Rechtliches

Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

LumaSec UG (haftungsbeschränkt)
Rudolstädter Str. 18, 16515 Oranienburg
E-Mail: kontakt@lumasec.de

2. Hosting, Server-Logfiles und E-Mail-Versand

Hosting: Website, Datenbank und E-Mail-Versand betreibt für uns die IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, in Rechenzentren in Deutschland. IONOS verarbeitet die Daten ausschließlich in unserem Auftrag und nach unserer Weisung; mit IONOS besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Server-Logfiles: Beim Besuch unserer Website werden durch den Webserver automatisch Informationen in Server-Logfiles gespeichert, die Ihr Browser übermittelt. Dies sind:

Diese Daten sind nicht bestimmten Personen zuordenbar. Eine Zusammenführung dieser Daten mit anderen Datenquellen wird nicht vorgenommen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und störungsfreien Betrieb).

Schutz vor Missbrauch: Damit unsere Formulare und Anmeldungen nicht automatisiert missbraucht werden, zählen wir Anfragen je IP-Adresse in kurzen Zeitfenstern. Diese Zähler löschen wir nach sieben Tagen (Art. 6 Abs. 1 lit. f DSGVO).

E-Mail-Versand: Bestätigungen und Benachrichtigungen, etwa zu Terminen, Anfragen oder Ihrem Konto, versenden wir über den Mailserver von IONOS. Die Übertragung erfolgt verschlüsselt, soweit der empfangende Mailserver dies unterstützt.

3. Kontaktaufnahme per E-Mail und Kontaktformular

Wenn Sie uns per E-Mail kontaktieren, werden Ihre Angaben (E-Mail-Adresse, ggf. Name und Telefonnummer) zum Zweck der Bearbeitung Ihrer Anfrage gespeichert. Diese Daten geben wir nicht ohne Ihre Einwilligung weiter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Die Daten werden gelöscht, sobald die Anfrage abschließend beantwortet wurde und keine gesetzlichen Aufbewahrungsfristen entgegenstehen.

Kontaktformular: Nutzen Sie das Formular auf dieser Website, verarbeiten wir die dort eingegebenen Angaben. Pflichtangaben sind Vor- und Nachname sowie E-Mail-Adresse; Telefonnummer, Behörde bzw. Unternehmen, Funktion und Nachricht sind freiwillig. Zusätzlich speichern wir das gewählte Anliegen, den Zeitpunkt der Absendung sowie IP-Adresse und User-Agent zur Abwehr von missbräuchlichen und automatisierten Einsendungen (Art. 6 Abs. 1 lit. f DSGVO). Über das Formular nehmen wir auch Anfragen zu Schulungen entgegen. Sie erhalten eine Eingangsbestätigung mit Ihren Angaben an die angegebene E-Mail-Adresse.

Die Übermittlung erfolgt verschlüsselt (TLS); die Daten werden bei unserem Hoster in Deutschland gespeichert (siehe Abschnitt 2) und nicht an Dritte weitergegeben. Wir löschen Anfragen samt IP-Adresse und User-Agent, sobald sie abschließend bearbeitet sind und keine gesetzlichen Aufbewahrungsfristen entgegenstehen — spätestens 12 Monate nach dem letzten Kontakt. Die Bereitstellung der Pflichtangaben ist erforderlich, um Ihre Anfrage beantworten zu können; alternativ erreichen Sie uns jederzeit formlos per E-Mail.

4. Online-Terminbuchung (Erstgespräch)

Über die Seite „Erstgespräch buchen" können Sie einen Gesprächstermin mit uns vereinbaren. Verarbeitet werden:

Zweck und Rechtsgrundlage: Die Verarbeitung dient der Vereinbarung und Durchführung des Erstgesprächs als vorvertragliche Maßnahme (Art. 6 Abs. 1 lit. b DSGVO); die Speicherung von IP-Adresse und User-Agent erfolgt auf Grundlage unseres berechtigten Interesses an der Missbrauchsabwehr (Art. 6 Abs. 1 lit. f DSGVO).

Bestätigungsverfahren: Nach der Buchung erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst mit Ihrer Bestätigung wird der Termin verbindlich. Unbestätigte Reservierungen werden nach Ablauf des Links (ca. 1 Stunde) automatisch und vollständig gelöscht. Jede Bestätigungs-E-Mail enthält einen Storno-Link, über den Sie den Termin selbst absagen können.

