Datenschutzerklärung
1. Verantwortlicher
Studio Luy UG (haftungsbeschränkt)Norderreihe 21
22767 Hamburg
E-Mail: info@websecureaudit.de
2. Diese Erklärung gilt für zwei Angebote
- websecureaudit.de – die öffentliche Seite mit der kostenlosen Einzelprüfung. Dafür brauchen Sie kein Konto.
- app.websecureaudit.de – das Kundenportal mit Konto, wiederholten Prüfungen und gespeichertem Verlauf.
Wer nur die kostenlose Prüfung nutzt, den betreffen die Abschnitte 4 bis 6 nicht: Ohne Registrierung entsteht kein Konto und wird nichts dauerhaft gespeichert.
3. Daten der kostenlosen Prüfung
| Daten | Wozu, auf welcher Grundlage, wie lange |
|---|---|
| Domain, die Sie eingeben | Um die Prüfung durchzuführen. Grundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Domain wird nur für die Dauer der Prüfung verarbeitet und nicht dauerhaft gespeichert. |
| Ihre E-Mail-Adresse | Um Ihnen den Bericht zu schicken. Grundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie verbleibt in unserem Postausgang, solange die Nachricht dort abgelegt ist. |
| IP-Adresse beim Absenden des Formulars | Um Missbrauch zu begrenzen (höchstens drei Prüfungen pro Stunde). Grundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Die Adresse wird ausschließlich im Arbeitsspeicher gehalten und nach einer Stunde verworfen – sie wird nicht in eine Datei geschrieben. |
| Verbindungsdaten beim Aufruf der Seite | Technisch notwendige Daten, die unser Hoster beim Ausliefern der Seite verarbeitet. Grundlage: berechtigtes Interesse am sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). |
Damit ein Bericht nur an Berechtigte geht, muss Ihre E-Mail-Adresse zur geprüften Domain gehören.
4. Daten im Kundenportal
Mit der Registrierung entsteht ein Konto. Rechtsgrundlage ist hier durchgehend die Erfüllung des Nutzungsvertrags beziehungsweise die Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage (Art. 6 Abs. 1 lit. b DSGVO), soweit unten nichts anderes steht.
| Daten | Wozu und auf welcher Grundlage |
|---|---|
| E-Mail-Adresse | Ihr eindeutiges Kennzeichen für die Anmeldung, Empfänger der Bestätigungs-, Passwort- und Berichtsmails. |
| Benutzername | Freiwillige Angabe, nur Anzeigename in der Anrede. Sie können das Feld leer lassen. |
| Passwort | Wir speichern nicht Ihr Passwort, sondern nur einen Prüfwert daraus (PBKDF2 mit Zufallssalz). Aus ihm lässt sich das Passwort nicht zurückrechnen. Auch wir können es nicht einsehen. |
| Anmeldezeitpunkt, Registrierungszeitpunkt | Nachvollziehbarkeit des Kontos und Ihre eigene Kontrolle über aktive Sitzungen. |
| Fehlgeschlagene Anmeldeversuche | Nach fünf Fehlversuchen wird das Konto 15 Minuten gesperrt. Das schützt Ihr Konto vor dem systematischen Durchprobieren von Passwörtern. Grundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Der Zähler wird bei der nächsten erfolgreichen Anmeldung zurückgesetzt. |
| Sitzungen | Damit Sie angemeldet bleiben. Gespeichert wird nur ein Prüfwert des Sitzungstokens, nicht das Token selbst. Sie sehen Ihre aktiven Sitzungen auf der Kontoseite. |
| Ihre Domains und deren Nachweis | Domainname, Nachweisverfahren und Zeitpunkt der Bestätigung. Der Nachweis ist Pflicht, bevor eine Domain wiederholt geprüft werden darf – er stellt sicher, dass niemand fremde Seiten unter seiner Kennung überwachen lässt. |
| Prüfaufträge und Prüfläufe | Zeitpunkt, Ergebnisnote, Anzahl der Befunde und der Verweis auf die Ergebnisdatei. Daraus entstehen der Verlauf und der Vergleich zweier Läufe. |
| Ergebnisdateien | Das vollständige Prüfergebnis liegt als Datei auf demselben Server. Es beschreibt Ihre Website; personenbezogene Daten enthält es nur, soweit sie auf der geprüften Seite öffentlich stehen – etwa eine Kontaktadresse im Impressum. |
5. Hinterlegte Zugangsdaten zu Ihrem eigenen System
Im Portal können Sie zu einer nachgewiesenen Domain einen Zugang zu Ihrem Redaktionssystem oder Shop hinterlegen, etwa ein WordPress-Anwendungspasswort. Erst damit sieht die Prüfung, was von außen unsichtbar bleibt: genaue Erweiterungsversionen, ausstehende Updates, Benutzerrollen.
