Datenschutz bei DarkWatch

01 Verantwortlicher

TOMORIS GmbH, Saturnstraße 1, 4614 Marchtrenk, Österreich.

E-Mail und Telefon: [email protected], +43 7243 53091

02 Geltungsbereich

Diese Erklärung gilt für darkwatch.tomoris.io: die Website, den kostenlosen Leak-Check, die Anmeldung zur Testphase, die Zugangsanfrage und die Anmeldung am Kundenportal.

Die Überwachung selbst erbringen wir im Auftrag Ihres Unternehmens. Für die überwachten Adressen ist Ihr Unternehmen verantwortlich; wir verarbeiten sie nach dem Auftragsverarbeitungsvertrag (Abschnitt 08).

Für die Website tomoris.com und alles, was hier nicht steht, gilt die Datenschutzerklärung der TOMORIS GmbH: www.tomoris.com/datenschutz

03 Hosting und Auslieferung

Die Seiten dieser Website, die Schnittstelle des Dienstes (darkwatch-api.tomoris.io) und die Datenbank betreibt TOMORIS in der eigenen Infrastruktur. Website und Schnittstelle erreicht Ihr Browser über einen verschlüsselten Cloudflare-Tunnel; Cloudflare leitet dabei nur weiter.

Beim Abruf entstehen bei Cloudflare technisch nötige Verbindungsdaten, etwa Zeitpunkt, abgerufene Adresse, Status und Ihre IP-Adresse. Der Dienst selbst schreibt je Anfrage Methode, Pfad, Status und Dauer in ein Betriebsprotokoll, ohne IP-Adresse, und bewahrt es 30 Tage auf.

Diese Website lädt keine Skripte, Schriften oder Bilder von Dritten und setzt selbst keine Cookies.

Nutzungsstatistik: Wir messen Seitenaufrufe mit NEXT.Analytics, einem eigenen Dienst der TOMORIS auf Servern in Österreich. Es werden keine Cookies gesetzt und nichts auf Ihrem Gerät gespeichert; IP-Adresse und Browserkennung werden nicht gespeichert, ein täglich wechselnder Hash zählt Besuche nur für einen Tag. Gespeichert werden Seite, Quelle (Referrer/UTM), Browser-, System- und Geräteklasse; Aufbewahrung 25 Monate.

04 Kostenloser Leak-Check

Für den Leak-Check geben Sie eine Domain an und wählen, wie Sie sie nachweisen: per DNS-Eintrag oder per Mail an eine Funktionsadresse (admin, hostmaster, info, security oder webmaster). Den Nachweis führt Have I Been Pwned (HIBP): HIBP erhält die Domain und die gewählte Funktionsadresse und erzeugt den DNS-Eintrag oder schickt die Bestätigungsmail.

Nach dem Nachweis zählen wir aus den Daten von HIBP, wie viele Adressen der Domain in Datenlecks und in Stealer-Logs (Protokollen von Schadsoftware auf Geräten) vorkommen. Gespeichert und angezeigt werden nur Zahlen: keine Adresse, kein Name, kein Passwort, keine Website. Der Bericht ist 30 Tage lesbar.

Zur Prüfung speichern wir Domain, Verfahren, Funktionsadresse, Zeitpunkte, Stand und die Zahlen des Berichts sowie eine Prüfsumme des Zugangsschlüssels. Den Schlüssel selbst hält nur Ihr Browser, für diesen Tab. Ihre IP-Adresse nutzen wir nur im Arbeitsspeicher, um Anfragen zu begrenzen; gespeichert wird sie nicht.

Die nachgewiesene Domain wird für unser HIBP-Abonnement registriert. Wird daraus kein Vertrag, geben wir diesen Platz nach 30 Tagen frei; starten Sie danach einen Test, erst mit dessen Ende. Den Eintrag der Prüfung behalten wir, damit eine Domain nicht beliebig oft geprüft wird; er enthält keine Angaben zu Personen. Auf Ihren Wunsch löschen wir ihn.

Die kostenlose Prüfung der Domain-Sicherheit (auf dieser Website und in den Prüfwerkzeugen von tomoris.com, „geprüft von DarkWatch“) liest öffentlich erreichbare Einträge der angegebenen Domain: DNS, Zertifikat, Verbindung und die Antworten der Website. Ergebnis und Domain liegen fünf Minuten im Arbeitsspeicher, damit eine Wiederholung nicht erneut abfragt, und sind danach weg; protokolliert werden nur Werkzeug, Dauer und Ergebnis-Code. Ihre IP-Adresse nutzen wir nur im Arbeitsspeicher, als Prüfsumme, um Anfragen zu begrenzen.

05 Testphase per Selbstanlage

Nach dem Leak-Check können Sie DarkWatch Advanced 30 Tage testen. Dafür geben Sie Unternehmen, Ihren Namen und Ihre Adresse an der geprüften Domain an und nehmen den Auftragsverarbeitungsvertrag an. Wir speichern die Annahme mit Version, Prüfsumme des Vertragstexts, Zeitpunkt und Ihrer Adresse.

Wir legen Ihr Unternehmen als Mandanten an, übernehmen die geprüfte Domain und laden Sie über Microsoft Entra ID als Gast in das Verzeichnis von TOMORIS ein; die Einladungsmail schickt Microsoft. Danach melden Sie sich mit Ihrem eigenen Microsoft-Konto an. Im Portal speichern wir Ihren Anmeldenamen, Ihren Namen, Ihre Rolle und Ihre letzte Anmeldung.

Endet die Testphase ohne Buchung, endet die Überwachung, und Ihre Funde bleiben lesbar, damit Sie buchen können. Nach dem Auftragsverarbeitungsvertrag löschen wir die Daten spätestens 90 Tage nach dem Ende der Testphase, auf Ihren Wunsch früher. Dass eine Domain ihre Testphase hatte, vermerken wir dauerhaft, ohne Angaben zu Personen.

Statt der Testphase können Sie DarkWatch Free wählen: Wir überwachen die nachgewiesene Domain dauerhaft kostenlos und schicken Ihnen einmal im Monat eine Mail nur mit Zahlen (neue Funde, davon in Stealer-Logs, insgesamt, dazu der Stand der Domain-Sicherheit). Dafür speichern wir Ihre Adresse als Empfänger, je Mail den Zeitpunkt, die Zahlen und eine Prüfsumme des Bestätigungslinks. Bestätigen Sie drei Monatsmails nacheinander nicht oder beenden Sie die Überwachung über den Link, endet Free, und es gilt die Löschung wie nach einer Testphase.

Sind alle Gratis-Plätze belegt, können Sie sich mit Domain und Ihrer Adresse an dieser Domain auf die Warteliste setzen. Wir schreiben Ihnen einmal, sobald ein Platz frei ist, und löschen den Eintrag 14 Tage danach, ohne Platz nach spätestens 180 Tagen.

06 Zugangsanfrage

Über das Kontaktformular senden Sie Ihre Adresse, Ihren Namen, Ihr Unternehmen, optional eine Telefonnummer und eine Nachricht. Wir schicken zuerst einen Bestätigungscode an Ihre Adresse, aus dem Postfach [email protected] über Microsoft Exchange Online. Erst mit dem Code entsteht ein Ticket mit Ihren Angaben in unserem Servicedesk (Atlassian Jira).

Wir speichern die Anfrage und eine Prüfsumme des Codes, nicht den Code selbst. Ihre IP-Adresse nutzen wir nur im Arbeitsspeicher als Zähler gegen Missbrauch. Die Anfrage bewahren wir auf, solange wir sie bearbeiten und daraus Pflichten folgen; auf Ihren Wunsch löschen wir sie, soweit keine Aufbewahrungspflicht besteht.

07 Anmeldung am Kundenportal

Die Anmeldung läuft über Microsoft Entra ID mit Mehrfaktor-Anmeldung. Das Anmeldetoken hält Ihr Browser nur für diesen Tab. Wer welche Funddaten ansieht oder ändert, protokolliert DarkWatch mit Person und Zeitpunkt.

08 Überwachung im Auftrag

Für die Überwachung gleichen wir die dienstlichen Adressen Ihrer nachgewiesenen Domains mit Leak-Quellen ab, vor allem mit Have I Been Pwned. Von einem Fund speichern wir nur Merkmale: Adresse, Name des Lecks, betroffene Datenarten und Datum. Passwörter und Rohdaten speichern wir nie.

Dafür ist Ihr Unternehmen Verantwortlicher und TOMORIS Auftragsverarbeiter. Einzelheiten, beteiligte Dienste und Löschfristen regelt der Auftragsverarbeitungsvertrag, den Sie bei der Anmeldung annehmen oder mit uns abschließen. Fragen Beschäftigter zu ihren Daten beantwortet ihr Arbeitgeber; wir unterstützen ihn dabei.

09 Speicherung im Browser

• Im localStorage unter darkwatch-lang: die gewählte Sprache, bis Sie die Website-Daten löschen.
• Im sessionStorage, nur für den Tab: der Zugangsschlüssel des Leak-Checks und das Anmeldetoken des Portals.
• Im Portal im localStorage: gespeicherte Filteransichten und der Stand der Einführung.

Diese Einträge bleiben auf Ihrem Gerät und dienen nur der jeweiligen Funktion.

10 Empfänger und Drittländer

Beteiligt sind Microsoft (Entra ID, Graph, Exchange Online, Key Vault), Cloudflare (Auslieferung und Tunnel), Have I Been Pwned (Superlative Security Pty Ltd, Australien) für Leak-Check und Abgleich sowie Atlassian (Jira) für Anfragen und Servicedesk-Tickets.

Microsoft und Cloudflare haben ihren Konzernsitz in den USA; eine Verarbeitung außerhalb der EU ist daher nicht ausgeschlossen. Die Anbieter stützen solche Übermittlungen nach eigenen Angaben auf das EU-US Data Privacy Framework oder auf Standardvertragsklauseln der EU-Kommission. Für Australien gibt es keinen Angemessenheitsbeschluss der EU-Kommission; für den Leak-Check erhält HIBP nur die Domain und die Funktionsadresse.

Für die Überwachung kommen Dienste hinzu, die keine personenbezogenen Daten erhalten: Hudson Rock (nur die Domain), SSLMate Cert Spotter (nur Namen ähnlicher Domains), RDAP-Registrierungsdienste (nur die Domain), Cloudflare DNS (Domainnamen) und Anthropic für erklärende Texte zu einem Leck (nur Name, Datum und Datenarten des Lecks). Unbestätigte Vertrags- oder Regionsdetails geben wir hier nicht als Tatsache aus.

11 Rechtsgrundlagen

• Website und Betriebsprotokoll: berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).
• Leak-Check und Zugangsanfrage: vorvertragliche Maßnahmen auf Ihre Anfrage (Art. 6 Abs. 1 lit. b DSGVO); die Grenzen gegen Missbrauch: berechtigtes Interesse (lit. f).
• Testphase und Kundenportal: Vertrag (Art. 6 Abs. 1 lit. b DSGVO).
• Überwachung: im Auftrag Ihres Unternehmens nach Art. 28 DSGVO; dessen Grundlage ist in der Regel sein berechtigtes Interesse an der Sicherheit seiner Systeme.
• Speicherung im Browser: für die von Ihnen gewählte Funktion erforderlich (§ 165 Abs. 3 TKG 2021).

12 Speicherdauer

• Leak-Check: Bericht 30 Tage, HIBP-Platz 30 Tage oder bis zum Ende eines Tests, der Eintrag ohne Personenbezug bis zu Ihrem Löschwunsch.
• Testphase, Kundenportal und Überwachung: für die Dauer des Vertrags, danach Löschung spätestens 90 Tage nach dem Ende; der Nachweis der Vertragsannahme bis zum Ablauf der Verjährungsfristen.
• Zugangsanfrage: solange wir sie bearbeiten und daraus Pflichten folgen; führt sie zu einem Geschäftsfall, sieben Jahre nach § 212 UGB.
• Betriebsprotokoll des Dienstes: 30 Tage. Verbindungsdaten bei Microsoft und Cloudflare: nach den Angaben dieser Anbieter.
• Kostenlose Prüfung der Domain-Sicherheit: fünf Minuten im Arbeitsspeicher. Warteliste von DarkWatch Free: 14 Tage nach unserer Mail, höchstens 180 Tage. DarkWatch Free: wie die Überwachung, solange Free läuft.

13 Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung, auf Datenübertragbarkeit und das Recht, einer Verarbeitung auf Grundlage berechtigter Interessen zu widersprechen (Art. 15 bis 21 DSGVO).

Wenden Sie sich dafür an: [email protected]

Betrifft Ihre Frage Daten aus der Überwachung, ist Ihr Arbeitgeber zuständig; wir leiten sie an ihn weiter.

Sie können sich bei einer Aufsichtsbehörde beschweren. In Österreich ist das die Datenschutzbehörde, Barichgasse 40–42, 1030 Wien: dsb.gv.at

14 Automatisierte Entscheidungen

Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Schweregrade von Funden sind Hinweise an Ihr Unternehmen, keine Entscheidung über Personen.

15 Stand

Stand dieser Erklärung: November 2026. Wir passen sie an, wenn sich Datenflüsse oder beteiligte Dienste ändern.