Einwilligungserklärung zur Durchführung einer externen IT-Sicherheitsprüfung
Diese Erklärung regelt, was Sie der ITemimovic GmbH erlauben, wenn Sie über unser Formular einen kostenlosen externen Sicherheitscheck anfordern, wie wir dabei vorgehen und wie wir mit Ihren Daten umgehen. Bitte lesen Sie sie vor Erteilung Ihrer Einwilligung aufmerksam durch.
1. Verantwortlicher
Verantwortlich für die Durchführung der Sicherheitsprüfung und für die damit verbundene Verarbeitung personenbezogener Daten ist:
ITemimovic GmbH
Kreuzstraße 30
53474 Bad Neuenahr-Ahrweiler
Telefon: 02642 903 052 0
E-Mail: info@itemimovic.de
2. Gegenstand der Einwilligung
Mit Erteilung dieser Einwilligung beauftragen Sie die ITemimovic GmbH, einmalig diejenigen IT-Systeme Ihres Unternehmens auf Sicherheitsrisiken zu untersuchen, die öffentlich über das Internet erreichbar sind.
Gegenstand der Prüfung sind die Systeme, die der Domain Ihrer im Formular angegebenen geschäftlichen E-Mail-Adresse zugeordnet sind. Geben Sie beispielsweise die Adresse name@musterfirma.de an, so erstreckt sich die Prüfung auf die unter musterfirma.de öffentlich erreichbaren Dienste, typischerweise Webserver, Mailserver und vergleichbare Angebote.
Die Prüfung beginnt automatisiert nach Absenden des Formulars und ist in der Regel innerhalb weniger Minuten abgeschlossen.
3. Art und Umfang der Prüfung
Für die Prüfung setzen wir etablierte, allgemein verbreitete Analysewerkzeuge ein, insbesondere:
- Nmap zur Feststellung der von außen erreichbaren Netzwerk-Ports sowie der dahinter betriebenen Dienste und Software-Versionen,
- Nuclei zum Abgleich der erreichbaren Dienste mit einer Sammlung von über 10.000 bekannten Sicherheitslücken und typischen Fehlkonfigurationen.
Die Prüfung erfolgt ausschließlich lesend und nicht-invasiv. Wir erfassen allein diejenigen Informationen, die Ihre Systeme von sich aus nach außen preisgeben. Wir verändern, löschen oder installieren nichts, unternehmen keine Versuche, in Systeme einzudringen oder erkannte Schwachstellen auszunutzen, und greifen zu keinem Zeitpunkt auf Inhalte, Kundendaten oder E-Mails zu.
Die Prüfung wird auf unserer eigenen Infrastruktur in Deutschland ausgeführt. Ihre Systeme werden dabei nur in dem Umfang angesprochen, in dem dies auch bei einem gewöhnlichen Zugriff aus dem Internet geschieht. Eine spürbare Beeinträchtigung Ihres Betriebs ist nach unserer Erfahrung nicht zu erwarten.
4. Nicht umfasste Systeme
Diese Einwilligung erstreckt sich ausschließlich auf die von außen erreichbaren Systeme. Nicht Gegenstand der Prüfung sind insbesondere:
- Ihr internes Netzwerk sowie sämtliche darin betriebenen Geräte, Server und Arbeitsplätze,
- Ihre Datensicherungen, Zugriffsberechtigungen und internen Konfigurationen,
- Systeme, die nicht der aus Ihrer E-Mail-Adresse abgeleiteten Domain zuzuordnen sind,
- Systeme Dritter, etwa von Dienstleistern, Partnern oder Kunden.
Eine Prüfung des internen Netzwerks setzt einen Vor-Ort-Termin sowie eine gesonderte Vereinbarung voraus und ist von dieser Einwilligung nicht gedeckt.
5. Erklärung der Vertretungsberechtigung
Mit Erteilung der Einwilligung erklären und bestätigen Sie, dass
- Sie berechtigt sind, für das im Formular angegebene Unternehmen zu handeln und die vorliegende Einwilligung wirksam zu erteilen,
- die zu prüfenden Systeme dem angegebenen Unternehmen zuzurechnen sind und
- der Erteilung dieser Einwilligung keine Rechte Dritter entgegenstehen.
Werden die betroffenen Systeme von einem Dienstleister betrieben oder gehostet, etwa von einem Hosting-Anbieter oder einer Web-Agentur, obliegt es Ihnen, die Prüfung vorab mit diesem abzustimmen.
6. Rechtlicher Hintergrund
Die Untersuchung fremder IT-Systeme ist ohne ausdrückliche Erlaubnis des Berechtigten nach den §§ 202a ff. StGB strafbar. Dies gilt unabhängig davon, dass bei unserer Prüfung keine Daten verändert werden und die Prüfung allein dem Schutz des geprüften Unternehmens dient.
