Datenschutzerklärung

Version vom 23. Oktober 2026

1. Wer der Verantwortliche ist

Verantwortlicher für Ihre personenbezogenen Daten ist Radosław Fedorczuk, der unter der Firma ENSOMEDIA Radosław Fedorczuk tätig ist, ul. Chorwacka 33/42, 51-107 Wrocław, Polen, Steuernummer (NIP) 8952195742, EU-Umsatzsteuer-Identifikationsnummer PL8952195742, Unternehmensregisternummer (REGON) 381626230, eingetragen im polnischen Zentralregister und Informationssystem zur Wirtschaftstätigkeit (CEIDG). Nachfolgend bezeichnen wir uns als „ENSOMEDIA“ oder „wir“.

Diese Erklärung betrifft den Dienst ShieldWave unter shieldwave.io (Website, Browser-App, kostenlose Tools und API) und die Verbindungen des WordPress-Plugins „Ensomedia Security powered by shieldwave.io“ zu ShieldWave. Wir verarbeiten Daten nach der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, DSGVO) und nach polnischem Recht.

Kontakt für alles rund um personenbezogene Daten:

• E-Mail: support@shieldwave.io

Wir haben keinen Datenschutzbeauftragten benannt. Die DSGVO verlangt ihn von uns nicht: Unsere Kerntätigkeit ist die Prüfung von Websites, nicht die regelmäßige Überwachung von Personen oder die umfangreiche Verarbeitung besonderer Kategorien von Daten.

2. Überblick

Rechtsgrundlagen in der Tabelle: Vertrag ist Artikel 6 Absatz 1 Buchstabe b DSGVO, rechtliche Verpflichtung Artikel 6 Absatz 1 Buchstabe c, berechtigtes Interesse Artikel 6 Absatz 1 Buchstabe f, Einwilligung Artikel 6 Absatz 1 Buchstabe a.

3. Kunden und Kontonutzer

3.1 Was wir speichern

• Ihren Benutzernamen und einen bcrypt-Hash Ihres Passworts (das Passwort kennen wir nicht);
• Ihre E-Mail-Adresse, bei der Registrierung erforderlich: Wir senden an sie Benachrichtigungen, Mitteilungen zum Vertrag und Links zum Zurücksetzen des Passworts;
• Ihren Vor- und Nachnamen, wenn Sie ihn angeben; Ihre Sprache, Ihren Tarif und Ihre Einstellungen;
• Anmelde-Sitzungen (24 Stunden) und Links zum Zurücksetzen des Passworts (1 Stunde);
• API-Schlüssel, nur als Hash, mit Präfix, Name und Datum der letzten Nutzung;
• Websites, Zeitpläne, Benachrichtigungsregeln, Webhook-Adressen und Geheimnisse;
• für Berichte mit Ihrem Logo: Name der Agentur, Logo und Kontakt-E-Mail;
• Einladungen ins Team (Teams von bis zu 10 Personen): die E-Mail-Adresse des Eingeladenen, für 7 Tage;
• Nutzungsereignisse: die Art des Ereignisses (zum Beispiel Registrierung, Prüfung, Kauf), Kontokennung, Domain, IP-Adresse und Browserkennung; das Registrierungsereignis enthält auch den Benutzernamen und die E-Mail-Adresse.

Unsere eigenen Systeme speichern keinen Firmennamen, keine Zeitzone, keine Gerätekennungen, keine Kartendaten und keine Domain-Registrierungsdaten (WHOIS).

3.2 Wozu und auf welcher Grundlage

Das Konto, die Prüfungen, Berichte, die Überwachung, das Team, die API und die Webhooks sind die Art, wie wir unseren Vertrag mit Ihnen erfüllen (Artikel 6 Absatz 1 Buchstabe b DSGVO). Nutzungsereignisse dienen unserem berechtigten Interesse, zu sehen, welche Funktionen genutzt werden und was fehlschlägt, damit wir den Dienst verbessern können (Artikel 6 Absatz 1 Buchstabe f). Sicherheit und Nachweise: Abschnitt 13. Ein Benutzername, ein Passwort und eine E-Mail-Adresse sind erforderlich; ohne sie können Sie kein Konto eröffnen.

3.3 In ein Team eingeladene Personen

Wenn ein Kunde Sie in sein Team eingeladen hat, stammt Ihre E-Mail-Adresse von ihm. Wir verwenden sie nur für die Einladung und Ihren Zugang zu seinem Konto. Grundlage ist unser berechtigtes Interesse und das des Kunden, der Sie einlädt: die Arbeit des Teams in seinem Konto (Artikel 6 Absatz 1 Buchstabe f DSGVO).

3.4 Wie lange

Kontodaten bewahren wir auf, bis Sie das Konto in Ihrem Profil löschen. Die Löschung wirkt sofort; Backups und Logs unserer Anbieter laufen innerhalb von 30 Tagen aus. Nur Abrechnungsdaten (Abschnitt 4), der Löschvermerk (Abschnitt 13) und Nachweise (Abschnitt 16) bleiben. Nutzungsereignisse werden nach 12 Monaten oder zusammen mit dem Konto gelöscht.

4. Zahlungen und Rechnungen

Stripe wickelt Zahlungen auf seinen eigenen Seiten ab; wir sehen oder speichern nie Kartennummern. Stripe erhebt die Zahlungs- und Rechnungsangaben, etwa Ihre Anschrift und Umsatzsteuer-Identifikationsnummer. Wir übermitteln Stripe Ihre E-Mail-Adresse, Ihren Benutzernamen und Ihre Kontokennung, um die Zahlung Ihrem Konto zuzuordnen.

Wir speichern Ihre Stripe-Kunden- und Abonnementkennungen, den Tarif, die Enddaten der Abrechnungsperiode und der Testphase und bei Einmalkäufen die Sitzungs- und Zahlungskennungen, den Betrag, die Währung und die Berichte, auf die Sie zugreifen dürfen, sowie Zahlungsereignisse wie Verlängerungen und Kündigungen.

Stripe Payments Europe, Limited wickelt Zahlungen für uns ab und handelt für die Betrugsprävention und für eigene rechtliche Pflichten als eigenständiger Verantwortlicher, wie seine Datenschutzerklärung erläutert.

Wir stellen Unternehmen Rechnungen aus und Verbrauchern auf Verlangen. Unser Buchhaltungsbüro erhält sie, und wo das Gesetz es verlangt, gehen sie an das polnische nationale E-Rechnungssystem (KSeF).

