Datenschutzerklärung

Stand: 23. August 2026

Maßgeblich ist diese deutsche Fassung. Eine englische Übersetzung steht zur Information bereit; bei Abweichungen gilt die deutsche Fassung.

Diese Datenschutzerklärung klärt Sie über die Art, den Umfang und Zweck der Verarbeitung von personenbezogenen Daten (nachfolgend „Daten") innerhalb dieses Onlineangebots und der mit ihm verbundenen Webseiten, Funktionen und Inhalte (nachfolgend gemeinsam bezeichnet als „Onlineangebot") auf. Maßgeblich ist die Datenschutz-Grundverordnung (DSGVO) sowie ergänzend das Bundesdatenschutzgesetz (BDSG).

1. Verantwortlicher

KernelScan UG (haftungsbeschränkt)
Silcherstrasse 25
72631 Aichtal, Deutschland
E-Mail: info@kernelscan.io

Vollständige Kontaktdaten siehe Impressum.

2. Übersicht der Verarbeitungen

Wir verarbeiten folgende Kategorien personenbezogener Daten:

3. Keine Tracking-Cookies, keine Werbe-Tools

Die Anwendung selbst setzt keine HTTP-Cookies. Für die Authentifizierung angemeldeter Nutzer werden ausschließlich Tokens (Access- und Refresh-Token) im localStorage des Browsers gespeichert. Diese Speicherung ist für die Bereitstellung des vom Nutzer ausdrücklich gewünschten Dienstes „unbedingt erforderlich" im Sinne des § 25 Abs. 2 Nr. 2 TDDDG und daher einwilligungsfrei. Im Rahmen des Sicherheits- und Verfügbarkeitsbetriebs kann unser CDN-/Sicherheitsanbieter Cloudflare in Einzelfällen ein unbedingt erforderliches Sicherheits-Cookie (cf_clearance) setzen, wenn eine manuelle Sicherheitsprüfung ausgelöst wurde; Details siehe Abschnitt 4.2.

Wir verwenden kein Google Analytics, keine Tracking-Pixel, keine Werbe-Cookies und keine externen CDNs für Schriftarten oder Skripte. Schriftarten werden lokal von unserem Server ausgeliefert. Beim Aufruf der Seite werden keine Daten an Werbenetzwerke, Analyse-Anbieter oder Schriftart-CDNs (z. B. Google Fonts) übertragen.

Produktnews als einzige Werbung. Die einzige werbliche Ansprache durch uns ist der ausdrücklich abonnierte E-Mail-Newsletter mit Produktnews (Abschnitt 5). Auch dieser kommt ohne Tracking aus: Die Nachrichten enthalten keine Zählpixel, Öffnungs- und Klickraten werden nicht gemessen, und es wird daraus kein Nutzungsprofil gebildet.

Hinweis zum Auslieferungspfad. Unsere Domain wird über das globale Edge-Netzwerk von Cloudflare ausgeliefert (CDN, Web Application Firewall, DDoS-Schutz). Cloudflare verarbeitet dabei für jede eingehende Anfrage Verbindungsmetadaten. Die hierfür maßgeblichen Angaben — einschließlich Rechtsgrundlage, Drittlandübermittlung in die USA und Auftragsverarbeitungsvertrag — finden Sie in Abschnitt 4.2.

Selbst-gehostete Reichweitenmessung. Wir protokollieren auf eigenen Servern Login-Sitzungen, hochgeladene Konfigurationen und Seitenaufrufe öffentlicher Seiten. Das Land wird offline aus einer lokalen MaxMind-GeoLite2-Datenbank ermittelt — ohne Aufruf einer externen Schnittstelle. IP-Adressen werden nach 30 Tagen anonymisiert (letztes Oktett bzw. letzte 80 Bit auf 0). Anonyme Besucher werden nicht über Sitzungen hinweg verfolgt, da hierfür weder Cookies noch andere Identifikatoren gesetzt werden.

4. Auftragsverarbeiter und Weitergabe an Dritte

Eine Übermittlung Ihrer personenbezogenen Daten an Dritte findet nicht statt, außer

• wenn Sie ausdrücklich eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO),
• zur Erfüllung rechtlicher Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO),
• an die nachfolgend genannten technischen Auftragsverarbeiter gemäß Art. 28 DSGVO.

