Datenschutz

Datenschutzerklärung

Entwurf: Dieser Text ist noch nicht rechtlich geprüft. Eckige Klammern markieren Angaben, die noch ergänzt oder entschieden werden müssen.

Stand: [Datum]

Diese Erklärung beschreibt, welche personenbezogenen Daten beim Besuch dieser Website, bei einer Kontaktaufnahme und bei der Nutzung des Kundenbereichs verarbeitet werden.

1. Verantwortlicher

Stefan Lindecke
CMS Gutachter
Talstr. 4b
45739 Oer-Erkenschwick
Telefon: +49 (0) 2368 890367
E-Mail: webmaster@lindesbs.de

Ein Datenschutzbeauftragter ist nicht benannt, da keine gesetzliche Pflicht dazu besteht. [Prüfen]

2. Besuch dieser Website

Server-Logdateien

Beim Aufruf dieser Website verarbeitet der Webserver automatisch Daten, die Ihr Browser übermittelt: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, HTTP-Statuscode, übertragene Datenmenge, Referrer und Browserkennung (User-Agent).

Zweck ist die Auslieferung der Website, ihre Sicherheit und die Fehleranalyse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren und stabilen Betrieb. Die Logdateien werden nach [Anzahl] Tagen gelöscht. [Aufbewahrungsdauer der Caddy-Logs auf dem Server eintragen.]

Hosting

Die Website wird auf einem Server von [Name und Anschrift des Hosters, Serverstandort] betrieben. Mit dem Hoster besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. [Prüfen]

Keine Cookies, kein Tracking

Diese Website setzt keine Cookies, verwendet keine Analyse- oder Trackingdienste und bindet keine Inhalte externer Anbieter ein, etwa Schriften, Karten oder Videos. Alle Dateien werden vom eigenen Server ausgeliefert.

Verschlüsselung

Die Verbindung zu dieser Website ist per TLS verschlüsselt.

3. Kontaktaufnahme

Wenn Sie per E-Mail oder Telefon Kontakt aufnehmen, werden Ihre Angaben (etwa Name, E-Mail-Adresse, Telefonnummer, Inhalt der Anfrage und übermittelte Unterlagen) zur Bearbeitung der Anfrage verarbeitet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf einen Vertrag zielt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (Interesse an der Beantwortung von Anfragen). Die Daten werden gelöscht, wenn die Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten bestehen.

4. Kundenbereich

Der Kundenbereich unter [Adresse des Kundenbereichs] dient dem automatisierten Domain-Check und der Anfrage individueller Gutachten.

Kundenkonto

Bei der Registrierung verarbeiten wir Ihre E-Mail-Adresse, einen Hash Ihres Passworts (nie das Passwort selbst), Ihre Rolle sowie Zeitpunkte von Registrierung, Bestätigung und Anmeldung. Zur Bestätigung erhalten Sie eine E-Mail mit einem Link. Nicht bestätigte Registrierungen werden nach sieben Tagen automatisch gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Kontodaten werden gespeichert, bis Sie Ihr Konto löschen.

Prüfung auf bekannte Datenlecks

Beim Festlegen eines Passworts prüfen wir, ob es in bekannten Datenlecks vorkommt. Dazu werden nur die ersten fünf Zeichen einer SHA-1-Prüfsumme des Passworts an den Dienst „Have I Been Pwned“ übermittelt; das Passwort selbst und Ihre E-Mail-Adresse werden nicht übermittelt. Ein Rückschluss auf das Passwort ist daraus nicht möglich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz Ihres Kontos). [Prüfen, ob dies eine Übermittlung personenbezogener Daten ist.]

Sitzungs-Cookie

Nach der Anmeldung setzt der Kundenbereich ein Sitzungs-Cookie, das Sie bis zur Abmeldung angemeldet hält. Es ist für die Nutzung technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und wird beim Schließen des Browsers bzw. bei der Abmeldung ungültig. [Prüfen, ob weitere Cookies gesetzt werden, etwa für „angemeldet bleiben“.]

Domain-Nachweis

Für eine Prüfung tragen Sie eine Domain ein und weisen die Inhaberschaft per DNS-Eintrag oder Datei auf der Website nach. Wir speichern die Domain und den Prüfcode und prüfen den Nachweis regelmäßig erneut. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; der Nachweis stellt sicher, dass keine fremden Websites ohne Zustimmung geprüft werden.

Prüfungen und Ergebnisse

Bei einer Prüfung ruft ein automatisierter Browser die angegebene Website auf. Gespeichert werden die Befunde, Auszüge aus dem Quelltext, Screenshots, ein Mitschnitt der Netzwerkverbindungen (einschließlich der von der geprüften Website gesetzten Cookies und HTTP-Header) und die erzeugten Berichte. Diese Daten können personenbezogene Daten enthalten, die auf der geprüften Website veröffentlicht sind, etwa Namen oder Kontaktdaten im Impressum.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Prüfergebnisse werden nach [365 Tagen] automatisch gelöscht, sofort bei Löschung des Projekts oder des Kontos. [Mit dem Anwalt klären: Rolle bei personenbezogenen Daten Dritter auf der geprüften Website, gegebenenfalls Auftragsverarbeitung.]

Gutachten anfragen und Kopie der Website

Wenn Sie im Kundenbereich ein individuelles Gutachten anfragen, erhält der Gutachter Zugriff auf Ihr Projekt und die Prüfergebnisse. Mit Ihrer ausdrücklichen Zustimmung fertigt er eine vollständige Kopie Ihrer Website an (Seiten, Dateien und eingebundene Ressourcen der eigenen Domain), um den geprüften Stand nachvollziehbar zu sichern. Zeitpunkt und Wortlaut Ihrer Zustimmung werden gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit Ihrer Zustimmung [bzw. Art. 6 Abs. 1 lit. a DSGVO, mit dem Anwalt klären]. Sie können die Anfrage jederzeit im Kundenbereich zurückziehen. Dann endet der Zugriff des Gutachters, und vorhandene Kopien werden gelöscht. Andernfalls wird die Kopie mit dem Projekt oder dem Konto gelöscht, spätestens nach [Frist].

Sicherheitsprotokoll

Zum Schutz des Dienstes und zum Erkennen von Missbrauch protokollieren wir sicherheitsrelevante Vorgänge, etwa Anmeldungen, Passwortänderungen, gestartete Prüfungen und Käufe. Gespeichert werden das handelnde Konto, die Aktion, die IP-Adresse, eine Prüfsumme der Browserkennung und der Zeitpunkt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Einträge werden nach zwölf Monaten gelöscht.

Support-Zugriff

Im Support-Fall können Administratoren mit Ihrem Konto arbeiten. Das geschieht nur mit dokumentiertem Grund, nach erneuter Anmeldung, nur lesend und für höchstens 30 Minuten. Jeder Zugriff wird protokolliert, und Sie werden anschließend per E-Mail über Zeitpunkt, Dauer, Administrator und Grund informiert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO.

E-Mails

Für Bestätigungslinks, Passwort-Links, Benachrichtigungen über fertige Prüfungen und Kaufbestätigungen versenden wir E-Mails über [Name und Anschrift des E-Mail-Dienstleisters]. Mit dem Dienstleister besteht ein Vertrag zur Auftragsverarbeitung. [Prüfen]

5. Zahlung über Stripe

Den Kauf einer Domain-Lizenz wickeln wir über Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland („Stripe“) ab. Stripe verarbeitet dabei Ihre Zahlungsdaten, Name, Rechnungsanschrift, E-Mail-Adresse und gegebenenfalls Ihre Umsatzsteuer-Identifikationsnummer und erstellt die Rechnung. Kartendaten erreichen unser System nicht. Wir speichern nur die von Stripe vergebenen Kennungen, Betrag, Währung und Zahlungsstatus je Konto und Domain.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO für steuerliche Pflichten. Stripe kann Daten auch an Stripe, Inc. in den USA übermitteln; Stripe, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert. Stripe verarbeitet Daten zum Teil in eigener Verantwortung, etwa zur Betrugsprävention. Näheres in der Datenschutzerklärung von Stripe. [Prüfen: gemeinsame oder getrennte Verantwortlichkeit, aktueller Stand der Zertifizierung.]

Rechnungen und Zahlungsbelege bewahren wir nach den handels- und steuerrechtlichen Vorschriften auf (§ 147 AO, § 257 HGB), auch wenn das Konto gelöscht wird.

6. Empfänger

Personenbezogene Daten erhalten nur Stellen, die für die genannten Zwecke erforderlich sind: der Hoster, der E-Mail-Dienstleister, Stripe für die Zahlung sowie gegebenenfalls Steuerberater und Behörden im Rahmen gesetzlicher Pflichten. Eine Weitergabe zu Werbezwecken findet nicht statt.

7. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO).

Soweit eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen (Art. 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Wenden Sie sich dafür an die oben genannten Kontaktdaten. Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

8. Pflicht zur Bereitstellung und automatisierte Entscheidungen

Die Angaben im Kundenbereich sind für den Vertragsschluss erforderlich; ohne sie kann der Domain-Check nicht genutzt werden. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.