Datenschutzerklärung

1. Verantwortlicher

Unternehmen

ARO Advisory Services

Verantwortlicher

Arvid Rosinski

Anschrift

Glogauer Straße 44
85276 Pfaffenhofen an der Ilm
Deutschland

E-Mail

info@aro-security.de

Telefon

+49 172 8042357

2. Umfang des Online-Angebots

Diese Website umfasst derzeit insbesondere die öffentliche Hauptseite von ARO Advisory Services, den informellen Cyber-Notfall-Bereich („Panic Button“ / „Digitale Notaufnahme“) sowie die Web-App „Sicherheitskonzept“. Die Verarbeitung personenbezogener Daten unterscheidet sich je nach genutztem Bereich deutlich. Deshalb werden die einzelnen Verarbeitungssituationen nachfolgend getrennt beschrieben.

3. Aufruf der Website und technische Bereitstellung

Beim Aufruf der Website werden technisch erforderliche Daten verarbeitet, um die Seiten auszuliefern, die Stabilität und Sicherheit des Betriebs sicherzustellen und Missbrauch oder Störungen nachzuvollziehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in der sicheren, performanten und funktionsfähigen Bereitstellung des Online-Angebots.

Je nach Hosting- und Serverkonfiguration können dabei insbesondere folgende Daten in Protokolldateien verarbeitet werden:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• aufgerufene Datei oder Seite
• übertragene Datenmenge
• Browsertyp und Browserversion
• verwendetes Betriebssystem
• Referrer-URL, sofern vom Browser übermittelt

Diese Daten dienen ausschließlich der technischen Bereitstellung, Fehleranalyse und Absicherung der Website. Eine Nutzung zu Werbe- oder Profilbildungszwecken erfolgt nach aktuellem Stand nicht.

4. Cyber-Notfall-Bereich („Panic Button“)

Der Cyber-Notfall-Bereich dient der informellen Erstorientierung in den ersten Minuten eines Vorfalls. Nach aktuellem Stand handelt es sich dabei um eine inhaltsgetriebene Website-Funktion mit Auswahlfeldern und dynamischen Textdarstellungen im Browser. Eine eigenständige serverseitige Fallbearbeitung, Mandatierung, forensische Bewertung oder regulatorische Freigabe findet darüber nicht statt.

Soweit Sie diesen Bereich lediglich aufrufen und darin navigieren, gelten datenschutzrechtlich im Wesentlichen die allgemeinen Angaben zur technischen Bereitstellung dieser Website. Eine zusätzliche Übermittlung Ihrer Eingaben an mich oder an externe Dritte erfolgt über diesen Bereich nach aktuellem Stand nicht automatisch.

5. Kontaktaufnahme per E-Mail oder Signal

Diese Website enthält derzeit kein eingebettetes Kontaktformular. Eine Kontaktaufnahme erfolgt über die angegebene E-Mail-Adresse oder über den bereitgestellten Signal-Kontakt.

Wenn Sie per E-Mail oder Signal Kontakt aufnehmen, verarbeite ich die von Ihnen übermittelten Angaben zur Bearbeitung Ihres Anliegens, zur Vorbereitung einer Zusammenarbeit, zur Beantwortung von Rückfragen oder zur Durchführung vorvertraglicher beziehungsweise vertraglicher Maßnahmen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um die Anbahnung oder Durchführung einer Zusammenarbeit geht, und ergänzend Art. 6 Abs. 1 lit. f DSGVO für die allgemeine Kommunikationsbearbeitung.

Welche Daten dabei verarbeitet werden, hängt vom gewählten Kommunikationsweg und vom Inhalt Ihrer Nachricht ab. Dies können insbesondere Name, Kontaktdaten, Unternehmensbezug, Inhaltsdaten Ihrer Nachricht, Terminwünsche und etwaige Anlagen sein.

6. Web-App „Sicherheitskonzept“: lokale Verarbeitung im Browser

Die Web-App „Sicherheitskonzept“ ist so angelegt, dass der fachliche Kern der Anwendung nach aktuellem Stand lokal in Ihrem Browser ausgeführt wird. Projektdaten, Antworten aus dem geführten Konzept, Angaben zu Assets, Komponenten, Datenflüssen, Bewertungen, Review-Notizen, Hash-Werte, Audit-Einträge, Exporteinstellungen und ähnliche Arbeitsstände werden in der Regel lokal im Browser gespeichert, insbesondere im lokalen Browserspeicher.

