Datenschutzerklärung

Verantwortlicher für die in dieser Datenschutzerklärung beschriebenen personenbezogenen Daten ist Osaühing Ida Portal, eine im Handelsregister der Republik Estland unter dem Registercode 10970449 eingetragene Gesellschaft mit beschränkter Haftung, Sitz: Kivilinna tn 18-49, 20604 Narva, Ida-Viru maakond, Estonia („Betreiber“, „wir“). Der Betreiber erbringt seine Leistungen unter dem Namen Security Test Team.

Fragen und Anträge, die personenbezogene Daten betreffen, werden an info@securitytest.team gerichtet. Der Betreiber hat keinen Datenschutzbeauftragten benannt.

Diese Datenschutzerklärung gilt für die Website securitytest.team in allen ihren Sprachfassungen („Website“), für die Formulare der Website, für die Bug-Bounty-Plattform, die der Betreiber auf der Website betreibt („Plattform“), und für die Korrespondenz mit dem Betreiber.

Diese Datenschutzerklärung gilt nicht für personenbezogene Daten, auf die der Betreiber in den Systemen eines Kunden stoßen kann, während er einen Sicherheitscheck oder eine Sicherheitsprüfung durchführt, oder die eine Meldung eines Sicherheitsforschers enthält. Solche Daten werden im Auftrag des Kunden oder des Inhabers eines Programms, der ihr Verantwortlicher ist, nach dem Vertrag und den Bestimmungen zur Auftragsverarbeitung der Bedingungen des kostenlosen Website-Sicherheitschecks und der Bedingungen der Bug-Bounty-Plattform für Inhaber verarbeitet.

Der Betreiber verarbeitet personenbezogene Daten gemäß der Verordnung (EU) 2016/679 („DSGVO“) und dem Gesetz über den Schutz personenbezogener Daten der Republik Estland. Die in dieser Datenschutzerklärung ohne Angabe eines Staates genannten Gesetze sind Gesetze der Republik Estland.

Besuch der Website. Der Betreiber selbst erhebt keine personenbezogenen Daten über einen Besucher, der die Website liest: Die Website setzt keine Cookies, führt keine eigenen Besucherprotokolle, erstellt keine Profile und enthält keine Analyse- oder Werbetechnologien. Der Hosting-Anbieter, Cloudflare, Inc., verarbeitet die IP-Adresse und die technischen Daten jedes Abrufs, soweit dies erforderlich ist, um die Seiten auszuliefern und den Dienst vor Angriffen zu schützen.

Formulare der Website. Wenn Sie eine Anfrage zu einer Leistung, einen Antrag für ein Programm oder einen Antrag als Sicherheitsforscher senden, verarbeitet der Betreiber:

1. (a)Identifikations- und Kontaktdaten: Name, E-Mail-Adresse, Organisation, Funktion, den bevorzugten Kommunikationskanal und den Benutzernamen oder die Nummer in diesem Kanal;
2. (b)den Inhalt der Anfrage: die gewünschten Leistungen, die Adresse der Website oder des Systems, den gewünschten Beginn, die Prämien und die Sichtbarkeit eines Programms sowie den Text der Anfrage;
3. (c)die Daten eines Sicherheitsforschers: das Wohnsitzland, den Link zu einem öffentlichen Profil und die Beschreibung der Erfahrung;
4. (d)Ihre Bestätigungen: dass Sie berechtigt sind, das Testen der in der Anfrage genannten Systeme in Auftrag zu geben, und in Ausübung Ihrer geschäftlichen oder beruflichen Tätigkeit handeln, dass Sie volljährig sind und dass Sie die Bedingungen der Plattform akzeptieren, zusammen mit der Fassung der Bedingungen, die Sie akzeptiert haben, und der Fassung dieser Datenschutzerklärung, die neben dem Formular angezeigt wurde;
5. (e)technische Daten der Anfrage: den Zeitpunkt, die Sprache der Seite, die Seite, von der das Formular gesendet wurde, die in der Adresse dieser Seite enthaltenen Kampagnenparameter, das aus der IP-Adresse abgeleitete Land und den Anfang der Kennung des Browsers;
6. (f)einen schlüsselabhängigen Hashwert der IP-Adresse. Die IP-Adresse selbst speichert der Betreiber nicht, und sie kann ohne einen Schlüssel, der getrennt von den Daten aufbewahrt wird, nicht aus dem Hashwert wiederhergestellt werden.

