Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO:

Datenschutzbeauftragter: Derzeit wurde kein Datenschutzbeauftragter bestellt, weil die gesetzlichen Voraussetzungen nach Art. 37 DSGVO nach aktuellem Stand nicht erfüllt sind.

Anwendbares Recht

Diese Datenschutzerklärung richtet sich nach:

• EU/EWR: Datenschutz-Grundverordnung (DSGVO/GDPR)
• Deutschland: BDSG, TDDDG (ehemals TTDSG)
• Österreich: DSG, TKG 2021
• Schweiz: Bundesgesetz über den Datenschutz (DSG)

Für Nutzer aus der Schweiz: Das DSG (in Kraft seit 1.9.2023) entspricht weitgehend der DSGVO, enthält jedoch eigene Regelungen zu Informationspflichten und Betroffenenrechten.

2. Übersicht der Verarbeitungen

Die nachfolgende Übersicht fasst die Arten der verarbeiteten Daten und die Zwecke ihrer Verarbeitung zusammen:

3. Maßgebliche Rechtsgrundlagen

Im Folgenden teilen wir die Rechtsgrundlagen der DSGVO mit, auf deren Basis wir personenbezogene Daten verarbeiten:

• Einwilligung (Art. 6 Abs. 1 S. 1 lit. a DSGVO) – Die betroffene Person hat ihre Einwilligung in die Verarbeitung gegeben.
• Vertragserfüllung (Art. 6 Abs. 1 S. 1 lit. b DSGVO) – Die Verarbeitung ist für die Erfüllung eines Vertrags erforderlich.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 S. 1 lit. c DSGVO) – Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich.
• Berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO) – Die Verarbeitung ist zur Wahrung unserer berechtigten Interessen erforderlich.

3.1. Automatisierte Entscheidungsfindung und KI-Einsatz

Im Rahmen der Compliance-Scans setzen wir KI-gestützte Klassifizierungssysteme (Google Gemini API) ein, um Cookies, Tracker und Domains automatisiert zu kategorisieren. Dabei werden ausschließlich vom Nutzerkonto entkoppelte, technische Beobachtungen verarbeitet: Cookie- und Storage-Bezeichnungen samt Sicherheitsattributen, Cookie- bzw. Tracker-Domains, Häufigkeits- und bestehende Klassifizierungsangaben sowie CMP-Metadaten. Automatisch erfasste Rohwerte aus Cookies, Local Storage oder Session Storage werden bereits an der technischen Erfassungsgrenze verworfen und nicht übermittelt. Personenbezogene Nutzerdaten wie Name, E-Mail-Adresse oder Passwort werden den Klassifizierungsanfragen nicht beigefügt.

Diese Klassifizierungen stellen keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO dar, da sie keine rechtliche Wirkung entfalten und ausschließlich informativen Charakter haben. Alle Entscheidungen, die Sie in ähnlicher Weise erheblich beeinträchtigen könnten, werden von Menschen getroffen.

4. Sicherheitsmaßnahmen

Wir treffen technische und organisatorische Sicherheitsmaßnahmen entsprechend Art. 32 DSGVO:

• Verschlüsselung der Datenübertragung (TLS/SSL)
• Passwörter werden ausschließlich als Hash mit einem anerkannten, rechenaufwändigen Verfahren gespeichert — im Klartext liegen sie zu keinem Zeitpunkt vor
• Regelmäßige Sicherheitsupdates und Patches
• Zugriffskontrolle und Berechtigungsmanagement
• Pseudonymisierung und Anonymisierung: IP-Adressen werden in unseren Anwendungs-Logs und in gespeicherten Datensätzen anonymisiert (IPv4: letztes Oktett auf 0 gesetzt, z.B. 192.168.1.0; IPv6: auf /48-Präfix gekürzt). Kurzlebige Server-Zugriffslogs des Webservers können zur Abwehr von Angriffen und Missbrauch vorübergehend die vollständige IP-Adresse enthalten; sie werden nach 30–90 Tagen gelöscht (siehe nächster Punkt).
• Server-Access-Logs werden nach 30–90 Tagen gelöscht, Protokolle des Mailservers nach höchstens sechs Monaten (siehe Abschnitt 9). Sicherheits- und Audit-Logs werden aus Compliance-Gründen bis zu 12 Monate gespeichert und danach automatisch gelöscht.
• CSRF-Schutz (Cross-Site-Request-Forgery-Prävention)
• Rate-Limiting zum Schutz vor Brute-Force-Angriffen

5. Einsatz von Cookies

Wir selbst setzen ausschließlich technisch notwendige Cookies ein, die für den Betrieb der Website und des eingeloggten Bereichs unbedingt erforderlich sind. Zusätzlich nutzen wir eine technisch erforderliche browserseitige Speicherung (localStorage/sessionStorage) — etwa für zwischengespeicherte Formular-Entwürfe und Anzeige-Einstellungen. Die folgende Tabelle listet alle von uns eingesetzten Einträge vollständig auf. Diese Verarbeitungen erfordern gemäß § 165 Abs. 3 TKG 2021 (Österreich), § 25 Abs. 2 Nr. 2 TDDDG (Deutschland) sowie Art. 5 Abs. 3 der ePrivacy-Richtlinie keine Einwilligung. Im Bezahlvorgang bindet die Seite Stripe.js ein; Stripe setzt dabei eigene Cookies und Kennungen zur Betrugsprävention (siehe Abschnitt 10).

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der Sicherheit unserer Website und dem Schutz unserer Nutzer vor Angriffen.

6. Registrierung und Nutzerkonto

Nutzer können ein Nutzerkonto anlegen. Im Rahmen der Registrierung werden die erforderlichen Pflichtangaben erhoben:

• E-Mail-Adresse
• Passwort (wird nur als Hash gespeichert)
• Firmenname

Optional kann die Anmeldung über Passkeys (WebAuthn) erfolgen. Dabei wird ein kryptografischer öffentlicher Schlüssel auf unseren Servern gespeichert. Der private Schlüssel verbleibt ausschließlich auf Ihrem Endgerät und wird zu keinem Zeitpunkt an uns übermittelt.

Team-Einladungen: Wenn Sie Teammitglieder in Ihre Organisation einladen, verarbeiten wir die E-Mail-Adresse der eingeladenen Person zum Versand und zur Zuordnung der Einladung (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO). Nicht angenommene Einladungen laufen nach 7 Tagen ab und werden anschließend automatisch gelöscht.

Nachweis der AGB-Zustimmung: Bei der Registrierung – auch über eine Team-Einladung – und bei jeder Zustimmung zu geänderten AGB speichern wir die angenommene Fassung (Stand-Datum), den Zeitpunkt, den Browser (User-Agent) und die anonymisierte IP-Adresse. Rechtsgrundlage ist die Vertragserfüllung sowie unser berechtigtes Interesse am Nachweis der vereinbarten Vertragsfassung nach Abschnitt 14.5 der AGB (Art. 6 Abs. 1 lit. b und lit. f DSGVO). Diese Nachweise werden gespeichert, solange das Nutzerkonto besteht, und sind im Datenexport (Abschnitt 12) enthalten.

E-Mails zum Vertrag: An die Adresse Ihres Nutzerkontos senden wir die für den Vertrag erforderlichen Nachrichten, insbesondere Verifizierungs- und Sicherheitshinweise, Kaufbestätigungen sowie Ankündigungen und Zustimmungsanfragen zu Änderungen der AGB oder der Leistung nach Abschnitt 14 der AGB (Art. 6 Abs. 1 lit. b DSGVO). Werbung versenden wir darüber nicht.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)

Speicherdauer: Die Daten werden gespeichert, solange das Nutzerkonto besteht. Nutzer können ihr Konto jederzeit löschen.

Löschung: Bei Kontolöschung werden alle personenbezogenen Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

7. Compliance-Dokumentation (Inhaltsdaten)

Im Rahmen der Nutzung unseres Dienstes verarbeiten wir folgende Inhaltsdaten:

• DSGVO-Fragebögen und Verarbeitungsverzeichnisse
• NIS2-Asset-Inventar
• AI-Act-Systemklassifizierungen
• Website-Scan-Ergebnisse

Rechtsgrundlage: Für die Bereitstellung des Dienstes Ihnen gegenüber ist die Rechtsgrundlage die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Rolle / Auftragsverarbeitung: Soweit diese Inhaltsdaten personenbezogene Daten Dritter enthalten – etwa in Ihrem Verarbeitungsverzeichnis genannte Ansprechpartner, im NIS2-Inventar erfasste Personen oder in Scan-Ergebnissen enthaltene Angaben –, verarbeiten wir sie nicht in eigener Verantwortung, sondern ausschließlich in Ihrem Auftrag und nach Ihrer Weisung als Auftragsverarbeiter gemäß Art. 28 DSGVO. Verantwortlicher im Sinne der DSGVO bleiben Sie; die Rechtsgrundlage gegenüber den betroffenen Personen liegt bei Ihnen. Auf Wunsch schließen wir hierüber einen Auftragsverarbeitungsvertrag (AVV) mit Ihnen.

Speicherdauer: Diese Daten werden gespeichert, bis der Nutzer sie löscht oder sein Konto löscht. Scan-Ergebnisse werden zusätzlich nach 12 Monaten automatisch gelöscht. Separat abgelegte Detaildaten eines Scans (Einzelaufstellung der Netzwerk-Anfragen und Cookies) sowie die Screenshot-Dateien werden bereits nach 90 Tagen gelöscht; die technische Momentaufnahme, die Teil des Scan-Ergebnisses selbst ist, bleibt für dessen Laufzeit erhalten. Sie stammt aus einem automatisierten Seitenaufruf durch unseren Scanner und enthält keine Daten Ihrer Website-Besucher. Aggregierte Score-Verlaufsdaten für die Trend-Anzeige bleiben bis zur Löschung der Domain bzw. des Kontos erhalten.

8. Kontaktaufnahme per E-Mail oder Kontaktformular

Wenn Sie uns per E-Mail oder über unser Kontaktformular kontaktieren, verarbeiten wir folgende Daten:

• E-Mail-Adresse
• Name (sofern angegeben)
• Inhalt der Nachricht
• Zeitpunkt der Anfrage
• Beim Kontaktformular zusätzlich: der gewählte Betreff und Ihre gekürzte IP-Adresse (IPv4: letztes Oktett auf 0 gesetzt; IPv6: auf /48-Präfix gekürzt) zur Abwehr von Missbrauch

Zweck: Bearbeitung und Beantwortung Ihrer Anfrage.

Rechtsgrundlage: je nach Anliegen

• Vertragserfüllung (Art. 6 Abs. 1 lit. b Alt. 1 DSGVO), wenn Ihre Anfrage einen bestehenden Vertrag betrifft, etwa beim technischen Support;
• vorvertragliche Maßnahmen auf Ihre Anfrage (Art. 6 Abs. 1 lit. b Alt. 2 DSGVO), etwa bei Fragen zu unseren Tarifen;
• Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 12 DSGVO), wenn Sie Ihre Rechte als betroffene Person nach Art. 15–21 DSGVO geltend machen;
• im Übrigen unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), Ihr Anliegen zu beantworten – etwa bei allgemeinen Fragen, Feedback oder Partnerschaftsanfragen – und das Kontaktformular vor Missbrauch zu schützen.

Speicherdauer: Anfragen erreichen uns als E-Mail – auch die über das Kontaktformular. Die Korrespondenz wird nach Abschluss der Bearbeitung für maximal 3 Jahre aufbewahrt (Verjährungsfristen), sofern keine längeren gesetzlichen Aufbewahrungspflichten bestehen. Die nächtlichen Sicherungen des Postfachs auf unserem Server werden nach 30 Tagen gelöscht.

8a. Kündigungs- und Widerrufsformular

Unter compliancescan.eu/kuendigung können Sie einen Vertrag kündigen (Reiter „Kündigung“, Schaltfläche „Jetzt kündigen“) oder widerrufen (Reiter „Vertrag widerrufen“, Schaltfläche „Widerruf bestätigen“). Dabei verarbeiten wir:

• Ihren Namen (beim Widerruf Pflichtangabe, bei der Kündigung freiwillig)
• Ihre E-Mail-Adresse – an sie geht die Eingangsbestätigung
• die Vertragsart (Abonnement oder Credit-Paket) und, sofern angegeben, Angaben zur Identifizierung des Vertrags (etwa Kaufdatum oder Zahlungsreferenz)
• bei einer Kündigung ihre Art (ordentlich oder außerordentlich) und das gewünschte Vertragsende, bei einer außerordentlichen Kündigung den Kündigungsgrund (Pflichtangabe, höchstens 2.000 Zeichen); bei einer ordentlichen Kündigung und beim Widerruf speichern wir keinen Grund
• Datum und Uhrzeit des Eingangs sowie Ihre gekürzte IP-Adresse (IPv4: letztes Oktett auf 0 gesetzt; IPv6: auf /48-Präfix gekürzt)

Zweck: Entgegennahme, Bestätigung und Bearbeitung Ihrer Erklärung, Nachweis des Eingangszeitpunkts (Fristwahrung) und Schutz vor Missbrauch. Die Eingangsbestätigung senden wir ausschließlich an die angegebene E-Mail-Adresse. Nur wenn diese Adresse zu einem Kundenkonto gehört, erhält sie zusätzlich eine E-Mail mit einem 14 Tage gültigen Link, mit dem die automatische Bearbeitung (etwa die Erstattung) ausgelöst wird. Einen Widerruf ohne Namen – etwa aus einer noch geladenen älteren Fassung des Formulars – speichern wir ebenfalls; er wird nicht automatisch, sondern von uns von Hand bearbeitet. Wir selbst erhalten in unserem Betreiber-Postfach eine Benachrichtigung mit dem Inhalt der Erklärung; gehen mehr als fünf Erklärungen in einer Stunde ein, erhalten wir die weiteren gesammelt in einer stündlichen Übersicht.

Rechtsgrundlage: Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 13a FAGG bzw. §§ 312k, 356a BGB) für Entgegennahme und Bestätigung; Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) für die Abwicklung des Vertragsendes; unser berechtigtes Interesse am Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO) für die gekürzte IP-Adresse.

