GAdvisory Datenschutzhinweis

Wer verantwortlich ist

Für gadvisory.org und für gehostete GPlatform-Advisory-Instanzen ist Verantwortlicher Gelhaus Solutions, Eichenwald 3, 49624 Löningen, Deutschland. Kontakt: egelhaus@ennogelhaus.de.

Für eine Instanz, die Sie selbst betreiben, sind Sie Verantwortlicher; wir verarbeiten dann nichts. Diese Erklärung gilt für Ihre Installation nicht — sie beschreibt lediglich, was die Software speichern kann, was beim Verfassen einer eigenen Erklärung nützlich sein dürfte.

Was genau gespeichert wird

Die folgende Aufstellung stammt aus dem Datenbankschema und nicht aus einer allgemeinen Beschreibung, weil ein Hinweis wie „wir erheben bestimmte Informationen" nichts aussagt.

Ihr Konto. E-Mail-Adresse, Handle, Anzeigename, Sprache, Zeitzone, Ländercode, optional Avatar und Kurzbiografie, optional Git-Benutzername und Git-E-Mail für die Signatur von Records, der Zeitpunkt der E-Mail-Bestätigung und der letzten Anmeldung.

Meldungen. Wenn jemand eine Schwachstelle meldet: Betreff und Text, die Antworten des verwendeten Formulars, etwaige Dateianhänge sowie entweder ein verknüpftes Konto oder Name und E-Mail-Adresse des Absenders. Kommt eine Meldung per E-Mail, werden die Kopfzeilen mitgeführt — Absender, Empfänger, Kopieempfänger und die Nachrichtenkennungen, die einen Verlauf zusammenhalten —, denn eine Meldung ist ein Schriftwechsel und der Verlauf ist der Nachweis.

Die unveränderte eingegangene Nachricht wird neben der ausgewerteten Fassung 12 Monate lang aufbewahrt. Das ist Absicht: eine falsch ausgewertete Meldung muss so gelesen werden können, wie sie gesendet wurde. Nach 12 Monaten werden der vollständige Kopfzeilensatz einer E-Mail, die IP-Adresse, von der ein Formular gesendet wurde, und der Inhalt eines Webhooks gelöscht; die ausgewertete Meldung, Absender und Empfänger sowie der Schriftwechsel bleiben als Teil des Nachweises. Die ursprüngliche E-Mail wird 12 Monate nach ihrem Eingang aus unserem Eingangspostfach gelöscht.

Beteiligte eines Vorgangs. E-Mail-Adresse und Anzeigename aller Beteiligten, mit oder ohne Konto.

Nennungen. Wird eine Person in einem Advisory genannt, werden der gewünschte Name und Kontakt gespeichert. Diese Angaben werden dauerhaft veröffentlicht; genau das ist ihr Zweck.

Abonnements. Eine E-Mail-Adresse, sonst nichts. Abonnements werden im Double-Opt-in bestätigt und tragen ein Abmeldetoken.

Browser-Push. Sofern aktiviert: der vom Browser ausgestellte Endpunkt, dessen zwei Schlüssel und die User-Agent-Kennung.

Das Audit-Log. Wer wann was getan hat, mit den Werten davor und danach, dazu IP-Adresse und User-Agent. Nach 180 Tagen werden IP-Adresse und User-Agent durch einen geschlüsselten Hash ersetzt, der noch zeigen kann, dass zwei Einträge vom selben Ort stammen, sich aber nicht in sie zurückverwandeln lässt. Jeder Eintrag trägt einen Hash des vorherigen, sodass nachweisbar ist, dass nachträglich nichts geändert wurde. Das ist eine Sicherheitseigenschaft und bedeutet, dass Audit-Einträge nicht auf gewöhnlichem Weg löschbar sind.

Freigabelinks. Bei Links für Personen außerhalb der Instanz: die eingeladene E-Mail-Adresse und der Hash einer etwaigen PIN. Jede Nutzung wird mit einer gehashten IP-Adresse und dem User-Agent festgehalten — gehasht und nicht gespeichert, weil die Frage lautet, ob ein Link von mehreren Orten genutzt wurde, und nicht, wo sich jemand befindet.

Anhänge. Dateiname, Inhaltstyp, Größe, SHA-256-Prüfsumme und das Ergebnis einer Schadsoftwareprüfung. Die Dateien liegen im Objektspeicher.

Zugangsdaten. API-Token, OAuth-Client-Secrets und Anwendungsgeheimnisse werden ausschließlich als Hash gespeichert. Integrationsgeheimnisse werden envelope-verschlüsselt; eine Instanz kann sie stattdessen in HashiCorp Vault halten.

