Zweck
Awareness-Ziel und Nutzung der Ergebnisse vorab bestimmen.
Datenschutz bei Phishing-Simulationen
Datenschutz bei Phishing-Simulationen von Anfang an planen.
Für eine Phishing-Simulation klären Sie Empfängerkreis, Rechtsgrundlage, Freigaben und Ergebnistiefe vor dem Versand. Die hookfree Phishing Engine verbindet einen kontrollierten Ablauf mit aggregierten Standardauswertungen und öffentlich einsehbaren Vertragsunterlagen.
Klare EinordnungSzenario, Empfängerbasis und organisatorischen Rahmen berücksichtigen.
Kontrollierter ProzessVorschau, Testmail und verbindliche Beauftragung bleiben feste Prüfpunkte.
Geschützte ErgebnisseDarstellung nach den vereinbarten Reporting- und Datenschutzregeln.
Vor der ersten Simulation
Klare Zuständigkeiten für Daten und Ergebnisse.
Datenschutz wird mit dem Zweck und dem organisatorischen Rahmen der Simulation abgestimmt.
Empfängerkreis
Nur zulässige Empfängerdaten im berechtigten Organisationsbereich verwenden.
Freigaben
Interne Datenschutz- und Mitbestimmungsanforderungen klären.
AVV & TOMs
Rollen, Verarbeitung und technische Schutzmaßnahmen prüfen.
Reporting
Aggregation, Mindestgrößen und Sichtbarkeit festlegen.
Aufbewahrung
Datenarten und vereinbarte Löschfristen unterscheiden.
Ergebnisübersicht einer SimulationVersandstatusverarbeitetKlickrateauswertbare EmpfängerInteraktionenaggregierte Ereignisse
100 %
24 %
18
Kontrollierter Prozess
Vom abgestimmten Rahmen zum freigegebenen Versand.
Organisatorische und technische Freigaben ergänzen einander.
Abstimmen
Zweck, Zielgruppe und zuständige Stellen festlegen.
Dokumentieren
Vertragsunterlagen und Reporting-Vorgaben prüfen.
Vorbereiten
Zulässige Empfängerliste und freigegebene Domain verwenden.
Testen
Vorschau, Zustellung und verpflichtende Testmail kontrollieren.
Beauftragen
Den geprüften Stand verbindlich freigeben.
Auswerten
Ergebnisse im vereinbarten Rahmen nutzen und aufbewahren.
Welche Datenschutzfragen klären Sie vor dem Start?
Legen Sie Zweck, Empfängerkreis und gewünschte Ergebnistiefe fest. Die Kundenorganisation bleibt für die Zulässigkeit der Empfängerlisten und die interne Nutzung der Ergebnisse verantwortlich. hookfree verarbeitet die vereinbarten Simulationsdaten im Auftrag nach dem AVV.
Binden Sie die zuständigen Stellen früh ein. Rechtsgrundlage, Informationspflichten und gegebenenfalls die Beteiligung von Betriebs- oder Personalvertretung hängen von Ihrem organisatorischen und rechtlichen Rahmen ab. Ein allgemeines Produktversprechen ersetzt diese konkrete Bewertung nicht.
- Awareness-Zweck und zulässigen Empfängerkreis dokumentieren.
- Rechtsgrundlage und Informationen für betroffene Personen festlegen.
- Datenschutz- und Mitbestimmungsstellen im erforderlichen Umfang einbinden.
- Sichtbarkeit, Mindestgrößen und interne Weitergabe der Ergebnisse abstimmen.
Welche Daten verarbeitet die Simulation?
Zur Durchführung werden zulässige Empfängerdaten sowie Versand-, Zustell- und Interaktionsereignisse benötigt. Je nach Vereinbarung können E-Mail-Adresse, Name, Abteilung, Kampagnenzuordnung oder technische Ereigniszeitpunkte verarbeitet werden. Datenarten und Zwecke sind in den Vertrags- und Datenschutzunterlagen beschrieben.
