Datenschutzhinweise

Stand: Oktober 2026

Diese Datenschutzhinweise informieren Sie gemäß Art. 13 und 14 DSGVO über die Verarbeitung personenbezogener Daten bei der Nutzung von zursicherheit (app.zursicherheit.eu), einer webbasierten Anwendung für Informationssicherheit und Datenschutz in Organisationen.

1. Verantwortlicher

Andreas Gehret
Hauptstraße 4
83119 Obing
E-Mail: app@zursicherheit.eu

2. Verarbeitete Daten

2.1 Benutzerkonto und Anmeldung

Für die Bereitstellung der Anwendung verarbeiten wir die Angaben der Benutzer und die Daten, die für eine sichere Anmeldung nötig sind. Passwörter und Backup-Codes speichern wir nur als bcrypt-Hash, das Geheimnis für Einmalcodes (TOTP) verschlüsselt. Von Passkeys speichern wir nur den öffentlichen Schlüssel.

Name, E-Mail-Adresse, Telefonnummer (optional)
Name der Organisation bzw. des Büros, Rolle und Perspektive (ISB, DSB)
Passwort (als bcrypt-Hash), TOTP-Geheimnis (verschlüsselt), Backup-Codes (als bcrypt-Hash)
Passkeys (öffentlicher Schlüssel, Bezeichnung, letzte Nutzung)
Sitzungen: Anmeldeverfahren, IP-Adresse, Browserkennung (User-Agent), Zeitpunkte
Einladungen, Bestätigung der E-Mail-Adresse, letzte Anmeldung

2.2 Daten der betreuten Organisationen (von Benutzern erfasst)

Benutzer erfassen Angaben zu den Organisationen, die sie betreuen. Diese Daten speichern wir verschlüsselt, mit einem eigenen Schlüssel je Konto, und strikt getrennt von anderen Konten.

Organisationen: Name, Anschrift, Datenschutzrecht, Rechtsgrundlage
Ansprechpartner: Name, Position, Telefonnummer, E-Mail-Adresse
Domains und Websites sowie die Ergebnisse ihrer Prüfungen
Verarbeitungsverzeichnis, Auftragsverarbeitungen und Klärungspunkte (Freitext)
Prüfberichte, Prüfkataloge und Bewertungen von Befunden

2.3 Protokoll

Änderungen an Daten und sicherheitsrelevante Ereignisse (z. B. Anmeldungen) werden nachvollziehbar und unveränderlich protokolliert, verschlüsselt wie die übrigen Daten des Kontos.

Handelnder Benutzer, Art des Ereignisses, Zeitpunkt
Geänderte Angaben (vorher und nachher)
IP-Adresse

2.4 Server-Protokolldaten

Beim Zugriff auf die Anwendung werden technische Verbindungsdaten automatisch protokolliert.

IP-Adresse des Endgeräts
Zeitpunkt des Zugriffs
Aufgerufene Adresse (URL, HTTP-Methode) und HTTP-Statuscode

2.5 Cookies

Wir setzen nur technisch notwendige Cookies: ein Cookie für die Sitzung nach der Anmeldung und ein Cookie zum Schutz von Formularen (CSRF). Es gibt keine Analyse-, Tracking- oder Werbe-Cookies und keine eingebundenen Dienste Dritter im Browser.

3. Zwecke und Rechtsgrundlagen

Zweck	Rechtsgrundlage
Bereitstellung und Betrieb der Anwendung	Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Benutzerverwaltung, Anmeldung und Zwei-Faktor-Authentifizierung	Art. 6 Abs. 1 lit. b DSGVO
Versand von E-Mails (Einladungen, Bestätigung der E-Mail-Adresse, Passwort zurücksetzen)	Art. 6 Abs. 1 lit. b DSGVO
Speicherung und Auswertung der Daten betreuter Organisationen im Auftrag der Benutzer	Art. 6 Abs. 1 lit. b DSGVO i. V. m. Art. 28 DSGVO (Auftragsverarbeitung)
Protokoll von Änderungen und Sicherheitsereignissen	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Nachvollziehbarkeit und Sicherheit)
Server-Protokollierung	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Betrieb und Sicherheit)
Technisch notwendige Cookies	§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO

4. Auftragsverarbeitung

Soweit Benutzer in zursicherheit personenbezogene Daten Dritter erfassen (z. B. Ansprechpartner oder Angaben im Verarbeitungsverzeichnis), sind sie bzw. die von ihnen betreuten Organisationen Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. zursicherheit verarbeitet diese Daten ausschließlich auf ihre Weisung als Auftragsverarbeiter gemäß Art. 28 DSGVO. Einen Auftragsverarbeitungsvertrag (AVV) erhalten Sie auf Anfrage unter app@zursicherheit.eu.