Das bedeutet: Wenn Sie die App ohne externe KI-Funktionen nutzen, werden die von Ihnen eingegebenen Inhalte nach aktuellem Stand nicht automatisch an mich übertragen. Die Verarbeitung dient dann dazu, die von Ihnen gewünschte App-Funktion bereitzustellen, Zwischenstände lokal fortzuführen, Eingaben nachvollziehbar zu dokumentieren und exportfähige Ergebnisdokumente zu erzeugen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Bereitstellung der von Ihnen aufgerufenen Funktion erfolgt, sowie ergänzend Art. 6 Abs. 1 lit. f DSGVO für Integrität, Nachvollziehbarkeit und technische Stabilität der Anwendung.

Bitte beachten Sie: Wenn Sie ein gemeinsam genutztes Gerät verwenden oder Ihren Browser nicht bereinigen, können lokal gespeicherte Projektinhalte auf diesem Gerät verbleiben, bis sie von Ihnen gelöscht oder überschrieben werden.

7. Import-, Export- und Download-Funktionen

Die App bietet Funktionen zum lokalen Import und Export, insbesondere für Projektstände, Markdown-Dokumente, HTML-/PDF-Ausgaben, JSON-Daten und andere Ergebnisartefakte. Wenn Sie diese Funktionen verwenden, werden die von Ihnen ausgewählten Dateien lokal in Ihrem Browser gelesen oder auf Ihrem Gerät erzeugt.

Die Verarbeitung dient ausschließlich der von Ihnen ausgelösten Funktion. Eine automatische Übermittlung dieser Inhalte an mich erfolgt hierdurch nach aktuellem Stand nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Im Rahmen der App können außerdem Integritäts- und Nachvollziehbarkeitsinformationen wie Hash-Werte, Audit-Einträge oder Exportkennungen erzeugt und lokal gespeichert werden. Diese dienen der Dokumentation, Wiederauffindbarkeit und Nachvollziehbarkeit von Bearbeitungsständen, nicht einer eigenständigen Personenprofilbildung.

8. Optionale KI-Funktionen und eigene Modell-API-Keys

Die App kann optional KI-Funktionen bereitstellen, etwa zur Strukturierung, Ergänzung, Review-Unterstützung oder Generierung von Textbausteinen für ein Sicherheitskonzept. Diese Funktionen sind nach aktuellem Stand nicht zwingend für die Grundnutzung erforderlich.

Wenn Sie eigene Modell-API-Keys hinterlegen und eine KI-Funktion aktiv auslösen, sendet Ihr Browser die dafür erforderlichen Inhalte direkt an den von Ihnen ausgewählten Modellanbieter oder an eine von Ihnen selbst konfigurierte Proxy- beziehungsweise Base-URL. Nach dem aktuellen technischen Stand werden dafür insbesondere OpenAI, Anthropic und Mistral unterstützt; zusätzlich kann eine eigene Zieladresse konfiguriert werden.

Datenschutzrechtlich ist dabei besonders wichtig:

• Eine Übermittlung an einen Modellanbieter erfolgt nicht allein durch den Aufruf der Website, sondern erst durch Ihre aktive Nutzung der jeweiligen KI-Funktion.
• Welche Inhalte übermittelt werden, hängt von Ihren Eingaben und vom verwendeten Funktionsaufruf ab. Das können projektbezogene Beschreibungen, Architektur- oder Sicherheitsangaben, Antworten aus dem Frageprozess und andere von Ihnen freigegebene Kontextinformationen sein.
• Eigene API-Keys werden nach aktuellem Stand browserseitig verschlüsselt gespeichert. Die Entschlüsselung erfolgt lokal nach Eingabe einer Passphrase; die Passphrase selbst wird nicht dauerhaft gespeichert.
• Ich erhalte Ihren API-Key nicht automatisch allein dadurch, dass Sie ihn in der App hinterlegen.
• Wenn Sie eine eigene Proxy- oder Base-URL eintragen, kann die Datenübermittlung an einen anderen, von Ihnen festgelegten Empfänger erfolgen. Für diese Auswahl und deren datenschutzrechtliche Zulässigkeit sind die von Ihnen gesetzten Rahmenbedingungen maßgeblich.

