TRANSPARENZ
Wo Ihre Daten liegen, wer zugreift, wie lange wir sie aufbewahren.
Wer Cybersecurity einkauft, muss zuerst dem Anbieter vertrauen können. Diese Seite beantwortet die Fragen aus Datenschutzprüfung und Einkauf vorab - mit Rechtsgrundlagen, Löschfristen und vertraglichen Zusagen je Service.
Vier Grundsätze, die für jedes Projekt gelten
Speicherung in Deutschland
Projekt- und Falldaten speichern wir auf unserer eigenen Infrastruktur bei Hetzner in Deutschland. Alle eingesetzten Unterauftragsverarbeiter benennen wir im AVV - mit Standort.
Vertrag vor Zugriff
Bevor wir Daten aus Ihren Systemen verarbeiten, schließen wir einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO - im Notfall auch kurzfristig in Textform.
Datensparsamkeit
Wir verarbeiten nur, was für die Leistung nötig ist - in den laufenden Services Metadaten, Logs und Events, keine Inhaltsdaten wie Patienten- oder Kundendaten. Bei der Vorfallbearbeitung greifen wir nur auf Ihre Weisung und nur so weit nötig auf Systeminhalte zu.
Definierte Löschung
Für jede Datenkategorie gibt es eine festgelegte Aufbewahrungsfrist und eine dokumentierte Löschung. Keine unbefristete Vorratshaltung.
Was wir je Service verarbeiten - und wie lange
Das Cyber Risk Assessment und die vier Services unterscheiden sich erheblich darin, welche Daten anfallen. Deshalb hier getrennt aufgeschlüsselt statt in einer pauschalen Aussage.
Cyber Risk Assessment
VERARBEITETE DATEN
Vorhandene Dokumente und Nachweise - wo möglich eingesehen statt kopiert -, Notizen aus den Interviews, Protokoll der Begehung und das Erhebungs-Workbook. Dazu Kontaktdaten Ihrer Ansprechpartner.
AUFBEWAHRUNG
Erhebungsunterlagen bis zum Re-Assessment, höchstens 13 Monate nach der Abschlusspräsentation. Danach löschen wir sie oder geben sie zurück - auf Wunsch früher.
BESONDERHEIT
Ablage auf unserer eigenen Infrastruktur bei Hetzner in Deutschland, verschlüsselter Austausch. Kein Zugriff auf Ihre Systeme, keine Scans. Eine Vertraulichkeitsvereinbarung schließen wir immer - einen AVV nach Art. 28 DSGVO, wenn dabei personenbezogene Daten im Auftrag verarbeitet werden.
Phishing-Simulation
VERARBEITETE DATEN
Name und E-Mail-Adresse der Teilnehmenden, Klick- und Meldeereignisse mit Zeitpunkt sowie technische Verbindungsdaten (IP-Adresse, Browserkennung).
AUFBEWAHRUNG
Personenbezogene Daten werden spätestens 90 Tage nach Kampagnenende vollständig gelöscht.
BESONDERHEIT
Auswertung ausschließlich aggregiert. Keine Einzelauswertung, keine Weitergabe individueller Ergebnisse, keine Grundlage für Personalmaßnahmen.
Awareness-Training
VERARBEITETE DATEN
Teilnahmestatus, Modul, Datum, Dauer.
AUFBEWAHRUNG
Nachweiszeitraum nach Ihren Audit-Anforderungen.
BESONDERHEIT
Aggregation auf Abteilungsebene. Einzelauswertungen zur Mitarbeiter-Performance erstellen wir nicht.
Vulnerability Management
VERARBEITETE DATEN
Asset-Inventar, Konfigurations- und Schwachstellendaten.
AUFBEWAHRUNG
Vertraglich vereinbarter Projektzeitraum.
BESONDERHEIT
Scan-Rohdaten werden verschlüsselt übertragen. Zugriff ist auf namentlich benannte Personen begrenzt und vollständig auditiert.
Incident Response
VERARBEITETE DATEN
Kontaktdaten und Angaben zum Vorfall, Vorfallprotokoll und -bericht, auf Ihre Weisung Exporte und Beweise aus Ihren Systemen.
AUFBEWAHRUNG
Vorfallprotokoll und -bericht drei Jahre. Alle übrigen Daten löschen wir nach Abschluss oder geben sie zurück - mit Bestätigung in Textform.
BESONDERHEIT
Fallunterlagen ausschließlich bei Hetzner in Deutschland, Austausch über passwortgeschützte Links. Bei Gesundheitseinrichtungen gilt zusätzlich die Schweigepflicht nach § 203 StGB.
