Datenschutzerklärung

1. Verantwortlicher

Jonas Klein, c/o Impressumservice Dein-Impressum, Stettiner Str. 41, 35410 Hungen, Deutschland. E-Mail: hallo@deckproof.dev.

2. Was Deckproof tut

Deckproof prüft auf Ihre Anfrage eine von Ihnen eingegebene Website-Adresse. Dazu ruft unser Server die öffentlich erreichbaren Seiten dieser Adresse ab, so wie es jeder Browser tut, und wertet die Antworten aus. Es werden keine Formulare abgeschickt, keine Daten geschrieben, keine Anmeldungen versucht.

3. Welche Daten wir verarbeiten

Beim Scan: die eingegebene Adresse, das Prüfergebnis (Note, Liste der Feststellungen, technische Belege wie Antwort-Header oder die Namen erreichbarer Dateien) sowie Ihre IP-Adresse. Die IP-Adresse dient ausschließlich der Missbrauchsabwehr (Begrenzung der Scans pro Anschluss). Abgerufene Seiteninhalte werden nach der Bewertung verworfen und nicht gespeichert.

Öffentliche Berichtsseiten: Nur wenn Sie beim Scan „diese Note öffentlich auf deckproof.dev listen" ankreuzen, ist die Note der geprüften Adresse unter einer Adresse wie deckproof.dev/B/beispiel.de abrufbar, zusammen mit den Namen der Feststellungen. Belege, Beispieldaten und Lösungen erscheinen dort nie. Wenn Sie „Teilen" nutzen, entsteht zusätzlich ein Link mit zufälliger Kennung.

Konten: Wenn Sie sich anmelden, speichern wir Ihre E-Mail-Adresse, den Zeitpunkt der Anmeldung und die Scans, die Sie angemeldet ausgeführt haben. Anmeldelinks werden per E-Mail versendet; es gibt kein Passwort. Beobachtete Websites (Pro und Agency) und Ihre Agentur-Angaben (Name, Logo, Website, Akzentfarbe) werden mit dem Konto gespeichert. Für eine beobachtete Website lesen wir einmal täglich, wann ihr TLS-Zertifikat und ihre Domain-Registrierung ablaufen: aus dem Zertifikat, das die Website vorlegt, und aus dem öffentlichen Register (RDAP); das betrifft die Website, nicht eine Person. Kunden-Links, die eine Agentur anlegt (die Website, ein optionaler Name „erstellt für“, die Sprache, wie oft und wann zuletzt der Link geöffnet wurde), werden mit dem Konto der Agentur gespeichert, laufen nach 90 Tagen ab und werden mit dem Konto gelöscht; beim Öffnen wird keine IP-Adresse gespeichert und kein Cookie gesetzt.

Käufe: Die Zahlung wickelt Paddle.com Market Ltd (London, UK) als Wiederverkäufer ab. Paddle verarbeitet Name, E-Mail-Adresse, Rechnungsland, Zahlungsmittel und die Transaktion nach seiner eigenen Datenschutzerklärung. Wir erhalten die Transaktionsnummer, das gekaufte Produkt, Ihre E-Mail-Adresse und die geprüfte Adresse und speichern sie, um den Zugang zu gewähren und nachzuweisen. Kartendaten sehen wir nie.

Kündigung und Widerruf: Wenn Sie über die Schaltfläche „Verträge hier kündigen" kündigen, speichern wir das, was Sie im Formular angeben (Art der Kündigung, bei einer außerordentlichen Kündigung den Grund, Vertragsbezeichnung, Name, E-Mail-Adresse, auf Wunsch Anschrift und Belegnummer, gewünschter Beendigungszeitpunkt), dazu Datum, Uhrzeit und IP-Adresse des Eingangs sowie den Wortlaut der Bestätigung, die wir Ihnen geschickt haben. Diese Angaben brauchen wir, um Sie zuzuordnen, die Kündigung auszuführen und den Zugang nachzuweisen, den § 312k Abs. 4 BGB von uns verlangt. Für die Kündigung selbst ist nur die E-Mail-Adresse Pflicht; alles andere hilft uns beim Zuordnen. Für den Widerruf über die Schaltfläche „Vertrag widerrufen" gilt dasselbe; dort sind nach § 356a Abs. 2 BGB Ihr Name, eine Angabe zur Identifizierung des Vertrags und die E-Mail-Adresse für die Bestätigung erforderlich, ein Grund ausdrücklich nicht.

