Datenschutzhinweise

Stand: 2026-10-19

Diese Übersetzung wird derzeit anwaltlich geprüft. Bis zum Abschluss der Prüfung ist die englische Fassung maßgeblich. Englische Fassung

Diese Hinweise erklären, welche personenbezogenen Daten secscan verarbeitet, warum, auf welcher Rechtsgrundlage, wie lange und welche Rechte Sie nach der Datenschutz-Grundverordnung (DSGVO) haben. secscan ist so gebaut, dass es so wenige personenbezogene Daten wie möglich braucht: Uploads werden in isolierten Sandboxen analysiert und direkt nach der Prüfung gelöscht, und es gibt kein Werbe-Tracking.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung ist Jan Gebser, handelnd unter NETCORE MEDIA, Ochsenweberstraße 25b, 22419 Hamburg, Deutschland; E-Mail info@netcore.digital. Siehe Impressum. Einen Datenschutzbeauftragten haben wir nicht benannt, da wir dazu gesetzlich nicht verpflichtet sind. Für alle Fragen zum Datenschutz schreiben Sie bitte an die obige Adresse.

2. Überblick

3. Besuch der Website

Wenn Sie eine Seite öffnen, protokolliert der Webserver Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, den HTTP-Status, die übertragene Datenmenge, die verweisende Seite und die Kennung Ihres Browsers (User-Agent). Wir brauchen dies, um die Seiten auszuliefern, Angriffe zu erkennen und abzuwehren und Fehler zu beheben (Art. 6 Abs. 1 lit. f DSGVO). Die Server-Protokolle werden täglich rotiert und nach 7 Tagen gelöscht. Die Website lädt keine Schriften, Skripte oder Bilder von Dritten.

Um anzuzeigen, wie viele Personen gerade online sind, speichern wir einen Einweg-Hash Ihrer Sitzungskennung, ob Sie angemeldet sind, und die Zeit Ihres letzten Seitenaufrufs, ohne IP-Adresse; diese Einträge werden nach einer Stunde gelöscht (Art. 6 Abs. 1 lit. f DSGVO).

4. Cookies

secscan verwendet nur Cookies, die für den von Ihnen angefragten Dienst unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG); dafür ist keine Einwilligung nötig:

Wenn Sie einen Community-Beitrag schreiben, wird der unfertige Text im lokalen Speicher Ihres Browsers gehalten, damit ein Entwurf nicht verloren geht, wenn die Seite geschlossen wird. Er verlässt Ihr Gerät erst, wenn Sie ihn veröffentlichen, und wird beim Absenden entfernt (§ 25 Abs. 2 Nr. 2 TDDDG: erforderlich für die von Ihnen genutzte Schreibfunktion).

5. Reichweitenmessung

secscan verwendet derzeit keine Reichweitenmessung. Sollte sich das ändern, beschreibt dieser Abschnitt sie, bevor sie beginnt.

6. Ihr Konto und die Anmeldung

Für ein Konto speichern wir Ihre E-Mail-Adresse, einen Hash Ihres Passworts (Argon2id; das Passwort selbst kennen wir nie), Ihren Tarif und, nur wenn Sie sie angeben, Ihren Namen, Ihr Bild, Ihre Website, Position, Branche und Ihr Unternehmen. Die Anmeldung erfolgt in mehreren Schritten (Sicherheitsbild, E-Mail-Code, Passwort, optional eine Authenticator-App); dafür verarbeiten wir Einmal-Codes, die nach wenigen Minuten ablaufen.

Zum Schutz Ihres Kontos protokollieren wir Anmeldungen, Fehlversuche, Passwort-Zurücksetzungen und Sicherheitsänderungen mit Zeit, IP-Adresse und Browser (Art. 6 Abs. 1 lit. f DSGVO). Sie sehen diesen Verlauf in Ihrem Profil und, wenn Sie möchten, in regelmäßigen Anmeldeübersichten per E-Mail. Der Anmeldeverlauf wird nach 400 Tagen gelöscht, Einträge zu Fehlversuchen für die Begrenzung nach 24 Stunden.

Kontodaten bleiben gespeichert, bis Sie Ihr Konto im Profil löschen; die Löschung entfernt sofort Ihre Prüfungen, Berichte, API-Tokens, Domains und Plattform-Verknüpfungen. Daten, die wir aus steuer- oder handelsrechtlichen Gründen aufbewahren müssen (zum Beispiel Rechnungen für Pro), werden für die gesetzlichen Fristen aufbewahrt (bis zu 10 Jahre, Art. 6 Abs. 1 lit. c DSGVO).

7. Prüfungen und Berichte

Dateien, die Sie hochladen oder importieren (von GitHub oder einer Webadresse), werden automatisch in isolierten Containern ohne Netzwerkzugang analysiert und direkt nach der Prüfung gelöscht. Unfertige Uploads werden nach 24 Stunden gelöscht. Bitte reichen Sie keine personenbezogenen Daten anderer ein; der Dienst ist für Code, Websites und verdächtige Dateien gedacht, nicht für Dokumente über Personen.