Rechtsgrundlagen sind der Vertrag (Artikel 6 Absatz 1 Buchstabe b) und unsere steuerlichen und buchhalterischen Pflichten (Artikel 6 Absatz 1 Buchstabe c) nach der polnischen Abgabenordnung (Ordynacja podatkowa) und dem polnischen Umsatzsteuergesetz (Ustawa o podatku od towarów i usług). Abschnitt 16 nennt die Aufbewahrungsfristen.

5. Über ein Konto beauftragte Prüfungen

5.1 Was eine Prüfung tut

Eine über ein Konto beauftragte Prüfung liest, was der Server der Website zurückgibt, und fragt Adressen ab, unter denen vergessene Dateien üblicherweise zu finden sind. Erst nachdem Sie die Kontrolle über die Domain bestätigt haben (ein DNS-Eintrag, eine Datei, ein Meta-Tag oder ein verbundenes Plugin), sendet sie auch Testeingaben an die Formulare und Adressen der Website, um zu sehen, ob die Website ablehnt, was sie ablehnen soll. Außerdem fragen wir öffentliche Dienste zur geprüften Domain ab (Zertifikatsprotokolle, öffentliches DNS, Listen gefährlicher Websites und, nach Bestätigung der Domain, öffentliche Cloud-Speicherdienste) und senden ihnen nur den Domainnamen oder daraus gebildete Namen.

5.2 Was wir speichern

Wir speichern das Ergebnis: die Domain, die Feststellungen mit Belegen und bis zu 5.000 Zeichen des Textes der Startseite. Es kann personenbezogene Daten enthalten, die auf der Website veröffentlicht sind (Abschnitt 7). Anmeldedaten, die Sie für eine Prüfung hinter einer Anmeldung angeben, werden nur für diese Prüfung verwendet. PDF-Berichte werden erstellt, wenn Sie sie anfordern, und nicht gespeichert.

Sobald die Kontrolle über die Domain bestätigt ist, speichern wir außerdem einen Screenshot der Startseite und zeigen ihn im Bericht. Er zeigt, was die Startseite jedem Besucher zeigt.

Wenn Sie ein Status-Badge erstellen, zeigt seine öffentliche Seite die Domain, die Note, die Bewertung und das Datum der Prüfung. Die Webhooks und Integrationen, die Sie einrichten (Slack, Microsoft Teams, Discord, Ihre eigene Adresse), erhalten die Domain, die Bewertung, den Schweregrad und die Anzahl der Probleme.

5.3 Wer Verantwortlicher ist

Wenn Sie Prüfungen für Ihr Unternehmen beauftragen (als Unternehmen, Agentur oder Einzelunternehmer), entscheiden Sie, welche Websites wir prüfen, und sind Verantwortlicher für die Daten Dritter in den Ergebnissen oder Auftragsverarbeiter für Ihren eigenen Auftraggeber. Wir verarbeiten diese Daten in Ihrem Auftrag, nur um den Dienst zu erbringen, nach dem Auftragsverarbeitungsvertrag, der Teil der Nutzungsbedingungen ist. Sie sind verantwortlich für Ihr Recht, die Website zu prüfen, und dafür, Personen zu informieren, wo das Ihre Pflicht ist.

Wenn Sie ShieldWave als Verbraucher nutzen, sind wir Verantwortlicher für die Daten Dritter in den Ergebnissen und verwenden sie nur, um die von Ihnen beauftragte Prüfung durchzuführen (berechtigtes Interesse, Artikel 6 Absatz 1 Buchstabe f).

5.4 Wie lange

Im Tarif Free sehen Sie das Ergebnis 7 Tage lang, und wir löschen es spätestens 90 Tage nach der Prüfung. In den Tarifen Pro und Enterprise bewahren wir es 12 Monate auf. Eine Prüfung, für die ein Einmalbericht gekauft wurde, wird 90 Tage aufbewahrt. Mit der Löschung des Kontos werden auch die Ergebnisse gelöscht.

6. Die Demonstrationsprüfung und die kostenlosen Tools

Auf der Startseite kann jeder ohne Konto die Demonstrationsprüfung einer Domain ausführen, die er eintippt. Die vier kostenlosen Tools prüfen das Zertifikat, E-Mail-Einträge (SPF, DKIM, DMARC), Sicherheits-Header und vor der Einwilligung gesetzte Cookies. Diese Prüfungen sind kürzer: Sie lesen, was der Server zurückgibt, und die Demonstrationsprüfung fragt außerdem eine Liste von Adressen ab, unter denen vergessene Dateien üblicherweise zu finden sind. Sie senden keine Testeingaben an Formulare und verwenden keine KI.

Nur Sie sehen das Ergebnis, und es wird in keinem Konto als Prüfung gespeichert. Wir speichern:

• bei der Demonstrationsprüfung ein Ereignis mit der Domain, der IP-Adresse und der Browserkennung, für 12 Monate;
• bei einem kostenlosen Tool ein Ereignis mit dem Tool und der Domain, ohne die IP-Adresse, für 12 Monate;
• Zähler zur Ratenbegrenzung pro IP-Adresse (zum Beispiel 3 Demonstrationsprüfungen pro Stunde), gespeichert als mit einem geheimen Schlüssel berechneter Hashwert der IP-Adresse, nicht die Adresse selbst, in der Datenbank, bis zu 2 Stunden;
• Ergebnisse der kostenlosen Tools, im Arbeitsspeicher, 10 Minuten lang, damit dieselbe Domain nicht immer wieder geprüft wird;
• den Eintrag im Anfrage-Log bei unserem Hosting-Anbieter, dessen Adresse die Domain enthält, für 30 Tage.

Rechtsgrundlage ist unser berechtigtes Interesse daran, zu zeigen, wie ShieldWave funktioniert, ohne Konto zu antworten und den Dienst vor Missbrauch zu schützen (Artikel 6 Absatz 1 Buchstabe f).