Rechtsgrundlage für die Bereitstellung dieser optional aktivierten Funktion ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie die Funktion gezielt zur Bearbeitung Ihres Anliegens nutzen. Soweit dabei besondere Vertraulichkeitsanforderungen, Berufsgeheimnisse, interne Restriktionen oder Drittbezüge betroffen sind, sollten Sie vor Nutzung der KI-Funktion eigenverantwortlich prüfen, ob die Übermittlung an den gewählten Anbieter zulässig ist. Die konkrete datenschutzrechtliche Rolle des gewählten Modellanbieters und die dortige Weiterverarbeitung richten sich nach dem von Ihnen ausgewählten Anbieter, Ihrem dortigen Nutzungsverhältnis und gegebenenfalls zusätzlich vereinbarten Datenschutzbedingungen.

9. Empfänger und mögliche Drittlandbezüge

Empfänger personenbezogener Daten können je nach Nutzungssituation insbesondere sein:

• technische Hosting- oder Infrastruktur-Dienstleister für die Bereitstellung der Website, soweit dies betrieblich erforderlich ist,
• E-Mail- oder Telekommunikationsdienstleister bei einer direkten Kontaktaufnahme,
• Signal als von Ihnen gewählter Kommunikationsweg, sofern Sie diesen Kontaktkanal nutzen,
• der von Ihnen aktiv ausgewählte Modellanbieter oder eine von Ihnen konfigurierte Proxy-/Base-URL bei Nutzung optionaler KI-Funktionen.

Insbesondere bei der Nutzung externer Modellanbieter oder selbst konfigurierter Proxy-Dienste kann eine Verarbeitung außerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums nicht ausgeschlossen werden. Ob und in welchem Umfang ein solcher Drittlandbezug entsteht, hängt vom konkret gewählten Anbieter, Ihrem dortigen Konto und der technischen Zieladresse ab.

10. Cookies, Tracking und Reichweitenmessung

Diese Website verwendet nach aktuellem Stand keine eingebetteten externen Tracking-, Analyse- oder Marketingdienste. Es werden keine Cookies zu Analyse- oder Werbezwecken eingesetzt. Soweit der Browser lokale Speichermechanismen für die Funktion der Web-App nutzt, geschieht dies funktionsbezogen und nicht für werbliche Profilbildung.

11. Speicherdauer

Technische Logdaten werden nur so lange gespeichert, wie dies für den sicheren Betrieb, die Fehleranalyse und die Missbrauchserkennung erforderlich ist. Inhalte aus Kontaktaufnahmen speichere ich nur so lange, wie dies zur Bearbeitung des Anliegens, zur Anbahnung oder Durchführung einer Zusammenarbeit oder zur Erfüllung gesetzlicher Aufbewahrungspflichten erforderlich ist.

Lokal im Browser gespeicherte Inhalte der Web-App bleiben grundsätzlich so lange auf Ihrem Gerät gespeichert, bis Sie diese selbst löschen, überschreiben, Ihren Browser bereinigen oder lokale Speicherstände anderweitig entfernen. Exportierte Dateien verbleiben auf dem von Ihnen gewählten Speicherort, bis Sie diese selbst löschen.

12. Datensicherheit

Ich treffe angemessene technische und organisatorische Maßnahmen, um personenbezogene Daten entsprechend dem Risiko zu schützen. Dazu gehören nach aktuellem Stand insbesondere Maßnahmen zur technischen Absicherung des Webangebots sowie bei der Sicherheitskonzept-App browserseitige Schutzmechanismen, lokale Speicherung und verschlüsselte Ablage optional hinterlegter API-Keys.

13. Betroffenenrechte

Sie haben nach Maßgabe der gesetzlichen Vorschriften das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gegen bestimmte Verarbeitungen. Sofern eine Verarbeitung auf einer Einwilligung beruhen sollte, kann diese jederzeit mit Wirkung für die Zukunft widerrufen werden.

14. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Für private Unternehmen in Bayern ist insbesondere das Bayerische Landesamt für Datenschutzaufsicht zuständig.

15. Pflicht zur Bereitstellung von Daten

Die Bereitstellung technisch erforderlicher Daten ist für den Aufruf der Website notwendig. Ohne diese Daten kann die Website nicht ausgeliefert werden. Eine gesetzliche oder vertragliche Pflicht, mit mir Kontakt aufzunehmen, die Sicherheitskonzept-App zu nutzen oder externe KI-Funktionen mit eigenen API-Keys zu aktivieren, besteht nicht. Wenn Sie bestimmte Angaben innerhalb der App nicht machen, können einzelne Funktionen oder Auswertungen allerdings inhaltlich eingeschränkt sein.

16. Stand dieser Datenschutzerklärung

Stand: 3. Juli 2026.