Datenschutzerklärung

Stand: 19. Juli 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz‑Grundverordnung (DSGVO) ist:
Florian Busche — Verto‑IT, Blumenstraße 15, 71404 Korb, Deutschland
E‑Mail: [email protected] · Telefon: +49 7151 9761587
Weitere Angaben siehe Impressum.

2. Über dieses Angebot

ASW ("App Secret Watcher") ist eine B2B‑SaaS‑Anwendung. Organisationen ("Kunden") legen ein Konto an, laden Teammitglieder ein und verbinden optional ihre Microsoft Entra ID‑/ Azure AD‑Mandanten, damit ASW ablaufende App‑Anmeldeinformationen (Client‑Secrets, Zertifikate) erkennt und per E‑Mail warnt. Diese Erklärung beschreibt, welche personenbezogenen Daten dabei verarbeitet werden.

Soweit ein Kunde ASW zur Verarbeitung von Daten seiner eigenen Mitarbeitenden oder seines Azure‑AD‑Mandanten einsetzt, ist der Kunde datenschutzrechtlich in der Regel selbst Verantwortlicher und Verto‑IT tritt als Auftragsverarbeiter auf (Art. 28 DSGVO). Ein Auftragsverarbeitungsvertrag (AVV) wird auf Anfrage unter [email protected] bereitgestellt.

3. Registrierung und Nutzerkonto

Bei der Registrierung einer Organisation und beim Anlegen eines Nutzerkontos werden verarbeitet:

• Organisationsname
• Benutzername, E‑Mail‑Adresse
• Passwort — ausschließlich als bcrypt‑Hash gespeichert, niemals im Klartext
• Rolle innerhalb der Organisation (Mitglied, Admin, Owner)
• Zeitpunkt der letzten Anmeldung
• Benachrichtigungseinstellung (ob Warnmails empfangen werden)

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags) sowie, für Sicherheitsmaßnahmen, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionsfähigen und sicheren Dienst).

Einladung von Teammitgliedern

Administrator:innen können weitere Personen per E‑Mail‑Adresse einladen. Es wird eine Einladungs‑E‑Mail mit einem einmaligen, zeitlich befristeten Link versendet. Die Einladung ist 7 Tage gültig; wird sie nicht angenommen, verschwindet sie nicht sofort, sondern wird Administrator:innen weitere 7 Tage lang als "abgelaufen" mit der Möglichkeit angezeigt, sie erneut zu versenden. Wird sie in dieser Zeit nicht erneuert, werden E‑Mail‑Adresse und Einladungsdaten automatisch und unwiderruflich gelöscht.

4. Zwei‑Faktor‑Authentifizierung und Passkeys

Zur Absicherung von Konten können ein TOTP‑Geheimnis (Authenticator‑App), Wiederherstellungscodes und/oder WebAuthn‑Passkeys hinterlegt werden. Das TOTP‑Geheimnis wird mit AES‑256‑GCM verschlüsselt gespeichert, Wiederherstellungscodes werden gehasht, von Passkeys wird nur der öffentliche Schlüssel sowie Metadaten (Gerätetyp, letzte Nutzung) gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Kontosicherheit); für Root‑Administrator:innen ist die Einrichtung verpflichtend.

5. Single Sign‑On (SSO)

Organisationen können eigene Identitätsanbieter (Google, Microsoft Entra ID, generisches OIDC) anbinden. Client‑ID und Client‑Secret des jeweiligen Anbieters werden AES‑256‑GCM‑verschlüsselt gespeichert. Beim Login über SSO übermittelt der jeweilige Identitätsanbieter E‑Mail‑Adresse, Name und eine eindeutige Konto‑Kennung an ASW; diese Übermittlung unterliegt zusätzlich der Datenschutzerklärung des jeweiligen Identitätsanbieters. Root‑Administrator:innen sind von SSO ausgeschlossen und melden sich stets mit Passwort und zweitem Faktor an.

6. Verbindung zu Microsoft Entra ID / Azure AD

Um Anmeldeinformationen überwachen zu können, erteilt ein Administrator des Kunden in seinem eigenen Microsoft‑Mandanten eine Admin‑Einwilligung ("Admin Consent") für eine mandantenübergreifende App‑Registrierung von ASW mit der Anwendungsberechtigung Application.Read.All (nur lesend, keine weiteren Berechtigungen). ASW liest darüber ausschließlich Metadaten:

• App‑Registrierungen und Enterprise Apps: Objekt‑ID, App‑ID, Anzeigename
• zugehörige Client‑Secrets/Zertifikate: interne ID, Typ, Anzeigename, Ablaufdatum

Die eigentlichen Geheimniswerte (Secret‑Werte, Zertifikatsdateien) werden von der Microsoft Graph API grundsätzlich nicht herausgegeben und daher von ASW zu keinem Zeitpunkt gespeichert oder eingesehen — das System kennt nur, dass und wann eine Anmeldeinformation abläuft, nicht ihren Wert. Die Einwilligung kann vom Kunden jederzeit in seinem eigenen Microsoft‑Mandanten widerrufen werden; die Verbindung kann außerdem innerhalb von ASW entfernt werden, wodurch alle zugehörigen Metadaten gelöscht werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO sowie Auftragsverarbeitung im Verhältnis zum Kunden.