Das ist das Empfindlichste, was wir speichern – und wir behandeln es entsprechend.
| Freiwillig | Ohne hinterlegten Zugang läuft die Prüfung weiter, nur ohne diese Innenansicht. Sie können den Zugang jederzeit im Portal entfernen; er wird dann sofort und endgültig gelöscht. |
|---|---|
| Nur für nachgewiesene Domains | Ohne bestätigten Domain-Nachweis nimmt das Formular keinen Zugang an. Sonst wäre es ein Weg, fremde Zugangsdaten unter einer beliebigen Kennung abzulegen. |
| Verschlüsselt gespeichert | Das Geheimnis steht ausschließlich als Chiffretext in der Datenbank (Fernet: AES-128 im CBC-Modus, abgesichert mit HMAC-SHA256). Der Schlüssel dazu liegt getrennt davon in der Serverumgebung und nicht in der Datenbank. Wer die Datenbank erbeutet, hat damit noch keinen Ihrer Zugänge. |
| Wird nie wieder angezeigt | Ein einmal gespeichertes Geheimnis gibt das Portal nicht mehr aus – auch Ihnen nicht. Wer es vergisst, trägt ein neues ein. Ein Formular, das gespeicherte Zugangsdaten wieder anzeigt, wäre ein Auslesekanal für jeden, der eine Sitzung übernimmt. |
| Nicht im Datenexport | Der Export nach Art. 20 DSGVO nennt, dass ein Zugang hinterlegt ist und welcher Art er ist – nicht das Geheimnis selbst. Ein Export ist eine Datei, die per Mail weiterwandert; dort hat ein lebender Schlüssel nichts verloren. |
| Wozu verwendet | Ausschließlich für den Prüflauf Ihrer eigenen Domain. Die Prüfung liest: Sie verändert keine Inhalte, installiert nichts und löscht nichts. |
| Grundlage | Erfüllung des Prüfauftrags (Art. 6 Abs. 1 lit. b DSGVO). |
Unsere Empfehlung: Hinterlegen Sie ein Anwendungspasswort, nicht Ihr Administratorkennwort. Ein Anwendungspasswort lässt sich einzeln widerrufen, öffnet nur die Programmierschnittstelle und nicht die Verwaltungsoberfläche, und es funktioniert neben einer Zwei-Faktor-Anmeldung. Das Administratorkennwort bleibt möglich, weil ältere Installationen nichts anderes können – der schlechtere Weg ist es trotzdem.
Sieht die Prüfung über diesen Zugang personenbezogene Daten aus Ihrer Installation, etwa die Benutzerkonten Ihrer eigenen Redaktion, dann sind Sie dafür der Verantwortliche und wir Ihr Auftragsverarbeiter. Für diesen Fall gilt der Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, den Sie beim Hinterlegen eines Zugangs schließen.
