GAdvisory Datenschutzhinweis
Was eine GAdvisory-Instanz speichert, warum und wie lange. Aus dem Datenbankschema geschrieben, nicht aus einer Vorlage.
Dies gilt ergänzend zu den allgemeinen Nutzungsbedingungen und der Datenschutzerklärung. Wo sie in einem Punkt speziell zu GAdvisory abweichen, geht diese Seite vor.
Wer verantwortlich ist
Für gadvisory.org und für gehostete GPlatform-Advisory-Instanzen ist Verantwortlicher Gelhaus Solutions, Eichenwald 3, 49624 Löningen, Deutschland. Kontakt: egelhaus@ennogelhaus.de.
Für eine Instanz, die Sie selbst betreiben, sind Sie Verantwortlicher; wir verarbeiten dann nichts. Diese Erklärung gilt für Ihre Installation nicht — sie beschreibt lediglich, was die Software speichern kann, was beim Verfassen einer eigenen Erklärung nützlich sein dürfte.
Was genau gespeichert wird
Die folgende Aufstellung stammt aus dem Datenbankschema und nicht aus einer allgemeinen Beschreibung, weil ein Hinweis wie „wir erheben bestimmte Informationen" nichts aussagt.
Ihr Konto. E-Mail-Adresse, Handle, Anzeigename, Sprache, Zeitzone, Ländercode, optional Avatar und Kurzbiografie, optional Git-Benutzername und Git-E-Mail für die Signatur von Records, der Zeitpunkt der E-Mail-Bestätigung und der letzten Anmeldung.
Meldungen. Wenn jemand eine Schwachstelle meldet: Betreff und Text, die Antworten des verwendeten Formulars, etwaige Dateianhänge sowie entweder ein verknüpftes Konto oder Name und E-Mail-Adresse des Absenders. Kommt eine Meldung per E-Mail, werden die Kopfzeilen mitgeführt — Absender, Empfänger, Kopieempfänger und die Nachrichtenkennungen, die einen Verlauf zusammenhalten —, denn eine Meldung ist ein Schriftwechsel und der Verlauf ist der Nachweis.
Die unveränderte eingegangene Nachricht wird neben der ausgewerteten Fassung aufbewahrt. Das ist Absicht: eine falsch ausgewertete Meldung muss so gelesen werden können, wie sie gesendet wurde.
Beteiligte eines Vorgangs. E-Mail-Adresse und Anzeigename aller Beteiligten, mit oder ohne Konto.
Nennungen. Wird eine Person in einem Advisory genannt, werden der gewünschte Name und Kontakt gespeichert. Diese Angaben werden dauerhaft veröffentlicht; genau das ist ihr Zweck.
Abonnements. Eine E-Mail-Adresse, sonst nichts. Abonnements werden im Double-Opt-in bestätigt und tragen ein Abmeldetoken.
Browser-Push. Sofern aktiviert: der vom Browser ausgestellte Endpunkt, dessen zwei Schlüssel und die User-Agent-Kennung.
Das Audit-Log. Wer wann was getan hat, mit den Werten davor und danach, dazu IP-Adresse und User-Agent. Jeder Eintrag trägt einen Hash des vorherigen, sodass nachweisbar ist, dass nachträglich nichts geändert wurde. Das ist eine Sicherheitseigenschaft und bedeutet, dass Audit-Einträge nicht auf gewöhnlichem Weg löschbar sind.
Freigabelinks. Bei Links für Personen außerhalb der Instanz: die eingeladene E-Mail-Adresse und der Hash einer etwaigen PIN. Jede Nutzung wird mit einer gehashten IP-Adresse und dem User-Agent festgehalten — gehasht und nicht gespeichert, weil die Frage lautet, ob ein Link von mehreren Orten genutzt wurde, und nicht, wo sich jemand befindet.
