Datenschutzerklärung
Shield1 - Cyber-Risiko-Monitoring - Version 1.1 - Stand: Oktober 2026
Shield1
Hauptstr. 61a – 90607 Rückersdorf
E-Mail: security@shield1.de
Diese Datenschutzerklärung gilt für:
1. Die Webseite unter shield1.de
2. Das Portal unter portal.shield1.de
3.1 Server-Logfiles
Beim Aufruf der Webseite werden automatisch folgende Daten in Logfiles gespeichert: IP-Adresse, Datum und Uhrzeit des Zugriffs, angefragte URL, Referrer-URL, User-Agent (Browser, Betriebssystem).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse – Sicherstellung des technischen Betriebs)
Speicherdauer: 7 Tage
Zweck: Erkennung und Abwehr von Angriffen, Fehleranalyse
3.2 Kontaktformular
Bei Nutzung des Kontaktformulars werden folgende Daten verarbeitet: Name, Unternehmen, E-Mail-Adresse, Telefon (optional), Nachricht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Absenden) bzw. Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung)
Speicherdauer: 6 Monate (danach Löschung, falls kein Vertragsverhältnis entsteht)
Übermittlung: Die Daten werden per E-Mail an security@shield1.de gesendet und nicht an Dritte weitergegeben
3.3 Cookies
Die Webseite verwendet keine Tracking-Cookies und keine Analytics-Tools. Technisch notwendige Cookies (z. B. Session-Cookie) werden eingesetzt, sind aber nicht-tracking-related.
4.1 Registrierung und Benutzerkonten
Bei der Registrierung werden folgende Daten erhoben: Firmenname (Mandantenkonto), Name des Ansprechpartners (Benutzerkonto), E-Mail-Adresse (Kommunikation, Aktivierung, Login), Passwort (gehashed, Authentifizierung), Sprache DE/EN (Benutzeroberfläche).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag)
Speicherdauer: Bis zur Kündigung des Vertrages + 30 Tage
4.2 IT-Inventar (vom Kunden eingegeben)
Der Kunde erfasst im Portal seine IT-Systeme. Folgende Daten können dabei eingegeben werden: Hersteller, Produkt, Name, Bezeichnung, Kategorie, Betriebssystem, Hostname, lokale IP-Adresse (verschlüsselt), Version/Firmware (verschlüsselt), Sicherheits-Flags (6 Stück), Installed Services.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung)
Speicherdauer: Bis zur Kündigung + 30 Tage
4.3 Externe Assets (vom Kunden eingegeben)
Der Kunde kann folgende Asset-Typen erfassen: Domains (geprüft auf Subdomains, Zertifikate, security.txt), IP-Adressen (geprüft gegen Blacklisten, Angriffs-Meldungen, GeoIP), E-Mail-Adressen (Datenleck-Prüfung), E-Mail-Domains (SPF, DKIM, TLS).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung)
Speicherdauer: Bis zur Kündigung + 30 Tage
4.4 Automatisch entdeckte Daten
Das Portal entdeckt automatisch: Subdomains, SSL-Zertifikate, CVEs/Schwachstellen, EPSS-Scores, Datenleck-Treffer, IP-Reputation, GeoIP. Die Abfrage erfolgt über öffentliche Datenquellen (siehe Abschnitt 5.3).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung)
Speicherdauer: Bis zur Kündigung + 30 Tage
4.5 Audit-Log
Das Portal protokolliert sicherheitsrelevante Aktionen: Login/Logout, Änderungen an Einstellungen, Asset-Anlage/-Löschung, Rollenänderungen. Pro Eintrag: Event-Typ, User-ID, Tenant-ID, IP-Adresse, User-Agent, Zeitstempel.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse – Sicherheit)
Speicherdauer: Automatische Löschung nach DSGVO-Frist (täglich via gdpr:purge-audit-logs)
4.6 E-Mail-Benachrichtigungen
Der Kunde kann konfigurieren, ob er E-Mail-Benachrichtigungen erhält: Critical Alerts (bei kritischen/hohen Findings) und Monatsbericht (monatliche Zusammenfassung). Jeder Benutzer kann eine individuelle Empfangsadresse konfigurieren.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, pro User aktivierbar)
Widerruf: Jederzeit in den Einstellungen deaktivierbar
4.7 Zwei-Faktor-Authentifizierung (2FA)
Zur 2FA werden gespeichert: 2FA-Secret (verschlüsselt via encrypt()), 8 Recovery-Codes (verschlüsselt), Counter für Logins ohne 2FA.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit)
5.1 Hosting (Auftragsverarbeiter)
Rechenzentrum in Deutschland – Server-Hosting, AVV liegt vor.
