Datenschutzrichtlinie

Zusammenfassung in einfacher Sprache

Diese Zusammenfassung gibt einen schnellen Überblick über unsere Datenschutzrichtlinie. Für vollständige Details lesen Sie bitte die vollständige Richtlinie unten.

Wer wir sind: Enigma Labs B.V. ist ein niederländisches Cybersicherheitsunternehmen, das B2B-Dienste für Cybersicherheitsaudits, Penetrationstests und Incident Response anbietet. Wir sind in Amsterdam registriert (KvK 99568322).

Welche Daten wir erheben: Wir erheben geschäftliche Kontaktdaten, Kontodetails, Sicherheitsprotokolle, Netzwerk-Metadaten und Daten, die zur Erbringung unserer Cybersicherheitsdienste erforderlich sind. Wir erheben keine Daten von Verbrauchern oder Kindern.

Warum wir sie erheben: Wir verwenden Ihre Daten, um unsere Dienste bereitzustellen, die Sicherheit aufrechtzuerhalten, gesetzlichen Verpflichtungen nachzukommen und unsere Plattform zu verbessern.

Ihre Rechte: Nach der DSGVO haben Sie Rechte auf Auskunft, Berichtigung, Löschung und Datenübertragbarkeit sowie das Recht, bestimmten Verarbeitungen zu widersprechen. Sie können diese Rechte ausüben, indem Sie uns kontaktieren.

Datenübermittlungen: Wir können Daten außerhalb des Europäischen Wirtschaftsraums mithilfe genehmigter Garantien wie Standardvertragsklauseln übermitteln.

So erreichen Sie uns: Bei Datenschutzfragen schreiben Sie an hello@enigmalab.io. Für Datenschutzangelegenheiten kontaktieren Sie unseren DSB unter hello@enigmalab.io.

1. Einleitung

1.1 Wer wir sind

Enigma Labs B.V. („wir", „uns", „unser" oder das „Unternehmen") ist eine Besloten Vennootschap (niederländische Gesellschaft mit beschränkter Haftung) mit Sitz in den Niederlanden. Wir bieten B2B-Cybersicherheitslösungen an, einschließlich Cybersicherheitsaudits, Penetrationstests und Incident-Response-Diensten.

Unternehmensdetails:

1.2 Geltungsbereich dieser Richtlinie

Diese Datenschutzrichtlinie erläutert, wie wir personenbezogene Daten erheben, verwenden, speichern und schützen, wenn Sie:

• unsere Website unter https://enigmalab.io besuchen
• unsere Cybersicherheitsplattform und -dienste nutzen
• mit uns in Bezug auf unsere Dienste kommunizieren
• eine vertragliche Beziehung mit uns eingehen

Diese Richtlinie gilt für alle personenbezogenen Daten, die wir als Verantwortlicher gemäß der Datenschutz-Grundverordnung (DSGVO) verarbeiten. Für Daten, die wir im Auftrag unserer Unternehmenskunden verarbeiten, handeln wir als Auftragsverarbeiter (siehe Abschnitt 14).

1.3 Regulatorischer Rahmen

Diese Datenschutzrichtlinie ist so gestaltet, dass sie Folgendes einhält:

• Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung oder „DSGVO")
• Niederländisches Ausführungsgesetz zur DSGVO (Uitvoeringswet AVG)
• Leitlinien des Europäischen Datenschutzausschusses (EDSA/EDPB)
• Hinweise der niederländischen Datenschutzbehörde (Autoriteit Persoonsgegevens)

2. Welche Informationen wir erheben

Wir erheben unterschiedliche Kategorien personenbezogener Daten, abhängig von unserer Beziehung zu Ihnen und den von Ihnen genutzten Diensten.

2.1 Informationen, die Sie uns direkt bereitstellen

Konto- und Kontaktdaten:

• Vollständiger Name und Berufsbezeichnung
• Geschäftliche E-Mail-Adresse und Telefonnummer
• Firmenname und Abteilung
• Rechnungsadresse und Zahlungsinformationen
• Zugangsdaten (Benutzername, verschlüsseltes Passwort)

Kommunikationsdaten:

• E-Mail-Korrespondenz und Support-Tickets
• Besprechungsnotizen und Gesprächsaufzeichnungen (mit Einwilligung)
• Feedback- und Umfrageantworten
• Informationen, die im Rahmen von Vertriebsanfragen bereitgestellt werden

Vertragsinformationen:

• Unterzeichnete Vereinbarungen und Bestellformulare
• Bestellnummern und Rechnungsdetails
• Listen autorisierter Nutzer und Zugriffsberechtigungen

2.2 Automatisch erhobene Informationen

Technische Daten und Nutzungsdaten:

• IP-Adressen und Gerätekennungen
• Browsertyp, Version und Sprache
• Betriebssystem und Plattform
• Verweisquelle und Ausstiegsseiten
• Aufgerufene Seiten und genutzte Funktionen
• Datum, Uhrzeit und Dauer der Besuche
• Fehlerprotokolle und Systemleistungsdaten

Sicherheits- und Netzwerkinformationen:

Wenn Sie unsere Cybersicherheitsplattform nutzen, verarbeiten wir:

• Metadaten des Netzwerkverkehrs (Paket-Header, Verbindungsprotokolle)
• Sicherheitsereignisprotokolle und Warnmeldungen
• Authentifizierungs- und Zugriffsprotokolle
• Threat-Intelligence-Indikatoren
• Ergebnisse von Schwachstellenscans
• Systemkonfigurationsdaten

Hinweis: Unsere Sicherheitsbewertungen sind darauf ausgelegt, die Sicherheitslage und Metadaten zu analysieren, nicht Inhalte. Wir erheben nicht absichtlich personenbezogene Daten, es sei denn, dies ist für die Bedrohungserkennung erforderlich und es besteht eine geeignete Rechtsgrundlage.

