Datenschutzerklärung

Bei Integrasec behandeln wir die Informationen, die Sie uns anvertrauen, mit größter Sorgfalt. Unser Dienst analysiert E-Mails, die uns Nutzer freiwillig übermitteln, weil sie vermuten, dass es sich um einen Betrugs- oder Phishing-Versuch handeln könnte. Das bedeutet, dass wir aufgrund der Natur des Dienstes selbst den Inhalt elektronischer Kommunikation verarbeiten. Wir sind uns vollkommen bewusst, wie sensibel diese Daten sind, und diese Erklärung legt ohne Umschweife und im Detail dar, was wir mit ihnen tun, warum, wie lange und mit wem wir sie teilen.

1. Verantwortlicher

2. Geltungsbereich dieser Erklärung

Diese Erklärung gilt für:

• Das Integrasec-Add-on (Erweiterung) für Gmail und Google Workspace, einschließlich der Schaltfläche zum Melden verdächtiger E-Mails.
• Das Integrasec-Add-in für Microsoft Outlook und Microsoft 365.
• Das Integrasec-Webpanel, verfügbar unter eu.integrasec.net und dessen Subdomains.
• Die automatischen Mitteilungen über Analyseergebnisse, die wir per E-Mail versenden.

Sie gilt nicht für Websites, Anwendungen oder Dienste Dritter, auf die über unsere Berichte oder Mitteilungen zugegriffen werden kann und die ihren eigenen Richtlinien unterliegen.

3. Unsere Doppelrolle: Verantwortlicher und Auftragsverarbeiter

Diese Unterscheidung ist wichtig, weil sie bestimmt, an wen sich jede Person zur Ausübung ihrer Rechte wenden muss.

3.1. Wenn wir als Auftragsverarbeiter handeln

Wenn ein Unternehmen oder eine Organisation Integrasec für seine Beschäftigten beauftragt, ist diese Organisation der Verantwortliche und wir handeln als Auftragsverarbeiter in ihrem Auftrag gemäß Artikel 28 der Verordnung (EU) 2016/679 („DSGVO“). In diesem Szenario:

• Entscheidet die Kundenorganisation, welche Nutzer den Dienst verwenden, zu welchem Zweck und wie lange die Daten gespeichert werden.
• Ist die Kundenorganisation dafür verantwortlich, ihre Beschäftigten darüber zu informieren, dass sie Integrasec einsetzt, und über eine gültige Rechtsgrundlage dafür zu verfügen.
• Verarbeiten wir die Daten ausschließlich auf ihre dokumentierte Weisung, die in dem mit ihr geschlossenen Auftragsverarbeitungsvertrag festgehalten ist.
• Wenn Sie Beschäftigte(r) einer Kundenorganisation sind und Ihre Rechte ausüben möchten, wenden Sie sich bitte zunächst an den Datenschutzverantwortlichen Ihrer eigenen Organisation. Wir unterstützen Sie über diese.

3.2. Wenn wir als Verantwortlicher handeln

In den folgenden Fällen handeln wir als Verantwortlicher und entscheiden somit selbst über die Zwecke und Mittel der Verarbeitung:

• Kontaktdaten potenzieller Kunden, kommerzielle Mitteilungen und Verwaltung des Vertragsverhältnisses.
• Daten zur Verwaltung der Zugangskonten für das Panel (Registrierung, Authentifizierung, Support).
• Browsing- und Sicherheitsdaten unserer eigenen Website.
• Nutzung des Dienstes durch natürliche Personen im eigenen Namen, außerhalb eines Unternehmensvertrags (zum Beispiel Programme für privaten Zugang oder Testzugang).
• Technische und Sicherheitsprotokolle, die zum Schutz unserer eigenen Infrastruktur erforderlich sind.

4. Wie der Dienst funktioniert

Damit Sie genau verstehen, was mit Ihren Daten geschieht, beschreiben wir hier den tatsächlichen Ablauf des Systems. Die Meldung erfolgt stets über das Add-on für Gmail oder Outlook: Es gibt keine E-Mail-Adresse, an die Nachrichten zur Analyse weitergeleitet werden könnten.