Künstliche Intelligenz

Die KI-Funktionen sind deaktiviert, sofern sie niemand einschaltet, werden je Bereich konfiguriert und laufen mit einem vom Betreiber hinterlegten API-Schlüssel. GAdvisory bringt keinen eigenen Modellanbieter mit und sendet standardmäßig nichts.

Sind sie aktiviert, können sie Advisories entwerfen und prüfen sowie eingehende Meldungen vorsortieren — womit der Inhalt einer Meldung samt der darin enthaltenen personenbezogenen Angaben an den Anbieter des hinterlegten Schlüssels gelangen kann. Zu jedem gespeicherten Zugang wird vermerkt, ob dieser Anbieter die übermittelten Daten zum Training verwendet; die Oberfläche zeigt das an.

Die Anfragen und Antworten eines Laufs werden zur Nachvollziehbarkeit 12 Monate lang aufbewahrt und danach gelöscht; der Nachweis, dass der Lauf stattfand, welche Werkzeuge er aufrief und wie viele Tokens er verbrauchte, bleibt.

Auf gadvisory.org und im gehosteten Dienst sind diese Funktionen aktiviert. Sie sind beschränkt, aber nicht so, wie das Wort nahelegt: Die Beschränkung betrifft, wer sie ausführen darf — das Team von Gelhaus Solutions — und nicht, was sie lesen dürfen.

Innerhalb der Geltungsbereiche von Gelhaus Solutions und Postiz erfasst das Meldungen, die Bearbeitungslisten und Streitfälle; für eine Administration ist es praktisch die gesamte Instanz.

Also: Senden Sie eine Meldung an einen Geltungsbereich von Gelhaus Solutions oder Postiz, kann deren Inhalt an den Modellanbieter gehen, sobald jemand aus dem Team eine Aufgabe darüber laufen lässt. Anbieter ist OpenRouter (OpenRouter, Inc., Vereinigte Staaten), das an Google Gemini weiterleitet. Geltungsbereiche anderer Organisationen konfigurieren diese selbst, nicht wir. Google LLC, an die es weiterleitet, ist nach dem EU-US Data Privacy Framework zertifiziert.

Das sollte man wissen, bevor man eine Meldung schreibt — deshalb steht es hier und nicht in einer Einstellungsmaske.

Zwecke und Rechtsgrundlagen

Betrieb des Dienstes, Authentifizierung und Kontoführung: Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO.

Entgegennahme, Sichtung und Koordinierung von Schwachstellenmeldungen: berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO; das Interesse besteht darin, dass Schwachstellen die erreichen, die sie beheben können. Wer uns selbst eine Meldung sendet, fällt zugleich unter lit. b.

Audit-Log, Missbrauchsabwehr und Sicherheit des Dienstes: Art. 6 Abs. 1 lit. f DSGVO.

Die namentliche Nennung erfolgt auf Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, die widerrufen werden kann — siehe jedoch den folgenden Abschnitt dazu, was ein Widerruf leisten kann.

Abonnements beruhen auf Einwilligung, Art. 6 Abs. 1 lit. a DSGVO; das Double-Opt-in ist deren Nachweis.

Veröffentlichung ist dauerhaft, und das begrenzt die Löschung

Ein veröffentlichtes Advisory ist ein öffentlicher Datensatz. Er wird gespiegelt, indexiert, in andere Schwachstellendatenbanken übernommen und von Systemen zitiert, zu denen wir keine Beziehung haben. Wir können eine Nennung aus unserer Fassung entfernen und tun das auf Wunsch; aus den Fassungen aller anderen können wir sie nicht entfernen.

Das ist keine Verweigerung von Art. 17 DSGVO, sondern die ehrliche Reichweite dessen, was eine Löschung hier bewirken kann — und sie sollte bekannt sein, bevor um eine namentliche Nennung gebeten wird.

Speicherdauer

Kontodaten bleiben bis zur Löschung des Kontos. Eine Deaktivierung markiert das Konto, statt es zu löschen; auf Wunsch wird gelöscht.

Meldungen und der zugehörige Schriftwechsel bleiben, solange die Koordinierung läuft, und danach als Nachweis ihrer Bearbeitung.

Audit-Einträge bleiben zur Integrität der Kette erhalten; ihre IP-Adresse und ihr User-Agent werden nach 180 Tagen durch einen geschlüsselten Hash ersetzt.

Abonnementadressen werden bei Abmeldung entfernt.

Veröffentlichte Advisories und darin enthaltene Nennungen sind dauerhaft.

Wer sonst damit in Berührung kommt

Der Betrieb erfolgt auf Infrastruktur von Gelhaus Solutions, auf Servern von IONOS SE (Deutschland) und, während einer laufenden Migration, Contabo GmbH (Deutschland), sowie auf eigener Hardware in Deutschland. Der Mailbetrieb läuft auf eigenen Servern bei IONOS, die Dateiablage ist ein eigenes MinIO auf eigener Hardware. Der Grundsatz lautet: Was sich vernünftig selbst betreiben lässt, wird selbst betrieben — und das ist fast alles davon.