2.3 Informationen von Dritten

Wir können personenbezogene Daten erhalten von:

• Geschäftspartnern und Wiederverkäufern
• Öffentlichen Verzeichnissen und beruflichen Netzwerken (z. B. LinkedIn)
• Kreditauskunfteien (zur Due Diligence)
• Regulierungs- und Strafverfolgungsbehörden (wenn gesetzlich erforderlich)

2.4 Besondere Kategorien personenbezogener Daten

Wir erheben nicht absichtlich besondere Kategorien personenbezogener Daten im Sinne von Artikel 9 DSGVO (z. B. rassische oder ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Gesundheitsdaten, biometrische Daten). Falls solche Daten im Rahmen der Sicherheitsüberwachung unbeabsichtigt erhoben werden, setzen wir strenge Zugriffskontrollen und Löschverfahren um.

3. Wie wir Ihre Informationen verwenden

Wir verarbeiten personenbezogene Daten zu den folgenden Zwecken, jeweils mit einer spezifischen Rechtsgrundlage nach der DSGVO:

3.1 Leistungserbringung und Vertragserfüllung

Zweck: Erbringung unserer Cybersicherheitsdienste, Pflege Ihres Kontos und Erfüllung unserer vertraglichen Verpflichtungen.

Tätigkeiten:

• Bereitstellung und Konfiguration der Plattform
• Authentifizierung von Nutzern und Verwaltung von Zugriffen
• Durchführung von Sicherheitsbewertungen und Incident Response
• Erstellung von Sicherheitsberichten und Warnmeldungen
• Bereitstellung von Kundensupport und technischer Unterstützung
• Verarbeitung von Zahlungen und Rechnungen

Rechtsgrundlage: Artikel 6(1)(b) DSGVO — Verarbeitung ist für die Erfüllung eines Vertrags erforderlich, dessen Vertragspartei Sie sind.

3.2 Gesetzliche und regulatorische Compliance

Zweck: Einhaltung geltender Gesetze, Vorschriften und rechtlicher Verpflichtungen.

Tätigkeiten:

• Führung von Finanz- und Buchhaltungsunterlagen
• Beantwortung rechtlicher Anfragen und Gerichtsbeschlüsse
• Zusammenarbeit bei regulatorischen Untersuchungen
• Einreichung erforderlicher Meldungen bei Behörden
• Einhaltung von Cybersicherheits- und Datenschutzgesetzen
• Verhinderung von Betrug und illegalen Aktivitäten

Rechtsgrundlage: Artikel 6(1)(c) DSGVO — Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der wir unterliegen.

3.3 Berechtigte Geschäftsinteressen

Zweck: Betrieb, Absicherung und Verbesserung unseres Unternehmens und unserer Dienste.

Tätigkeiten:

• Gewährleistung der Netzwerk- und Informationssicherheit
• Verhinderung unbefugter Zugriffe und Cyberangriffe
• Überwachung von Serviceleistung und Zuverlässigkeit
• Durchführung von Datenanalysen zur Verbesserung unserer Plattform
• Entwicklung neuer Funktionen und Fähigkeiten
• Steuerung des Geschäftsbetriebs und internes Reporting
• Durchsetzung unserer Bedingungen und Schutz rechtlicher Ansprüche
• Verhinderung von Betrug und Missbrauch

Rechtsgrundlage: Artikel 6(1)(f) DSGVO — Verarbeitung ist zur Wahrung unserer berechtigten Interessen erforderlich, sofern nicht Ihre Grundrechte und Grundfreiheiten überwiegen.

Interessenabwägung:

Zu unseren berechtigten Interessen gehören die Aufrechterhaltung einer sicheren und zuverlässigen Cybersicherheitsplattform, die Verbesserung unserer Dienste zum besseren Schutz unserer Kunden sowie der Betrieb eines nachhaltigen Unternehmens. Wir haben eine Interessenabwägung durchgeführt, um sicherzustellen, dass diese Interessen Ihre Datenschutzrechte nicht ungerechtfertigt beeinträchtigen. Sie haben das Recht, der Verarbeitung auf Grundlage berechtigter Interessen zu widersprechen (siehe Abschnitt 10).

3.4 Marketing und Geschäftsentwicklung (mit Einwilligung)

Zweck: Kommunikation über unsere Produkte, Dienste und Branchenentwicklungen.

Tätigkeiten:

• Versand von Newslettern und Produkt-Updates
• Einladungen zu Veranstaltungen und Webinaren
• Teilen von Thought Leadership und Security-Insights
• Durchführung von Marktforschung

Rechtsgrundlage: Artikel 6(1)(a) DSGVO — Einwilligung. Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie in unseren E-Mails auf „Abmelden" klicken oder hello@enigmalab.io kontaktieren.

3.5 Lebenswichtige Interessen und öffentliches Interesse

In seltenen Fällen können wir personenbezogene Daten verarbeiten, um lebenswichtige Interessen zu schützen (z. B. zur Verhinderung unmittelbarer Schäden) oder für Aufgaben, die im öffentlichen Interesse im Zusammenhang mit dem Austausch von Cybersicherheitsbedrohungen liegen.

4. Rechtsgrundlagen der Verarbeitung

Gemäß Artikel 6 DSGVO stützen wir die Verarbeitung personenbezogener Daten auf folgende Rechtsgrundlagen:

4.1 Einwilligung (Artikel 6(1)(a))

Wir holen eine ausdrückliche Einwilligung ein für:

• Marketingkommunikation
• Nicht unbedingt erforderliche Cookies und Tracking-Technologien
• Verarbeitung besonderer Kategorien personenbezogener Daten (falls zutreffend)

Eine Einwilligung muss freiwillig, spezifisch, informiert und unmissverständlich sein. Sie haben das Recht, Ihre Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der Verarbeitung aufgrund der Einwilligung bis zum Widerruf berührt wird.