1. Ein Nutzer erhält eine E-Mail, die ihm verdächtig erscheint, und klickt auf die Integrasec-Schaltfläche in Gmail oder Outlook.
2. Das Add-on liest diese Nachricht und nur diese Nachricht in ihrem vollständigen Format (mit Headern und Anhängen) und sendet sie uns zusammen mit der E-Mail-Adresse des Nutzers, der von ihm gewählten Verdachtskategorie und optional einem frei formulierten Kommentar. In Gmail wird das Add-on auf der Infrastruktur von Google (Google Apps Script) unter dem Konto des Nutzers selbst ausgeführt und kann ausschließlich mit unserem Server kommunizieren.
3. Wir prüfen, ob das Konto zu einer Organisation mit aktiver Lizenz gehört. In Gmail überprüfen wir zudem kryptografisch bei Google, dass der Nutzer derjenige ist, für den er sich ausgibt, um zu verhindern, dass sich jemand als eine andere Person ausgibt. In Outlook prüfen wir, ob die Adresse zu einer Kundenorganisation gehört.
4. Zur Analyse durchläuft die Nachricht eine Arbeitswarteschlange, in der sie, vorübergehend in unserer Infrastruktur in Belgien gespeichert, darauf wartet, an die Reihe zu kommen. Sie wird gelöscht, sobald die Analyse abgeschlossen ist, in jedem Fall aber nach 24 Stunden.
5. Wir analysieren die Nachricht: technische Header, Absenderauthentifizierung (SPF, DKIM, DMARC), Alter und Reputation der Domains, Links, in Bilder eingebettete QR-Codes sowie Anhänge. Um herauszufinden, wohin ein Link führt, kann unser Server ihn aufrufen und seinen Weiterleitungen folgen, so wie es der Nutzer tun würde, jedoch ohne ein Formular auszufüllen oder abzusenden und ohne den Inhalt der Seiten zu speichern.
6. Wir senden die relevanten Informationen an ein in der Europäischen Union gehostetes Modell künstlicher Intelligenz, das ein begründetes Urteil abgibt.
7. Wir senden dem Nutzer eine E-Mail mit dem Ergebnis und speichern den Analyseeintrag im Panel seiner Organisation.

5. Personenbezogene Daten, die wir verarbeiten

5.1. Daten der gemeldeten E-Mail

Dies ist der Kern des Dienstes, und aus Gründen der Transparenz beschreiben wir ihn erschöpfend. Wenn eine E-Mail gemeldet wird, verarbeiten wir:

5.2. Konto- und Verwaltungspaneldaten

• Vor- und Nachname, geschäftliche E-Mail-Adresse, Organisation, der Sie angehören, und zugewiesene Rolle.
• Authentifizierungsdaten. Wenn Sie sich per Single Sign-On mit Google oder Microsoft anmelden, sehen oder speichern wir Ihr Passwort niemals: Wir erhalten lediglich ein verifiziertes Identitätstoken. Wenn Sie sich mit einem eigenen Passwort anmelden, wird dieses über einen spezialisierten Identitätsanbieter verwaltet, der es verschlüsselt und irreversibel speichert.
• Protokoll der Zugriffe, Verbindungszeitpunkte und fehlgeschlagenen Versuche zu Sicherheitszwecken.
• Bewertungen und Korrekturen, die die Analysten der Organisation an den Urteilen vornehmen, zusammen mit der Identität der Person, die sie vornimmt.

5.3. Konfigurationsdaten der Organisation

Branche, Größe, übliche Lieferanten, Unternehmenswerkzeuge, eigene Domains und legitime interne Absender. Diese Informationen werden verwendet, um die Analyse in den Kontext zu setzen und Fehlalarme zu reduzieren.

5.4. Daten der Verzeichnissynchronisierung

Wenn eine Kundenorganisation dies ausdrücklich genehmigt, synchronisieren wir die Benutzerliste ihres Unternehmensverzeichnisses (Google Workspace oder Microsoft 365), um Lizenzen sowie Zu- und Abgänge zu verwalten. In diesem Fall verarbeiten wir Name, E-Mail-Adresse und Kontostatus (aktiv, gesperrt oder gelöscht), im reinen Lesemodus. Wir greifen auf diesem Weg nicht auf den Inhalt der Postfächer zu.