Kostenlose wöchentliche Prüfung: Wenn Sie uns bitten, eine Seite zu beobachten, speichern wir die eingegebene E-Mail-Adresse, die Adresse der Seite, die Sprache, Zeitpunkt und IP-Adresse der Anforderung sowie nach dem Klick auf den Link in der Bestätigungsmail Zeitpunkt und IP-Adresse dieser Bestätigung. Beide Zeitpunkte bewahren wir als Nachweis Ihrer Einwilligung auf. Wir prüfen die Seite etwa einmal pro Woche und schreiben Ihnen nur, wenn die Note fällt. Wir geben die Adresse nicht weiter und nutzen sie für nichts anderes. Ein Klick auf den Abmeldelink in jeder Mail beendet das.

CRA-Liste: Wenn Sie sich auf der Seite /de/cra in die Liste eintragen, speichern wir Ihre E-Mail-Adresse (nur Firmenadressen, keine Freemail), die gewählte Produktart aus einer festen Auswahl, die Sprache, Zeitpunkt und IP-Adresse der Anforderung sowie nach dem Klick auf den Link in der Bestätigungsmail Zeitpunkt und IP-Adresse der Bestätigung. Wir schreiben Ihnen nur zu Neuigkeiten rund um diese Seite und die Signale; ein Abmeldelink steht in jeder Mail. Das Ergebnis eines CRA-Tests auf dieser Seite speichern wir nicht, und wir übernehmen aus den geprüften Seiten keine personenbezogenen Daten (zum Beispiel keine Namen aus einem Impressum).

Server-Protokolle: Unser Hosting-Anbieter verarbeitet beim Aufruf der Seiten technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-Kennung) zur Auslieferung und Sicherheit.

Lokaler Speicher: Die Seite merkt sich Einstellungen (zum Beispiel Bewegungen an oder aus, ob die Figur ausgeblendet ist) im lokalen Speicher Ihres Browsers. Diese Daten verlassen Ihren Browser nicht. Es werden keine Cookies zu Werbe- oder Analysezwecken gesetzt. Ein httpOnly-Cookie hält nach einem Kauf Ihre Berichtsfreischaltung.

4. Rechtsgrundlagen

Die Durchführung des Scans und die Anzeige des Berichts erfolgen zur Erfüllung Ihrer Anfrage (Art. 6 Abs. 1 lit. b DSGVO). Die kostenlose wöchentliche Prüfung, die CRA-Liste und die dazugehörigen E-Mails beruhen auf Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie im Double-Opt-in erteilen und jederzeit über den Link in jeder Mail widerrufen können. Die Speicherung der IP-Adresse zur Missbrauchsabwehr und die Server-Protokolle beruhen auf unserem berechtigten Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Eine Kündigung verarbeiten wir zur Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und zur Erfüllung unserer Pflichten aus § 312k Abs. 4 und § 356a Abs. 3 BGB (Art. 6 Abs. 1 lit. c DSGVO). Die öffentliche Berichtsseite einer geprüften Adresse beruht auf unserem berechtigten Interesse an einer nachvollziehbaren, überprüfbaren Darstellung des Prüfergebnisses (Art. 6 Abs. 1 lit. f DSGVO). Wer eine geprüfte Website betreibt, kann die Entfernung jederzeit formlos per E-Mail verlangen; der Hinweis darauf steht auf jeder öffentlichen Berichtsseite, und die Note verfällt ohnehin nach 30 Tagen. Bei einer geprüften Website lesen wir keine Inhalte aus einer offenen Datenbank. Wir fragen ab, wie viele Zeilen eine Tabelle einer anonymen Anfrage gegenüber freigibt, und lesen die Spaltennamen aus dem veröffentlichten Schema. Es werden also keine personenbezogenen Daten Dritter abgerufen, gespeichert oder angezeigt. Sollte eine Prüfung im Einzelfall dennoch personenbezogene Daten Dritter berühren, beruht das auf unserem berechtigten Interesse an der Feststellung und Beseitigung offener Sicherheitslücken (Art. 6 Abs. 1 lit. f DSGVO, Erwägungsgrund 49); eine Benachrichtigung der betroffenen Personen ist uns nicht möglich, weil wir sie nicht identifizieren können (Art. 14 Abs. 5 lit. b DSGVO), und dieser Absatz ist die stattdessen vorgesehene öffentliche Information.

