Datenschutzerklärung

Verantwortlicher

Proralis UG (haftungsbeschränkt)

Anschrift

Zeppelinstraße 1, 01324 Dresden

Telefon

0162 7077721

E-Mail

kontakt@red-check.de

Vertreten durch

Eric Reichelt (Geschäftsführer)

Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht bestellt. Eine Bestellpflicht nach § 38 BDSG besteht nicht, da bei uns nicht mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.

Fragen zum Datenschutz richten Sie an die oben genannte Adresse.

Redcheck verarbeitet Daten in zwei verschiedenen Rollen. Wer wofür verantwortlich ist, entscheidet darüber, an wen Sie sich mit Ihren Rechten wenden.

Rolle 1: Verantwortlicher für die Konto- und Nutzungsdaten

Für alles, was die Proralis UG (haftungsbeschränkt) braucht, um Konten zu führen, Zugänge abzusichern, abzurechnen und die Plattform zu betreiben, ist sie selbst Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Das betrifft die Abschnitte dieser Erklärung von „Besuch dieser Website“ bis „Protokolle und Nachweise“, und ebenso den Abschnitt „Briefwerbung an Unternehmen“.

Rolle 2: Auftragsverarbeiter für das, was ein Scan erhebt

Sobald ein Kunde einen Lauf gegen eine Website auslöst, entscheidet er über Zweck und Mittel dieser Verarbeitung. Er ist Verantwortlicher, die Proralis UG (haftungsbeschränkt) ist Auftragsverarbeiter nach Art. 28 DSGVO. Das betrifft den Abschnitt „Was ein Scan über die geprüfte Website erhebt“.

Wenn Ihre Daten auf einer Website stehen, die mit Redcheck geprüft wurde, sind nicht wir Ihr Ansprechpartner, sondern der Betreiber jener Website beziehungsweise die Agentur, die den Lauf beauftragt hat. Wir leiten Ihre Anfrage an ihn weiter, wenn wir sie zuordnen können, und beantworten sie nicht selbst. Grundlage ist der Vertrag zur Auftragsverarbeitung. Anders ist es, wenn Sie einen Werbebrief von uns erhalten haben: diese Prüfung haben wir selbst veranlasst, und Ihr Ansprechpartner sind wir (Abschnitt „Briefwerbung an Unternehmen“).

Beim Aufruf von red-check.de werden die Seiten von einem eigenen Server ausgeliefert. Dabei fallen im vorgelagerten Reverse Proxy Protokolldaten an: IP-Adresse, Zeitpunkt, angeforderte Adresse, übertragene Datenmenge, Antwortstatus, Verweisadresse und Browserkennung.

Zweck ist die Auslieferung der Seiten, die Betriebssicherheit und die Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im technisch fehlerfreien und sicheren Betrieb.

Die Zugriffsprotokolle werden nach vierzehn Tagen gelöscht.

Was diese Website nicht tut

• Sie setzt keine Cookies zu Marketingzwecken. Bevor Sie im Einwilligungsbanner entschieden haben, setzt sie gar kein Cookie; danach ein technisch notwendiges Cookie, das Ihre Entscheidung speichert, und nur wenn Sie eingewilligt haben, die Kennung der Nutzungsanalyse (Abschnitt „Analyse“).
• Sie bindet keine externen Schriften ein. „Public Sans“ und „DM Mono“ werden vom eigenen Server ausgeliefert; Google Fonts wird nicht aufgerufen.
• Sie lädt keine Skripte, Bilder, Karten oder Videos von fremden Servern und nutzt kein Content Delivery Network.
• Sie lädt ein Werkzeug zur Nutzungsanalyse nur nach Ihrer Einwilligung, und zwar von unserem eigenen Server. Einen externen Dienst zur Reichweitenmessung oder zur Fehlerüberwachung nutzt sie nicht.

Die Verschlüsselung der Übertragung erfolgt durchgehend über TLS. Die Zertifikate stammen von Let's Encrypt.

Mit Ihrer Einwilligung werten wir aus, wie Besucher die Website red-check.de, die Anwendung unter app.red-check.de und die Berichtsseiten hinter geteilten Links und Werbebriefen nutzen (Nutzungsanalyse). Wir wollen verstehen, welche Seiten gelesen werden, wo jemand abbricht und was wir verbessern sollten.

Einwilligungsbanner

Beim ersten Aufruf fragt ein Banner, ob Sie der Nutzungsanalyse zustimmen. Zustimmen und Ablehnen sind gleichwertige Knöpfe. Bis Sie entschieden haben und wenn Sie ablehnen, lädt keine der Seiten das Analysewerkzeug, setzt kein Cookie der Analyse und sendet keine Daten an den Analyseserver.

Ihre Entscheidung speichern wir im Cookie rc_einwilligung, gültig für red-check.de und alle Unterseiten wie app.red-check.de, damit Sie nur einmal gefragt werden. Es enthält nur die Entscheidung und läuft nach zwölf Monaten ab; danach fragt das Banner erneut. Das Cookie ist für die Speicherung Ihrer Entscheidung unbedingt erforderlich im Sinne des § 25 Abs. 2 Nr. 2 TDDDG; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse, Ihre Entscheidung zu beachten, ohne Sie bei jedem Aufruf erneut zu fragen.

Was nach Ihrer Einwilligung erfasst wird

• Seitenaufrufe mit Adresse und Verweisadresse, Klicks, Scrolltiefe und Verweildauer;
• Angaben zu Gerät und Browser, etwa Gerätetyp, Betriebssystem, Browser und Bildschirmgröße;
• eine Aufzeichnung der Sitzung, die Aufbau der Seite, Mausbewegungen, Klicks und Scrollen wiedergibt. Eingaben in Formularfelder sind darin immer verdeckt. In der Anwendung und auf der Berichtsseite sind zusätzlich alle Inhalte zu Kunden und Befunden verdeckt, Berichte als PDF-Datei und Logos werden gar nicht aufgezeichnet;
• eine zufällige Kennung, damit ein Besuch von der Website in die Anwendung als ein Besuch zählt. Sie liegt in einem Cookie, dessen Name mit ph_ beginnt, gültig für red-check.de und alle Unterseiten wie app.red-check.de, mit einer Laufzeit von zwölf Monaten, und zusätzlich in einem Eintrag im lokalen Speicher Ihres Browsers (localStorage).

Verknüpfung mit Ihrem Konto

Registrieren Sie sich oder melden Sie sich an, verknüpfen wir die Kennung mit der internen Kennnummer Ihres Benutzerkontos und Ihrer Organisation. Ihre E-Mail-Adresse und Ihr Name werden dabei nicht übermittelt. Beim Abmelden wird die Verknüpfung im Browser aufgehoben.

Ereignisse unseres Servers

Liegt Ihre Einwilligung vor, meldet auch unser Server einzelne Schritte unter derselben Kennung an das Analysewerkzeug: Registrierung, Anmeldung, Start eines Bezahlvorgangs, Abschluss eines kostenpflichtigen Plans, eingelöster Gutschein, geöffneter Bericht und geladene PDF-Datei. Ohne Einwilligung meldet der Server nichts davon. E-Mail-Adresse, Domains und IP-Adresse sind in diesen Meldungen nicht enthalten.

Werkzeug, Empfänger und Speicherdauer

Wir nutzen die Open-Source-Software PostHog und betreiben sie selbst auf einem eigenen Server bei Hetzner in Finnland (EU), erreichbar unter ph.red-check.de. Ihr Browser sendet die Daten an red-check.de beziehungsweise app.red-check.de, von dort gehen sie an diesen Server. Empfänger ist allein die Hetzner Online GmbH als Betreiber des Rechenzentrums, gebunden als Auftragsverarbeiter nach Art. 28 DSGVO. An die PostHog Inc. übermitteln wir keine Daten der Besucher; eine Übermittlung in ein Drittland findet nicht statt. Die IP-Adresse Ihres Browsers verwirft der Analyseserver beim Empfang; sie wird nicht gespeichert und nicht zur Bestimmung Ihres Standorts genutzt.

Erfasste Ereignisse löschen wir nach dreizehn Monaten, Aufzeichnungen der Sitzung nach dreißig Tagen.

Rechtsgrundlage und Widerruf

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO; für das Speichern und Auslesen der Kennung auf Ihrem Gerät § 25 Abs. 1 TDDDG. Die Einwilligung ist freiwillig. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, über den Link „Datenschutz-Einstellungen“ am Ende jeder Seite der Website, der Anwendung und der Berichtsseite. Danach erfasst keine Seite mehr etwas, und die Kennung wird aus Cookie und lokalem Speicher entfernt. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt.

