Datenschutzerklärung

1. Verantwortlicher

Marcus Brandt
Tuchschererstr. 34
46325 Borken
E-Mail: E-Mail
Telefon: +49 173 8906178

2. Allgemeines zur Datenverarbeitung

Personenbezogene Daten werden nur verarbeitet, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie der Nyx-Plattform (siehe Ziffer 6) und des Forensiktool-Dienstes (siehe Ziffer 7) erforderlich ist. Eine Verarbeitung personenbezogener Daten erfolgt regelmäßig nur nach Einwilligung der betroffenen Person oder auf einer der nachfolgend genannten gesetzlichen Grundlagen.

Rechtsgrundlagen

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung
• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung (Nutzung der Nyx-Plattform)
• Art. 6 Abs. 1 lit. c DSGVO – Rechtliche Verpflichtung
• Art. 6 Abs. 1 lit. f DSGVO – Berechtigtes Interesse (z. B. Server-Logs, IT-Sicherheit)

3. Hosting und Server-Logfiles – netcup GmbH

Diese Website und die Nyx-Plattform werden auf Servern der netcup GmbH gehostet:

netcup GmbH
Daimlerstraße 25
76185 Karlsruhe

Bei jedem Aufruf wird durch den Webserver automatisch ein Server-Logfile erhoben. Dieses umfasst:

• IP-Adresse des anfragenden Rechners
• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite bzw. Datei und angefragter Domainname
• Referrer-URL (zuvor besuchte Seite)
• Browser-Typ und -Version, Betriebssystem
• HTTP-Statuscode

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit und Missbrauchserkennung). Die IP-Adresse wird dabei ungekürzt gespeichert. Speicherdauer: 14 Tage, danach automatische Löschung.

Zur Abwehr von Angriffen werden diese Logfiles automatisiert ausgewertet. IP-Adressen, die gezielt nach nicht öffentlichen Dateien suchen (z. B. Konfigurationsdateien oder Versionsverwaltung), werden automatisch für 24 Stunden gesperrt, ebenso IP-Adressen mit wiederholt fehlerhaften Server-Anmeldungen (Software fail2ban); die Sperren werden danach aufgehoben und spätestens nach einem Tag gelöscht. Eine Übersicht dieser Auswertung ist ausschließlich für den Administrator einsehbar und umfasst höchstens die Logfiles der letzten 14 Tage. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz der Systeme vor Angriffen).

Zugriffe aus dem Tor-Netzwerk werden serverseitig per Firewall automatisch blockiert; die Admin-Übersicht weist dabei zusätzlich das Herkunftsland der blockierten bzw. auffälligen IP-Adressen aus. Die Länderzuordnung erfolgt lokal auf dem Server anhand einer öffentlich verfügbaren IP-Bereich-zu-Land-Datenbank (DB-IP Country-Lite), die monatlich automatisiert abgerufen wird; dabei werden keine Besucher-IP-Adressen an diesen oder einen anderen Dritten übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz der Systeme vor Angriffen).

Mit netcup besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO. Die Server befinden sich in Deutschland; eine Übermittlung personenbezogener Daten in Drittländer findet durch das Hosting selbst nicht statt.

Diese Website nutzt zudem aus Sicherheitsgründen eine SSL-/TLS-Verschlüsselung, erkennbar an „https://“ und dem Schloss-Symbol in Ihrer Browserzeile. Das Zertifikat wird über Let's Encrypt ausgestellt und automatisch erneuert.

3.1 Server-Backup

Die Datenbanken sowie sicherheitsrelevante Konfigurationsdateien von iso-it-sec.de, Nyx und Forensiktool werden täglich gesichert: 7 Tage lokal auf dem Server sowie zusätzlich verschlüsselt (AES-256) bei einem Speicherprodukt der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin (dort werden die letzten 30 Sicherungen aufbewahrt, ältere automatisch gelöscht). Die Entschlüsselung ist nur mit einer separat – nicht auf dem Server und nicht bei STRATO – hinterlegten Passphrase möglich.