Speicherdauer: Daten zu durchgeführten oder stornierten Terminen werden spätestens 6 Monate nach dem Termin gelöscht, sofern sich keine Geschäftsbeziehung anschließt. IP-Adresse und User-Agent werden bereits nach 30 Tagen entfernt.

Kein externer Dienst: Die Terminbuchung läuft vollständig bei unserem Hoster in Deutschland (siehe Abschnitt 2). Es wird kein externer Buchungs- oder Kalenderdienst eingebunden; die mitgesendete Kalenderdatei (.ics) wird auf unserem Server erzeugt.

5. Schulungen

Schulungen (z. B. BSI BCM-Praktiker, Inhouse-Trainings) vereinbaren wir auf Anfrage. Ihre Anfrage erreicht uns über das Kontaktformular oder per E-Mail (siehe Abschnitt 3). Kommt ein Schulungsvertrag zustande, verarbeiten wir die dafür erforderlichen Daten:

Zweck und Rechtsgrundlage: Die Verarbeitung erfolgt zur Durchführung des Schulungsvertrags und vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) sowie zur Erfüllung gesetzlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO i. V. m. §§ 147 AO, 257 HGB).

Empfänger: Zahlungs- und Rechnungsdaten werden an unseren Steuerberater übermittelt, soweit gesetzlich vorgeschrieben. Eine Weitergabe an Schulungspartner findet nicht statt.

Speicherdauer: Vertragsdaten werden gelöscht, sobald sie zur Vertragsdurchführung nicht mehr erforderlich sind. Rechnungs- und buchhaltungsrelevante Daten werden gemäß steuer- und handelsrechtlicher Aufbewahrungspflichten (regelmäßig 10 Jahre) gespeichert.

KI-Kurs: Den Online-Kurs zum Einsatz von KI schalten wir mit einem Zugangscode frei, den Organisationen nach Freigabe ihres Scan-Kontos per E-Mail erhalten (siehe Abschnitt 6). Den Code prüft Ihr Browser selbst; er merkt sich die Freischaltung im lokalen Speicher (siehe Abschnitt 8). Den Namen für die Teilnahmebestätigung geben Sie nur zum Ausdrucken ein; er wird nicht an uns übertragen.

6. Konto und Sicherheits-Scan-Dienst für Verwaltung

Kommunen, Landkreise, Behörden und kommunale Unternehmen können sich für unseren Sicherheits-Scan-Dienst registrieren. Andere Organisationen, etwa Unternehmen, binden wir auf Anfrage selbst an. Wir prüfen dabei die öffentlich erreichbaren Systeme der Organisation auf Schwachstellen und melden die Ergebnisse zurück. Dafür ist ein Konto erforderlich; Sie erreichen es über die Seite „Scan-Dienst · Login".

Registrierung. Bei der Anmeldung verarbeiten wir:

Adressen privater Freemail-Anbieter lassen wir nicht zu. Nach der Registrierung erhalten Sie eine E-Mail mit einem Bestätigungslink, der 24 Stunden gültig ist. Erst nach Ihrer Bestätigung prüfen wir den Zugang und schalten ihn manuell frei. Mit der Freischaltung erhalten Sie per E-Mail auch den Zugang zu unserem KI-Kurs (siehe Abschnitt 5). Registrierungen, die nicht bestätigt werden, löschen wir automatisch spätestens sieben Tage nach Ablauf des Links.

Von uns eingerichtete Zugänge. Binden wir eine Organisation selbst an, erfassen wir dieselben Angaben wie bei der Registrierung nach Ihren Mitteilungen; hier ist jede E-Mail-Adresse möglich, auch die eines Freemail-Anbieters. Sie erhalten eine E-Mail mit einem Einladungslink, der bis zu sieben Tage gültig ist und nur einmal funktioniert. Darüber legen Sie Ihr Passwort selbst fest und stimmen den Bedingungen des Scan-Dienstes zu; wir kennen Ihr Passwort nicht. Bis dahin ist keine Anmeldung möglich. Beim Festlegen des Passworts speichern wir Zeitpunkt, IP-Adresse und User-Agent wie bei der Registrierung.

Zweck und Rechtsgrundlage: Die Verarbeitung dient der Anbahnung und Durchführung des Vertrags über den Scan-Dienst (Art. 6 Abs. 1 lit. b DSGVO). IP-Adresse, User-Agent und protokollierte Anmeldeversuche verarbeiten wir auf Grundlage unseres berechtigten Interesses an der Abwehr von Missbrauch und Angriffen auf Zugangsdaten (Art. 6 Abs. 1 lit. f DSGVO).

