Datenschutzhinweise

1. Verantwortlicher

2. Aufruf der Website

Beim Aufruf verarbeitet das Hosting-System technisch erforderliche Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse, Browserkennung und Übertragungsstatus. Dies dient dem sicheren Betrieb, der Auslieferung der Website und der Fehleranalyse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Die Zugriffsprotokolle der vorgelagerten Kante (Traefik) und die Protokolle der Anwendung werden spätestens nach sieben Tagen gelöscht. Nur wenn ein konkreter Sicherheitsvorfall oder eine gesetzliche Pflicht die weitere Aufbewahrung eines bestimmten Ausschnitts verlangt, wird dieser Ausschnitt mit dokumentiertem Grund getrennt und befristet aufbewahrt. Eine Auswertung zu Reichweiten-, Profil- oder Werbezwecken findet nicht statt.

2a. Endgerätezugriffe und Einwilligungsmanagement

Beim bloßen Aufruf dieser Website setzen wir keine einwilligungsbedürftigen Cookies ein und verwenden Browser-Speicher nicht zur Wiedererkennung, Reichweitenmessung, Profilbildung oder Werbung. Im internen Backoffice kann eine manuell gewählte Darstellung lokal unter spanier.one.theme gespeichert werden. Der Schlüssel enthält nur light oder dark; bei der Auswahl system wird er entfernt. Diese Präferenz enthält keine Kennung und wird nicht an spanier.one oder Dritte übertragen. Es werden keine Analyse-, Marketing- oder Social-Media-Dienste in die Seiten eingebettet. Eine Einwilligung nach § 25 Abs. 1 TDDDG wird deshalb nicht benötigt und nicht über einen Einwilligungsbanner abgefragt. Die daneben ausschließlich nach einem bewusst gestarteten Check gespeicherte 24-Stunden-Ergebnis-Capability wird nachfolgend beschrieben.

Ermittlung und Start der kostenlosen Prüfung setzen kein Cookie. Der Server speichert für die Wiederholungsbegrenzung weder IP-Adresse noch Browserkennung, Fingerprint oder eine andere Besucherkennung. Anonyme Besucher können neue Prüfungen starten; jeder einzelne Auftrag bleibt auf höchstens zehn Seiten und die globale verfügbare Prüfkapazität begrenzt. Wird der Check von einer unserer eigenen Themenseiten gestartet, übergibt die Seite deren Seitenpfad als Einstiegsseite an den Prüfauftrag. Diese Angabe beschreibt die Seite und nicht den Besucher, ist für alle Besucher derselben Seite identisch und wird in Ziffer 3 beschrieben.

Damit ein ausdrücklich gestartetes Ergebnis einen Seitenwechsel oder ein Neuladen übersteht, speichert der Browser unter spanier.one.public-check-result ausschließlich Auftragskennung, zufälliges Zugriffstoken und Ablaufzeit. Die Website-Adresse, Befunde und eine Besucherkennung stehen nicht in diesem Eintrag. Er ist längstens 24 Stunden nutzbar und wird danach beim nächsten Seitenaufruf oder bei ungültigem Inhalt lokal entfernt. Solange der Eintrag gültig ist, öffnet die Startseite wieder den abgeschlossenen Prüfstand mit Ergebnis- und Anmeldeaktion. Der Eintrag wird nur gelesen, um den dazugehörigen Bericht von spanier.one abzurufen; eine Übermittlung an Dritte oder eine Wiedererkennung über andere Websites findet nicht statt.

Dieser lokale Endgerätezugriff ist zur Bereitstellung des von Ihnen angeforderten, wiederaufrufbaren Ergebnisses nach § 25 Abs. 2 Nr. 2 TDDDG erforderlich und bedarf keiner Einwilligung. Soweit Auftragskennung und Zugriffstoken personenbezogen sein können, erfolgt ihre Verarbeitung zur Durchführung des angeforderten Checks nach Art. 6 Abs. 1 lit. b DSGVO.

Erst wenn Sie eine Kontoerstellung oder Anmeldung ausdrücklich anfordern, setzt spanier.one außerdem das Erstanbieter-Sitzungscookie spanier_monitoring_session. Es ordnet die von Ihnen angeforderte Sitzung Ihrem Konto zu und schützt die nicht öffentlichen Kontofunktionen. Das interne, nicht öffentlich nutzbare Backoffice verwendet entsprechend das auf /backoffice beschränkte Sitzungscookie spanier_backoffice_session. Beide Cookies sind gegen den Zugriff durch clientseitige Skripte geschützt, werden nicht an Dritte übermittelt und enthalten keine Zwecke der Analyse oder Werbung.

Beim bewussten Öffnen einer geteilten Arbeitsansicht wird das geheime Link-Fragment nur für diese Registerkarte im Sitzungsspeicher gehalten und sofort aus der sichtbaren Adresse entfernt. Es wird einmalig gegen das auf genau diese Arbeitsansicht beschränkte, skriptgeschützte Sitzungscookie spanier_report_share getauscht. Das Cookie ist längstens 15 Minuten gültig; das bei Freigaben mit Bildnachweisen erforderliche Passwort wird nur zur Prüfung übertragen und serverseitig ausschließlich als gesalzener Hash gespeichert.

spanier_monitoring_session und spanier_backoffice_session sind Sitzungscookies ohne feste clientseitige Speicherdauer. Eine Kontositzung ist serverseitig längstens 30 Tage, eine Backoffice-Sitzung längstens zwölf Stunden und ein vorläufiger Kontozugang längstens 24 Stunden gültig. spanier_report_share erhält dagegen ausdrücklich eine Ablaufzeit von höchstens 15 Minuten. Diese Zugriffe sind zur Authentifizierung und Zugriffskontrolle der jeweils ausdrücklich angeforderten Funktion unbedingt erforderlich. Sie unterfallen daher § 25 Abs. 2 Nr. 2 TDDDG und bedürfen keiner Einwilligung. Soweit dabei personenbezogene Daten verarbeitet werden, erfolgt dies zur Durchführung des Nutzungsverhältnisses nach Art. 6 Abs. 1 lit. b DSGVO sowie zur Absicherung der Kontofunktionen nach Art. 6 Abs. 1 lit. f DSGVO. Sitzungsspeicher und Cookie der geteilten Arbeitsansicht sind zur Bereitstellung der vom Linkinhaber angeforderten, zugriffsgeschützten Ansicht ebenfalls unbedingt erforderlich und unterfallen § 25 Abs. 2 Nr. 2 TDDDG.

3. Technisches Barrierefreiheits-Screening

Wenn Sie den Check starten, verarbeiten wir die von Ihnen angegebene öffentlich erreichbare Website-Adresse und die beim Abruf erzeugten technischen Prüfergebnisse. Der Check ruft die angegebene Seite serverseitig ab und analysiert automatisiert erkennbare Merkmale in einer Desktop- und Mobile-Ansicht. Geschlossene Komponenten, eingebettete Dokumente und vollständige Nutzerwege werden nicht automatisch durchlaufen. Der Check stellt keinen professionellen Audit und keinen Konformitätsnachweis dar.