4.1 Hosting — IONOS SE (Deutschland)

Anbieter: IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland. Auf den Servern von IONOS werden die Anwendung sowie die zugehörige Datenbank betrieben. Verarbeitet werden daher sämtliche in Abschnitt 2 genannten Datenkategorien. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem zuverlässigen Betrieb des Onlineangebots). Mit IONOS besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO. Die Verarbeitung erfolgt ausschließlich innerhalb der Europäischen Union; eine Übermittlung in Drittländer findet im Rahmen des Hostings nicht statt.

4.2 CDN, WAF und DDoS-Schutz — Cloudflare

Anbieter: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA; in der Europäischen Union vertreten durch Cloudflare Germany GmbH, Rosental 7, c/o Mindspace, 80331 München. Beim Aufruf unserer Seiten werden Verbindungsmetadaten — insbesondere IP-Adresse, angeforderte URL, Zeitstempel, HTTP-Methode, User-Agent und Referrer — am globalen Edge-Netzwerk von Cloudflare verarbeitet. Cloudflare übernimmt für uns das Caching statischer Inhalte (Content Delivery Network, CDN), die Filterung bösartigen Datenverkehrs (Web Application Firewall, WAF) sowie den Schutz vor Distributed-Denial-of-Service-Angriffen (DDoS).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verfügbarkeit, Integrität und Sicherheit des Onlineangebots). Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO einschließlich der EU-Standardvertragsklauseln. Cloudflare, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert; die Übermittlung personenbezogener Daten in die USA stützt sich auf den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (DPF). Bot-Erkennungsdienste (Bot Fight Mode, Bot Management) sind in unserer Cloudflare-Konfiguration deaktiviert. Lediglich bei einer manuell ausgelösten Sicherheitsprüfung kann Cloudflare ein unbedingt erforderliches Cookie (cf_clearance) setzen; dessen Speicherung ist gemäß § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Weitere Informationen: Cloudflare-Datenschutzerklärung.

5. Produktnews per E-Mail

Produktnews zu KernelScan — etwa neue Funktionen, erweiterte Kernel-Abdeckung und gelegentliche Fachbeiträge zur Kernel-Sicherheit — versenden wir ausschließlich an Empfänger, die uns dies zuvor ausdrücklich erlaubt haben (Opt-in). Das entsprechende Kontrollkästchen bei der Registrierung ist voreingestellt nicht angehakt; es ist von der Zustimmung zu den AGB getrennt und für die Nutzung des Dienstes nicht erforderlich. Verarbeitet wird zu diesem Zweck Ihre E-Mail-Adresse. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, ergänzend § 7 Abs. 2 Nr. 2 UWG.

Abgrenzung zu Service-Nachrichten. Hiervon zu unterscheiden sind Service-Nachrichten, die zur Durchführung des Vertrags erforderlich sind: insbesondere Sicherheitshinweise, Störungs- und Wartungsmeldungen, Ankündigungen technischer Änderungen und der Einstellung von Funktionen, Änderungen der AGB oder dieser Datenschutzerklärung sowie der von Ihnen für ein Produkt aktivierte tägliche CVE-Report. Diese Nachrichten senden wir auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, bei gesetzlichen Meldepflichten auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO — also unabhängig davon, ob Sie in Produktnews eingewilligt haben. Werbliche Inhalte und Service-Nachrichten vermischen wir nicht in derselben E-Mail.

Widerruf. Sie können Ihre Einwilligung jederzeit und ohne Angabe von Gründen widerrufen — über den Schalter für Produktnews in Ihren Kontoeinstellungen oder über den Abmeldelink, den jede Produktnews-E-Mail enthält. Der Widerruf ist damit ebenso einfach wie die Erteilung der Einwilligung. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO). Nach dem Widerruf erhalten Sie keine Produktnews mehr; Service-Nachrichten und ein etwaiger CVE-Report laufen unverändert weiter.

