Datenschutzerklärung
Entwurf – noch nicht rechtlich geprüft.
Der folgende Text beschreibt die tatsächliche Datenverarbeitung technisch korrekt und vollständig. Er ersetzt aber keine anwaltlich geprüfte Datenschutzerklärung und darf so nicht veröffentlicht werden. Die offene Kernfrage: ob CentralNoti für die Inhalte der Alarme Auftragsverarbeiter oder Verantwortlicher ist – davon hängt der Rest ab.
1. Wer verarbeitet
Verantwortlich ist der im Impressum genannte Anbieter.
2. Welche Daten verarbeitet werden
Beim Besuch dieser Website
Die Website wird bei Vercel gehostet. Beim Abruf verarbeitet Vercel technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, abgerufene Seite, User-Agent). Es werden keine Cookies gesetzt, kein Tracking und keine Analysewerkzeuge eingesetzt.
Bei Nutzung des Dienstes
| Daten | Wozu | Wo gespeichert |
|---|---|---|
| E-Mail-Adresse | Anmeldung; der Zugangscode wird per E-Mail versendet | Supabase, Region eu-central-1 |
| Push-Token des Geräts | Zustellung der Benachrichtigungen | Supabase, Region eu-central-1 |
| Inhalte der Sophos-Alarme – darunter Gerätenamen, Benutzernamen, IP-Adressen und Beschreibungstexte | Anzeige und Benachrichtigung; vollständige Antwort wird archiviert | Supabase, Region eu-central-1 |
| Protokolle der Abrufe und Zustellungen | Nachweis, dass der Dienst läuft; Fehlersuche | Supabase, Region eu-central-1 |
| Organisation und Mitgliedschaft – Firmenname, Rolle, einladende Person | Zuordnung des Zugriffs; jeder sieht nur die Alarme seiner Organisation | Supabase, Region eu-central-1 |
| Bearbeitungsstand je Alarm und Person – gelesen, erledigt, Wiedervorlage | Anzeige in der App; erneute Erinnerung zum gewählten Zeitpunkt | Supabase, Region eu-central-1 |
| Notizen zu einem Alarm – Freitext, von Nutzern verfasst | Festhalten, warum ein Alarm eingeordnet wurde; für die Organisation lesbar | Supabase, Region eu-central-1 |
| Sophos-Zugangsdaten (Client-ID und Secret) – nur im Cloud-Betrieb | Abruf der Alarme bei Sophos Central | Supabase, Region eu-central-1; getrennt von den übrigen Daten |
| Kenndaten eines Agenten – Rechnername, Version, letzte Meldung | Erkennen, ob der Agent noch läuft; ein stiller Agent sieht sonst aus wie ein ruhiges Netz | Supabase, Region eu-central-1 |
Die Zeile zu den Sophos-Alarmen ist die wesentliche: sie können personenbezogene Daten enthalten. Sie stammen nicht von den Nutzern selbst, sondern aus deren IT-Infrastruktur.
Im Agent-Betrieb werden keine Sophos-Zugangsdaten übermittelt oder gespeichert. Sie verbleiben auf dem Rechner des Kunden; übertragen werden nur die bereits ausgelesenen Alarme.
3. Empfänger und Drittlandtransfer
| Dienst | Wofür | Ort |
|---|---|---|
| Supabase | Datenbank, Anmeldung, Serverfunktionen | EU (eu-central-1); Anbieter mit Sitz in den USA |
| Vercel | Auslieferung dieser Website | USA |
| Expo (Expo Push Service) | Weiterleitung der Benachrichtigungen an die Plattformdienste | USA |
| Google (Firebase Cloud Messaging) | Zustellung auf Android-Geräten | USA |
| E-Mail-Versanddienst | Versand der Anmeldecodes | abhängig vom eingesetzten Anbieter |
| Cloudflare (Turnstile) | Missbrauchsschutz auf der Registrierungsseite – nur dort, nicht auf den übrigen Seiten | USA |
Der Push-Weg führt zwangsläufig über Expo und Google. Übertragen wird dabei bewusst nur das Nötigste: Schweregrad, Kategorie und eine interne Kennung. Gerätenamen und Bedrohungsnamen sind nicht Teil der Benachrichtigung – sie werden erst nach dem Öffnen der App aus der Datenbank geladen.
4. Speicherdauer
- Alarme: 12 Monate ab Eingang, danach automatische Löschung. Maßgeblich ist der Zeitpunkt, zu dem der Alarm bei CentralNoti eingegangen ist – nicht der, zu dem Sophos ihn ausgelöst hat. Ein erster Abruf liefert regelmäßig Alarme, die bereits Wochen alt sind; nach dem Auslösezeitpunkt zu löschen hieße, dem Kunden am Tag nach der Einrichtung einen Teil seiner Historie zu nehmen.
- Was an einem Alarm hängt – Bearbeitungsstand, Notizen, Zustellnachweise – wird mit ihm zusammen gelöscht.
- Betriebsprotokolle der Abrufe und Zustellungen: solange die zugehörige Verbindung besteht. Sie enthalten keine Alarminhalte, sondern Zeitpunkte, Anzahlen und Fehlermeldungen.
- Nach dem Löschen der letzten Verbindung zu einem Sophos-Tenant: 30 Tage. Danach werden sämtliche Daten zu diesem Tenant entfernt, auch die noch nicht abgelaufenen Alarme. Die Frist ist eine Gnadenfrist gegen das versehentliche Löschen einer Verbindung.
- Konto- und Gerätedaten: bis zur Löschung des Zugangs.
5. Rechte der Betroffenen
Es bestehen die Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77).
6. Keine automatisierte Entscheidungsfindung
Der Dienst entscheidet regelbasiert, ob ein Alarm eine Benachrichtigung auslöst (Schweregrad und Kategorie). Die Regel wird von der jeweiligen Organisation selbst gesetzt und ist dort jederzeit einsehbar und änderbar. Eine automatisierte Entscheidung mit rechtlicher Wirkung gegenüber Personen im Sinne des Art. 22 DSGVO findet nicht statt.