Datenschutzerklärung

Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer datenschutzrechtlicher Vorschriften ist:

Allgemeines zur Datenverarbeitung und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, soweit dies für einen klar festgelegten Zweck erforderlich ist und eine Rechtsgrundlage besteht. Je nach Verarbeitung stützen wir uns insbesondere auf:

Einwilligung

Art. 6 Abs. 1 lit. a DSGVO – etwa für optionale Statistik- und Analysefunktionen. Eine Einwilligung ist freiwillig und kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Vertrag und vorvertragliche Maßnahmen

Art. 6 Abs. 1 lit. b DSGVO – wenn die Verarbeitung zur Vertragsanbahnung oder Vertragserfüllung mit einer natürlichen Person erforderlich ist.

Rechtliche Verpflichtung

Art. 6 Abs. 1 lit. c DSGVO – etwa für handels- und steuerrechtliche Aufbewahrungspflichten oder den Nachweis einer erteilten Einwilligung.

Berechtigte Interessen

Art. 6 Abs. 1 lit. f DSGVO – etwa für einen sicheren, störungsfreien Website-Betrieb, die Abwehr von Missbrauch und die Bearbeitung von B2B-Anfragen. Wir berücksichtigen dabei stets Ihre entgegenstehenden Interessen und Rechte.

Die maßgebliche Rechtsgrundlage wird bei den einzelnen Verarbeitungsvorgängen nachfolgend konkret benannt. Die Grundsätze der Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit gelten für sämtliche Verarbeitungen.

Bereitstellung der Website, Hosting und Logfiles

Beim Aufruf dieser Website übermittelt Ihr Browser technisch notwendige Verbindungsdaten. Dazu können insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Seite oder Datei, übertragene Datenmenge, Referrer, Browsertyp, Betriebssystem und Browserkennung gehören. Die Verarbeitung dient der Auslieferung der Website, der Stabilität, der Fehleranalyse sowie der Erkennung und Abwehr von Angriffen.

Die Website wird technisch über OpenAI Sites und Infrastruktur von Cloudflare bereitgestellt. Die Dienstleister können Verbindungs- und Sicherheitsdaten im Rahmen der Leistungserbringung verarbeiten.

Cookies, lokale Speichertechnologien und Consent-Management

Technisch notwendige Technologien

Für den sicheren Betrieb, die Speicherung Ihrer Datenschutz-Auswahl und den lokalen Bearbeitungsstand des NIS2-Assessments werden technisch notwendige Browser-Speichertechnologien eingesetzt. Der Zugriff auf den lokalen Speicher ist erforderlich, um den von Ihnen ausdrücklich gewünschten Dienst bereitzustellen. Rechtsgrundlage hierfür ist § 25 Abs. 2 Nr. 2 TDDDG; soweit personenbezogene Daten verarbeitet werden, zusätzlich Art. 6 Abs. 1 lit. f DSGVO. Der Nachweis Ihrer Einwilligungsentscheidung erfolgt zur Erfüllung der Rechenschaftspflichten nach Art. 6 Abs. 1 lit. c in Verbindung mit Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO.

• Consent-Auswahl im Browser: 180 Tage
• Consent-Nachweis auf dem Server: drei Jahre
• Gespeicherte Nachweisdaten: Entscheidungs-ID, Zeitpunkt, Consent-Version, Aktion und gewählte Kategorien
• Lokaler Assessment-Zwischenstand: bis zum Zurücksetzen durch Sie oder zum Löschen der Browserdaten

Statistik und Analyse

Erst nach Ihrer aktiven Zustimmung zur Kategorie „Statistik/Analyse“ werden für die interne Zugriffsstatistik Zeitpunkt, aufgerufene Seite, eine zufällige Sitzungskennung, Source-IP, daraus abgeleitete ungefähre Orts- und Regionsdaten, Browserkennung und Referrer verarbeitet. Interne Seiten und technische API-Aufrufe sind ausgeschlossen. Die Ortsbestimmung kann bei VPN, Mobilfunk oder Unternehmens-Gateways ungenau sein.

Marketing und externe Medien

Derzeit werden keine Marketing-Pixel und keine direkt eingebetteten externen Medien eingesetzt. Entsprechende Technologien würden erst nach Ihrer Einwilligung geladen. Externe Links übertragen Daten an den jeweiligen Anbieter erst, wenn Sie den Link aktiv öffnen. Bei einer künftigen Aktivierung werden Anbieter, Zweck, Speicherdauer und Drittlandtransfer ergänzt und eine neue Auswahl eingeholt.