Ergebnis per E-Mail und die wöchentliche Prüfung

Unter dem Ergebnis können Sie eine E-Mail-Adresse eingeben. Dafür speichern wir 24 Stunden lang eine Kopie des Ergebnisses (Domain, Bewertung und die angezeigten Probleme) unter einer Zufallsnummer. An diese Adresse senden wir eine E-Mail mit dem Ergebnis und speichern die Adresse zusammen mit der Domain, der Bewertung, den Arten der gefundenen Probleme und einem mit einem geheimen Schlüssel berechneten Hashwert Ihrer IP-Adresse (höchstens 5 E-Mails pro Stunde von einer Verbindung). Die E-Mail enthält einen Knopf, der eine wöchentliche Prüfung einschaltet: Einmal pro Woche führen wir dieselbe Demonstrationsprüfung dieser Domain durch und schreiben nur, wenn die Bewertung sinkt oder ein neues Problem auftaucht. Jede solche E-Mail enthält einen Link, der sie sofort beendet.

Ohne den Knopf senden wir nichts weiter und löschen die Adresse nach 30 Tagen. Nach dem Knopf speichern wir die Daten, bis Sie die wöchentliche Prüfung beenden, und 30 Tage danach. Rechtsgrundlage für die erste E-Mail ist unser berechtigtes Interesse, Ihre Anfrage zu beantworten (Artikel 6 Absatz 1 Buchstabe f); für die wöchentliche Prüfung Ihre mit dem Knopf erteilte Einwilligung (Artikel 6 Absatz 1 Buchstabe a), die Sie mit dem Link in jeder E-Mail widerrufen.

7. Personen, deren Daten auf geprüften Websites stehen

Wenn Ihr Name, Ihre E-Mail-Adresse, Ihr WordPress-Autorenname oder andere Angaben auf einer Website veröffentlicht sind, die jemand mit ShieldWave prüft, können sie im Prüfungsergebnis landen. Die Quelle dieser Daten ist diese öffentliche Website.

Wir suchen diese Daten nicht gezielt, erstellen daraus keine Profile und kontaktieren Sie nicht. Sie sind Teil des Berichts und bei über ein Konto beauftragten Prüfungen des Auszugs, der zur KI-Analyse gesendet wird (Abschnitt 10). Wir bewahren sie so lange auf wie das Ergebnis (Abschnitt 5.4); die Demonstrationsprüfung und die kostenlosen Tools speichern sie nicht.

Wenn ein Kunde die Prüfung für sein Unternehmen beauftragt, ist dieser Kunde der Verantwortliche (Abschnitt 5.3). Andernfalls sind wir es, und die Rechtsgrundlage ist unser berechtigtes Interesse daran, die Prüfung durchzuführen, um die jemand gebeten hat, und Websites sicherer zu machen (Artikel 6 Absatz 1 Buchstabe f). Wir haben in der Regel keine Kontaktdaten von Ihnen, und sie zu finden würde unverhältnismäßigen Aufwand und mehr Daten erfordern, daher veröffentlichen wir diesen Hinweis, anstatt jede Person zu informieren (Artikel 14 Absatz 5 Buchstabe b DSGVO).

Sie haben die Rechte nach Abschnitt 17. Wenn die Website Ihnen gehört, können Sie außerdem verlangen, dass wir ihre Domain von allen Prüfungen ausschließen: Schreiben Sie an support@shieldwave.io von einer Adresse dieser Domain aus oder zeigen Sie auf andere Weise, dass Sie sie kontrollieren. Wir schließen die Domain innerhalb von 2 Werktagen aus und führen sie auf unserer Ausschlussliste. Mehr: Der ShieldWave-Scanner und der Ausschluss einer Domain.

8. Verbindungen des WordPress-Plugins

Das Plugin „Ensomedia Security powered by shieldwave.io“ ist eine eigenständige Software unter der GPL, die auf Ihrer Website läuft. Was es in Ihrer WordPress-Datenbank speichert, bleibt auf Ihrem Server, und das Cookie, das es setzt, bleibt in den Browsern der Nutzer Ihrer Website. Sie sind für diese Daten der Verantwortliche. Wenn das Plugin Anmeldungen pausiert, zeichnet sein Aktivitätsprotokoll die IP-Adresse, die Zeit und den eingegebenen Benutzernamen auf (den Benutzernamen nur, wenn dieses Konto existiert) und bewahrt sie für den im Plugin eingestellten Zeitraum auf, standardmäßig 90 Tage. Nach einer erfolgreichen Anmeldung setzt das Plugin ein Cookie, dessen Name mit shieldwave_kd_ beginnt (mehr in der Cookie-Richtlinie). Das Plugin unterstützt die WordPress-Werkzeuge zum Export und zur Löschung personenbezogener Daten.

8.1 Ohne zusätzliche Funktionen

Bei jedem Scan ruft das Plugin Prüfsummen sowie Plugin- und Theme-Informationen von WordPress.org ab und sendet dabei die WordPress-Version, die Sprache, Ordnernamen und Versionen; WordPress fügt die Adresse Ihrer Website hinzu. Diese Anfragen gehen an WordPress.org, nicht an uns.

8.2 Live-Schutz

Wenn ein Administrator der Website den Live-Schutz einschaltet, sendet das Plugin uns die WordPress-Version sowie die Ordnernamen und Versionen von Plugins und Themes, um sie mit bekannten Schwachstellen abzugleichen, lädt etwa einmal pro Stunde einen signierten Regelsatz von uns herunter (und sendet dabei nur die Plugin-Version) und fragt nach einer KI-Zweitmeinung zu Dateien, die der Scanner nicht abschließend beurteilen konnte (Abschnitt 10.2).

8.3 Verbindung mit einem ShieldWave-Konto

Ein Administrator der Website kann sie auf zwei Wegen mit einem Konto verbinden. „Mit shieldwave.io verbinden“ öffnet shieldwave.io/connect mit der Adresse der Website und einer Adresse auf der Website, zu der zurückgekehrt wird. Nachdem Sie sich angemeldet und bestätigt haben, erteilen wir einen Einmalcode, der 5 Minuten und nur für den Host dieser Website gilt, und speichern nur seinen Hash zusammen mit dem Konto und dem Host. Ihr Browser bringt den Code zur Website zurück, und das Plugin tauscht ihn direkt zwischen den Servern gegen einen Schlüssel, der nur für die Verbindung dieser Website gilt. Wir senden dem Plugin den Schlüssel, den Tarif und die E-Mail-Adresse oder den Benutzernamen des Kontos; das Plugin speichert sie in der WordPress-Datenbank und zeigt, mit welchem Konto die Website verbunden ist. Der andere Weg ist, einen API-Schlüssel aus Ihrem Konto einzufügen.