Zweck ist ausschließlich die Wiederherstellung nach einem technischen Ausfall oder einer Kompromittierung des Servers. Personenbezogene Daten können dadurch für die Dauer dieser Aufbewahrungsfristen noch in einer Sicherungskopie enthalten sein, auch nachdem sie im laufenden Betrieb bereits gelöscht wurden (z. B. durch die in Ziffer 6.4 und Ziffer 7.3 genannten Löschfristen).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Verfügbarkeit und Wiederherstellbarkeit). Mit STRATO besteht bereits ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO für den E-Mail-Dienst (siehe Ziffer 5); ob dieser auch das hier genutzte Speicherprodukt abdeckt oder gesondert vereinbart werden muss, wird derzeit geprüft.

4. Schriftarten

Diese Website verwendet die Schriftart Cormorant Garamond, die Nyx-Plattform die Schriftart JetBrains Mono. Beide Schriftarten sind lokal auf unserem eigenen Server gespeichert und werden von dort ausgeliefert. Beim Aufruf der Seiten wird keine Verbindung zu Servern von Google oder anderen Drittanbietern hergestellt.

5. Kontaktaufnahme per E-Mail

Wenn Sie uns per E-Mail kontaktieren, werden die übermittelten Daten (Ihre E-Mail-Adresse, Name und Nachrichteninhalt) gespeichert, um Ihre Anfrage zu bearbeiten und für Rückfragen bereitzuhalten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: bis zur abschließenden Bearbeitung der Anfrage, längstens 3 Jahre nach Ende des Kontakts.

Das E-Mail-Postfach und der E-Mail-Versand (auch für Systemnachrichten der Nyx-Plattform) werden von der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, betrieben. Mit STRATO besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

6. Nyx – OSINT Security Platform

Nyx ist eine OSINT-Plattform (Open Source Intelligence) für Attack Surface Discovery, Leak Monitoring, Darknet-Recherche, Pentest-Berichte und Security Intelligence, erreichbar unter nyx.iso-it-sec.de. Für deren Nutzung gelten ergänzend die folgenden Regelungen.

6.1 Registrierung und Nutzerkonto

Zur Nutzung der Plattformfunktionen ist eine Registrierung erforderlich. Dabei werden folgende Daten erhoben:

• E-Mail-Adresse (Pflichtfeld, zur Identifikation)
• Benutzername (Pflichtfeld, Anzeige in der Oberfläche)
• Passwort (ausschließlich bcrypt-gehasht gespeichert, niemals im Klartext)
• Zeitstempel der Registrierung
• JWT-Authentifizierungs-Token (serverseitig generiert, 7 Tage gültig)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Speicherdauer: bis zur Löschung des Kontos. Sie können Ihr Konto jederzeit selbst unter „Mein Konto“ (Klick auf Ihren Benutzernamen) löschen oder die Löschung per E-Mail beantragen. Dabei werden das Konto und alle zugeordneten Pentest-Scans und -Ergebnisse entfernt.

Passwort vergessen: Fordern Sie einen Link zum Zurücksetzen an, senden wir ihn an die hinterlegte E-Mail-Adresse (Versand über STRATO, siehe Ziffer 5). Gespeichert wird nur ein Hashwert des Links; er ist 30 Minuten gültig, einmalig verwendbar und wird nach Verwendung sofort, sonst spätestens einen Tag nach Ablauf gelöscht. Nach dem Zurücksetzen werden alle bestehenden Anmeldungen ungültig. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

6.2 OSINT-Abfragen und Übermittlung an Drittdienste

Führen Sie eine OSINT-Abfrage aus (z. B. IP Discovery), wird das von Ihnen eingegebene Ziel (Domain, IP-Adresse oder E-Mail-Adresse) an externe, öffentlich zugängliche Sicherheitsdienste übermittelt. Sie sind dafür verantwortlich, nur Ziele abzufragen, für die Sie die erforderliche Berechtigung besitzen.

