Datenschutzerklärung für CVE Agent

1. Verantwortlicher

Christian Feichtinger
Wels, Österreich
E-Mail: christian@feichti.at

Ein Datenschutzbeauftragter ist nicht bestellt.

2. Geltungsbereich

Diese Erklärung gilt für CVE Agent auf macOS, für Beta-Versionen über Apple TestFlight und für die öffentliche Supportseite unter feichti01.github.io/support/cveagent/. Für Apple, GitHub und die abgerufenen öffentlichen Sicherheitsquellen gelten zusätzlich deren eigene Datenschutzerklärungen.

3. Verarbeitung in der App

Der App-Store-Build erhebt, verkauft oder übermittelt keine personenbezogenen Daten an den Entwickler. Er enthält keine Werbung, Trackingtechnologie, Analyse-SDKs, Cloud-Synchronisierung oder vom Entwickler betriebenen Server.

Berichte, Einstellungen, Monitorstatus und der öffentliche Katalogcache werden lokal im Sandbox- beziehungsweise App-Group-Container gespeichert. Die App greift ausschließlich über HTTPS auf öffentliche Sicherheitsinformationen von NVD, CISA KEV, FIRST EPSS, CVE List V5 und – seit Version 1.16 – auf die öffentlichen CSAF-Advisories von CERT-Bund (Bundesamt für Sicherheit in der Informationstechnik, TLP:WHITE-Feeds WID und BSI-CVD) zu. Die jeweiligen Anbieter erhalten dabei technisch notwendige Verbindungsdaten wie die IP-Adresse. App-Zugangsdaten, lokale Berichte, Einstellungen, Portfolio- oder Gerätedaten werden nicht an diese Quellen übertragen.

Der CERT-Bund-Abruf benötigt keine Anmeldung und kein Token, lädt nur Advisories der letzten 30 Tage in den lokalen Katalogcache und lässt sich in den App-Einstellungen unter „Quellen“ jederzeit deaktivieren. Übernommene CERT-Bund-Inhalte (Bewertung, betroffene Produkte, Maßnahmen, Referenzen, Originalsprache) werden in Berichten und Exporten als CERT-Bund-Werte gekennzeichnet; es gelten die Nutzungsbedingungen des BSI.

Seit Version 1.17 ergänzt die App ihre Herstellerliste automatisch um Hersteller, die in den bereits abgerufenen Daten (CISA KEV, CERT-Bund, EPSS) auffällig sind. Diese Ableitung erfolgt ausschließlich lokal aus dem vorhandenen Katalogcache, ruft keine zusätzlichen Quellen ab, überträgt nichts und lässt sich unter „Einstellungen › Quellen“ abschalten; die Liste wird mit Quelle und Datum im lokalen Katalogcache gespeichert.

Seit Version 1.19 ruft die App zusätzlich über HTTPS ab: die Europäische Schwachstellendatenbank der ENISA (EUVD), die Warnungen von CERT.at, öffentliche CSAF-Advisories von CISA (ICS und IT), Siemens, ABB, SICK und Phoenix Contact (TLP:WHITE) sowie einmal täglich die öffentlichen Verzeichnisse der Metasploit-Module (Rapid7, über GitHub) und der Nuclei-Templates (ProjectDiscovery, über GitHub). Übernommen werden nur Kennungen, Datumsangaben, Hersteller- und Produktnamen, Bewertungen und Links – keine Beschreibungstexte, kein Exploit-Code. Alle Abrufe erfolgen ohne Anmeldung oder Token, senden keine Berichts-, Portfolio- oder Gerätedaten und lassen sich unter „Einstellungen › Quellen“ einzeln abschalten; die Daten liegen nur im lokalen Katalogcache (30 bzw. 90 Tage). Angaben Dritter erfolgen ohne Gewähr; maßgeblich ist die Herstellerangabe.

Optionale Unternehmensquellen gehören nur zum getrennten manuellen CLI-Betrieb und sind nicht Bestandteil der App-Store-Konfiguration.

4. Hintergrundprüfung und Benachrichtigungen

Die stündliche Hintergrundprüfung bleibt zunächst deaktiviert. Sie wird erst nach ausdrücklicher Aktivierung registriert und kann jederzeit in der App wieder deaktiviert werden. Schwellwert, Status und bereits gemeldete CVE-IDs bleiben lokal. Seit Version 1.17 führt die App die Prüfung auch selbst aus, solange sie geöffnet ist; daran ändert sich nichts an der lokalen Verarbeitung. macOS fragt separat nach der Berechtigung für Benachrichtigungen.

5. App Store und TestFlight

Apple verarbeitet Daten zu Download, Verteilung und gegebenenfalls Beta-Tests in eigener Verantwortung nach der Apple-Datenschutzrichtlinie. Freiwillig an Apple übermittelte TestFlight-Rückmeldungen oder freigegebene Diagnoseinformationen können Apple und dem Entwickler zugänglich werden und werden ausschließlich für Support, Fehleranalyse und Verbesserung der App verwendet.

6. Supportseite und Kontakt

Diese statische Website setzt durch den Betreiber keine eigenen Cookies und verwendet keine eigenen Analyse-, Werbe- oder Trackingdienste. GitHub Pages kann insbesondere IP-Adressen zu Sicherheitszwecken protokollieren; Einzelheiten enthält die GitHub-Datenschutzerklärung.