Nachweis der Einwilligung und Speicherdauer. Art. 7 Abs. 1 DSGVO verpflichtet uns, eine erteilte Einwilligung nachweisen zu können. Wir protokollieren deshalb jede Erteilung und jeden Widerruf mit folgenden Angaben: E-Mail-Adresse, Art der Erklärung (Erteilung oder Widerruf), Zeitpunkt, Stelle, an der die Erklärung abgegeben wurde (Registrierung, Kontoeinstellungen oder Abmeldelink), Fassung des Einwilligungstextes sowie IP-Adresse und Browser-Kennung (User-Agent) des dabei verwendeten Geräts. Rechtsgrundlage dieser Protokollierung ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO. Der Nachweis muss auch nach einem Widerruf erhalten bleiben — gerade der Widerruf ist belegbar zu halten. Die Protokolle sind Ihrem Nutzerkonto zugeordnet und werden mit dessen Löschung ebenfalls gelöscht. Haben Sie nie eingewilligt, existiert zu Ihrem Konto kein solcher Eintrag; das Fehlen eines Eintrags ist zugleich der Beleg dafür, dass keine Einwilligung vorliegt.

6. Ihre Rechte als betroffene Person

Ihnen stehen folgende Rechte zu:

• Auskunft (Art. 15 DSGVO): Sie können Auskunft über die von uns verarbeiteten Daten verlangen.
• Berichtigung (Art. 16 DSGVO): Sie können unrichtige Daten berichtigen lassen.
• Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen. Sie können Ihren Account jederzeit selbst über die Kontoeinstellungen löschen; dabei werden Ihr Nutzerkonto sowie alle zugeordneten API-Keys und Verifizierungstokens unwiderruflich entfernt.
• Einschränkung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten.
• Widerspruch (Art. 21 Abs. 1 DSGVO): Sie können einer Verarbeitung, die wir auf ein berechtigtes Interesse stützen, aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben.
• Widerspruch gegen Direktwerbung (Art. 21 Abs. 2 DSGVO): Sie können der Verarbeitung Ihrer Daten zum Zwecke der Direktwerbung jederzeit und ohne Angabe von Gründen widersprechen. Dieses Recht ist unbedingt; eine Abwägung mit unseren Interessen findet nicht statt. Nach Ihrem Widerspruch verarbeiten wir Ihre Daten nicht mehr zu Werbezwecken. Für unsere Produktnews (Abschnitt 5) genügt dafür der Schalter in Ihren Kontoeinstellungen oder der Abmeldelink in der jeweiligen E-Mail; Sie können den Widerspruch aber auch formlos an info@kernelscan.io richten.
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): Sofern die Verarbeitung auf Einwilligung beruht, können Sie diese jederzeit widerrufen.

7. Beschwerderecht bei der Aufsichtsbehörde

Sie haben gemäß Art. 77 DSGVO das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Zuständig für uns ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW)
Lautenschlagerstraße 20
70173 Stuttgart, Deutschland
www.baden-wuerttemberg.datenschutz.de

8. Keine automatisierte Entscheidungsfindung, kein Profiling

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO einschließlich Profiling findet nicht statt. Die im Dienst erzeugten CVE-Analysen stellen eine technische Auswertung Ihrer hochgeladenen Kernel-Konfiguration gegen eine öffentliche Schwachstellendatenbank dar und haben keine rechtliche Wirkung Ihnen gegenüber.

9. Datensicherheit

Wir verwenden TLS-Verschlüsselung (HTTPS) zur Übertragung aller Daten zwischen Ihrem Browser und unserem Server. Passwörter werden ausschließlich als kryptographische Hashes gespeichert. Der Zugriff auf die Datenbank ist auf autorisierte Administratoren beschränkt.

10. Meldung von Datenpannen

Im Falle einer Verletzung des Schutzes personenbezogener Daten benachrichtigen wir gemäß Art. 33 DSGVO die zuständige Aufsichtsbehörde innerhalb von 72 Stunden, nachdem uns die Verletzung bekannt geworden ist — es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.

Hat die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten der betroffenen Personen zur Folge, benachrichtigen wir Sie zusätzlich gemäß Art. 34 DSGVO unverzüglich direkt — in der Regel per E-Mail an die in Ihrem Konto hinterlegte Adresse. Die Mitteilung beschreibt in klarer und einfacher Sprache die Art der Verletzung, die voraussichtlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Eindämmung möglicher nachteiliger Auswirkungen.

11. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung.

Privacy Policy

Last updated: 23 August 2026

The German version of this privacy policy is the legally binding one. This English text is provided for convenience; in case of discrepancies, the German version prevails.

This privacy policy informs you of the nature, scope, and purpose of the processing of personal data (hereinafter „data") within this online offer and the associated websites, features, and content. It is based on the EU General Data Protection Regulation (GDPR) and, in addition, the German Federal Data Protection Act (BDSG).

1. Controller

KernelScan UG (haftungsbeschränkt)
Silcherstrasse 25
72631 Aichtal, Germany
Email: info@kernelscan.io

Full contact details are listed in the Imprint.

2. Data we process

3. No tracking cookies, no advertising tools

The application itself does not set HTTP cookies. For authentication of logged-in users, only short-lived tokens (access and refresh) are stored in the browser's localStorage. This storage is strictly necessary to provide the service the user has explicitly requested and is therefore exempt from consent under § 25(2)(2) TDDDG. As part of the security and availability layer, our CDN/security provider Cloudflare may set a strictly necessary security cookie (cf_clearance) when a security check has been manually triggered — see section 4.2.

We use no Google Analytics, no tracking pixels, no advertising cookies, and no third-party CDNs for fonts or scripts. All fonts are self-hosted; no data is transmitted to advertising networks, analytics providers, or font CDNs (e.g. Google Fonts) when you load a page.

Product news is the only advertising. The only promotional communication we send is the opt-in product-news email you explicitly subscribed to (section 5). It carries no tracking either: the messages contain no tracking pixels, we do not measure open or click rates, and we build no usage profile from them.

Note on the delivery path. Our domain is served through Cloudflare's global edge network (CDN, Web Application Firewall, DDoS protection). Cloudflare processes connection metadata for every incoming request. Legal basis, US transfer, and the data processing agreement are described in section 4.2.

Self-hosted reach measurement. We log login sessions, uploaded configurations, and public-page views on our own servers. Country is resolved offline from a local MaxMind GeoLite2 database — never from an external API. IP addresses are anonymized after 30 days (last octet / last 80 bits set to zero). Anonymous visitors are not tracked across sessions because we set neither cookies nor any other identifier.

4. Data processors and disclosure to third parties

Your personal data is not shared with third parties, except:

• if you have given explicit consent (Art. 6(1)(a) GDPR);
• to meet legal obligations (Art. 6(1)(c) GDPR);
• with the technical data processors named below, under Art. 28 GDPR.

4.1 Hosting — IONOS SE (Germany)

Provider: IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Germany. The application and its database run on IONOS servers, which means all data categories listed in section 2 are processed there. Legal basis: Art. 6(1)(b) GDPR (contract performance) and Art. 6(1)(f) GDPR (legitimate interest in reliable operation of the service). A data processing agreement (DPA) under Art. 28 GDPR is in place. Processing takes place exclusively within the European Union; the hosting layer involves no transfer to third countries.

4.2 CDN, WAF and DDoS protection — Cloudflare

Provider: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA; represented in the European Union by Cloudflare Germany GmbH, Rosental 7, c/o Mindspace, 80331 Munich. When you access our pages, connection metadata — in particular IP address, requested URL, timestamp, HTTP method, User-Agent, and Referrer — is processed at Cloudflare's global edge network. Cloudflare provides caching of static content (Content Delivery Network, CDN), filtering of malicious traffic (Web Application Firewall, WAF), and protection against Distributed-Denial-of-Service (DDoS) attacks.

Legal basis: Art. 6(1)(f) GDPR (legitimate interest in availability, integrity, and security of the service). A data processing agreement under Art. 28 GDPR, including the EU Standard Contractual Clauses, is in place. Cloudflare, Inc. is certified under the EU-US Data Privacy Framework; transfers to the United States rely on the European Commission's adequacy decision of 10 July 2023 (DPF). Bot detection services (Bot Fight Mode, Bot Management) are disabled in our Cloudflare configuration. Only when a security check is manually triggered may Cloudflare set a strictly necessary cookie (cf_clearance); its storage is exempt from consent under § 25(2)(2) TDDDG. Further information: Cloudflare Privacy Policy.