5.5. Technische Daten, Browsingdaten und Cookies

Bei der Nutzung des Webpanels verarbeiten wir IP-Adresse, Browser- und Gerätetyp, aufgerufene Seiten und Zeitstempel zu Sicherheits- und Betriebszwecken. Wir verwenden unbedingt erforderliche Cookies, um die Sitzung aufrechtzuerhalten und das Formular vor Angriffen zu schützen. Wir verwenden keine Werbe- oder Profiling-Cookies.

6. Berechtigungen von Google und Microsoft: was wir anfordern und wofür

Das Add-on fordert die minimale Menge an Berechtigungen an, die für seine Funktion unerlässlich ist. Keine einzige mehr.

Diese vier Berechtigungen sind alle, die das Add-on anfordert, und die einzigen, die bei der Installation auf dem Zustimmungsbildschirm erscheinen.

Hervorzuheben ist eine Designentscheidung: Wir fordern die Berechtigung gmail.readonly nicht an, die Google als eingeschränkt einstuft und die das Lesen des gesamten Postfachs ermöglicht hätte. Stattdessen verwenden wir eine auf die geöffnete Konversation beschränkte Berechtigung, sodass die Beschränkung nicht allein von unserem guten Willen abhängt: Das System von Google selbst hindert uns technisch daran, auf irgendeine andere E-Mail zuzugreifen. Google gewährt einen vorübergehenden Zugriff ausschließlich auf die Konversation, die der Nutzer geöffnet hat, solange das Add-on läuft, und dieser Zugriff erlischt. Aus dieser Konversation gelangt nur die E-Mail an unsere Server, die der Nutzer zu melden beschließt. Zu keinem Zeitpunkt durchsuchen, indexieren oder analysieren wir das übrige Postfach, denn wir könnten es nicht einmal, wenn wir wollten.

6.1. Add-in für Microsoft Outlook

Microsoft verwendet nicht dasselbe Berechtigungssystem wie Google. Das Outlook-Add-in deklariert eine einzige Berechtigungsstufe, ReadItem, die die minimale Stufe ist, die das Lesen der Nachricht erlaubt, die der Nutzer geöffnet hat. Im Einzelnen:

• Sie erlaubt das Lesen der Eigenschaften der ausgewählten Nachricht: Absender, Betreff, Text, Internet-Header und Dateianhänge.
• Sie erlaubt weder das Ändern, Verschieben oder Löschen der Nachricht noch das Senden von E-Mails im Namen des Nutzers.
• Sie gewährt keinen Zugriff auf das übrige Postfach: Outlook beschränkt die Berechtigung auf das Element, das der Nutzer in diesem Moment geöffnet hat.

Wie bei Gmail gibt es höhere Stufen – ReadWriteItem, die es erlauben würde, die Nachricht zu verändern, und ReadWriteMailbox, die Zugriff auf das gesamte Postfach gewähren würde – und wir fordern sie nicht an.

6.2. Verzeichnissynchronisierung (optionale und eigenständige Funktion)

Die in Abschnitt 5.4 beschriebene Verzeichnissynchronisierung ist eine optionale, gesondert zu beauftragende und derzeit nicht aktive Funktion. Sie ist weder Teil des Add-ons noch der vorstehenden Berechtigungen: Wenn eine Organisation beschließt, sie zu aktivieren, muss ihr Administrator eine gesonderte und ausdrückliche Genehmigung für reine Leseberechtigungen auf das Unternehmensverzeichnis erteilen (in Google Workspace admin.directory.user.readonly und admin.directory.group.readonly). Diese Berechtigungen ermöglichen es, die Liste der Benutzer und Gruppen abzurufen, um Lizenzen zu verwalten, und gewähren keinen Zugriff auf irgendeine E-Mail. Kein Endnutzer erteilt diese Berechtigung, und ohne ausdrückliches Tätigwerden des Administrators bleibt die Funktion deaktiviert.