7. Versand von Benachrichtigungs‑E‑Mails

Warnmeldungen zu ablaufenden Anmeldeinformationen sowie Einladungs‑E‑Mails werden über die Microsoft Graph sendMail‑API aus einem separaten, eigens dafür eingerichteten Postfach versendet. Empfänger sind Teammitglieder, die dies in ihrem Profil aktiviert haben, sowie von der Organisation hinterlegte zusätzliche Adressen (z. B. ein IT‑Postfach). Für den Mailversand nutzt Verto‑IT Microsoft als Auftragsverarbeiter (Microsoft 365 / Exchange Online); es gilt die Microsoft Products and Services Data Protection Addendum. Eine Verarbeitung kann dabei auch außerhalb der EU stattfinden; Microsoft stellt hierfür Standardvertragsklauseln sowie die EU Data Boundary bereit.

8. Cookies und lokaler Speicher

ASW setzt ausschließlich ein technisch notwendiges Sitzungs‑Cookie sowie eine rein clientseitige Theme‑Einstellung im Local Storage. Es werden keine Tracking‑, Marketing‑ oder Analyse‑Cookies und keine Cookies Dritter gesetzt. Details siehe Cookie‑Richtlinie.

9. Protokollierung (Audit‑Log)

Sicherheitsrelevante Vorgänge (u. a. An‑/Abmeldungen, fehlgeschlagene Anmeldeversuche, Änderungen an Mitgliedern, Rollen und SSO‑Einstellungen) werden mit Zeitstempel, ausführendem Konto, Aktion und IP‑Adresse protokolliert. Dies dient der Nachvollziehbarkeit von Sicherheitsvorfällen und der Rechenschaftspflicht gegenüber Kunden (Art. 6 Abs. 1 lit. f DSGVO). Einträge werden automatisiert nach 12 Monaten gelöscht.

10. Speicherdauer im Überblick

11. Empfänger und Auftragsverarbeiter

• Microsoft Corporation / Microsoft Ireland Operations Ltd. — Microsoft Graph API (Lesezugriff auf Anmeldeinformations‑Metadaten der Kunden, sofern verbunden) sowie E‑Mail‑Versand.
• Hosting‑Anbieter — für Anwendung und Datenbank. Details auf Anfrage unter [email protected].

Eine Übermittlung an weitere Dritte oder zu Werbezwecken findet nicht statt.

12. Ihre Rechte als betroffene Person

Sie haben nach der DSGVO das Recht auf:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung ("Recht auf Vergessenwerden", Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Beschwerde bei einer Datenschutz‑Aufsichtsbehörde, z. B. dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden‑Württemberg

Zur Ausübung genügt eine formlose Nachricht an [email protected].

Löschung des eigenen Kontos und der Organisation

Mitglieder können ihr eigenes Konto jederzeit unter Profile › Security löschen; alle personenbezogenen Daten dieses Kontos (Zugangsdaten, MFA‑/Passkey‑Daten) werden dabei entfernt. Der Root‑Administrator kann sein eigenes Konto aus Sicherheitsgründen nicht auf diesem Weg löschen, da er der garantierte Wiederherstellungsweg der Organisation ist. Ein Owner der Organisation kann stattdessen unter My Organization die gesamte Organisation samt aller zugehörigen Konten, verbundenen Azure‑Mandanten, Einladungen und Protokolle löschen. Diese Löschung ist unwiderruflich und wirkt sich auf alle Teammitglieder der Organisation aus.

Da beide Löschungen unwiderruflich sind, verlangen wir dafür einen zweiten Faktor: Ist für das ausführende Konto eine bestätigte Zwei‑Faktor‑Authentifizierung eingerichtet, wird zusätzlich zum Passwort ein aktueller Authenticator‑Code abgefragt und die Löschung erfolgt sofort. Ist keine Zwei‑Faktor‑ Authentifizierung eingerichtet, wird stattdessen ein einmaliger Bestätigungslink an die hinterlegte E‑Mail‑Adresse versendet (gültig 30 Minuten); erst der Klick auf diesen Link löst die tatsächliche Löschung aus.

13. Datensicherheit

Die Übertragung erfolgt verschlüsselt (TLS). Passwörter werden ausschließlich als bcrypt‑Hash gespeichert, besonders sensible Geheimnisse (TOTP‑Seeds, SSO‑Client‑Secrets) zusätzlich mit AES‑256‑GCM verschlüsselt. Es kommen serverseitige Sitzungen, ein CSRF‑Schutz, eine strikte Content‑Security‑Policy sowie Rate‑Limiting gegen Brute‑Force‑Angriffe zum Einsatz.

14. Änderungen dieser Erklärung

Diese Datenschutzerklärung wird bei Bedarf angepasst, etwa wenn sich der Funktionsumfang von ASW ändert. Es gilt jeweils die zum Zeitpunkt Ihres Besuchs abrufbare Fassung.

15. Kontakt

Fragen zum Datenschutz richten Sie bitte an Florian Busche — Verto‑IT, [email protected].