Datenschutzhinweise

Mit diesen Hinweisen informieren wir Sie nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten wir bei der Nutzung von WeakSpotter verarbeiten, zu welchen Zwecken und welche Rechte Sie haben.

1. Verantwortlicher

net.e – Network Experts GmbH
Oldersumer Straße 40, 26603 Aurich
Telefon: 04941 7399760 · E-Mail: web@net-e.de

2. Datenschutzbeauftragter

Sie erreichen unseren Datenschutzbeauftragten unter der oben genannten Anschrift mit dem Zusatz „Datenschutzbeauftragter“ oder per E-Mail an web@net-e.de.

3. Überblick

WeakSpotter informiert IT-Verantwortliche in Unternehmen über Sicherheitslücken in der von ihnen eingesetzten Software. Wir verarbeiten dafür nur, was für den Dienst nötig ist: Ihre E-Mail-Adresse, die Software-Liste, die Sie eintragen, und die daraus entstehenden Treffer. Wir setzen keine Tracking-, Analyse- oder Werbewerkzeuge ein, binden keine Inhalte von Drittanbietern ein (auch Schriftarten liegen auf unserem Server) und verkaufen keine Daten.

4. Konto und Anmeldung

Für die Anmeldung geben Sie Ihre E-Mail-Adresse ein. Wir senden Ihnen einen Anmeldelink, der 30 Minuten gültig ist und nur einmal verwendet werden kann; ein Passwort gibt es nicht. Beim ersten Klick legen wir Ihr Konto an.

Dabei speichern wir:

• Ihre E-Mail-Adresse,
• die Zeitpunkte der Kontoerstellung, der Bestätigung der Adresse sowie Ihrer letzten und vorletzten Anmeldung (für die Begrüßung mit den Neuigkeiten seit Ihrem letzten Besuch),
• Ihre Benachrichtigungs-Einstellungen,
• Ihre Sitzungen (siehe Abschnitt 9).

Anmeldelinks und Sitzungen speichern wir nur als kryptografischen Prüfwert (Hash), nicht im Klartext. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsverhältnisses). Ohne E-Mail-Adresse können wir den Dienst nicht erbringen.

5. Ihre Software-Liste und die Treffer

Sie tragen die Software ein, die Sie betreuen – einzeln, über eine Vorlage oder per Import (z. B. Netzwerk-Scan, Paketliste eines Servers, Software-Inventar, CSV-Datei oder SBOM). Wir speichern Produkte und Versionen, von Ihnen vergebene System-Namen sowie bei Importen die Fundstelle (z. B. Rechnername, IP-Adresse und Port aus einem Netzwerk-Scan). Daraus berechnen wir Treffer mit bekannten Sicherheitslücken und speichern deren Bearbeitungsstand (offen, erledigt, ignoriert, jeweils mit Zeitpunkt).

Diese Angaben beziehen sich in der Regel auf Systeme Ihres Unternehmens, nicht auf Personen. Rechner- oder System-Namen können aber Rückschlüsse auf Personen zulassen (z. B. „pc-mueller“). Bitte verwenden Sie daher nach Möglichkeit keine Personennamen. Hochgeladene Dateien werden nur ausgewertet und nicht gespeichert; gespeichert werden ausschließlich die Einträge, die Sie in der Vorschau übernehmen.

Den PDF-Bericht erzeugen wir auf Abruf auf unserem Server aus diesen Daten; er wird nicht gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

6. Benachrichtigungen per E-Mail

Je nach Ihren Einstellungen senden wir Ihnen Sofortalarme zu kritischen oder aktiv ausgenutzten Lücken und einen wöchentlichen Bericht. Diese E-Mails sind Teil des Dienstes und enthalten keine Werbung. Wir speichern, wann ein Treffer gemeldet wurde, damit jede Lücke nur einmal gemeldet wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Sie können die Benachrichtigungen in den Einstellungen anpassen oder über den Link in jeder E-Mail abbestellen, ohne dass Sie sich anmelden müssen.