Bei simulierten Login- oder Formularseiten werden keine konkreten Eingaben gespeichert oder ausgewertet. Die Engine kann erkennen, ob ein Feld befüllt oder ein Formular abgesendet wurde. Ein Ereignis wie „Passwortfeld befüllt“ enthält nicht das tatsächlich eingegebene Passwort.
| Bereich | Verarbeitung im vereinbarten Rahmen |
|---|---|
| Empfängerliste | Zulässige Empfängerdaten für die Durchführung |
| Versand und Zustellung | Status- und Fehlerinformationen für Betrieb und Auswertung |
| Interaktion | Klick- und Formularereignisse je nach Szenario |
| Konkrete Formulareingabe | Keine Speicherung oder Auswertung der eingegebenen Rohwerte |
| Bericht | Aggregierte beziehungsweise ausdrücklich freigegebene Darstellung |
Aggregation ist eine bewusste Reporting-Entscheidung.
Standardmäßig stellt hookfree datenschutzfreundliche, aggregierte Ergebnisse bereit. Abteilungs- und Gruppenauswertungen können organisationsbezogen begrenzt werden. Mindestgrößen helfen, Rückschlüsse auf einzelne Personen zu vermeiden. Auch eine gruppierte Darstellung muss zum konkreten Empfängerkreis passen.
Aggregation macht die gesamte Verarbeitung nicht automatisch anonym. Empfängerlisten und technische Ereignisse können weiterhin Personenbezug haben. Personenbezogene Detailansichten werden nur bewusst freigeschaltet, vertraglich vorgesehen und durch die Kundenorganisation verantwortet. Regeln für die interne Weitergabe sollten vorab feststehen.
AVV, TOMs und Löschfristen gemeinsam prüfen.
Die Vertragsübersicht stellt AGB, Leistungsbeschreibung, Datenschutzhinweise sowie AVV und TOMs als lesbare HTML-Fassungen und PDFs bereit. Die Versionsangaben zeigen, welche Dokumentfassung im Buchungsprozess eingebunden wird. Für den eigenen Vertrag ist die beim Abschluss einbezogene Fassung maßgeblich.
Der AVV beschreibt die vereinbarten Lösch- und Aufbewahrungsregeln. Personenbezogene Simulations- und Empfängerdaten werden grundsätzlich 30 Tage nach Abschluss gelöscht oder anonymisiert, soweit nichts Abweichendes vereinbart ist. Für Berichte, Sicherheitsnachweise und gesetzlich aufzubewahrende Vertragsdaten gelten eigene Regeln. Die Dauer des Plattformzugangs darf nicht mit einer einheitlichen Speicherfrist für sämtliche Daten verwechselt werden.
Schutz im Produkt
Begrenzte Zugriffe und bewusste Ergebnistiefe.
Die Engine schützt Kundenfunktionen mit Rollen und Zwei-Faktor-Authentifizierung und trennt Kundendaten mandantenbezogen.
Keine RohwerteKonkrete Passwort- oder Formulareingaben werden nicht gespeichert.
AggregationStandardmäßig datenschutzfreundliche Gesamtauswertungen.
MindestgrößenGruppenergebnisse organisationsbezogen begrenzen.
DetailfreigabePersonenbezogene Darstellungen nur im ausdrücklich freigegebenen Rahmen.
Weiterführende Inhalte
Passende Seiten zur Vertiefung.
Vertragsunterlagen
AGB, Leistungsbeschreibung, Datenschutz, AVV und TOMs prüfen.
Vertragsunterlagen ansehenAuswertung & Kennzahlen
Ergebnisse mit Kontext und Sichtbarkeitsregeln interpretieren.
Auswertung & Kennzahlen ansehenSicherheit der Engine
Rollen, Zugriffsschutz und kontrollierte Freigaben kennenlernen.
Sicherheit der Engine ansehenHäufige Fragen
Häufige Fragen zum Datenschutz bei Phishing-Simulationen.
Werden echte Passwörter oder Formulareingaben gespeichert?
Nein. Bei simulierten Login- oder Formularseiten werden konkrete Eingaben wie Passwörter, Zugangscodes oder Freitext-Rohwerte nicht gespeichert oder ausgewertet. Erfasst werden nur die erforderlichen Ereignisse, etwa ob ein Feld befüllt oder ein Formular abgesendet wurde.
Sind Phishing-Simulationen vollständig anonym?