5. Product news email

We send KernelScan product news — new features, expanded kernel coverage, and the occasional deep-dive on kernel security — only to recipients who have explicitly asked for it (opt-in). The checkbox on the registration form is unticked by default; it is separate from accepting the terms and conditions and is not required in order to use the service. The data processed for this purpose is your email address. Legal basis: your consent under Art. 6(1)(a) GDPR, supplemented by § 7(2) no. 2 UWG (German Act Against Unfair Competition).

Distinction from service messages. Service messages are a separate category: they are necessary to perform the contract and include security advisories, incident and maintenance notices, announcements of breaking technical changes and end-of-life, changes to the terms or to this privacy policy, and the daily CVE digest you enabled for one of your products. We send those under Art. 6(1)(b) GDPR — or Art. 6(1)(c) GDPR where a legal obligation applies — irrespective of whether you consented to product news. We never mix promotional content and service messages in the same email.

Withdrawal. You can withdraw your consent at any time, without giving reasons, via the product-news toggle in your account settings or via the unsubscribe link contained in every product-news email. Withdrawal is therefore as easy as giving consent. The lawfulness of processing carried out before the withdrawal remains unaffected (Art. 7(3) GDPR). After withdrawal you receive no further product news; service messages and any CVE digest continue unchanged.

Consent record and retention. Art. 7(1) GDPR requires us to be able to demonstrate that consent was given. We therefore log every grant and every withdrawal with: the email address, the type of declaration (grant or withdrawal), the time, where it was made (registration, account settings, or unsubscribe link), the version of the consent wording, and the IP address and user agent of the device used. Legal basis for this log: Art. 6(1)(c) GDPR in conjunction with Art. 7(1) GDPR. The record must survive a withdrawal — the withdrawal itself is precisely what has to remain provable. The records are tied to your user account and are deleted together with it. If you never consented, no such record exists for your account; the absence of a record is itself the proof that no consent was given.

6. Your rights

• Access (Art. 15 GDPR)
• Rectification (Art. 16 GDPR)
• Erasure (Art. 17 GDPR): you can delete your account at any time from the account settings. This irrevocably removes your user record along with any associated API keys and verification tokens.
• Restriction (Art. 18 GDPR)
• Data portability (Art. 20 GDPR)
• Objection (Art. 21(1) GDPR): you may object, on grounds relating to your particular situation, to processing we base on a legitimate interest.
• Objection to direct marketing (Art. 21(2) GDPR): you may object to the processing of your data for direct marketing purposes at any time and without giving reasons. This right is unconditional — no balancing against our interests takes place. Once you object, we stop processing your data for those purposes. For our product news (section 5) the toggle in your account settings or the unsubscribe link in the email is sufficient; you may also object informally by writing to info@kernelscan.io.
• Withdrawal of consent (Art. 7(3) GDPR), where processing is based on consent

7. Right to lodge a complaint

Under Art. 77 GDPR, you have the right to lodge a complaint with a supervisory authority. The competent authority for us is:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW)
Lautenschlagerstraße 20
70173 Stuttgart, Germany
www.baden-wuerttemberg.datenschutz.de

8. No automated decision-making, no profiling

No automated decision-making or profiling within the meaning of Art. 22 GDPR takes place. The CVE analyses generated by the service are a technical evaluation of your uploaded kernel configuration against a public vulnerability database and have no legal effect on you.

9. Data security

All data is transmitted between your browser and our server via TLS (HTTPS). Passwords are stored only as cryptographic hashes. Database access is restricted to authorized administrators.

10. Data breach notification

In the event of a personal-data breach, we will notify the competent supervisory authority within 72 hours of becoming aware of the breach, in line with Art. 33 GDPR, unless the breach is unlikely to result in a risk to the rights and freedoms of natural persons.

Where the breach is likely to result in a high risk to the rights and freedoms of affected individuals, we will additionally notify you directly without undue delay in accordance with Art. 34 GDPR — typically by email to the address on file in your account. The notification will describe, in clear and plain language, the nature of the breach, its likely consequences, and the measures taken or proposed to mitigate possible adverse effects.

11. Changes to this privacy policy

We reserve the right to update this privacy policy as needed to reflect current legal requirements. The latest version applies on each new visit.