6. Wie lange wir speichern
| Daten | Speicherdauer |
|---|---|
| Konto | Bis Sie es löschen. Wir löschen nicht von uns aus, solange Sie es nutzen. |
| Prüfläufe und Berichte | 24 Monate ab dem Zeitpunkt des Laufs. Danach löscht ein täglicher Auftrag die Ergebnisdatei und den Verlaufseintrag. Das geschieht automatisch, ohne dass Sie etwas tun müssen. |
| Hinterlegter Zugang | Bis Sie ihn entfernen, die Domain entfernen oder das Konto löschen – je nachdem, was zuerst eintritt. |
| Sitzung | 30 Tage, oder bis Sie sich abmelden. |
| Bestätigungslink für die Registrierung | 24 Stunden, danach ungültig. Er gilt genau einmal. |
| Link zum Zurücksetzen des Passworts | 60 Minuten, danach ungültig. Er gilt genau einmal. |
| Sperre nach Fehlversuchen | 15 Minuten. |
| IP-Adresse zur Missbrauchsgrenze | Eine Stunde, nur im Arbeitsspeicher. |
Löschen Sie Ihr Konto, bleiben die Prüfläufe als anonyme Zeilen bestehen: Sie hängen dann an keiner Person mehr, weder Konto noch E-Mail-Adresse stehen noch daran. Wollen Sie auch die Berichte selbst entfernen, löschen Sie vorher die jeweilige Domain im Portal – damit gehen die zugehörigen Berichte mit.
7. Auskunft, Export und Löschung – direkt im Portal
Sie müssen uns dafür nicht schreiben. Auf der Kontoseite finden Sie:
- Datenexport – alle zu Ihrem Konto gespeicherten Daten als JSON-Datei, in einem gängigen und maschinenlesbaren Format (Art. 15 und Art. 20 DSGVO). Ohne den Passwort-Prüfwert und ohne hinterlegte Geheimnisse: Beides sind Zugangsmittel und keine Auskunft über Ihre Person.
- Konto löschen – löscht Konto, Sitzungen, Domains und hinterlegte Zugänge sofort und unwiderruflich (Art. 17 DSGVO). Eine Rückfrage per Mail gibt es nicht; die Bestätigung im Formular ist die letzte Gelegenheit umzukehren.
- Sitzungen einsehen – welche Anmeldungen gerade aktiv sind.
8. Reichweitenmessung mit Matomo
Wir messen, welche Seiten aufgerufen werden – ohne Cookies, ohne Einwilligungsbanner und ohne dass Ihre Adresse vollständig irgendwo ankommt. Dafür setzen wir Matomo ein, eine quelloffene Software, die wir selbst betreiben. Es ist kein Google Analytics und kein Dienst eines fremden Unternehmens.
| Keine Cookies | Matomo läuft hier im cookiefreien Betrieb
(disableCookies). Auf Ihrem Gerät wird nichts
gespeichert und nichts ausgelesen. Deshalb greift § 25 TDDDG
nicht, und deshalb gibt es kein Einwilligungsbanner. |
|---|---|
| Adresse gekürzt, bevor sie uns verlässt | Ihre IP-Adresse wird auf unserem Webserver gekürzt – bei IPv4
auf die ersten zwei Blöcke (203.0.113.42 wird zu
203.0.0.0), bei IPv6 auf die ersten 48 Bit. Erst
diese gekürzte Fassung erreicht die Auswertung. Die
vollständige Adresse wird nirgends gespeichert. Das ist keine
Einstellung, die sich versehentlich ändern lässt, sondern in
der Software so festgelegt. |
| Auf unserer eigenen Domain | Der Zähler wird von websecureaudit.de selbst
ausgeliefert und die Messwerte gehen an
websecureaudit.de. Ihr Browser baut keine
Verbindung zu einer fremden Domain auf. Der Server, der die
Auswertung führt, ist unser eigener und steht ebenfalls in
Deutschland. |
| Do Not Track wird beachtet | Haben Sie in Ihrem Browser „Do Not Track“ aktiviert, wird nicht gemessen. Sie müssen dafür nichts weiter tun. |
| Was erhoben wird | Aufgerufene Seite, Verweisquelle, Zeitpunkt, gekürzte IP-Adresse, Browsertyp, Betriebssystem und Bildschirmgröße. Keine Namen, keine Adressen, keine Formulareingaben. |
| Grundlage und Dauer | Berechtigtes Interesse an einer bedarfsgerechten Gestaltung der Website (Art. 6 Abs. 1 lit. f DSGVO). Die Messdaten werden nach 12 Monaten gelöscht. |
| Widerspruch | Aktivieren Sie „Do Not Track“, oder schreiben Sie uns eine formlose E-Mail an info@websecureaudit.de (Art. 21 DSGVO). |
Warum wir das offenlegen, obwohl es unauffällig wäre: Wir prüfen fremde Websites unter anderem darauf, ob sie ihre Messwerkzeuge korrekt angeben. Was wir dort verlangen, gilt hier zuerst.