5. Speicherdauer

Scan-Ergebnisse und die zugehörige IP-Adresse werden nach 90 Tagen gelöscht; Scans in einem angemeldeten Konto bleiben, bis Sie sie oder das Konto löschen, was Sie im angemeldeten Bereich jederzeit tun können (einzelne Scans oder das ganze Konto). Ein Scan, der noch das aktuelle Ergebnis einer aktiven Überwachung oder wöchentlichen Prüfung, einer nicht abgelaufenen öffentlichen Note oder einer Berichtsfreischaltung ist, wird gelöscht, sobald diese endet; seine IP-Adresse wird unabhängig davon nach 90 Tagen entfernt. Öffentliche Noten verfallen nach 30 Tagen. Berichtsfreischaltungen laufen nach 7 Tagen ab; der Datensatz wird für die Buchhaltung 3 Jahre aufbewahrt. Nicht bestätigte Einträge der CRA-Liste löschen wir nach 14 Tagen. Beobachtungseinträge, bestätigte Einträge der CRA-Liste und die beiden Einwilligungsnachweise werden mit der Abmeldung gelöscht, spätestens 3 Jahre nach der letzten Mail, da sie unser Nachweis der Einwilligung sind. Kündigungen, Widerrufe und die dazugehörigen Bestätigungen bewahren wir 6 Jahre auf: Eine Kündigung ist ein empfangenes Handelsschreiben und unterliegt der Aufbewahrungsfrist des § 257 HGB, und sie ist unser Nachweis darüber, wann der Vertrag endete. Server-Protokolle löscht der Hosting-Anbieter nach seinen Fristen.

6. Empfänger und Auftragsverarbeiter

Hosting: Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. Die Verarbeitung erfolgt auf Grundlage von Standardvertragsklauseln; Vercel ist unter dem EU-US Data Privacy Framework zertifiziert.

Reichweitenmessung (Vercel Web Analytics): Wir zählen Seitenaufrufe und einzelne Ereignisse (z. B. „Scan gestartet") ohne Cookies und ohne geräteübergreifende Kennungen. Vercel bildet aus IP-Adresse und Browserdaten einen täglich wechselnden Hashwert, der nicht auf Sie zurückgeführt werden kann; die IP-Adresse wird nicht gespeichert. Rechtsgrundlage ist unser berechtigtes Interesse an einer reichweitenbasierten Verbesserung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO); da keine Informationen auf Ihrem Endgerät gespeichert oder ausgelesen werden, ist keine Einwilligung nach § 25 TDDDG erforderlich.

Schrittzähler: Wir zählen zusätzlich auf unseren eigenen Servern, wie oft ein Schritt passiert: eine Seite geöffnet, ein Scan gestartet, eine Bezahlschranke gezeigt, eine Kasse geöffnet. Gespeichert wird je eine Zahl pro Tag und Schritt. Keine IP-Adresse, keine Kennung, kein Cookie und nichts über den einzelnen Besuch wird festgehalten, diese Zahlen lassen sich also niemandem zuordnen. Kam der Besuch über einen unserer eigenen markierten Links (der Parameter utm_source in der Adresse, etwa aus unserem TikTok-Profil), zählen wir denselben Schritt zusätzlich unter diesem Kanal. Der Kanal wird aus der aufgerufenen Adresse gelesen und nur im Arbeitsspeicher der Seite gehalten, auf Ihrem Endgerät wird dafür nichts gespeichert oder ausgelesen.

Datenbank: Supabase Inc., Rechenzentrum in Frankfurt am Main (EU). Auftragsverarbeitungsvertrag geschlossen.

E-Mail-Versand: Resend Inc. (Anmeldelinks, Bestätigungen zu Berichtsfreischaltungen, Hinweise bei sinkender Note), EU-Region. Auftragsverarbeitungsvertrag geschlossen.

Zahlungen: Paddle.com Market Ltd, wie oben beschrieben.

Textgenerierung für Berichte: Anthropic, PBC, San Francisco, USA. Wenn ein Bericht auf Deutsch angezeigt oder ein Fix-Prompt für einen KI-Builder angefordert wird, werden die von Deckproof zu diesem Scan geschriebenen Befundtexte (Titel, Erklärungen, Fixes) an die API von Anthropic gesendet, um sie zu übersetzen oder zu einem Prompt zusammenzufassen. Diese Texte können die geprüfte Seite und dort gefundene Details nennen (etwa einen Tabellen- oder Dateinamen); Ihr Name, Ihre E-Mail-Adresse oder Zahlungsdaten sind nie enthalten. Die Übermittlung in die USA stützt sich auf die Standardvertragsklauseln im Auftragsverarbeitungszusatz (Data Processing Addendum) von Anthropic; Anthropic verwendet diese Inhalte nicht zum Training seiner Modelle. Rechtsgrundlage ist bei gekauften Berichten die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), sonst unser berechtigtes Interesse an einem verständlichen Bericht in Ihrer Sprache (Art. 6 Abs. 1 lit. f DSGVO). Übersetzungen werden ohne Bezug zu einem Scan gespeichert und nach 90 Tagen ohne Nutzung gelöscht; ein Fix-Prompt wird mit seinem Scan gelöscht.

