Rechtliches
Datenschutzhinweis zum Produkt SaQura CertWatch
Stand: 28. Oktober 2026
Datenschutzhinweis zum Produkt · SaQura CertWatch Product privacy notice · 製品プライバシー通知 Stand / as of: 2026-10-28 · Version 2.0 · gilt für / applies to SaQura CertWatch ab / from 1.3.0 einschließlich / including CertWatch Agent Deutsch: Abschnitte 1 bis 6 · English: sections 1 to 6 below · 日本語：下記第1項から第6項
============================================================
DEUTSCH
============================================================
Dieser Hinweis beschreibt, was die Software auf Ihren Systemen speichert und
welche Verbindungen sie nach außen aufbaut. Er betrifft nur das Programm
(Server und CertWatch Agent). Für die Website, den Kauf und den Lizenzdienst
gilt außerdem der Datenschutzhinweis unter https://kyototech.co.jp/legal/privacy.
Vertraglich ist das Thema in Ziffer 9 des Lizenzvertrags (EULA) geregelt.
============================================================
1. WO DIE SOFTWARE LÄUFT UND WAS SIE SPEICHERT
============================================================
SaQura CertWatch läuft vollständig auf Ihren eigenen Systemen (Self-Host).
Es gibt keinen von KyotoTech betriebenen Dienst, an den Ihre Überwachungsdaten
fließen. Bestand, Prüfergebnisse, Noten, Berichte, die fortlaufende Prüfkette,
Protokolle, Einstellungen, Empfänger und Zugangsdaten entstehen und verbleiben
in Ihrer Installation, und zwar im Datenordner der Instanz (Datenbank und
Dateien).
Gespeicherte Zugangsdaten (etwa für SMTP, DNS-Anbieter und Zertifizierungs-
stelle) sind mit einem Installationsschlüssel verschlüsselt. Dieser liegt je
nach Betriebssystem an unterschiedlichen Orten:
· Windows: als Datei im Datenordner, geschützt durch die Windows-Daten-
schutzschnittstelle (DPAPI) und nur auf dem Rechner lesbar, auf dem er
erzeugt wurde,
· macOS: im Schlüsselbund,
· Linux: als systemd-Credential außerhalb des Datenordners.
Sichern Sie Datenordner und Installationsschlüssel gemeinsam (EULA Ziffer 4.3).
Der CertWatch Agent erzeugt den privaten Schlüssel eines neuen Zertifikats auf
dem Zielserver und überträgt nur die Signaturanfrage an Ihre Instanz. Er legt
dort Zertifikat und Schlüssel ab und erstellt bei der Einspielung vorüber-
gehende Sicherungen der bisherigen Dateien. Diese Sicherungen können die
bisherige Schlüsseldatei enthalten; sie bleiben auf dem Zielserver, sind nur
für das Konto des Agenten lesbar und werden nach einer Rückabwicklung oder bei
der nächsten Einspielung für dasselbe Ziel gelöscht.
KyotoTech erhält weder Ihre Adressen noch Ihre Ergebnisse, Berichte,
Empfängerlisten oder Zugangsdaten, weder automatisch noch bei der Lizenzprüfung.
KyotoTech hat keinen Fernzugriff auf Ihre Instanz oder Ihre Agenten. Die
Lizenzdatei (`.lic`) wird lokal anhand ihrer Signatur geprüft. Eine Verbindung
zu KyotoTech entsteht nur für die Lizenzauffrischung (Abschnitt 2.6,
abschaltbar) und den Hinweis auf neue Programmversionen (Abschnitt 2.4,
abschaltbar).
============================================================
2. WELCHE VERBINDUNGEN NACH AUSSEN ENTSTEHEN
============================================================
Bei jeder dieser Verbindungen sieht die Gegenstelle die IP-Adresse Ihres
Systems, wie bei jedem Abruf im Internet.
2.1 Ihre Überwachungsziele
Die Software verbindet sich mit den Adressen und Ports, die Sie eintragen,
um dort das Zertifikat, die Kette, die Protokoll- und Schlüsselqualität zu
prüfen. Das sind Ihre eigenen Systeme oder Systeme, für deren Prüfung Sie
berechtigt sind (EULA Ziffer 4.1).
2.2 Öffentliche Zertifikatsregister (Bestandssuche, Alarm bei fremden Zertifikaten)
Um Zertifikate zu finden, die zu Ihren Domains ausgestellt wurden, fragt die
Software öffentliche Certificate-Transparency-Register ab:
· crt.sh (Sectigo Ltd.)
