Datenschutzhinweise · marcapo

Meldungen von Sicherheitslücken und Bug-Bounty-Programm

Datenschutz
Zum Bug-Bounty-Programm

1. Verantwortlicher und Rollenabgrenzung

Verantwortlicher für die Verarbeitung personenbezogener Daten im Zusammenhang mit dem Programm „Sicherheitslücke melden“ und dem Bug-Bounty-Programm ist:

marcapo GmbH
Bahnhofstraße 4
96106 Ebern, Deutschland

Vertreten durch: Marc-Stephan Vogt, Thomas Ötinger und Christian Schwarzenberger

Telefon: +49 9531 92200
E-Mail: kontakt@marcapo.com

Die von uns betreuten Marketingportale betreiben wir im Auftrag der jeweiligen Portalbetreiber. Für das Programm „Sicherheitslücke melden“ und das Bug-Bounty-Programm entscheidet die marcapo GmbH jedoch eigenständig über Zwecke und Mittel der Verarbeitung und ist insoweit selbst Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO. Die Portalbetreiber sind in die Bearbeitung von Meldungen nicht einbezogen.

2. Datenschutzbeauftragter

Unseren Datenschutzbeauftragten erreichen Sie unter:

THALES Rechtsanwälte.Datenschutz
Dr. Christian Szidzek & Partner
Kantstraße 38, 97074 Würzburg

Tel.: 0931-46599018
E-Mail: info@thales-datenschutz.de

3. Gegenstand und Zweck der Verarbeitung

Über unsere Programme können Personen Hinweise auf mögliche Sicherheitslücken in den von uns betriebenen Online-Auftritten, insbesondere den Marketingportalen, sowie auf der Website der marcapo GmbH übermitteln.

Meldungen erreichen uns über die auf den Programmseiten genannten Kontaktwege, insbesondere per E-Mail an security@marcapo.com. Dieser Kontaktweg ist auch in unserer security.txt hinterlegt. Einzelheiten zu Geltungsbereich, Ablauf, zulässigem Vorgehen und Reaktionszeiten finden Sie auf den Seiten Sicherheitslücke melden und Bug-Bounty-Programm.

Wir verarbeiten die übermittelten Daten, um

  • Meldungen entgegenzunehmen, zu prüfen und zu bewerten,
  • Maßnahmen zur Behebung und Absicherung unserer Systeme zu veranlassen,
  • mit der meldenden Person zu kommunizieren und Rückfragen zu klären,
  • eine mögliche Prämie zu prüfen und auszuzahlen,
  • gesetzliche Nachweis-, Aufbewahrungs- und Steuerpflichten zu erfüllen.

Personenbezogene Daten der meldenden Person werden nicht an die Betreiber der betroffenen Marketingportale oder sonstige Kunden weitergegeben.

4. Verarbeitete personenbezogene Daten

Abhängig vom gewählten Programm und Ihren Angaben können insbesondere verarbeitet werden:

  • Ihre E-Mail-Adresse und der Absender Ihrer E-Mail,
  • weitere freiwillig mitgeteilte Kontaktdaten,
  • der Inhalt Ihrer Kommunikation mit uns,
  • technische Angaben zur Meldung und zum Test, insbesondere Zeitpunkt und technische Details des Tests,
  • Quell-IP-Adressen sowie Angaben zum verwendeten Testkonto,
  • Informationen über etwaige Zugriffe auf Daten Dritter, soweit solche im Rahmen der Meldung bekannt werden,
  • soweit im Rahmen der Meldung übermittelt: Screenshots, Videos oder sonstige technische Nachweise, sofern diese personenbezogene Daten enthalten,
  • Zahlungs- und gegebenenfalls steuerlich erforderliche Angaben, soweit eine Prämie ausgezahlt wird.

Die Informationen zur technischen Sicherheitslücke und zu deren Bearbeitung enthalten grundsätzlich keine personenbezogenen Daten. Technische Angaben können jedoch im Einzelfall einen Personenbezug aufweisen, insbesondere Quell-IP-Adressen, Angaben zu Testkonten oder technische Nachweise. Werden uns darüber hinaus personenbezogene Daten oder produktive Daten übermittelt, die für die Bearbeitung nicht erforderlich sind, werden diese gelöscht.

Bitte übermitteln Sie keine personenbezogenen Daten Dritter, keine Zugangsdaten und keine produktiven Daten, soweit dies für die Meldung nicht unbedingt erforderlich ist. Sollten Sie bei einem Test versehentlich auf produktive Daten zugreifen, beenden Sie den Zugriff unverzüglich und informieren Sie uns.

5. Freiwilligkeit und Folgen einer Nichtbereitstellung

Sie sind weder gesetzlich noch vertraglich verpflichtet, personenbezogene Daten bereitzustellen. Eine Meldung kann grundsätzlich ohne Angabe des bürgerlichen Namens erfolgen.