Der Bericht (Dateinamen, Hashes, Funde mit kurzen Codeauszügen, technische Details) wird 30 Tage aufbewahrt und kann von Ihnen jederzeit gelöscht werden. In Ihren Dateien gefundene geleakte Zugangsdaten werden in Berichten maskiert. Gast-Prüfungen, die nicht innerhalb von 24 Stunden durch eine Registrierung übernommen werden, werden gelöscht. Für die wöchentlichen Limits protokollieren wir, welches Konto oder welche Gast-Kennung eine Prüfung von welcher IP-Adresse gestartet hat; diese Nutzungseinträge werden nach 400 Tagen gelöscht.

Öffentliche Statistiken enthalten nur anonyme Summen (Anzahl der Prüfungen, Größen, Dateitypen, Ergebnisse) ohne jeden Personenbezug. Pro-Nutzer können sich einen Bericht per E-Mail senden lassen.

8. Website-Prüfungen und Domains

Bei Website-Prüfungen speichern wir die eingegebene Adresse und das Prüfergebnis wie jeden anderen Bericht. Die Prüfung verbindet sich von unseren Servern mit der Website; der Betreiber der Website sieht unsere Serveradresse, nicht Ihre. Vollständige Prüfungen setzen den Nachweis voraus, dass Sie die Domain kontrollieren; dafür speichern wir die Domain, ein Bestätigungstoken und das Ergebnis der Prüfung, bis Sie die Domain entfernen.

9. Community

Beiträge, Bilder und Ihr Community-Name sind öffentlich. Jedes Konto erhält bei der Registrierung einen zufälligen Community-Namen, den Sie ändern können; Ihr echter Name, Ihre E-Mail-Adresse und Ihre Kontonummer werden in der Community nie angezeigt. Bilder werden umgewandelt (dabei werden eingebettete Metadaten wie Standortdaten entfernt). Wir speichern Meldungen zu Beiträgen und Moderationsmaßnahmen. Beiträge bleiben bestehen, bis Sie oder ein Moderator sie löschen; wenn Sie Ihr Konto löschen, werden Ihre Beiträge als von einem „ehemaligen Mitglied“ verfasst angezeigt.

Der private Sponsorenbereich der Community ist nur für aktive Sponsoren und unser Team sichtbar; seine Beiträge werden verschlüsselt gespeichert.

Einladungen. Wenn Sie sich über den persönlichen Einladungslink eines Mitglieds registrieren, speichern wir, welches Mitglied Sie eingeladen hat (Art. 6 Abs. 1 lit. f DSGVO: Zuordnung der Einladung). Das einladende Mitglied sieht nur, wie viele Eingeladene beigetreten und Pro geworden sind, nicht wer, und erhält dafür Abzeichen. Wir versenden selbst nie Einladungs-E-Mails; Mitglieder teilen ihren Link persönlich.

10. Kontaktanfragen

Wenn Sie das Kundenerfolgs-Formular nutzen, verarbeiten wir Ihren Namen, Ihre geschäftliche E-Mail-Adresse, Ihr Unternehmen und Ihre weiteren Angaben sowie die IP-Adresse der Anfrage (Missbrauchsschutz), um Ihnen zu antworten und gegebenenfalls ein Angebot vorzubereiten. Anfragen werden 24 Monate nach ihrer Bearbeitung gelöscht, spätestens 36 Monate nach Eingang, sofern keine längere Aufbewahrung gesetzlich vorgeschrieben ist.

11. Partner, Werbung und Sponsoren

Werbeplätze. Einige Seiten zeigen Partner-Banner. Es sind Bilder von unserem eigenen Server; kein fremdes Werbenetzwerk, kein Cookie und kein Tracking-Skript ist beteiligt. Wir zählen je Banner und Tag nur, wie oft es angezeigt und angeklickt wurde (zwei Zahlen, ohne IP-Adresse oder sonstige Daten über Sie), und geben diese Summen in einem Bericht an den Partner weiter (Art. 6 Abs. 1 lit. f DSGVO: Abrechnung und Berichterstattung der gebuchten Werbung). Wenn Sie ein Banner anklicken, leiten wir Sie auf die Website des Partners weiter, wo dessen Datenschutzhinweise gelten.

Buchungs- und Sponsoring-Anfragen. Wenn Sie einen Werbeplatz anfragen oder Interesse an einem Sponsoring bekunden, verarbeiten wir Ihr Unternehmen, Ihren Namen, Ihre E-Mail-Adresse, Website, das hochgeladene Bild und Ihre Nachricht sowie die IP-Adresse der Anfrage (Missbrauchsschutz), um die Anfrage zu bearbeiten, den Vertrag vorzubereiten und durchzuführen und die Berichte zu senden (Art. 6 Abs. 1 lit. b DSGVO). Geschäftsunterlagen wie Rechnungen werden nach handels- und steuerrechtlichen Vorgaben aufbewahrt (bis zu 10 Jahre); übrige Anfragedaten werden 24 Monate nach Ende der Buchung oder Anfrage gelöscht. Sponsoren, die zustimmen, werden mit Name, Logo und Website auf unseren Websites und in einer öffentlichen Liste angezeigt, die die anderen HEIMDALL-Plattformen nutzen.