7. Newsletter „net.e Lagebild“

Nur wenn Sie ausdrücklich einwilligen, senden wir Ihnen unseren Newsletter „net.e Lagebild“ (das Patchday-Briefing mit den wichtigsten Sicherheitslücken des Monats, aktuellen IT-Sicherheitsthemen und Angeboten der net.e, einmal im Monat nach dem Microsoft-Patchday). Das Häkchen dafür ist freiwillig, nicht vorausgewählt und keine Voraussetzung für die Nutzung von WeakSpotter.

Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Sie erhalten eine eigene E-Mail und den Newsletter erst, nachdem Sie den Bestätigungslink darin angeklickt haben. Setzen Sie das Häkchen bei der Anmeldung zu WeakSpotter, senden wir Ihnen diese Bestätigungs-Mail, sobald Sie sich mit dem Anmeldelink angemeldet haben; der Anmeldelink selbst bestätigt den Newsletter nicht. Klicken Sie den Anmeldelink nie an, löschen wir das gesetzte Häkchen nach spätestens zwei Tagen.

Zum Nachweis Ihrer Einwilligung (Art. 7 Abs. 1 DSGVO) protokollieren wir Ihre E-Mail-Adresse mit den Zeitpunkten der Einwilligung, der Bestätigung und eines Widerrufs sowie der Version des Einwilligungstexts. Für den Versand geben wir Ihre E-Mail-Adresse mit diesem Nachweis an einen Dienstleister für Newsletter-Versand weiter, der in unserem Auftrag tätig ist (siehe Abschnitt 11).

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 UWG). Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen – über den Abmeldelink in jeder Ausgabe oder in den Einstellungen. Ihre Schwachstellen-Alarme sind davon nicht betroffen. Nach der Abmeldung erhalten Sie keinen Newsletter mehr; das Protokoll bewahren wir noch drei Jahre auf, um belegen zu können, dass frühere Zusendungen rechtmäßig waren (Art. 6 Abs. 1 lit. c und f, Art. 17 Abs. 3 lit. e DSGVO). Das gilt auch, wenn Sie Ihr Konto löschen.

8. Server-Protokolle und Schutz vor Missbrauch

Bei jedem Aufruf verarbeitet unser Server technisch notwendige Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Antwortstatus sowie Browser- und Betriebssystemangaben. In den Protokollen speichern wir die IP-Adresse nur gekürzt (bei IPv4 ohne das letzte Byte, bei IPv6 nur die ersten 48 Bit), sodass sie keinem einzelnen Anschluss mehr zugeordnet werden kann. Geheime Bestandteile von Adressen (z. B. Abmelde-Token, E-Mail-Adressen in Links) werden vor dem Protokollieren unkenntlich gemacht. Die Protokolle dienen dem sicheren Betrieb, der Fehlersuche und der Abwehr von Angriffen. Sie sind in der Größe begrenzt und werden fortlaufend überschrieben.

Damit der Dienst nicht zum massenhaften Versand von Anmelde-Mails missbraucht werden kann, zählen wir Anfragen je IP-Adresse und je E-Mail-Adresse. Diese Zähler werden nach spätestens zwei Tagen gelöscht.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Dienst (Art. 6 Abs. 1 lit. f DSGVO).

9. Cookies und Speicher im Browser

Wir verwenden ausschließlich technisch notwendige Speicherungen:

• Anmelde-Cookie („__Host-ws_session“): hält Sie angemeldet. Es ist 30 Tage gültig, verlängert sich bei Nutzung und läuft spätestens 90 Tage nach der Anmeldung ab. Beim Abmelden wird es gelöscht; unter „Einstellungen“ können Sie alle Sitzungen auf einmal beenden.
• Darstellung (Eintrag „theme“ im lokalen Speicher Ihres Browsers): merkt sich, ob Sie die helle oder dunkle Ansicht gewählt haben. Er wird nur gesetzt, wenn Sie die Darstellung umschalten, und nicht an uns übertragen.

Beide sind für die von Ihnen gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht nötig. Die weitere Verarbeitung erfolgt nach Art. 6 Abs. 1 lit. b DSGVO.