4.2 Vertragserfüllung (Artikel 6(1)(b))

Verarbeitung ist zur Vertragserfüllung erforderlich, wenn:

• Bereitstellung unserer Cybersicherheitsplattform und -dienste
• Verwaltung Ihres Kontos und der Nutzerzugriffe
• Bereitstellung von Kundensupport
• Abwicklung von Zahlungen

4.3 Rechtliche Verpflichtung (Artikel 6(1)(c))

Wir verarbeiten Daten zur Erfüllung rechtlicher Verpflichtungen, einschließlich:

• Steuer- und Buchhaltungsanforderungen
• Aufbewahrungspflichten
• Regulatorische Meldepflichten
• Gerichtsbeschlüsse und rechtliche Verfahren

4.4 Lebenswichtige Interessen (Artikel 6(1)(d))

Kann in Notfallsituationen zum Schutz von Leben gelten.

4.5 Öffentliches Interesse (Artikel 6(1)(e))

Kann für Aufgaben im Zusammenhang mit dem Austausch von Cybersicherheitsinformationen im öffentlichen Interesse gelten.

4.6 Berechtigte Interessen (Artikel 6(1)(f))

Zu unseren berechtigten Interessen gehören:

• Informationssicherheit: Schutz unserer Systeme, unseres Netzwerks und unserer Daten vor unbefugtem Zugriff, Angriffen und Sicherheitsverletzungen
• Serviceverbesserung: Analyse von Nutzungsmustern zur Verbesserung der Plattformfunktionalität und der Nutzererfahrung
• Geschäftsbetrieb: Führung unseres Unternehmens, Durchführung von Audits und Sicherstellung der Geschäftskontinuität
• Rechtsschutz: Begründung, Ausübung oder Verteidigung rechtlicher Ansprüche
• Betrugsprävention: Erkennung und Verhinderung betrügerischer Aktivitäten

Wir führen für Verarbeitungstätigkeiten, die auf dieser Grundlage beruhen, eine Interessenabwägung durch, um sicherzustellen, dass unsere Interessen gegen Ihre Datenschutzrechte abgewogen werden.

5. Weitergabe und Offenlegung von Daten

5.1 Kategorien von Empfängern

Wir können personenbezogene Daten an folgende Kategorien von Empfängern weitergeben:

Dienstleister und Unterauftragsverarbeiter:

• Cloud-Infrastruktur-Anbieter (Hosting und Speicherung)
• Zahlungsdienstleister
• Customer-Relationship-Management-(CRM)-Plattformen
• E-Mail- und Kommunikationsdienstleister
• Anwendungs-Monitoring- und Fehlertracking-Tools
• IT-Support- und Wartungsdienstleister

Berufliche Berater:

• Rechtsbeistand
• Buchhalter und Wirtschaftsprüfer
• Versicherungsanbieter
• Berater und professionelle Dienstleistungsunternehmen

Geschäftspartner:

• Autorisierte Wiederverkäufer und Vertriebspartner
• Technologie-Integrationspartner
• Partner für gemeinsames Marketing (mit Einwilligung)

Regulierungs- und Rechtsbehörden:

• Niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens)
• Strafverfolgungsbehörden
• Gerichte und Tribunale
• Aufsichtsbehörden mit Zuständigkeit für unsere Tätigkeiten

5.2 Management von Unterauftragsverarbeitern

Wir beauftragen Unterauftragsverarbeiter zur Unterstützung bei der Erbringung unserer Dienste. Dazu zählen Cloud-Hosting-Anbieter, Zahlungsabwicklungsdienste, E-Mail-Zustelldienste und Kundensupport-Plattformen. Alle Unterauftragsverarbeiter sind durch vertragliche Verpflichtungen gebunden, personenbezogene Daten gemäß den Anforderungen der DSGVO zu schützen.

Eine vollständige und aktuelle Liste der Unterauftragsverarbeiter ist auf Anfrage unter hello@enigmalab.io erhältlich. Wir informieren Kunden über beabsichtigte Änderungen an Unterauftragsverarbeitern mit einer Frist von mindestens 30 Tagen.

5.3 Kein Verkauf personenbezogener Daten

Wir verkaufen keine personenbezogenen Daten an Dritte. Wir betreiben keinen Datenhandel und keine Monetarisierung personenbezogener Informationen.

5.4 Unternehmensübertragungen

Im Falle einer Fusion, Übernahme, Umstrukturierung oder eines Verkaufs von Vermögenswerten können personenbezogene Daten an den erwerbenden Rechtsträger übertragen werden. Wir stellen sicher, dass der Empfänger zustimmt, Ihre personenbezogenen Daten im Einklang mit dieser Datenschutzrichtlinie und geltendem Recht zu schützen. Sie werden über eine solche Änderung der Eigentumsverhältnisse informiert.

5.5 Gesetzliche Offenlegungen

Wir können personenbezogene Daten offenlegen, wenn dies gesetzlich erforderlich ist, einschließlich:

• zur Erfüllung rechtlicher Verfahren (Vorladungen, Gerichtsbeschlüsse)
• zur Beantwortung von Anfragen öffentlicher Stellen
• zur Durchsetzung unserer Bedingungen und Vereinbarungen
• zum Schutz unserer Rechte, unseres Eigentums oder unserer Sicherheit
• zur Verhinderung von Betrug oder illegalen Aktivitäten

6. Internationale Datenübermittlungen

6.1 Übermittlungen innerhalb des EWR

Personenbezogene Daten, die innerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt werden, sind durch die DSGVO geschützt, ohne dass zusätzliche Garantien erforderlich sind.