Der Start und das Kurzergebnis des ersten Checks verlangen keine Registrierung und keine E-Mail-Adresse. Während der Prüfung können verkleinerte Seitenansichten und auf konkrete Befunde begrenzte Bildausschnitte entstehen. Der anonyme Einstieg kann aus Kapazitäts- und Missbrauchsschutzgründen einen im Auswahlbildschirm ausgewiesenen Teilumfang prüfen. Ergebnis und PDF-Bericht nennen gefundene und tatsächlich geprüfte Seiten. Den PDF-Bericht des einmaligen Checks können Sie direkt im Ergebnis herunterladen. Für gespeicherte Online-Berichte und weitere Prüfungen erstellen Sie ein Konto und bestätigen Ihre E-Mail-Adresse. Die technischen Check-Aufträge, Prüfergebnisse, Bildnachweise und zufällig erzeugten Zuordnungstoken werden vorübergehend gespeichert. Ohne Konto sind sie nach 24 Stunden nicht mehr abrufbar und werden automatisch gelöscht. Gegenüber dem anfordernden Nutzer ist die Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Die technische Analyse der öffentlich zugänglichen Website-Inhalte, die Dokumentation der Befunde und der Schutz vor Missbrauch beruhen ergänzend auf Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen sind die Bereitstellung und Verbesserung einer konkreten technischen Orientierungshilfe zur Beseitigung von Barrieren sowie der sichere Betrieb des Dienstes. Dem stehen verkleinerte, markierte und zweckgebundene Belege, kurze anonyme Aufbewahrung, Zielserver-Schutz, fehlende Zugangsumgehung und Betreiber-Widerspruch als Schutzmaßnahmen gegenüber.

Zum Prüfauftrag speichern wir zusätzlich, von welcher unserer eigenen Seiten der Check gestartet wurde. Diese Einstiegsseite ergibt sich aus dem Pfad der aufgerufenen Seite und nicht aus Adressparametern; sie ist für alle Besucher derselben Seite identisch und enthält keine Besucher-, Geräte- oder Sitzungskennung. Sie wird mit dem Prüfauftrag nach 24 Stunden gelöscht. Legen Sie im Anschluss ein Konto an, wird die Einstiegsseite mit der in das Konto übernommenen Prüfung gespeichert und mit dem Konto gelöscht. Daneben führen wir je Kalendertag und Einstiegsseite Summen der gestarteten Prüfungen, der abgeschlossenen Prüfungen und der angelegten Konten; diese Summen enthalten keine personenbezogenen Daten und keine Besucherkennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Messung der Wirksamkeit eigener Werbeanzeigen je Einstiegsseite.

Information für Personen auf öffentlich geprüften Seiten: Bei einem öffentlichen Scan können sichtbare personenbezogene Angaben als Teil einer verkleinerten Seitenansicht oder eines konkreten Befundausschnitts erfasst werden. Datenquelle ist ausschließlich die vom anfordernden Nutzer angegebene, ohne Anmeldung erreichbare Website. Mögliche Kategorien sind Namen, geschäftliche Kontaktdaten, Profilbilder, Website-Inhalte, URL- und Seitendaten sowie die zugehörigen technischen Accessibility-Befunde. spanier.one verwendet diese Angaben weder zur Identifizierung noch zur Profilbildung von Personen.

Eine individuelle Information erfolgt nicht, soweit Personen aus dem Seiteninhalt nicht zuverlässig bestimmt oder kontaktiert werden können und eine Einzelinformation deshalb unmöglich oder unverhältnismäßig wäre. Stattdessen stellen wir diese Informationen nach Art. 14 Abs. 5 lit. b DSGVO öffentlich bereit. Tragend dafür ist, dass sich aus einem Bildausschnitt keine Kontaktdaten ableiten lassen und jeder Identifizierungsversuch mehr Daten über die betroffene Person erheben müsste als die Verarbeitung selbst. Schutzmaßnahmen sind der ausschließlich technische Zweck, auf den einzelnen Befund begrenzte markierte Ausschnitte in den unter Ziffer 4 genannten Höchstmaßen, nur flüchtige Verarbeitung der Rohaufnahme ohne persistente Speicherung, begrenzte Aufbewahrung, fehlende Zugangsumgehung und kostenlose nachgelagerte Widerspruchs- und Löschwege.

Für genau diese Personen gilt ergänzend: Speicherdauer. Ohne Konto werden Auftrag, Ergebnis und Bilder nach 24 Stunden gelöscht; anonyme Prüfberichte können nicht geteilt und dadurch auch nicht länger aufbewahrt werden. Aus einem Kontolauf stammende Verlaufsvorschauen und Befundbilder werden in einem Konto ohne entgeltliche Nutzung ein Jahr ab Aufnahme gelöscht; hat das Konto einmal Credits gekauft oder ein Abonnement gehalten, bleiben sie für die Dauer der aktiven Kontonutzung gespeichert. Nach zwölf Monaten ohne Anmeldung, Scan, API-Zugriff und ohne laufendes Abonnement werden alle Scandaten des Kontos und damit auch diese Bilder gelöscht. Eine im angemeldeten Konto aktivierte Arbeitsansicht ist für den selbst gewählten Zeitraum von höchstens 30 Tagen abrufbar. Empfänger. Die Bilder liegen bei den in Ziffer 9 genannten Auftragsverarbeitern für Hosting, Zwischenspeicher und dauerhaften Objektspeicher. Darüber hinaus erhalten sie nur der jeweilige Kontoinhaber und dessen Workspace-Mitglieder, von ihm über API oder MCP angebundene eigene Systeme, eine von ihm eingerichtete Webhook-Zieladresse sowie – falls er eine Arbeitsansicht teilt – die Empfänger des geheimen Freigabelinks. Widerspruch und Löschung. Sie können der Verarbeitung jederzeit nach Art. 21 DSGVO widersprechen und die Sperrung, Redaktion oder Löschung eines konkreten Bildbelegs verlangen. Dafür stehen das gleichwertige Formular zur Bildlöschung und eine formlose Nachricht an hallo@spanier.one bereit; ein Domainnachweis ist nicht erforderlich. Wir antworten unverzüglich, spätestens innerhalb eines Monats. Die Herkunft der Daten ist ausschließlich die vom anfordernden Nutzer angegebene, ohne Anmeldung erreichbare Website.

Manuell gestartete und automatische Kontoläufe speichern Bildnachweise wie beschrieben.

Der öffentliche Check ist nicht darauf ausgerichtet, besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO oder personenbezogene Angaben zu Straftaten nach Art. 10 DSGVO auszuwerten. Er meldet sich nicht an, füllt keine Formulare aus und öffnet keine privaten Datensätze. Automatische Erkennung sensibler Inhalte ist nicht fehlerfrei. Nach einem konkreten Hinweis sperren wir den betroffenen Bildbeleg unverzüglich und löschen oder redigieren ihn, soweit keine vorrangige gesetzliche Pflicht entgegensteht; der technische Accessibility-Befund kann ohne sichtbaren Personeninhalt erhalten bleiben. Die Sperre erfasst alle gespeicherten Bildbelege und Seitenansichten der angegebenen Adresse, einschließlich der im Konto angezeigten Startseiten-Vorschau und des Vorschaubilds im Bericht.

Für öffentliche Prüfungen bleibt der TDM-Vorbehalt wirksam. Vor einer öffentlichen Analyse berücksichtigen wir maschinenlesbare Vorbehalte nach dem TDM Reservation Protocol in /.well-known/tdmrep.json, im TDM-Reservation-HTTP-Header und in gleichnamigen HTML-Metadaten; die dokumentnähere Angabe hat Vorrang. Für jede öffentlich aufgerufene URL beachten wir außerdem eine ausdrücklich an User-agent: SpanierOneAccessibilityScanner gerichtete Allow-/Disallow-Regel in robots.txt. Eine allgemeine Regel für User-agent: * allein verhindert eine vom Nutzer gestartete Barrierefreiheitsprüfung nicht. Öffentliche Prüfungen überwinden weder Login noch Paywall oder andere Zugangsbeschränkungen. Website-Betreiber können außerdem eine dauerhafte Prüfsperre veranlassen.

Für eine im Konto registrierte Website kann ein Nutzer ausdrücklich bestätigen, Betreiber zu sein oder in dessen Auftrag zu handeln. Nur für den exakt verbundenen Ursprung wird der TDM-Vorbehalt als enge Ausnahme nicht angewendet. Für öffentliche oder fremde Ziele gilt er unverändert. Die ausdrückliche Prüfsperre für den spanier.one Accessibility-Scanner bleibt immer wirksam. Wir speichern Zeitpunkt, Fassung, Prüfsumme und den bestätigenden Nutzer beziehungsweise API-Schlüssel als Nachweis beim registrierten Ziel.