Korrespondenz. Wenn Sie dem Betreiber per E-Mail oder über einen Messenger schreiben, verarbeitet der Betreiber Ihre Adresse oder Ihren Benutzernamen, den Inhalt der Nachrichten und den Zeitpunkt ihres Versands.

Vertrag. Wird ein Vertrag geschlossen, verarbeitet der Betreiber die Namen, Funktionen und Kontaktdaten der Unterzeichner und Ansprechpersonen des Kunden, die Daten, die in der Genehmigung zum Testen und in den Dokumenten enthalten sind, die die Inhaberschaft an einem System belegen, sowie die Daten von Rechnungen und Zahlungen.

Plattform, Sicherheitsforscher. Wenn ein Sicherheitsforscher an den Programmen teilnimmt, verarbeitet der Betreiber die Meldungen des Sicherheitsforschers, die Korrespondenz darüber und den Namen, den der Sicherheitsforscher gewählt hat. Vor der ersten Auszahlung verarbeitet er außerdem die in Abschnitt 4 aufgeführten Angaben, die Erklärungen des Sicherheitsforschers zum Staat der steuerlichen Ansässigkeit, zum Staat, in dem die Forschung durchgeführt wird, und zum Zahlungsempfänger, das Ergebnis der Prüfung der Identität und der Prüfungen anhand der Listen internationaler Sanktionen sowie die Daten der Zahlungen. Ist der Zahlungsempfänger eine juristische Person, verarbeitet der Betreiber außerdem die Daten ihrer Vertreter und der Personen, denen 50 % oder mehr an ihr gehören oder die sie kontrollieren.

Plattform, Inhaber. Wenn der Inhaber eines Programms verifiziert wird, verarbeitet der Betreiber die Daten seiner Vertreter und der Personen, denen 50 % oder mehr an ihm gehören oder die ihn kontrollieren, die Daten der Dokumente, die die Berechtigung zu seiner Vertretung und seine Kontrolle über die Systeme im Programm belegen, das Ergebnis der Prüfungen anhand der Listen internationaler Sanktionen und, bei einem Inhaber, der eine natürliche Person ist, das Ergebnis der Prüfung der Identität.

Der Betreiber erhält personenbezogene Daten auch aus anderen Quellen als von der betroffenen Person:

1. (a)von einem Kunden oder einem Inhaber: die Namen, Funktionen und Kontaktdaten seiner Vertreter, Unterzeichner und Ansprechpersonen;
2. (b)von einem Anfragenden: die Daten anderer Personen, die in der Anfrage genannt sind;
3. (c)von einem Sicherheitsforscher: die Daten der Vertreter eines Zahlungsempfängers, der eine juristische Person ist, und der Personen, denen er gehört oder die ihn kontrollieren;
4. (d)aus öffentlichen Registern, die öffentlich zugänglich sind: die Vertreter eines Inhabers oder eines Zahlungsempfängers und die Personen, denen er gehört oder die ihn kontrollieren;
5. (e)von der Seite, auf die ein Sicherheitsforscher in einem Antrag verlinkt und die öffentlich zugänglich ist: die Daten des öffentlichen Profils;
6. (f)aus den öffentlichen Listen internationaler Sanktionen: ob eine Person gelistet ist;
7. (g)aus den elektronischen Schnittstellen der Europäischen Union und der Mitgliedstaaten: ob eine Steuer-Identifikationsnummer oder eine Umsatzsteuer-Identifikationsnummer gültig ist.