8a. Cookies
websecureaudit.de setzt keine Cookies und speichert nichts auf Ihrem Gerät – auch die Reichweitenmessung nicht, siehe oben. Es sind keine Werbewerkzeuge eingebunden, und es werden keine Inhalte von fremden Servern nachgeladen: keine externen Schriftarten, keine CDN-Skripte, keine eingebetteten Karten oder Videos.
app.websecureaudit.de setzt genau ein Cookie, sobald
Sie sich anmelden: wsa_sitzung. Es enthält Ihr
Sitzungstoken, gilt 30 Tage, ist für Skripte im Browser nicht lesbar
(HttpOnly), wird nur über HTTPS übertragen (Secure) und nicht an
fremde Seiten mitgeschickt (SameSite=Lax). Beim Abmelden wird es
gelöscht.
Ein Einwilligungsbanner gibt es deshalb auf beiden Seiten nicht, und zwar aus zwei getrennten Gründen. Die Reichweitenmessung speichert nichts auf Ihrem Gerät und liest nichts davon aus – § 25 TDDDG setzt aber genau das voraus und greift hier deshalb nicht. Und das Anmeldecookie im Portal ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, weil es unbedingt erforderlich ist, damit der ausdrücklich gewünschte Dienst bereitgestellt werden kann – ohne es gibt es keine Anmeldung. Etwas anderes speichern wir nicht auf Ihrem Gerät.
Der PayPal-Spendenknopf ist ein gewöhnlicher Link. Erst wenn Sie ihn anklicken, gelangen Sie zu PayPal; dort gelten die Datenschutzhinweise von PayPal.
8b. Wenn Sie weitere Prüfungen kaufen
Kaufen Sie zusätzliche Prüfungen, wird die Zahlung über PayPal abgewickelt. Dabei werden folgende Daten verarbeitet:
| An PayPal übermittelt | Betrag, Währung und die geprüfte Domain als Verwendungszweck. Ihre Zahlungsdaten geben Sie ausschließlich bei PayPal ein – Kontonummern oder Kartendaten erreichen uns nie. |
|---|---|
| Bei uns gespeichert | Die Bestellnummer von PayPal, die Domain, der Betrag, der Zahlungsstatus und der Zeitpunkt. Damit weisen wir nach, wofür die Prüfungen freigeschaltet wurden. |
| Grundlage | Erfüllung des Kaufvertrags (Art. 6 Abs. 1 lit. b DSGVO) und handels- sowie steuerrechtliche Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO). |
| Speicherdauer | Zahlungsbelege 10 Jahre nach § 147 AO und § 257 HGB. Diese Frist geht der Löschung auf Verlangen vor – wir dürfen sie nicht abkürzen. |
| Drittland | PayPal ist ein Anbieter mit Sitz außerhalb des EWR (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg, mit Konzernverbindungen in die USA). Die Übermittlung stützt sich auf Art. 49 Abs. 1 lit. b DSGVO: Sie ist für die Erfüllung des Vertrags erforderlich, den Sie mit uns schließen. Es gelten zusätzlich die Datenschutzhinweise von PayPal. |
Nutzen Sie nur die kostenlose Prüfung, entsteht keiner dieser Datensätze.
9. Verarbeitungszwecke im Überblick
- Durchführung der angefragten Prüfung einer Domain
- Zustellung des Berichts an die angegebene E-Mail-Adresse
- Führung eines Kontos mit Verlauf und wiederholten Prüfungen
- Nachweis, dass eine Domain Ihnen zuzurechnen ist
- Bearbeitung von Anfragen über das Formular für das System-Audit
- Begrenzung von Missbrauch und sicherer Betrieb
- Cookiefreie Reichweitenmessung zur Gestaltung der Website
- Abwicklung des Kaufs weiterer Prüfungen
Eine darüber hinausgehende Verarbeitung findet nicht statt. Es erfolgt keine automatisierte Entscheidungsfindung und kein Profiling. Wir verwenden Ihre Adresse nicht für Werbung und geben sie nicht weiter.