Auf welcher Rechtsgrundlage wir arbeiten
Auftragsverarbeitung, Art. 28 DSGVO
In den vier laufenden Services sind wir Auftragsverarbeiter. Sie bleiben Verantwortlicher im Sinne der DSGVO und behalten die Weisungshoheit. Der AVV wird vor Projektbeginn geschlossen und regelt Zweck, Umfang, Unterauftragsverhältnisse und Löschung. Beim Cyber Risk Assessment klären wir vorab, ob personenbezogene Daten im Auftrag verarbeitet werden - nur dann ist ein AVV nötig.
Berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO
Rechtsgrundlage der Phishing-Simulation ist das berechtigte Interesse an IT-Sicherheit. Voraussetzung ist eine saubere Durchführung: ausschließlich aggregierte Auswertung, keine individuellen Sanktionen, transparente Vorabinformation der Belegschaft. Alle drei Bedingungen sind Bestandteil unseres Standardvorgehens.
Mitbestimmung, § 87 Abs. 1 Nr. 6 BetrVG
Phishing-Simulationen unterliegen der Mitbestimmung, weil sie als technische Einrichtung zur Verhaltenskontrolle gelten können. Wir stellen eine vollständige Muster-Betriebsvereinbarung sowie alle Datenschutz-Nachweise bereits zum Erstgespräch bereit. Im öffentlichen Sektor gilt Entsprechendes nach dem jeweiligen Landes-PersVG.
An welchen Standards wir uns ausrichten
Entropy CS wurde 2024 gegründet und führt derzeit keine eigenen Zertifizierungen. Unsere Verfahren richten sich an den folgenden Rahmenwerken aus.
NIS2 / BSIG - unsere Leistungen erzeugen Evidenz entlang der Maßnahmen aus § 30 BSIG
DSGVO - Auftragsverarbeitung nach Art. 28, Meldeprozesse nach Art. 33
Branchenspezifische Sicherheitsstandards (B3S) des BSI - etwa für die medizinische Versorgung oder Wasser und Abwasser
ISO/IEC 27001 - Struktur unseres internen Informationssicherheits-Managements
IEC 80001-1 - Risikomanagement für IT-Netzwerke mit Medizinprodukten
Teilnehmer der Allianz für Cyber-Sicherheit des BSI.
Vertraulichkeit und Zusammenarbeit
Verschwiegenheit
Alle Mitarbeitenden und eingesetzten Freelancer sind vertraglich zur Verschwiegenheit verpflichtet. Diese Verpflichtung gilt über das Ende der Zusammenarbeit hinaus.
NDA auf Wunsch
Für Gespräche vor Vertragsabschluss stellen wir Ihnen auf Anfrage eine beidseitige Vertraulichkeitsvereinbarung bereit. Für den kostenlosen Risk Check ist das nicht erforderlich - dort erheben wir keine sensiblen technischen Details.
Referenznennung nur mit Freigabe
Wir nennen keine Kundennamen ohne ausdrückliche schriftliche Zustimmung. Auch anonymisierte Fallbeispiele stimmen wir vorher mit Ihnen ab.
Zugriffsprinzip
Zugriff auf Kundendaten erhalten ausschließlich Personen, die ihn für die Leistungserbringung benötigen. Zugriffe werden protokolliert.
Was beim kostenlosen Risk Check mit Ihren Angaben passiert
Was wir erheben
Ihre Angaben aus dem 30-minütigen Gespräch zu Organisation, Systemlandschaft und aktuellem Sicherheitsstand. Keine Zugangsdaten, keine technischen Scans, kein Zugriff auf Ihre Systeme.
Was Sie bekommen
Einen schriftlichen Report mit Reifegrad-Einschätzung, NIS2-Einordnung und priorisierten Sofortmaßnahmen - im Format zur Weitergabe an Geschäftsführung, Vorstand oder Aufsichtsrat.
Was es kostet
Nichts. Keine versteckten Kosten, keine Folgeverpflichtung, kein automatischer Übergang in ein Vertragsverhältnis.
Was mit den Daten passiert
Wir verwenden Ihre Angaben ausschließlich zur Erstellung Ihres Reports und zur Kontaktaufnahme. Keine Weitergabe an Dritte. Auf Wunsch löschen wir alles nach Übergabe des Reports - ein formloser Hinweis per E-Mail genügt.
Der Risk Check liefert eine erste Orientierung und ersetzt keine umfassende technische Prüfung.
Fragen zur Datenverarbeitung?
Für Rückfragen zur Auftragsverarbeitung, zu Löschfristen oder zu unserem AVV erreichen Sie uns direkt: info@entropy-cybersecurity.com · +49 30 863283641
Die Verarbeitung von Daten beim Besuch dieser Website ist gesondert in unserer Datenschutzerklärung beschrieben.