Nimmt der Betreiber Kontakt mit einer Person auf, deren Daten er aus einer anderen Quelle erhalten hat, verweist er diese Person spätestens bei der ersten Mitteilung an sie auf diese Datenschutzerklärung.

Der Betreiber fragt keine besonderen Kategorien personenbezogener Daten, keine Daten über strafrechtliche Verurteilungen, keine Passwörter und keine Zugangsschlüssel ab und bittet Sie, diese nicht über die Formulare oder per E-Mail zu senden.

Die Bereitstellung personenbezogener Daten über ein Formular ist weder gesetzlich noch vertraglich vorgeschrieben; ohne die als erforderlich gekennzeichneten Daten kann der Betreiber die Anfrage nicht beantworten. Die Angaben, die ein Sicherheitsforscher vor der ersten Auszahlung macht (Abschnitt 4), sind gesetzlich und nach den Bedingungen der Bug-Bounty-Plattform für Sicherheitsforscher erforderlich; ohne sie wird keine Prämie ausgezahlt.

Der Betreiber verarbeitet personenbezogene Daten zu den folgenden Zwecken und auf den folgenden Rechtsgrundlagen:

Der Betreiber trifft keine ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen, betreibt kein Profiling, verwendet personenbezogene Daten nicht für Werbung und verkauft keine personenbezogenen Daten.

Der Betreiber verarbeitet personenbezogene Daten nicht zu einem Zweck, der mit den in diesem Abschnitt aufgeführten Zwecken unvereinbar ist.

Der Betreiber ist meldender Plattformbetreiber nach der Richtlinie 2011/16/EU des Rates in der Fassung der Richtlinie (EU) 2021/514 des Rates und nach Kapitel 2⁴ des Gesetzes über den Austausch von Steuerinformationen. Dieser Abschnitt informiert jeden Sicherheitsforscher und jeden Zahlungsempfänger darüber, dass Angaben über ihn erhoben und übermittelt werden, wie es Artikel 25 Absatz 4 dieser Richtlinie verlangt.

Vor der ersten Auszahlung erhebt der Betreiber die folgenden Angaben über jeden Sicherheitsforscher und jeden Zahlungsempfänger, der eine natürliche Person ist, und erfasst die an sie ausgezahlten Prämien:

1. (a)den Vor- und den Nachnamen, die Hauptanschrift und das Geburtsdatum;
2. (b)jede Steuer-Identifikationsnummer und den Staat, der sie erteilt hat, oder, wenn keine erteilt wurde, den Geburtsort;
3. (c)die Umsatzsteuer-Identifikationsnummer, sofern eine erteilt wurde;
4. (d)bei einem Einzelunternehmer das Register, in das das Unternehmen eingetragen ist, und seinen Registercode;
5. (e)die Kennung des Kontos, auf das Prämien ausgezahlt werden, und den Namen seines Inhabers;
6. (f)die in jedem Quartal ausgezahlten Prämien und die Anzahl der Meldungen, für die sie ausgezahlt wurden.

Der Betreiber prüft die Angaben anhand der Dokumente, die er erhält, anhand öffentlicher Register und anhand der elektronischen Schnittstellen, die die Europäische Union und die Mitgliedstaaten zur Prüfung von Steuer-Identifikationsnummern und Umsatzsteuer-Identifikationsnummern kostenlos bereitstellen.

Jedes Jahr übermittelt der Betreiber diese Angaben über die Sicherheitsforscher und die Zahlungsempfänger, die in einem Mitgliedstaat der Europäischen Union oder in einem von der estnischen Steuer- und Zollbehörde aufgeführten Land oder Gebiet ansässig sind, bis zum 31. Januar des Folgejahres an die estnische Steuer- und Zollbehörde. Die Behörde tauscht sie mit den Steuerbehörden des Staates oder der Staaten der Ansässigkeit aus.

