Datenschutzhinweis

Unsere zwei Rollen im Überblick

Wenn wir Auftragsverarbeiter sind, das heißt, wir handeln ausschließlich nach den dokumentierten Weisungen eines unserer Kunden, ist der Kunde der für diese Verarbeitung Verantwortliche. Wir sind Auftragsverarbeiter, wenn unser Bedrohungsschutz-Dienst auf der Website oder dem Dienst eines Kunden eingesetzt wird. Der Kunde entscheidet sich für die Nutzung unseres Dienstes, kann die Nutzung jederzeit beenden und konfiguriert dessen Betrieb, einschließlich der Speicherdauer der Daten. Siehe Abschnitt 2.

Wenn wir Verantwortlicher sind, das heißt, wir entscheiden, welche personenbezogenen Daten zu welchem Zweck erhoben werden, sind wir Ihnen gegenüber unmittelbar verantwortlich. Dies ist der Fall, wenn Sie unsere Website besuchen, sich als Kunde registrieren, uns kontaktieren, als Ansprechpartner eines Lieferanten auftreten oder sich bei uns bewerben. Siehe Abschnitte 3 bis 6.

1. Wer wir sind

2. Bedrohungsschutz-Dienst auf Kunden-Websites

Wenn Sie eine Website oder einen Dienst besuchen, die durch unseren Bedrohungsschutz-Dienst geschützt sind, werden Ihre personenbezogenen Daten nach den dokumentierten Weisungen unseres Kunden (des Betreibers dieser Website oder dieses Dienstes) verarbeitet. Der Kunde ist der Verantwortliche für diese Verarbeitung. Wir sind der Auftragsverarbeiter. Der Kunde entscheidet sich für die Nutzung unseres Dienstes, kann die Nutzung jederzeit beenden und konfiguriert dessen Betrieb, einschließlich der Speicherdauer der Daten. Unser Bedrohungsschutz-Dienst umfasst zwei TrustSig-Dienste: TrustSig Web (Bot-Schutz) und TrustSig Pro (Betrugsprävention).

Was wir für den Kunden tun

• Wir erfassen und verarbeiten Signale im Zusammenhang mit der Aktivität des Nutzers.
• Wir reichern diese Signale serverseitig mit unseren eigenen historischen Bedrohungsdaten an.
• Wir analysieren Echtzeit-Gerätetelemetriesignale und berechnen Vertrauens-/Risikowerte, über die der Kunde entscheidet, ob die Anfrage zugelassen, mit einer zusätzlichen Prüfung versehen (Challenge) oder blockiert wird, damit die Website des Kunden vor bösartigen Bots geschützt ist und um Betrugsversuche zu erkennen.
• Wir speichern markierte oder verdächtige Anfragedaten für den vom Kunden konfigurierten Zeitraum und stellen dem Kunden Sicherheitsberichte bereit.
• Wir anonymisieren Daten für spätere Bedrohungsanalysen (siehe Abschnitt 9).

Kategorien personenbezogener Daten

Für den Bot-Schutz (TrustSig Web): technische Informationen, die vom Browser und Gerät des Nutzers übermittelt werden, Netzwerk- und Verbindungsmerkmale sowie Interaktions-Telemetrie. Dies sind keine direkten Identifikatoren, und TrustSig verfügt über keine praktikablen Mittel und keinen zusätzlichen Kontext, um diese Signale mit realen Personen zu verknüpfen.

Für die Betrugsprävention (TrustSig Pro) verarbeiten wir zusätzlich zu den oben genannten Daten auch die grundlegendsten Nutzerkontoinformationen, sofern der Kunde dies wählt, d. h. E-Mail, Name, Telefonnummer.

Automatisierte Entscheidungen über Ihre Anfrage

Sowohl für TrustSig Web als auch für TrustSig Pro bewerten wir automatisch das Risiko jeder Anfrage und stellen detaillierte Vertrauenssignale bereit, über die der Kunde (der Verantwortliche) entscheidet. Das bedeutet, der Kunde konfiguriert die tatsächlichen Aktionen, etwa Zulassen, Blockieren oder Challenge. Bitte beachten Sie, dass das Blockieren von bösartigem oder nicht-menschlichem Datenverkehr für sich genommen keine rechtliche Wirkung oder ähnlich erhebliche Beeinträchtigung Ihnen gegenüber entfaltet. Wenn Sie der Ansicht sind, dass eine Ihre Anfrage betreffende Entscheidung falsch war, können Sie beim Kunden eine Überprüfung durch einen Menschen verlangen.