Dienst	Zweck	Anbieter / Sitz
Google DNS-over-HTTPS	DNS-Auflösung	Google Ireland Ltd., Dublin, IE
Cloudflare DNS-over-HTTPS	DNS-Auflösung (Fallback)	Cloudflare, Inc., San Francisco, USA
OpenDNS (Cisco)	DNS-Auflösung (Fallback)	Cisco OpenDNS LLC, San Francisco, USA
crt.sh	Certificate-Transparency-Logs (Subdomains)	Sectigo Ltd. (crt.sh)
HackerTarget	Subdomain-Enumeration	HackerTarget Pty Ltd, Australien
RapidDNS	Subdomain-Enumeration	rapiddns.io
Shodan InternetDB	Offene Ports, CVEs, CPEs zu IP-Adressen	Shodan LLC, San Diego, USA
OSV (osv.dev)	Abgleich erkannter Software-Versionen mit bekannten Schwachstellen (nur Produkt und Version, ohne Ziel)	Google LLC, USA
ipinfo.io	ASN, Organisation, Land zu IP-Adressen	IPinfo LLC, San Francisco, USA
RIPE NCC (Stat API & Datenbanksuche)	ASN-/Routing-Informationen, Organisationssuche	RIPE NCC, Amsterdam, NL
LeakIX	Exponierte Services und Datenlecks	LeakIX, Frankreich
LeakCheck (Public API)	Leak-Prüfung von E-Mail-Adressen gegen bekannte Datenpannen (ohne Klartext-Passwörter)	LeakCheck
XposedOrNot	Leak-Prüfung von E-Mail-Adressen inkl. Risiko-Score (ohne Klartext-Passwörter)	XposedOrNot

Die eingeschränkt zugänglichen Zusatzfunktionen Darknet-Scan (nur für Administratoren) und Pentest (kostenpflichtig, nur nach individueller Freischaltung) übermitteln zusätzlich an: IntelligenceX (2.intelx.io, Prag/CZ), Psbdmp (Paste-Suche) sowie ransomware.live.

Die Sicherheitsprüfung im Pentest (u. a. mit dem Open-Source-Werkzeug Nuclei) läuft vollständig auf unserem eigenen Server. Zur Bewertung gefundener Schwachstellen werden ausschließlich deren CVE-Kennungen – ohne Ziel oder personenbezogene Daten – an die EPSS-Schnittstelle von FIRST.org (Forum of Incident Response and Security Teams, USA) übermittelt und mit dem öffentlichen Katalog aktiv ausgenutzter Schwachstellen der US-Behörde CISA abgeglichen.

Zum Abgleich bekannter Schwachstellen werden erkannte Softwareprodukte mit ihrer Version (z. B. OpenSSH 8.9p1) als Versionskennung an die Datenbank OSV (osv.dev, Google LLC, USA) übermittelt. Eine IP-Adresse, ein Hostname oder sonstige Ziel- oder personenbezogene Daten werden dabei nicht übertragen.

Die Übermittlung in Drittländer (USA, Australien) erfolgt auf Basis von Art. 49 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie – sofern vorhanden – auf Basis von Angemessenheitsbeschlüssen oder Standardvertragsklauseln. Alle genannten Dienste stellen öffentlich zugängliche Sicherheitsdaten bereit bzw. fragen ausschließlich das von Ihnen eingegebene Ziel ab.

6.3 Automatisierter Security Blog

Der Security Blog auf Nyx aggregiert öffentlich verfügbare Sicherheitsinformationen aus folgenden Quellen:

• Have I Been Pwned (HIBP) – neue Datenpannen
• ransomware.live API – aktuelle Ransomware-Vorfälle
• CISA KEV (Known Exploited Vulnerabilities) – US-Behörde, öffentlich
• BleepingComputer RSS-Feed – öffentlich zugänglich
• DataBreaches.net RSS-Feed – öffentlich zugänglich

Artikel-Volltexte werden mit Hilfe der Anthropic-Claude-API (Modell claude-haiku-4-5) generiert. Dabei werden ausschließlich Metadaten der Sicherheitsvorfälle (kein Personenbezug) an die Anthropic-API übermittelt.

Anthropic, Inc.
548 Market St
San Francisco, CA 94104, USA

Datenschutzerklärung Anthropic: anthropic.com/legal/privacy

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung aktueller Sicherheitsinformationen). Die aggregierten Quelldaten enthalten keine personenbezogenen Daten im Sinne der DSGVO (technische Sicherheitsereignisse).

