Bedingungen, Auftragsverarbeitung und Attributionen

Der Papierkram, in derselben klaren Sprache wie das Produkt

Drei Dokumente, nach denen eine Beschaffungs- oder Sicherheitsprüfung fragt. Die Klausel zur Konformität steht in den Bedingungen, nicht in einer Fußnote.

Zuletzt geprüft

Bedingungen v4 und Attributionen geprüft am 2. September 2026. Auftragsverarbeitungsvertrag v3 veröffentlicht am 12. Juni 2026, innerhalb eines Werktags gegengezeichnet.

Eine rechtliche Frage stellen

Auftragsverarbeitungsvertrag

v3 · 12. Jun. 2026

Sie sind der Verantwortliche, wir sind der Auftragsverarbeiter. Dies ist die Zusammenfassung, nach der eine Sicherheitsprüfung üblicherweise fragt; das unterzeichenbare Dokument ist inhaltlich identisch.

Rollen

Sie sind Verantwortlicher für die personenbezogenen Daten, die auf den von uns gescannten Seiten und in Ihrem Arbeitsbereich vorkommen. Wir sind Auftragsverarbeiter und verarbeiten diese Daten ausschließlich, um den in den Bedingungen beschriebenen Dienst zu erbringen.

Was wir verarbeiten

Kontodaten: Name, geschäftliche E-Mail-Adresse, Rolle, Organisation, gehashtes Passwort, Sitzungs- und Prüfdaten.
Scan-Artefakte: HTML-Ausschnitte der Seiten, Screenshots, Rohausgabe des Scanners und die daraus abgeleiteten Befunde für die von Ihnen benannten Seiten.
Rechnungsdaten: Firmenname, Anschrift, Umsatzsteuer-Identifikationsnummer, Rechnungshistorie. Kartendaten bleiben bei Stripe.
Supportdaten: Nachrichten, die Sie uns senden, zwei Jahre aufbewahrt und nie für Marketing verwendet.

Wo sie liegen

Hetzner Falkenstein als primäre Region mit Helsinki als Ausweichstandort, beide innerhalb der EU. Objektspeicher und transaktionale E-Mail liegen in der EU. Keine Region außerhalb der EU ist wählbar, und es werden keine Daten außerhalb des EWR übermittelt.

Unterauftragsverarbeiter

Hetzner Online GmbH: Rechen- und Datenbankhosting · Deutschland und Finnland
Cloudflare (EU-Speicher): Objektspeicher für Berichte, Screenshots und Pakete · EU-Region
Stripe Payments Europe: Abrechnung, Rechnungen und Umsatzsteuer · Irland
Postmark (EU): Transaktionale E-Mail · EU-Region

Sicherheitsmaßnahmen

Verschlüsselung bei der Übertragung und im Ruhezustand, je Organisation abgegrenzte Abfragen, die in der API-Schicht durchgesetzt werden, ein Prüfprotokoll, an das nur angefügt wird, Zugriff für Mitarbeitende nach dem Prinzip der geringsten Rechte, wobei eine Einsichtnahme ein Support-Ticket erfordert, sowie ein jährlicher externer Penetrationstest, dessen Zusammenfassung auf Anfrage verfügbar ist.

Meldung von Verletzungen

Wir benachrichtigen Sie unverzüglich und innerhalb von 48 Stunden nach Kenntniserlangung über eine Verletzung des Schutzes personenbezogener Daten, die Ihren Arbeitsbereich betrifft, mit den zu diesem Zeitpunkt bekannten Tatsachen und den getroffenen Maßnahmen.

Löschung

Bei Vertragsende werden personenbezogene Daten innerhalb von 30 Tagen gelöscht, mit Ausnahme versiegelter Nachweispakete: diese können Sie für ihre Aufbewahrungsfrist von 24 Monaten behalten oder auf Wunsch sofort löschen lassen.

Unterzeichnete Exemplare werden innerhalb eines Werktags gegengezeichnet. Standardvertragsklauseln sind nicht erforderlich — es verlassen keine Daten die EU.