6.2 Übermittlungen außerhalb des EWR

Wir können personenbezogene Daten in Länder außerhalb des EWR übermitteln, einschließlich:

• Vereinigte Staaten (für Cloud-Infrastruktur und SaaS-Tools)
• Vereinigtes Königreich (nach dem Brexit, auf Grundlage eines Angemessenheitsbeschlusses)
• andere Rechtsordnungen, in denen unsere Unterauftragsverarbeiter tätig sind

6.3 Garantien für internationale Übermittlungen

Für Übermittlungen in Länder ohne Angemessenheitsbeschluss der EU setzen wir geeignete Garantien ein:

Standardvertragsklauseln (SCC):

Wir verwenden die von der EU-Kommission genehmigten Standardvertragsklauseln (2021/914) für Übermittlungen in Drittländer. Diese vertraglichen Bedingungen bieten geeignete Garantien für den Schutz personenbezogener Daten.

Angemessenheitsbeschlüsse:

Wir stützen uns auf Angemessenheitsbeschlüsse der Europäischen Kommission für Übermittlungen in Länder, denen ein angemessenes Schutzniveau zuerkannt wurde (z. B. Vereinigtes Königreich sowie andere Rechtsordnungen mit Angemessenheitsstatus).

Verbindliche interne Datenschutzvorschriften (Binding Corporate Rules):

Soweit anwendbar, können wir verbindliche interne Datenschutzvorschriften für konzerninterne Übermittlungen umsetzen.

Zusätzliche technische Schutzmaßnahmen:

• Verschlüsselung der Daten bei der Übertragung (TLS 1.2 oder höher)
• Verschlüsselung der Daten im Ruhezustand (AES-256)
• Zugriffskontrollen und Authentifizierungsmaßnahmen
• Regelmäßige Sicherheitsbewertungen von Unterauftragsverarbeitern

6.4 Übermittlungen in die USA

Für Übermittlungen in die Vereinigten Staaten:

• Wir haben Standardvertragsklauseln mit unseren in den USA ansässigen Unterauftragsverarbeitern implementiert
• Wir führen Folgenabschätzungen für Übermittlungen (Transfer Impact Assessments) für US-Übermittlungen durch
• Wir beobachten rechtliche Entwicklungen in Bezug auf US-Überwachungsgesetze (FISA 702, EO 12333)
• Wir setzen ergänzende Maßnahmen ein, wo dies erforderlich ist, um ein im Wesentlichen gleichwertiges Schutzniveau sicherzustellen

Sie können eine Kopie unserer Standardvertragsklauseln und Folgenabschätzungen für Übermittlungen anfordern, indem Sie hello@enigmalab.io kontaktieren.

7. Datenspeicherung

7.1 Grundsätze der Aufbewahrung

Wir bewahren personenbezogene Daten nur so lange auf, wie es zur Erfüllung der Zwecke erforderlich ist, für die sie erhoben wurden, einschließlich:

• Erfüllung vertraglicher Verpflichtungen
• Einhaltung gesetzlicher und regulatorischer Anforderungen
• Beilegung von Streitigkeiten und Durchsetzung von Vereinbarungen
• Aufrechterhaltung der Sicherheit und Verhinderung von Betrug

7.2 Konkrete Aufbewahrungsfristen

7.3 Kriterien für die Aufbewahrung

Die konkrete Aufbewahrungsdauer hängt ab von:

• Art der Daten: Sensible Daten erhalten kürzere Aufbewahrungsfristen
• Zweck der Verarbeitung: Daten werden nur so lange aufbewahrt, wie es für ihren ursprünglichen Zweck erforderlich ist
• Gesetzliche Anforderungen: Zwingende Aufbewahrungsfristen nach anwendbarem Recht
• Vertragliche Verpflichtungen: Aufbewahrung gemäß Kundenvereinbarungen
• Mögliche Streitigkeiten: Verlängerte Aufbewahrung, wenn Rechtsstreitigkeiten zu erwarten sind

7.4 Löschung und Anonymisierung von Daten

Am Ende der Aufbewahrungsfrist:

• löschen wir personenbezogene Daten sicher mit branchenüblichen Verfahren
• oder anonymisieren Daten so, dass sie Personen nicht mehr identifizieren können
• wir führen Nachweise über die Löschung zu Audit-Zwecken

Nach Vertragsbeendigung können Kunden die Rückgabe oder Löschung ihrer Daten gemäß unserem Auftragsverarbeitungsvertrag anfordern.

8. Datensicherheit

8.1 Sicherheitsverpflichtung

Wir implementieren geeignete technische und organisatorische Maßnahmen, um personenbezogene Daten vor unbefugtem Zugriff, Veränderung, Offenlegung oder Zerstörung zu schützen. Allerdings kann keine Methode der Datenübertragung oder -speicherung als vollständig sicher garantiert werden. Obwohl wir bestrebt sind, kommerziell angemessene Mittel zum Schutz Ihrer personenbezogenen Daten einzusetzen, stellen wir Sicherheitsmaßnahmen „wie besehen" bereit und können keine absolute Sicherheit garantieren.

8.2 Technische Maßnahmen

Verschlüsselung:

• Daten bei der Übertragung: TLS 1.2 oder höher für alle Datenübertragungen
• Daten im Ruhezustand: AES-256-Verschlüsselung für gespeicherte Daten
• Schlüsselverwaltung: Hardware-Sicherheitsmodule (HSMs) zum Schutz von Schlüsseln

Zugriffskontrollen:

• Rollenbasierte Zugriffskontrolle (RBAC)
• Multi-Faktor-Authentifizierung (MFA) für alle administrativen Zugriffe
• Prinzip der minimalen Rechte
• Regelmäßige Zugriffsüberprüfungen und Rezertifizierung

Netzwerksicherheit:

• Firewalls und Systeme zur Erkennung/Verhinderung von Eindringversuchen
• Netzwerksegmentierung und Isolation
• DDoS-Schutz
• Regelmäßige Schwachstellenscans und Penetrationstests

Systemsicherheit:

• Regelmäßige Sicherheits-Patches und Updates
• Anti-Malware- und Endpoint-Schutz
• Sicherer Softwareentwicklungslebenszyklus (SDLC)
• Code-Reviews und Sicherheitstests

8.3 Organisatorische Maßnahmen

Richtlinien und Verfahren:

• Informationssicherheitsrichtlinie (ausgerichtet an ISO 27001)
• Richtlinie zur akzeptablen Nutzung
• Vorfallreaktionsplan
• Geschäftskontinuitäts- und Notfallwiederherstellungsplan

Personalsicherheit:

• Hintergrundprüfungen für Mitarbeiter mit Datenzugriff
• Vertraulichkeitsvereinbarungen
• Regelmäßige Schulungen zur Sicherheitsawareness
• Phishing-Simulationsübungen

Physische Sicherheit:

• Sichere Rechenzentrumsanlagen mit Zugriffskontrollen
• Umgebungssteuerung und Monitoring
• Verfahren zur Entsorgung von Equipment

8.4 Meldung von Datenschutzverletzungen

Im Falle einer Verletzung des Schutzes personenbezogener Daten:

• werden wir die niederländische Datenschutzbehörde innerhalb von 72 Stunden nach Bekanntwerden der Verletzung benachrichtigen, soweit machbar
• wenn die Verletzung voraussichtlich ein hohes Risiko für Ihre Rechte und Freiheiten zur Folge hat, werden wir betroffene Personen unverzüglich benachrichtigen
• für Unternehmenskunden benachrichtigen wir den benannten Kontakt innerhalb von 48 Stunden nach Bestätigung einer Verletzung, die ihre Daten betrifft
• wir führen ein internes Verletzungsregister, das alle Verletzungen und unsere Reaktionen dokumentiert

8.5 Haftungsbeschränkung

Obwohl wir angemessene, risikogerechte Sicherheitsmaßnahmen umsetzen, können wir nicht haftbar gemacht werden für:

• unbefugten Zugriff infolge von Umständen außerhalb unserer zumutbaren Kontrolle
• Sicherheitsverletzungen, die durch Drittanbieterdienste außerhalb unserer Kontrolle verursacht werden
• Verluste infolge Ihres Versäumnisses, Zugangsdaten vertraulich zu behandeln
• Umstände höherer Gewalt (siehe Abschnitt 15.4)

Ihre Pflichten hinsichtlich Datenrichtigkeit und Zugangsdaten-Sicherheit sind in unseren Allgemeinen Geschäftsbedingungen näher beschrieben. Unsere Haftung für Datenschutzverletzungen ist im nach geltendem Recht zulässigen Umfang und vorbehaltlich der Beschränkungen in unseren Allgemeinen Geschäftsbedingungen begrenzt.

9. Ihre Rechte nach der DSGVO

Nach der Datenschutz-Grundverordnung haben Sie die folgenden Rechte in Bezug auf Ihre personenbezogenen Daten:

9.1 Recht auf Auskunft (Artikel 15)

Sie haben das Recht zu erhalten:

• Bestätigung, ob wir Ihre personenbezogenen Daten verarbeiten
• Zugang zu Ihren personenbezogenen Daten
• Informationen über die Verarbeitung (Zwecke, Kategorien, Empfänger, Aufbewahrungsfristen)
• eine Kopie Ihrer personenbezogenen Daten (in einem gängigen elektronischen Format)

So üben Sie es aus: Reichen Sie eine schriftliche Anfrage an hello@enigmalab.io ein, zusammen mit einem Identitätsnachweis.

Antwortfrist: Innerhalb eines Monats nach Eingang (verlängerbar auf bis zu drei Monate bei komplexen Anfragen).

Gebühr: Die erste Kopie ist kostenlos; für zusätzliche Kopien kann eine angemessene Gebühr erhoben werden.

9.2 Recht auf Berichtigung (Artikel 16)

Sie haben das Recht, die Berichtigung unrichtiger personenbezogener Daten und die Vervollständigung unvollständiger Daten zu verlangen.

So üben Sie es aus: Kontaktieren Sie hello@enigmalab.io oder aktualisieren Sie Ihre Kontoinformationen direkt über unsere Plattform, sofern verfügbar.

Antwortfrist: Ohne unangemessene Verzögerung, typischerweise innerhalb eines Monats.

9.3 Recht auf Löschung / „Recht auf Vergessenwerden" (Artikel 17)

Sie haben das Recht, die Löschung Ihrer personenbezogenen Daten zu verlangen, wenn:

• die Daten für ihren ursprünglichen Zweck nicht mehr erforderlich sind
• Sie Ihre Einwilligung widerrufen (wenn Einwilligung die Rechtsgrundlage war)
• Sie der Verarbeitung widersprechen und keine überwiegenden berechtigten Gründe vorliegen
• die Daten unrechtmäßig verarbeitet wurden
• die Löschung gesetzlich erforderlich ist

Ausnahmen: Dieses Recht gilt nicht, soweit die Verarbeitung erforderlich ist für:

• Ausübung des Rechts auf freie Meinungsäußerung und Information
• Erfüllung einer rechtlichen Verpflichtung
• Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt
• Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche

So üben Sie es aus: Reichen Sie eine schriftliche Anfrage an hello@enigmalab.io ein, mit Identitätsnachweis und Begründung für die Löschung.

9.4 Recht auf Einschränkung der Verarbeitung (Artikel 18)

Sie haben das Recht, die Einschränkung der Verarbeitung zu verlangen, wenn:

• Sie die Richtigkeit der Daten bestreiten (für die Dauer der Überprüfung)
• die Verarbeitung unrechtmäßig ist, Sie aber der Löschung widersprechen
• wir die Daten nicht mehr benötigen, Sie sie jedoch für Rechtsansprüche benötigen
• Sie Widerspruch eingelegt haben, bis die Prüfung unserer berechtigten Gründe abgeschlossen ist

Wirkung: Während der Einschränkung speichern wir die Daten nur und verarbeiten sie mit Ihrer Einwilligung oder für Rechtsansprüche.