7. Eingeschränkte Nutzung der von Google erhaltenen Daten

Konkret und unbeschadet des Vorstehenden verpflichten wir uns in Bezug auf die mittels Google-Berechtigungen erhaltenen Daten zu Folgendem:

• Wir verwenden sie ausschließlich, um die für den Nutzer sichtbaren Funktionen zur Sicherheitsanalyse von E-Mails bereitzustellen und zu verbessern.
• Wir übertragen sie nicht an Werbeplattformen, Datenhändler oder Wiederverkäufer von Informationen.
• Wir verwenden sie nicht für Werbung jeglicher Art oder zur Bonitätsprüfung oder Kreditvergabe.
• Wir verwenden sie nicht und geben sie nicht weiter, um allgemeine Modelle künstlicher Intelligenz oder des maschinellen Lernens zu erstellen, zu trainieren oder zu verbessern. Den von uns eingesetzten KI-Anbietern ist es vertraglich untersagt, unsere Daten zum Training ihrer Modelle zu verwenden.
• Kein Mensch liest diese Daten, außer in den in Abschnitt 13 abschließend beschriebenen Fällen.
• Wir teilen sie nur mit Dienstleistern, die vertraglich als Unterauftragsverarbeiter tätig sind, soweit dies für die Erbringung des Dienstes unbedingt erforderlich ist, oder wenn dies gesetzlich vorgeschrieben ist.

8. Zwecke und Rechtsgrundlagen

9. Einsatz künstlicher Intelligenz

Das Urteil von Integrasec wird von einem Modell künstlicher Intelligenz abgegeben. Zur Transparenz:

• Was an das Modell gesendet wird: Betreff, Nachrichtentext, Absender, technische Header, Links, aus den Anhängen extrahierter Text, eingebettete Bilder, wenn dies zur Erkennung visueller Betrugsversuche oder von QR-Codes erforderlich ist, sowie das Kontextprofil der Organisation.
• Was nicht an das Modell gesendet wird: der Verdachtsgrund und der Kommentar, den der Nutzer verfasst. Diese werden bewusst ausgeschlossen, damit die vorgefasste Meinung des Nutzers die technische Analyse nicht beeinflusst.
• Wo die Verarbeitung erfolgt: auf der Infrastruktur von Google Cloud Vertex AI innerhalb der Europäischen Union. Die Analyse erfolgt über den multiregionalen EU-Endpunkt, für den Google gewährleistet, dass die Daten ausschließlich in Mitgliedstaaten der Europäischen Union (ausgenommen Vereinigtes Königreich und Schweiz) gespeichert und verarbeitet werden. Die Suche nach ähnlichen Fällen erfolgt in der Region europe-west1 (Belgien).
• Training: Die übermittelten Daten werden nicht zum Training oder zur Verbesserung der Modelle des Anbieters verwendet. Vertex AI verwendet die Daten seiner Geschäftskunden nicht zu diesem Zweck.
• Speicherung beim Anbieter: Der KI-Anbieter speichert die Daten nicht dauerhaft für eigene Zwecke; die Verarbeitung erfolgt punktuell und ist darauf ausgerichtet, das Ergebnis zurückzugeben.
• Kontinuität: Ist das Hauptmodell zu einem bestimmten Zeitpunkt nicht verfügbar, kann die Anfrage mit einem anderen Modell desselben Anbieters wiederholt werden, stets innerhalb der Europäischen Union.

9.1. Zu automatisierten Entscheidungen

Das Urteil von Integrasec ist eine technische Sicherheitsempfehlung zu einer Nachricht, keine Entscheidung über eine Person. Es entfaltet keine rechtliche Wirkung und beeinträchtigt die Nutzer nicht erheblich im Sinne von Artikel 22 DSGVO: Es bestimmt nicht über den Zugang zu einer Beschäftigung, einem Kredit oder einer Dienstleistung und wird nicht verwendet, um die Leistung von Beschäftigten zu bewerten, zu sanktionieren oder zu überwachen. Die Kundenorganisation behält jederzeit die Möglichkeit, jedes Urteil über das Panel zu überprüfen, zu korrigieren und aufzuheben.