10. Datenschutzbeauftragter
Ein Datenschutzbeauftragter ist nicht bestellt: Die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG liegen nicht vor. Für alle Fragen zum Datenschutz erreichen Sie den Verantwortlichen direkt unter info@websecureaudit.de.
11. Empfänger
Website, Portal, Datenbank und Postfach werden bei der Mittwald CM Service GmbH & Co. KG, Königsberger Straße 4–6, 32339 Espelkamp, betrieben. Das Unternehmen ist als Auftragsverarbeiter nach Art. 28 DSGVO tätig; ein entsprechender Vertrag besteht. Die Server stehen in Deutschland.
Eine Weitergabe Ihrer Daten an weitere Dritte findet nicht statt. Wir verkaufen keine Daten.
12. Drittlandübermittlung
Für die kostenlose Prüfung, das Portal und die Reichweitenmessung findet eine Übermittlung personenbezogener Daten in ein Drittland außerhalb der EU beziehungsweise des EWR nicht statt. Website, Portal, Prüfung, Auswertung und Postfach laufen vollständig in Deutschland.
Drei Berührungspunkte mit Anbietern außerhalb des EWR nennen wir der Vollständigkeit halber:
- Beim Kauf weiterer Prüfungen werden Zahlungsdaten an PayPal übermittelt – siehe Abschnitt 8b. Das betrifft nur, wer tatsächlich kauft.
- Der Spendenknopf verweist auf PayPal. Es ist ein gewöhnlicher Link: Solange Sie ihn nicht anklicken, werden keine Daten an PayPal übertragen.
- Für die Messung der Ladezeit kann die Prüfung die PageSpeed-Insights-Schnittstelle von Google abrufen. Übermittelt wird dabei ausschließlich die Adresse der zu prüfenden, öffentlich erreichbaren Seite – keine Daten über Sie, keine E-Mail-Adresse, keine IP-Adresse eines Besuchers. Ist die Schnittstelle nicht eingerichtet, unterbleibt der Abruf, und der Bericht weist das aus.
13. Was bei der Prüfung passiert
Die Prüfung ruft die angegebene Domain so ab, wie es auch ein Besucher oder eine Suchmaschine täte: rein lesend, ohne Eingriff in das System. Es werden keine Schwachstellen ausgenutzt. Haben Sie einen Zugang nach Abschnitt 5 hinterlegt, meldet sich die Prüfung zusätzlich an Ihrem eigenen System an – ebenfalls ausschließlich lesend.
Bei der kostenlosen Einzelprüfung wird der Bericht zugeschickt und danach verworfen. Im Portal bleibt er nach Abschnitt 6 erhalten.
14. Datensicherheit
- Alle Verbindungen laufen ausschließlich über HTTPS.
- Passwörter liegen nur als PBKDF2-Prüfwert mit Zufallssalz vor.
- Sitzungs- und Einmal-Token stehen nur als Prüfwert in der Datenbank.
- Hinterlegte Zugänge sind verschlüsselt; der Schlüssel liegt getrennt von der Datenbank.
- Formulare sind gegen seitenübergreifende Anfragefälschung geschützt (CSRF-Token).
- Die Prüfung verweigert Ziele im internen Netz, damit sie nicht als Werkzeug gegen fremde Systeme missbraucht werden kann.
15. Ihre Rechte
- Auskunft über die zu Ihnen verarbeiteten Daten (Art. 15 DSGVO)
- Berichtigung (Art. 16) und Löschung (Art. 17)
- Einschränkung der Verarbeitung (Art. 18)
- Datenübertragbarkeit (Art. 20)
- Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21)
- Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3) – eine formlose E-Mail genügt
Für Auskunft, Export und Löschung nutzen Sie am schnellsten die Kontoseite im Portal (Abschnitt 7). Für alles Übrige genügt eine E-Mail an info@websecureaudit.de.
Beschwerderecht bei einer Aufsichtsbehörde, für uns zuständig: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg.
16. Stand
Diese Erklärung hat den Stand 22. August 2026. Ändert sich etwas an der Verarbeitung, ändern wir sie mit.