5. Empfänger und Drittlandübermittlungen

Wir geben personenbezogene Daten nur weiter, soweit das für die Erbringung des Dienstes erforderlich ist. Folgende Auftragsverarbeiter setzen wir ein:

Auftragsverarbeiter	Zweck	Standort	Schutzmaßnahme
Hetzner Online GmbH	Betrieb der Anwendung und Datenspeicherung	Deutschland	Kein Drittlandtransfer
Postmark (Wildbit LLC, ein Unternehmen von ActiveCampaign)	Versand von E-Mails (Name und E-Mail-Adresse der Empfänger, Inhalt der E-Mail)	USA	Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO
OpenAI	KI-gestützte Auswertungen, die Benutzer auslösen oder einplanen: Texte von Impressum und Datenschutzerklärung geprüfter Websites, Angaben einzelner Verarbeitungstätigkeiten (ohne Namen der Organisation) und Bezeichnungen von Tätigkeiten. Keine Kontodaten der Benutzer.	USA	Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO

Beim Festlegen eines Passworts prüfen wir, ob es in bekannten Datenlecks vorkommt. Dazu übermitteln wir nur die ersten fünf Zeichen seines SHA-1-Hashwerts an den Dienst Pwned Passwords (k-Anonymität); das Passwort selbst und Angaben zur Person verlassen unseren Server nicht.

6. Speicherdauer

Wir löschen personenbezogene Daten, sobald der Zweck der Speicherung entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Daten	Speicherdauer
Benutzerkonto	Bis zur Löschung des Benutzers oder Schließung des Kontos
Sitzungen	Bis zur Abmeldung
Daten betreuter Organisationen	Bis zur Löschung durch die Benutzer oder Schließung des Kontos
Protokoll	Bis zur Schließung des Kontos
Server-Protokolldaten	Maximal 90 Tage

7. Ihre Rechte als betroffene Person

Sie haben gegenüber dem Verantwortlichen folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über die von uns verarbeiteten personenbezogenen Daten, deren Herkunft, Empfänger und Verarbeitungszweck verlangen.
Recht auf Berichtigung (Art. 16 DSGVO): Sie haben das Recht, unrichtige oder unvollständige Daten berichtigen zu lassen.
Recht auf Löschung (Art. 17 DSGVO): Sie können unter den Voraussetzungen des Art. 17 DSGVO die Löschung Ihrer personenbezogenen Daten verlangen.
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie haben das Recht, die Einschränkung der Verarbeitung zu verlangen, wenn die Voraussetzungen des Art. 18 DSGVO vorliegen.
Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem strukturierten, maschinenlesbaren Format zu erhalten oder an einen anderen Verantwortlichen übertragen zu lassen.
Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen.
Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): Beruht eine Verarbeitung auf Ihrer Einwilligung, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Zur Ausübung Ihrer Rechte schreiben Sie uns bitte an app@zursicherheit.eu. Betreffen Ihre Daten eine Organisation, die zursicherheit nutzt, wenden Sie sich bitte an diese; wir unterstützen sie dabei.

8. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderweitiger Rechtsbehelfe haben Sie gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Telefon: +49 981 180093-0
E-Mail: poststelle@lda.bayern.de
Web: www.lda.bayern.de

9. Automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt. Bewertungen von Prüfungen und KI-Auswertungen sind Hinweise für die Benutzer, die diese selbst prüfen; sie haben keine rechtliche oder ähnlich erhebliche Wirkung für betroffene Personen.

10. Aktualität und Änderungen

Wir passen diese Datenschutzhinweise an, wenn sich rechtliche Anforderungen oder der Dienst ändern. Die jeweils aktuelle Fassung finden Sie unter app.zursicherheit.eu/datenschutz.