← Zurück

Datenschutzerklärung

Diese Erklärung gilt für die Websites und Dienste unter athorion.io, app.athorion.io und dash.athorion.io („athorion").

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Website und unserer Leistungen erforderlich ist, oder soweit eine Rechtsgrundlage nach Art. 6 DSGVO vorliegt (Vertrag/Anbahnung Art. 6 Abs. 1 lit. b, rechtliche Pflicht lit. c, berechtigtes Interesse lit. f, Einwilligung lit. a).

3. Hosting

athorion wird gehostet durch die Nynex GmbH; der Serverstandort ist Darmstadt, Deutschland. Mit dem Hoster besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. f (sichere, effiziente Bereitstellung).

4. Content Delivery Network / Cloudflare

Wir nutzen Cloudflare (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA) als CDN- und Sicherheits-Proxy. Dabei wird der Datenverkehr über Cloudflare geleitet; Cloudflare verarbeitet u. a. IP-Adressen zur Auslieferung der Inhalte und zur Abwehr von Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f. Für Übermittlungen in die USA stützt sich Cloudflare auf die EU-Standardvertragsklauseln. Details: cloudflare.com/privacypolicy.

5. Server-Logfiles

Beim Aufruf erheben Server und Proxy automatisch Zugriffsdaten (u. a. gekürzte/vollständige IP-Adresse, Datum und Uhrzeit, aufgerufene Ressource, Referrer, Browser-/Gerätekennung). Diese Daten dienen dem sicheren Betrieb und werden bis zu 30 Tage gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f.

6. Cookies und Reichweitenmessung

Wir setzen ausschließlich technisch notwendige Cookies ein - insbesondere ein Session-Cookie (aeth_session) zur Aufrechterhaltung Ihrer Anmeldung in der Konsole. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f sowie § 25 Abs. 2 TDDDG (unbedingt erforderlich).

Zur statistischen Auswertung der Nutzung unserer Seiten verwenden wir die Open-Source-Software Matomo (Instanz unter stats.fiberone.de). Matomo läuft bei uns ohne Cookies und speichert nichts auf Ihrem Gerät. Übermittelt werden die aufgerufene Seite, Zeitpunkt, Referrer, Browser- und Geräteangaben sowie Ihre IP-Adresse; Einmal-Links und persönliche Kennungen (z. B. Links zum Zurücksetzen des Passworts, Anmelde- und Bestätigungslinks, persönliche Seiten) entfernen wir vor der Übermittlung aus der Adresse. Die Daten werden ausschließlich für Reichweiten- und Nutzungsstatistiken verwendet und nicht mit anderen Daten zusammengeführt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f (bedarfsgerechte Gestaltung und Verbesserung unseres Angebots). Sie können der Verarbeitung jederzeit widersprechen (Art. 21 DSGVO), z. B. formlos per E-Mail an [email protected] oder durch die „Do Not Track"-Einstellung Ihres Browsers.

7. Konto- und Nutzungsdaten (Konsole)

Für die Nutzung von app.athorion.io / dash.athorion.io verarbeiten wir Anmelde- und Kontodaten (E-Mail-Adresse, als Hash gespeichertes Passwort, Rolle, Sitzungs- und Audit-Daten) sowie die im Rahmen der Leistung erzeugten Scan- und Findings-Daten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b (Vertrag).

8. E-Mail-Kommunikation

Wir versenden E-Mails von [email protected], soweit dies für die Leistung erforderlich ist: Bestätigung Ihrer E-Mail-Adresse bei der Registrierung, Begrüßung, Links zum Zurücksetzen des Passworts sowie Sicherheits-Alerts, die Sie in der Konsole selbst konfiguriert haben. Verarbeitet werden Empfängeradresse, Inhalt, Zeitpunkt und Zustellstatus; Bestätigungs- und Reset-Links sind zeitlich befristet und nur einmal verwendbar. Für den Versand und das Postfach nutzen wir die united-domains AG (Gautinger Straße 10, 82319 Starnberg, Deutschland) als Auftragsverarbeiter nach Art. 28 DSGVO. Werbe-E-Mails versenden wir nicht ohne Ihre Einwilligung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b (Vertrag) bzw. lit. f (Kontosicherheit).

