Datenschutzerklärung

Entwurf – dieser Text ist noch nicht juristisch geprüft.

Diese Erklärung gilt für die Website und die Web-Anwendung ViaGuardium KRITIS.

1. Verantwortlicher

ViaGuardium UG (haftungsbeschränkt)
Leopoldstraße 2-8
32051 Herford
Deutschland
Vertreten durch: Dr. Johannes A. Weicht (Geschäftsführer)
E-Mail: info@viaguardium.com

Datenschutzanfragen: info@viaguardium.com

2. Hosting und Server-Protokolle

Website und Anwendung laufen auf Servern der IONOS SE (Montabaur) in Rechenzentren in Deutschland. Beim Aufruf verarbeiten wir technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, Browser-Kennung), um den Dienst bereitzustellen und Angriffe zu erkennen (Art. 6 Abs. 1 lit. f DSGVO). Die Anwendung protokolliert zusätzlich technische Ereignisse (z. B. Fehler, Mailversand) ohne Inhalte und ohne E-Mail-Adressen; Empfänger erscheinen nur als nicht umkehrbare Kennung. Die Protokolle werden in einem unveränderlichen Speicher bei IONOS in Deutschland abgelegt und nach höchstens 90 Tagen gelöscht. Die Verbindung wird direkt auf unserem Server verschlüsselt; wir setzen kein Content-Delivery-Network ein (Cloudflare nur als DNS-Anbieter, ohne Zugriff auf Verbindungen oder Inhalte).

3. Cookies

Wir setzen ausschließlich ein technisch notwendiges Sitzungscookie (Anmeldung und Schutz vor gefälschten Formularen, § 25 Abs. 2 Nr. 2 TDDDG). Es gibt keine Tracking-, Analyse- oder Werbe-Cookies und keine eingebundenen Dienste Dritter (Schriftarten und Skripte liegen auf unseren Servern).

4. Betroffenheits-Check und Zugangsanfrage

Der Check läuft ohne Anmeldung; Ihre Antworten werden nicht gespeichert, solange Sie keine Zugangsanfrage stellen. Bei einer Zugangsanfrage speichern wir Ihre E-Mail-Adresse (verschlüsselt) und das Check-Ergebnis, um Sie zu kontaktieren – nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können die Einwilligung jederzeit per E-Mail an info@viaguardium.com widerrufen; die Daten werden dann gelöscht, spätestens jedoch 12 Monate nach Eingang.

5. Benutzerkonto und Anmeldung

Für ein Konto verarbeiten wir E-Mail-Adresse, Name, einen Passwort-Hash (argon2id), Anmeldecodes (nur als Hash), Zeitpunkte von Anmeldung und Zustimmung zu den Nutzungsbedingungen sowie Rollen je Organisation (Art. 6 Abs. 1 lit. b DSGVO). Anmeldecodes senden wir per E-Mail.

6. Inhalte der Organisationen (Auftragsverarbeitung)

Daten, die Organisationen in der Anwendung erfassen (Anlagen, Risikoanalysen, Maßnahmen, Vorfälle, Nachweise, Teilnehmende von Übungen), verarbeiten wir als Auftragsverarbeiter im Auftrag der jeweiligen Organisation (Art. 28 DSGVO). Verantwortlich ist die Organisation; Anfragen dazu richten Sie bitte zunächst an sie. Vertrauliche Felder und Nachweisdateien werden verschlüsselt gespeichert, die Daten der Organisationen sind voneinander getrennt.

7. Änderungsprotokoll (Audit-Log)

Wichtige Aktionen werden in einem fälschungssicheren Protokoll festgehalten, damit Organisationen ihre Nachweispflichten erfüllen können (Art. 6 Abs. 1 lit. c und f DSGVO). Das Protokoll enthält keine Namen oder E-Mail-Adressen, sondern nur zufällige Kennungen. Wird ein Konto gelöscht, entfällt die Zuordnung der Kennung zur Person; die Einträge bleiben ohne Personenbezug erhalten.

8. E-Mail-Versand

Anmeldecodes, Einladungen und Erinnerungen versenden wir über einen E-Mail-Dienstleister mit Servern in Deutschland bzw. der EU (Art. 6 Abs. 1 lit. b DSGVO).

9. Fehlerberichte

Zur Fehleranalyse kann die Anwendung technische Fehlerberichte an eine von uns selbst betriebene GlitchTip-Instanz auf eigenen Servern in Deutschland senden. Die Berichte enthalten Fehlermeldungen und Programmstellen, aber keine Formularinhalte, Programmvariablen, Cookies, E-Mail-Adressen oder IP-Adressen (Art. 6 Abs. 1 lit. f DSGVO); sie werden nach höchstens 90 Tagen gelöscht.

10. Vertrag, Zahlung und Rechnungen

Für Vertragsabschluss und Abrechnung verarbeiten wir Firmen- und Rechnungsdaten (Art. 6 Abs. 1 lit. b und c DSGVO). Zahlungen wickelt die Mollie B.V. (Amsterdam) ab, Rechnungen erstellen wir mit Lexware Office (Haufe-Lexware GmbH & Co. KG, Freiburg). Rechnungen und Buchungsbelege bewahren wir nach § 147 AO und § 257 HGB zehn Jahre auf.

11. Empfänger und Drittländer

Empfänger sind nur die genannten Dienstleister. Eine Übermittlung in Länder außerhalb der EU/des EWR findet nicht statt.

12. Speicherdauer

Wir löschen personenbezogene Daten, sobald der Zweck entfällt: Kontodaten mit Ende der Mitgliedschaft bzw. des Vertrags (Pseudonymisierung), Organisationsdaten nach Vertragsende und Übergabe des Exports, Zugangsanfragen wie unter 4. beschrieben. Gesetzliche Aufbewahrungsfristen bleiben unberührt.

13. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Einwilligungen können Sie mit Wirkung für die Zukunft widerrufen. Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Eine automatisierte Entscheidungsfindung nach Art. 22 DSGVO findet nicht statt.

Stand: Fassung 2026-10