Diese Vorbehalte werden je Ursprung abgefragt und bis zu fünf Minuten zwischengespeichert. Schlägt der Abruf von robots.txt oder der TDM-Angaben fehl – etwa wegen eines Netzwerkfehlers, eines Serverfehlers oder einer nicht auswertbaren Datei –, wird der vom Nutzer gestartete Abruf nicht angehalten. Ein technisch nicht erreichbarer Vorbehalt gilt also nicht als gesetzt. Wir legen das offen, weil es die Wirksamkeit dieser Vorbehalte begrenzt. Dauerhaft und unabhängig vom Abrufergebnis wirkt nur die Prüfsperre.

Zur Verfügbarkeit begrenzt der Server nur die Gesamtzahl gleichzeitig wartender und laufender anonymer Prüfungen. Diese Kapazitätsgrenze benötigt keine dauerhafte Zuordnung zu einer IP-Adresse, einem Browser oder einem Endgerät.

3a. Kontaktanfragen

Über das Kontaktformular verarbeiten wir Name, E-Mail-Adresse, eine optional angegebene Website, den Inhalt Ihrer Nachricht und – soweit Sie diese Angaben machen – Budgetrahmen, Zusammenarbeitsmodell, gewünschten Startzeitraum und gewünschte Kapazität, um die Anfrage zu beantworten. Die Nachricht wird über Lettermint an unser geschäftliches Postfach bei Google Workspace zugestellt; eine eigene Datenbank für Kontaktanfragen führen wir nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vorvertraglichen Anfragen, sonst Art. 6 Abs. 1 lit. f DSGVO.

Wir löschen die Anfrage einschließlich der Antwortnachrichten spätestens sechs Monate nach der letzten Nachricht zu diesem Vorgang. Führt die Anfrage zu einem Vertrag oder besteht eine gesetzliche Aufbewahrungspflicht, gelten stattdessen die in Ziffer 4 genannten Aufbewahrungsfristen.

3b. Widerruf

Wenn Sie die öffentliche Widerrufsfunktion verwenden, verarbeiten wir die zur Zuordnung des Credit-Kaufs angegebenen Identitäts-, Kontakt- und Vertragsdaten sowie Inhalt, Datum und Uhrzeit Ihrer Erklärung. Wir speichern den Vorgang, um die Erklärung auszuführen, Ihnen den Eingang per E-Mail zu bestätigen und gesetzliche Nachweispflichten zu erfüllen. Dafür gleichen wir die Angaben mit den bei uns und bei Stripe gespeicherten Kauf- und Zahlungsdaten ab.

Die öffentliche Antwort auf einen gesetzlichen Widerruf legt nicht offen, ob ein Vertrag oder eine E-Mail-Adresse bei uns besteht. Bei eindeutiger Zuordnung senden wir einen persönlichen Zuordnungslink nur an die gespeicherte Vertrags-E-Mail. In der Fachdatenbank speichern wir ausschließlich den Hash des persönlichen Einmaltokens, seinen Ablauf- und Nutzungszeitpunkt sowie den Versandnachweis. Bis zur Übergabe an den Versanddienst oder bis zum Ablauf liegt der nutzbare Link zusätzlich verschlüsselt in der Versandwarteschlange; der verschlüsselte Inhalt wird danach entfernt. Der Link dient nur der Vertragszuordnung und der Freigabe einer berechtigten automatischen Rückabwicklung. Eingang, Fristwahrung und Wirksamkeit des Widerrufs hängen nicht von seiner Nutzung ab.

Nicht eindeutig zuordenbare oder atypische Widerrufe und technische Ausführungsfehler kommen in eine geschützte Ausnahmeprüfung. Die zuständige Person erhält dafür eine interne Benachrichtigung, die nur Vorgangsart, Referenz und Eingangszeit nennt; routinemäßige Wiederholungs- oder Eskalationsmails werden nicht versendet. Die Bestätigung dokumentiert Eingangszeit, Referenz und automatisches Ergebnis oder Ausnahmegrund.

Für die Missbrauchsprüfung speichern wir je Workspace höchstens den auf zwei gekappten Zähler vollständig ausgezahlter Credit-Rückgaben sowie Zeitpunkt, Grund und Löschzeitpunkt eines Prüfhinweises. Der Grund bezeichnet ausschließlich, ob zwei Rückgaben ausgezahlt wurden oder bei einer ausgezahlten Rückgabe mehr als 10.000 Credits des Pakets bereits genutzt waren. Das Signal entscheidet weder über einen gesetzlichen Anspruch noch über den Kontozugang; es führt bei späteren Anträgen auf die freiwillige automatische Rückgabegarantie zur persönlichen Prüfung. Es wird spätestens am 1. Januar nach drei vollständigen Kalenderjahren seit dem letzten dafür maßgeblichen Erstattungsereignis gelöscht. Rechtsgrundlage für diesen begrenzten Prüfhinweis ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Abwehr einer wiederholten Inanspruchnahme der freiwilligen Automatik, ohne Verbraucherrechte automatisiert zu beschränken.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und c DSGVO. Bei jedem manuellen oder automatischen Abschluss wird ein technischer Löschzeitpunkt gesetzt. Maßgeblich ist das späteste relevante Ereignis, insbesondere Eingang, Wirksamkeitszeitpunkt, Erstattung oder Abschluss der Ausnahmeprüfung. Der Vorgang wird mit Ablauf von drei vollständigen Kalenderjahren nach dem Kalenderjahr dieses Ereignisses gelöscht. Ein geplanter Löschlauf entfernt ausschließlich abgeschlossene Vorgänge. Offene Ausnahmefälle erhalten spätestens alle 90 Tage eine verpflichtende, dokumentierte Erforderlichkeitsprüfung. Eine längere Aufbewahrung setzt einen dokumentierten Grund und ein befristetes Legal Hold voraus. Solange ein Legal Hold aktiv ist, bleibt der Vorgang unabhängig von seinem Bearbeitungsstatus in der Prüfwarteschlange; die nächste Prüfung erfolgt spätestens nach 90 Tagen oder früher zum Ende des Legal Hold. Nach dem Ende wird ein Vorgang erst gelöscht, wenn die abschließende Prüfung dokumentiert und die Aufbewahrung ausdrücklich freigegeben wurde.

4. Konto und Monitoring

Wenn Sie ein kostenloses Konto erstellen, verarbeiten wir Ihre E-Mail-Adresse, die verbundene Website, Anmeldetoken sowie Ihre Scanaufträge und Ergebnisse. Bei Credit-Käufen kommen Credit-Saldo, Kaufreferenz, privater oder geschäftlicher Kundentyp und Rechnungszuordnung hinzu. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Das unter Ziffer 2a beschriebene Sitzungscookie hält die ausdrücklich angeforderte Anmeldung aufrecht.