9.5 Recht auf Datenübertragbarkeit (Artikel 20)

Sie haben das Recht, Ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und sie einem anderen Verantwortlichen zu übermitteln, wenn:

• die Verarbeitung auf Einwilligung oder Vertragserfüllung beruht
• die Verarbeitung mithilfe automatisierter Verfahren erfolgt

So üben Sie es aus: Kontaktieren Sie hello@enigmalab.io und geben Sie Ihr bevorzugtes Format an (JSON, CSV, XML).

9.6 Widerspruchsrecht (Artikel 21)

Sie haben das Recht, der Verarbeitung zu widersprechen, die beruht auf:

• Berechtigten Interessen (Artikel 6(1)(f)): Wir müssen die Verarbeitung einstellen, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen überwiegen
• Direktwerbung: Wir müssen die Verarbeitung für Marketingzwecke unverzüglich einstellen
• Forschungs- oder Statistikzwecken: sofern die Verarbeitung nicht für Aufgaben im öffentlichen Interesse erforderlich ist

So üben Sie es aus: Kontaktieren Sie hello@enigmalab.io oder klicken Sie in Marketing-E-Mails auf „Abmelden".

9.7 Rechte im Zusammenhang mit automatisierten Entscheidungen (Artikel 22)

Sie haben das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung (einschließlich Profiling) beruhenden Entscheidung unterworfen zu werden, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, es sei denn:

• sie ist für die Vertragserfüllung erforderlich
• sie ist gesetzlich zulässig und enthält geeignete Garantien
• sie beruht auf Ihrer ausdrücklichen Einwilligung

Unsere KI-gestützte Bedrohungserkennung umfasst automatisierte Analysen, trifft jedoch keine ausschließlich automatisierten Entscheidungen mit rechtlichen oder erheblich ähnlichen Wirkungen für Einzelpersonen. Wir betreiben kein Profiling, das rechtliche Wirkungen für Einzelpersonen erzeugt. Eine menschliche Überprüfung ist für Sicherheitswarnungen, die den Nutzerzugang betreffen, stets verfügbar.

9.8 Recht auf Widerruf der Einwilligung

Wenn die Verarbeitung auf Einwilligung beruht, können Sie Ihre Einwilligung jederzeit widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der Verarbeitung vor dem Widerruf.

So üben Sie es aus: Kontaktieren Sie hello@enigmalab.io oder passen Sie die Einstellungen in Ihrem Konto an.

9.9 Recht auf Beschwerde

Sie haben das Recht, bei einer Aufsichtsbehörde Beschwerde einzulegen, wenn Sie der Ansicht sind, dass unsere Verarbeitung gegen die DSGVO verstößt.

Niederländische Aufsichtsbehörde:

Sie können auch bei der Aufsichtsbehörde in Ihrem Wohnsitzland, am Arbeitsplatz oder am Ort des mutmaßlichen Verstoßes Beschwerde einlegen.

9.10 Ausübung Ihrer Rechte

Um eines dieser Rechte auszuüben:

1. Reichen Sie eine schriftliche Anfrage an hello@enigmalab.io ein
2. Fügen Sie einen Identitätsnachweis bei (Kopie des Ausweises mit geschwärzten sensiblen Informationen)
3. Geben Sie an, welches Recht Sie ausüben, und stellen Sie relevante Details bereit
4. Wir bestätigen den Eingang Ihrer Anfrage innerhalb von 5 Werktagen
5. Wir antworten inhaltlich innerhalb eines Monats (verlängerbar auf bis zu drei Monate bei komplexen Anfragen)
6. Für offenkundig unbegründete oder exzessive Anfragen können wir eine angemessene Gebühr erheben

10. Cookies und Tracking-Technologien

10.1 Verwendung von Cookies

Unsere Website verwendet einen minimalen Satz von Cookies für wesentliche Funktionalität und Einwilligungsverwaltung. Wenn Sie über das Cookie-Banner zustimmen, ermöglichen wir zusätzlich Intercom für den Live-Chat-Support. Wir setzen keine Analyse- oder Marketing-Cookies ein.

10.2 Arten von Cookies

Unbedingt erforderliche Cookies:

• Zweck: Ermöglichen Kernfunktionen (Authentifizierung, Sicherheit, Sitzungsverwaltung)
• Rechtsgrundlage: Berechtigtes Interesse (Artikel 6(1)(f))
• Können nicht deaktiviert werden, ohne die Funktionalität des Dienstes zu beeinträchtigen

Analyse-Cookies: Wir setzen derzeit keine ein. Siehe unsere Cookie-Richtlinie.

Funktionale Cookies:

• Zweck: Speichern von Präferenzen und Einstellungen
• Rechtsgrundlage: Einwilligung (Artikel 6(1)(a))
• Beispiele: Spracheinstellungen, Anzeigeeinstellungen

Marketing-Cookies: Wir setzen derzeit keine ein. Siehe unsere Cookie-Richtlinie.

10.3 Cookie-Verwaltung

Sie können Cookie-Präferenzen verwalten über:

• unser Cookie-Einwilligungsbanner (erscheint beim ersten Besuch)
• Browser-Einstellungen zum Blockieren oder Löschen von Cookies
• Abmeldemöglichkeiten von Drittanbietern

Browser-Einstellungen:

• Chrome: Einstellungen → Datenschutz und Sicherheit → Cookies
• Firefox: Einstellungen → Datenschutz & Sicherheit → Cookies
• Safari: Einstellungen → Datenschutz → Cookies
• Edge: Einstellungen → Cookies und Websiteberechtigungen

10.4 Cookie-Richtlinie

Für detaillierte Informationen zu den konkreten Cookies, die wir verwenden, ihren Zwecken und Aufbewahrungsfristen verweisen wir auf unsere Cookie-Richtlinie.