Bevor die Angaben übermittelt werden, spätestens bis zum 31. Januar, teilt der Betreiber jeder Person die Angaben über sie mit, die er übermitteln wird, damit die Person die Rechte nach Abschnitt 9 rechtzeitig ausüben kann.

Die Angaben sind gesetzlich und nach den Bedingungen der Bug-Bounty-Plattform für Sicherheitsforscher erforderlich. Eine Prämie wird erst ausgezahlt, nachdem die Angaben gemacht und geprüft wurden.

Innerhalb des Betreibers sind personenbezogene Daten den Kundenbetreuern, die Anfragen beantworten, und den Spezialisten, die Angebote erstellen, Meldungen prüfen und Verträge erfüllen, zugänglich, soweit ihre Aufgaben es erfordern.

Der Inhaber eines Programms erhält die Meldungen über seine Systeme unter dem Namen, den der Sicherheitsforscher gewählt hat. Der Betreiber legt einem Inhaber die Identität eines Sicherheitsforschers nicht ohne dessen Einwilligung offen, es sei denn, der Sicherheitsforscher hat außerhalb des Programms oder der Regeln der Plattform gehandelt und der Inhaber benötigt die Identität zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, oder das Gesetz verlangt die Offenlegung.

Der Betreiber legt personenbezogene Daten den folgenden Empfängern offen:

Verarbeitet der Betreiber personenbezogene Daten im Auftrag eines Kunden oder des Inhabers eines Programms, wie in Abschnitt 1 beschrieben, nimmt er einen einzigen Unterauftragsverarbeiter in Anspruch: Cloudflare, Inc., Vereinigte Staaten, für das Hosting und für die Speicherung von Daten in der Europäischen Union. Der Betreiber sendet solche Daten weder per E-Mail noch über Messenger und legt sie nicht in seinem Postfach ab: Berichte, Meldungen und Nachweise werden über den im Vertrag genannten sicheren Kanal ausgetauscht.

Der Betreiber legt personenbezogene Daten Gerichten, Aufsichts- und Strafverfolgungsbehörden nur offen, wenn das Gesetz ihn dazu verpflichtet, und nur im erforderlichen Umfang.

Die Empfänger nach Abschnitt 5, die außerhalb Estlands niedergelassen sind, und die Grundlagen, auf denen personenbezogene Daten an sie außerhalb des Europäischen Wirtschaftsraums übermittelt werden, sind die folgenden:

Die Datenbank der Anfragen wird in der Europäischen Union gespeichert. Die Website, die Formulare, die Missbrauchsprüfung und die Verarbeitung von E-Mails laufen im globalen Netzwerk von Cloudflare, das Rechenzentren außerhalb des Europäischen Wirtschaftsraums umfasst.

Über einen Messenger vereinbart der Betreiber nur die nächsten Schritte. Zugangsdaten, Schlüssel und Einzelheiten zu Schwachstellen werden nur über den mit Ihnen vereinbarten sicheren Kanal ausgetauscht.

Eine Kopie der Garantien, die für eine bestimmte Übermittlung gelten, können Sie per E-Mail an info@securitytest.team anfordern.

Eine über ein Formular gesendete Anfrage wird 365 Tage ab dem Tag ihres Eingangs gespeichert und dann automatisch gelöscht. Bis zu sieben Tage nach ihrer Löschung verbleibt sie im Wiederherstellungsverlauf der Datenbank, Cloudflare D1 Time Travel, aus dem sie nur wiederhergestellt werden kann, indem die gesamte Datenbank auf einen früheren Zeitpunkt zurückgesetzt wird. Der Betreiber löscht die Kopie einer Anfrage, die in sein Postfach zugestellt wurde, innerhalb desselben Zeitraums; danach kann Google die gelöschte Kopie für die in seiner eigenen Datenschutzerklärung angegebenen Zeiträume aufbewahren. Der Betreiber hält die Vorschauen von Cloudflare Email Service ausgeschaltet; diese Funktion würde eine Kopie jeder gesendeten Nachricht etwa sieben Tage lang aufbewahren.

Korrespondenz, die nicht zu einem Vertrag geführt hat, wird spätestens 365 Tage nach der letzten Nachricht gelöscht.

Führt eine Anfrage zu einem Test, überträgt der Betreiber die in der Anfrage abgegebene Bestätigung der Befugnis in die Vertragsakte. Diese Bestätigung und die unterzeichnete Genehmigung zum Testen werden mit dem Vertrag aufbewahrt, bis die Verjährungsfristen für die Ansprüche und die Straftaten im Zusammenhang mit dem Test abgelaufen sind, in jedem Fall mindestens fünf Jahre nach dem Test.

Die Daten eines Sicherheitsforschers und eines Inhabers werden für die Dauer des Vertrags und danach für die Fristen dieses Abschnitts aufbewahrt. Der Betreiber bewahrt keine Kopie eines Ausweisdokuments auf; er bewahrt die Aufzeichnung über die Prüfung der Identität mit den Angaben nach Abschnitt 4 auf.

Die Angaben nach Abschnitt 4 und die Aufzeichnungen über die Schritte zu ihrer Erhebung und Prüfung werden mindestens für das laufende Kalenderjahr und die sechs vorangegangenen Kalenderjahre und höchstens zehn Jahre aufbewahrt (§ 8 Absatz 3 des Gesetzes über den Austausch von Steuerinformationen). Die Aufzeichnung über eine Prüfung anhand der Listen internationaler Sanktionen wird mit den Unterlagen der Zahlung aufbewahrt, der sie vorausging.

Buchhaltungs- und Steuerunterlagen werden für die folgenden Fristen aufbewahrt; gelten für ein Dokument mehrere Fristen, gilt die längste:

1. (a)Buchungsbelege wie Rechnungen und Zahlungsbelege: sieben Jahre ab dem Ende des Geschäftsjahres, in dem der Geschäftsvorfall gebucht wurde (§ 12 Absatz 1 des Rechnungslegungsgesetzes);
2. (b)Verträge, Bücher, Berichte und die sonstigen Geschäftsunterlagen, die zur Nachvollziehung der Geschäftsvorfälle erforderlich sind: sieben Jahre ab dem Ende des Geschäftsjahres, das sie betreffen (§ 12 Absatz 2 des Rechnungslegungsgesetzes);
3. (c)Unterlagen über langfristige Rechte und Pflichten, etwa die Verträge mit Kunden, Inhabern und Sicherheitsforschern und die Lizenzen an Berichten und Meldungen: sieben Jahre nach deren Ablauf (§ 12 Absatz 3 des Rechnungslegungsgesetzes);
4. (d)Rechnungen: sieben Jahre ab ihrer Ausstellung oder ihrem Erhalt (§ 36 des Umsatzsteuergesetzes);
5. (e)sonstige für die Besteuerung bedeutsame Unterlagen: sieben Jahre ab dem 1. Januar des Jahres, das auf ihre Erstellung oder ihren Erhalt folgt (§ 58 der Abgabenordnung).

Daten, die für die Geltendmachung, Ausübung oder Verteidigung eines Rechtsanspruchs erforderlich sind, werden aufbewahrt, bis über den Anspruch endgültig entschieden ist, und andernfalls, bis seine Verjährungsfrist abgelaufen ist.

Die Website setzt keine Cookies und speichert nichts auf Ihrem Gerät. Die automatisierte Missbrauchsprüfung der Formulare wird von Cloudflare Turnstile bereitgestellt. Diese Prüfung startet erst, wenn Sie beginnen, ein Formular auszufüllen, oder es senden. Was Turnstile auf Ihrem Gerät speichert und ausliest, ist in der Cookie-Richtlinie beschrieben.

