Datenschutzerklärung

1. Verantwortlicher

Jan Marczinke (InfraDefend), Bremthaler Straße 48, 65207 Wiesbaden, info@infradefend.de (siehe Impressum).

2. Welche Daten wir verarbeiten

Wenn du CyberAmpel nutzt, verarbeiten wir folgende Daten:

• Die von dir eingegebene E-Mail-Adresse (Prüfgegenstand).
• Optional: das Ergebnis eines Passwort-Checks (gefunden ja/nein, Häufigkeit in bekannten Leak-Listen, grobe Stärke-Einstufung „schwach/mittel/stark“). Das Passwort selbst verlässt deinen Browser nicht. An uns übertragen werden ausschließlich die ersten 5 Zeichen seines SHA-1-Hashwerts; dieser Ausschnitt passt auf sehr viele verschiedene Passwörter und erlaubt keinen Rückschluss auf dein Passwort. Den eigentlichen Abgleich führt dein Browser durch.
• Technische Daten beim Seitenaufruf (IP-Adresse, Zeitstempel) — zur Missbrauchsabwehr und zur Begrenzung auf einen kostenlosen Check pro Anschluss und 6 Stunden. Für diese Begrenzung speichern wir nur einen gesalzenen Hashwert der IP-Adresse für höchstens 6 Stunden; zusätzlich wird die IP-Adresse zusammen mit dem Prüfauftrag bis zu dessen Löschung (siehe Punkt 5) gespeichert.
• Der von uns erzeugte PDF-Report.

3. Zweck und Rechtsgrundlage

Die Verarbeitung erfolgt zur Erfüllung des mit dir geschlossenen (unentgeltlichen) Nutzungsvertrags über die Erstellung des Sicherheits-Reports (Art. 6 Abs. 1 lit. b DSGVO). Die kurzzeitige Speicherung der IP-Adresse zur Missbrauchsabwehr erfolgt auf Grundlage unseres berechtigten Interesses an einem funktionsfähigen, missbrauchsfreien Dienst (Art. 6 Abs. 1 lit. f DSGVO).

4. Empfänger / Weitergabe an Dritte

Zur Erstellung des Reports übermitteln wir die eingegebene E-Mail-Adresse an folgende externe Dienste (jeweils als eigenständig Verantwortliche):

• Have I Been Pwned (haveibeenpwned.com), betrieben von Superlative Enterprises Pty Ltd, Queensland, Australien — Quelle der Informationen zu bekannten Datenlecks (Datenpannen, betroffene Datentypen, Datum). Nach eigener Angabe speichert Have I Been Pwned gesuchte E-Mail-Adressen nicht.
• Weitere Anbieter von Breach-/Datenleck-Datenbanken (Sitz teilweise außerhalb der EU/des EWR), soweit im Einzelfall zugeschaltet

Beim Domain-Check übermitteln wir die eingegebene Domain an Anbieter von Ransomware-Opferlisten sowie von Internet-Expositions- und DNS-/Subdomain-Daten (Sitz teilweise außerhalb der EU/des EWR).

Für den Passwort-Check nutzen wir eine auf unserem eigenen Server gespeicherte Liste bekannter geleakter Passwörter (als Hashwerte). [Falls der Fallback PWNED_REMOTE_FALLBACK aktiviert ist: Steht diese Liste vorübergehend nicht zur Verfügung, fragt unser Server den 5-stelligen Hash-Ausschnitt stellvertretend bei einem externen Anbieter ab; deine IP-Adresse wird dabei nicht weitergegeben.]

Welche weiteren Anbieter (außer Have I Been Pwned) im Einzelnen genutzt werden, ist Teil unseres Geschäftsgeheimnisses und wird daher nicht öffentlich benannt; auf Anfrage teilen wir betroffenen Personen die konkreten Empfänger im Rahmen ihres Auskunftsrechts (siehe Punkt 6) mit.

Bei Übermittlung an Anbieter außerhalb der EU/des EWR stützen wir uns auf die EU-Standardvertragsklauseln bzw. ein Angemessenheitsbeschluss-Rahmenwerk des jeweiligen Anbieters. Für Australien (Have I Been Pwned) besteht kein Angemessenheitsbeschluss der EU-Kommission. [Rechtsgrundlage der Übermittlung anwaltlich prüfen und ergänzen, z. B. Art. 49 Abs. 1 lit. b DSGVO (Erforderlichkeit für die von dir angeforderte Prüfung).]

5. Speicherdauer

Die eingegebene E-Mail-Adresse, das Ergebnis des Passwort-Checks, die IP-Adresse am Prüfauftrag sowie der erzeugte PDF-Report werden nach 7 Tagen automatisiert gelöscht. Danach verbleiben ausschließlich anonymisierte Kennzahlen (z. B. Anzahl durchgeführter Checks, grobe Risiko-Verteilung) ohne Bezug zum geprüften Ziel für interne Auswertungen.

6. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gegen die Verarbeitung deiner personenbezogenen Daten. Wende dich hierzu an die im Impressum genannte Kontaktadresse. Dir steht zudem ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde zu.

7. Server-Zugriffsprotokolle (Statistik)

Unser Hosting-Server (Caddy) protokolliert bei jedem Seitenaufruf technische Zugriffsdaten (IP-Adresse, Zeitstempel, aufgerufene URL, Referrer, Browser-Kennung). Diese Protokolle werten wir ausschließlich lokal auf unserem eigenen Server mit der Open-Source-Software GoAccess aus, um die grobe Besucherzahl unserer Website zu erfassen. Es werden dabei keine Cookies gesetzt, keine geräteübergreifenden Profile gebildet und keine Daten an externe Analytics-Anbieter übermittelt. Rechtsgrundlage ist unser berechtigtes Interesse an Betriebssicherheit und einer nachvollziehbaren Nutzungsstatistik (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolldateien werden automatisiert nach spätestens 30 Tagen rotiert und gelöscht.

8. Cookies / Tracking

Diese Website setzt keine Marketing- oder Tracking-Cookies ein. [Anpassen, falls z. B. Analytics oder ein Payment-Cookie von Stripe hinzukommt — dann Cookie-Banner / Einwilligung ergänzen.]

9. Leak-Warnung (Benachrichtigung bei neuen Datenlecks)

Nach einem Check kannst du dich freiwillig benachrichtigen lassen, wenn die geprüfte E-Mail-Adresse in einem neuen Datenleck auftaucht. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du per Double-Opt-in bestätigst. Wir speichern dazu deine E-Mail-Adresse, die gewählte Sprache, den Zeitpunkt der Anmeldung und Bestätigung sowie die Namen der bereits bekannten Datenlecks. Die Adresse wird regelmäßig an Anbieter von Breach-Datenbanken übermittelt (siehe Punkt 4). Du kannst die Einwilligung jederzeit über den Link in jeder E-Mail widerrufen; deine Daten werden dann sofort vollständig gelöscht. Unbestätigte Anmeldungen löschen wir nach 48 Stunden.

10. Domain-Check für Unternehmen und Zahlung

Beim kostenpflichtigen Domain-Check verarbeiten wir die angegebene Domain, optional eine E-Mail-Adresse für den Report-Versand sowie die Rechnungsangaben (Firmenname, Anschrift, ggf. USt-IdNr.). Die Zahlung und die Rechnungserstellung wickelt Stripe Payments Europe, Ltd. ab; wir selbst erhalten und speichern keine Kartendaten. Zum Schutz des Bezahlformulars vor Missbrauch nutzen wir Cloudflare Turnstile. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Zahlungs- und Rechnungsbelege bewahren wir im Rahmen der gesetzlichen Aufbewahrungspflichten auf.

11. Partner-Empfehlungen (Affiliate-Links)

Bei auffälligen Ergebnissen empfehlen wir ggf. einen Passwort-Manager über einen als „Anzeige“ gekennzeichneten Partner-Link. Kommt über diesen Link ein Vertrag zustande, erhalten wir eine Provision. Wir selbst setzen dafür keine Cookies und übermitteln keine Daten an den Partner. Erst wenn du den Link anklickst, gelangst du auf die Website des Partners, der dort eigene Daten (z. B. Cookies zur Zuordnung der Provision) nach seiner eigenen Datenschutzerklärung verarbeitet.

12. Lieferanten-Check

Beim Lieferanten-Check verarbeiten wir Name, Firma und E-Mail-Adresse des Auftraggebers sowie Domain und Kontaktadresse des Lieferanten. Rechtsgrundlage ist gegenüber dem Auftraggeber die Vertragsanbahnung bzw. -erfüllung (Art. 6 Abs. 1 lit. b DSGVO), gegenüber dem Lieferanten unser und das berechtigte Interesse des Auftraggebers an der Bewertung der Lieferkettensicherheit (Art. 6 Abs. 1 lit. f DSGVO). Der Lieferant sieht Name, Firma und E-Mail-Adresse des Auftraggebers; der Report wird nur mit ausdrücklicher Zustimmung des Lieferanten an den Auftraggeber weitergegeben. Alle Daten der Einladung werden nach Ablauf (14 Tage, nach einer Bestellung bis zum Ablauf des Report-Links) automatisch gelöscht.