Speicherdauer: Die Erklärung speichern wir ein Jahr ab Eingang; löschen Sie Ihr Kundenkonto, löschen wir die diesem Konto zugeordneten Erklärungen sofort. Bestätigungslinks (14 Tage gültig) löschen wir nach 15 Tagen. Für die E-Mails gilt Abschnitt 8.

9. Server-Log-Dateien

Bei jedem Zugriff auf unsere Website werden automatisch Informationen in Server-Log-Dateien gespeichert:

• IP-Adresse (vollständig; Zweck: Abwehr von Angriffen und Missbrauch, Betriebssicherheit)
• Datum und Uhrzeit der Anfrage
• Aufgerufene Seite/Ressource
• HTTP-Statuscode
• Browser und Betriebssystem

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der Sicherheit und Stabilität unseres Angebots.

Speicherdauer: Server-Zugriffslogs des Webservers werden nach 30–90 Tagen gelöscht. Audit-Logs der Anwendung speichern IP-Adressen nur gekürzt (IPv4 letztes Oktett 0, IPv6 /48) und werden nach 12 Monaten gelöscht. Diese Fristen dienen der Erfüllung von Compliance-Anforderungen und der Nachvollziehbarkeit bei Sicherheitsvorfällen.

Mailserver: Unser Mailserver protokolliert für jede E-Mail, die er annimmt oder versendet, Absender- und Empfängeradresse, Zeitpunkt, Nachrichten-ID, die IP-Adresse des einliefernden Servers und den Zustellstatus – das betrifft auch die E-Mails, die wir Ihnen senden (etwa Bestätigungen und Benachrichtigungen). Zweck ist die Zustellung, die Fehlersuche und die Abwehr von Missbrauch; Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Diese Protokolle werden nach höchstens sechs Monaten gelöscht.

10. Auftragsverarbeiter und Drittanbieter

11. Übermittlung in Drittländer

Unsere primären Auftragsverarbeiter (Contabo, Stripe Payments Europe, Google Cloud EMEA) verarbeiten die Hosting-, Zahlungs- und Klassifizierungsdaten innerhalb der EU/des EWR. Soweit Cloudflare Turnstile für einen Widget-Schlüssel aktiviert ist, werden dabei die IP-Adresse und technische Browser-/Geräte-Signale des Besuchers direkt an Cloudflare, Inc. in den USA übermittelt (siehe Abschnitt 10).

Stripe Inc. (USA) und Google LLC (USA) können als Unterauftragnehmer ihrer jeweiligen EU-Gesellschaften Zugriff auf bestimmte Daten haben. In diesen Fällen erfolgt die Übermittlung auf Grundlage von:

• EU-Angemessenheitsbeschluss für die USA (EU-U.S. Data Privacy Framework, Art. 45 DSGVO)
• Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)

Weitere Informationen: Stripe Datentransfers

12. Rechte der betroffenen Personen

Ihnen stehen als Betroffene nach der DSGVO verschiedene Rechte zu:

• Auskunftsrecht (Art. 15 DSGVO): Sie haben das Recht, Auskunft über Ihre gespeicherten Daten zu erhalten.
• Berichtigungsrecht (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
• Löschungsrecht (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen ("Recht auf Vergessenwerden").
• Einschränkung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem strukturierten Format zu erhalten. Administratoren einer Organisation können im angemeldeten Zustand unter compliancescan.eu/api/export einen Datenexport (JSON) abrufen; was er enthält, beschreibt Abschnitt 5.9 der AGB. Daten, die er nicht enthält (etwa Scan-Ergebnisse), sowie den Export für alle übrigen Nutzer erhalten Sie auf Anfrage per E-Mail.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung auf Basis berechtigter Interessen widersprechen.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Erteilte Einwilligungen können Sie jederzeit widerrufen.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: kontakt@compliancescan.eu

13. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht auf Beschwerde bei einer Aufsichtsbehörde zu (Art. 77 DSGVO).

Österreichische Datenschutzbehörde (DSB)
Barichgasse 40-42
1030 Wien
Österreich
www.dsb.gv.at

Für die Schweiz:
Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Feldeggweg 1
3003 Bern
www.edoeb.admin.ch

Für Deutschland:
Je nach Bundesland zuständige Landesdatenschutzbehörde.
Übersicht: www.bfdi.bund.de

14. Änderung dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen des Dienstes anzupassen. Die jeweils aktuelle Version finden Sie stets auf dieser Seite. Diese Erklärung erfüllt die Informationspflichten nach Art. 13 und 14 DSGVO; ihre Anpassung ist keine Vertragsänderung nach Abschnitt 14 der AGB. Über wesentliche Änderungen informieren wir Sie per E-Mail.