Schriften: Schriftarten werden von unserem eigenen Server geladen. Es findet keine Verbindung zu Google Fonts statt.

6a. Unsere Profile auf anderen Plattformen

Wir betreiben Profile auf folgenden Plattformen: GitHub, LinkedIn, X, Instagram, YouTube. Wenn Sie eines dieser Profile aufrufen, verarbeitet die jeweilige Plattform Ihre Daten in eigener Verantwortung und nach ihren eigenen Datenschutzhinweisen. Darauf haben wir keinen Einfluss.

• GitHub: GitHub B.V., Prins Bernhardplein 200, 1097 JB Amsterdam, Niederlande. Datenschutzhinweise
• LinkedIn: LinkedIn Ireland Unlimited Company, Wilton Plaza, Wilton Place, Dublin 2, Irland. Datenschutzhinweise
• X: X Internet Unlimited Company, One Cumberland Place, Fenian Street, Dublin 2, D02 AX07, Irland. Datenschutzhinweise
• Instagram: Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Datenschutzhinweise
• YouTube: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Datenschutzhinweise

Für die Besucherstatistik („Page Insights“), die uns LinkedIn bereitstellt, sind wir mit LinkedIn gemeinsam verantwortlich im Sinne von Art. 26 DSGVO. Wir sehen dort nur zusammengefasste Zahlen, etwa wie viele Personen das Profil aufgerufen haben und aus welchen Branchen oder Regionen sie grob kommen; einzelne Personen können wir daraus nicht erkennen. Rechtsgrundlage ist unser berechtigtes Interesse an einer wirksamen Außendarstellung (Art. 6 Abs. 1 lit. f DSGVO). Die wesentlichen Punkte der Vereinbarung stehen im Page Insights Joint Controller Addendum.

Für die Besucherstatistik („Insights“), die uns Instagram bereitstellt, sind wir mit Instagram gemeinsam verantwortlich im Sinne von Art. 26 DSGVO. Wir sehen dort nur zusammengefasste Zahlen, etwa wie viele Personen das Profil aufgerufen haben und aus welchen Branchen oder Regionen sie grob kommen; einzelne Personen können wir daraus nicht erkennen. Rechtsgrundlage ist unser berechtigtes Interesse an einer wirksamen Außendarstellung (Art. 6 Abs. 1 lit. f DSGVO).

Für die Besucherstatistik („YouTube Analytics“), die uns YouTube bereitstellt, sind wir mit YouTube gemeinsam verantwortlich im Sinne von Art. 26 DSGVO. Wir sehen dort nur zusammengefasste Zahlen, etwa wie viele Personen das Profil aufgerufen haben und aus welchen Branchen oder Regionen sie grob kommen; einzelne Personen können wir daraus nicht erkennen. Rechtsgrundlage ist unser berechtigtes Interesse an einer wirksamen Außendarstellung (Art. 6 Abs. 1 lit. f DSGVO).

GitHub stellt uns zu unseren öffentlichen Repositories eine zusammengefasste Zugriffsstatistik bereit (Aufrufe, eindeutige Besucher, Verweisquellen). Bei X sehen wir die Aufrufzahl eigener Beiträge. Angaben zu einzelnen Personen sehen wir an beiden Stellen nicht, und eine Auswertung über die Besucher des Profils erhalten wir dort nicht.

Ihre Rechte nach der DSGVO können Sie sowohl uns gegenüber als auch gegenüber der jeweiligen Plattform geltend machen. Für alles, was innerhalb einer Plattform passiert, ist die Plattform die schnellere Adresse, weil nur dort die Daten liegen.

7. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 21 DSGVO) sowie das Recht auf Beschwerde bei einer Aufsichtsbehörde. Wenn Ihre Website gescannt wurde und Sie die Löschung des Berichts wünschen, schreiben Sie an hallo@deckproof.dev; wir löschen den Bericht und nehmen die Adresse auf Wunsch von künftigen öffentlichen Listen aus.

8. Keine Rechtsberatung

Angaben in Berichten zu rechtlichen Themen sind allgemeine Informationen mit Quellen, keine Beurteilung Ihres Einzelfalls.

Stand: 12.10.2026