Für jede Meldung einer Sicherheitslücke gilt unsere Security Policy. Diese begründet für sich genommen keinen Anspruch auf eine Vergütung oder sonstige finanzielle Anerkennung. Für ausgewählte Portale besteht darüber hinaus ein Bug-Bounty-Programm, auf das die Security Policy verweist. Bei Meldungen zu diesen Portalen können nach Maßgabe der Bedingungen des Bug-Bounty-Programms Prämien gewährt werden.

Ohne eine Kontaktmöglichkeit können wir Ihnen jedoch keine Rückmeldung zu Ihrer Meldung geben. Ohne Zahlungs- und gegebenenfalls steuerlich erforderliche Angaben ist die Auszahlung einer Prämie nicht möglich.

6. Rechtsgrundlagen

  • Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an der Entgegennahme und Prüfung von Sicherheitsmeldungen, der Überprüfung und Behebung gemeldeter Schwachstellen, dem Schutz, der Integrität und der Verfügbarkeit unserer Systeme sowie der Unterscheidung zwischen autorisierten oder gemeldeten Aktivitäten und tatsächlichen Angriffen;
  • Art. 6 Abs. 1 lit. b DSGVO – soweit die Verarbeitung für die Prüfung und Abwicklung einer Prämie im Rahmen der Programmbedingungen erforderlich ist;
  • Art. 6 Abs. 1 lit. c DSGVO – soweit wir gesetzlich zur Verarbeitung oder Aufbewahrung verpflichtet sind, insbesondere aufgrund handels- und steuerrechtlicher Vorgaben.

7. Empfänger der Daten

Zugriff auf personenbezogene Daten erhalten ausschließlich die mit den Programmen betrauten Personen innerhalb der marcapo GmbH sowie folgende Kategorien von Dienstleistern, soweit dies erforderlich ist:

  • Hosting- und Infrastrukturdienstleister,
  • Anbieter der eingesetzten E-Mail- und Ticketsysteme,
  • Dienstleister für die Zahlungsabwicklung,
  • Steuerberatung, soweit dies für die Abwicklung und Dokumentation von Prämienzahlungen erforderlich ist.

Auftragsverarbeiter werden auf Grundlage eines Vertrags nach Art. 28 DSGVO eingebunden. Eine Weitergabe an Behörden oder sonstige Dritte erfolgt nur bei einer gesetzlichen Verpflichtung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Eine Weitergabe an die Betreiber der betroffenen Marketingportale oder sonstige Kunden erfolgt nicht.

8. Übermittlung in Drittländer

Eine Übermittlung personenbezogener Daten in Staaten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet im Rahmen der Programme nicht statt.

Für die Auszahlung einer Prämie setzen wir einen Dienstleister für die Zahlungsabwicklung ein, der ausschließlich die hierfür erforderlichen Zahlungs- und gegebenenfalls steuerlich erforderlichen Daten erhält. Dieser Dienstleister wird innerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums eingesetzt und auf Grundlage einer geeigneten datenschutzrechtlichen Vereinbarung eingebunden.

9. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für die Bearbeitung der Meldung, die Kommunikation, die Abwicklung einer Prämie oder die Erfüllung gesetzlicher Pflichten erforderlich ist.

  • Meldungen, zugehörige Kommunikation sowie für die Bearbeitung erforderliche technische Angaben und Nachweise: Löschung, sobald der Bearbeitungszweck bzw. eine darüber hinaus bestehende Erforderlichkeit der Speicherung entfallen und gegebenenfalls anschließende gesetzliche Aufbewahrungsfristen abgelaufen sind. Davon ausgenommen sind Daten, die für Zahlungs- und Abrechnungsvorgänge erforderlich sind oder aufgrund gesetzlicher Aufbewahrungspflichten – insbesondere nach den jeweils anwendbaren handels- und steuerrechtlichen Vorschriften – gespeichert werden müssen.
  • Produktive Daten sowie nicht erforderliche personenbezogene Daten: unverzügliche Löschung.
  • Zahlungs- und steuerrelevante Unterlagen: Aufbewahrung für die Dauer der jeweils einschlägigen gesetzlichen Aufbewahrungsfristen, insbesondere nach den handels- und steuerrechtlichen Vorschriften

Darüber hinaus können Daten gespeichert werden, solange dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

10. Ihre Rechte

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf

  • Auskunft (Art. 15 DSGVO),
  • Berichtigung (Art. 16 DSGVO),
  • Löschung (Art. 17 DSGVO),
  • Einschränkung der Verarbeitung (Art. 18 DSGVO),
  • Datenübertragbarkeit (Art. 20 DSGVO).

Widerspruchsrecht

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Ihrer personenbezogenen Daten, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO erfolgt, Widerspruch einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an die oben genannten Kontaktdaten.

Sie haben zudem das Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach.

11. Automatisierte Entscheidungsfindung

Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet im Zusammenhang mit den Programmen nicht statt.

12. Verhältnis zu weiteren Datenschutzhinweisen

Diese Hinweise gelten eigenständig für die Verarbeitung im Rahmen des Programms „Sicherheitslücke melden“ und des Bug-Bounty-Programms. Für die Nutzung der jeweiligen Website gelten ergänzend die dortigen Datenschutzhinweise sowie unsere allgemeine Datenschutzerklärung.