Datenschutzerklärung

1. Verantwortlicher

Bei Fragen zum Datenschutz erreichen Sie uns per E-Mail unter office@habitux.com oder per Post an die oben genannte Anschrift.

2. Überblick der Verarbeitungen

HABITUX ist eine Security-Awareness-Gaming-Plattform, die Organisationen bei der Sensibilisierung ihrer Mitarbeiter für Cybersicherheit unterstützt. Im Rahmen der Bereitstellung dieser Plattform verarbeiten wir personenbezogene Daten verschiedener Kategorien von Betroffenen.

Kategorien betroffener Personen:

• Administratoren und Trainer (Plattform-Nutzer)
• Spieler/Teilnehmer (Mitarbeiter der Kundenorganisationen)
• Webseitenbesucher und Kontaktanfragen

3. Rechtsgrundlagen der Verarbeitung

Wir verarbeiten personenbezogene Daten auf Grundlage folgender Rechtsgrundlagen der DSGVO:

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Verarbeitung zur Erfüllung unserer vertraglichen Pflichten gegenüber Kunden, insbesondere die Bereitstellung der Plattform, Durchführung von Awareness-Events und Berichterstellung.
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Verarbeitung auf Grundlage Ihrer Einwilligung, insbesondere bei der Nutzung des Kontaktformulars. Die Einwilligung kann jederzeit widerrufen werden.
• Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse): Verarbeitung auf Grundlage unserer berechtigten Interessen, insbesondere zur Gewährleistung der IT-Sicherheit, Missbrauchsprävention und Systemstabilität.

4. Datenverarbeitung auf der Webseite

4.1 Hosting und Serverlogfiles

Unser Webhosting-Anbieter erhebt bei jedem Zugriff auf den Server automatisch Informationen in sogenannten Server-Logfiles. Dies umfasst:

• IP-Adresse des anfragenden Rechners
• Datum und Uhrzeit des Zugriffs
• Name und URL der abgerufenen Datei
• Übertragene Datenmenge
• Zugriffsstatus (HTTP-Statuscode)
• Browsertyp und -version, Betriebssystem
• Referrer-URL (zuvor besuchte Seite)

Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses an der Sicherheit und dem fehlerfreien Betrieb der Webseite (Art. 6 Abs. 1 lit. f DSGVO). Die Logfiles werden nach 14 Tagen automatisch gelöscht.

4.2 Kontaktformular

Wenn Sie unser Kontaktformular nutzen, werden folgende Daten erhoben:

• Name
• E-Mail-Adresse
• Unternehmen
• Ihre Rolle im Unternehmen
• Nachrichteninhalt

Diese Daten werden ausschließlich zur Bearbeitung Ihrer Anfrage per E-Mail an uns übermittelt. Sie erhalten eine Bestätigungs-E-Mail. Die Daten werden nicht in einer Datenbank gespeichert, sondern verbleiben in unserem E-Mail-Postfach und in den Serverprotokollen (max. 14 Tage). Die Verarbeitung erfolgt auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie durch das Absenden des Formulars erteilen. Das Kontaktformular ist auf 5 Anfragen pro Minute je IP-Adresse beschränkt (Missbrauchsschutz).

4.3 Keine Tracking- und Analysetools

Wir setzen auf dieser Webseite keine Tracking-, Analyse- oder Remarketing-Tools ein (kein Google Analytics, kein Matomo, keine Marketing-Cookies). Es werden keine Daten an Dritte zu Werbezwecken übermittelt.

5. Cookies und Sitzungsdaten

Unsere Plattform verwendet ausschließlich technisch notwendige Cookies, die für den Betrieb der Webseite und Plattform zwingend erforderlich sind. Ein Cookie-Consent-Banner ist daher nicht erforderlich.

Die Sitzungsdaten werden verschlüsselt in einer Datenbank gespeichert und sind nur über HTTP zugänglich (nicht per JavaScript). Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses am sicheren Betrieb der Plattform (Art. 6 Abs. 1 lit. f DSGVO).

6. Datenverarbeitung in der Plattform

6.1 Benutzerkonten (Administratoren und Trainer)

Für die Nutzung der Administrationsoberfläche werden folgende Daten verarbeitet:

• Benutzername
• Vor- und Nachname
• Passwort (ausschließlich als kryptographischer Hash gespeichert)
• Zugewiesene Rollen und Berechtigungen
• Datum der letzten Anmeldung und Anzahl der Anmeldungen

Die Verarbeitung erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Bei Löschung eines Benutzerkontos werden Name und persönliche Daten anonymisiert; die Kennung wird durch „[deleted]" ersetzt.

6.2 Spieler/Teilnehmer

Bei der Teilnahme an einem HABITUX-Event können folgende Daten erhoben werden:

• E-Mail-Adresse (aufgeteilt in Benutzername und Domain)
• Spielername/Nickname (optional)
• Spielantworten (Wahrscheinlichkeits- und Auswirkungsbewertungen)
• Spielergebnisse und Punktzahlen

Die Kundenorganisation kann Events auch im anonymen Modus durchführen. In diesem Fall findet keine Registrierung der Spieler statt und es werden keine personenbezogenen Daten erhoben.

Die Verarbeitung erfolgt zur Vertragserfüllung gegenüber der Kundenorganisation (Art. 6 Abs. 1 lit. b DSGVO). secademy GmbH handelt insoweit als Auftragsverarbeiter im Sinne von Art. 28 DSGVO.

6.3 Berichterstellung

Aus den Spieldaten werden aggregierte Berichte erstellt, die der Kundenorganisation zur Auswertung des Awareness-Niveaus dienen. Einzelne Spieler sind in den Gesamtberichten nicht individuell identifizierbar, sofern der anonyme Modus verwendet wird.

7. Weitergabe von Daten an Dritte

Eine Übermittlung personenbezogener Daten an Dritte findet grundsätzlich nicht statt, es sei denn:

• Sie haben ausdrücklich eingewilligt (Art. 6 Abs. 1 lit. a DSGVO)
• Die Weitergabe ist zur Vertragserfüllung erforderlich (Art. 6 Abs. 1 lit. b DSGVO)
• Es besteht eine gesetzliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO)

Es findet keine Datenübermittlung in Drittstaaten (außerhalb des EWR) statt. Alle Daten werden auf Servern innerhalb der Europäischen Union verarbeitet und gespeichert.

8. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, darunter:

• Verschlüsselte Übertragung aller Daten mittels TLS/HTTPS
• Kryptographisches Hashing aller Passwörter (bcrypt)
• Verschlüsselte Sitzungsdaten
• Rollenbasierte Zugriffskontrolle mit Least-Privilege-Prinzip
• CSRF-Schutz auf allen Formularen
• Content-Security-Policy und weitere Sicherheitsheader
• Rate-Limiting zum Schutz vor Brute-Force-Angriffen
• Automatische Sperre nach 5 fehlgeschlagenen Anmeldeversuchen (15 Minuten)
• Vollständige Audit-Protokollierung aller Datenänderungen

9. Speicherdauer und Löschung

10. Ihre Rechte als betroffene Person

Ihnen stehen gemäß DSGVO folgende Rechte zu. Zur Ausübung dieser Rechte wenden Sie sich bitte an den unter Punkt 1 genannten Verantwortlichen.

• Auskunftsrecht (Art. 15 DSGVO): Sie haben das Recht, Auskunft über Ihre bei uns gespeicherten personenbezogenen Daten zu erhalten.
• Berichtigungsrecht (Art. 16 DSGVO): Sie haben das Recht, unrichtige personenbezogene Daten berichtigen zu lassen.
• Löschungsrecht (Art. 17 DSGVO): Sie haben das Recht, die Löschung Ihrer personenbezogenen Daten zu verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer Daten zu verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
• Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Ihrer Daten Widerspruch einzulegen, sofern die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht.
• Widerrufsrecht (Art. 7 Abs. 3 DSGVO): Sofern Sie eine Einwilligung erteilt haben, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen.
• Beschwerderecht (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Aufsichtsbehörde ist die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.

11. Auftragsverarbeitung

Soweit wir personenbezogene Daten im Auftrag unserer Kunden verarbeiten (insbesondere Spieler- und Eventdaten), handeln wir als Auftragsverarbeiter gemäß Art. 28 DSGVO. Die Verarbeitung erfolgt ausschließlich auf Weisung des jeweiligen Kunden und auf Grundlage eines Auftragsverarbeitungsvertrags (AVV).

12. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen der Datenverarbeitung anzupassen. Die jeweils aktuelle Fassung ist auf dieser Seite abrufbar.