Datenschutz für 360Node Vault

Für Einrichtung und Verwaltung eines Kontos verarbeiten wir insbesondere Namen, E-Mail-Adresse, Kontostatus, Rollen, Gruppenzuordnungen, Berechtigungen und öffentliche Schlüssel. Angaben stammen von Ihnen oder von der Person, die Sie zur Zusammenarbeit einlädt und Ihren Zugang verwaltet.

Diese Daten ermöglichen die Zuordnung Ihres Kontos, die Anmeldung und die Vergabe oder Entziehung von Zugriffsrechten. Ohne die erforderlichen Konto- und Sicherheitsangaben kann kein persönlicher Vault-Zugang bereitgestellt werden.

Für die Anmeldung ist zusätzlich zur Browser-Erweiterung und Passphrase ein zeitbasierter Einmalcode (TOTP) erforderlich. Dazu verarbeitet der Vault Authentifizierungseinstellungen und einen serverseitig gespeicherten Authentifikator-Schlüssel. Dieser Schlüssel unterliegt dem Schutz der Konten- und Betriebsdaten; er ist nicht wie ein freigegebenes Vault-Geheimnis mit Ihrem Benutzerschlüssel verschlüsselt.

Im Vault können Zugangsdaten, API-Schlüssel, Notizen und strukturierte JSON-Inhalte gespeichert werden. Soweit diese Inhalte personenbezogene Angaben enthalten, werden auch diese verarbeitet. Geheimnisse werden in der Browser-Erweiterung verschlüsselt und auf dem Vault-Server als verschlüsselte Daten gespeichert.

Die Inhaltsverschlüsselung erfasst nicht sämtliche Betriebsdaten. Insbesondere Kontaktdaten, öffentliche Schlüssel, Berechtigungen, Gruppenzuordnungen sowie bestimmte Status- und Zeitangaben werden für die Konten- und Zugangsverwaltung verarbeitet. Welche Personen Inhalte verwenden können, richtet sich nach den eingerichteten Freigaben und Wiederherstellungsfunktionen.

Die Browser-Erweiterung speichert die für Ihr Konto benötigte Konfiguration und Ihren passphrasengeschützten privaten Schlüssel auf Ihrem Gerät. Beim Entsperren verarbeitet sie die zur Entschlüsselung benötigten Informationen im Browser. Das heruntergeladene Recovery Kit enthält ebenfalls Ihren geschützten privaten Schlüssel und wird von Ihnen aufbewahrt.

Cookies und lokale Speicher werden für die angeforderte Anmeldung, Sitzungsverwaltung, Sicherheitsprüfungen und die Verbindung der Erweiterung mit Ihrem Vault verwendet. Soweit diese Speicherung für den ausdrücklich gewünschten Dienst unbedingt erforderlich ist, beruht sie auf § 25 Abs. 2 Nr. 2 TDDDG. Ein Abmelden entfernt keine bereits von Ihnen heruntergeladenen Dateien.

Die Browser-Erweiterung wird als kontrolliert bereitgestelltes Erweiterungspaket verwendet. Die Bereitstellung des Programmcodes ist von der Speicherung Ihrer Vault-Inhalte, Ihres privaten Schlüssels und Ihrer Wiederherstellungsdateien zu unterscheiden.

Ist die organisationsweite Kontowiederherstellung für Ihr Konto eingerichtet, wird ein zusätzlich verschlüsseltes Wiederherstellungs-Backup auf dem Vault-Server gespeichert. Berechtigte Administratoren können die dafür vorgesehenen Wiederherstellungsmaßnahmen freigeben.

Bei Wiederherstellungs- und Schlüsselwechselvorgängen werden die betroffene Identität, öffentliche Schlüssel und Fingerabdrücke, Bearbeitungsstatus, Freigaben und notwendige Sicherheitsnachweise verarbeitet. Diese Daten dienen dazu, Anfragen zuzuordnen, Freigaben zu prüfen und die Umstellung nachvollziehbar durchzuführen. Eine neue Passphrase allein macht eine bereits kopierte ältere Schlüsseldatei nicht ungültig.

Die organisationsweite Wiederherstellung und die zusätzliche Anmeldung mit TOTP sind getrennte Schutzmechanismen. Auch bei einer Kontowiederherstellung bleibt der eingerichtete zusätzliche Faktor erforderlich. Ein E-Mail-Link ersetzt diesen Faktor nicht. Die Verwahrung des Organisationsschlüssels und die Freigabe der Wiederherstellung bilden dabei eine eigene Vertrauens- und Zugriffsgrenze.

Die gehostete Instanz unter vault.360node.de nutzt eine eigene virtuelle Maschine bei Google Cloud in Belgien (Region europe-west1, Zone europe-west1-b). Konten, verschlüsselte Inhalte und Betriebsdaten werden in der zugehörigen Datenbank und auf den zugeordneten persistenten Datenträgern verarbeitet. Die gewählte Serverregion ist keine Zusicherung, dass sämtliche ergänzenden Verarbeitungen der beteiligten Anbieter ausschließlich in der EU stattfinden.