Speicherdauer

Der Kunde konfiguriert die Speicherdauer für Rohsignale, typischerweise zwischen 30 Tagen und 18 Monaten. Nach Ablauf dieses Zeitraums werden die Daten unwiderruflich anonymisiert. Anonymisierte Daten können zur Verbesserung der Erkennung über längere Zeiträume aufbewahrt werden (siehe Abschnitt 9).

Empfänger

Intern: unsere Sicherheitsanalysten, Bedrohungsanalysten und Entwicklungsteams. Extern: unsere Unterauftragsverarbeiter und unser Kunde, der für diese Verarbeitung der Verantwortliche ist. Keine weiteren Empfänger erhalten Ihre Daten im Zusammenhang mit diesem Dienst.

Internationale Übermittlungen

Soweit technisch und betrieblich möglich, wird der Dienst innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums gehostet. Soweit personenbezogene Daten außerhalb des EWR übermittelt werden, stützen wir uns auf einen Angemessenheitsbeschluss der Europäischen Kommission, sofern ein solcher anwendbar ist (einschließlich, soweit einschlägig, des EU–US Data Privacy Framework), oder auf von der Europäischen Kommission genehmigte Standardvertragsklauseln.

Unterauftragsverarbeiter

Wir setzen externe Unterauftragsverarbeiter ein, um den Dienst zu erbringen. Alle Unterauftragsverarbeiter werden vor ihrer Beauftragung auf die Einhaltung von Informationssicherheits- und Datenschutzpraktiken geprüft, und ihre Konformität wird fortlaufend überprüft. Die von uns eingesetzten Unterauftragsverarbeiter sind:

Ihre Rechte bezüglich dieser Verarbeitung

Bitte richten Sie Anfragen zur Ausübung Ihrer Rechte an den Betreiber der von Ihnen besuchten Website. Dieser ist der Verantwortliche, und sein eigener Datenschutzhinweis sollte ihn benennen und erläutern, wie Sie ihn kontaktieren können.

3. Besuch unserer Website

Beim Besuch von www.trustsig.eu finden zwei Arten der Verarbeitung statt.

3.1 Unser eigener Bedrohungsschutz-Dienst

Wir schützen unsere Website mit demselben in Abschnitt 2 beschriebenen Dienst. Hier sind jedoch wir der Verantwortliche, da es sich um unsere eigene Website handelt. Wir stützen uns auf unsere berechtigten Interessen sowie auf die rechtliche Verpflichtung, die Rechtmäßigkeit der Verarbeitung zu gewährleisten. Wir bewahren markierte oder verdächtige Anfragedaten bis zu 18 Monate auf, danach werden sie unwiderruflich anonymisiert. Die Datenkategorien, die Anreicherung, die automatisierten Entscheidungen sowie Ihr Recht, eine Überprüfung durch einen Menschen zu verlangen, entsprechen denen aus Abschnitt 2.

3.2 Tracking und Cookies

Wir verwenden auf der Website zwei Arten von Tracking:

• Unbedingt erforderlich: um Sie im Self-Service-Portal angemeldet zu halten und die Website zu betreiben. Hierfür ist keine Einwilligung erforderlich.
• Analyse: um zu messen, wie Besucher die Website nutzen. Diese werden nur mit Ihrer Einwilligung über das Cookie-Banner gesetzt. Sie können Ihre Einwilligung jederzeit im Banner widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung. Die Analyse-Partner speichern die Daten zwischen 28 Tagen und 26 Monaten.

4. Begründung und Bestehen der Kundenbeziehung

Wenn Sie sich registrieren, unser Vertriebs- oder Support-Team kontaktieren oder einen Antrag auf Ausübung von Betroffenenrechten stellen, verarbeiten wir Ihre Kontaktdaten, Rechnungsinformationen, die von Ihnen getroffenen Konfigurationsentscheidungen sowie den Inhalt unserer Korrespondenz mit Ihnen (einschließlich jedes von Ihnen gestellten Betroffenenantrags und unserer Antwort). Wir stützen uns auf den Dienstleistungsvertrag mit Ihrer Organisation (und etwaige vorvertragliche Maßnahmen), auf rechtliche Verpflichtungen im Bereich Buchhaltung und Steuern sowie auf unsere berechtigten Interessen an Ihrer Betreuung und der Verbesserung des Dienstes.