Anhänge. Dateiname, Inhaltstyp, Größe, SHA-256-Prüfsumme und das Ergebnis einer Schadsoftwareprüfung. Die Dateien liegen im Objektspeicher.
Zugangsdaten. API-Token, OAuth-Client-Secrets und Anwendungsgeheimnisse werden ausschließlich als Hash gespeichert. Integrationsgeheimnisse werden envelope-verschlüsselt; eine Instanz kann sie stattdessen in HashiCorp Vault halten.
Künstliche Intelligenz
Die KI-Funktionen sind deaktiviert, sofern sie niemand einschaltet, werden je Bereich konfiguriert und laufen mit einem vom Betreiber hinterlegten API-Schlüssel. GAdvisory bringt keinen eigenen Modellanbieter mit und sendet standardmäßig nichts.
Sind sie aktiviert, können sie Advisories entwerfen und prüfen sowie eingehende Meldungen vorsortieren — womit der Inhalt einer Meldung samt der darin enthaltenen personenbezogenen Angaben an den Anbieter des hinterlegten Schlüssels gelangen kann. Zu jedem gespeicherten Zugang wird vermerkt, ob dieser Anbieter die übermittelten Daten zum Training verwendet; die Oberfläche zeigt das an.
Die Anfragen und Antworten eines Laufs werden zur Nachvollziehbarkeit aufbewahrt und planmäßig gekürzt.
Auf gadvisory.org und im gehosteten Dienst sind diese Funktionen aktiviert. Sie sind beschränkt, aber nicht so, wie das Wort nahelegt: Die Beschränkung betrifft, wer sie ausführen darf — das Team von Gelhaus Solutions — und nicht, was sie lesen dürfen.
Innerhalb der Geltungsbereiche von Gelhaus Solutions und Postiz erfasst das Meldungen, die Bearbeitungslisten und Streitfälle; für eine Administration ist es praktisch die gesamte Instanz.
Also: Senden Sie eine Meldung an einen Geltungsbereich von Gelhaus Solutions oder Postiz, kann deren Inhalt an den Modellanbieter gehen, sobald jemand aus dem Team eine Aufgabe darüber laufen lässt. Anbieter ist OpenRouter (OpenRouter, Inc., Vereinigte Staaten), das an Google Gemini weiterleitet. Geltungsbereiche anderer Organisationen konfigurieren diese selbst, nicht wir.
Das sollte man wissen, bevor man eine Meldung schreibt — deshalb steht es hier und nicht in einer Einstellungsmaske.
Zwecke und Rechtsgrundlagen
Betrieb des Dienstes, Authentifizierung und Kontoführung: Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO.
Entgegennahme, Sichtung und Koordinierung von Schwachstellenmeldungen: berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO; das Interesse besteht darin, dass Schwachstellen die erreichen, die sie beheben können. Wer uns selbst eine Meldung sendet, fällt zugleich unter lit. b.
Audit-Log, Missbrauchsabwehr und Sicherheit des Dienstes: Art. 6 Abs. 1 lit. f DSGVO.
Die namentliche Nennung erfolgt auf Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, die widerrufen werden kann — siehe jedoch den folgenden Abschnitt dazu, was ein Widerruf leisten kann.
Abonnements beruhen auf Einwilligung, Art. 6 Abs. 1 lit. a DSGVO; das Double-Opt-in ist deren Nachweis.
Veröffentlichung ist dauerhaft, und das begrenzt die Löschung
Ein veröffentlichtes Advisory ist ein öffentlicher Datensatz. Er wird gespiegelt, indexiert, in andere Schwachstellendatenbanken übernommen und von Systemen zitiert, zu denen wir keine Beziehung haben. Wir können eine Nennung aus unserer Fassung entfernen und tun das auf Wunsch; aus den Fassungen aller anderen können wir sie nicht entfernen.