Ihre Einwilligung bildet daher die rechtliche Grundlage der Prüfung. Ohne eine wirksam erteilte Einwilligung führen wir keine Prüfung durch.
7. Verarbeitung personenbezogener Daten
7.1 Daten und Zwecke
Im Zusammenhang mit der Prüfung verarbeiten wir folgende Daten:
- Firma, Name und geschäftliche E-Mail-Adresse — zur Zuordnung des Auftrags, zur Bestimmung der zu prüfenden Domain sowie zur Übermittlung Ihres Berichts;
- Telefonnummer und Nachricht, soweit von Ihnen freiwillig angegeben — zur Bearbeitung Ihres Anliegens und für Rückfragen;
- Zeitpunkt und Wortlaut Ihrer Einwilligung — zum Nachweis der Zulässigkeit der Prüfung;
- die Ergebnisse der Prüfung — zur Erstellung Ihres Berichts sowie zum Vergleich mit etwaigen späteren Prüfungen.
7.2 Rechtsgrundlagen
Die Verarbeitung erfolgt zur Durchführung der von Ihnen angefragten Leistung sowie zur Durchführung vorvertraglicher Maßnahmen gemäß Art. 6 Abs. 1 lit. b DSGVO und auf Grundlage Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO.
7.3 Speicherdauer
Wir speichern Ihre Angaben sowie die Prüfergebnisse, solange dies für die genannten Zwecke erforderlich ist, insbesondere um bei einer erneuten Prüfung Veränderungen gegenüber dem Vorbefund darstellen zu können. Kommt kein Auftragsverhältnis zustande, löschen wir die Daten spätestens nach [XX] Monaten, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Auf Ihren Wunsch löschen wir die Daten jederzeit vorher.
7.4 Empfänger
Die Durchführung der Prüfung und die Auswertung der Ergebnisse erfolgen auf unserer eigenen Infrastruktur. Eine Weitergabe Ihrer Daten an Dritte zu Werbezwecken findet nicht statt. Für den Versand Ihres Berichts per E-Mail bedienen wir uns eines E-Mail-Dienstleisters, der die Zustellung in unserem Auftrag als Auftragsverarbeiter vornimmt.
7.5 Kontaktaufnahme
Wir behalten uns vor, Sie zu den Ergebnissen der Prüfung per E-Mail oder, sofern von Ihnen angegeben, telefonisch zu kontaktieren. Gegenstand einer solchen Kontaktaufnahme sind ausschließlich Ihr Bericht sowie ein etwaiges Beratungsgespräch. Sie können dieser Kontaktaufnahme jederzeit widersprechen.
7.6 Ihre Rechte
Sie haben nach Maßgabe der gesetzlichen Bestimmungen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie ein Widerspruchsrecht. Ferner steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu. Weitere Informationen entnehmen Sie bitte unserer Datenschutzerklärung.
8. Widerrufsrecht
Sie können Ihre Einwilligung jederzeit und ohne Angabe von Gründen formlos widerrufen. Eine Mitteilung per E-Mail an info@itemimovic.de oder telefonisch unter 02642 903 052 0 genügt. Nachteile entstehen Ihnen hierdurch nicht.
Nach Zugang Ihres Widerrufs führen wir keine weiteren Prüfungen durch und löschen Ihre Daten sowie die Prüfergebnisse. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
9. Umfang und Grenzen der Prüfung
Der Sicherheitscheck stellt eine Momentaufnahme dar und gibt wieder, was zum Zeitpunkt der Prüfung von außen erkennbar war. Er ist weder ein Penetrationstest noch ein Sicherheitsaudit und begründet keine Zertifizierung.
Auch bei sorgfältiger Durchführung kann nicht gewährleistet werden, dass sämtliche vorhandenen Schwachstellen erkannt werden. Ein Bericht ohne Befunde besagt daher nicht, dass die geprüften Systeme sicher sind, sondern lediglich, dass mit den eingesetzten Werkzeugen von außen keine Auffälligkeiten festgestellt wurden.
Umgekehrt können Befunde ausgewiesen werden, denen im Einzelfall kein tatsächliches Risiko zugrunde liegt. Dies betrifft insbesondere Software, deren Versionsangabe veraltet erscheint, obwohl der Hersteller oder die eingesetzte Distribution Sicherheitsaktualisierungen bereits nachgereicht hat, ohne die Versionsnummer zu ändern. Entsprechende Befunde kennzeichnen wir im Bericht.
Die Bewertung und Umsetzung der ausgesprochenen Empfehlungen obliegt Ihnen. Eine Haftung für Schäden, die aus einer unterbliebenen oder unzureichenden Umsetzung entstehen, ist ausgeschlossen. Im Übrigen haften wir nach den gesetzlichen Bestimmungen.
Bei Fragen zu dieser Einwilligungserklärung erreichen Sie uns unter 02642 903 052 0 oder info@itemimovic.de.