API-Dokumentation

1. Authentifizierung

Alle API-Anfragen (außer /health) erfordern einen API-Key. Erstellen Sie Ihren Key unter Einstellungen → API-Zugang.

API-Keys sind immer an die Organisation gebunden, die beim Erstellen in Ihrem Konto aktiv ausgewählt war. Ein Key kann daher nur Scans und Daten genau dieser Organisation lesen und schreiben.

Header-Format

Authorization: Bearer csk_live_IhrApiKeyHier...

Alternativ:

X-API-Key: csk_live_IhrApiKeyHier...

2. Rate-Limits

Response-Header

X-RateLimit-Limit: 30
X-RateLimit-Remaining: 28
X-RateLimit-Reset: 1708599120
Retry-After: 45

Bei Überschreitung des Minuten- oder Tageslimits (429 RATE_LIMIT_EXCEEDED bzw. 429 DAILY_LIMIT_EXCEEDED) liefert die API zusätzlich den Standard-Header Retry-After in Sekunden.

3. Endpoints

{
  "status": "ok",
  "version": "1.0.0"
}

{
  "plan": "business",
  "organization": {
    "id": 12,
    "name": "Acme GmbH"
  },
  "email": "user@example.com",
  "credits": {
    "remaining": 47
  },
  "scans": {
    "running": 0,
    "pending": 0,
    "concurrency_limit": 2,
    "queue_limit": 50
  },
  "api_usage": {
    "requests_this_month": 124,
    "scans_this_month": 3
  }
}

{
  "url": "https://example.com",
  "type": "full"  // Full-Scan (kostet 1 Credit)
}

{
  "status": "completed",
  "scan": {
    "url": "https://example.com",
    "type": "full",
    "gdpr_score": 70,
    "pages_scanned": 45,
    "trackers": 3,
    "tracker_list": ["google-analytics.com", "doubleclick.net", "facebook.net"],
    "third_parties": 28,
    "cookies": 15,
    "has_privacy_policy": true,
    "privacy_urls": ["https://example.com/datenschutz"],
    "has_imprint": true,
    "imprint_urls": ["https://example.com/impressum"],
    "has_terms": true,
    "terms_urls": ["https://example.com/agb"],
    "has_cookie_banner": true,
    "scanned_at": "2026-02-22T08:15:47Z",
    "scan_duration_ms": 47320
  }
}

4. Code-Beispiele

cURL

# Full-Scan starten (kostet 1 Credit)
curl -X POST https://compliancescan.eu/api/v1/scans \
  -H "Authorization: Bearer csk_live_IhrKeyHier" \
  -H "Content-Type: application/json" \
  -d '{"url": "https://example.com", "type": "full"}'

# Ergebnis ausgeben (mit jq)
curl -s -X POST https://compliancescan.eu/api/v1/scans \
  -H "Authorization: Bearer csk_live_IhrKeyHier" \
  -H "Content-Type: application/json" \
  -d '{"url": "https://example.com", "type": "full"}' | jq .

# Account-Info abrufen
curl https://compliancescan.eu/api/v1/account \
  -H "Authorization: Bearer csk_live_IhrKeyHier"

Python

import requests

API_KEY = "csk_live_IhrKeyHier"
BASE_URL = "https://compliancescan.eu/api/v1"

headers = {
    "Authorization": f"Bearer {API_KEY}",
    "Content-Type": "application/json"
}

# Full-Scan
response = requests.post(
    f"{BASE_URL}/scans",
    headers=headers,
    json={"url": "https://example.com", "type": "full"},
    timeout=600  # Full-Scans können bis zu 8 Min dauern, plus Wartezeit in der Warteschlange
)
result = response.json()
print(f"DSGVO-Score: {result['scan']['gdpr_score']}/100")
print(f"Seiten gescannt: {result['scan']['pages_scanned']}")

Node.js

import { fetch, Agent } from 'undici'; // npm install undici

const API_KEY = 'csk_live_IhrKeyHier';
const BASE_URL = 'https://compliancescan.eu/api/v1';

// Full-Scans können bis zu 8 Min dauern, plus Wartezeit in der Warteschlange
const dispatcher = new Agent({ headersTimeout: 600_000, bodyTimeout: 600_000 });

async function scan(url, type = 'full') {
  const response = await fetch(`${BASE_URL}/scans`, {
    method: 'POST',
    headers: {
      'Authorization': `Bearer ${API_KEY}`,
      'Content-Type': 'application/json'
    },
    body: JSON.stringify({ url, type }),
    dispatcher
  });

  if (!response.ok) {
    const error = await response.json();
    throw new Error(`${error.code}: ${error.error}`);
  }

  return response.json();
}

// Verwendung
const result = await scan('https://example.com', 'full');
console.log(`DSGVO-Score: ${result.scan.gdpr_score}/100`);
console.log(`Seiten gescannt: ${result.scan.pages_scanned}`);

PHP

<?php
$apiKey = 'csk_live_IhrKeyHier';
$baseUrl = 'https://compliancescan.eu/api/v1';

// Full-Scan
$ch = curl_init("$baseUrl/scans");
curl_setopt_array($ch, [
    CURLOPT_POST => true,
    CURLOPT_RETURNTRANSFER => true,
    CURLOPT_HTTPHEADER => [
        "Authorization: Bearer $apiKey",
        'Content-Type: application/json'
    ],
    CURLOPT_POSTFIELDS => json_encode([
        'url' => 'https://example.com',
        'type' => 'full'
    ])
]);

$response = curl_exec($ch);
$httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
curl_close($ch);

$result = json_decode($response, true);
echo "Trackers: " . $result['scan']['trackers'] . "\n";
echo "Status: " . $result['status'] . "\n";

Go

package main

import (
	"bytes"
	"encoding/json"
	"fmt"
	"net/http"
	"io"
)

func main() {
	apiKey := "csk_live_IhrKeyHier"
	baseURL := "https://compliancescan.eu/api/v1"

	body, _ := json.Marshal(map[string]string{
		"url":  "https://example.com",
		"type": "full",
	})

	req, _ := http.NewRequest("POST", baseURL+"/scans", bytes.NewBuffer(body))
	req.Header.Set("Authorization", "Bearer "+apiKey)
	req.Header.Set("Content-Type", "application/json")

	resp, err := http.DefaultClient.Do(req)
	if err != nil {
		panic(err)
	}
	defer resp.Body.Close()

	data, _ := io.ReadAll(resp.Body)

	var result map[string]interface{}
	json.Unmarshal(data, &result)
	fmt.Printf("Status: %s\n", result["status"])
}

Ruby

require 'net/http'
require 'json'
require 'uri'

api_key = 'csk_live_IhrKeyHier'
base_url = 'https://compliancescan.eu/api/v1'

uri = URI("#{base_url}/scans")
http = Net::HTTP.new(uri.host, uri.port)
http.use_ssl = true
http.read_timeout = 600 # Full-Scans können bis zu 8 Min dauern, plus Wartezeit in der Warteschlange

request = Net::HTTP::Post.new(uri)
request['Authorization'] = "Bearer #{api_key}"
request['Content-Type'] = 'application/json'
request.body = { url: 'https://example.com', type: 'full' }.to_json

response = http.request(request)
result = JSON.parse(response.body)

puts "Trackers: #{result['scan']['trackers']}"
puts "Score: #{result['scan']['gdpr_score']}" if result['scan']['gdpr_score']

C# (.NET)

using var client = new HttpClient();
client.Timeout = TimeSpan.FromMinutes(10); // Full-Scans können bis zu 8 Min dauern, plus Wartezeit in der Warteschlange
client.DefaultRequestHeaders.Add("Authorization", "Bearer csk_live_IhrKeyHier");

var content = new StringContent(
    "{\"url\":\"https://example.com\",\"type\":\"full\"}",
    System.Text.Encoding.UTF8,
    "application/json"
);

var response = await client.PostAsync(
    "https://compliancescan.eu/api/v1/scans", content
);
var json = await response.Content.ReadAsStringAsync();

Console.WriteLine(json);

Java

import java.net.http.*;
import java.net.URI;

var client = HttpClient.newHttpClient();
var request = HttpRequest.newBuilder()
    .uri(URI.create("https://compliancescan.eu/api/v1/scans"))
    .header("Authorization", "Bearer csk_live_IhrKeyHier")
    .header("Content-Type", "application/json")
    .POST(HttpRequest.BodyPublishers.ofString(
        "{\"url\":\"https://example.com\",\"type\":\"full\"}"
    ))
    .build();

var response = client.send(request, HttpResponse.BodyHandlers.ofString());
System.out.println(response.body());

5. Fehlercodes

Fehler-Response Format

{
  "error": "Rate limit exceeded. Try again in 45 seconds.",
  "code": "RATE_LIMIT_EXCEEDED",
  "retry_after": 45
}

Für automatisierte Clients ist der Header Retry-After die kanonische Backoff-Information; das JSON-Feld retry_after wird parallel mitgeliefert.

6. Datenexport und Datenformate (Data Act)

Dieses Register beschreibt nach Art. 26 lit. b der Verordnung (EU) 2023/2854 (Data Act) die Datenstrukturen und Datenformate, in denen die nach Ziffer 5.9 unserer AGB exportierbaren Daten bereitstehen, sowie die dabei verwendeten Normen und offenen Spezifikationen. Wir halten es bei jeder Änderung des Exports aktuell.

Normen und offene Spezifikationen

• JSON nach RFC 8259 (ECMA-404), Medientyp application/json, Zeichenkodierung UTF-8 (RFC 3629).
• Zeitpunkte als Zeichenkette nach ISO 8601 im Profil von RFC 3339, in UTC (etwa 2026-10-06T08:00:00.000Z); reine Kalenderdaten als JJJJ-MM-TT.
• Werte: Zahlen als JSON-Zahlen, Wahrheitswerte als true/false, fehlende Angaben als null; strukturierte Felder (etwa data einer NIS2-Selbsteinschätzung) als eingebettetes JSON.
• Übertragung über HTTPS (HTTP nach RFC 9110, verschlüsselt mit TLS).
• Screenshots als WebP-Bilddateien (RFC 9649).

Exportwege (AGB 5.9 a bis d)

Aufbau von compliance-export.json

Ein JSON-Objekt mit den folgenden Schlüsseln. Listen mit Höchstzahl enthalten die jüngsten Einträge zuerst und enden bei dieser Zahl. Bei Listen mit „alle Felder“ enthält jeder Eintrag sämtliche Felder des gespeicherten Datensatzes.

Beispiel (gekürzt)

{
  "exported_at": "2026-10-06T08:00:00.000Z",
  "gdpr_basis": "Art. 15 / Art. 20 GDPR — personal data export",
  "organization": { "id": 1, "name": "ACME", "created_at": "2026-01-15T09:30:00.000Z" },
  "user": { "id": 7, "email": "admin@example.com", "tier": "business", "created_at": "2026-01-15T09:30:00.000Z" },
  "questionnaires": [{ "id": 3, "organization_id": 1, "company_name": "ACME", "is_draft": false, "…": "…" }],
  "nis2_assessment": [{ "id": 2, "organization_id": 1, "data": { "…": "…" }, "version": 4, "…": "…" }],
  "credit_transactions": [{ "id": 11, "user_id": 7, "amount": 10, "reason": "purchase", "stripe_payment_id": "pi_…", "created_at": "2026-10-01T12:00:00.000Z" }],
  "…": "…"
}

Aufbau des Exports auf Verlangen (Weg d)

Auf Verlangen erhalten Sie für jede der folgenden Tabellen eine Datei mit allen Datensätzen Ihrer Organisation bzw. Ihres Kontos – als Liste von Objekten, deren Schlüssel die Spaltennamen sind; Formate wie oben beschrieben, Screenshots als WebP-Dateien. Ausgenommen sind nur die in Ziffer 5.9 der AGB genannten Sicherheitsdaten (Schlüsselmaterial, Hashwerte, Token).

Übertragung zu uns (Art. 26 lit. a Data Act)

Eine Funktion, mit der sich Daten aus einem anderen Dienst oder einer eigenen IT-Umgebung in ComplianceScan importieren lassen, gibt es derzeit nicht. Verzeichnisse, NIS2- und AI-Act-Angaben werden über die Eingabemasken erfasst; Scan-Ergebnisse entstehen durch Scans – auch über die API (Abschnitt 3).

7. Datenstandort und Drittstaatszugriff (Data Act)

Nach Art. 28 Abs. 1 der Verordnung (EU) 2023/2854 (Data Act) veröffentlichen wir hier, welcher Gerichtsbarkeit die für unseren Dienst genutzte IKT-Infrastruktur unterliegt und welche Maßnahmen wir gegen einen unrechtmäßigen staatlichen Zugriff aus Drittländern auf in der Union gespeicherte nicht-personenbezogene Daten getroffen haben. Stand: 6. Oktober 2026.

Gerichtsbarkeit der Infrastruktur

Die Plattform läuft mit ihrer Datenbank, ihren Dateien (etwa Screenshots) und ihrem E-Mail-Versand auf einem einzigen Server, den die Contabo GmbH (Sitz München, Deutschland) in einem Rechenzentrum in Deutschland bereitstellt. Diese Infrastruktur unterliegt dem Recht der Europäischen Union und der Bundesrepublik Deutschland. Der Anbieter hat seinen Sitz in Österreich. Datensicherungen überträgt er verschlüsselt über einen verschlüsselten Tunnel auf ein zweites, vom Anbieter selbst betriebenes Sicherungssystem in Österreich; es unterliegt dem Recht der Europäischen Union und der Republik Österreich.

Dienste Dritter

• Google Cloud EMEA Limited (Dublin, Irland) klassifiziert über die Gemini API Cookies, Tracker und Domains. Google erhält dafür nur minimierte technische Beobachtungen (Cookie- und Storage-Bezeichnungen, Domains, Häufigkeits- und Klassifizierungsangaben, CMP-Metadaten), keine Verzeichnisse, NIS2- oder AI-Act-Angaben unserer Kunden. Google LLC (USA) kann als Unterauftragnehmer Zugriff haben.
• Stripe Payments Europe, Limited (Irland) wickelt die Zahlungen ab; Stripe, Inc. (USA) kann als Unterauftragnehmer Zugriff haben.
• Cloudflare, Inc. (San Francisco, USA) schützt mit Cloudflare Turnstile unser einbettbares Scan-Widget vor automatisiertem Missbrauch, soweit es für den jeweiligen Widget-Schlüssel aktiviert ist. Dabei werden die IP-Adresse und technische Browser-/Geräte-Signale des Widget-Besuchers an Cloudflare übermittelt; die Verarbeitung kann in den USA erfolgen und ist durch EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework abgesichert.
• Proxy-Dienste: Derzeit setzt der Anbieter keinen externen Proxy-Dienst ein; wird künftig einer eingesetzt, nennen wir ihn hier vorab.

Maßnahmen gegen unrechtmäßigen Zugriff aus Drittländern

• Technisch: Datenbank und interne Dienste sind nur auf dem Server selbst erreichbar; die Firewall lässt von außen nur Web, E-Mail und SSH zu, die Anmeldung per SSH nur mit Schlüssel. Verbindungen zur Plattform sind mit TLS verschlüsselt (HTTPS), die auf das Sicherungssystem übertragenen Datensicherungen sind verschlüsselt (Borg, „repokey-blake2“) und werden über einen verschlüsselten Tunnel (WireGuard) übertragen. Passwörter sowie API- und Widget-Schlüssel speichern wir nur als Hashwert.
• Organisatorisch: Zugang zu Server, Datenbank und Datensicherungen hat ausschließlich der Anbieter. Ein Datenzugangsverlangen eines Gerichts oder einer Behörde eines Drittlands befolgt er nur, wenn es auf einer internationalen Übereinkunft beruht oder die Voraussetzungen des Art. 32 Abs. 3 Data Act erfüllt sind; er gibt dann nur die Mindestmenge an Daten heraus und unterrichtet den Kunden vorher, außer wenn das Verlangen Strafverfolgungszwecken dient, solange dies zur Wahrung der Wirksamkeit der Strafverfolgung erforderlich ist (Art. 32 Abs. 2, 4 und 5 Data Act).
• Vertraglich: Hosting und Klassifizierung erbringen Vertragspartner mit Sitz in der EU (Contabo GmbH, Google Cloud EMEA Limited), mit denen Auftragsverarbeitungsverträge nach Art. 28 DSGVO bestehen.