nicht.

DNS-Auflösung: Namensauflösungen führen wir über unseren eigenen, vollständig rekursiven Resolver auf dem Server durch. Dieser fragt die zuständigen Nameserver unmittelbar ab; ein Drittanbieter-Resolver ist nicht zwischengeschaltet. Nur als Ausweichweg — wenn der eigene Resolver nicht antwortet oder eine technisch abgeschnittene Antwort liefert — nutzen wir den DNS-Dienst der Digitalen Gesellschaft (Schweiz). Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission; ein Drittlandtransfer im Sinne der Art. 44 ff. DSGVO liegt insoweit nicht vor. Übermittelt wird jeweils nur der abgefragte Domain-Name.

15. Speicherdauer

16. Ihre Rechte

Sie haben jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO) über Ihre verarbeiteten Daten
• Berichtigung (Art. 16 DSGVO) unrichtiger Daten — Sie können Ihre E-Mail-Adresse selbstständig über Ihr Dashboard ändern (Einstellungen > Profil). Nach Eingabe der neuen Adresse erhalten Sie eine Bestätigungs-E-Mail. Die Änderung wird erst nach Bestätigung wirksam.
• Löschung (Art. 17 DSGVO) Ihrer Daten — über Einstellungen > Konto löschen oder per E-Mail an info@wolf-agents.com
• Einschränkung (Art. 18 DSGVO) der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO) — Sie können Ihre Daten über Ihr Dashboard exportieren (Einstellungen > Gefahrenzone > Meine Daten exportieren). Der Export erfolgt in einem maschinenlesbaren JSON-Format.
• Widerspruch (Art. 21 DSGVO) gegen die Verarbeitung
• Widerruf (Art. 7 Abs. 3 DSGVO) erteilter Einwilligungen
• Beschwerde (Art. 77 DSGVO) bei einer Aufsichtsbehörde

Praktischer Hinweis: Registrierte Nutzer können ihre Daten über das Dashboard einsehen, berichtigen und exportieren. Bei Nutzung der Werkzeuge ohne Registrierung entstehen nur kurzlebige personenbezogene Daten: Ihre IP-Adresse und Ihr Browserkennzeichen verfallen nach 24 Stunden (Auftragsdatensatz) bzw. 25 Stunden (Rate-Limiting-Zähler), das Zugriffsprotokoll des Webservers nach 14 Tagen — in den Sicherungskopien nach längstens 30 Tagen (Abschnitt 19). Erst danach verbleibt ausschließlich die Scan-Zusammenfassung, die nur die geprüfte Domain nebst Bewertung enthält und keinen Bezug mehr zu Ihnen hat. Innerhalb der ersten 24 Stunden können Sie ein Auskunfts- oder Löschverlangen über die Scan-Kennung aus der Adresse Ihrer Ergebnisseite geltend machen. Haben Sie am E-Mail-Gate eine Adresse hinterlegt, wenden Sie sich formlos an info@wolf-agents.com — wir können den Datensatz anhand Ihrer Adresse jederzeit eindeutig zuordnen.

Zuständige Aufsichtsbehörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach. Eine Liste aller deutschen Datenschutzbeauftragten finden Sie unter: https://www.bfdi.bund.de/DE/Service/Anschriften/anschriften_node.html.

18. Automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DSGVO statt, die Ihnen gegenüber eine rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt. Klarstellung: Die automatisierten Sicherheitsbewertungen unserer Scan-Tools (Scores, Noten, Empfehlungen) entfalten keine rechtliche Wirkung gegenüber den geprüften Personen oder den Nutzern und stellen keine automatisierte Einzelentscheidung im Sinne von Art. 22 DSGVO dar. Die Ergebnisse dienen ausschließlich der Information; jede daraus folgende Maßnahme liegt im Ermessen des Nutzers.

19. Datensicherheit (TOMs nach Art. 32 DSGVO)

Wir treffen technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO, um Ihre personenbezogenen Daten gegen unbefugten Zugriff, Verlust, Veränderung oder Vernichtung zu schützen. Die Maßnahmen werden regelmäßig überprüft und an den Stand der Technik angepasst. Detailliert sind sie im AVV (/legal/avv, Anhang 1) dokumentiert; im Überblick:

• Transport-Verschlüsselung: Sämtliche Verbindungen erfolgen ausschließlich über TLS 1.2 und TLS 1.3 mit modernen Cipher-Suites und Forward Secrecy. HSTS-Preloading ist aktiviert; Mixed Content ist ausgeschlossen.
• Verschlüsselung im Ruhezustand: Sensitive personenbezogene Daten (E-Mail-Adressen im Scan-Report-Gate, Webhook-Secrets sowie Wartelisten-Daten während der Double-Opt-In-Zwischenspeicherung) werden mit AES-256-GCM verschlüsselt gespeichert. Datenbank-Backups werden vor der Übertragung an die Offsite-Speicherung verschlüsselt.
• Passwort-Sicherheit: Passwörter werden ausschließlich mit bcrypt (aktueller Cost-Faktor) gehasht und gegen die HaveIBeenPwned-Datenbank im k-Anonymity-Verfahren geprüft (siehe Sektion 6.1).
• Authentifizierung & Sessions: Sessions sind 24 Stunden gültig, werden serverseitig in Redis verwaltet und enthalten ausschließlich HttpOnly-, Secure- und SameSite=Lax-Cookies. Bei Login von einem unbekannten Gerät erfolgt eine Sicherheitsbenachrichtigung per E-Mail (siehe Sektion 6.2).
• Mandantentrennung: Die Plattform ist als Multi-Tenant-System mit organisations- und workspace-bezogener Zugriffstrennung umgesetzt. Jede API-Abfrage wird sowohl organisations- als auch workspace-gefiltert; rollenbasierte Berechtigungen (org_admin, org_member, workspace_admin, workspace_member, workspace_viewer) regeln den Zugriff (Sektion 9, AVV Anhang 1, Kategorie 7 Trennungskontrolle).
• Backup & Recovery: Tägliche verschlüsselte Backups (PostgreSQL + Redis + 15 Konfigurationen) um 03:00 UTC, 14 Tage lokal, 30 Tage Offsite (Hetzner Storage Box, Falkenstein). Wöchentliche Konfigurations-Backups (60 Tage Offsite). WAL-Archivierung mit Point-in-Time-Recovery (RPO ≤ 5 Minuten, RTO ~3 Stunden). Hinweis zur Transparenz: Die Sicherungen schließen den Zwischenspeicher mit ein. Kurzlebige Einträge — etwa der Scan-Auftragsdatensatz mit IP-Adresse und Browserkennzeichen — bleiben dadurch in den Sicherungskopien bis zu 14 Tage lokal und 30 Tage extern erhalten, also länger als im laufenden Betrieb. Auf eine Löschanfrage hin entfernen wir Daten im Produktivsystem unverzüglich; Sicherungskopien werden nicht einzeln bearbeitet, sondern laufen nach den genannten Fristen aus.
• Monitoring & Alerting: Modulare Health-Checks (13 Sub-Checks inkl. WAL-Archive-Lag und HMAC-Verschlüsselungs-Schlüssel), Cron-Heartbeat-Datei, Fehler-Eskalation per E-Mail an die Administratoren.
• Audit & Nachvollziehbarkeit: Sicherheitsrelevante Aktionen werden im Audit-Log protokolliert (siehe Sektion 12). PII werden vor Speicherung sanitisiert.
• Web-Application-Security: Hash- bzw. nonce-basierte Content Security Policy (CSP), Trusted Types, Subresource Integrity, dreistufiger CSRF-Schutz (SameSite=Lax + Content-Type-Check + Origin-Whitelist), Rate-Limiting pro IP und Endpoint, Proof-of-Work-Bot-Schutz auf öffentlichen Formularen.
• Infrastruktur-Härtung: Eigene Unbound-DNS-Resolver auf europäischer Infrastruktur, PgBouncer-Connection-Pooling, regelmäßige Sicherheitsupdates und automatisierte Dependency-Updates, isolierte Workload-Trennung (Website, Scanner, Monitor) auf separaten Systemen.
• Personelle Maßnahmen: Zugriff auf Produktionssysteme nur durch den Inhaber. Vertraulichkeit, Zugriff auf Need-to-know-Basis. Schulung in DSGVO-Anforderungen.

Die TOMs werden mindestens jährlich überprüft und nach jeder wesentlichen Änderung der Verarbeitung angepasst.

20. Unternehmensübergang

Im Falle einer Unternehmensumwandlung, Verschmelzung, Spaltung oder eines Unternehmensverkaufs können personenbezogene Daten im Rahmen des Betriebsübergangs an einen Rechtsnachfolger übermittelt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Fortführung des Geschäftsbetriebs). Dies umfasst auch einen Wechsel der Rechtsform des Verantwortlichen (z. B. Einzelunternehmen zu GmbH). Betroffene Personen werden gemäß Art. 13 Abs. 1 lit. e DSGVO über den neuen Verantwortlichen informiert.

21. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung wird bei Bedarf angepasst, etwa bei Änderungen unserer Website, neuen Funktionen oder geänderten rechtlichen Anforderungen. Die jeweils aktuelle Version ist stets unter /datenschutz abrufbar. Bei wesentlichen Änderungen — insbesondere bei neuen Verarbeitungszwecken, neuen Sub-Auftragsverarbeitern oder einer Ausweitung der Datenkategorien — informieren wir registrierte Nutzer aktiv per E-Mail an die hinterlegte Adresse, mindestens vier (4) Wochen vor Inkrafttreten der Änderung.

Stand: 11. August 2026