Bewerbungen für Partnerprogramme. Wenn Sie sich für ein Partnerprogramm bewerben, verarbeiten wir Ihre Organisation, deren Größe, Ihren Namen, Ihre E-Mail-Adresse, Website und Nachricht sowie die IP-Adresse der Anfrage (Missbrauchsschutz), um die Bewerbung zu prüfen und eine Partnerschaft vorzubereiten (Art. 6 Abs. 1 lit. b DSGVO). Angenommene Partner werden mit Name der Organisation und Website im öffentlichen Partnerverzeichnis aufgeführt. Nicht angenommene Bewerbungen werden 24 Monate nach der Bewerbung gelöscht.

12. API, CLI und angebundene Plattformen

Für den API-Zugang speichern wir Ihre Tokens nur als Hashes sowie ein Protokoll der API-Anfragen (Zeit, Adresse, Status, IP) für 90 Tage zur Sicherheit und fairen Nutzung. Die selbst gehostete CLI prüft Ihre Lizenz online; dabei werden Ihr Token sowie Programmname und -version im Anfrage-Header übertragen.

secscan gehört zur HEIMDALL-Plattformfamilie, die von NETCORE MEDIA betrieben wird (darunter heimdall-security.net, netcore.digital, webservice.digital und us24.net). Wenn Sie secscan über eine dieser Plattformen nutzen, tauschen die Plattform und secscan die dafür nötigen Daten aus: die E-Mail-Adresse Ihres Kontos, Name, Tarif und eine interne ID sowie die Ergebnisse der dort gestarteten Prüfungen. Jede Plattform hat eigene Datenschutzhinweise.

13. E-Mails

Wir senden E-Mails, die für den Dienst nötig sind: Anmelde- und Bestätigungscodes, Sicherheitshinweise (zum Beispiel ein neues Passwort oder das Zurücksetzen der Zwei-Faktor-Authentifizierung), optionale Anmeldeübersichten und bei Pro optionale Prüfberichte. Die optionalen können Sie in Ihrem Profil abschalten. Wir senden keine Newsletter und keine Werbung.

14. Empfänger und Auftragsverarbeiter

• Hosting: Strato GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland (dedizierter Server im Berliner Rechenzentrum) (Auftragsverarbeiter nach Art. 28 DSGVO).
• E-Mail-Zustellung: unser Mailserver und der E-Mail-Anbieter, über den Sie Nachrichten empfangen.
• Angebundene HEIMDALL-Plattformen, nur wie in Abschnitt 12 beschrieben.
• Behörden, nur wenn wir gesetzlich zur Herausgabe verpflichtet sind.

Wir verkaufen keine personenbezogenen Daten und geben sie nicht zu Werbezwecken weiter.

15. Übermittlungen außerhalb der EU

Die gesamte Verarbeitung findet auf Servern in Deutschland statt. Wenn Sie ein Repository von GitHub importieren, lädt unser Server es von GitHub, Inc. (USA) herunter; diese Anfrage enthält nur den Namen des Repositorys, keine Daten über Sie.

16. Speicherdauer im Überblick

17. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und auf Widerspruch gegen Verarbeitungen, die auf berechtigten Interessen beruhen (Art. 21). Vieles davon können Sie selbst erledigen: Ihr Profil zeigt Ihre Daten und Ihren Anmeldeverlauf, Prüfberichte können als JSON heruntergeladen und gelöscht werden, und das Konto kann mit allen Daten gelöscht werden. Für alles andere schreiben Sie an info@netcore.digital.

Sie können sich außerdem bei einer Aufsichtsbehörde beschweren, zum Beispiel bei der für uns zuständigen: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg.

Wir nutzen keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO. Prüfergebnisse bewerten Dateien und Websites, keine Personen.

18. Sicherheit

Verbindungen sind verschlüsselt (HTTPS). Eingereichte Dateien werden in isolierten Containern ohne Netzwerkzugang analysiert; Downloads und Website-Prüfungen laufen in eigenen Containern, die nur öffentliche Adressen erreichen. Passwörter werden als Argon2id-Hashes gespeichert, API-Tokens als SHA-256-Hashes, Authenticator-Geheimnisse verschlüsselt. Der Zugang zur Verwaltung ist auf ein privates Netz beschränkt, erfordert Zwei-Faktor-Authentifizierung und wird vollständig protokolliert.

19. Änderungen

Wir aktualisieren diese Hinweise, wenn sich der Dienst oder die Rechtslage ändert. Das Datum oben zeigt die aktuelle Fassung.