Nach der Verbindung sendet das Plugin die Kennung der Website, die Domain, die Adresse der Website, die Versionen von Plugin, WordPress und PHP und den Multisite-Status, danach stündlich ein Signal, dass es läuft, mit der Bewertung und der Zahl offener Probleme. Nach jedem Scan sendet es, sofern ein Administrator das im Plugin nicht ausgeschaltet hat, die Ergebnisse: die Bewertung, das aktive Theme, die Sprache, Plugins und Themes mit Versionen sowie die gefundenen Probleme (Titel, Beschreibung, Behebung, Pfad, Adresse, Zeile, CVE-Nummer), auch die in WordPress ignorierten, die als ignoriert gekennzeichnet sind. Das gilt in jedem Tarif. Im Tarif Free gilt es für jede Website, die das Konto verbindet. Ab Version 1.1.0 sendet das Plugin Probleme zu Administratorkonten nur mit Titel und Behebung. Ab Version 1.1.10 gilt das für jedes Problem, das Benutzerkonten nennt, zum Beispiel eine öffentlich lesbare Benutzerliste, und die Kennung eines solchen Problems ist ein Hash, der mit dem eigenen geheimen Schlüssel Ihrer Website berechnet wird, sodass kein Anmeldename die Website verlässt. Ältere Versionen können einen Anmeldenamen in der Beschreibung enthalten.

Solange die Website verbunden ist, fügt das Plugin der Startseite ein Meta-Tag shieldwave-verify mit dem Bestätigungscode Ihres Kontos für diese Domain hinzu. shieldwave.io liest die Startseite, ohne sie aufzubewahren, und bestätigt, wenn es den Code findet, dass das Konto die Domain kontrolliert (Abschnitt 5.1). Das Plugin fragt danach nach dem Verbinden und, solange die Domain nicht bestätigt ist, höchstens alle 6 Stunden. Eine Kopie der Website unter einer anderen Adresse zeigt kein Tag.

Wir sehen auch die IP-Adresse des Servers Ihrer Website (Anfrage-Log, 30 Tage).

8.4 Rechtsgrundlage und Aufbewahrung

Bei einer verbundenen Website handeln wir im Auftrag eines Kunden, der sie für sein Unternehmen nutzt (Abschnitt 5.3), oder für einen Verbraucher aufgrund des Vertrags (Artikel 6 Absatz 1 Buchstabe b). Anfragen ohne Konto (Schwachstellenabfrage, Regeln, KI-Zweitmeinung) bearbeiten wir als Verantwortlicher, in unserem berechtigten Interesse, dem Administrator der Website zu antworten und den Dienst zu schützen (Artikel 6 Absatz 1 Buchstabe f).

Die Daten einer verbundenen Website werden aufbewahrt, bis Sie sie trennen. Wenn Sie die Website im Plugin trennen oder sie unter WordPress-Websites in Ihrem Konto entfernen, löschen wir die Website, ihre Ergebnisse und den Schlüssel, den die Verbindung mit einem Klick für sie erstellt hat, und lehnen spätere Nachrichten des Plugins zu dieser Website ab. Dafür bewahren wir nur die Kennung der Website und das Datum der Entfernung auf, bis Sie die Website erneut verbinden oder das Konto löschen. Ein eingefügter API-Schlüssel bleibt in Ihrem Konto, bis Sie ihn auf der Seite API-Schlüssel löschen. Die Bestätigung der Domain (Abschnitt 5.1) bleibt beim Konto, wie eine auf anderem Weg erhaltene. Das Löschen des Kontos löscht all das. Ab Version 1.1.10 bittet uns das Löschen des Plugins in WordPress außerdem, die Website zu trennen, und wir löschen dann ihre Daten wie oben beschrieben. Das Plugin sendet diese Anfrage nur, wenn die Website mit einem gültigen Schlüssel verbunden ist. Es wartet höchstens 5 Sekunden, und das Plugin wird auch gelöscht, wenn die Anfrage fehlschlägt. Bei einer älteren Version trennen Sie die Website, bevor Sie das Plugin löschen. Wenn die Anfrage uns nicht erreicht, entfernen Sie die Website in Ihrem Konto oder schreiben Sie uns.

8.5 Köder und Benachrichtigungen über neue Schwachstellen

Ab Version 1.1.21 kann ein Administrator der Website im Plugin Köder einschalten: Anmeldenamen, die kein Konto hat, und einen Pfad in robots.txt, auf den nichts verlinkt. Beide sind standardmäßig ausgeschaltet. Solange die Website verbunden und ein Köder eingeschaltet ist, sendet das Plugin uns, welche Köder eingeschaltet sind, und eine Aufzeichnung jeder Nutzung eines Köders: die Art (Anmeldung oder Pfad), die Zeit, auf welchem Weg der Versuch einging (Anmeldeformular, Anwendungspasswort, XML-RPC oder robots.txt), ob die Adresse gesperrt wurde und, falls nicht, warum. Statt der IP-Adresse des Besuchers enthält die Aufzeichnung einen Code aus 16 Zeichen, den das Plugin aus der Adresse mit einem geheimen Schlüssel berechnet, der Ihre Website nie verlässt. Wir können die IP-Adresse aus dem Code nicht wiederherstellen: Er unterscheidet nur Versuche von derselben Adresse auf dieser Website, und das Panel zeigt diese Adressen als Buchstaben. Wir erhalten nie die IP-Adresse, den eingegebenen Anmeldenamen, die Browserkennung oder die angeforderte Adresse. Bei ausgeschalteten Ködern sendet das Plugin keine Aufzeichnungen. Ein Versuch aus den letzten 24 Stunden erzeugt außerdem eine Benachrichtigung in der App. Wir bewahren die Aufzeichnungen 90 Tage auf und nehmen keine Aufzeichnungen an, die älter als 30 Tage sind; das Trennen oder Entfernen der Website oder das Löschen des Kontos löscht sie früher. Für diese Aufzeichnungen handeln wir wie in Abschnitt 8.4 beschrieben.

Wenn eine neu veröffentlichte Schwachstelle eine Version eines Plugins, Themes oder von WordPress betrifft, die eine verbundene Website gemeldet hat, informieren wir das Konto über seine Benachrichtigungseinstellungen und zeichnen auf, zu welcher Website, Schwachstelle, Komponente und Version die Benachrichtigung gehörte, damit dieselbe Benachrichtigung nicht zweimal gesendet wird. Die Aufzeichnung wird mit der Website gelöscht.

