Nutzungsbedingungen für Mitarbeitende

1. Warum Sie dieses Dokument lesen

Ihr Arbeitgeber nutzt Brightside AI, um seine Mitarbeitenden dabei zu unterstützen, Cyberangriffe zu erkennen und abzuwehren. Da Ihr Arbeitgeber Sie angemeldet hat, können Sie über unsere Plattform Security-Awareness-Schulungen und simulierte Angriffe erhalten — Übungsangriffe, die echt wirken, es aber nicht sind.

Diese Nutzungsbedingungen für Mitarbeitende (die „Bedingungen“) sind eine Vereinbarung zwischen Ihnen und der Brightside Technologies SA, handelnd unter dem Namen Brightside AI („Brightside“, „wir“, „uns“, „unser“), einem in der Schweiz unter Route des Flumeaux 46, 1008 Prilly, Waadt, eingetragenen Unternehmen.

Sie regeln Ihre Nutzung der Plattform. Sie ändern Ihre arbeitsvertraglichen Bedingungen nicht und begründen kein Arbeitsverhältnis zwischen Ihnen und uns.

Durch die Nutzung der Plattform stimmen Sie diesen Bedingungen zu. Wenn Sie nicht zustimmen, wenden Sie sich bitte an Ihren Arbeitgeber — Ihr Zugang wird von ihm und nicht von uns eingerichtet.

2. Begriffsbestimmungen

„Arbeitgeber“ bezeichnet die Organisation, die Sie angemeldet hat und unser Kunde ist.

„Plattform“ bezeichnet die Security-Awareness-Plattform Brightside AI einschließlich der Teilnehmeranwendung, der Schulungskurse und jeder Bereitstellung dieser Inhalte über Slack, Microsoft Teams oder ein LMS.

„Dienste“ bezeichnet die Plattform sowie die darüber bereitgestellten Security-Awareness-Schulungen und simulierten Angriffe.

„Simulation“ bezeichnet eine simulierte Social-Engineering-Übung, die Ihnen über die Dienste gesendet wird — zum Beispiel eine simulierte Phishing-E-Mail oder ein simulierter Telefonanruf — und eine Schulungsübung, keinen echten Angriff, darstellt.

„Sie“ bezeichnet die Person, die die Dienste nutzt.

3. Ihr Arbeitgeber bestimmt über Ihre Teilnahme

Ihr Arbeitgeber entscheidet:

• ob Sie angemeldet werden und welche Schulungen Ihnen zugewiesen werden;
• welche Simulationen Sie erhalten und wie häufig;
• welche Berichte er über Ihre Teilnahme und Ergebnisse einsehen kann; und
• wann Ihr Zugang beginnt und endet.

Wir betreiben die Plattform nach den Anweisungen Ihres Arbeitgebers. Wir entscheiden nicht, wer geschult oder getestet wird oder was Ihr Arbeitgeber mit den Ergebnissen tut. Für die Nutzung der Dienste durch Ihren Arbeitgeber gelten unsere Nutzungsbedingungen.

Wenn Sie Fragen dazu haben, warum Sie geschult oder getestet werden, wofür Ihre Ergebnisse verwendet werden oder wie Ihre personenbezogenen Daten verarbeitet werden, wenden Sie sich an Ihren Arbeitgeber. Abschnitt 7 erläutert den Grund dafür.

4. Was die Dienste leisten

Über die Dienste können Sie:

• interaktive Security-Awareness-Kurse absolvieren, die Quizfragen, Minispiele und Auszeichnungen umfassen können;
• simulierte Phishing-E-Mails erhalten, die wie echte Nachrichten wirken sollen;
• simulierte Telefonanrufe erhalten, die eine künstliche, computergenerierte Stimme verwenden, automatisch gewählt werden und sich während des Anrufs an Ihre Aussagen anpassen können;
• kombinierte Übungen erhalten, die einen Anruf mit einer E-Mail verbinden; und
• nach einer Übung Feedback, Bewertungen und weiterführende Schulungen sehen.

Sie müssen mindestens 18 Jahre alt sein, um die Dienste zu nutzen.

5. Simulierte Angriffe — was Sie erwartet

Simulationen sind bewusst realistisch gestaltet. Sie sollen echten Angriffen ähneln, damit die Übung sinnvoll ist. Das bedeutet:

• eine simulierte E-Mail kann so wirken, als stamme sie von einem Kollegen, einem Lieferanten, einer bekannten Marke oder einer Führungskraft Ihrer Organisation;
• ein simulierter Anruf kann von einer lokalen Telefonnummer kommen, Brightside nicht nennen und eine synthetische Stimme verwenden, einschließlich einer Stimme, die einer bestimmten Person nachempfunden ist, sofern Ihr Arbeitgeber dies veranlasst und uns bestätigt hat, dass die Einwilligung dieser Person vorliegt;
• in Simulationen verwendete Inhalte werden künstlich erzeugt. Sie geben nichts wieder, was die nachgeahmte Person tatsächlich gesagt, geschrieben oder geglaubt hat; und
• wenn Sie während einer Simulation klicken, antworten oder Informationen angeben, erhält kein echter Angreifer diese. Passwörter und andere Zugangsdaten, die Sie auf einer simulierten Seite eingeben, werden niemals gespeichert. Die Plattform erfasst als Schulungsergebnis nur, dass Zugangsdaten eingegeben wurden — niemals die Zugangsdaten selbst.

Simulationen sind Schulungsübungen. Sie sind keine Prüfung Ihrer Ehrlichkeit oder Loyalität, und der Inhalt einer Simulation ist keine echte Aussage der Person, von der sie zu stammen scheint.

6. In den Diensten verwendete Informationen über Sie

Um Schulungen relevant und Simulationen realistisch zu gestalten, verarbeiten wir im Auftrag Ihres Arbeitgebers Informationen über Sie. Dazu können gehören:

Informationen, die uns Ihr Arbeitgeber bereitstellt. Ihr Name, Ihre geschäftliche E-Mail-Adresse, Ihre geschäftliche Telefonnummer, Ihre Funktion, Abteilung, Sprache und Ihr Standort — direkt bereitgestellt oder über Systeme, die Ihr Arbeitgeber verbindet, etwa ein HR-System, einen Identitätsanbieter (zum Beispiel Microsoft Entra ID oder Okta) oder ein Kommunikationstool wie Slack oder Microsoft Teams.

Informationen aus öffentlichen Quellen und von Dritten. Wenn Ihr Arbeitgeber uns dazu anweist, können wir rechtmäßig verfügbare Informationen über Sie verwenden — etwa aus beruflichen Netzwerken und Social-Media-Profilen, Unternehmenswebsites, Online-Verzeichnissen und öffentlichen Aufzeichnungen über Datenschutzverletzungen — um zu bewerten, wie stark Sie gezielten Angriffen ausgesetzt sind, und Simulationen so zu gestalten, wie ein echter Angreifer vorgehen würde.

Durch Ihre Nutzung erzeugte Informationen. Ob Sie eine simulierte Nachricht geöffnet, angeklickt oder gemeldet haben; ob und wie Sie während eines simulierten Anrufs reagiert haben; Kursfortschritt und Bewertungen; und, sofern aktiviert, eine Aufzeichnung und ein Transkript eines simulierten Anrufs.

Aufzeichnungen. Simulierte Anrufe können aufgezeichnet und transkribiert und einer automatisierten Analyse unterzogen werden. Ihr Arbeitgeber entscheidet, ob die Aufzeichnung aktiviert ist. Ist sie deaktiviert, wird der Anruf in Echtzeit analysiert und das Audio nicht gespeichert.

Automatisierte Analyse. Bewertungen, Bestehens- oder Nichtbestehensergebnisse und Risikoindikatoren werden teilweise durch künstliche Intelligenz erzeugt und können fehlerhaft sein. Sie sollen die Schulung unterstützen und nicht die alleinige Grundlage einer Entscheidung bilden, die Sie wesentlich betrifft.

7. Datenschutz — an wen Sie sich wenden

Für sämtliche in Abschnitt 6 beschriebenen Informationen ist Ihr Arbeitgeber der Verantwortliche, und wir handeln als sein Auftragsverarbeiter. Ihr Arbeitgeber bestimmt, warum und wie Ihre Daten verwendet werden.

Wenn Sie auf Ihre Daten zugreifen, sie berichtigen, der Verarbeitung widersprechen oder andere Datenschutzrechte in Bezug auf Ihre Schulungs- und Simulationsdaten ausüben möchten, sollten Sie sich daher an Ihren Arbeitgeber und nicht an uns wenden. Wir unterstützen Ihren Arbeitgeber bei der Beantwortung.

Unsere eigene Datenschutzerklärung erläutert die personenbezogenen Daten, die wir in eigener Verantwortung verarbeiten — zum Beispiel, wenn Sie uns direkt kontaktieren.