Das ist keine Verweigerung von Art. 17 DSGVO, sondern die ehrliche Reichweite dessen, was eine Löschung hier bewirken kann — und sie sollte bekannt sein, bevor um eine namentliche Nennung gebeten wird.
Speicherdauer
Kontodaten bleiben bis zur Löschung des Kontos. Eine Deaktivierung markiert das Konto, statt es zu löschen; auf Wunsch wird gelöscht.
Meldungen und der zugehörige Schriftwechsel bleiben, solange die Koordinierung läuft, und danach als Nachweis ihrer Bearbeitung.
Audit-Einträge bleiben zur Integrität der Kette erhalten.
Abonnementadressen werden bei Abmeldung entfernt.
Veröffentlichte Advisories und darin enthaltene Nennungen sind dauerhaft.
Wer sonst damit in Berührung kommt
Der Betrieb erfolgt auf Infrastruktur von Gelhaus Solutions, auf Servern von IONOS SE (Deutschland) und, während einer laufenden Migration, Contabo GmbH (Deutschland), sowie auf eigener Hardware in Deutschland. Der Mailbetrieb läuft auf eigenen Servern bei IONOS, die Dateiablage ist ein eigenes MinIO auf eigener Hardware. Der Grundsatz lautet: Was sich vernünftig selbst betreiben lässt, wird selbst betrieben — und das ist fast alles davon.
Fehler- und Leistungsberichte gehen an Sentry (Functional Software, Inc.), in dessen EU-Datenregion, sodass die dort gehaltenen Daten in der EU gespeichert werden. Dorthin gelangt Diagnostisches — die Ausnahme und ihr Stacktrace, die fehlgeschlagene Anfrage und, sofern jemand angemeldet war, dessen Kennung. Es ist der einzige Unterauftragsverarbeiter hier, der nicht bloß ein Ort ist, an dem Server stehen.
Browser-Push, sofern Sie ihn einschalten, wird von dem Push-Dienst zugestellt, den Ihr eigener Browser benennt: Google bei Chrome, Mozilla bei Firefox, Apple bei Safari. Diese liegen außerhalb der EU, und ohne einen von ihnen lässt sich ein Web-Push nicht zustellen. Der Dienst erhält den Endpunkt und den Zeitpunkt; die Nutzlast ist auf die Schlüssel Ihres Browsers verschlüsselt, den Inhalt erhält er also nicht. Schalten Sie Push nicht ein, geschieht davon bei Ihnen nichts.
Sind in einer Instanz KI-Funktionen aktiviert, erhält der Anbieter des hinterlegten Schlüssels, was diese Funktionen ihm senden. Diesen Anbieter wählt der Betreiber, nicht wir.
Veröffentlichen trägt ein Advisory absichtlich nach außen. Eine Veröffentlichung bei GitHub Security Advisories sendet das Advisory und jede Nennung darin an GitHub, Inc. in den Vereinigten Staaten — je Advisory und mit der dafür festgehaltenen Einwilligung. Eine Veröffentlichung über das CVE-Programm sendet es an das CVE-Programm, ebenfalls in den Vereinigten Staaten. Ebenso die Synchronisierung von Datensätzen in ein von Ihnen konfiguriertes Git-Repository.
Das sind Empfänger und keine Unterauftragsverarbeiter: Sie erhalten ein veröffentlichtes Dokument, weil das Veröffentlichen der ganze Zweck war, und handeln danach für sich selbst und nicht auf unsere Weisung. Das ist die Mechanik hinter dem Abschnitt oben, wonach eine Veröffentlichung endgültig ist, und es lohnt sich, das zu lesen, bevor man um eine namentliche Nennung bittet.
Es werden keine Analysedienste, keine Werbenetzwerke und keine Schriftarten oder Skripte Dritter eingesetzt.
Ihre Rechte
Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.
Eine formlose E-Mail an die oben genannte Adresse genügt.
Sie können sich außerdem bei einer Aufsichtsbehörde beschweren. Zuständig ist die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.