6.4 Datenspeicherung in Nyx

Nyx speichert Nutzerdaten lokal in einer SQLite-Datenbank auf dem netcup-Server. Diese enthält:

• Nutzerkonten (E-Mail, Benutzername, gehashtes Passwort, Registrierungsdatum, Rollen- und Freischaltungsstatus)
• Passwort-Reset-Anforderungen (Hashwert des Links, Ablaufzeit) – bis zur Verwendung, sonst spätestens einen Tag nach Ablauf
• Pentest-Scans (von Ihnen angegebene Ziele, Zeitpunkt, Bestätigung der Berechtigung), deren Ergebnisse und ein Prüfprotokoll (welche Prüfung je Host mit welchem Status lief) – bis zur Löschung durch Sie oder zur Löschung Ihres Kontos
• Bewertungen von Pentest-Befunden (Status wie „Risiko akzeptiert“ oder „False Positive“, optional eine von Ihnen eingegebene Notiz, Zeitpunkt) – bis zur Löschung Ihres Kontos; bitte keine personenbezogenen Daten in die Notiz schreiben
• Domain-Eigentumsnachweise für Pentests (angegebene Domain, zufälliger Prüfwert, Zeitpunkt der Anlage und der letzten erfolgreichen Prüfung) – bis zur Löschung Ihres Kontos. Zur Prüfung wird der von Ihnen angelegte DNS-TXT-Record (_nyx-verify.<Domain>) über den DNS-Resolver unseres Servers abgefragt; die Domain wird dabei nicht an weitere Dienste übermittelt.
• Bestellungen und Rechnungsdaten kostenpflichtiger Pentests (Firma, Anschrift, USt-IdNr.) – Rechnungen mit gesetzlicher Aufbewahrungsfrist, siehe Ziffer 6.5
• ein Löschprotokoll: nach einer Kontolöschung nur SHA-256-Hashwerte von E-Mail-Adresse und Benutzername sowie Zeitpunkt und gelöschte Datenkategorien, zum Nachweis der erfolgten Löschung (Art. 5 Abs. 2, Art. 6 Abs. 1 lit. c/f DSGVO); diese Einträge werden nach 3 Jahren automatisch gelöscht
• tägliche verschlüsselte Sicherungskopien der Datenbank – 7 Tage lokal auf dem Server sowie zusätzlich extern bei einem Speicherprodukt der STRATO GmbH (siehe Ziffer 3.1), dort die letzten 30 Sicherungen; gelöschte Konten können bis zum Ablauf dieser Fristen noch in einer Sicherungskopie enthalten sein
• Blog-Beiträge (generierte Artikel, Metadaten aus Drittquellen)
• eine interne Deduplizierungsliste ohne Personenbezug

Außerhalb der in Ziffer 3.1 genannten Backup-Sicherung wird die Datenbank nicht mit Dritten geteilt.

6.5 Bestellung und Rechnung (kostenpflichtige Pentests)

Wenn Sie ein kostenpflichtiges Scan-Guthaben für Sicherheitstests (Pentests) bestellen, verarbeiten wir zusätzlich Ihre Rechnungsdaten: Firma, Ansprechpartner, Anschrift, USt-IdNr. und optional eine Rechnungs-E-Mail-Adresse. Diese Angaben werden zur Bearbeitung der Bestellung und zur Rechnungsstellung verwendet.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) sowie Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten). Rechnungen und die darin enthaltenen Angaben werden gemäß § 14b UStG und § 147 AO 10 Jahre aufbewahrt; sie bleiben deshalb auch nach einer Löschung Ihres Kontos erhalten, werden aber nicht mehr Ihrem Konto zugeordnet. Die Rechnung wird per E-Mail über die STRATO GmbH versendet (siehe Ziffer 5). Eine Weitergabe an einen externen Zahlungsdienstleister findet nicht statt; die Zahlung erfolgt auf Rechnung.