9. Kostenloser Tiefen-Check und Report per E-Mail (Startseite)

Geben Sie auf der Startseite eine Domain ein, prüfen wir diese passiv und nicht-intrusiv von außen und zeigen Ihnen eine Zusammenfassung an. Geprüft werden ausschließlich öffentlich verfügbare Informationen: DNS-Einträge (über öffentliche DNS-over-HTTPS-Resolver), Schutz vor Mail-Spoofing (SPF, DMARC, DKIM, MTA-STS), Subdomains aus öffentlichen Certificate-Transparency-Logs, ein gewöhnlicher HTTPS-Aufruf nebst Sicherheits-Headern, die TLS-Konfiguration sowie ein Verbindungsaufbau auf gängige Ports. Es findet kein Ausnutzen, kein Login-Versuch und keine Belastung des Ziels statt. Verarbeitet und gespeichert werden die eingegebene Domain, die aufgelöste IP und die Prüfergebnisse; zur Begrenzung von Missbrauch speichern wir zusätzlich einen Hashwert Ihrer IP-Adresse (nicht die IP selbst). Rechtsgrundlage: Art. 6 Abs. 1 lit. f (Bereitstellung der angefragten Auskunft).

Fordern Sie den vollständigen Report an, versenden wir ihn per E-Mail ausschließlich an eine Adresse der geprüften Domain, damit Details nur beim Domaininhaber landen. Dabei speichern wir Ihre E-Mail-Adresse, die Domain und den Zeitpunkt (Rechtsgrundlage: Art. 6 Abs. 1 lit. b/f). Nur wenn Sie dies gesondert ankreuzen, senden wir Ihnen Erinnerungen und Sicherheitshinweise per E-Mail (Rechtsgrundlage: Art. 6 Abs. 1 lit. a); diese Einwilligung können Sie jederzeit über den Abmeldelink in jeder dieser E-Mails oder per Nachricht an uns widerrufen. Führen Sie den Check nur für Domains durch, für die Sie berechtigt sind.

10. KI-Assistent

Auf der Startseite können Sie einem KI-Assistenten Fragen stellen. Ihre Eingabe sowie die passiv ermittelten Prüfdaten der genannten Domain/IP werden zur Beantwortung an ein Sprachmodell übergeben, das von der Nynex GmbH in Deutschland betrieben wird (Verarbeitung in der EU, kein Drittlandtransfer). Geben Sie dort keine personenbezogenen oder vertraulichen Daten ein, die nicht erforderlich sind. Rechtsgrundlage: Art. 6 Abs. 1 lit. f.

11. Exposure Monitor und Angriffsflächen-Index

Als Teil der Leistung betreiben wir eine laufende, nicht-intrusive Erfassung öffentlich erreichbarer Dienste im Internet (offene Ports, Banner, TLS, aus Versionsangaben abgeleitete bekannte Schwachstellen) und stellen sie als durchsuchbaren Index bereit. Erfasst werden dabei technische Informationen zu IP-Adressen und Hostnamen; IP-Adressen können einen Personenbezug aufweisen. Wir scannen ausschließlich nicht-intrusiv aus unserem eigenen Netz (AS62023, Darmstadt) mit veröffentlichtem Abuse-Kontakt, halten private und reservierte Netzbereiche frei und berücksichtigen Opt-out-Anfragen. Betreiber können die Aufnahme ihrer Netzbereiche ausschließen lassen (E-Mail an [email protected]). Rechtsgrundlage: Art. 6 Abs. 1 lit. f (Cyber-Sicherheit und Risikobewertung; vgl. Erwägungsgrund 49 DSGVO). Überwachen Kunden eigene Domains, IPs oder Netzbereiche aktiv im „Exposure Monitor“, erfolgt dies im Rahmen des Vertrags (Art. 6 Abs. 1 lit. b). Aktive, nicht-intrusive Scans öffentlicher Ziele sind auch ohne Eigentumsnachweis möglich und pro Konto mengenbegrenzt; ein Eigentumsnachweis ist nur für das Security-Rating und das Vertrauenssiegel der eigenen Domain erforderlich.

12. Zahlungsabwicklung

Bezahlte Pläne, Pakete und Guthaben rechnen wir über Stripe ab (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland). Stripe verarbeitet dafür Name, E-Mail-Adresse, Rechnungsanschrift, Zahlungsdaten und Transaktionsinformationen; Kartendaten erhalten wir selbst nicht. Stripe kann Daten an die Stripe, Inc. in den USA übermitteln und stützt sich dafür auf das EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b (Vertrag) und lit. c (steuer- und handelsrechtliche Aufbewahrungspflichten). Details: stripe.com/de/privacy.