Für Übertragung, Anmeldung, Zugriffskontrolle und Fehleranalyse verarbeitet der Vault-Server technische Anfragen und Sicherheitsinformationen. Dazu können Netzwerkadresse, Angaben zum verwendeten Browser, Zeitpunkte und Fehlermeldungen gehören. Technische Protokolle dienen der Fehlerbehebung und dem Schutz des Dienstes.

Cloudflare stellt den DNS-Eintrag bereit, über den der Hostname aufgelöst wird. Der Eintrag ist als DNS-only eingerichtet; Cloudflare ist damit nicht als HTTP-Proxy für die Vault-Anwendung geschaltet. Eine Änderung dieser Verkehrsführung erfordert eine entsprechende Anpassung dieser Hinweise.

Die reguläre nginx-Zugriffsprotokollierung ist in der vorgesehenen Web-Konfiguration deaktiviert. Fehler- und Sicherheitsinformationen der Anwendung, Container und Server sowie Verwaltungsaufzeichnungen der beteiligten Anbieter werden davon getrennt behandelt.

Für Konto-Einladungen, Wiederherstellung und sicherheitsbezogene Benachrichtigungen verarbeiten wir Empfängeradresse, erforderliche Kontoinformationen und Aktionslinks. Die vorgesehenen Einrichtungs- und Wiederherstellungsnachrichten enthalten keine Passphrase und keinen privaten Schlüssel im Klartext.

Für den externen Versand dieser Nachrichten ist Google Workspace mit authentifizierter, TLS-geschützter SMTP-Verbindung und dem Absender 360Node <hello@360node.de> vorgesehen. Soweit dieser Versand genutzt wird, werden die für Zustellung und Sicherheitsnachricht benötigten Adress-, Nachrichten- und Transportdaten über diesen Dienst verarbeitet.

Zugriff erhalten innerhalb der vorgesehenen Berechtigungen die mit der Verwaltung befassten Personen sowie die Nutzer und Gruppen, denen Inhalte freigegeben werden. Verwaltungsrechte und freigegebene Inhaltsrechte sind dabei unterschiedliche Zugriffsarten; eine aktivierte Kontowiederherstellung eröffnet zusätzliche, dafür vorgesehene Wiederherstellungsmöglichkeiten.

Für den gehosteten Betrieb ist Google Cloud als Infrastruktur-Anbieter beteiligt; Cloudflare stellt die DNS-Auflösung bereit. Soweit der externe Benachrichtigungsversand genutzt wird, ist Google Workspace beteiligt. Werden verschlüsselte Sicherungsarchive an dem dafür eingerichteten externen Sicherungsort aufbewahrt, ist Tresorit als weiterer Dienst beteiligt. Die Inhaltsverschlüsselung von Vault-Geheimnissen ersetzt nicht die gesonderten Schutzmaßnahmen für Konto-, Authentifizierungs-, Verwaltungs- und Transportdaten.

Ein Link zum Impressum oder zur allgemeinen Website öffnet einen eigenständigen Dienst. Beim Aufruf solcher Links verarbeitet die aufgerufene Website die für ihre Bereitstellung erforderlichen Daten nach ihren eigenen Datenschutzhinweisen.

Kontenverwaltung, Zugriffsschutz, Freigaben und technische Sicherheitsmaßnahmen dienen unserem berechtigten Interesse an einer kontrollierten und sicheren Zusammenarbeit mit Zugangsdaten (Art. 6 Abs. 1 Buchst. f DSGVO). Die Verarbeitung ist auf die hierfür benötigten Konto-, Inhalts- und Sicherheitsdaten beschränkt.

Die Bereitstellung der für Anmeldung und Zugriffsschutz notwendigen Konto- und Sicherheitsangaben ist Voraussetzung für die Nutzung eines persönlichen Vault-Zugangs. Für technisch unbedingt erforderliche Cookies und lokale Speicher gilt ergänzend die unter „Browser-Erweiterung, Schlüssel und Cookies“ beschriebene Grundlage.

Die Speicherdauer richtet sich nach dem Zweck der jeweiligen Daten: nach der Dauer des benötigten Zugangs, den bestehenden Freigaben, der erforderlichen Sicherheitsnachvollziehbarkeit und gegebenenfalls gesetzlichen Aufbewahrungspflichten. Ein gesperrtes oder abgemeldetes Konto führt nicht automatisch zur Löschung aller Inhalte, Freigaben oder Wiederherstellungsdaten.

Von Ihnen heruntergeladene Recovery Kits und andere Exporte verbleiben an dem von Ihnen gewählten Speicherort. Sicherungskopien und historische Sicherheitsdaten können gesondert fortbestehen. Fragen zu einer konkreten Löschung richten Sie bitte an info@360node.de.

Sie können nach den gesetzlichen Voraussetzungen Auskunft über Ihre personenbezogenen Daten, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen. Erteilte Einwilligungen können Sie mit Wirkung für die Zukunft widerrufen. Wenden Sie sich dafür an info@360node.de.

Widerspruch: Soweit wir Daten auf Art. 6 Abs. 1 Buchst. f DSGVO stützen, können Sie aus Gründen Ihrer besonderen Situation Widerspruch gegen die Verarbeitung einlegen.

Sie haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, insbesondere am Ort Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder eines vermuteten Verstoßes. Eine Übersicht finden Sie bei der Datenschutzkonferenz.