9. Personen, denen wir früher von der Domain getshieldwave.com aus geschrieben haben

Wir versenden kein Marketing per E-Mail ohne Ihre vorherige Einwilligung. Wenn Sie vor dem 29. September 2026 eine Nachricht von radek@getshieldwave.com erhalten haben, haben wir Ihre geschäftliche E-Mail-Adresse und manchmal Ihren Namen und den Firmennamen von der öffentlichen Website Ihres Unternehmens oder aus einem öffentlichen Register (CEIDG, KRS) entnommen. Wir bewahren die Adresse, die Korrespondenz und das Versanddatum 12 Monate ab dem Versand auf und, wenn Sie widersprechen, nur die Adresse auf einer Liste „nicht kontaktieren“, damit wir nicht erneut schreiben. Rechtsgrundlage ist unser berechtigtes Interesse an der Verteidigung gegen Ansprüche und an der Achtung Ihres Widerspruchs (Artikel 6 Absatz 1 Buchstabe f DSGVO). Sie können verlangen, dass wir diese Daten löschen: Schreiben Sie an support@shieldwave.io.

10. KI-Verarbeitung

10.1 Was die KI tut

Bei Prüfungen, die aus einem Konto beauftragt werden, tut ein Sprachmodell Folgendes, wenn der KI-Dienst verfügbar ist:

• erklärt die Feststellungen und verfasst die Zusammenfassung des Berichts, abgestimmt darauf, was das Unternehmen der Website tut;
• entwirft Reparaturschritte;
• prüft den Schweregrad von Feststellungen und kann ihn anheben oder senken, und kennzeichnet wahrscheinliche Fehlalarme und stuft sie herab; das ursprüngliche Ergebnis des Scanners wird aufbewahrt und angezeigt;
• beschreibt mögliche geschäftliche und rechtliche Folgen von Feststellungen; dies dient der Information und ist keine Rechtsberatung (Ziffer 8.1 der Nutzungsbedingungen);
• schlägt vor, welche Tests zur Technik der Website passen;
• übersetzt Beschreibungen bekannter Schwachstellen.

Solange die Kontrolle über die Domain nicht bestätigt ist, schreibt die KI nur die Texte des Berichts: Sie prüft nicht den Schweregrad der Feststellungen und schlägt keine Tests vor.

Ein zweites Modell prüft den KI-Text anhand der Scan-Daten. Im Plugin gibt die KI, nur wenn der Administrator der Website sie eingeschaltet hat, eine zweite Einschätzung zu einer Datei ab, die der Scanner nicht abschließend beurteilen konnte.

Die KI führt keinen Chat, trifft keine Entscheidungen über Personen und ändert, stellt unter Quarantäne, löscht oder sperrt nie etwas. Die Demonstrationsprüfung und die kostenlosen Tools verwenden keine KI. Von der KI verfasste Texte kennzeichnen wir mit dem Hinweis „KI“.

10.2 Was wir an den KI-Anbieter senden

Aus über ein Konto beauftragten Prüfungen: die Domain, technische Feststellungen (Art, Schweregrad, Adresse, Header, bis zu 500 Zeichen Beleg pro Feststellung) und ein Auszug der Startseite (bis zu 3.000 Zeichen mit Titel, Beschreibung, Überschriften und Fußzeile). Dieser Auszug kann Namen oder Kontaktdaten enthalten, die auf der Website veröffentlicht sind.

Aus dem Plugin: ein Auszug der Datei von bis zu 6.000 Zeichen, die Fingerabdrücke der Datei (sha256, md5), die Größe, der Ordnername der Komponente, Regelkennungen, die Spracheinstellung der Website, die Plugin-Version und ein Hash der Website-Kennung mit Salt. Ab Version 1.1.10 entfernt das Plugin aus dem Auszug die Adresse der Website, E-Mail-Adressen, IPv4- und IPv6-Adressen, die Serverpfade von WordPress und von Home-Verzeichnissen, jede DB_-Konstante und die Argumente von Datenbankverbindungen, Konstanten und Werte, deren Name auf ein Passwort, einen Schlüssel, ein Salt, ein Geheimnis oder ein Token hinweist (wenn sie mindestens 6 Zeichen lang sind), sowie lange zufällige Tokens. Andere Webadressen bleiben. Wenn das Entfernen fehlschlägt, wird nichts gesendet. Ältere Versionen entfernten nur Passwörter, Schlüssel, E-Mail-Adressen und den Hostnamen der Website.

Wir senden nie Kontodaten, Passwörter oder Zahlungsdaten. Ab Version 1.1.10 liest das Plugin für die Zweitmeinung nie Dateien, deren Name mit wp-config oder .env beginnt, die Dateien .htpasswd, .user.ini, php.ini und auth.json, Sicherungskopien, Datenbank-Dumps (.sql), Logdateien oder .ini-Dateien. Ältere Versionen sendeten nie wp-config.php oder .env.

10.3 Anbieter und Aufbewahrung

Unser KI-Anbieter ist Groq; Vertragspartei für Kunden im EWR ist Groq UK Limited, und die Daten werden in den USA verarbeitet (Abschnitt 15). Unserem KI-Anbieter ist vertraglich untersagt, diese Daten zum Training von Modellen zu verwenden. Er speichert sie nicht, außer bis zu 30 Tage, wenn er ein Zuverlässigkeitsproblem oder einen Missbrauchsverdacht untersucht.

Unser eigener Cache bewahrt KI-Antworten bis zu 1 Stunde im Arbeitsspeicher und 24 Stunden in der Datenbank auf. Urteile über Plugin-Dateien werden nach dem Fingerabdruck der Datei ohne zeitliche Begrenzung aufbewahrt und für dieselbe Datei auf anderen Websites wiederverwendet; wir speichern den Fingerabdruck und das Urteil, ohne Websitenamen. Wir erfassen außerdem, dass eine Datei mit diesem Fingerabdruck auf einer durch einen Hash mit Salt identifizierten Website aufgetaucht ist; diesen Eintrag löschen wir nach 12 Monaten.

Rechtsgrundlage ist der Vertrag bei über ein Konto beauftragten Prüfungen (Artikel 6 Absatz 1 Buchstabe b) und unser berechtigtes Interesse bei der Zweitmeinung des Plugins ohne Konto und bei Daten Dritter in Auszügen (Artikel 6 Absatz 1 Buchstabe f). Wenn ein Geschäftskunde oder ein Einzelunternehmer mit Verbraucherrechten die Prüfung beauftragt, verarbeiten wir Daten Dritter in Auszügen in seinem Auftrag (Abschnitt 5.3). Mehr: KI in ShieldWave.

11. E-Mail

11.1 E-Mails, die wir senden

Von noreply@shieldwave.io senden wir an die E-Mail-Adresse des Kontos: eine Begrüßung nach der Registrierung, eine Mitteilung, dass eine Prüfung abgeschlossen ist und welche Schwachstellen sie gefunden hat, Warnmeldungen der Überwachung und der Erreichbarkeit, Kaufbestätigungen, von Ihnen angeforderte Berichte und Links zum Zurücksetzen des Passworts. Rechtsgrundlage ist der Vertrag (Artikel 6 Absatz 1 Buchstabe b). Unser E-Mail-Anbieter, Hostido.pl Gałązka Spółka jawna, versendet sie (Abschnitt 14). An die unter dem Ergebnis der Demonstrationsprüfung eingegebene Adresse senden wir dieses Ergebnis und erst nach dem Knopf in dieser E-Mail eine wöchentliche Nachricht, wenn sich das Ergebnis der Website verschlechtert (Abschnitt 6).

Wir haben keinen Newsletter, und wir bitten um Ihre Einwilligung, bevor wir Ihnen irgendein Marketing senden. Unsere E-Mails enthalten keine Pixel oder Links, die Öffnungen und Klicks messen.

11.2 Wenn Sie uns schreiben

Wenn Sie an support@shieldwave.io schreiben, verarbeiten wir Ihre Adresse und Nachricht, um Ihnen zu antworten. Rechtsgrundlage ist der Vertrag (Artikel 6 Absatz 1 Buchstabe b), bei Beschwerden auch eine rechtliche Verpflichtung (Artikel 6 Absatz 1 Buchstabe c) und im Übrigen unser berechtigtes Interesse an der Antwort und der Aufbewahrung von Nachweisen (Artikel 6 Absatz 1 Buchstabe f).

Das gilt auch, wenn Sie uns mit dem Formular unter dem Ergebnis einer Demonstrationsprüfung bitten, die gefundenen Probleme zu beheben. Die Anfrage erreicht support@shieldwave.io als E-Mail mit der Adresse, dem Namen und der Nachricht, die Sie angeben, und dem Ergebnis dieser Prüfung (Domain, Ergebnis, gefundene Probleme). Wir nutzen sie nur, um diese Anfrage zu beantworten. Rechtsgrundlage ist Ihre Einwilligung mit dem Kästchen im Formular (Artikel 6 Absatz 1 Buchstabe a) und Maßnahmen auf Ihre Anfrage vor einem Vertrag (Artikel 6 Absatz 1 Buchstabe b). Wir bewahren sie wie andere Korrespondenz auf (Abschnitt 16); Sie widerrufen die Einwilligung mit einer Nachricht an support@shieldwave.io.

11.3 Bestellung einer Bereinigung

Wenn Sie im Dashboard die Bereinigung einer gehackten Website bestellen, speichern wir die Domain, die von Ihnen angegebene Beschreibung des Problems, die E-Mail-Adresse des Kontos und Ihre Zustimmung zum Zugriff auf die Website, um ein Angebot zu erstellen und die Arbeit auszuführen. Rechtsgrundlage ist der Vertrag und vorvertragliche Maßnahmen (Artikel 6 Absatz 1 Buchstabe b). Wir bewahren die Anfrage bis zur Löschung des Kontos auf. Wurde die Arbeit ausgeführt, bewahren wir Vertrags- und Abrechnungsunterlagen wie andere Vertragsnachweise und Rechnungen auf (Abschnitt 16).

12. Website, Cookies und Analyse

Anfragen an die Website gehen direkt an unseren Hosting-Anbieter, Google Cloud. Cloudflare beantwortet nur DNS-Abfragen zu unserer Domain und sieht die Anfragen nicht; bevor wir den Datenverkehr zum Schutz der Website über Cloudflare leiten, wodurch es jede Anfrage mit der IP-Adresse sähe, ändern wir diese Erklärung. Das Anfrage-Log bei unserem Hosting-Anbieter erfasst die IP-Adresse, die Zeit, die Seitenadresse, die Browserkennung und die Adresse der verweisenden Seite; wir bewahren es 30 Tage auf. Rechtsgrundlage ist unser berechtigtes Interesse am Betrieb und Schutz der Website (Artikel 6 Absatz 1 Buchstabe f).

Mit Ihrer Zustimmung messen Google-Werbefunktionen und Meta Pixel unsere Anzeigen, Seitenaufrufe und Käufe. Meta erhält Browser- und Klickkennungen, Seitenadressen sowie Kaufbetrag und Währung, keine geprüften Domains oder Prüfergebnisse. Sie können Ihre Zustimmung in den Cookie-Einstellungen widerrufen. Google Tag Manager und Google Analytics 4 benötigen eine Analysezustimmung; Meta Pixel benötigt Analyse- und Marketingzustimmung. Notwendige Cookies sind davon unabhängig.

Meta Platforms Ireland Limited: Datenschutz bei Meta, Cookies bei Meta. Cookies _fbp und _fbc: bis zu 90 Tage. Erweiterter Abgleich und die Conversions API sind deaktiviert. Das Pixel benötigt auch die Zustimmung zur Analyse, weil erst diese den Container lädt. Beim Widerruf der Marketingzustimmung stoppen wir das Pixel und löschen seine Cookies.

Wir zählen außerdem Seitenaufrufe, ohne Cookies. Bei jedem Aufruf dieser Website sendet Ihr Browser uns eine kurze Nachricht: die Adresse der Seite (ohne den Teil nach „?“), die Adresse der verweisenden Seite, die Werte utm_source, utm_medium und utm_campaign aus der Seitenadresse und ob in der Adresse eine Google-Ads-Klickkennung stand (die Kennung selbst nicht). Aus der Browserkennung ermitteln wir nur die Geräteart (Telefon, Tablet oder Computer) und, aus einem Header unseres Hosting-Anbieters, sofern er einen liefert, das Land; die Browserkennung verwerfen wir danach. Das Ergebnis wird einer Tagessumme hinzugefügt. Wir speichern keine IP-Adresse, keine Browserkennung und keine Kennung einer Person, wir setzen kein Cookie und schreiben nichts in Ihren Browser; wir können daher die Besuche einer Person nicht unterscheiden und einen wiederkehrenden Besucher nicht erkennen. Aufrufe durch automatisierte Programme werden nicht gezählt, die eigenen Aufrufe des Betreibers werden getrennt gezählt. Die Nachricht erreicht uns wie jede Anfrage, daher enthält auch das Anfrage-Log bei unserem Hosting-Anbieter (oben) ihre IP-Adresse für 30 Tage. Die Tagessummen bewahren wir 13 Monate auf. Rechtsgrundlage ist unser berechtigtes Interesse zu wissen, welche Seiten und Kampagnen aufgerufen werden (Artikel 6 Absatz 1 Buchstabe f). Sie können widersprechen (Abschnitt 17.3), und wenn Sie die Anfrage in Ihrem Browser blockieren, endet die Zählung.