Fehler- und Leistungsberichte gehen an Sentry (Functional Software, Inc.), in dessen EU-Datenregion, sodass die dort gehaltenen Daten in der EU gespeichert werden. Dorthin gelangt Diagnostisches — die Ausnahme und ihr Stacktrace, die fehlgeschlagene Anfrage und, sofern jemand angemeldet war, dessen Kennung. Im Browser wird jeder Besuch als Aufzeichnung an Sentry gesendet, von der ersten bis zur letzten Seite: was auf dem Bildschirm stand, die Klicks und was sich änderte. Sie ist nicht maskiert: Sie zeigt die Seite, wie sie auf dem Bildschirm stand, einschließlich Entwurfstexten von Advisories und dessen, was eine meldende Person eingegeben hat, denn eine maskierte Aufzeichnung kann nicht zeigen, was schiefging. Um die Seiten eines Besuchs zusammenzuführen, legt das Sentry-Skript eine zufällige Kennung im Sitzungsspeicher Ihres Browsers ab, die beim Schließen des Tabs verschwindet. IP-Adressen und Anfrageinhalte werden nicht übermittelt. Für diese Aufzeichnung und diese Kennung fragen wir nicht nach Ihrer Einwilligung. Jeden Besuch aufzuzeichnen ist der Weg, auf dem wir finden und beheben, was in dem von Ihnen genutzten Dienst schiefgeht; wir behandeln das als Teil der Erbringung dieses Dienstes (§ 25 Abs. 2 Nr. 2 TDDDG), und die Aufzeichnung beruht auf unserem berechtigten Interesse an einem funktionierenden und sicheren Dienst (Art. 6 Abs. 1 lit. f DSGVO). Sie können jederzeit widersprechen (Art. 21 DSGVO). Blockieren Sie in Ihrem Browser die Anfragen an Sentry, wird nichts aufgezeichnet, und der Dienst funktioniert weiter. Es ist der einzige Unterauftragsverarbeiter hier, der nicht bloß ein Ort ist, an dem Server stehen. Functional Software, Inc. sitzt in den Vereinigten Staaten und ist nach dem EU-US Data Privacy Framework zertifiziert.

Browser-Push, sofern Sie ihn einschalten, wird von dem Push-Dienst zugestellt, den Ihr eigener Browser benennt: Google bei Chrome, Mozilla bei Firefox, Apple bei Safari. Diese liegen außerhalb der EU, und ohne einen von ihnen lässt sich ein Web-Push nicht zustellen. Der Dienst erhält den Endpunkt und den Zeitpunkt; die Nutzlast ist auf die Schlüssel Ihres Browsers verschlüsselt, den Inhalt erhält er also nicht. Schalten Sie Push nicht ein, geschieht davon bei Ihnen nichts.

Sind in einer Instanz KI-Funktionen aktiviert, erhält der Anbieter des hinterlegten Schlüssels, was diese Funktionen ihm senden. Diesen Anbieter wählt der Betreiber, nicht wir.

Veröffentlichen trägt ein Advisory absichtlich nach außen. Eine Veröffentlichung bei GitHub Security Advisories sendet das Advisory und jede Nennung darin an GitHub, Inc. in den Vereinigten Staaten — je Advisory und mit der dafür festgehaltenen Einwilligung. Eine Veröffentlichung über das CVE-Programm sendet es an das CVE-Programm, ebenfalls in den Vereinigten Staaten. Ebenso die Synchronisierung von Datensätzen in ein von Ihnen konfiguriertes Git-Repository. GitHub ist nach dem EU-US Data Privacy Framework zertifiziert.

Das sind Empfänger und keine Unterauftragsverarbeiter: Sie erhalten ein veröffentlichtes Dokument, weil das Veröffentlichen der ganze Zweck war, und handeln danach für sich selbst und nicht auf unsere Weisung. Das ist die Mechanik hinter dem Abschnitt oben, wonach eine Veröffentlichung endgültig ist, und es lohnt sich, das zu lesen, bevor man um eine namentliche Nennung bittet.

Es werden keine Analysedienste, keine Werbenetzwerke und keine Schriftarten oder Skripte Dritter eingesetzt.

Ihre Rechte

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Alles, was zu Ihrem Konto gespeichert ist, können Sie selbst als JSON-Datei herunterladen, mit „Download my data“ in Ihren Kontoeinstellungen.

Eine formlose E-Mail an die oben genannte Adresse genügt.

Sie können sich außerdem bei einer Aufsichtsbehörde beschweren. Zuständig ist die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.