Datenschutzerklärung der Bug-Bounty-Plattform bugbounty.de

1. Verantwortlicher

Rootsektor IT-Security GmbH
Lottenweg 11
59757 Arnsberg
Deutschland

E-Mail: info@rootsektor.de
Telefon: +49 2932 465265-0

Vertreten durch den Geschäftsführer Sebastian Michel. Weitere Angaben enthält das Impressum.

2. Kontakt in Datenschutzfragen

Bei Fragen zum Datenschutz und zur Ausübung der Rechte als betroffene Person ist Sebastian Michel, Geschäftsführer der Rootsektor IT-Security GmbH, unter den in Abschnitt 1 genannten Kontaktdaten erreichbar, insbesondere per E-Mail an info@rootsektor.de.

3. Hosting und Server-Logfiles

Die Website wird auf einem Webspace der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, in Rechenzentren in Deutschland betrieben. STRATO verarbeitet die Daten als Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO.

Die Website wird ausschließlich über eine verschlüsselte Verbindung (HTTPS) ausgeliefert. Bei jedem Aufruf verarbeitet der Server technisch bedingt folgende Daten und speichert sie in Server-Logfiles:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• aufgerufene Adresse (URL) und Art der Anfrage
• HTTP-Statuscode und übertragene Datenmenge
• zuvor besuchte Seite (Referrer), soweit der Browser sie übermittelt
• Angaben zu Browser und Betriebssystem (User-Agent)

Zweck: Auslieferung der Website, Sicherstellung von Betrieb und Sicherheit sowie Erkennung und Abwehr von Angriffen und Missbrauch.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in der sicheren und stabilen Bereitstellung der Website.

Speicherdauer: Die Server-Logfiles werden nach einer vom Hoster festgelegten, kurzen Frist automatisch gelöscht; Daten, deren weitere Aufbewahrung zu Beweiszwecken erforderlich ist, sind bis zur Klärung eines Vorfalls von der Löschung ausgenommen. Eine Zusammenführung mit anderen Datenquellen findet nicht statt.

4. Speicherung im Browser

Die Website speichert ohne Cookies folgende Angaben lokal im Browser (Local Storage):

• die Entscheidung im Einwilligungsbanner (Einwilligung in die Webanalyse erteilt oder abgelehnt) und den Zeitpunkt dieser Entscheidung
• die gewählte Darstellung (hell oder dunkel), sofern sie geändert wurde

Diese Angaben werden nicht an den Server von bugbounty.de und nicht an Dritte übermittelt. Sie bleiben gespeichert, bis sie im Browser gelöscht werden. Die Entscheidung im Einwilligungsbanner wird nach 12 Monaten erneut abgefragt.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, weil die Speicherung unbedingt erforderlich ist, um die Einwilligungsentscheidung zu beachten und die ausdrücklich gewählte Darstellung bereitzustellen. Soweit dabei personenbezogene Daten verarbeitet werden, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in einer funktionsfähigen Website, die die Entscheidung der Besucherinnen und Besucher beachtet.

5. Webanalyse mit Google Analytics 4

Die Website nutzt Google Analytics 4, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Google Analytics wird ausschließlich nach ausdrücklicher Einwilligung über das Einwilligungsbanner geladen. Die Schaltflächen „Alle ablehnen“ und „Alle akzeptieren“ sind gleichwertig. Ohne Einwilligung wird Google Analytics nicht geladen: Es besteht keine Verbindung zu Google, und es werden keine Cookies gesetzt.

Zweck: statistische Auswertung der Nutzung der Website, etwa welche Seiten aufgerufen werden und über welche Wege Besucherinnen und Besucher die Website erreichen, um die Inhalte zu verbessern.

Verarbeitete Daten: eine zufällig erzeugte Kennung aus dem Cookie, aufgerufene Seiten und Interaktionen, Datum und Uhrzeit des Aufrufs, die zuvor besuchte Seite (Referrer), Angaben zu Gerät und Browser (etwa Gerätetyp, Betriebssystem, Bildschirmauflösung und Spracheinstellung) sowie der ungefähre Standort (Land, Region, Stadt), den Google aus der IP-Adresse ableitet. Beim Laden von Google Analytics wird die IP-Adresse technisch bedingt an Google übermittelt; nach Angaben von Google werden IP-Adressen in Google Analytics 4 nicht protokolliert oder gespeichert.

Einstellungen: Google Signals und die Anzeigenpersonalisierung sind deaktiviert. Die Aufbewahrungsdauer für Daten auf Ereignis- und Nutzerebene ist auf 2 Monate eingestellt.

Auf den Seiten zur Bestätigung und zur Abmeldung der Vormerkung wird Google Analytics nicht geladen, damit die persönlichen Links aus den E-Mails nicht an Google übermittelt werden.

Cookies:

• _ga: unterscheidet Besucherinnen und Besucher anhand einer zufällig erzeugten Kennung. Speicherdauer: 2 Jahre; die Frist beginnt bei jedem Seitenaufruf neu.
• _ga_<Kennung>: speichert den Sitzungsstatus; <Kennung> steht für die Kennung des Datenstreams. Speicherdauer: 2 Jahre; die Frist beginnt bei jedem Seitenaufruf neu.

Rechtsgrundlage: Einwilligung nach § 25 Abs. 1 TDDDG für das Speichern von Informationen im Endgerät und den Zugriff darauf sowie nach Art. 6 Abs. 1 lit. a DSGVO für die weitere Verarbeitung.

Auftragsverarbeitung: Google verarbeitet die Daten als Auftragsverarbeiter auf Grundlage der Bedingungen zur Datenverarbeitung von Google (Google Ads Data Processing Terms).

Übermittlung in die USA: Daten können an die Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA, übermittelt werden. Grundlage ist der Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO); die Google LLC ist nach diesem Rahmen zertifiziert.

Speicherdauer: Die Cookies werden nach Ablauf der oben genannten Speicherdauer gelöscht, sofern sie nicht zuvor im Browser gelöscht werden. In Google Analytics werden Daten auf Ereignis- und Nutzerebene nach 2 Monaten automatisch gelöscht; zusammengefasste Berichte sind davon nicht betroffen.

Widerruf: Die Einwilligung ist freiwillig und kann jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Einstellungen“ in der Fußzeile widerrufen werden. Danach wird Google Analytics nicht mehr geladen, und die Cookies von Google Analytics werden gelöscht. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Weitere Informationen enthält die Datenschutzerklärung von Google: https://policies.google.com/privacy

6. Google Search Console

Die Rootsektor IT-Security GmbH nutzt die Google Search Console der Google Ireland Limited, um die Darstellung der Website in den Suchergebnissen von Google und technische Fehler bei der Indexierung auszuwerten. Die Inhaberschaft der Domain wird über einen DNS-Eintrag oder ein Meta-Tag im Quelltext bestätigt. Die Search Console ist nicht in die Website eingebunden: Beim Besuch der Website werden darüber keine Daten an Google übermittelt und keine Cookies gesetzt. Google stellt in der Search Console Angaben zu Suchanfragen, Impressionen und Klicks in zusammengefasster Form bereit. Eine Einwilligung ist dafür nicht erforderlich.

7. Vormerkung zum Plattformstart

Verarbeitete Daten: E-Mail-Adresse, gewählte Zielgruppe (Researcher, Unternehmen oder öffentliche Einrichtung), Sprache der Website, Version des Einwilligungstexts sowie Zeitpunkte von Anforderung und Bestätigung. Zum Nachweis der Einwilligung werden außerdem die IP-Adressen zum Zeitpunkt von Anforderung und Bestätigung verschlüsselt gespeichert.

Zweck: Information per E-Mail über den Start von bugbounty.de und, je nach Zielgruppe, über die Teilnahme als Researcher, über die Leistungen für Unternehmen einschließlich Basis-VDP und Managed Triage oder über die Leistungen und Konditionen für öffentliche Einrichtungen. Die Daten werden nur für diesen Zweck genutzt.

Double-Opt-in: Nach dem Absenden des Formulars wird eine E-Mail mit einem Bestätigungslink an die angegebene Adresse gesendet. Die Vormerkung ist erst aktiv, wenn sie über diesen Link bestätigt wurde. Der Link ist 72 Stunden gültig. Ohne Bestätigung werden keine weiteren E-Mails gesendet. Ist die Adresse für die gewählte Zielgruppe bereits bestätigt, wird statt des Bestätigungslinks ein Hinweis mit Abmeldelink an diese Adresse gesendet.

Rechtsgrundlage: Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Die Protokollierung von Anforderung und Bestätigung dient dem Nachweis der Einwilligung (Art. 7 Abs. 1 DSGVO); Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO.

Speicherung: Die Daten werden verschlüsselt auf dem Webspace bei STRATO in Deutschland gespeichert. Über bestätigte Vormerkungen von Unternehmen und öffentlichen Einrichtungen wird ein internes Postfach der Rootsektor IT-Security GmbH per E-Mail informiert; dafür wird Microsoft 365 eingesetzt (Abschnitt 8).

Schutz vor Missbrauch: Das Formular enthält ein für Menschen nicht sichtbares Feld, um automatisierte Eingaben zu erkennen. Zur Begrenzung wiederholter Anfragen wird die IP-Adresse ausschließlich als kryptografischer Hashwert für höchstens 24 Stunden gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im Schutz des Formulars und der Empfängerinnen und Empfänger vor Missbrauch.

Speicherdauer: Der Bestätigungslink ist 72 Stunden gültig; nicht bestätigte Anfragen werden danach automatisch gelöscht. Bestätigte Vormerkungen werden gespeichert, bis die Einwilligung widerrufen wird oder der Zweck entfällt, spätestens sechs Monate nach dem Plattformstart. Mit dem Widerruf werden E-Mail-Adresse und IP-Adressen sofort gelöscht. Zum Nachweis von Einwilligung und Widerruf (Art. 7 Abs. 1 DSGVO) bleibt ein pseudonymisierter Eintrag ohne E-Mail- und IP-Adresse (kryptografischer Hashwert der Adresse, Zeitpunkte, Version des Einwilligungstexts) drei Jahre nach dem Widerruf erhalten; Rechtsgrundlage ist Art. 6 Abs. 1 lit. c und f DSGVO.

Widerruf: Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden, über den Abmeldelink in jeder E-Mail oder über die in Abschnitt 1 genannten Kontaktdaten. Eine erneute Vormerkung ist jederzeit möglich.

Die Angabe der Daten ist freiwillig. Ohne E-Mail-Adresse, Zielgruppe und Einwilligung ist eine Vormerkung nicht möglich.

8. E-Mail-Versand und E-Mail-Postfächer über Microsoft 365

Für den Versand der E-Mails zur Vormerkung, für die interne Benachrichtigung und für die E-Mail-Postfächer, einschließlich security@bugbounty.de, wird Microsoft 365 der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland, eingesetzt. Microsoft verarbeitet die Daten als Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO (Microsoft Products and Services Data Protection Addendum).

Verarbeitet werden insbesondere E-Mail-Adressen, Inhalte der E-Mails und technische Verbindungsdaten. Eine Übermittlung an die Microsoft Corporation in den USA kann nicht ausgeschlossen werden; Grundlage ist der Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), nach dem die Microsoft Corporation zertifiziert ist.

9. Kontakt per E-Mail und Meldungen von Schwachstellen

Bei einer Kontaktaufnahme per E-Mail, auch bei Meldungen an security@bugbounty.de, werden die übermittelten Angaben verarbeitet, etwa E-Mail-Adresse, Name, soweit angegeben, und der Inhalt der Nachricht einschließlich technischer Angaben zu einer gemeldeten Schwachstelle. Meldungen sind auch anonym möglich.

Zweck: Bearbeitung der Anfrage oder Meldung, einschließlich Rückfragen, Behebung und koordinierter Offenlegung von Schwachstellen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in der Beantwortung von Anfragen und in der Sicherheit der eigenen Systeme. Betrifft eine Anfrage einen Vertrag oder dessen Anbahnung, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: Die Daten werden gelöscht, wenn die Bearbeitung abgeschlossen ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen, spätestens nach sechs Monaten. Meldungen von Schwachstellen und die zugehörige Korrespondenz werden bis zum Abschluss der Bearbeitung und einer koordinierten Offenlegung aufbewahrt und danach drei Jahre zu Nachweiszwecken (Art. 6 Abs. 1 lit. f DSGVO).

10. Empfänger

Empfänger personenbezogener Daten sind die in den Abschnitten 3, 5 und 8 genannten Dienstleister STRATO, Google (nur nach Einwilligung) und Microsoft. Eine Weitergabe an andere Dritte erfolgt nur, wenn eine gesetzliche Pflicht dazu besteht. Personenbezogene Daten werden nicht verkauft.

11. Rechte der betroffenen Personen

Betroffene Personen haben nach der DSGVO folgende Rechte:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Widerspruchsrecht nach Art. 21 DSGVO: Beruht eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO, kann ihr aus Gründen, die sich aus der besonderen Situation der betroffenen Person ergeben, jederzeit widersprochen werden. Die Daten werden dann nicht mehr verarbeitet, es sei denn, es liegen zwingende schutzwürdige Gründe für die Verarbeitung vor, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Anfragen zur Ausübung dieser Rechte können an die in Abschnitt 1 genannten Kontaktdaten gerichtet werden.

12. Beschwerderecht bei einer Aufsichtsbehörde

Betroffene Personen haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig für die Rootsektor IT-Security GmbH ist:

Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4
40213 Düsseldorf
https://www.ldi.nrw.de

13. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

14. Stand

Stand dieser Datenschutzerklärung: 03.11.2026