Öffentliche GitHub-Issues zeigen Inhalt, Benutzername und freiwillig eingestellte Angaben öffentlich an. Veröffentlichen Sie dort keine Zugangsdaten, Tenant- oder Kundenkennungen, interne Infrastrukturangaben oder vertrauliche Berichte. Für nicht öffentliche Anliegen verwenden Sie die oben genannte E-Mail-Adresse.

7. Speicherdauer und Rechte

Lokale App-Daten verbleiben bis zur Änderung oder Löschung durch den Benutzer auf dem Mac. Kontakt- und freiwillig übermittelte Diagnosedaten werden nur so lange gespeichert, wie dies zur Bearbeitung, Fehleranalyse oder aufgrund gesetzlicher Pflichten notwendig ist. Öffentliche Issues folgen der sichtbaren GitHub-Historie.

Nach Maßgabe der DSGVO bestehen insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Anfragen richten Sie an christian@feichti.at. Beschwerden können an die Österreichische Datenschutzbehörde gerichtet werden.

8. Änderungen

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling statt. Diese Erklärung wird angepasst, wenn sich Funktionen, Datenverarbeitung oder rechtliche Anforderungen ändern.

1. Controller

Christian Feichtinger
Wels, Austria
Email: christian@feichti.at

No data protection officer has been appointed.

2. Scope

This policy applies to CVE Agent on macOS, beta versions distributed through Apple TestFlight, and the public support site at feichti01.github.io/support/cveagent/. Apple, GitHub and the public security sources contacted by the app are also governed by their own privacy policies.

3. Processing in the app

The App Store build does not collect, sell or send personal data to the developer. It contains no advertising, tracking technology, analytics SDKs, cloud synchronisation or developer-operated server.

Reports, settings, monitor state and the public catalogue cache are stored locally in the sandbox or App Group container. The app uses HTTPS to retrieve public security information from NVD, CISA KEV, FIRST EPSS, CVE List V5 and – since version 1.16 – the public CSAF advisories of CERT-Bund (German Federal Office for Information Security, BSI; TLP:WHITE feeds WID and BSI-CVD). Those providers receive technically necessary connection data such as the IP address. App credentials, local reports, settings, portfolio or device data are not sent to these sources.

CERT-Bund retrieval needs no account or token, loads only advisories from the last 30 days into the local catalogue cache, and can be disabled at any time under Settings › Sources. Imported CERT-Bund content (rating, affected products, remediations, references, original language) is labelled as CERT-Bund data in reports and exports; the BSI terms of use apply.

Since version 1.17 the app automatically extends its vendor list with vendors that stand out in data it has already retrieved (CISA KEV, CERT-Bund, EPSS). This derivation happens entirely locally from the existing catalogue cache, contacts no additional sources, transmits nothing and can be switched off under Settings › Sources; the list is stored with source and date in the local catalogue cache.

Since version 1.19 the app additionally retrieves over HTTPS: the European Vulnerability Database of ENISA (EUVD), the warnings of CERT.at, public CSAF advisories of CISA (ICS and IT), Siemens, ABB, SICK and Phoenix Contact (TLP:WHITE), and once a day the public indexes of Metasploit modules (Rapid7, via GitHub) and Nuclei templates (ProjectDiscovery, via GitHub). Only identifiers, dates, vendor and product names, ratings and links are taken over – no description texts, no exploit code. All retrievals need no account or token, send no report, portfolio or device data, and can each be switched off under Settings › Sources; the data is kept only in the local catalogue cache (30 or 90 days). Third-party information is provided without warranty; the vendor's statement prevails.

Optional enterprise sources belong only to the separate manual CLI workflow and are not part of the App Store configuration.

4. Background checks and notifications

The hourly background check starts disabled. It is registered only after explicit activation and can be disabled in the app at any time. Threshold, state and previously reported CVE identifiers remain local. Since version 1.17 the app also performs the check itself while it is open; local processing is unchanged. macOS asks separately for notification permission.

5. App Store and TestFlight

Apple processes download, distribution and, where applicable, beta-testing data as an independent controller under the Apple Privacy Policy. TestFlight feedback or diagnostics you voluntarily share with Apple may become available to Apple and the developer and are used only for support, diagnosis and app improvement.

6. Support site and contact

The operator places no first-party cookies and uses no first-party analytics, advertising or tracking on this static website. GitHub Pages may log IP addresses for security; see the GitHub Privacy Statement.

Public GitHub issues expose their content, user name and any voluntarily submitted details. Never post credentials, tenant or customer identifiers, internal infrastructure details, or confidential reports. Use the email address above for private requests.

7. Retention and your rights

Local app data remains on the Mac until changed or deleted by the user. Contact details and voluntarily supplied diagnostic information are retained only as long as needed to respond, diagnose problems or comply with legal obligations. Public issues follow the visible GitHub history.

Subject to the GDPR, you may have rights of access, rectification, erasure, restriction, portability and objection. Contact christian@feichti.at. You may also complain to the Austrian Data Protection Authority.

8. Changes

No automated decision-making, including profiling, takes place. This policy will be updated if app functionality, data processing or legal requirements change.