Jeder abgeschlossene Kontolauf kann eine eigene komprimierte Verlaufsvorschau sowie markierte Befundbilder mit getrennt gespeicherten Fundstellenkoordinaten enthalten. Zusammen mit Quelle, Aufnahmezeitpunkt, Scan- und Nachweis-ID, Regel, WCAG-Zuordnung, Dateieigenschaften, SHA-256-Prüfsumme und Ergebnis machen sie nachvollziehbar, auf welchen damaligen sichtbaren Zustand sich ein Befund bezog. Verlaufsvorschauen einer geprüften Seite sind auf 480 × 270 Pixel und 60 KiB begrenzt. Für jeden automatisch bestätigten und im sichtbaren HTML lokalisierbaren Problemtyp wird ein Befundbild als markierter Ausschnitt in höchstens 854 × 480 beziehungsweise 480 × 854 Pixel und 160 KiB gespeichert, höchstens 120 je Seite. Zu jedem Befundbild wird zusätzlich eine höher aufgelöste Fassung desselben Ausschnitts in der vom Browser gerenderten Größe gespeichert, höchstens jedoch 1920 × 1080 Pixel und 700 KiB. Das Gesamtmanifest ist auf 102 MiB begrenzt. Der Fundstellenrahmen und eine dezente Abdunklung außerhalb des Fokusbereichs werden in Vorschau und Vollbild dauerhaft in die Bildpixel eingebrannt. Befundtitel, konkrete Messung oder Prüfhinweis, Handlungsempfehlung und WCAG-Zuordnung werden getrennt als strukturierte, kopierbare Nachweisdaten gespeichert und im Viewer unter dem Bild angezeigt; eine Produktmarke oder ein Logo wird nicht eingebrannt. Quelle, Aufnahmezeit, Scan- und Nachweis-ID, Fundstellenkoordinaten, Dateieigenschaften und SHA-256-Prüfsumme bleiben zusätzlich als getrennter, versionierter Nachweissatz erhalten. Der SHA-256-Wert ermöglicht den Vergleich identischer Dateibytes; er ist keine elektronische Signatur und kein Konformitätszertifikat. Rohaufnahmen werden nur flüchtig für die Ableitung verarbeitet und nicht persistent gespeichert. Diese zweckgebundene Verlaufsfunktion beruht auf Art. 6 Abs. 1 lit. b DSGVO gegenüber dem Kontoinhaber und, soweit öffentlich sichtbare Inhalte Dritter betroffen sind, auf der unter Ziffer 3 beschriebenen Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO.

Verlaufsvorschauen und Bildnachweise aus Kontoläufen werden in einem Konto ohne entgeltliche Nutzung ein Jahr ab Aufnahme gespeichert, auch wenn ein Befund zwischenzeitlich behoben wurde. Hat das Konto einmal Credits gekauft oder ein Abonnement gehalten, bleiben Prüfberichte, Verlaufsvorschauen und Befundbilder für die Dauer der aktiven Kontonutzung gespeichert; diese Einstufung bleibt auch nach dem Ende eines Abonnements bestehen. Davon ausgenommen ist die Startseiten-Vorschau einer Website einschließlich Favicon: sie wird unabhängig von der Kontoart ein Jahr nach ihrer Aufnahme gelöscht und beim nächsten Lauf neu erzeugt. Rechtsgrundlage der Speicherung ist Art. 6 Abs. 1 lit. b DSGVO; die genannten Fristen setzen den Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO um. Nach zwölf Monaten ohne Anmeldung, Scan und API-Zugriff und ohne laufendes Abonnement werden alle Scandaten des Kontos automatisch gelöscht und Zeitpläne angehalten; jede dieser Handlungen setzt die Frist neu in Gang. Vor der Löschung versenden wir dreimal eine Erinnerung an die Kontoadresse, erstmals rund 90 Tage vor dem Löschdatum; eine Anmeldung wendet die Löschung ab. Website- und Kontodaten bleiben bestehen, damit eine spätere Anmeldung möglich bleibt; sie werden gelöscht, sobald Sie die Löschung des Kontos veranlassen oder uns eine anderweitige Erledigung anzeigen. Nach einer berechtigten Kontolöschung werden auch sie gelöscht, soweit nicht einzelne Vertrags-, Zahlungs-, Sicherheits- oder Rechtsnachweise aufgrund einer gesetzlichen Pflicht oder zur Geltendmachung, Ausübung oder Verteidigung konkreter Rechtsansprüche weiter benötigt werden. Für solche Nachweise gelten die jeweils in diesem Abschnitt genannten eigenen Löschfristen; eine bloß mögliche spätere Auseinandersetzung genügt nicht für eine unbegrenzte Aufbewahrung.

Website- und Kontolöschungen reihen zugeordnete Bildobjekte vor der Datenbanklöschung in eine dauerhafte Löschwarteschlange ein. Sie entfernen bestätigte Kopien aus dem zentralen, nicht dauerhaft ausgelegten und jederzeit aus dem dauerhaften Speicher wiederherstellbaren S3-Zwischenspeicher und dem dauerhaften S3-Speicher; vorübergehend fehlgeschlagene Objektspeicher-Löschungen werden bis zur Bestätigung wiederholt. Der Owner kann die Löschung jederzeit im bestehenden Löschdialog verbindlich auslösen. Der Kontozugriff wird sofort widerrufen und die operativen Daten werden für jede weitere Nutzung gesperrt. Laufende Prüfungen werden beendet; offene Checkouts werden geschlossen und aktive Abonnements gekündigt. Offene Widerrufs- und Erstattungsvorgänge werden in einem getrennten Abwicklungsdatensatz fortgeführt. Nach ihrem Abschluss werden die verbliebenen operativen Kontodaten endgültig gelöscht. Die Löschung ist unentgeltlich und wird nicht davon abhängig gemacht, dass auf Ansprüche verzichtet wird. Den auf verbleibende gekaufte Credits entfallenden Anteil des Paket- oder Abonnementpreises erstatten wir unaufgefordert binnen 14 Tagen über das ursprüngliche Zahlungsmittel; kostenlose Credits entfallen. Zwingend aufzubewahrende Vertrags-, Steuer-, Zahlungs-, Sicherheits- und Rechtsnachweise sowie die pseudonymen Zuordnungs- und Providerreferenzen für die Abwicklung werden statt einer operativen Kontonutzung nur für ihre jeweilige Frist getrennt erhalten.

Für das Credit-Guthaben speichern wir kostenlose Monats-Credits, gekaufte Credit-Pakete, Restguthaben, die verwendete Stripe-Preis-ID sowie erfolgreich bezahlte Rechnungen und Zahlungen. Jeder Kauf wird mit einem idempotenten Abrechnungsereignis verknüpft, damit doppelte Webhooks keine Credits mehrfach gutschreiben.

Bei einem kostenpflichtigen Checkout speichern wir die bei Vertragsschluss geltende Vertragsfassung, Credit-Menge, Preis, Kundentyp, Volljährigkeits- oder Vertretungserklärung, Vertragsreferenz und einen kryptografischen Prüfsummenwert. Stripe-Invoice-ID sowie Link zur steuerlichen Rechnung und zum Stripe-Rechnungs-PDF werden getrennt von der PDF-Vertragsbestätigung zugeordnet. Damit können wir die im Konto bereitgestellte und zusätzlich versandte Vertragsbestätigung, Rechnung und das verbleibende gekaufte Guthaben nachweisen. Diese Vertrags- und Guthabennachweise bleiben gespeichert, solange noch Credits aus dem Kauf bestehen, und danach nur innerhalb der anwendbaren vertraglichen und gesetzlichen Nachweisfristen. Handels- und Vertragskorrespondenz wird regelmäßig sechs Jahre ab dem Ende des Kalenderjahres aufbewahrt, in dem sie empfangen oder abgesandt wurde. Vertrags- und Buchungsnachweise zu bezahlten Einmalkäufen und Abonnement-Rechnungen sowie Rechnungsdoppel und Buchungsbelege werden regelmäßig acht Jahre ab dem Ende des Kalenderjahres aufbewahrt, in dem der jeweilige Nachweis entstanden ist. Erfüllt derselbe Nachweis beide Zwecke, gilt die längere Frist. Nicht abgeschlossene Checkout-Entwürfe werden spätestens 30 Tage nach ihrem Ablauf oder ihrer Schließung gelöscht, sofern aus ihnen weder eine Gutschrift noch ein Erstattungsvorgang entstanden ist; andernfalls treten an die Stelle dieser Frist die vorstehenden Vertrags- und Nachweisfristen. Gelöscht werden dabei auch die im Entwurf erfassten Vertrags-E-Mail, Kundenart, Rechtsstandsangaben und die erzeugte Vertrags-PDF. Autoritative Steuerberechnungen zu Kundenstandort, Steuerjurisdiktion, Bemessungsgrundlage, Steuersatz und Steuerbetrag werden bis zum 1. Januar nach zehn vollständigen Kalenderjahren ab dem Transaktionsjahr aufbewahrt. Nachweise zu Erstattungen und technischen Rückabwicklungen aus einmaligen Credit-Käufen werden bis zum 1. Januar nach sechs vollständigen Kalenderjahren ab ihrem jeweiligen Abschluss aufbewahrt und danach gelöscht. Offene Ausführungs- oder Erstattungsaufträge bleiben bis zu ihrem Abschluss gespeichert.