10. Öffentliche Datenquellen

Die Informationen zu Sicherheitslücken ruft unser Server aus öffentlichen Quellen ab: der National Vulnerability Database des NIST, der CVE-Liste von CVE.org (über GitHub), dem Katalog aktiv ausgenutzter Lücken der CISA und OSV.dev. Diese Stellen sitzen überwiegend in den USA. Wir übermitteln dabei keine personenbezogenen Daten; an OSV.dev gehen ausschließlich Paketnamen und Versionsnummern ohne Bezug zu Ihnen oder Ihrem Konto.

11. Empfänger und Auftragsverarbeiter

Wir geben Ihre Daten nicht an Dritte weiter und verkaufen sie nicht. Für den Betrieb setzen wir Dienstleister ein, die Daten nur nach unserer Weisung verarbeiten und mit denen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO bestehen:

• Hosting des Servers und der Datenbank (Rechenzentrum in der EU),
• Versand der E-Mails (Anbieter mit Sitz und Servern in der EU),
• Versand des Newsletters, nur bei erteilter Einwilligung (Anbieter mit Sitz und Servern in der EU).

Eine Übermittlung Ihrer personenbezogenen Daten in Länder außerhalb der EU bzw. des EWR findet nicht statt. Innerhalb der net.e haben nur die Mitarbeitenden Zugriff, die den Dienst betreuen.

12. Speicherdauer

• Konto, Software-Liste, Treffer und Einstellungen: bis Sie Ihr Konto löschen. Melden Sie sich 24 Monate lang nicht an, kündigen wir die Löschung per E-Mail an und löschen das Konto 30 Tage später, wenn Sie sich bis dahin nicht anmelden.
• Anmeldelinks: 30 Minuten gültig, gelöscht spätestens am folgenden Tag.
• Sitzungen: bis zur Abmeldung bzw. bis zum Ablauf (höchstens 90 Tage).
• Newsletter-Häkchen ohne Bestätigung: höchstens zwei Tage.
• Newsletter-Einwilligung: bis zum Widerruf; das Protokoll zum Nachweis drei Jahre nach dem letzten Eintrag (auch nach Abmeldung oder Kontolöschung).
• Zähler zum Schutz vor Missbrauch: höchstens zwei Tage.
• Server-Protokolle: in der Größe begrenzt, werden fortlaufend überschrieben (IP-Adressen nur gekürzt).

Unter „Einstellungen“ können Sie Ihr Konto jederzeit selbst löschen; alle zugehörigen Daten werden dann sofort aus dem laufenden Bestand entfernt – ausgenommen ein Newsletter-Einwilligungsprotokoll (siehe Abschnitt 7). In unseren täglichen Datensicherungen bleiben sie noch bis zu 14 Tage enthalten und werden danach automatisch überschrieben.

13. Ihre Rechte

Sie haben gegenüber uns das Recht auf

• Auskunft über die gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO) – auch selbst über „Konto löschen“,
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Eine Kopie aller zu Ihrem Konto gespeicherten Daten können Sie jederzeit selbst unter „Einstellungen“ als Datei herunterladen (maschinenlesbares JSON-Format). Für alle Anliegen wenden Sie sich außerdem formlos an web@net-e.de.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage unseres berechtigten Interesses verarbeiten (Abschnitt 8), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.

14. Keine automatisierten Entscheidungen

Die Zuordnung von Sicherheitslücken zu Ihrer Software erfolgt automatisch, betrifft aber Ihre Systeme und hat keine rechtliche oder ähnlich erhebliche Wirkung für Sie als Person. Eine automatisierte Entscheidungsfindung oder ein Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

15. Sicherheit

Die Verbindung zu WeakSpotter ist durchgehend verschlüsselt (HTTPS). Die Datenbank ist nicht aus dem Internet erreichbar, Anmeldelinks und Sitzungen werden nur als Hash gespeichert, und der Dienst wird regelmäßig aktualisiert.

16. Änderungen

Wir passen diese Hinweise an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: Oktober 2026