10. Empfänger und Dienstleister

Wir verkaufen keine personenbezogenen Daten. Wir teilen sie ausschließlich mit den Dienstleistern, die zur Erbringung des Dienstes erforderlich sind und die alle durch Auftragsverarbeitungsverträge gemäß Artikel 28 DSGVO gebunden sind:

Wenn unser Server einen Link aus der Nachricht aufruft, um herauszufinden, wohin er führt (Abschnitt 4), erhält die aufgerufene Website diesen Aufruf so, wie sie ihn von jedem Browser erhalten würde: die angeforderte Adresse und die IP-Adresse unseres Servers, niemals die des Nutzers. Enthält der Link eine vom Absender gesetzte Kennung, kann die aufgerufene Website daraus schließen, dass jemand ihn geöffnet hat. Wir senden keine weiteren Daten an diese Websites.

Darüber hinaus können wir Daten an Gerichte, Sicherheitskräfte und -behörden und öffentliche Verwaltungen weitergeben, wenn eine gesetzliche Verpflichtung oder ein gültiges Ersuchen besteht, sowie an unsere der Verschwiegenheitspflicht unterliegenden professionellen Berater.

11. Internationale Übermittlungen

Nahezu die gesamte Verarbeitung erfolgt auf Servern in der Europäischen Union, einschließlich der Analyse durch künstliche Intelligenz. Es bestehen die folgenden punktuellen Ausnahmen. Keine von ihnen übergibt den Text oder die Anhänge der analysierten Kommunikation einem Dienstleister zur Verarbeitung:

• Google Firebase Authentication: Der Dienst, mit dem sich die Nutzer des Verwaltungspanels anmelden, wird aus den Vereinigten Staaten erbracht. Er verarbeitet ihre E-Mail-Adresse und ihre Zugangsdaten (das verschlüsselt und irreversibel gespeicherte Passwort oder die Identität der Anmeldung mit Google oder Microsoft). Er betrifft weder die Beschäftigten, die lediglich E-Mails melden, noch den Inhalt irgendeiner Nachricht.
• Google Web Risk: Es werden die in der Nachricht gefundenen URLs abgefragt.
• WHOIS-Register: Es werden die Domainnamen des Absenders und der Links abgefragt, um ihr Alter und ihre Inhaberschaft zu ermitteln. Die Abfrage richtet sich an den jeweiligen Registrar, der sich außerhalb der Europäischen Union befinden kann. Es werden keine weiteren Daten des Nutzers oder der Nachricht übermittelt.
• Verlinkte Websites: Die in Abschnitt 10 beschriebenen Prüfaufrufe richten sich an den Server, auf dem die jeweilige Website gehostet wird und der sich in jedem beliebigen Land befinden kann.
• Gmail-Add-on: Es wird in Google Apps Script ausgeführt, der Infrastruktur von Google, auf der die Gmail-Add-ons laufen. Die gemeldete Nachricht durchläuft diese auf dem Weg zu unserem Server unter dem Google-Workspace-Konto des Nutzers selbst, und Google garantiert für diesen Dienst keine bestimmte Region.

Die Dateianhänge werden an keinen externen Analysedienst gesendet und in keiner Datenbank Dritter abgefragt: Ihre Prüfung erfolgt vollständig lokal, und von ihnen wird nur der kryptografische Hashwert (SHA-256) innerhalb unserer eigenen europäischen Infrastruktur gespeichert.

Diese Abfragen sind durch die in Kapitel V DSGVO vorgesehenen Garantien abgesichert, mittels von der Europäischen Kommission genehmigter Standardvertragsklauseln und, soweit anwendbar, des Beitritts zum EU-U.S. Data Privacy Framework. Sie können eine Kopie dieser Garantien unter der in Abschnitt 18 angegebenen Adresse anfordern.

Unsere Hosting- und E-Mail-Dienstleister verarbeiten die Daten in Rechenzentren der Europäischen Union. Da es sich jedoch um Unternehmen mit Muttergesellschaft außerhalb des Europäischen Wirtschaftsraums handelt, kann ein punktueller Fernzugriff von außerhalb der EU zu Zwecken des technischen Supports nicht ausgeschlossen werden. Solche Zugriffe sind durch dieselben Mechanismen des Kapitels V DSGVO sowie durch die ergänzenden Verschlüsselungs- und Zugriffskontrollmaßnahmen des jeweiligen Dienstleisters abgedeckt.

12. Speicherfristen

Nach Beendigung des Vertrags mit einer Kundenorganisation werden ihre Daten innerhalb von 30 Tagen gelöscht oder zurückgegeben, sofern keine gesetzliche Aufbewahrungspflicht besteht. Während der ersten 15 Tage dieses Zeitraums kann die Organisation den Export ihrer Informationen verlangen.

13. Zugriff unseres Personals auf die Daten

Grundsätzlich gilt: Unser Personal greift nicht auf den Inhalt der analysierten E-Mails zu. Der Zugriff ist auf eine kleine Zahl autorisierter Personen beschränkt und kann nur in den folgenden Fällen erfolgen:

• Mit ausdrücklicher Genehmigung der Kundenorganisation. Der Administrator des Unternehmens gewährt den Zugriff über sein Konfigurationspanel und wählt, für wie lange (von 3 Stunden bis unbefristet). Die Berechtigung erlischt von selbst mit Ablauf der Frist und kann jederzeit mit sofortiger Wirkung widerrufen werden. Ohne eine solche gültige Genehmigung verhindert das System den Zugriff technisch. In zwei Fällen gilt der Zugriff als dauerhaft gewährt, und so wird es auch im Panel der Organisation angezeigt: wenn die Organisation uns mit dem Management ihrer Sicherheit beauftragt hat, weil der Zugriff Teil des Dienstes selbst ist, und bei Organisationen, die vor dem 21. August 2026 registriert wurden und den Zugriff, den sie hatten, behalten, bis sie ihn ändern oder widerrufen.
• Aus Sicherheitsgründen, um eine aktive Bedrohung, einen Missbrauch der Plattform oder einen Sicherheitsvorfall zu untersuchen.
• Zur Erfüllung einer gesetzlichen Verpflichtung oder um einem gültigen Ersuchen einer zuständigen Behörde nachzukommen.
• In Bezug auf aggregierte und anonymisierte Daten, für interne Vorgänge wie die Qualitätskontrolle oder die Fehlerdiagnose.

Alle Zugriffe werden in einem Audit-Protokoll erfasst, das festhält, wer zugegriffen hat, auf welche Organisation, wann und von welcher IP-Adresse aus – einschließlich der abgelehnten Versuche. Kann der Zugriff aus irgendeinem Grund nicht protokolliert werden, wird er nicht gewährt. Das gesamte autorisierte Personal unterliegt zudem vertraglichen Vertraulichkeitspflichten, die auch nach Beendigung seines Verhältnisses zum Unternehmen fortbestehen.

14. Sicherheitsmaßnahmen

Wir wenden gemäß Artikel 32 DSGVO geeignete technische und organisatorische Maßnahmen an, darunter:

• Verschlüsselung bei der Übertragung mittels TLS und Verschlüsselung der gespeicherten Informationen im Ruhezustand.
• Authentifizierung über einen spezialisierten Identitätsanbieter mit Unterstützung für unternehmensweites Single Sign-On.
• Kryptografische Überprüfung der Identität des Nutzers bei jeder Meldung aus Gmail, die den Missbrauch von Lizenzen durch Identitätsvortäuschung verhindert; in Outlook Prüfung, ob der Nutzer einer Kundenorganisation angehört.
• Strikte Trennung der Daten nach Organisation: Keine Organisation kann auf die Einträge einer anderen zugreifen.
• Rollenbasierte Zugriffskontrolle und Prinzip der minimalen Rechte.
• Schutzvorkehrungen gegen bösartige Inhalte bei der Verarbeitung von Anhängen, mit Größenbeschränkungen und Schutz vor bösartigen komprimierten Dateien.
• Protokollierung von Zugriffen und Aktivitäten sowie regelmäßige Sicherungskopien.

Im Falle einer Verletzung des Schutzes personenbezogener Daten, die ein Risiko für die Rechte und Freiheiten der Personen mit sich bringt, melden wir diese der zuständigen Aufsichtsbehörde und gegebenenfalls den Betroffenen innerhalb der in den Artikeln 33 und 34 DSGVO festgelegten Fristen.

Betrifft die Verletzung Daten, die wir im Auftrag einer Kundenorganisation verarbeiten, melden wir dies dieser unverzüglich und in jedem Fall innerhalb von 72 Stunden, nachdem wir davon Kenntnis erlangt haben, und stellen ihr die erforderlichen Informationen zur Verfügung, damit sie ihre eigenen Meldepflichten erfüllen kann. Sollten uns zu diesem Zeitpunkt nicht alle Einzelheiten vorliegen, übermitteln wir die verfügbaren Informationen und ergänzen sie schrittweise, ohne den Abschluss der Untersuchung abzuwarten.