Einzelheiten, einschließlich der Liste der Cookies und des Browserspeichers: Cookie-Richtlinie.

13. Sicherheits- und Missbrauchs-Logs

13.1 Was wir erfassen

• ein Ereignisprotokoll des Kontos (zum Beispiel Registrierung, Änderungen am Konto) mit IP-Adressen;
• das Anfrage-Log bei unserem Hosting-Anbieter;
• Zähler zur Ratenbegrenzung pro IP-Adresse und pro Konto, im Arbeitsspeicher des Servers;
• Ihre Erklärung, dass Sie das Recht haben, eine Website zu prüfen: Konto, Domain, Zeit, Ort der Abgabe, IP-Adresse und Browserkennung;
• einen Vermerk über die Löschung eines Kontos (Benutzerkennung und Benutzername, IP-Adresse, Datum);
• die Liste der von Prüfungen ausgeschlossenen Domains und die Ausschlussanfragen.

Rechtsgrundlage ist unser berechtigtes Interesse (Artikel 6 Absatz 1 Buchstabe f) daran, den Dienst, unsere Kunden und geprüfte Websites vor Missbrauch zu schützen, etwa vor der Prüfung fremder Websites ohne Erlaubnis, der Umgehung von Grenzen oder Angriffen auf den Dienst; daran, zu zeigen, dass wir rechtmäßig und vertragsgemäß gehandelt haben; und daran, Rechtsansprüche geltend zu machen, auszuüben oder zu verteidigen.

13.2 Wie wir Daten schützen

Verbindungen sind verschlüsselt (TLS, HSTS); Passwörter werden als bcrypt-Hashes und API-Schlüssel als Hashes gespeichert; das Sitzungs-Cookie ist HttpOnly, Secure und SameSite=Strict. Wir schützen Formulare vor gefälschten Anfragen, begrenzen Anfragen pro IP-Adresse und pro Konto und blockieren Anfragen des Scanners an interne Adressen. Der Dienst läuft in der EU bei Google Cloud, mit der Verschlüsselung ruhender Daten, der Zugriffskontrolle und dem Geheimnisverwalter des Anbieters; Anfragen erreichen ihn über die Front-End-Infrastruktur von Google (Google Front End), die Netzwerkangriffe filtert. Wir führen ein Ereignisprotokoll des Kontos, löschen Daten automatisch nach den Aufbewahrungsregeln, und nur der Inhaber des Unternehmens hat Zugang zu den Produktionssystemen.

14. Empfänger

Auch von Ihnen gewählte Empfänger erhalten Daten: Slack, Microsoft Teams, Discord und Ihre eigene Webhook-Adresse (Abschnitt 5.2). WordPress.org wird von Ihrer Website mit dem Plugin kontaktiert, nicht von uns (Abschnitt 8.1).

Die aktuelle Liste mit Einzelheiten: Unterauftragsverarbeiter und Empfänger. Bevor wir beginnen, Daten an einen neuen Anbieter weiterzugeben, nehmen wir ihn in diese Liste auf.

15. Übermittlungen außerhalb des EWR

Cloudflare, Groq, Stripe und Unternehmen der Google-Gruppe können Daten in den USA verarbeiten. Für diese Übermittlungen stützen wir uns auf:

• das EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795 der Kommission) für Unternehmen, die daran teilnehmen; Cloudflare wendet außerdem Standardvertragsklauseln an;
• Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 der Kommission für die übrigen Unternehmen, einschließlich Groq.

Wir senden Ihnen auf Anfrage eine Kopie dieser Garantien: Schreiben Sie an support@shieldwave.io.

16. Wie lange wir Daten aufbewahren

17. Ihre Rechte

17.1 Welche Rechte Sie haben

Sie haben das Recht auf Auskunft über Ihre Daten und auf eine Kopie (Artikel 15 DSGVO), auf Berichtigung (Artikel 16), auf Löschung (Artikel 17), auf Einschränkung der Verarbeitung (Artikel 18), auf Übertragbarkeit der Daten, die Sie uns aufgrund eines Vertrags oder einer Einwilligung gegeben haben (Artikel 20), und auf Widerspruch (Artikel 21, Abschnitt 17.3). Sie können eine Einwilligung jederzeit widerrufen; das berührt die Verarbeitung vor dem Widerruf nicht (Artikel 7 Absatz 3).

17.2 Wie Sie sie ausüben

In Ihrem Profil können Sie Ihre Daten berichtigen, Ihre Kontodaten als JSON herunterladen (Profil, Prüfungen, überwachte Domains, Benachrichtigungen) und das Konto löschen. Für alles andere schreiben Sie an support@shieldwave.io. Wir antworten innerhalb eines Monats; in einem komplexen Fall können wir diese Frist um zwei Monate verlängern und teilen Ihnen den Grund mit. Wir können Sie bitten zu bestätigen, dass die Daten Sie betreffen, zum Beispiel indem Sie von der Adresse des Kontos aus schreiben.

Wenn Ihre Daten in den Ergebnissen einer Prüfung stehen, die ein Kunde für sein Unternehmen beauftragt hat, leiten wir Ihre Anfrage an diesen Kunden als Verantwortlichen weiter und helfen ihm bei der Umsetzung.

17.3 Widerspruchsrecht

Sie können jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, der Verarbeitung Ihrer Daten widersprechen, die auf unserem berechtigten Interesse beruht (Artikel 6 Absatz 1 Buchstabe f DSGVO). Wir stellen die Verarbeitung dann ein, es sei denn, wir weisen zwingende berechtigte Gründe nach, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Sie können jederzeit ohne Angabe von Gründen der Verarbeitung Ihrer Daten für Marketing widersprechen.

17.4 Automatisierte Entscheidungen

Wir treffen keine Entscheidungen über Sie, die ausschließlich auf einer automatisierten Verarbeitung, einschließlich Profiling, beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Artikel 22 DSGVO). Die KI bewertet technische Probleme von Websites, nicht Personen.

18. Beschwerde bei einer Aufsichtsbehörde

Sie können sich beim Präsidenten des Amtes für den Schutz personenbezogener Daten (Prezes Urzędu Ochrony Danych Osobowych), ul. Stanisława Moniuszki 1A, 00-014 Warszawa, Polen, uodo.gov.pl, oder bei der Datenschutzbehörde des EU-Landes beschweren, in dem Sie leben oder arbeiten oder in dem der Verstoß stattgefunden hat. Sie können uns zuerst schreiben; wir werden versuchen, die Angelegenheit zu klären.

19. Personen außerhalb der Europäischen Union

Wir haben unseren Sitz in Polen und wenden die DSGVO auf alle an, wo auch immer sie leben. Wir haben keinen Vertreter außerhalb der Europäischen Union. Wenn das Recht Ihres Landes Ihnen weitere Rechte gibt, schreiben Sie uns, und wir antworten.

20. Alter

Sie müssen mindestens 18 Jahre alt sein, um ein ShieldWave-Konto zu eröffnen. Wir erheben nicht wissentlich Daten über Kinder. Erfahren wir, dass eine jüngere Person ein Konto eröffnet hat, löschen wir es.

21. Änderungen dieser Erklärung

Wir ändern diese Erklärung, wenn sich der Dienst, unsere Anbieter oder das Recht ändern, und veröffentlichen jede Fassung auf dieser Seite mit ihrem Datum und einem Eintrag im Änderungsverlauf. Bevor Änderungen daran, wie wir Daten von Kunden verarbeiten, wirksam werden, teilen wir es den Kontoinhabern per E-Mail mit. Eine frühere Fassung senden wir auf Anfrage.

Wenn wir eine Mitteilung über eine Änderung senden oder anzeigen, per E-Mail oder als Hinweis in der App, zeichnen wir für jedes Konto auf, wann sie gesendet oder zum ersten Mal angezeigt und wann sie geschlossen oder akzeptiert wurde, um nachweisen zu können, dass die Mitteilung erfolgt ist. Rechtsgrundlage ist unser berechtigtes Interesse, nachzuweisen, dass wir Sie informiert haben (Artikel 6 Absatz 1 Buchstabe f). Wir bewahren diese Aufzeichnung auf, bis das Konto gelöscht wird.

22. Änderungsverlauf

• 23. Oktober 2026: das Ergebnis der Demonstrationsprüfung per E-Mail und die wöchentliche Prüfung der Domain nach einem Klick in dieser E-Mail (Abschnitte 2, 6, 11.1 und 16). Es betrifft Personen ohne Konto, nicht die Verarbeitung von Kundendaten, daher wird keine Mitteilung nach Abschnitt 21 versandt.
• 24. Oktober 2026, Ergänzung ohne neue Fassung: die Bitte um Behebung der Probleme einer Demonstrationsprüfung mit dem Formular unter ihrem Ergebnis (Abschnitt 11.2). Es betrifft Personen ohne Konto, nicht die Verarbeitung von Kundendaten, daher wird keine Mitteilung nach Abschnitt 21 versandt.
• 22. Oktober 2026: Im Tarif Free sendet das Plugin Ergebnisse für jede verbundene Website (Abschnitt 8.3); Zähler zur Begrenzung der Demonstrationsprüfung als Hashwert der IP-Adresse in der Datenbank bis zu 2 Stunden (Abschnitte 6 und 16); Bestellung einer Bereinigung (Abschnitt 11.3).
• 19. Oktober 2026: WordPress-Plugin 1.1.21 und der Tarif Free. Aufzeichnungen über die Nutzung von Ködern und Benachrichtigungen über neue Schwachstellen auf verbundenen Websites (Abschnitte 2, 8.5 und 16); im Tarif Free sendet das Plugin Ergebnisse für drei Websites (Abschnitt 8.3).
• 20. Oktober 2026, Ergänzung ohne neue Version: die anonyme Zählung der Seitenaufrufe ohne Cookies (Abschnitte 12 und 16). Sie betrifft Besucher der Website, nicht die Verarbeitung von Kundendaten; daher wird keine Mitteilung nach Abschnitt 21 versandt.
• 8. Oktober 2026: WordPress-Plugin 1.1.10. Was das Plugin auf Ihrem Server speichert, und das Cookie, das es nach einer Anmeldung setzt (Abschnitt 8); Regeln etwa einmal pro Stunde (Abschnitt 8.2); Probleme, die Benutzerkonten nennen, werden ohne Anmeldenamen gesendet (Abschnitt 8.3); das Löschen des Plugins bittet uns, die Website zu trennen (Abschnitt 8.4); was das Plugin aus Auszügen für die KI-Zweitmeinung entfernt und welche Dateien es nie liest (Abschnitt 10.2).
• 30. September 2026: Verbinden des WordPress-Plugins mit einem Klick und was das Plugin in jedem Tarif sendet, auch in WordPress ignorierte Probleme (Abschnitt 8.3); das Bestätigungs-Tag, das das Plugin auf der Startseite zeigt (Abschnitt 8.3); das Trennen einer Website löscht ihre Daten (Abschnitte 8.4 und 16); die Aufzeichnung der Mitteilungen über Änderungen (Abschnitte 16 und 21).
• 29. September 2026, Berichtigung am selben Tag: Cloudflare beantwortet heute nur DNS-Abfragen zu unserer Domain und sieht keine Anfragen an die Website; wir beschreiben, was sich ändert, wenn wir den Datenverkehr darüber leiten (Abschnitte 12, 13.2 und 14). Öffentliche Cloud-Speicherdienste werden bei den öffentlichen Diensten ergänzt, die zu einer geprüften Domain abgefragt werden (Abschnitte 5.1 und 14).
• 29. September 2026: Diese Fassung ersetzt die Datenschutzerklärung vom Februar 2026. Sie berichtigt die Angaben zum Verantwortlichen, die Liste der Anbieter, die Beschreibung der an die KI gesendeten Daten und die Aufbewahrungsfristen und ergänzt Hinweise für Personen, die nicht unsere Kunden sind.

21. Oktober 2026: Meta Pixel (Seitenaufrufe und Käufe), Marketingzustimmung und erneute Einwilligung (Version 3).