Datenschutz: Verarbeitung und Speicherung von Daten

Zusammenfassung

WebMeter prüft nur öffentlich zugängliche technische Informationen über eine Website (DNS-Einträge, HTTP-Header, das Zertifikat, die Startseite und höchstens fünf weitere öffentliche Seiten). Es meldet sich nicht an, probiert keine Passwörter oder Schwachstellen aus und füllt keine Formulare aus. Prüfergebnisse und fertige Berichte aus der Webanwendung (HTML und PDF, damit der Link zum Bericht auch später funktioniert) werden höchstens 365 Tage gespeichert (PDF 30 Tage) und dann gelöscht. Der Inhaber einer Website kann die Prüfungen in der robots.txt sperren (User-agent: WebMeterBot, Disallow: /) oder unter kontakt@webmeter.eu den Ausschluss der Domain und die Löschung der gespeicherten Daten verlangen. Eine über das Formular gesendete Beratungsanfrage (Name, E-Mail, optionale Telefonnummer und Nachricht) dient der Bearbeitung der Anfrage und der Erstellung des gewünschten Angebots. Eine IP-Adresse wird dazu nicht gespeichert. Die Anfrage wird spätestens nach 365 Tagen gelöscht, auf Wunsch auch früher. Die Reichweitenmessung starten wir nur mit Ihrer Einwilligung.

Wer die Daten verarbeitet

Verantwortlicher für personenbezogene Daten ist Ondřej Novák, eine natürliche Person, die nach dem tschechischen Gewerbegesetz gewerblich tätig ist, Firmennummer (IČO) 745 345 99, Sitz: Pod vysokou mezí 137/21, 154 00 Praha 5 – Holyně, eingetragen im Gewerberegister, geführt vom Amt des Stadtbezirks Prag 5, tätig unter der Geschäftsbezeichnung ON Consulting & Advisory. Kontakt für alle Fragen und Anträge: kontakt@webmeter.eu. Einen Datenschutzbeauftragten haben wir nicht benannt, weil uns die Rechtsvorschriften dazu nicht verpflichten.

Was WebMeter bei der Prüfung einer Website liest

WebMeter liest nur öffentlich zugängliche Informationen über die geprüfte Website:

• die DNS-Einträge der Domain (Abfragen laufen über den öffentlichen DNS-Resolver von Google),
• HTTP-Header, das Zertifikat und die Parameter der verschlüsselten Verbindung (TLS),
• die Startseite und höchstens fünf weitere öffentliche Seiten der Website (zum Beispiel Kontakt oder AGB) sowie die Dateien robots.txt, sitemap.xml, security.txt, llms.txt und MTA-STS.

Zusätzlich lädt es die Startseite einmal in einem echten Browser, einschließlich der Bilder, Stylesheets und Skripte, die die Seite selbst herunterlädt, und erstellt vor jeder Auswahl im Cookie-Banner einen Screenshot davon.

Außerdem fragt es öffentliche Dienste ab: Google PageSpeed Insights (Google lädt die Website 3× aus seiner eigenen Infrastruktur), öffentliche Zertifikatslogs (crt.sh, ersatzweise der Dienst Cert Spotter der SSLMate, Inc., USA), Domainregister (RDAP), die Datenbank RIPEstat, die HSTS-Preload-Liste, Zertifikatsaussteller und das tschechische Unternehmensregister ARES, wenn es auf der Website eine Firmennummer (IČO) findet. Es prüft auch, ob ähnlich klingende Domains existieren (nur per DNS-Abfrage). Diese Dienste erhalten nur Daten über die geprüfte Website, nichts über Sie.

WebMeter meldet sich nicht an, probiert keine Passwörter oder Schwachstellen aus und füllt keine Formulare aus und sendet keine ab. Wer die Prüfung gestartet hat, speichern wir weder in der Datenbank noch im Bericht: Der Bericht enthält außer der Sprache der Seite keine Angaben über den Auftraggeber. Nur im Arbeitsspeicher des Servers halten wir wegen des Limits kostenloser Prüfungen die IP-Adresse und die Domains der von ihr geprüften Websites vor (siehe IP-Adressen und Schutz der Formulare).

