Datenschutzerklärung zu „Sicherer Login für Webdienste“

Informationen zur Verarbeitung personenbezogener Daten nach Art. 13 und Art. 14 EU DSGVO

Der Schutz von personenbezogenen Daten hat einen besonders hohen Stellenwert für die Geschäftsleitung der secunet Security Networks AG - nachfolgend „secunet“ genannt. Aus diesem Grund möchten wir Ihnen in dieser Datenschutzerklärung erläutern, wie wir Ihre Privatsphäre schützen, wenn wir Ihre personenbezogenen Daten verarbeiten.

1. Verantwortlicher für die Datenverarbeitung

Verantwortlicher im Sinne der Datenschutzgrundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG) ist:

     secunet Security Networks AG
     Kurfürstenstraße 58
     45138 Essen

     Vorstand: Axel Deininger (Vors.), Torsten Henn, Dr. Kai Martius, Thomas Pleines

     Tel.: +49 (0) 201 5454-0
     Fax: +49 (0) 2015454-100
     E-Mail: info(at)secunet.com

Den Datenschutzbeauftragten der secunet Security Networks AG erreichen Sie unter:

     secunet Security Networks AG
     Kurfürstenstraße 58
     45138 Essen

     E-Mail: datenschutz(at)secunet.com

2. Kontext und Funktion
Protect4use ist eine Multi-Faktor-Authentifizierungslösung für Onlinedienste (nachfolgend "Dienste") mit hohen Anforderungen an Sicherheit und Datenschutz. Anhand besonders geschützter Zugangsschlüssel auf einem Gerät kann geprüft werden, ob ein Nutzer wirklich derjenige ist, der sich ursprünglich registriert hat.

Das Programm bzw. die App "Sicherer Login bei Webdiensten" (nachfolgend "Applikation" oder "Sicherer Login") ermöglicht den Nutzern der Dienste, welche diese Lösung einsetzen:

• Login ohne konventionelle Passwörter
• Nachweisfähige Autorisierung beliebiger Transaktionen
• Zurechenbare Einreichung digital signierter Daten (z.B. Dokumente oder Fotos)

Alle Benutzer-Interaktionen werden dabei vom jeweiligen Dienst gesteuert. Die Applikation wird dafür z.B. aus dem Webbrowser, über eine Push-Nachricht oder das Scannen eines QR-Codes gestartet.

3. Personenbezogene Daten
Einige Daten, die bei der Nutzung der Applikation verarbeitet werden, sind personenbezogene Daten. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Die verwendeten Begrifflichkeiten in dieser Datenschutzerklärung wie z.B. „personenbezogene Daten“ oder deren „Verarbeitung“ entsprechen den Definitionen des Art. 4 der DSGVO. Wir nehmen den Schutz personenbezogener Daten sehr ernst und beachten sämtliche anwendbaren datenschutzrechtlichen Bestimmungen.

4. Erforderliche Berechtigungen
Folgende Zugriffsberechtigungen sind für die Funktion der App auf mobilen Geräten erforderlich:

• Speicher: Für das Speichern und den Zugriff auf Sicherheitsschlüssel und Konfigurationseinstellungen. Zugriff auf Daten, welche vom Benutzer zur Übertragung an den Dienst ausgewählt werden.
• Netzwerk, Verbindungen und Internetdaten: Für die Kommunikation mit dem jeweils genutzten Onlinedienst.
• Kamera: Für das Scannen von QR-Codes zum Öffnen der App in einem bestimmten Kontext. Auch zur Aufnahme von Fotos, welche der Benutzer an einen Dienst übermitteln möchte.
• Biometrische Hardware: Ermöglicht die Nutzung von Fingerabdruck oder Gesichtserkennung als zweiten Faktor bei der Nutzer-Authentifizierung. Die Verarbeitung erfolgt dabei durch das Endgerät. An die App wird ausschließlich das Ergebnis der Überprüfung übermittelt.
• Mitteilungen: Bei Empfang einer Push-Nachricht von einem genutzten Dienst kann die App entweder automatisch in einem bestimmten Kontext geöffnet werden oder den Kontext ändern.

5. Zweck, Rechtsgrundlage und Datenkategorie der Verarbeitung

5.1 Bei Download & Installation
Die Apps für Mobilgeräte können direkt aus dem Google Play Store oder dem Apple App Store („Drittanbieter”) heruntergeladen und installiert werden. Dafür gelten die jeweiligen Nutzungsbedingungen der Drittanbieter. secunet ist nicht Partei einer derartigen Vereinbarung und hat keinen Einfluss auf die Datenverarbeitung durch den Drittanbieter.  Verantwortlicher ist insoweit allein der Betreiber des jeweiligen App-Stores.

Das Programm für Windows kann von unserer secunet-Webseite heruntergeladen werden. Dafür gilt die Datenschutzerklärung für unsere allgemeinen Onlineangebote. Bei der Installation erheben wir keine Daten.

5.2 Bei Interaktion mit Diensten

5.2.1 Nutzungsdaten

Zum Authentifizierungsserver des jeweils genutzten Dienstes werden übertragen:

• Zugangsschlüssel: Eindeutige Kennung, Zeitpunkt der Erstellung und der letzten Nutzung, Daten zur Schlüsselprüfung
• Eindeutige Kennung der installierten App für den Empfang von Push-Nachrichten
• Gerätemodellnummer und/oder nutzerspezifischer Gerätename

Lokal auf dem Gerät gespeichert werden:

• Genutzte Onlinedienste: Hostname/Domain
• Zugangsschlüssel: Zeitpunkt der Registrierung und des letzten Zugriffs, damit genutzte Onlinedienste und verwendete Benutzerkennung(en)

Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 S. 1 lit.  b) DSGVO, da sie für die Vertragserfüllung bzw. zur Durchführung vorvertraglicher Maßnahmen erforderlich ist. Die Verarbeitung ermöglicht die Bereitstellung und die vollständige Nutzung der Applikation.

5.2.2 Inhaltsdaten

Die genutzten Dienste können zur Eingabe und zur Übermittlung beliebiger Daten auffordern. Dafür sind allein die jeweiligen Dienste verantwortlich. Weitere Informationen entnehmen Sie den Datenschutzerklärungen Ihres Dienstes.

5.3 Bei Einsendung von Log-Dateien

In der Applikation kann ein Benutzer bei Bedarf die Übertragung von Log-Dateien an den technischen Support von secunet initiieren. Aus diesen sind alle Aktivitäten bei Verwendung der Applikation ersichtlich. Diese Daten werden ausschließlich für den technischen Support verwendet und nach Zweckerfüllung und unter Einhaltung von gesetzlichen Aufbewahrungsfristen gelöscht. Bei Bedarf können sowohl secunet als auch die jeweils genutzten Onlinedienste darauf zugreifen.

Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 S. 1 lit.  b) DSGVO, da sie für die Vertragserfüllung erforderlich ist. Es besteht zudem ein berechtigtes Interesse an der Verarbeitung zur Optimierung der Systemsicherheit und -stabilität nach Art. 6 Abs. 1 S.1 lit f) DSGVO.

6. Empfänger oder Kategorien von Empfängern der personenbezogenen Daten

Ihre Daten werden nicht an Dritte weitergegen.

7. Automatisierte Entscheidungsfindung oder Profiling

Eine automatisierte Entscheidungsfindung oder Profiling von Betroffenen im Verantwortungsbereich der secunet findet nicht statt.

8. Dauer der Speicherung von personenbezogenen Daten

Wir speichern personenbezogene Daten nur solange diese zur Zweckerfüllung erforderlich sind. Log-Dateien im Rahmen von Supportfällen werden in der Regel nach 12 Monaten gelöscht.

Von der Löschung ausgenommen sind die Daten, die wir zur Abwicklung noch ausstehender Aufgaben oder zur Durchsetzung unserer Rechte und Ansprüche benötigen, sowie Daten, die wir nach gesetzlicher Maßgabe aufbewahren müssen.

9. Sicherheitsmaßnahmen

Der Zugang zu Diensten und alle Benutzer-Interaktionen erfordern eine Zwei-Faktor-Authentifizierung.  Der Übertragungsweg zum Authentifizierungsserver des jeweils genutzten Dienstes ist mehrfach gesichert. Bekannte Sicherheitslücken werden ggf. zeitnah geschlossen.

10. Datenübermittlung an ein Drittland

Die von secunet als Entwickler der Applikation verarbeiteten Daten im Rahmen des technischen Supports werden innerhalb der Bundesrepublik Deutschland verarbeitet. Eine Übermittlung dieser Daten an ein Drittland ist nicht vorgesehen.

Wir - bzw. im Falle der Auftragsverarbeitung unsere Dienstleister - verarbeiten personenbezogene Daten grundsätzlich nur in Ländern innerhalb der EU bzw. des Europäischen Wirtschaftsraums, die dem Geltungsbereich der DSGVO unterliegen. Ausnahmsweise können personenbezogene Daten in andere Länder (sog. „Drittländer“) übermittelt werden, wenn ein angemessenes Datenschutzniveau gemäß Art. 44 DSGVO garantiert ist, so etwa

• wenn ein sog. "Angemessenheitsbeschlusses" der Europäischen Kommission besteht,
• durch Verwendung der "EU-Standardvertragsklauseln" oder
• durch sonstige geeignete Garantien zur Gewährleistung eines angemessenen Datenschutzniveaus gemäß Art. 46 DSGVO.

Zudem kann eine Übermittlung in ein Drittland gemäß Art. 49 Abs. 1 S. 1 lit. a) DSGVO erfolgen, wenn Sie ausdrücklich in die Datenübermittlung eingewilligt haben, nachdem Sie über die für Sie bestehenden möglichen Risiken derartiger Datenübermittlungen ohne Vorliegen eines Angemessenheitsbeschlusses und ohne geeignete Garantien unterrichtet wurden.

11. Rechte der Betroffenen

Werden personenbezogene Daten von Ihnen durch uns als Verantwortliche verarbeitet, stehen Ihnen als Betroffener folgende Rechte zu:

• Recht auf Auskunft
• Recht auf Berichtigung
• Recht auf Löschung
• Recht auf Einschränkung der Verarbeitung
• Recht auf Widerspruch
• Recht auf Datenübertragbarkeit
• Recht auf Widerruf einer erteilten Einwilligung
• Recht auf Beschwerden beim zuständigen Datenschutzbeauftragten oder der zuständigen Aufsichtsbehörde

Sie können Ihre Rechte direkt gegenüber dem jeweils genutzten Dienst gelten machen. Wenden Sie sich dazu an den vom Dienst benannten Datenschutzbeauftragen.

secunet Security Networks AG