7. Forensiktool

Forensiktool ist ein Scan-Client zur forensischen Analyse von Windows-, Linux- und macOS-Systemen (Prozesse, Netzwerkverbindungen, auffällige Dateien) mit zugehörigem Web-Dashboard, erreichbar unter forensic.iso-it-sec.de. Für dessen Nutzung gelten ergänzend die folgenden Regelungen.

7.1 Registrierung und Nutzerkonto

Zur Nutzung ist eine Registrierung erforderlich. Dabei werden erhoben:

• E-Mail-Adresse (Pflichtfeld, zur Identifikation)
• Anzeigename und optionaler Konto-Name
• Passwort (ausschließlich bcrypt-gehasht gespeichert, niemals im Klartext)
• Zeitstempel der Registrierung
• JWT-Authentifizierungs-Token (serverseitig generiert, 30 Tage gültig)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Eine Selbstlöschung des Kontos über die Oberfläche ist derzeit nicht möglich; die Löschung von Konto und allen zugehörigen Daten kann jederzeit über die unter Ziffer 1 genannte Kontaktadresse beantragt werden.

7.2 API-Keys

Zur Authentifizierung des lokalen Scan-Clients gegenüber dem Server erzeugen Sie über das Dashboard einen API-Key. Gespeichert wird ausschließlich ein SHA-256-Hashwert des Schlüssels sowie der Zeitpunkt der letzten Nutzung; der Klartext-Schlüssel wird nur einmalig bei der Erzeugung angezeigt und kann danach nicht wiederhergestellt werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7.3 Scan-Daten

Der lokal auf Ihrem Gerät ausgeführte Forensiktool-Client erhebt bei einem Scan: Hostname, Betriebssystem, laufende Prozesse (Name, Prozess-ID, Dateipfad), aktive Netzwerkverbindungen (lokale/entfernte IP-Adresse und Port, Verbindungsstatus) sowie auffällige Dateien in Nutzerverzeichnissen (Dateipfad, Dateigröße) und berechnet daraus einen Risiko-Score. Diese Daten werden ausschließlich auf Ihren Wunsch (Aufruf mit --upload) an den Server übertragen und dort Ihrem Konto zugeordnet gespeichert; ohne --upload verbleibt der Bericht ausschließlich lokal auf Ihrem Gerät.

Dateipfade können personenbezogene Daten enthalten (z. B. den Benutzernamen im Pfad C:\Users\<Name>\...), da diese Information Teil des von Ihrem eigenen Gerät übermittelten Datensatzes ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von Ihnen gewünschten Funktion). Speicherdauer: 7 Tage nach dem jeweiligen Scan, danach automatische Löschung durch einen täglichen Hintergrundjob. Ein Gerät, für das keine Scans mehr innerhalb dieser Frist vorliegen, wird ebenfalls automatisch entfernt. Pro Konto werden Daten für bis zu 5 Geräte gleichzeitig gespeichert (privates Nutzungslimit); ist dieses Limit erreicht, muss zunächst ein bestehendes Gerät im Dashboard entfernt werden, bevor ein weiteres Gerät Scans hochladen kann.

7.4 Freigabe-Links (Share-Links)

Sie können einen einzelnen Scan-Bericht über einen zeitlich begrenzten, optional passwortgeschützten Link mit Dritten teilen. Gespeichert werden: ein zufällig generierter Link-Bezeichner, optional ein bcrypt-Hash des von Ihnen vergebenen Passworts, Ablaufzeitpunkt sowie maximale und bisherige Zugriffszahl. Der Zugriff über diesen Link erfordert keine Anmeldung; dabei werden keine zusätzlichen personenbezogenen Daten des Empfängers erhoben. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktives Erstellen des Links). Der Link verliert spätestens mit der automatischen Löschung des zugrunde liegenden Scans nach 7 Tagen seine Wirkung (siehe Ziffer 7.3).

7.5 Datenspeicherung, Protokollierung und Löschung

Forensiktool speichert alle vorgenannten Daten lokal in einer SQLite-Datenbank auf dem netcup-Server (siehe Ziffer 3). Zusätzlich wird ein Protokoll sicherheitsrelevanter Aktionen (Registrierung, Anmeldung, Scan-Uploads, Erstellung von Freigabe-Links) mit Zeitstempel und IP-Adresse geführt (Art. 6 Abs. 1 lit. f DSGVO, IT-Sicherheit).