Anmeldung und Zwei-Faktor-Authentisierung. Jeden Anmeldeversuch protokollieren wir mit Zeitpunkt, IP-Adresse, verwendeter E-Mail-Adresse und Erfolg oder Misserfolg, um Angriffe auf Zugangsdaten zu erkennen und zu bremsen. Diese Protokolle löschen wir automatisch nach 30 Tagen; IP-Adresse und User-Agent aus der Registrierung entfernen wir nach 30 Tagen aus dem Konto.

Sie können Ihren Zugang zusätzlich mit einer Zwei-Faktor-Authentisierung schützen. Dabei speichern wir einen verschlüsselten Schlüssel, aus dem Ihre Authenticator-App die Einmal-Codes berechnet, sowie die Hashwerte Ihrer Wiederherstellungscodes — die Codes selbst kennen wir nicht. Lösen Sie einen Wiederherstellungscode ein, vermerken wir Zeitpunkt und IP-Adresse, damit Sie und wir einen Missbrauch erkennen können. Zusätzlich merken wir uns für wenige Minuten, welches Zeitfenster zuletzt verwendet wurde, damit ein abgefangener Code nicht ein zweites Mal genutzt werden kann. Schalten Sie die Zwei-Faktor-Authentisierung ab oder löschen wir Ihr Konto, werden diese Daten mitgelöscht. Wir versenden für die Anmeldung bewusst keine Codes per SMS oder E-Mail.

Scan-Freigabe. Vor der ersten Prüfung laden Sie eine von einer berechtigten Person unterzeichnete Freigabe hoch (PDF, JPG oder PNG, höchstens 10 MB). Sie enthält in der Regel Namen und Funktion der unterzeichnenden Person; zusätzlich erfassen wir beide Angaben als Textfelder sowie Zeitpunkt, IP-Adresse und User-Agent des Hochladens als Nachweis. Die Dateien liegen außerhalb des öffentlich erreichbaren Bereichs unseres Webspace und sind nur nach Anmeldung für Ihr Konto und für uns abrufbar. Die Freigabe ist der Nachweis, dass wir Ihre Systeme prüfen dürfen (Art. 6 Abs. 1 lit. b und f DSGVO).

Scan-Ziele und Ergebnisse. Sie tragen die zu prüfenden Domains, Hostnamen oder IP-Adressen Ihrer Organisation ein. Zu jedem Fund speichern wir das betroffene System, eine Beschreibung, die Bewertung des Schweregrads und einen technischen Beleg. Diese Belege können personenbezogene Daten enthalten — etwa funktionsbezogene E-Mail-Adressen Ihrer Organisation wie poststelle@ oder it@, die in öffentlich bekannten Datenlecks aufgetaucht sind. Passwörter aus solchen Lecks zeigen wir nicht an und speichern wir nicht; wir melden ausschließlich, dass eine Adresse betroffen ist.

Anbindung an LumaSec Genius. Nutzt Ihre Organisation LumaSec Genius, kann Ihre Genius-Instanz über einen nur ihr zugeordneten Schlüssel mit dem Scan-Dienst verbunden werden. Sie übergibt dann die zu prüfenden Ziele und, falls gewünscht, die E-Mail-Adressen für die Datenleck-Prüfung, und sie erhält die Ergebnisse zurück. Diese E-Mail-Adressen halten wir nur für die Dauer des jeweiligen Prüflaufs vor und löschen sie danach.

Alarmierung: Bei kritischen oder hohen Funden melden wir uns über die hinterlegte Notfall-Nummer und zusätzlich per E-Mail. Dafür ist die Angabe der Notfall-Nummer erforderlich.

Externe Abfragen während der Prüfung. Die Prüfungen führen wir von Systemen aus, die wir selbst betreiben. Sie erhalten nur die Prüfziele, keine Kontaktdaten Ihres Kontos. Konto- und Ergebnisdaten liegen bei unserem Hoster in Deutschland (siehe Abschnitt 2). Folgende Abfragen verlassen dabei unsere Systeme:

Unsere Rolle. Für die Daten Ihres Kontos — Ansprechpartner, Kontakt- und Notfall-Nummer, Anmeldedaten — sind wir Verantwortlicher im Sinne der DSGVO. Soweit wir bei der Prüfung Ihrer Systeme personenbezogene Daten Ihrer Organisation verarbeiten, tun wir dies weisungsgebunden in Ihrem Auftrag; dazu schließen wir vor Beginn der Prüfungen einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO mit Ihrer Organisation.