Bei einem manuellen Kontolauf speichern wir außerdem Zeitpunkt, Website, gewählten Prüfumfang, Anzahl ein- und ausgeschlossener Seiten sowie die geltende Fassung der Prüfbedingungen. IP-Adresse und Browserkennung des Starts werden zur Missbrauchserkennung für höchstens 90 Tage im Scanprotokoll gespeichert, sofern ein Sicherheitsvorfall keine längere Aufbewahrung erfordert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie für Missbrauchsprävention Art. 6 Abs. 1 lit. f DSGVO.

Für automatische Zeitpläne werden Website, gewähltes Intervall, Aktivierungsstatus und Zeitpunkt des nächsten Laufs gespeichert. Betreiber-Widersprüche und technische Sperren werden gespeichert, damit keine weiteren Abrufe ausgelöst werden.

Ein Zeitplan für eine fremde Domain ist eine eigenständige Verarbeitung: Er erzeugt wiederkehrende Abrufe. Wir stützen die Abrufe auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse und das des Kontoinhabers liegen in der Kontrolle, ob eine gemeldete Barriere tatsächlich behoben wurde und ob eine Änderung an der Website neue Barrieren erzeugt hat; eine einmalige Prüfung leistet das nicht. Dem stehen die Interessen der auf der Seite sichtbaren Personen und des Betreibers gegenüber, insbesondere daran, nicht dauerhaft von einem Dritten beobachtet zu werden. Als überwiegend sehen wir unser Interesse nur unter diesen Bedingungen an: Der Zeitplan erfasst ausschließlich ohne Anmeldung erreichbare Seiten, er unterliegt derselben Taktung und denselben Stoppsignalen wie ein manueller Lauf, und er endet sofort und dauerhaft mit einem Betreiber-Widerspruch oder einer Prüfsperre. Wir werten die Läufe nicht aus, um Personen wiederzuerkennen, Verhalten zu beobachten oder ein Archiv der Website aufzubauen. Ein Widerspruch nach Art. 21 DSGVO gegen die Dauerbeobachtung ist jederzeit ohne Angabe von Gründen zur Domain möglich.

Für die experimentelle Prüfung nach einer Anmeldung kann jedes Konto ein Authentifizierungsprofil hinterlegen. Es enthält die Login-Adresse, die manuell eingetragenen CSS-Selektoren und Aktionen sowie Benutzername, Passwort und optional ein TOTP-Geheimnis. Fremd erzeugte Browser-Sitzungswerte werden nicht übernommen oder im Authentifizierungsprofil gespeichert. Zusätzlich können getrennte öffentliche HTTPS-Origins für passive Assets wie CSS, Skripte, Bilder, Schriften und Medien freigegeben werden. An diese Origins werden keine Zugangsdaten übermittelt; Navigation, Formulare, Fetch und XHR sowie Cookies und Autorisierungswerte bleiben gesperrt. Diese Zugangsdaten werden vor der Speicherung mit AES-256-GCM verschlüsselt. In Produktion erfolgen Ver- und Entschlüsselung über den Key-Management-Dienst von OVHcloud (OVH SAS, Frankreich); die Anwendung spricht ihn über eine gegenseitig authentifizierte TLS-Verbindung an und übergibt ihm dabei die zu schützenden Werte. Der Dienst ist damit an der Verarbeitung der Zugangsdaten beteiligt und in Ziffer 9 als Empfänger genannt. Auf der Testinstanz kommt stattdessen eine rein anwendungsseitige Verschlüsselung mit einem lokal gehaltenen, versionierten 256-Bit-Schlüssel zum Einsatz; dieser Schlüssel wird als geschütztes Laufzeit-Secret getrennt von Fachdaten und Anwendungsabbild gehalten und nur den technisch erforderlichen Prozessen bereitgestellt. Entschlüsselt wird nur für einen angeforderten manuellen beziehungsweise geplanten Lauf. Die Anwendung gibt Zugangsdaten nicht gezielt in Berichten oder Protokollen aus; eine Zielseite kann während des Logins eingegebene Werte jedoch selbst verarbeiten oder darstellen. Beim Formular-Login während des Laufs erzeugte Browser-Sitzungen werden nach dem jeweiligen Vorgang verworfen.

Die Kennzeichnung als experimentelle Beta-Zusatzfunktion beschreibt ausschließlich den nicht zugesicherten Funktions- und Prüfumfang. Sie ändert weder die hier beschriebenen Verarbeitungen noch Datenschutzpflichten oder Betroffenenrechte.

Authentifizierungsprofile können jederzeit ersetzt oder gelöscht werden. Die verschlüsselten Zugangsdaten werden mit dem Profil, der Website oder dem Konto gelöscht. Unterstützt wird zeitbasierte Zwei-Faktor-Authentifizierung per TOTP. Push-Freigaben, SMS-Codes, Passkeys, Sicherheitsschlüssel, CAPTCHAs und externe Single-Sign-on-Abläufe werden nicht gespeichert oder automatisiert. Soweit möglich, empfehlen wir einen eigenen, nur lesenden Testzugang mit starkem, ausschließlich hierfür verwendetem Passwort. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Bei geschützten Prüfungen verarbeitet spanier.one die nicht öffentlichen Inhalte und Zugangsdaten als Auftragsverarbeiter nach der bei der Einrichtung angenommenen, versionierten Auftragsverarbeitungsvereinbarung. Annahme, Fassung, vollständiger Text, Nutzer, Konto, Website, Authentifizierungsprofil, Profilrevision und Zeitpunkt werden unveränderlich protokolliert. Geschützte Berichte und Bilder bleiben ausschließlich im zugehörigen Konto und können nicht freigegeben werden.

Eine geteilte Arbeitsansicht kann nur durch einen angemeldeten Kontonutzer für einen abgeschlossenen Kontoscan einer öffentlich erreichbaren Website aktiviert werden. Anonyme Prüfberichte können nicht geteilt werden. Der Link läuft nach dem selbst gewählten Zeitraum von höchstens 30 Tagen ab, ist nicht indexiert und enthält das nutzbare Token nur im URL-Fragment. Wir speichern den Hash des Freigabetokens, bei ausgewählten Bildnachweisen Passwort-Hash und Salt, die ausgewählten Befundbild-IDs, das Ergebnis technischer Risikosignale und eine zufällige Meldekennung. Seitenadressen werden für die geteilte Ausgabe um Benutzerinformationen, Query-Strings und Fragmente bereinigt. Eine hinreichend konkrete Meldung kann die Ansicht sofort vorläufig deaktivieren. Scans geschützter Bereiche sind technisch von dieser Funktion ausgeschlossen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Freigabefunktion und Art. 6 Abs. 1 lit. f DSGVO für Zugriffsschutz, technische Risikosignale und die nicht gesetzlich gebotene Missbrauchsabwehr.