8. Zulässige und unzulässige Nutzung der Dienste

Sie verpflichten sich, die Dienste verantwortungsvoll und entsprechend den Anweisungen Ihres Arbeitgebers zu nutzen. Sie dürfen nicht:

• a. die Bereitstellung von Schulungen oder Simulationen für sich oder Kollegen absichtlich stören oder beeinträchtigen — zum Beispiel, indem Sie Erkennungsmerkmale einer laufenden Simulation verbreiten, damit andere sie herausfiltern können, bevor sie sie sehen;
• b. technische oder Sicherheitsmaßnahmen der Dienste zurückentwickeln, umgehen oder deaktivieren;
• c. Schadcode einschleusen oder versuchen, auf Konten, Daten oder Teile der Plattform zuzugreifen, die nicht Ihnen gehören;
• d. Schulungsinhalte, simulierte Nachrichten oder Simulationsergebnisse außerhalb Ihrer Organisation oder auf eine Weise teilen, veröffentlichen oder weiterleiten, die laufende Übungen für Kollegen beeinträchtigt;
• e. Zugangsdaten einer anderen Person verwenden oder anderen die Nutzung Ihrer Zugangsdaten gestatten; oder
• f. die Dienste für andere Zwecke als die von Ihrem Arbeitgeber eingerichtete Schulung nutzen.

Das Melden einer Nachricht ist niemals ein Verstoß gegen diese Bedingungen. Wenn Ihnen etwas verdächtig erscheint, melden Sie es über den üblichen Sicherheitskanal Ihrer Organisation — unabhängig davon, ob es sich am Ende um eine Simulation oder einen echten Angriff handelt. Genau dieses Meldeverhalten soll die Schulung fördern. Auch der normale Betrieb Ihrer Spam- und Sicherheitsfilter stellt niemals einen Verstoß dar.

9. Fairness bei der Schulungsgestaltung

Die Auszeichnungs- und Gamification-Funktionen der Plattform sind als positive Verstärkung konzipiert. Wir entwickeln keine Funktionen, deren Zweck darin besteht, einzelne Teilnehmende für das Nichtbestehen einer Simulation bloßzustellen.

Wie Ihr Arbeitgeber Ergebnisse verwendet, entscheidet er selbst; dies liegt außerhalb unserer Kontrolle. Wenn Sie Bedenken hinsichtlich der Verwendung von Ergebnissen haben, wenden Sie sich an Ihren Arbeitgeber oder Ihre Arbeitnehmervertretung.

10. Verfügbarkeit und Gewährleistungsausschluss

Wir erbringen die Dienste mit angemessener Sachkenntnis und Sorgfalt, stellen sie Ihnen jedoch „wie besehen“ und „wie verfügbar“ bereit. Wir garantieren nicht, dass sie unterbrechungs- oder fehlerfrei sind, dass jede Nachricht oder jeder Anruf Sie erreicht oder dass die Schulung ein bestimmtes Ergebnis erzielt.

11. Unsere Haftung Ihnen gegenüber

Soweit gesetzlich zulässig, haften wir Ihnen gegenüber nicht für indirekte oder Folgeschäden oder für den Verlust von Daten, Gewinnen oder Chancen, der aus Ihrer Nutzung der Dienste entsteht.

Diese Bedingungen schließen keine Haftung aus und begrenzen keine Haftung, die nach Schweizer Recht nicht ausgeschlossen oder begrenzt werden kann, einschließlich der Haftung für durch Fahrlässigkeit verursachten Tod oder Personenschäden, rechtswidrige Absicht oder grobe Fahrlässigkeit. Diese Bedingungen begrenzen weder Ihre Rechte gegenüber Ihrem Arbeitgeber noch Ihre Datenschutzrechte nach geltendem Recht.

12. Beendigung Ihres Zugangs

Ihr Arbeitgeber kontrolliert Ihren Zugang und kann ihn jederzeit beenden. Wir können Ihren Zugang sperren oder beenden, wenn Sie gegen Abschnitt 8 verstoßen oder wir dies aus Sicherheits- oder Rechtsgründen vernünftigerweise für erforderlich halten.

13. Änderungen dieser Bedingungen

Wir können diese Bedingungen aktualisieren. Wir veröffentlichen die aktualisierte Fassung mit einem neuen Datum unter „Zuletzt aktualisiert“. Ist eine Änderung wesentlich, machen wir sie vor ihrem Inkrafttreten auf der Plattform sichtbar. Wenn Sie die Dienste danach weiter nutzen, akzeptieren Sie die aktualisierten Bedingungen.

14. Anwendbares Recht

Diese Bedingungen unterliegen dem materiellen Recht der Schweiz unter Ausschluss des Kollisionsrechts. Die Gerichte des Kantons Waadt, Schweiz, sind zuständig, vorbehaltlich eines zwingenden Gerichtsstands, der Ihnen nach dem Recht Ihres Wohnsitzlandes zusteht.

15. Kontakt

Fragen zu diesen Bedingungen oder zur Plattform selbst:

Fragen zu Ihren eigenen Daten, Ihren Ergebnissen oder dem Grund Ihrer Anmeldung: Bitte wenden Sie sich an Ihren Arbeitgeber.