Wie lange wir diese Daten aufbewahren

• Kontodaten, Abrechnung, Rechnungsstellung und buchhalterische Belege: 7 Jahre nach Beendigung der Beziehung (gesetzlich vorgeschrieben nach estnischem Buchhaltungs- und Steuerrecht).
• Support-Korrespondenz: 3 Jahre nach Abschluss des Vorgangs.
• Live-Chat-Verlauf: 6 Monate.
• Aufzeichnungen über Betroffenenanträge: 3 Jahre.

5. Ansprechpartner von Lieferanten und Schwachstellenmeldern

Wenn Sie Ansprechpartner bei einem unserer Lieferanten oder Schwachstellenmelder sind, verarbeiten wir Ihren Namen, Ihre geschäftliche E-Mail-Adresse und Telefonnummer sowie Ihre Funktionsbezeichnung. Handelt es sich beim Lieferanten um einen Einzelunternehmer, verarbeiten wir zusätzlich Ihre nationale Personenkennziffer und Bankverbindung zu Zahlungszwecken. Wir stützen uns auf den Liefervertrag (sofern der Ansprechpartner Einzelunternehmer ist) oder andernfalls auf unsere berechtigten Interessen an der Verwaltung von Lieferantenbeziehungen.

Wir bewahren diese Daten für die Dauer des aktiven Vertrags auf, danach 7 Jahre für buchhaltungsrelevante Posten (gesetzlich vorgeschrieben) und 3 Jahre für allgemeine Korrespondenz (zur Abwehr von Ansprüchen). Intern werden die Daten von unseren Teams für Einkauf, Finanzen und Betrieb genutzt. Extern werden Daten von Einzelunternehmern sowie buchhaltungsrelevante Daten an unseren Buchhaltungs- und Bilanzierungsdienstleister weitergegeben.

6. Bewerbungsverfahren

Wenn Sie sich bei uns auf eine Stelle bewerben, verarbeiten wir die in Ihrer Bewerbung übermittelten personenbezogenen Daten, typischerweise Ihren Namen, Ihre Kontaktdaten, den Inhalt Ihres Lebenslaufs und Anschreibens sowie unsere Notizen aus etwaigen Vorstellungsgesprächen. Wir bewahren Ihre Bewerbung 1 Jahr nach Besetzung der Stelle auf und löschen sie anschließend.

7. Sicherheitsüberwachung unserer Systeme

Wir erfassen, speichern und analysieren Protokolle unserer Informationssysteme, um Sicherheitsvorfälle zu erkennen, zu untersuchen und auf sie zu reagieren. Wir bewahren Sicherheits- und Audit-Protokolle 3 Jahre auf sowie Fallakten zu Sicherheitsvorfällen 10 Jahre nach deren Abschluss (zur Abwehr von Ansprüchen). Protokolle im Zusammenhang mit einem gemeldeten Vorfall können länger aufbewahrt werden, sofern dies für die Untersuchung oder für Rechtsverfahren erforderlich ist.

8. Empfänger, Unterauftragsverarbeiter und Datenverkauf

Wir verkaufen Ihre Daten nicht und geben sie nicht an Dritte für deren eigene kommerzielle Zwecke weiter. Zu den von uns eingesetzten Kategorien von Auftragsverarbeitern gehören:

• Hosting- und Content-Delivery-Anbieter
• eine E-Mail- und Kollaborationsplattform
• eine Live-Chat-Plattform
• ein Zahlungsdienstleister
• ein Buchhaltungs- und Bilanzierungsdienstleister
• ein Analyse-Partner
• Anbieter für Identitäts- und Zugriffsverwaltung

Zusicherung der Unterauftragsverarbeiter. Alle von uns eingesetzten Unterauftragsverarbeiter werden vor ihrer Beauftragung auf die Einhaltung von Informationssicherheits- und Datenschutzpraktiken geprüft, und ihre Konformität wird fortlaufend überprüft.

9. Anonymisierte Bedrohungsdaten

Wir bewahren unwiderruflich anonymisierte Bedrohungsindikatoren (Angriffsmuster, Kompromittierungsindikatoren (Indicators of Compromise), Kennzahlen zur Regelwirksamkeit und geografische Aggregate) auf, die sowohl von unserer eigenen Website als auch aus Kundeninstallationen stammen. Diese Daten identifizieren keine betroffene Person und werden verwendet, um Erkennungsregeln zu verbessern, Angriffsmustermodelle zu erstellen und aggregierte Bedrohungsdaten über alle TrustSig-Installationen hinweg zu erzeugen. Die anonymisierten Daten werden bis zu 10 Jahre aufbewahrt.

