TRANSPARENZ
Wo Ihre Daten liegen, wer zugreift, wie lange wir sie aufbewahren.
Wer Cybersecurity einkauft, muss zuerst dem Anbieter vertrauen können. Diese Seite beantwortet die Fragen aus Datenschutzprüfung und Einkauf vorab - mit Rechtsgrundlagen, Löschfristen und vertraglichen Zusagen je Service.
Vier Grundsätze, die für jedes Projekt gelten
Ausschließlich EU
Unsere gesamte Infrastruktur wird bei Hetzner in Deutschland betrieben. Keine US-Cloud, keine Drittlandtransfers, keine Ausnahmen für einzelne Komponenten.
Vertrag vor Zugriff
Vor Projektbeginn schließen wir einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Ohne unterschriebenen AVV verarbeiten wir keine Daten.
Datensparsamkeit
Wir verarbeiten Metadaten, Logs und Events - keine klinischen Inhalte. Patientendaten verlassen Ihre Umgebung grundsätzlich nicht.
Definierte Löschung
Für jede Datenkategorie gibt es eine festgelegte Aufbewahrungsfrist und eine dokumentierte Löschung. Keine unbefristete Vorratshaltung.
Was wir je Service verarbeiten - und wie lange
Die vier Services unterscheiden sich erheblich darin, welche Daten anfallen. Deshalb hier getrennt aufgeschlüsselt statt in einer pauschalen Aussage.
Phishing-Simulation
VERARBEITETE DATEN
E-Mail-Adressen der Teilnehmenden, Klick- und Meldeereignisse.
AUFBEWAHRUNG
Personenbezogene Daten werden spätestens 14 Tage nach Kampagnenende vollständig gelöscht.
BESONDERHEIT
Auswertung ausschließlich aggregiert. Keine individuelle Bewertung, keine Grundlage für Personalmaßnahmen.
Awareness-Training
VERARBEITETE DATEN
Teilnahmestatus, Modul, Datum, Dauer.
AUFBEWAHRUNG
Nachweiszeitraum nach Ihren Audit-Anforderungen.
BESONDERHEIT
Aggregation auf Abteilungsebene. Einzelauswertungen zur Mitarbeiter-Performance erstellen wir nicht.
Vuln. Management
VERARBEITETE DATEN
Asset-Inventar, Konfigurations- und Schwachstellendaten.
AUFBEWAHRUNG
Vertraglich vereinbarter Projektzeitraum.
BESONDERHEIT
Scan-Rohdaten werden verschlüsselt übertragen. Zugriff ist auf namentlich benannte Personen begrenzt und vollständig auditiert.
Incident D&R
VERARBEITETE DATEN
Log- und Telemetriedaten, Incident-Dokumentation.
AUFBEWAHRUNG
Richtet sich nach Ihren regulatorischen Vorgaben, typisch 12 bis 24 Monate, danach sichere Löschung.
BESONDERHEIT
Verschlüsselte Übertragung und Speicherung, rollenbasierter Zugriff, lückenlose Protokollierung.
Auf welcher Rechtsgrundlage wir arbeiten
Auftragsverarbeitung, Art. 28 DSGVO
In allen vier Services sind wir Auftragsverarbeiter. Sie bleiben Verantwortlicher im Sinne der DSGVO und behalten die Weisungshoheit. Der AVV wird vor Projektbeginn geschlossen und regelt Zweck, Umfang, Unterauftragsverhältnisse und Löschung.
Berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO
Rechtsgrundlage der Phishing-Simulation ist das berechtigte Interesse an IT-Sicherheit. Voraussetzung ist eine saubere Durchführung: anonymisierte Auswertung, keine individuellen Sanktionen, transparente Vorabinformation der Belegschaft. Alle drei Bedingungen sind Bestandteil unseres Standardvorgehens.
Mitbestimmung, § 87 Abs. 1 Nr. 6 BetrVG
Phishing-Simulationen unterliegen der Mitbestimmung, weil sie als technische Einrichtung zur Verhaltenskontrolle gelten können. Wir stellen eine vollständige Muster-Betriebsvereinbarung sowie alle Datenschutz-Nachweise bereits zum Erstgespräch bereit. Im öffentlichen Sektor gilt Entsprechendes nach dem jeweiligen Landes-PersVG.
An welchen Standards wir uns ausrichten
Entropy CS wurde 2024 gegründet und führt derzeit keine eigenen Zertifizierungen. Unsere Verfahren richten sich an den folgenden Rahmenwerken aus.
NIS2 / BSIG - unsere Leistungen erzeugen Evidenz entlang der Maßnahmen aus § 30 BSIG
DSGVO - Auftragsverarbeitung nach Art. 28, Meldeprozesse nach Art. 33
BSI B3S Medizinische Versorgung - branchenspezifischer Sicherheitsstandard für das Gesundheitswesen
ISO/IEC 27001 - Struktur unseres internen Informationssicherheits-Managements
IEC 80001-1 - Risikomanagement für IT-Netzwerke mit Medizinprodukten
HHS 405(d) - Best Practice für den Umgang mit vernetzten Medizingeräten
Teilnehmer der Allianz für Cyber-Sicherheit des BSI.
Vertraulichkeit und Zusammenarbeit
Verschwiegenheit
Alle Mitarbeitenden und eingesetzten Freelancer sind vertraglich zur Verschwiegenheit verpflichtet. Diese Verpflichtung gilt über das Ende der Zusammenarbeit hinaus.
NDA auf Wunsch
Für Gespräche vor Vertragsabschluss stellen wir Ihnen auf Anfrage eine beidseitige Vertraulichkeitsvereinbarung bereit. Für das kostenlose Risk Assessment ist das nicht erforderlich - dort erheben wir keine sensiblen technischen Details.
Referenznennung nur mit Freigabe
Wir nennen keine Kundennamen ohne ausdrückliche schriftliche Zustimmung. Auch anonymisierte Fallbeispiele stimmen wir vorher mit Ihnen ab.
Zugriffsprinzip
Zugriff auf Kundendaten erhalten ausschließlich Personen, die ihn für die Leistungserbringung benötigen. Zugriffe werden protokolliert.
Was beim kostenlosen Risk Assessment mit Ihren Angaben passiert
Was wir erheben
Ihre Angaben aus dem 30-minütigen Gespräch zu Organisation, Systemlandschaft und aktuellem Sicherheitsstand. Keine Zugangsdaten, keine technischen Scans, kein Zugriff auf Ihre Systeme.
Was Sie bekommen
Einen schriftlichen Report mit Reifegrad-Einschätzung, NIS2-Einordnung und priorisierten Sofortmaßnahmen - im Format zur Weitergabe an Geschäftsführung, Vorstand oder Aufsichtsrat.
Was es kostet
Nichts. Keine versteckten Kosten, keine Folgeverpflichtung, kein automatischer Übergang in ein Vertragsverhältnis.
Was mit den Daten passiert
Wir verwenden Ihre Angaben ausschließlich zur Erstellung Ihres Reports und zur Kontaktaufnahme. Keine Weitergabe an Dritte. Auf Wunsch löschen wir alles nach Übergabe des Reports - ein formloser Hinweis per E-Mail genügt.
Das Assessment liefert eine erste Orientierung und ersetzt keine umfassende technische Prüfung.
Fragen zur Datenverarbeitung?
Für Rückfragen zur Auftragsverarbeitung, zu Löschfristen oder zu unserem AVV erreichen Sie uns direkt: info@entropy-cybersecurity.com · +49 30 863283641
Die Verarbeitung von Daten beim Besuch dieser Website ist gesondert in unserer Datenschutzerklärung beschrieben.