Die Weitergabe der in einer Arbeitsansicht enthaltenen Befundbilder an die Empfänger des Links ist eine eigenständige Verarbeitung und wird ebenfalls auf Art. 6 Abs. 1 lit. f DSGVO gestützt. Berechtigtes Interesse ist die gemeinsame Bearbeitung eines konkreten technischen Befundes durch die Personen, die ihn beheben müssen – typischerweise Agentur, Entwicklung und Redaktion. Dem stehen die Interessen der auf dem Ausschnitt sichtbaren Personen gegenüber. Als überwiegend sehen wir das Interesse nur an, weil der Ausschnitt bereits ohne Zugangshürde veröffentlicht war, weil die Ansicht nur über ein nicht erratbares Token im URL-Fragment erreichbar ist, nicht indexiert wird, nach 30 Tagen abläuft und mit einem Passwort geschützt werden muss, sobald sie Bildnachweise enthält, weil Scans geschützter Bereiche technisch nicht teilbar sind und weil jede Ansicht und jedes darin gezeigte Bild einen Meldeweg besitzt, der die Freigabe sofort vorläufig deaktiviert. Der Kontoinhaber wählt die enthaltenen Bilder gezielt aus. Der freigebende Nutzer entscheidet jeweils über den Empfängerkreis und ist für diese Entscheidung mitverantwortlich. Ein Widerspruch nach Art. 21 DSGVO gegen die Aufnahme eines konkreten Bildes in eine Arbeitsansicht ist jederzeit formlos möglich.

Bei Meldungen zu geteilten Arbeitsansichten verarbeiten wir Meldegrund, Erläuterung, genaue Freigabe- und gegebenenfalls Bildkennung, Gutglaubenserklärung, Name und E-Mail-Adresse, soweit sie gesetzlich erforderlich sind, sowie Eingangs-, Entscheidungs- und Kommunikationsdaten. Die Verarbeitung dient der Erfüllung gesetzlicher Pflichten nach Art. 6 Abs. 1 lit. c DSGVO und der Missbrauchsabwehr und Rechtsverteidigung nach Art. 6 Abs. 1 lit. f DSGVO. Bestätigte Meldungen löschen wir ein Jahr nach der Entscheidung, alle übrigen 30 Tage nach Abschluss; ein dokumentiertes Legal Hold verlängert diese Frist um seine Dauer. Eine über das Bildlöschformular freiwillig angegebene Kontaktadresse verwenden wir nur zur Rückmeldung und löschen sie mit dem Abschluss des Vorgangs.

Anmeldelinks, aktivierte Wochen- und Monatsberichte, Credit-Kaufbestätigungen sowie Bestätigungslinks und Ergebnisnachrichten zu Widerrufen werden über Lettermint B.V., Willemsvaart 16 B, 8019 AB Zwolle, Niederlande, versendet. Lettermint erhält dafür Empfängeradresse, Nachrichteninhalt, Anhänge und Zustellmetadaten. Vollständige Nachrichten einschließlich ihrer Anhänge, Metadaten und Zustellereignisse werden 28 Tage gespeichert und danach automatisch gelöscht. Die Verarbeitung der E-Mail-Daten erfolgt innerhalb der Europäischen Union über UpCloud in den Niederlanden, OVHcloud in Deutschland und Postmastery in den Niederlanden. Öffnungs- und Klicktracking ist in unseren Routen deaktiviert und wird zusätzlich für jede Nachricht ausdrücklich ausgeschaltet. Bei angeforderten Konto-, Vertrags- und Rechtsnachrichten erfolgt der Versand zur Vertragsdurchführung nach Art. 6 Abs. 1 lit. b DSGVO oder zur Erfüllung gesetzlicher Pflichten nach Art. 6 Abs. 1 lit. c DSGVO. Zustellstatus, Rückläufer und technische Fehler verarbeiten wir nach Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein zuverlässiger und sicherer Nachrichtenversand. Lettermint verarbeitet diese Daten als Versanddienstleister innerhalb des jeweiligen Versandzwecks. Die konkrete Routenkonfiguration wird vor der Freigabe durch echte Testzustellungen und authentifizierte Zustellwebhooks geprüft. Unsere Versandaufträge und Zustellmetadaten werden grundsätzlich nach 400 Tagen gelöscht. Versandnachweise zu Widerrufen werden mit Ablauf von drei vollständigen Kalenderjahren nach ihrem Versand gelöscht; Vertragsbestätigungen zum vorstehend genannten Löschzeitpunkt des Vertragsbelegs. Nicht mehr für einen Versand benötigte Vorlagendaten werden nach 30 Tagen entfernt; bei Vertragsbestätigungen bleiben in der Versandhistorie nur Prüfsumme, Vertragsreferenz und Zeitpunkt. Der eigentliche Nachrichteninhalt persönlicher Links wird bereits nach Versand, Unterdrückung oder Ablauf aus der Warteschlange entfernt.

Wenn Sie Wochen- und Monatsberichte aktivieren, verarbeiten wir Ihre Prüf- und Nutzungsdaten, um diese Statusberichte zu senden. Rechtsgrundlage ist die Durchführung der von Ihnen aktivierten Produktfunktion nach Art. 6 Abs. 1 lit. b DSGVO. Wochen- und Monatsberichte enthalten eine von Lettermint bereitgestellte Abmeldung und die technischen Header für die RFC-8058-Ein-Klick-Abmeldung. Eine solche Abmeldung deaktiviert ausschließlich wiederkehrende Berichte für alle Konten mit derselben Empfängeradresse. Sie wirkt nicht auf erforderliche Konto-, Sicherheits-, Zahlungs-, Vertrags- und Rechtsnachrichten. Die Berichtseinstellung kann im Konto geändert werden; eine erneute Aktivierung wiederkehrender Berichte hebt die zugehörige Routensperre vor dem nächsten Versand auf.

In Workspaces verarbeiten wir zusätzlich die E-Mail-Adressen eingeladener Personen, ihre Rolle und Mitgliedschaft sowie ein Protokoll sicherheits- und verwaltungsrelevanter Aktionen. Einladungen verfallen, wenn sie nicht innerhalb der vorgesehenen Frist angenommen werden. Das Aktivitätsprotokoll dient der Nachvollziehbarkeit von Zugriffen und Änderungen und wird spätestens zwölf Monate nach dem jeweiligen Ereignis gelöscht, sofern ein Sicherheitsvorfall oder eine gesetzliche Pflicht keine längere Aufbewahrung erfordert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie für die Absicherung des Workspace Art. 6 Abs. 1 lit. f DSGVO.

Für API und MCP speichern wir Bezeichnung, Berechtigungsumfang, gekürzte Kennung, Erstellungs-, Nutzungs- und Widerrufszeitpunkt eines API-Schlüssels. Der vollständige Schlüssel wird nur einmal angezeigt und anschließend ausschließlich als kryptografischer Hash gespeichert. API- und MCP-Aufträge, Verbrauch und Idempotenznachweise werden dem Konto oder Workspace zugeordnet. Die hierfür erforderlichen technischen Nachweise werden mit dem Konto gelöscht oder früher entfernt, sobald sie für Betrieb, Abrechnung und Missbrauchsprävention nicht mehr benötigt werden.

Ein API-Schlüssel mit dem Recht scans:read kann auch Verlaufsvorschauen und Befundbilder der zugeordneten Konten abrufen. Über MCP gilt das ebenso: Ein vom Kontoinhaber angebundener KI-Assistent kann diese Bilder abrufen und in seiner eigenen Umgebung weiterverarbeiten. Für die auf diesen Ausschnitten sichtbaren Personen ist das eine eigenständige Verarbeitung; wir stützen sie auf Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse ist die Einbindung der Befunde in die Werkzeuge, in denen sie tatsächlich behoben werden – Ticketsysteme, Build-Pipelines, Redaktionsumgebungen. Begrenzend wirken, dass der Abruf einen gültigen, kontogebundenen Schlüssel voraussetzt, dass er denselben Fristen unterliegt wie die Bilder selbst, dass geschützte Prüfungen ausgenommen bleiben und dass die Bilder dieselben engen Ausschnitte sind wie im Bericht. Ab Verlassen unserer Systeme bestimmt der Kontoinhaber Zweck und Mittel der weiteren Verarbeitung und ist dafür verantwortlich; unsere Bedingungen verpflichten ihn auf die erforderliche Prüf- und Verarbeitungsberechtigung. Der Abruf ist nicht darauf ausgerichtet, ein Bildarchiv fremder Websites aufzubauen, und wir trainieren mit diesen Bildern keine Modelle.