Speicherdauer. Konto- und Kontaktdaten speichern wir, solange das Konto besteht. Sie können die Löschung jederzeit verlangen; ohne Löschverlangen entfernen wir das Konto samt Scan-Zielen und Ergebnissen spätestens sechs Monate nach Ende der Zusammenarbeit. Das gilt auch für Registrierungen, die wir nicht freischalten. Die Ergebnisse der Prüfungen bewahren wir während des laufenden Monitorings auf, weil der Vergleich über die Zeit gerade der Zweck des Dienstes ist. Unterzeichnete Freigaben halten wir bis zu drei Jahre nach Ende der Zusammenarbeit als Nachweis der erteilten Berechtigung vor (Art. 6 Abs. 1 lit. f DSGVO). Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Bereitstellung. Ohne die Pflichtangaben — Organisation, Ansprechpartner, dienstliche E-Mail-Adresse, Notfall-Nummer und Passwort — können wir kein Konto anlegen und den Dienst nicht erbringen. Ohne unterzeichnete Freigabe beginnen wir keine Prüfung.

8. Cookies, lokaler Speicher und Tracking

Diese Website setzt keine Tracking-Cookies ein und verwendet keine Analyse- oder Werbedienste Dritter (z. B. Google Analytics). Sie lädt keine Inhalte von fremden Servern. Es werden keine personenbezogenen Daten an Dritte zu Werbezwecken übermittelt.

Sitzungs-Cookies im Anmeldebereich: Melden Sie sich im Kundenbereich des Scan-Dienstes (lumasec_kunde) oder in unserer internen Verwaltung (lumasec_admin) an oder geben Sie die PIN zu einem Kunden-Fragebogen ein (lumasec_fb, siehe Abschnitt 7), setzen wir ein technisch notwendiges Sitzungs-Cookie. Es enthält ausschließlich eine zufällige Sitzungskennung und dient allein dazu, Ihre Anmeldung während des Besuchs aufrechtzuerhalten. Es wird mit der Abmeldung beziehungsweise dem Schließen des Browsers ungültig, spätestens nach acht Stunden (beim Fragebogen nach vier Stunden). Eine Auswertung Ihres Verhaltens findet damit nicht statt. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG (früher TTDSG) in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO.

Lokaler Speicher im Browser: Einige Angaben legt Ihr Browser auf Ihrem Gerät ab, damit die Seite funktioniert, wie Sie es eingestellt haben:

Diese Angaben verlassen Ihr Gerät nicht und werden nicht an uns übertragen; Sie können sie jederzeit über die Einstellungen Ihres Browsers löschen. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG.

9. Schriftarten (lokal eingebunden)

Diese Website verwendet Schriftarten, die vollständig auf unserem eigenen Webspace gespeichert sind und von dort geladen werden. Es findet keine Verbindung zu Servern von Google (Google Fonts) oder anderen Drittanbietern statt; Ihre IP-Adresse wird beim Laden der Schriften nicht an Dritte übertragen.

10. Datensicherung

Damit bei einem technischen Ausfall keine Daten verloren gehen, sichern wir Datenbank und Dateien unserer Website regelmäßig. Die Sicherungen enthalten die in diesem Dokument beschriebenen Daten, etwa Anfragen, Termine, Konten, Scan-Freigaben und Fragebogen-Antworten. Sie liegen geschützt und nicht öffentlich abrufbar bei unserem Hoster sowie als Kopie auf eigenen, gesicherten Systemen der LumaSec in Deutschland. Ältere Sicherungen überschreiben wir fortlaufend, in der Regel nach spätestens 90 Tagen. Daten, die wir im laufenden Betrieb gelöscht haben, verschwinden damit spätestens mit Ablauf der letzten Sicherung, die sie noch enthält. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO (Sicherheit und Verfügbarkeit der Verarbeitung).

11. Ihre Rechte als betroffene Person

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

Widerspruchsrecht: Verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

Zur Geltendmachung Ihrer Rechte wenden Sie sich bitte an: datenschutz@lumasec.de

12. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg, Stahnsdorfer Damm 77, 14532 Kleinmachnow.

13. Aktualität dieser Datenschutzerklärung

Diese Datenschutzerklärung hat den Stand September 2026. Wir behalten uns vor, sie bei Bedarf zu aktualisieren, um der aktuellen Rechtslage und neuen Leistungen (z. B. weiteren Schulungen oder Ausbaustufen des Scan-Dienstes) zu entsprechen.