Scan-Daten (Prozesse, Netzwerkverbindungen, Dateien, Autostart-Einträge, Listening-Ports, Schutzstatus, Browser-Erweiterungen sowie darauf basierende Freigabe-Links) werden wie in Ziffer 7.3 beschrieben automatisch nach 7 Tagen gelöscht. Konto, API-Keys und Protokolleinträge sind von dieser Frist nicht betroffen und bleiben bis zur Löschung Ihres Kontos bestehen; diese können Sie jederzeit über die unter Ziffer 1 genannte Kontaktadresse beantragen.

Wie in Ziffer 3.1 beschrieben wird die Datenbank zusätzlich täglich verschlüsselt gesichert (7 Tage lokal, extern bei STRATO die letzten 30 Sicherungen). Gelöschte Scan-Daten können bis zum Ablauf dieser Fristen noch in einer Sicherungskopie enthalten sein.

8. Cookies und lokaler Speicher

Die Portfolio-Website (iso-it-sec.de) setzt keine Cookies und verwendet keinen lokalen Speicher.

Die Nyx-Plattform speichert nach dem Login im localStorage des Browsers ein JWT-Authentifizierungs-Token (nyx_token, enthält u. a. Ihre Nutzer-ID und E-Mail-Adresse, Gültigkeit 7 Tage) sowie Ihre Kontodaten (nyx_user: Benutzername, E-Mail-Adresse, Kontostatus), damit Sie angemeldet bleiben. Beim Abmelden werden beide Einträge gelöscht. Zusätzlich wird im sessionStorage vermerkt, ob Sie einen Abwesenheitshinweis geschlossen haben (nyx_absence_dismissed); dieser Eintrag wird beim Schließen des Browser-Tabs automatisch entfernt.

Forensiktool speichert nach dem Login im localStorage des Browsers ebenfalls ein JWT-Authentifizierungs-Token (ft_token) sowie Ihre Kontodaten (ft_user: Benutzername, E-Mail-Adresse), damit Sie angemeldet bleiben. Beim Abmelden werden beide Einträge gelöscht.

Diese Speicherungen sind für die Bereitstellung des von Ihnen ausdrücklich gewünschten Dienstes unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und bedürfen daher keiner Einwilligung. Es werden keine Tracking- oder Analyse-Cookies eingesetzt.

9. Ihre Rechte als betroffene Person

Ihnen stehen im Rahmen der geltenden gesetzlichen Bestimmungen folgende Rechte gegenüber dem Verantwortlichen zu:

• Auskunft – Art. 15 DSGVO
• Berichtigung – Art. 16 DSGVO
• Löschung – Art. 17 DSGVO (Ihr Nyx-Konto können Sie jederzeit selbst unter „Mein Konto“ löschen; für Nyx wie für Forensiktool können Sie die Löschung außerdem über die unter Ziffer 1 genannte E-Mail-Adresse beantragen)
• Einschränkung der Verarbeitung – Art. 18 DSGVO
• Datenübertragbarkeit – Art. 20 DSGVO
• Widerspruch – Art. 21 DSGVO, sofern die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO gestützt wird
• Widerruf einer Einwilligung – Art. 7 Abs. 3 DSGVO, jederzeit mit Wirkung für die Zukunft

Zur Geltendmachung dieser Rechte wenden Sie sich bitte an die unter Ziffer 1 genannte Kontaktadresse.

10. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten durch uns zu beschweren. Zuständig ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4
40213 Düsseldorf

Eine Übersicht aller deutschen Datenschutzaufsichtsbehörden finden Sie unter bfdi.bund.de.

11. Aktualität und Änderung dieser Datenschutzerklärung

Diese Datenschutzerklärung ist aktuell gültig und hat den Stand September 2026. Durch die Weiterentwicklung der Website und der Nyx-Plattform oder aufgrund geänderter gesetzlicher bzw. behördlicher Vorgaben kann es notwendig werden, diese Datenschutzerklärung zu ändern. Die jeweils aktuelle Fassung kann jederzeit auf dieser Seite abgerufen werden.