Wenn ein Workspace Webhooks einrichtet, speichern wir Zieladresse, ausgewählte Ereignisse und Zustellprotokolle. Prüfergebnisse und technische Ereignisdaten werden an die vom Workspace hinterlegte Adresse übermittelt. Die Zieladresse muss deshalb vom Workspace-Inhaber datenschutzkonform betrieben oder beauftragt werden. Signaturschlüssel werden nur einmal vollständig angezeigt. Fehlgeschlagene Zustellungen werden begrenzt wiederholt und die Zustellprotokolle spätestens nach 90 Tagen gelöscht.

Fordert ein Website-Betreiber eine Prüfsperre an, verarbeiten wir Website-Adresse, Begründung und die Betreiber-E-Mail für den Bestätigungslink. In der dauerhaften Sperrliste wird statt der E-Mail nur ein kryptografischer Hash gespeichert. Unbestätigte Anfragen verfallen nach 30 Minuten; bestätigte Vorgänge werden nach 90 Tagen aus dem Bestätigungsprotokoll entfernt. Die Zielsperre bleibt bestehen, bis der Betreiber ihre Aufhebung verlangt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

5. Zahlung über Stripe

Der Checkout für einmalige Credit-Käufe und die Rechnungsstellung werden durch Stripe bereitgestellt. Stripe verarbeitet insbesondere Kontaktdaten, Rechnungsadresse, Zahlungsdaten, Transaktionsdaten, den gewählten privaten oder geschäftlichen Kundentyp und bei Unternehmenskäufen den Firmennamen. Im Credit-Checkout wird keine Umsatzsteuer-Identifikationsnummer erhoben. Stripe verarbeitet außerdem Credit-Paket, Preis, Rechnungsstatus und bei einer berechtigten Rückabwicklung den Erstattungsauftrag. spanier.one speichert keine vollständigen Kartendaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie für steuerrechtliche Unterlagen Art. 6 Abs. 1 lit. c DSGVO.

Für individuell vereinbarte Leistungen erzeugen wir auf Anfrage einen gesonderten Stripe-Checkout. Dort werden zusätzlich Rechnungsadresse, auf Wunsch eine Umsatzsteuer-Identifikationsnummer sowie die von Ihnen freiwillig angegebene Website-Adresse und ein kurzer Projekthinweis erhoben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für steuerliche Unterlagen Art. 6 Abs. 1 lit. c DSGVO.

Vertragspartner für den europäischen Zahlungsverkehr ist Stripe Payments Europe, Ltd. in Irland. Soweit Stripe Daten an die Stripe, Inc. in den Vereinigten Staaten übermittelt oder von dort auf sie zugegriffen wird, stützt sich diese Übermittlung auf die Zertifizierung von Stripe, Inc. nach dem EU-US Data Privacy Framework und ergänzend auf die von Stripe verwendeten EU-Standardvertragsklauseln. Eine Kopie der für eine konkrete Übermittlung maßgeblichen Garantie erhalten Sie unter hallo@spanier.one.

Weitere Informationen: Stripe-Datenschutzerklärung.

6. Technische E-Mail-Nachrichten

Wir versenden keine Werbe-E-Mails. Nach jeder erfolgreichen geplanten Prüfung senden wir Ergebnis und Berichtslink als notwendige technische Kontonachricht an die verifizierte E-Mail-Adresse des Owners. Reicht das Credit-Guthaben nicht aus, wird die geplante Prüfung nicht gestartet; dieselbe Adresse erhält dazu eine einmalige technische E-Mail mit den benötigten, verfügbaren und fehlenden Credits, solange derselbe Vorfall ungelöst ist. Weitere E-Mail-Nachrichten beschränken sich auf angeforderte Anmeldelinks, aktivierte Wochen- und Monatsberichte sowie erforderliche Mitteilungen zu Konto, Sicherheit, Vertrag, Zahlung und gesetzlichen Erklärungen. Auf eine Anfrage hin senden wir Ihnen einen unverbindlichen Vorschlag mit Leistungsumfang und Preisen als PDF. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Ohne Ihre Anfrage versenden wir keine Vorschläge.

Deployments, neue Dokumentfassungen sowie redaktionelle oder technische Änderungen lösen keine Rundmail aus. Sachlich wesentliche Änderungen zeigen wir vorrangig gezielt im Produkt an. Eine E-Mail senden wir nur an die tatsächlich betroffenen Personen, wenn eine rechtzeitige direkte Mitteilung oder ein dauerhafter Datenträger rechtlich erforderlich ist.

Zustellungen, Rückläufer und technische Fehler werden zur sicheren Bereitstellung und zum Nachweis der jeweiligen Nachricht verarbeitet. Die Rechtsgrundlagen und Löschfristen stehen bei den jeweils beschriebenen Vorgängen.

7. Eignungsprüfung und Terminbuchung

Wenn Sie die Eignung für den Korrekturservice prüfen, verarbeiten wir E-Mail-Adresse, Website, Rolle, den Wunsch nach externer Unterstützung und den gewünschten Zeitraum, um einen Termin nur bei grundsätzlicher Passung anzubieten. Diese Vorprüfung erzeugt keine rechtliche oder ähnlich erhebliche Entscheidung. Auch diese Angaben werden über Lettermint an unser geschäftliches Postfach bei Google Workspace zugestellt und nicht in einer eigenen Datenbank gespeichert; wir löschen sie spätestens sechs Monate nach der letzten Nachricht zu diesem Vorgang, sofern kein Vertrag zustande kommt. Wenn Sie den ausdrücklich als Calendly gekennzeichneten Terminlink öffnen, verlassen Sie spanier.one. Calendly erhält bereits beim Seitenabruf technisch erforderliche Verbindungsdaten; weitere Termin- und Kontaktdaten werden verarbeitet, wenn Sie sie dort eingeben oder absenden. Calendly ist nicht eingebettet. Das Öffnen ist freiwillig und für Bericht oder Konto nicht erforderlich. Rechtsgrundlage für die Organisation eines von Ihnen gewünschten Gesprächs ist Art. 6 Abs. 1 lit. b DSGVO. Calendly kann Daten in den USA verarbeiten und beschreibt hierfür Garantien wie das EU-US Data Privacy Framework und Standardvertragsklauseln. Weitere Informationen finden Sie in der Datenschutzerklärung von Calendly.

8. Werbeanzeigen

Die von uns hinterlegten Anzeigenziele enthalten keine UTM-, Klick- oder internen Zuordnungsparameter. Der API-Einstieg entfernt bekannte Werbe- und Klickparameter vor der fachlichen Anwendungslogik. Eine Produktionsprobe vergleicht Status, Weiterleitungsziel und Antwortinhalt mit und ohne diese Parameter; sie belegt keine vorgelagerte Proxy-Protokollierung. Die mitgelieferte Caddy-Konfiguration redigiert bekannte Zuordnungs- und Capability-Parameter zusätzlich, wird aber nicht als Nachweis für den produktiven Traefik-Zugriffslog gewertet. Für vorgelagerte Verbindungsprotokolle gilt deshalb die Beschreibung der angeforderten Adresse in Ziffer 2. Auf der Website ist kein Google-Tag oder vergleichbarer Conversion-Dienst eingebunden. Welche unserer eigenen Seiten einen Check ausgelöst hat, ergibt sich aus der aufgerufenen Seite selbst; dafür ist kein Parameter im Anzeigenziel erforderlich.