Das lässt sich nicht pauschal behaupten. Für die Durchführung werden Empfängerlisten und technische Ereignisse verarbeitet. Standardmäßig werden Ergebnisse aggregiert dargestellt. Personenbezogene Detailansichten sind nur bei bewusster Freischaltung, vertraglicher Grundlage und entsprechender Verantwortung des Kunden vorgesehen.
Wer legt die Rechtsgrundlage für die Beschäftigtendaten fest?
Die Kundenorganisation verantwortet die Rechtmäßigkeit der Empfängerlisten und die interne Nutzung der Ergebnisse. hookfree verarbeitet Simulationsdaten im vereinbarten Auftrag. Rechtsgrundlage, Informationspflichten und erforderliche Beteiligung von Datenschutz- oder Mitbestimmungsstellen sollten vor dem Start durch die Organisation geklärt werden.
Gibt es einen Auftragsverarbeitungsvertrag mit TOMs?
Ja. In den Vertragsunterlagen stehen der Auftragsverarbeitungsvertrag und die technischen und organisatorischen Maßnahmen öffentlich als HTML und PDF bereit. Sie ergänzen die AGB und die Leistungsbeschreibung. Im Registrierungsprozess werden die jeweils angegebenen Dokumentfassungen eingebunden.
Können wir Auswertungen nach Abteilungen begrenzen?
Ja. Auswertungsregeln und Mindestgrößen können durch hookfree organisationsbezogen hinterlegt werden. Kleine Gruppen können ausgeblendet oder von verhaltensbezogenen Kennzahlen ausgenommen werden. Personenbezogene Darstellungen sind keine pauschale Standardfreigabe und müssen gesondert verantwortet werden.
Wie schützt die Engine Kundenkonten und Mandantendaten?
Geschützte Funktionen setzen die erforderliche Zwei-Faktor-Authentifizierung voraus. Rollen und serverseitige Berechtigungsprüfungen begrenzen Zugriffe. Empfängerlisten, Simulationen und weitere Kundendaten werden mandantenbezogen verarbeitet. Sicherheits- und Freigabeaktionen können nachvollziehbar protokolliert werden.
Wie lange werden Simulationsdaten aufbewahrt?
Die vereinbarten Löschfristen stehen im AVV und in den Datenschutzhinweisen. Soweit nicht anders vereinbart, werden personenbezogene Simulations- und Empfängerdaten grundsätzlich 30 Tage nach Abschluss gelöscht oder anonymisiert. Für Berichte, Vertragsnachweise und gesetzlich aufzubewahrende Daten gelten eigene Fristen. Ein 90-tägiger Pilot-Zugang ist keine pauschale Speicherfrist für alle Daten.
Was benötigen Kommunen und Behörden vor dem Start?
Klären Sie Verantwortlichkeiten für die Organisation, IT-Zustellung, Datenschutz und gegebenenfalls Personalvertretung. Empfängerkreis, Reporting-Regeln und interne Freigaben sollten feststehen. Vertragsunterlagen, AVV und TOMs stehen zur Prüfung bereit; Angebot und Zahlungsweg können vorab abgestimmt werden.
Welche Ergebnisse zeigt eine Phishing-Simulation?
Je nach Szenario und Freigabe können Versandstatus, Zustellinformationen, Klicks, zeitliche Aktivitäten und Formularereignisse ausgewertet werden. Die Sichtbarkeit richtet sich nach dem vereinbarten Datenschutzmodell. Ergebnisse stehen im geschützten Kundenbereich bereit; eine kompakte Ergebnisübersicht beziehungsweise ein Bericht gehört zum vereinbarten Umfang.
Dürfen wir beliebige Empfänger oder Domains verwenden?
Simulationen sind auf den berechtigten Organisationsbereich und die freigegebenen Empfängerdomains begrenzt. Die primäre Domain wird bei Selbstregistrierung aus der geschäftlichen Admin-E-Mail-Adresse abgeleitet und durch hookfree geprüft. Zusätzliche Domains benötigen gegebenenfalls eine Zusatzbuchung sowie Prüfung und Freigabe.
Nächster Schritt
Den Rahmen für Ihre erste Simulation klären.
Vergleichen Sie Pilot und Managed-Pakete oder besprechen Sie Ihre Anforderungen mit hookfree.