Kontaktaufnahme per E-Mail, Telefon und Kontaktformular

E-Mail und Telefon

Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Kontaktdaten, den Inhalt Ihrer Nachricht und alle freiwillig mitgeteilten Informationen, um Ihre Anfrage zu bearbeiten. Zielt die Anfrage auf einen Vertrag mit Ihnen als natürlicher Person, ist Art. 6 Abs. 1 lit. b DSGVO die Rechtsgrundlage. Bei geschäftlichen Ansprechpartnern eines Unternehmens erfolgt die Verarbeitung regelmäßig auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der sachgerechten B2B-Kommunikation. Gesetzliche Pflichten können zusätzlich Art. 6 Abs. 1 lit. c DSGVO begründen.

Ohne anschließenden Vertrag löschen wir die Daten, sobald die Anfrage abschließend bearbeitet ist und keine gesetzlichen Pflichten oder berechtigten Gründe für eine weitere Speicherung bestehen.

Kontaktformular

Die Website stellt derzeit kein serverseitig versendendes Kontaktformular bereit. Wird künftig ein Kontaktformular aktiviert, sind typischerweise Name, geschäftliche Kontaktdaten, Unternehmen, Nachricht, Zeitpunkt und technische Sicherheitsdaten betroffen. Die Verarbeitung richtet sich dann nach Art. 6 Abs. 1 lit. b oder lit. f DSGVO entsprechend dem vorstehenden Abschnitt.

Vertragsanbahnung und Durchführung von IT-Leistungen

Im Rahmen von Angeboten, Projekten und Verträgen – etwa für IT-Support, Security Consulting, Hosting, Cloud-Services, Assessments oder Managed Services – verarbeiten wir die zur Anbahnung und Durchführung erforderlichen Daten. Dazu können Stamm- und Kontaktdaten, Kommunikations- und Vertragsdaten, Abrechnungsdaten, Support-Tickets, System- und Berechtigungsinformationen sowie projektbezogene technische Protokolle gehören.

Ist die betroffene Person selbst Vertragspartner, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Bei Beschäftigten, Ansprechpartnern und Erfüllungsgehilfen eines Unternehmenskunden stützen wir die Verarbeitung regelmäßig auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die ordnungsgemäße Anbahnung, Organisation und Erfüllung des Geschäftsverhältnisses. Abrechnungs- und Nachweispflichten beruhen ergänzend auf Art. 6 Abs. 1 lit. c DSGVO.

Soweit SecureIQ im Auftrag eines Kunden personenbezogene Daten verarbeitet, handelt SecureIQ nicht als eigener Verantwortlicher, sondern als Auftragsverarbeiter. Die Einzelheiten werden in einem Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO einschließlich technischer und organisatorischer Maßnahmen geregelt.

NIS2-Assessment und PDF-Export

Das NIS2-Assessment kann zunächst lokal im Browser bearbeitet werden. Der Zwischenstand verbleibt auf Ihrem Gerät, bis Sie ihn zurücksetzen oder die Browserdaten löschen. Beim PDF-Export werden die eingegebene E-Mail-Adresse, eine Sitzungskennung, die Antworten und Bewertungen, das Gesamtergebnis, Zeitpunkt, Source-IP, ungefähre Region sowie der erzeugte PDF-Bericht serverseitig gespeichert. Die Daten sind ausschließlich in einem geschützten internen Bereich einsehbar.

Die Verarbeitung erfolgt zur Bereitstellung des von Ihnen angeforderten Exports auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO beziehungsweise – soweit noch kein Vertragsverhältnis angebahnt wird – Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der sicheren Bereitstellung, Zuordnung und Nachvollziehbarkeit des angeforderten Ergebnisses. Die gesonderte Zugriffsstatistik des Assessments wird nur nach Einwilligung gemäß § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO geführt und nach 90 Tagen gelöscht.

Empfänger, Auftragsverarbeitung und Subunternehmer

Wir geben personenbezogene Daten nur weiter, wenn dies für die genannten Zwecke erforderlich ist, eine gesetzliche Pflicht besteht oder Sie eingewilligt haben. Empfänger können Hosting- und Rechenzentrumsanbieter, Cloud- und Software-Anbieter, Kommunikationsdienste, IT-Support, Steuerberatung, Banken sowie zuständige Behörden sein.

Dienstleister, die Daten weisungsgebunden in unserem Auftrag verarbeiten, werden sorgfältig ausgewählt. Mit ihnen werden Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen. Unterauftragsverarbeiter dürfen nur unter den vertraglich vereinbarten Voraussetzungen eingesetzt werden.

Datenübermittlungen in Drittländer

Bei der Nutzung internationaler IT- und Cloud-Dienste kann nicht ausgeschlossen werden, dass personenbezogene Daten außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums verarbeitet oder von dort aus zugänglich werden. Dies kann insbesondere die USA betreffen.

Eine Übermittlung erfolgt nur unter Beachtung der Art. 44 ff. DSGVO. Als Grundlage kommen insbesondere ein Angemessenheitsbeschluss der Europäischen Kommission – für entsprechend zertifizierte US-Unternehmen das EU-US Data Privacy Framework – oder die EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO in Betracht. Soweit erforderlich, werden das Schutzniveau bewertet und ergänzende technische und organisatorische Maßnahmen vereinbart.

Optionale Anbieter-Module

Informationen zu den jeweils eingesetzten Garantien und eine Kopie oder Zusammenfassung der maßgeblichen Schutzvorkehrungen können Sie unter kontakt@secureiq.de anfordern.

Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie dies für den jeweiligen Zweck erforderlich ist. Danach werden sie gelöscht oder anonymisiert, sofern keine gesetzlichen Aufbewahrungspflichten, laufenden Rechtsansprüche oder andere rechtlich zulässige Gründe entgegenstehen.

Geschäfts- und steuerrelevante Unterlagen können nach HGB und AO – abhängig von der Art des Dokuments – sechs, acht oder zehn Jahre aufzubewahren sein. Während dieser Zeit wird die Verarbeitung auf den Aufbewahrungszweck beschränkt. Verjährungsfristen können im Einzelfall eine längere Sicherung relevanter Unterlagen rechtfertigen.

• Interne Zugriffsstatistik: 90 Tage
• Consent-Auswahl im Browser: 180 Tage
• Consent-Nachweis: drei Jahre
• Kontakt- und Vertragsdaten: bis zur Zweckerfüllung, danach entsprechend gesetzlicher Pflichten
• NIS2-Assessment-Exporte: [INDIVIDUELLE LÖSCHFRIST FESTLEGEN]

Ihre Datenschutzrechte

Soweit die gesetzlichen Voraussetzungen vorliegen, haben Sie gegenüber uns folgende Rechte:

• Auskunft über Ihre verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger oder unvollständiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO (Art. 21 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte genügt eine Nachricht an kontakt@secureiq.de. Bei begründeten Zweifeln an Ihrer Identität dürfen wir zusätzliche Informationen zur Identitätsprüfung anfordern.

Beschwerderecht bei der Aufsichtsbehörde

Sie haben nach Art. 77 DSGVO das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für SecureIQ ist insbesondere folgende Behörde zuständig:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Telefon: +49 (0) 981 180093-0
www.lda.bayern.de

Datensicherheit, Bereitstellungspflicht und Entscheidungen

Datensicherheit

Wir setzen angemessene technische und organisatorische Maßnahmen ein, um personenbezogene Daten vor Verlust, Veränderung, unbefugtem Zugriff und sonstigem Missbrauch zu schützen. Dazu gehören insbesondere verschlüsselte Übertragung, Zugriffsschutz, Berechtigungskonzepte, Protokollierung und regelmäßige Überprüfung der Schutzmaßnahmen.

Pflicht zur Bereitstellung

Beim Besuch der Website müssen lediglich die technisch erforderlichen Verbindungsdaten bereitgestellt werden. Optionale Statistik- und Analysefunktionen können abgelehnt werden. Für Verträge müssen diejenigen Daten bereitgestellt werden, die für Abschluss, Durchführung und Abrechnung erforderlich sind. Ohne diese Daten kann die jeweilige Leistung gegebenenfalls nicht erbracht werden.

Automatisierte Entscheidungen

Es findet keine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt. Das Ergebnis des NIS2-Assessments ist eine regelbasierte Selbsteinschätzung und entfaltet keine rechtliche oder vergleichbar erhebliche Wirkung.

Aktualisierung dieser Datenschutzerklärung

Wir aktualisieren diese Datenschutzerklärung, wenn sich Verarbeitungen, eingesetzte Dienste oder rechtliche Anforderungen ändern. Die jeweils aktuelle Fassung ist jederzeit unter secure-iq.de/datenschutz erreichbar. Werden neue einwilligungspflichtige Dienste eingeführt, wird das Consent-Management entsprechend angepasst und erforderlichenfalls eine neue Einwilligung eingeholt.