9. Empfänger und Übermittlungen

Daten erhalten nur die für Hosting, Berichtserstellung, E-Mail-Versand über Lettermint, geschäftliche E-Mail-Kommunikation über Google Workspace, Zahlung über Stripe und eine freiwillige Terminbuchung über Calendly erforderlichen Dienstleister. Hauptanwendung, Kontodatenbank, Clustersteuerung und der zentrale Bild-Zwischenspeicher werden auf Infrastruktur von OVHcloud/Kimsufi in Frankreich betrieben. Der Zwischenspeicher ist nicht auf Dauer ausgelegt und jederzeit aus dem dauerhaften Speicher wiederherstellbar; er wird derzeit nicht durch eine eigene Lebensdauerregel geleert, sondern durch dieselben Löschvorgänge wie der dauerhafte Speicher. Fünf Browser- und Scanner-Nodes laufen bei Vionity/Prepaid-Hoster (Henrik Kramer e.K.) in Offenbach am Main, Deutschland. Damit befinden sich alle aktiven Scanner-Rechenzentren in Deutschland. Komprimierte Bildnachweise liegen dauerhaft im privaten Hetzner Object Storage am Standort FSN1, Deutschland. Zugangsdaten geschützter Prüfungen werden mit AES-256-GCM verschlüsselt; in Produktion führt der Key-Management-Dienst von OVHcloud (OVH SAS, Frankreich) die Ver- und Entschlüsselung durch und erhält die zu schützenden Werte dabei über eine gegenseitig authentifizierte TLS-Verbindung. Verschlüsselte Datenbank-Sicherungen dienen ausschließlich der Wiederherstellung und werden nach 14 täglichen, 8 wöchentlichen und 12 monatlichen Wiederherstellungspunkten begrenzt. Im Primärsystem gelöschte Daten können bis zum Ausaltern des letzten betreffenden Sicherungspunkts in einer nicht für den Normalbetrieb verwendeten Sicherung verbleiben. Für die Wiederherstellung existiert ein signierter Löschledger und ein geprüftes Werkzeug, das die noch bindenden Löschungen erneut auf den wiederhergestellten Stand anwendet; es wird bei jedem Restore ausgeführt, aber manuell ausgelöst und nicht durch einen wiederkehrenden Job. Soweit OVHcloud/Kimsufi einschließlich des Key-Management-Dienstes (OVH SAS, Frankreich), Vionity/Prepaid-Hoster, Hetzner, Lettermint oder Google Workspace Daten in unserem Auftrag verarbeiten, setzt ihr Einsatz eine Vereinbarung nach Art. 28 DSGVO voraus. Soweit bei einem Empfänger ein Zugriff aus einem Drittland oder eine Drittlandübermittlung erfolgt, muss vor der Verarbeitung eine Garantie nach Kapitel V DSGVO bestehen. Konfigurieren Workspace-Inhaber einen Webhook, ist außerdem der von ihnen bestimmte Betreiber der Zieladresse Empfänger der ausgewählten Prüfergebnisse und Ereignisdaten. Stripe kann Daten je nach konkreter Verarbeitung sowohl als unser Dienstleister als auch für eigene gesetzlich bestimmte Zahlungszwecke in eigener Verantwortlichkeit verarbeiten.

Für die Empfänger mit möglichem Drittlandbezug benennen wir die Garantie konkret:

• Stripe: Vertragspartner ist Stripe Payments Europe, Ltd. in Irland. Übermittlungen an die Stripe, Inc. in den Vereinigten Staaten stützen sich auf deren Zertifizierung nach dem EU-US Data Privacy Framework und ergänzend auf EU-Standardvertragsklauseln.
• Google Workspace: Vertragspartner ist Google Ireland Limited. Übermittlungen an die Google LLC in den Vereinigten Staaten stützen sich auf deren Zertifizierung nach dem EU-US Data Privacy Framework und ergänzend auf die EU-Standardvertragsklauseln des Google-Zusatzes zur Datenverarbeitung.
• Calendly: Calendly, LLC verarbeitet in den Vereinigten Staaten und beschreibt hierfür das EU-US Data Privacy Framework und Standardvertragsklauseln.

Für alle übrigen Empfänger richtet sich die konkrete Garantie nach Empfänger und Zielland: verwendet werden ein anwendbarer Angemessenheitsbeschluss oder geeignete Garantien, insbesondere EU-Standardvertragsklauseln. Auskunft über die für eine konkrete Übermittlung verwendete Garantie und eine Kopie erhalten Sie unter hallo@spanier.one.

10. Ihre Rechte

Sie haben im Rahmen der gesetzlichen Voraussetzungen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung können Sie mit Wirkung für die Zukunft widerrufen. Richten Sie Anfragen an hallo@spanier.one. Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren. Für uns zuständig ist das Unabhängige Datenschutzzentrum Saarland, Fritz-Dobisch-Straße 12, 66111 Saarbrücken. Sie können sich auch an die Aufsichtsbehörde Ihres Aufenthaltsorts wenden. Rechteanfragen sind kostenlos.

Widerspruch nach Art. 21 DSGVO: Soweit eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, können Sie aus Gründen Ihrer besonderen Situation jederzeit widersprechen. Wir verarbeiten die betroffenen Daten danach nicht weiter, sofern keine nachweisbaren zwingenden schutzwürdigen Gründe oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen überwiegen. Website-Betreiber können eine dauerhafte Prüfsperre anfordern. Personen, die in einem konkreten Bildbeleg erscheinen, können unter Angabe der Seite oder Arbeitsansicht über das Formular zur Bildlöschung oder gleichwertig per E-Mail dessen Sperrung, Redaktion oder Löschung verlangen; hierfür ist kein Domainnachweis erforderlich. Wir antworten unverzüglich, spätestens innerhalb eines Monats. Nur bei begründeten Zweifeln dürfen die zur Identitätsbestätigung erforderlichen Angaben angefordert werden.

Verhältnis zum Meldeverfahren für geteilte Arbeitsansichten: Für ein Verlangen nach Art. 15 bis 21 DSGVO – insbesondere Auskunft, Löschung und Widerspruch – genügen das Formular zur Bildlöschung oder eine formlose Nachricht an hallo@spanier.one. Sie müssen dafür weder das in einer geöffneten Arbeitsansicht angebotene Meldeformular verwenden noch Name, E-Mail-Adresse oder eine Gutglaubenserklärung angeben; diese Angaben verlangt allein das Meldeverfahren nach dem Digital Services Act, weil das Gesetz sie dort vorschreibt. Ein Datenschutzverlangen wird auch dann bearbeitet, wenn Sie keinen Zugang zu der betreffenden Arbeitsansicht haben; die Angabe der Seite oder des Links hilft uns nur beim Auffinden.

11. Erforderlichkeit und automatisierte Entscheidungen

Ohne Website-Adresse kann der Check nicht ausgeführt werden. Für Konto, Bericht und Vertragszuordnung ist eine bestätigte E-Mail-Adresse erforderlich. Für einen Credit-Kauf verlangt Stripe die für Checkout, Rechnung und Zahlungsmethode erforderlichen Angaben. Authentifizierungsprofile und Webhooks sind freiwillig. Auf der öffentlichen Widerrufsseite sind die bezeichneten Vertragsmerkmale erforderlich, damit die Erklärung zugeordnet und ausgeführt werden kann; ohne eindeutige Zuordnung wird sie nicht verworfen, sondern als Ausnahme geprüft.

Die automatische Zuordnung eines bestätigten Widerrufs dient der von Ihnen verlangten Vertragsausführung. Unklare und atypische Fälle werden nicht automatisch abgelehnt, sondern als Ausnahme geprüft. Weitere automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung finden nicht statt.