13. Ansprache von Unternehmen (Informationen nach Art. 14 DSGVO)

Wir sprechen Unternehmen an, deren öffentlich erreichbare Systeme wir im Rahmen unserer Messung (Abschnitt 11) bewertet haben - in Deutschland, Österreich, Spanien, Italien und Polen ausschließlich per Brief, in einzelnen weiteren Ländern auch per E-Mail an eine allgemeine Kontaktadresse des Unternehmens. Verarbeitet werden dabei Firmenname, Anschrift, Domain, die allgemeine Kontaktadresse (z. B. info@), bei Briefen der Name der Geschäftsführung laut Impressum, sowie die Messergebnisse. Quellen sind ausschließlich die eigene Website des Unternehmens (Startseite, Kontakt- und Impressumsseite) und öffentliche Register. Zur Auswertung der Impressumsangaben nutzen wir ein KI-Sprachmodell der Z.ai (JINGSHENG HENGXING TECHNOLOGY PTE. LTD., Singapur); dabei wird ausschließlich der öffentliche Impressumstext übermittelt. Singapur ist ein Drittland ohne Angemessenheitsbeschluss der EU-Kommission. Briefe werden über die Pingen GmbH (Zürich, Schweiz; Angemessenheitsbeschluss der EU-Kommission) gedruckt und versandt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f (Direktwerbung gegenüber Unternehmen, vgl. Erwägungsgrund 47 DSGVO). Sie können dieser Verarbeitung jederzeit widersprechen: über den Abmeldelink in jeder E-Mail, über „Bitte nicht mehr kontaktieren" auf der persönlichen Seite oder per E-Mail an [email protected]; wir löschen die Kontaktdaten dann und nehmen Adresse und Domain in eine Sperrliste auf, damit keine erneute Ansprache erfolgt.

14. Externe Bibliotheken

Einige Seiten laden Programmbibliotheken (z. B. für Grafiken und Karten) von öffentlichen Content-Delivery-Netzen (unpkg.com, cdn.jsdelivr.net, esm.sh). Dabei erhält der jeweilige Anbieter technisch bedingt Ihre IP-Adresse und Browserangaben; es werden keine Cookies gesetzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f (zuverlässige, schnelle Darstellung).

15. Empfänger / Auftragsverarbeiter

Eine Weitergabe erfolgt nur an Auftragsverarbeiter im Rahmen von Art. 28 DSGVO, an die in dieser Erklärung genannten eigenständig Verantwortlichen oder wenn eine gesetzliche Pflicht besteht. Eingesetzt werden: Nynex GmbH (Hosting und KI-Sprachmodell, Deutschland), Cloudflare, Inc. (CDN/Sicherheit), united-domains AG (E-Mail-Versand und Postfach, Deutschland), Stripe (Zahlungsabwicklung, Abschnitt 12), Matomo-Instanz unter stats.fiberone.de (Reichweitenmessung, Abschnitt 6), Z.ai und Pingen GmbH (Unternehmensansprache, Abschnitt 13) sowie die in Abschnitt 14 genannten Content-Delivery-Netze. Ein Verkauf personenbezogener Daten findet nicht statt.

16. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen; danach werden sie automatisch gelöscht. Im Einzelnen:

• Ergebnisse des Tiefen-Checks (Startseite/Assistent): 90 Tage
• Report-Anfragen ohne Konto (Lead-Daten): 12 Monate, nach Abmeldung spätestens 30 Tage
• Versendete E-Mails im Postausgang: 180 Tage; angehängte PDF-Reports: 30 Tage
• Technische Erfassungsdaten des Internet-Index (Dritt-Hosts): 12 Monate ab letzter Beobachtung
• Konto-, Scan- und Findings-Daten von Kunden: für die Dauer des Vertragsverhältnisses; danach Löschung vorbehaltlich gesetzlicher Aufbewahrungsfristen
• Server-Logfiles: bis zu 30 Tage
• Daten der Unternehmensansprache: bis zum Widerspruch oder bis der Zweck entfällt; Sperrlisteneinträge dauerhaft, damit keine erneute Ansprache erfolgt
• Rechnungs- und Zahlungsdaten: gemäß handels- und steuerrechtlicher Aufbewahrungspflicht (bis zu 10 Jahre)

17. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie auf Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f (Art. 21). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Wenden Sie sich dazu an [email protected].

18. Beschwerderecht bei der Aufsichtsbehörde

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden.