Datenschutzerklärung

Unsere Webanwendung wird gehostet bei IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland. Die Server befinden sich in Deutschland.

Bei jedem Zugriff auf unsere Webanwendung werden folgende Daten durch den Webserver automatisch in Logfiles gespeichert:

• IP-Adresse des anfragenden Rechners
• Datum und Uhrzeit des Zugriffs
• Name und URL der abgerufenen Seite
• Übertragene Datenmenge
• HTTP-Statuscode
• Browsertyp und -version
• Betriebssystem
• Referrer-URL

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Gewährleistung der Systemsicherheit). Die Server-Logfiles werden nach spätestens 30 Tagen automatisch gelöscht.

Bei Nutzung der Website-Analyse-Funktion werden folgende technische Daten in unserer Datenbank gespeichert:

• Analysierte Domain (z.B. example.com)
• Technische Analyseergebnisse (DNS-Records, SSL-Zertifikate, HTTP-Header, SEO-Daten, Security-Header, Performance-Metriken)
• Zeitstempel der Analyse
• Berechnete Scores und Bewertungen

Diese Daten enthalten keine personenbezogenen Informationen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Scan-Ergebnisse werden für maximal 6 Monate (180 Tage) in unserer Datenbank gespeichert. Nach Ablauf dieser Frist werden sämtliche zugehörigen Daten (Scan-Ergebnisse, Modul-Resultate und – sofern keine weiteren Scans vorliegen – der Domain-Eintrag) automatisch und unwiderruflich gelöscht.

Die automatische Löschung erfolgt täglich durch einen serverseitigen Bereinigungsprozess.

Sie haben das Recht, jederzeit die vorzeitige Löschung Ihrer Scan-Daten zu verlangen. Nutzen Sie hierfür unser Kontaktformular oder wenden Sie sich per E-Mail an support@webalyzr.de.

Rechtsgrundlage: Art. 17 DSGVO (Recht auf Löschung), Art. 5 Abs. 1 lit. e DSGVO (Speicherbegrenzung).

Bei der Nutzung unserer Standalone-Tools (Traceroute, SMTP-Diagnose, Port Scanner, Ping, DNS Lookup, DKIM Validator, Blacklist Check, BIMI Lookup, robots.txt-Analyzer, Sitemap-Analyzer, HTTP/2- und HTTP/3-Check, Meta Tag Analyzer, IP Lookup, E-Mail Header Analyse) und Generatoren (SPF, DMARC, CSP, robots.txt, Meta Tags, .htaccess) werden die eingegebenen Daten ausschließlich zur unmittelbaren Verarbeitung und Anzeige des Ergebnisses verwendet.

Diese Eingaben und Ergebnisse werden nicht in unserer Datenbank gespeichert.

Scan-Ergebnisse, die nicht im versteckten Modus durchgeführt wurden, sind öffentlich unter /report/[domain] einsehbar. Diese Seiten enthalten ausschließlich technische Analysedaten (DNS-Records, HTTP-Header, SSL-Zertifikate, SEO-Metriken etc.) und keine personenbezogenen Informationen.

Die Report-Seiten sind durch Suchmaschinen indexierbar. Wenn Sie nicht möchten, dass die Scan-Ergebnisse Ihrer Domain öffentlich zugänglich sind, nutzen Sie den Hidden-Modus (Checkbox „Nicht anzeigen“) beim Start des Scans.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung technischer Analyseberichte).

Bei Aktivierung des Hidden-Modus („Nicht anzeigen“) werden sämtliche Scan-Daten (Scan-Ergebnisse, Modul-Resultate und Domain-Eintrag) innerhalb von 10 Minuten nach Abschluss des Scans automatisch und vollständig aus unserer Datenbank gelöscht.

Versteckte Scans sind nicht öffentlich zugänglich und erscheinen weder in der Verlaufsliste noch in der Sitemap.

Alle nicht-versteckten Domains erscheinen in einer dynamisch generierten Sitemap unter /api/sitemap.xml. Diese enthält ausschließlich die Domain-Namen und Links zu den öffentlichen Report-Seiten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Auffindbarkeit technischer Analyseergebnisse durch Suchmaschinen).

Zum Schutz vor Missbrauch und zur Gewährleistung der Dienstverfügbarkeit werden IP-Adressen temporär für das Rate-Limiting gespeichert. Diese Speicherung erfolgt ausschließlich im Arbeitsspeicher (RAM) und wird nach maximal 15 Minuten automatisch gelöscht.

Die IP-Adresse des Nutzers, der einen Scan auslöst, wird nicht zusammen mit den Scan-Ergebnissen in der Datenbank gespeichert. Es besteht somit keine dauerhafte Verknüpfung zwischen Scan-Ergebnissen und der IP-Adresse des anfragenden Nutzers.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor Missbrauch und an der Aufrechterhaltung der Dienstverfügbarkeit).

Sämtliche erhobene und gespeicherte Daten (Scan-Ergebnisse, technische Analysedaten, temporäre Rate-Limiting-Daten) werden nicht an Dritte weitergegeben, verkauft oder für andere Zwecke als die unmittelbare Funktionalität der Anwendung verwendet.

Bei Nutzung des Kontaktformulars werden verarbeitet: Ihr Name, Ihre E-Mail-Adresse, Ihre Nachricht und der Zeitpunkt der Absendung.

Die Daten werden ausschließlich per E-Mail an support@webalyzr.de versendet. Der Versand erfolgt über die Microsoft Graph API (Microsoft 365). Die Daten werden nicht in unserer Anwendungsdatenbank gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) bzw. Art. 6 Abs. 1 lit. b DSGVO bei vertragsrelevanten Anfragen.

Speicherdauer: Kontaktanfragen werden spätestens 6 Monate nach abschließender Bearbeitung gelöscht, sofern keine vertraglichen oder gesetzlichen Aufbewahrungspflichten (insb. § 147 AO, § 257 HGB) einer früheren Löschung entgegenstehen.

Für den E-Mail-Versand nutzen wir Microsoft 365 (Microsoft Ireland Operations Ltd., Dublin, Irland; Mutterkonzern: Microsoft Corporation, Redmond, USA). Mit Microsoft wurde ein Auftragsverarbeitungsvertrag gem. Art. 28 DSGVO geschlossen. Soweit dabei eine Übermittlung in die USA stattfindet, erfolgt diese auf Grundlage des EU-US Data Privacy Framework (Microsoft ist DPF-zertifiziert) sowie ergänzend der EU-Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO.

Beim Aufruf des Tools Phishing URL Checker wird die von Ihnen eingegebene URL an folgende externe Reputation-Dienste übermittelt, um die Sicherheitseinstufung anzureichern:

• Google Safe Browsing (Google LLC, Mountain View, USA) — Prüfung gegen Googles Phishing-/Malware-Datenbank. Die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023). Google LLC ist DPF-zertifiziert; ergänzend gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Datenschutzhinweise: safebrowsing.google.com/safebrowsing/explained.html
• URLhaus (Schweizer Verein abuse.ch, Bern, Schweiz) — Prüfung gegen die URLhaus-Malware-Datenbank. Die Übermittlung in die Schweiz erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission (2000/518/EG). Datenschutzhinweise: abuse.ch/privacy
• RDAP-Registry-Services (Verisign / DENIC / EURid und weitere Domain-Registries) — Abfrage des Domain-Registrierungsdatums über das WHOIS-Nachfolgerprotokoll RDAP. Es werden ausschließlich der Domain-Name und Zeitstempel der Anfrage übermittelt. Anfragen erfolgen direkt an die zuständige Registry der jeweiligen Top-Level-Domain (z.B. rdap.denic.de für .de-Domains).

Sie haben die Wahl: Wenn Sie keine externe Prüfung wünschen, können Sie das Tool einfach nicht nutzen — die Webalyzr-Hauptfunktionen (Scan, Module, andere Tools) funktionieren ohne diese externen Aufrufe.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Nutzung des Tools mit Bestätigung der AGB) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer wirksamen Phishing-Erkennung).

Für den Phishing URL Checker und Blacklist-Check werden URL-Prüfungen auch an die URLhaus-API von abuse.ch (CH) gestellt. Mit abuse.ch wird kein gesonderter Auftragsverarbeitungsvertrag geschlossen, da der Dienst als öffentlich zugängliche Sicherheitsdatenbank ohne nutzerbezogene Datenverarbeitung betrieben wird. Es werden nur URLs übermittelt, die der Nutzer aktiv zur Prüfung eingegeben hat.

Für die Nutzung des Mitgliederbereichs verarbeiten wir Ihre E-Mail-Adresse und ein von Ihnen gewähltes (gehashtes) Passwort sowie ggf. Angaben zur Zwei-Faktor-Authentifizierung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Nutzungsverhältnisses).

Bei der Überwachung der von Ihnen verwalteten Domains verarbeiten wir in Ihrem Auftrag Daten aus DMARC-/TLS-RPT-Aggregat-Reports (u. a. IP-Adressen sendender Server), DNS-/Konfigurationsdaten sowie Ergebnisse von Reputations- und Sicherheits-Checks. Insoweit sind Sie Verantwortlicher und wir Auftragsverarbeiter; es gilt der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Optionale Forensic-Reports (mit möglichen Nachrichteninhalten) werden nur bei ausdrücklicher Aktivierung und ausschließlich an eine von Ihnen bestimmte Adresse geleitet — nicht an uns.

Sicherheitsrelevante Aktionen und Anmeldungen im Mitgliederbereich werden in einem verschlüsselten Audit-Log protokolliert (Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO — Sicherheit und Nachvollziehbarkeit). Der Zugriff ist auf Administratoren des jeweiligen Kontos beschränkt.

Zur Erbringung der Dienste setzen wir IONOS (Server/DNS, DE), Bunny.net (DNS & Auslieferung der MTA-STS-Policy-Datei, EU) und Microsoft 365 (Postfach für den Report-Empfang) ein. Details siehe AVV, Anlage 2.

Kontodaten werden bis zur Löschung des Kontos gespeichert; nach Kontolöschung erfolgt die Löschung der Mitgliederbereichs-Daten regelmäßig innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht.