Diese Datenschutzerklärung beschreibt, wie weakestlink personenbezogene Daten verarbeitet, für die wir selbst als Verantwortlicher gelten. Nutzt Ihr Arbeitgeber weakestlink für Sicherheitsschulungen, ist der Arbeitgeber für die Mitarbeiterdaten verantwortlich, und weakestlink tritt als Auftragsverarbeiter auf – siehe Anhang A.

1. Verantwortlicher

WEAKESTLINK ApS (dänische CVR-Nr. 46614011) ist verantwortlich für die Verarbeitung personenbezogener Daten auf weakestlink.io. Kontakt: info@weakestlink.io.

2. Welche Daten wir verarbeiten, wozu und auf welcher Rechtsgrundlage

Wir verarbeiten keine Personenkennziffern und keine sensiblen Daten (Art. 9 DSGVO).

3. KI-Verarbeitung

Wir nutzen KI (Claude von Anthropic), um Schulungsinhalte und Simulationsvorlagen zu erstellen — Lektionen, Quizze und Köder-E-Mails — intern, bevor sie veröffentlicht werden. Es werden keine Kundendaten und keine personenbezogenen Daten Ihrer Mitarbeitenden an KI-Dienste übermittelt, und im laufenden Betrieb wird keine KI auf Ihre Daten angewendet.

4. Auftragsverarbeiter und Unterauftragsverarbeiter

Wir setzen folgende Auftragsverarbeiter ein. Bei Anbietern außerhalb der EU/EWR erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission (EU-U.S. Data Privacy Framework) und/oder auf Grundlage von Standardvertragsklauseln (SCC):

Das Hosting erfolgt auf eigener Infrastruktur in Dänemark.

Wenn Sie mit Karte bezahlen, werden Kartendaten und Zahlungsdaten von unserem Zahlungsdienstleister QuickPay (QuickPay ApS, Dänemark) und dem Kartenakzeptanzpartner Clearhaus (Clearhaus A/S, Dänemark) als eigenständig Verantwortliche im Sinne des Zahlungsrechts verarbeitet — nicht als unsere Auftragsverarbeiter. Wir erhalten Ihre vollständige Kartennummer niemals. Für diese Verarbeitung gelten die eigenen Datenschutzerklärungen von QuickPay und Clearhaus.

5. Weitergabe

Wir geben Daten nur weiter, wenn dies zur Erbringung des Dienstes erforderlich ist, wenn das Gesetz es verlangt oder wenn eine Einwilligung vorliegt. Eine Ausnahme: Sind Sie über eine Google-Anzeige zu uns gekommen, übermitteln wir die Klick-ID der Anzeige, den Zeitpunkt sowie die Information, ob das Konto angelegt oder bezahlt wurde, an Google Ireland Ltd. (Google Ads), damit wir sehen können, welche Anzeigen wirken. Name, E-Mail-Adresse oder IP-Adresse übermitteln wir dabei nicht. Google kann die Daten an Google LLC in den USA übermitteln. Laut Google geschieht dies auf Grundlage des EU-U.S. Data Privacy Framework, unter dem Google LLC zertifiziert ist, andernfalls auf Grundlage von Standardvertragsklauseln (SCC). Wir verkaufen niemals Daten.

6. Speicherung und Löschung

Konkrete Fristen sind der Tabelle in Abschnitt 2 zu entnehmen. Buchhaltungsunterlagen werden gemäß dem dänischen Buchführungsgesetz (bogføringsloven) 5 Jahre ab Ende des Geschäftsjahres aufbewahrt. Danach werden die Daten gelöscht oder anonymisiert.

7. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (GDPR art. 15–21). Haben Sie eine Einwilligung erteilt, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Schreiben Sie an info@weakestlink.io – wir antworten spätestens einen Monat nach Eingang Ihrer Anfrage. Möchten Sie nicht, dass wir die Klick-ID der Anzeige verwenden (Abschnitte 2 und 5), können Sie Widerspruch einlegen (art. 21), indem Sie an dieselbe Adresse schreiben – wir löschen dann die Klick-ID und melden nichts über Ihr Konto an Google. Sind Sie Mitarbeitende bzw. Mitarbeitender eines Kunden, können Sie sich auch an Ihren Arbeitgeber wenden, der Verantwortlicher ist (siehe Anhang A).

8. Beschwerde

Sie können sich mit einer Beschwerde über unsere Datenverarbeitung an die dänische Datenschutzbehörde Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, www.datatilsynet.dk wenden. Sie können sich außerdem an die Aufsichtsbehörde Ihres Landes wenden (in Deutschland der BfDI bzw. Ihre Landesdatenschutzbehörde, in Österreich die Datenschutzbehörde).

9. Cookies

Wir setzen zwei Cookies: ein Session-Cookie, das für Login und Sicherheit verwendet wird, und – falls Sie selbst eine Sprache in der Sprachauswahl wählen – ein Cookie, das Ihre Auswahl speichert. Kommen Sie über eine Google-Anzeige zu uns, speichern wir die Klick-ID der Anzeige in der Session auf unserem Server, damit wir Google mitteilen können, ob der Klick zu einem Konto geführt hat (siehe Abschnitt 5). Das Cookie selbst enthält nur eine zufällige Session-ID. Wir verwenden keine weiteren Tracking-Cookies und keine Drittanbieter-Cookies, und die Besucherstatistik (Umami) kommt ganz ohne Cookies aus.

10. Änderungen

Wesentliche Änderungen dieser Richtlinie werden auf weakestlink.io und/oder per E-Mail angekündigt.

---

Anhang A — Rollenverteilung bei der Mitarbeiterschulung

Wenn ein Unternehmen (Ihr Arbeitgeber) weakestlink für Sicherheitsschulungen und Phishing-Simulationen nutzt, ist das Unternehmen der Verantwortliche für die Mitarbeiterdaten, und weakestlink ist Auftragsverarbeiter. Die Verarbeitung erfolgt weisungsgebunden im Rahmen eines bei der Einrichtung abgeschlossenen Auftragsverarbeitungsvertrags. Diese Richtlinie gilt daher nur für die Daten, für die wir selbst verantwortlich sind (Kontakt- und Rechnungsdaten des Kunden sowie Betriebsdaten).

Phishing-Simulationen werden nur auf einer dokumentierten Rechtsgrundlage durchgeführt (Einwilligung der Organisation und eine geprüfte Interessenabwägung). Die Berichte sind aggregiert und zeigen Zahlen nur für Gruppen von mindestens fünf Personen. Die Ergebnisse einzelner Mitarbeitender (Risikoscore, Kursfortschritt und Simulationsereignisse) sieht nur der Administrator der Organisation — und Führungskräfte, wenn die Organisation dies selbst einschaltet. Ziel ist gezieltes Zusatztraining, nie Bloßstellung oder Sanktionen. Die Ergebnisse werden für die Dauer der Kundenbeziehung gespeichert und bei deren Ende gemäß dem Auftragsverarbeitungsvertrag gelöscht. Wir speichern niemals, was Mitarbeitende in einer Simulation eingeben, sondern nur, dass ein Vorfall stattgefunden hat.