10.5 Do-Not-Track-Signale

Wir reagieren derzeit nicht auf „Do Not Track"-Browsersignale. Sie können jedoch das Tracking über die oben beschriebenen Mechanismen deaktivieren.

11. Links und Dienste Dritter

11.1 Externe Links

Unsere Website und Kommunikation können Links zu Websites, Diensten oder Ressourcen Dritter enthalten. Diese Datenschutzrichtlinie gilt nicht für diese Drittanbieter.

11.2 Haftungsausschluss

Wir sind nicht verantwortlich für:

• die Datenschutzpraktiken von Websites Dritter
• den Inhalt oder die Sicherheit externer Websites
• personenbezogene Daten, die Sie Dritten zur Verfügung stellen

Der Zugriff auf Dienste Dritter erfolgt nach Ihrem alleinigen Ermessen und auf Ihr eigenes Risiko. Wir empfehlen, die Datenschutzrichtlinien der Drittanbieter zu prüfen, die Sie besuchen.

11.3 Integrierte Dienste Dritter

Unsere Plattform kann Dienste Dritter integrieren (z. B. SSO-Anbieter, Cloud-Speicher). Ihre Nutzung dieser Integrationen unterliegt den Bedingungen und der Datenschutzrichtlinie des jeweiligen Drittanbieters.

12. Datenschutz von Kindern

12.1 Nicht für Kinder bestimmt

Unsere Dienste sind für Unternehmen und Organisationen konzipiert und an diese gerichtet. Wir erheben wissentlich keine personenbezogenen Daten von Personen unter 16 Jahren.

12.2 Altersverifikation

Durch die Nutzung unserer Dienste erklären Sie, dass Sie mindestens 16 Jahre alt sind und befugt sind, Ihre Organisation an unsere Bedingungen zu binden.

12.3 Feststellung von Daten Minderjähriger

Wenn uns bekannt wird, dass wir ohne elterliche Einwilligung personenbezogene Daten eines Kindes unter 16 Jahren erhoben haben, werden wir:

• unverzüglich Maßnahmen zur Löschung der Informationen ergreifen
• alle zugehörigen Konten beenden
• die betroffene Kundenorganisation informieren

Wenn Sie glauben, dass wir Daten eines Kindes unter 16 Jahren erhoben haben könnten, kontaktieren Sie uns bitte umgehend unter hello@enigmalab.io.

13. Datenverarbeitung im Auftrag von Kunden

13.1 Abgrenzung Verantwortlicher vs. Auftragsverarbeiter

Wichtige rechtliche Unterscheidung:

• Wenn wir als Verantwortlicher handeln: Für Daten, die wir direkt von Ihnen erheben (z. B. Kontodaten, Website-Nutzung, direkte Kommunikation), ist Enigma Labs B.V. der Verantwortliche für diese Datenschutzrichtlinie.

• Wenn wir als Auftragsverarbeiter handeln: Für personenbezogene Daten, die unsere Kunden in unsere Plattform hochladen oder über diese verarbeiten (z. B. Mitarbeiterdaten für Identitätsmanagement, Netzwerkverkehrsdaten), handelt Enigma Labs B.V. als Auftragsverarbeiter und unsere Kunden sind die Verantwortlichen.

13.2 Pflichten als Auftragsverarbeiter

Wenn wir als Auftragsverarbeiter handeln, werden wir:

• personenbezogene Daten nur auf dokumentierte Weisungen des Verantwortlichen verarbeiten
• Vertraulichkeitsverpflichtungen des Personals sicherstellen
• geeignete Sicherheitsmaßnahmen umsetzen
• Unterauftragsverarbeiter nur mit Autorisierung des Verantwortlichen einsetzen
• Verantwortliche bei der Beantwortung von Betroffenenanfragen unterstützen
• Verantwortliche bei Sicherheits- und Meldepflichten zu Datenschutzverletzungen unterstützen
• Daten am Ende des Vertrags löschen oder zurückgeben
• Informationen zur Demonstration der Compliance bereitstellen

13.3 Auftragsverarbeitungsvertrag (AVV)

Unternehmenskunden müssen unseren Auftragsverarbeitungsvertrag (AVV) abschließen, der:

• unsere Pflichten nach Artikel 28 DSGVO dokumentiert
• Gegenstand, Dauer, Art/Zweck der Verarbeitung festlegt
• die Arten personenbezogener Daten und Kategorien betroffener Personen definiert
• autorisierte Unterauftragsverarbeiter auflistet
• Standardvertragsklauseln für internationale Übermittlungen enthält

Um eine Kopie unseres AVV anzufordern, kontaktieren Sie hello@enigmalab.io oder Ihren Account-Representative.

13.4 Pflichten der Kunden

Als Verantwortliche sind unsere Kunden verantwortlich für:

• das Vorliegen einer Rechtsgrundlage für die Verarbeitung von Endnutzerdaten
• die Bereitstellung von Datenschutzhinweisen für ihre Mitarbeiter und Endnutzer
• die Beantwortung von Betroffenenanfragen in Bezug auf deren Daten
• sicherzustellen, dass ihre Verarbeitungsweisungen mit anwendbarem Recht vereinbar sind

13.5 Verzeichnis von Verarbeitungstätigkeiten

Wir führen ein Verzeichnis von Verarbeitungstätigkeiten gemäß Artikel 30 DSGVO, das Aufsichtsbehörden auf Anfrage zur Verfügung steht.