· api.certspotter.com (SSLMate, Inc.; Ausweichquelle, wenn crt.sh ausfällt)
Übermittelt wird dabei ausschließlich der Domainname, zu dem gesucht wird
(die registrierbare Domain, z. B. `firma.de`). Es werden keine Ergebnisse,
keine Portlisten, keine Empfänger und keine Kundendaten übertragen. Die
dort abgefragten Zertifikatsdaten sind öffentlich; jede öffentlich
vertrauenswürdige Zertifizierungsstelle veröffentlicht sie dort ohnehin.
Adressen, die Sie entfernen, werden nicht mehr abgefragt.
2.3 Sperrauskünfte (OCSP/CRL) und Zwischenzertifikate (AIA)
Zur Prüfung, ob ein Zertifikat gesperrt wurde, ruft die Software die
Sperrauskunft ab, die im jeweiligen Zertifikat selbst angegeben ist.
Übermittelt wird die Kennung des geprüften Zertifikats. Fehlt einem System
ein Zwischenzertifikat, lädt das Betriebssystem es für die Vertrauens-
prüfung von der Ausgabestelle nach, die im Zertifikat angegeben ist (AIA).
Diese Adressen stammen von der Zertifizierungsstelle des geprüften Systems,
nicht von KyotoTech.
2.4 Hinweis auf neue Programmversionen
Höchstens einmal täglich lädt die Software eine kleine Versionsdatei von
https://saqura.de/downloads/certwatch/latest.json und vergleicht die dort
genannte Version mit der installierten. Es werden dabei keine Daten von
Ihnen gesendet. Die Software aktualisiert sich nicht selbst; sie weist nur
hin.
Abschalten: Umgebungsvariable CERTWATCH_NO_UPDATE_CHECK=1 setzen. Die
Überwachung arbeitet danach unverändert weiter.
2.5 Ihr Postausgang und Ihre Webhooks
Alarme und Berichte verschickt die Software über den SMTP-Server, den Sie
eintragen, und an die Webhook-Adressen, die Sie eintragen. Ein Webhook
erhält die Kerndaten des Alarms (Adresse und Port, Stufe, Betreff,
Protokollnummer, Zeitpunkt).
Empfänger, Zugangsdaten und Zustellweg bestimmen Sie; nichts davon läuft
über KyotoTech.
2.6 Lizenzauffrischung
In allen lizenzierten Tarifen ist die Lizenzauffrischung ab Werk
eingeschaltet (Zahnrad-Menü → Lizenz). Die Software fragt dann höchstens
einmal täglich erfolgreich bei https://license.kyototech.co.jp an, ob eine
verlängerte, geänderte oder widerrufene Lizenz vorliegt; nach einem
Netzfehler versucht sie es nach etwa einer Stunde erneut. Im Testmodus
ohne Lizenz fragt sie nicht an.
Übermittelt werden: die Produktkennung, die Lizenznummer als Prüfsumme
(SHA-256, nicht die Nummer selbst), das Ausstellungsdatum der installierten
Lizenz und Ihre Einstellung, ob Sie Lizenz-E-Mails wünschen. Es werden
keine Adressen, Ergebnisse, Berichte, Empfänger oder Einstellungen
übertragen. Liegt eine neuere Lizenz vor, wird sie abgeholt und eingesetzt.
Ist die Lizenz widerrufen, legt die Software keine neuen Verlängerungs-
aufträge und keine neuen Mandanten mehr an (EULA Ziffer 2.10).
Verantwortlich für diese Daten ist KyotoTech. Rechtsgrundlage ist die
Erfüllung des Lizenzvertrags (Art. 6 Abs. 1 lit. b DSGVO). Die Daten werden
in Japan verarbeitet; für Japan besteht ein Angemessenheitsbeschluss der
Europäischen Kommission.
Abschalten: Zahnrad-Menü → Lizenz → „Lizenz automatisch erneuern“ aus,
oder Umgebungsvariable CERTWATCH_NO_LICENSE_REFRESH=1. Die Lizenzdatei
erhalten Sie dann bei jeder Verlängerung per E-Mail und legen sie selbst ab.
2.7 Zertifizierungsstelle (nur bei eingeschalteter automatischer Verlängerung)
Die Software stellt bei der Zertifizierungsstelle, die Sie wählen
(Voreinstellung: Let's Encrypt), über das ACME-Verfahren den Antrag auf
ein neues Zertifikat. Übermittelt werden die Signaturanfrage mit den zu
bestätigenden Namen und die für das ACME-Verfahren nötigen Kontodaten
(Kontoschlüssel, auf Wunsch eine Kontozuordnung der Zertifizierungsstelle).
Die Software hinterlegt dabei keine Kontakt-E-Mail. Die Zertifizierungs-
stelle veröffentlicht ausgestellte Zertifikate mit allen enthaltenen Namen
in öffentlichen Certificate-Transparency-Registern. Für diese Verarbeitung
gelten die Bedingungen und der Datenschutzhinweis der Zertifizierungsstelle.
2.8 DNS-Anbieter und Nameserver (nur bei eingeschalteter automatischer Verlängerung)
Für den Nachweis der Domainkontrolle legt die Software beim DNS-Anbieter,
den Sie einrichten (derzeit Cloudflare oder Azure DNS, auch über eine per
CNAME delegierte Zone bei diesen Anbietern), vorübergehend einen
Prüfeintrag an und entfernt ihn danach. Übermittelt werden Ihre Zugangs-
daten für diesen Anbieter und der Prüfeintrag. Um zu prüfen, ob der Eintrag
sichtbar ist, fragt die Software außerdem direkt die maßgeblichen Nameserver
der betroffenen Zone und die auf Ihrem System eingestellten Resolver ab
(DNS, Port 53).
2.9 CertWatch Agent (nur bei eingeschalteter automatischer Verlängerung)
Der Agent baut die Verbindung zu Ihrer Instanz von sich aus auf (Port 5443
der Instanz, ab Werk; dieser Port ist nur aktiv, solange die automatische
Verlängerung eingeschaltet ist), auf Wunsch über einen lokalen HTTP-Proxy.
Er überträgt die Signaturanfrage und Statusmeldungen und erhält das neue
Zertifikat. Der private Schlüssel verlässt den Zielserver nicht. Der Agent
verbindet sich mit keinem anderen Ziel, auch nicht mit KyotoTech.
2.10 Außenprüfung nach der Einspielung
Nach einer Einspielung prüft die Software von außen, ob das neue Zertifikat
ausgeliefert wird. Das ist eine Verbindung wie unter 2.1.
============================================================
3. WELCHE PERSONENBEZOGENEN DATEN ANFALLEN
============================================================
Die Software ist auf technische Daten ausgelegt (Adressen, Ports, Zertifikate).
Personenbezug kann entstehen durch:
· E-Mail-Adressen der Empfänger von Alarmen und Berichten,
· Benutzernamen und Anmeldedaten der Oberfläche,
· Adressen, die auf Personen zurückführen (z. B. `max-mustermann.de`),
· Namen in Zertifikaten (etwa bei persönlichen Zertifikaten).
Für diese Daten sind Sie der Verantwortliche im Sinne der DSGVO. KyotoTech ist
nicht Auftragsverarbeiter für Ihre Installation, weil KyotoTech keinen Zugriff
auf sie hat; ein Auftragsverarbeitungsvertrag ist für den Self-Host-Betrieb
deshalb nicht erforderlich. Schicken Sie im Support personenbezogene Daten nur,
soweit für die Fehleranalyse nötig, und kürzen Sie sie vorher, wo möglich.
Wird eine Verarbeitung in Ihrem Auftrag nötig, stellt KyotoTech auf Verlangen
einen Auftragsverarbeitungsvertrag bereit (EULA Ziffer 9.4).
Aufbewahrung: Prüfergebnisse, Berichte und die Prüfkette in der Datenbank
bleiben so lange erhalten, wie Sie sie behalten. Ausnahme ist die Text-
protokolldatei: Sie wird ab 5 MB rotiert, die ältere Rotation wird dabei
gelöscht. Die Prüfkette in der Datenbank bleibt davon unberührt. Die Siche-
rungen, die der Agent bei der Einspielung anlegt, sind vorübergehend. Bestand,
Berichte und Protokolle können Sie jederzeit in Ihrer Installation löschen.
Beachten Sie, dass das Löschen von Einträgen der Prüfkette die Nachweiskette
unterbricht; genau das soll sie sichtbar machen.
============================================================
4. WENN SIE SYSTEME IHRER KUNDEN ÜBERWACHEN (Mandanten)
============================================================
Betreiben Sie CertWatch für Endkunden, sind Sie diesen gegenüber verantwortlich
für die Auswahl der Adressen, Domains und Server, für Empfänger und für die
Aufbewahrung. Vor der Überwachung und vor einer automatischen Verlängerung
holen Sie die Zustimmung Ihrer Endkunden ein (EULA Ziffern 4.1 und 4A.4). Die
Software trennt Mandanten in Bestand, Empfängern und Berichten; die rechtliche
Einordnung des Verhältnisses zu Ihren Endkunden nehmen Sie selbst vor.
============================================================
5. KONTAKT
============================================================
KyotoTech LLC (合同会社KyotoTech) · Kyō-machi 2-237-202, Fushimi-ku,
Kyoto 612-8083, Japan · support@kyototech.co.jp
============================================================
6. GELTUNG
============================================================
Dieser Hinweis beschreibt das Verhalten der Programmversion, der er beiliegt.
Ändert sich das Verhalten, ändert sich dieser Hinweis mit der nächsten Version.