10. Internationale Datenübermittlungen

Einige unserer Auftragsverarbeiter befinden sich außerhalb des Europäischen Wirtschaftsraums (EWR). Soweit technisch und betrieblich möglich, konfigurieren wir unsere Auftragsverarbeiter so, dass personenbezogene Daten innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verbleiben. Soweit personenbezogene Daten außerhalb des EWR übermittelt werden, stützen wir uns auf eine der folgenden Garantien:

• einen Angemessenheitsbeschluss der Europäischen Kommission für das Zielland (einschließlich, soweit einschlägig, des EU–US Data Privacy Framework);
• von der Europäischen Kommission genehmigte Standardvertragsklauseln, gegebenenfalls mit geeigneten zusätzlichen Maßnahmen; oder
• sonstige nach geltendem Recht zulässige geeignete Garantien.

11. Woher Ihre Daten stammen

Für die meisten der oben beschriebenen Verarbeitungen erheben wir Ihre Daten direkt bei Ihnen, wenn Sie unsere Website besuchen, ein Formular absenden, uns kontaktieren, sich als Kunde registrieren oder sich auf eine Stelle bewerben.

12. Automatisierte Entscheidungsfindung und Profiling

Die einzige systematische automatisierte Entscheidungsfindung, die wir durchführen, sind die in den Abschnitten 2 und 3.1 beschriebenen Entscheidungen des Bedrohungsschutzes. Die Logik, die Kategorien der Eingabedaten, die möglichen Ergebnisse, die Folgen sowie der Weg zur Überprüfung durch einen Menschen sind dort dargelegt. Darüber hinaus setzen wir möglicherweise eine begrenzte interaktionsbasierte Segmentierung im Zusammenhang mit der Kundenkommunikation ein (zum Beispiel, um zu verstehen, welche unserer Produkt-Update-E-Mails für die autorisierten Vertreter eines bestimmten Kunden am nützlichsten sind). Eine solche Segmentierung entfaltet keine rechtliche Wirkung oder ähnlich erhebliche Beeinträchtigung.

13. Besondere Datenkategorien und Kinder

13.1 Besondere Datenkategorien

Wir verarbeiten im Rahmen der in diesem Hinweis beschriebenen Verarbeitung wissentlich keine besonderen Kategorien personenbezogener Daten. Sollten wir solche Daten versehentlich erhalten, löschen wir sie, sobald wir sie erkennen, es sei denn, wir haben eine konkrete Rechtsgrundlage für ihre Aufbewahrung.

13.2 Kinder

TrustSig ist ein Business-to-Business-Produkt für den Bedrohungsschutz und richtet sich nicht an Kinder. Wir erheben wissentlich keine personenbezogenen Daten von Kindern unter 18 Jahren. Sollten wir feststellen, dass wir personenbezogene Daten eines Kindes ohne bestätigte Einwilligung der Eltern erhoben haben, löschen wir diese.

14. Ihre Rechte

Sie haben in Bezug auf Ihre personenbezogenen Daten die folgenden Rechte:

• Auskunftsrecht: eine Kopie Ihrer Daten zu erhalten.
• Recht auf Berichtigung: unrichtige Daten berichtigen zu lassen.
• Recht auf Löschung: die Löschung Ihrer Daten zu verlangen, sofern ein Grund vorliegt.
• Recht auf Einschränkung: von uns zu verlangen, die Nutzung Ihrer Daten einzuschränken.
• Widerspruchsrecht: der auf berechtigten Interessen beruhenden Verarbeitung zu widersprechen. Wir prüfen jeden Widerspruch im Einzelfall.
• Recht auf Datenübertragbarkeit: Ihre Daten in einem strukturierten, maschinenlesbaren Format zu erhalten.
• Recht auf Widerruf der Einwilligung: eine erteilte Einwilligung jederzeit zu widerrufen (ohne dass die Rechtmäßigkeit der zuvor erfolgten Verarbeitung berührt wird).
• Rechte hinsichtlich automatisierter Entscheidungen: siehe Abschnitte 2, 3.1 und 12.

Zur Ausübung Ihrer Rechte kontaktieren Sie uns unter [email protected]. Wir beantworten Anträge zur Ausübung von Rechten innerhalb eines Monats nach Eingang; bei komplexen Anträgen kann sich diese Frist um weitere zwei Monate verlängern, wobei wir Sie innerhalb des ersten Monats darüber informieren.

Sie haben außerdem das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen. In Estland ist die zuständige Aufsichtsbehörde die estnische Datenschutzaufsicht (Andmekaitse Inspektsioon, AKI), https://www.aki.ee. In anderen EU-/EWR-Ländern wenden Sie sich an Ihre nationale Datenschutzbehörde.