Aus öffentlichen Zertifikatslogs ermittelt WebMeter auch die Subdomains der Website. Im öffentlichen Bericht werden Namen von Subdomains, die auf interne Dienste hindeuten können, nur teilweise angezeigt oder als Anzahl angegeben.

Warum und auf welcher Grundlage: Wir führen die Prüfung auf Wunsch des Auftraggebers durch, um ihm den technischen Zustand der Website anhand öffentlich zugänglicher Informationen zu zeigen. Rechtsgrundlage ist unser berechtigtes Interesse und das des Auftraggebers (Art. 6 Abs. 1 lit. f DSGVO). Bei Websites gewerblich tätiger natürlicher Personen handelt es sich um personenbezogene Daten (Domain, Angaben aus ARES, E-Mail-Adressen im DNS). Die Daten erhalten wir von der Website selbst und aus den oben genannten öffentlichen Quellen. Gegen die Prüfung können Sie sich durch den Ausschluss der Website wehren (siehe Löschung und Ausschluss einer Website).

Bericht und Screenshot

Das Prüfergebnis wird als Bericht unter einem nicht erratbaren Link gespeichert. Jeder, der den Link kennt, kann den Bericht öffnen; wer dieselbe Website in derselben Sprache innerhalb von 10 Minuten prüft, erhält denselben Link. Der Screenshot der Startseite dient nur als interner Nachweis für die Cookie-Befunde; im Bericht wird er nicht angezeigt und wir löschen ihn, sobald er älter als 30 Tage ist. Gibt die Website eine Firmennummer (IČO) an, zeigt der Bericht auch Angaben über den Unternehmer aus dem Register ARES (tschechisches Verwaltungsregister der Wirtschaftssubjekte); bei gewerblich tätigen natürlichen Personen nur Name, Rechtsform, Status und Umsatzsteuerpflicht, ohne Adresse und USt-IdNr.

Beratungsanfrage

Wenn Sie unter dem Ergebnis eine Anfrage senden, speichern wir Name, E-Mail, Telefonnummer (falls angegeben), den Text der Nachricht, den Zeitpunkt des Absendens, die Sprache der Seite und den Bezug zur Messung (Domain und Link zum Bericht). Die IP-Adresse speichern wir zur Anfrage nicht. Eine Benachrichtigung mit diesen Daten und einer Zusammenfassung des Messergebnisses erhält der Betreiber per E-Mail. Wir verwenden die Daten, um uns bei Ihnen zu melden, eine Beratung zu vereinbaren und das gewünschte Angebot zu erstellen (zum Beispiel eine neue Website). Werbenachrichten senden wir Ihnen ohne Ihre Einwilligung nicht.

Rechtsgrundlage: vorvertragliche Maßnahmen auf Ihre Anfrage (Art. 6 Abs. 1 lit. b DSGVO); wenn Sie für ein Unternehmen schreiben, unser berechtigtes Interesse an der Bearbeitung der Anfrage (lit. f). Ohne Name, E-Mail und Nachricht können wir die Anfrage nicht bearbeiten; die Telefonnummer ist freiwillig.

Einmal pro Woche senden wir uns eine interne Betriebsübersicht; Anfragen erscheinen darin nur mit Nummer, Domain und Eingangszeit.

IP-Adressen und Schutz der Formulare

Die Anwendung speichert die IP-Adresse von Besuchern weder auf der Festplatte noch in der Datenbank. Im Arbeitsspeicher des Servers hält sie sie etwa 24 Stunden vor, um die Zahl der Prüfungen und Anfragen von einer Adresse zu begrenzen. Von einer IP-Adresse aus lassen sich kostenlos 6 verschiedene Websites in 10 Tagen prüfen und im Vergleich mit der Konkurrenz zusätzlich 12 verschiedene Websites der Konkurrenz in 10 Tagen. Damit von einer Adresse aus nicht unbegrenzt viele fremde Websites kostenlos geprüft werden können, hält der Server im Arbeitsspeicher auch die IP-Adresse (bei IPv6 nur das /64-Netz) zusammen mit den Domains der von ihr geprüften Websites vor, höchstens 10 Tage ab der ersten Prüfung jeder Website. In die Datenbank, auf die Festplatte, in Sicherungen oder in Logs werden diese Daten nicht geschrieben, und ein Neustart des Servers löscht sie.