14. Änderungen dieser Richtlinie

14.1 Aktualisierungen der Richtlinie

Wir können diese Datenschutzrichtlinie von Zeit zu Zeit aktualisieren, um Folgendes zu berücksichtigen:

• Änderungen unserer Geschäftspraktiken
• neue Produkte oder Dienste
• rechtliche und regulatorische Entwicklungen
• Änderungen in Technologie- oder Sicherheitspraktiken

14.2 Benachrichtigung über Änderungen

• Wesentliche Änderungen: Wir informieren Sie per E-Mail oder durch einen deutlich sichtbaren Hinweis auf unserer Website mindestens 30 Tage, bevor die Änderungen in Kraft treten.
• Nicht wesentliche Änderungen: Wir können die Richtlinie ohne vorherige Ankündigung aktualisieren; das Datum „Zuletzt aktualisiert" zeigt die Änderung an.

14.3 Versionskontrolle

Diese Datenschutzrichtlinie enthält eine Versionskontrolle durch:

• Versionsnummer (siehe Frontmatter)
• Datum des Inkrafttretens
• Datum der letzten Aktualisierung

Frühere Versionen sind auf Anfrage verfügbar.

14.4 Annahme von Änderungen

Die fortgesetzte Nutzung unserer Dienste nach Inkrafttreten der Änderungen gilt als Annahme der überarbeiteten Datenschutzrichtlinie. Wenn Sie den Änderungen nicht zustimmen, müssen Sie die Nutzung unserer Dienste einstellen.

15. Anwendbares Recht und Gerichtsstand

15.1 Anwendbares Recht

Diese Datenschutzrichtlinie und alle daraus entstehenden Streitigkeiten unterliegen dem Recht der Niederlande und werden nach diesem ausgelegt, ohne Rücksicht auf kollisionsrechtliche Grundsätze.

15.2 Gerichtsstand

Alle Streitigkeiten aus dieser Datenschutzrichtlinie unterliegen der ausschließlichen Zuständigkeit der Gerichte in Amsterdam, Niederlande.

15.3 Alternative Streitbeilegung

Wir fördern eine einvernehmliche Lösung von Streitigkeiten. Bevor Sie rechtliche Schritte einleiten, kontaktieren Sie uns bitte unter hello@enigmalab.io, um eine Lösung zu versuchen. Wir bestätigen alle Datenschutzbeschwerden innerhalb von 5 Werktagen und geben innerhalb von 30 Tagen eine inhaltliche Antwort.

15.4 Höhere Gewalt

Wir haften nicht für ein Versäumnis oder eine Verzögerung bei der Erfüllung unserer Verpflichtungen aus dieser Datenschutzrichtlinie, wenn dieses Versäumnis oder diese Verzögerung auf Umstände außerhalb unserer zumutbaren Kontrolle zurückzuführen ist, einschließlich, aber nicht beschränkt auf:

• höhere Gewalt, Naturkatastrophen oder Pandemien
• Krieg, Terrorismus oder zivile Unruhen
• staatliche Maßnahmen oder Vorschriften
• Ausfälle des Internets oder der Telekommunikation
• Cyberangriffe oder Sicherheitsvorfälle außerhalb unserer zumutbaren Kontrolle

15.5 Salvatorische Klausel

Sollte eine Bestimmung dieser Datenschutzrichtlinie von einem zuständigen Gericht für ungültig, rechtswidrig oder nicht durchsetzbar befunden werden, wird diese Bestimmung abgetrennt und die übrigen Bestimmungen bleiben in vollem Umfang in Kraft.

15.6 Gesamte Vereinbarung

Diese Datenschutzrichtlinie bildet zusammen mit unseren Allgemeinen Geschäftsbedingungen und dem Auftragsverarbeitungsvertrag (sofern anwendbar) die gesamte Vereinbarung zwischen Ihnen und Enigma Labs B.V. hinsichtlich der Verarbeitung personenbezogener Daten und ersetzt alle früheren Vereinbarungen und Absprachen.

15.7 Verzicht

Ein Verzicht auf eine Bestimmung dieser Datenschutzrichtlinie ist nur wirksam, wenn er schriftlich erfolgt und von der verzichtenden Partei unterzeichnet ist. Die Nichtdurchsetzung eines Rechts stellt keinen Verzicht auf dieses Recht dar.

16. Kontaktinformationen

16.1 Datenschutzanfragen

Für allgemeine Datenschutzfragen, Betroffenenanfragen oder Anliegen zu dieser Datenschutzrichtlinie:

E-Mail: hello@enigmalab.io

Postanschrift: Enigma Labs B.V. z. Hd.: Privacy Team Korte Lijnbaanssteeg 1 1012SL Amsterdam Niederlande

16.2 Datenschutzbeauftragter

Wir haben freiwillig einen Datenschutzbeauftragten (DSB) benannt, der für die Überwachung unserer Datenschutzstrategie und Compliance verantwortlich ist.

Kontakt des DSB:

Der DSB kann direkt kontaktiert werden für:

• Fragen zu unseren Datenschutzpraktiken
• Bedenken hinsichtlich unseres Umgangs mit personenbezogenen Daten
• Betroffenenanfragen
• Meldungen von Datenschutzverletzungen
• Anfragen von Aufsichtsbehörden

16.3 Aufsichtsbehörde

Sie haben das Recht, bei der niederländischen Datenschutzbehörde Beschwerde einzulegen:

Autoriteit Persoonsgegevens (AP)

16.4 Allgemeiner Support

Für nicht datenschutzbezogene Supportanfragen:

Dokumentinformationen

Versionsverlauf

Zugehörige Dokumente

Diese Datenschutzrichtlinie wurde gemäß der Datenschutz-Grundverordnung (DSGVO) und dem niederländischen Datenschutzrecht erstellt. Sie soll Transparenz über unsere Datenverarbeitungstätigkeiten schaffen und zugleich die berechtigten Interessen von Enigma Labs B.V. und unseren Kunden schützen.

© 2026 Enigma Labs B.V. Alle Rechte vorbehalten.