Im Umfang und unter den Voraussetzungen der DSGVO haben Sie das Recht:

1. (a)eine Bestätigung darüber zu verlangen, ob Ihre personenbezogenen Daten verarbeitet werden, sowie Auskunft über diese Daten und eine Kopie davon zu erhalten (Artikel 15);
2. (b)die Berichtigung unrichtiger Daten und die Vervollständigung unvollständiger Daten zu verlangen (Artikel 16);
3. (c)die Löschung Ihrer Daten zu verlangen (Artikel 17);
4. (d)die Einschränkung der Verarbeitung zu verlangen (Artikel 18);
5. (e)die Daten, die Sie bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und einem anderen Verantwortlichen zu übermitteln (Artikel 20);
6. (f)aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch gegen eine Verarbeitung einzulegen, die auf einem berechtigten Interesse beruht (Artikel 21);
7. (g)eine Einwilligung jederzeit zu widerrufen, soweit die Verarbeitung auf ihr beruht. Der Widerruf berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung (Artikel 7 Absatz 3).

Um ein Recht auszuüben, schreiben Sie an info@securitytest.team und geben Sie, wenn Sie eine Anfrage über ein Formular gesendet haben, deren Referenznummer an. Der Betreiber kann die Informationen verlangen, die zur Bestätigung Ihrer Identität erforderlich sind. In der Regel bestätigt er Ihre Identität über die Adresse oder den Benutzernamen, die ihm aus Ihrer Anfrage oder Ihrer Korrespondenz bekannt sind, und verlangt keine Kopie eines Ausweisdokuments.

Der Betreiber antwortet innerhalb von 28 Tagen nach Eingang des Antrags. Wenn die Komplexität oder die Anzahl der Anträge es erfordert, kann die Frist gemäß Artikel 12 Absatz 3 DSGVO um bis zu zwei weitere Monate verlängert werden; Sie werden innerhalb der ursprünglichen Frist über die Verlängerung und ihre Gründe informiert. Die Ausübung der Rechte ist kostenlos.

Sie haben das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Die für den Betreiber zuständige Aufsichtsbehörde ist die estnische Datenschutzinspektion (Andmekaitse Inspektsioon), Tatari 39, 10134 Tallinn, Estland, info@aki.ee, www.aki.ee.

Der Betreiber trifft dem Risiko angemessene technische und organisatorische Maßnahmen, darunter die folgenden:

1. (a)die Website und die Formulare werden ausschließlich über verschlüsselte Verbindungen ausgeliefert;
2. (b)der Dienst, der Anfragen speichert, ist aus dem Internet nicht erreichbar und nimmt Daten nur von der Website entgegen;
3. (c)IP-Adressen werden als schlüsselabhängige Hashwerte gespeichert;
4. (d)der Zugriff auf gespeicherte Anfragen ist auf die Personen beschränkt, die sie beantworten;
5. (e)Anfragen werden nach Ablauf der Speicherfrist automatisch gelöscht.

Die Maßnahmen, die die Informationen von Kunden schützen, sind in der Richtlinie zur Informationssicherheit beschrieben.

Die Website richtet sich an Organisationen und an Personen, die in Ausübung ihrer geschäftlichen oder beruflichen Tätigkeit handeln. Der Betreiber verarbeitet nicht wissentlich personenbezogene Daten von Kindern.

Die Fassung dieser Datenschutzerklärung ist das Datum, ab dem sie gilt. Die aktuelle Fassung ist 2026-09-29.

Eine Anfrage erfasst die Fassung dieser Datenschutzerklärung, die beim Senden der Anfrage neben dem Formular angezeigt wurde, als Nachweis der Informationen, die dem Anfragenden erteilt wurden. Diese Aufzeichnung ist keine Einwilligung.

Der Betreiber veröffentlicht Änderungen auf dieser Seite. Eine Änderung gilt nicht für Verarbeitungen, die vor ihrem Wirksamwerden abgeschlossen wurden.