5.2 DNS-Verwaltung
DNS-Verwaltung in Deutschland – DNS für shield1.de.
5.3 Externe Datenquellen (Drittländer)
Das Portal ruft öffentlich verfügbare Threat-Intelligence-Daten ab. Dabei werden folgende Datenkategorien an internationale, teilweise außerhalb der EU angesiedelte öffentliche Dienste übermittelt:
- Hersteller- und Produktnamen (für Schwachstellen-Prüfung)
- E-Mail-Adressen (für Datenleck-Prüfung)
- IP-Adressen (für Reputation-Prüfung)
- Domain-Namen (für Zertifikats- und Subdomain-Prüfung)
- CVE-IDs (für EPSS-Scores)
Es werden keine Bestandsdaten (Name, Firmenname) an externe Dienste übermittelt. Die übermittelten Daten beschränken sich auf das für die jeweilige Prüfung erforderliche Minimum.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) und Art. 49 Abs. 1 lit. b DSGVO (Datenübermittlung an Drittstaaten). Eine detaillierte Aufstellung der externen Datenquellen ist im Auftragsverarbeitungsvertrag (AVV) enthalten.
5.4 Rechnungsstellung
Die Rechnungsstellung erfolgt über einen Dienstleister in Deutschland (DSGVO-konform, AVV liegt vor). Übermittelte Daten: Firmenname, Adresse, Rechnungsbetrag.
Sie haben folgende Rechte:
| Recht | Beschreibung |
|---|---|
| Auskunft (Art. 15) | Sie können Auskunft über Ihre verarbeiteten Daten verlangen |
| Berichtigung (Art. 16) | Sie können unrichtige Daten korrigieren lassen |
| Löschung (Art. 17) | Sie können die Löschung Ihrer Daten verlangen (DSGVO-Komplettlöschung im Portal verfügbar) |
| Einschränkung (Art. 18) | Sie können die Einschränkung der Verarbeitung verlangen |
| Datenübertragbarkeit (Art. 20) | Sie können Ihre Daten in einem maschinenlesbaren Format erhalten |
| Widerspruch (Art. 21) | Sie können der Verarbeitung widersprechen |
| Widerruf der Einwilligung (Art. 7) | Sie können erteilte Einwilligungen jederzeit widerrufen |
Ausübung: Kontaktieren Sie uns unter security@shield1.de
Auf Antrag können wir alle personenbezogenen Daten eines Mandanten vollständig und unwiderruflich löschen. Dies umfasst: Benutzerkonten, Mandantenkonto, IT-Inventar, Externe Assets, Findings, RiskScores, Reports (inkl. PDF-Dateien), SecurityAnswers, AuditLogs. Die Löschung erfolgt durch forceDelete (kein Soft-Delete-Rest). Eine Bestätigung wird ausgestellt.
Personenbezogene Daten werden gespeichert, solange das Vertragsverhältnis besteht. Nach Vertragsende werden die Daten innerhalb einer angemessenen Frist gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Der Kunde hat jederzeit das Recht, die Löschung seiner personenbezogenen Daten zu verlangen. Im Portal kann der Kunde sein Konto selbstständig löschen. Auf Antrag kann eine vollständige Löschung aller Mandantendaten durchgeführt werden.
Ein Datenschutzbeauftragter wurde nicht bestellt, da die Voraussetzungen nach Art. 37 DSGVO nicht vorliegen.
Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Zuständig ist die Landesbeauftragte/r für den Datenschutz und die Informationsfreiheit [jeweiliges Bundesland].
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen abzubilden. Die aktuelle Version ist unter shield1.de/datenschutz abrufbar.
Shield1 – Cyber-Risiko-Monitoring für KMU
E-Mail: security@shield1.de