Die Formulare schützt der Dienst Cloudflare Turnstile, der prüft, dass sie nicht von einem Bot gesendet werden. Er wird erst beim Ausfüllen eines Formulars geladen und verarbeitet die IP-Adresse und technische Angaben über den Browser; der Server übergibt ihm die IP-Adresse zur Überprüfung. Cloudflare kann bei einer Sicherheitsprüfung ein technisches Cookie (cf_clearance) speichern. Die Daten aus der Überprüfung verwendet Cloudflare auch zur Verbesserung seines Schutzes vor Bots; insoweit ist es eigenständiger Verantwortlicher (Datenschutzhinweise zu Turnstile: cloudflare.com/turnstile-privacy-policy).

Rechtsgrundlage für IP-Adressen und den Schutz der Formulare: berechtigtes Interesse am Schutz des Dienstes vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Die Speicherung von für die Sicherheit notwendigen Daten erfordert keine Einwilligung (§ 89 Abs. 3 des tschechischen Gesetzes Nr. 127/2005 Slg. über die elektronische Kommunikation).

Cookies und Webanalyse

Ohne Einwilligung speichern wir in Ihrem Browser nur Ihre Cookie-Auswahl, damit das Banner nicht auf jeder Seite erscheint: den Eintrag webmeter-consent im Browserspeicher (localStorage) mit der Version der Einstellungen und dem Zeitpunkt Ihrer Auswahl. Der Eintrag wird nirgendwohin gesendet und gilt 6 Monate; danach oder wenn wir die eingesetzten Tools ändern, fragen wir Sie erneut.

Nur mit Ihrer Einwilligung (Kategorie „Analyse“) laden wir Google Tag Manager und Google Analytics 4, um zu wissen, welche Seiten gelesen werden, wie die Website-Prüfung genutzt wird und was wir verbessern können. Google Analytics verarbeitet dabei Daten über den Besuch: besuchte Seiten, woher der Besuch kam, Art des Geräts und des Browsers und den ungefähren Standort anhand der IP-Adresse. Von der Website-Prüfung erhält es nur Angaben zu ihrem Ablauf und Ergebnis (zum Beispiel Note und Punktebereich) und dazu, ob Sie den Bericht geöffnet, das PDF heruntergeladen oder eine Anfrage gesendet haben; nie die Adresse der geprüften Website, den Link zum Bericht oder Formularinhalte. Es speichert die Cookies _ga und _ga_<ID> mit einer Gültigkeit je nach Einstellung, höchstens 2 Jahre; Google Tag Manager selbst speichert keine Cookies. Detaillierte Besuchsdaten werden in Google Analytics spätestens nach 14 Monaten gelöscht.

Auftragsverarbeiter: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland. Die Daten kann auch Google LLC in den USA verarbeiten; die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss der Europäischen Kommission), dem Google LLC beigetreten ist; der Auftragsverarbeitungsvertrag mit Google enthält zusätzlich Standardvertragsklauseln.

Microsoft Clarity laden wir über den Google Tag Manager ebenfalls nur mit Ihrer Einwilligung in der Kategorie „Analyse“, um zu sehen, wie die Seiten genutzt werden und wo etwas nicht funktioniert. Aus Mausbewegungen, Klicks und Scrollen erstellt Clarity Heatmaps (zusammengefasste Karten von Klicks und Scrollen) und Aufzeichnungen des Wegs durch die Seiten. Inhalte von Formularfeldern zeichnet es nicht auf, und die Teile der Startseite mit der Adresse der geprüften Website, dem Prüfergebnis, dem Vergleich und der Anfrage sind für Clarity verborgen (maskiert). Dabei verarbeitet es Angaben über Gerät und Browser sowie den ungefähren Standort anhand der IP-Adresse und speichert die Cookies _clck (höchstens 1 Jahr) und _clsk (1 Tag); Microsoft kann auf seinen Domains auch eigene Cookies speichern. Nach dem Widerruf der Einwilligung löschen wir die Cookies _clck und _clsk, soweit der Browser es zulässt.

Aufzeichnungen und Heatmaps bewahrt Microsoft nach seinen Bedingungen auf: Aufzeichnungen in der Regel 30 Tage, Heatmaps und ausgewählte Aufzeichnungen höchstens 9 Monate. Anbieter: Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland; bei Clarity ist Microsoft eigenständiger Verantwortlicher für die Daten (Datenschutzerklärung: microsoft.com/privacy/privacystatement). Die Daten kann auch Microsoft Corporation in den USA verarbeiten; die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework, dem Microsoft Corporation beigetreten ist, und von Standardvertragsklauseln.

Marketing-Cookies setzen wir derzeit nicht ein. Sollten wir sie einführen, führen wir sie hier auf, und das Banner bittet Sie erneut um Ihre Einwilligung.

Einwilligung ändern oder widerrufen: jederzeit über „Cookie-Einstellungen“ in der Fußzeile jeder Seite. Nach dem Widerruf wird die Messung nicht mehr geladen, und wir löschen die Google-Analytics-Cookies in Ihrem Browser, soweit der Browser dies zulässt; vollständig wirksam wird die Änderung nach dem Neuladen der Seite.

Rechtsgrundlage: Ihre Einwilligung (§ 89 Abs. 3 des tschechischen Gesetzes Nr. 127/2005 Slg. über die elektronische Kommunikation und Art. 6 Abs. 1 lit. a DSGVO). Der Widerruf der Einwilligung berührt die Verarbeitung vor dem Widerruf nicht. Die Auswahl im Banner selbst speichern wir ohne Einwilligung, weil das Banner sonst nicht funktionieren könnte.

Auf Berichtsseiten und in PDFs werden Messtools nie geladen.

Wo die Daten liegen und wer sie für uns verarbeitet

• OVHcloud (Vertragspartner OVH Hosting Inc., 1801 McGill College Avenue, Suite 800, Montréal (Québec) H3A 2N4, Kanada) – Server in Deutschland (EU), auf dem alle Daten der Anwendung liegen (Kopien der E-Mails mit Anfragen befinden sich zusätzlich im Postfach des Betreibers, siehe unten).
• Cloudflare, Inc. (USA) – DNS, verschlüsselte Verbindung, Schutz vor Angriffen, Turnstile und Weiterleitung von E-Mails an @webmeter.eu-Adressen in das Postfach des Betreibers; sieht die IP-Adresse und den Inhalt der Anfragen einschließlich Formularen. Verschlüsselte Sicherungen speichert es im Speicher Cloudflare R2 in der EU; den Schlüssel dazu hat es nicht.
• Websupport (ACTIVE 24, s.r.o., Praha) – Versand der E-Mail-Benachrichtigung über Anfragen und der Betriebsberichte (EU).
• Active24 (ACTIVE 24, s.r.o., Praha) – Postfach des Betreibers (EU).
• Better Stack (Better Stack, Inc., USA; speichert Daten in der EU) – Überwachung der Erreichbarkeit der Website; personenbezogene Daten von Besuchern erhält es nicht.
• Google Ireland Ltd. / Google LLC — Google Analytics 4 und Google Tag Manager zur Reichweitenmessung der Website, nur mit Einwilligung des Besuchers (siehe Cookies und Webanalyse); Übermittlung in die USA nach dem EU-US Data Privacy Framework.
• Microsoft Ireland Operations Ltd. / Microsoft Corporation — Microsoft Clarity (Heatmaps und Aufzeichnungen der Nutzung der Website), nur mit Einwilligung des Besuchers (siehe Cookies und Webanalyse); bei Clarity ist Microsoft eigenständiger Verantwortlicher für die Daten; Übermittlung in die USA nach dem EU-US Data Privacy Framework.

Daten über die geprüfte Website erhalten auch Google (PageSpeed Insights, öffentliches DNS) als eigenständiger Verantwortlicher und die weiteren öffentlichen Dienste aus dem Abschnitt Was WebMeter bei der Prüfung einer Website liest; sie erhalten nur die Adresse der Website, die IP-Adresse ihres Hostings oder die Firmennummer (IČO).

Übermittlung in die USA: Cloudflare, Google und Better Stack sind nach dem EU-US Data Privacy Framework zertifiziert, für das ein Angemessenheitsbeschluss der Europäischen Kommission gilt; ihre Verträge enthalten zusätzlich Standardvertragsklauseln für den Fall, dass der Rahmen nicht mehr gilt. Auch Microsoft Corporation (Microsoft Clarity) ist nach diesem Rahmen zertifiziert.

Kanada: Den Vertrag über den Server haben wir mit dem kanadischen Unternehmen OVH Hosting Inc., 1801 McGill College Avenue, Suite 800, Montréal (Québec) H3A 2N4; für Kanada gilt ein Angemessenheitsbeschluss der Europäischen Kommission zum Schutz personenbezogener Daten. Die Daten der Anwendung liegen dabei auf dem Server in Deutschland (EU).

Wie lange wir Daten aufbewahren

Aus der Datenbank gelöschte Daten, ob nach Ablauf der Frist oder auf Ihren Wunsch, verbleiben noch etwa 5 Wochen in verschlüsselten Sicherungen; danach lassen sie sich nicht mehr wiederherstellen.

Löschung und Ausschluss einer Website

Die Löschung der gespeicherten Ergebnisse für Ihre Domain und ihren Ausschluss von weiteren Prüfungen beantragen Sie per E-Mail an kontakt@webmeter.eu. Der Ausschluss gilt für die gesamte Domain einschließlich aller Subdomains; die Domain erfassen wir dauerhaft, sonst ließe sich der Ausschluss nicht einhalten. Damit wir keine fremde Website ausschließen oder löschen, prüfen wir, dass der Antrag vom Inhaber oder Verwalter der Website kommt: meist daran, dass er von einer E-Mail-Adresse auf dieser Domain oder von einer auf der Website angegebenen Adresse kam; andernfalls bitten wir Sie um eine einfache Bestätigung, zum Beispiel durch einen DNS-Eintrag.

Die Prüfungen können Sie auch in der robots.txt sperren (User-agent: WebMeterBot, Disallow: /). Die Sperre stoppt weitere Prüfungen, löscht aber keine gespeicherten Daten; deren Löschung beantragen Sie per E-Mail. Das Vorgehen beschreibt die Seite So schließen Sie eine Website von der Analyse aus.

Ihre Rechte

Sie haben das Recht auf Auskunft über Ihre Daten, auf deren Berichtigung oder Löschung, auf Einschränkung der Verarbeitung und auf Übertragbarkeit der Daten, die Sie uns bereitgestellt haben. Gegen die Verarbeitung auf Grundlage des berechtigten Interesses (Prüfung der Website, Schutz der Formulare, Limit kostenloser Prüfungen) können Sie Widerspruch einlegen; bei Prüfungen einer Website am einfachsten durch deren Ausschluss (siehe Löschung und Ausschluss einer Website). Ihre Einwilligung in die Reichweitenmessung können Sie jederzeit in den „Cookie-Einstellungen“ widerrufen.

Anträge senden Sie bitte an kontakt@webmeter.eu. Wir bearbeiten sie innerhalb eines Monats; bei Zweifeln können wir Ihre Identität überprüfen.

Beschwerde können Sie beim tschechischen Amt für den Schutz personenbezogener Daten (Úřad pro ochranu osobních údajů), Pplk. Sochora 27, 170 00 Prag 7, www.uoou.gov.cz, oder bei der Aufsichtsbehörde in Ihrem Wohnsitzstaat einlegen.

Punktzahl und Note bewerten die Website, nicht Personen. Automatisierte Entscheidungen mit Rechtswirkung oder Profiling führen wir nicht durch.