15. Ihre Rechte

Sie können jederzeit die folgenden Rechte ausüben:

• Auskunft: erfahren, welche Ihrer Daten wir verarbeiten.
• Berichtigung: unrichtige oder unvollständige Daten korrigieren.
• Löschung: die Löschung Ihrer Daten verlangen, wenn sie nicht mehr erforderlich sind.
• Einschränkung: verlangen, dass die Verarbeitung in bestimmten Fällen ausgesetzt wird.
• Widerspruch: Verarbeitungen widersprechen, die auf unserem berechtigten Interesse beruhen.
• Datenübertragbarkeit: Ihre Daten in einem strukturierten und gängigen Format erhalten.
• Widerruf der Einwilligung jederzeit, ohne dass dies die Rechtmäßigkeit der vorherigen Verarbeitung berührt.

Um sie auszuüben, schreiben Sie an administracion@integrasec.net unter Angabe des Rechts, das Sie ausüben möchten. Wir können Sie auffordern, Ihre Identität nachzuweisen. Wir antworten innerhalb eines Monats; diese Frist kann um zwei weitere Monate verlängert werden, wenn der Antrag besonders komplex ist.

15.1. Wie Sie den Zugriff widerrufen und das Add-on deinstallieren

Sie können die bei der Installation des Add-ons erteilten Berechtigungen jederzeit entziehen, ohne uns kontaktieren zu müssen und ohne Begründung:

• Google: unter myaccount.google.com/permissions, indem Sie Integrasec auswählen und den Zugriff entziehen. Für eine vollständige Deinstallation über den Google Workspace Marketplace oder, falls Ihre Organisation es eingeführt hat, indem Sie dies bei Ihrem Administrator beantragen.
• Microsoft: über Add-Ins abrufen in Outlook, auf der Registerkarte der installierten Add-ins, oder über den Microsoft-365-Administrator Ihrer Organisation.

Mit dem Widerruf des Zugriffs verliert die Berechtigung sofort ihre Gültigkeit, und das Add-on kann keine Nachricht mehr lesen. Bereits durchgeführte Analysen werden nicht automatisch gelöscht: Sie verbleiben im Panel Ihrer Organisation, bis die Speicherfrist gemäß Abschnitt 12 abläuft, weil sie der Kundenorganisation und nicht dem einzelnen Nutzer zustehen. Wenn Sie möchten, dass sie früher gelöscht werden, wenden Sie sich an Ihre Organisation oder schreiben Sie uns an die Adresse in Abschnitt 18.

16. Minderjährige

Integrasec ist ein Dienst, der sich an Organisationen und berufliche Nutzer richtet. Er ist weder für Minderjährige unter 14 Jahren konzipiert noch bestimmt, und wir erheben ihre Daten nicht wissentlich. Stellen wir fest, dass wir Daten eines Minderjährigen ohne gültige Rechtsgrundlage verarbeitet haben, löschen wir diese unverzüglich.

17. Änderungen dieser Erklärung

Wir können diese Erklärung aktualisieren, um Änderungen des Dienstes oder der anwendbaren Vorschriften widerzuspiegeln. Die geltende Fassung wird stets unter dieser Adresse veröffentlicht, unter Angabe ihres Datums der letzten Aktualisierung. Nehmen wir wesentliche Änderungen vor, die sich erheblich auf die Verarbeitung Ihrer Daten auswirken, teilen wir dies mit angemessenem Vorlauf per E-Mail oder durch einen deutlich sichtbaren Hinweis im Panel mit.

18. Kontakt und Beschwerden

Für alle Fragen zu dieser Erklärung oder zur Verarbeitung Ihrer Daten:

Wenn Sie der Ansicht sind, dass wir Ihren Antrag nicht ordnungsgemäß bearbeitet haben, haben Sie das Recht, eine Beschwerde bei der Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid — www.aepd.es) oder bei der Aufsichtsbehörde Ihres Wohnorts einzureichen.