Das Formular auf der Kontaktseite überträgt Ihre Angaben nicht an unsere Server. Es prüft die Eingaben im Browser und öffnet anschließend Ihr E-Mail-Programm mit einer fertig ausgefüllten Nachricht. Erst wenn Sie diese Nachricht selbst absenden, verlassen die Angaben Ihr Gerät, und zwar auf dem gewöhnlichen Weg einer E-Mail.

Für die dann eingehende E-Mail gilt: Wir verarbeiten Name, E-Mail-Adresse, gegebenenfalls Unternehmen, das gewählte Anliegen und Ihren Text, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um die Anbahnung eines Vertrags geht, sonst Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse an der Beantwortung von Anfragen.

Anfragen werden gelöscht, sobald sie abschließend bearbeitet sind und keine Aufbewahrungspflicht entgegensteht. Bei Anfragen, die zu einem Vertrag führen, gelten die handels- und steuerrechtlichen Fristen.

Unabhängig von Berichten und der Löschung der Organisation bleibt ein minimaler Scanner-Nachweis bis 365 Tage nach dem endgültigen Ende des Scans erhalten. Er enthält Auftraggeber, auslösenden Nutzer oder API-Zugang beziehungsweise Zeitplan, Auftragsfassung, Ziele, Versuche, Zeiten und die bekannte Worker- und Netzwerkzuordnung. Er enthält keine Befunde, Rohantworten oder privaten Zugangsdaten. Zugriff haben ausschließlich berechtigte Plattform-Admins zur Zuordnung und Bearbeitung von Rückfragen zu Scanneranfragen. Die Fristen anderer Protokolle werden dadurch nicht verlängert.

Bei eingeschalteter Scanner-Kennzeichnung kann über die zufällige Referenz ab dem tatsächlichen Scanstart bis 90 Tage nach dem endgültigen Ende ausschließlich der Organisationsname zum Scanstart, das Ziel, der Zeitraum und der Betreiberkontakt abgefragt werden. Dies gilt auch nach einer Organisations- oder Berichtslöschung. Es gibt keine öffentliche Scanliste und keinen Zugriff auf Befunde. Die Auskunft wird nicht öffentlich zwischengespeichert oder für Suchmaschinen freigegeben. Eine vorzeitige Sperrung durch den Betreiber ist möglich; bei abgeschalteter Kennzeichnung gibt es keine öffentliche Auskunft.

Das gesonderte Kontaktformular unter /scanner überträgt Ihren Namen, Ihre E-Mail-Adresse, Ihre Nachricht und gegebenenfalls die Scanner-Referenz an den Server. Die Angaben dienen der Bearbeitung Ihrer Rückfrage im Admin-Eingang; der Betreiber wird per E-Mail benachrichtigt und antwortet über sein bestehendes Postfach. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, Rückfragen zu Anfragen unseres Scanners zu beantworten und einem Scan zuzuordnen. Kontaktfälle werden 90 Tage nach Erledigung gelöscht. Nach einem Jahr noch offene Fälle werden zur Überprüfung markiert. Für Kopien im Postfach gelten dessen gesonderte Aufbewahrungsregeln.

Für die Nutzung der Anwendung unter app.red-check.de wird ein Konto benötigt.

Registrierung

Erhoben werden die geschäftliche E-Mail-Adresse, ein selbst gewähltes Passwort und der Name der Organisation. Ein Name der Person wird bei der Registrierung nicht abgefragt; er kann später in den Einstellungen ergänzt werden. Gespeichert werden außerdem der Zeitpunkt, zu dem Sie bestätigt haben, als Unternehmer im Sinne des § 14 BGB zu handeln, und die Fassungen der Allgemeinen Geschäftsbedingungen, dieser Datenschutzerklärung und des Vertrags zur Auftragsverarbeitung, die bei der Registrierung galten (derzeit Fassung „2026-10“). Dasselbe gilt bei der Annahme einer Einladung und, falls noch keine Bestätigung vorliegt, vor dem ersten Bezahlvorgang. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für den Vertragsschluss und Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse, nachweisen zu können, mit wem und zu welchen Bedingungen der Vertrag geschlossen wurde.

Das Passwort wird nicht gespeichert. Gespeichert wird ein Argon2id-Hashwert mit eigenem Salt, aus dem sich das Passwort nicht zurückrechnen lässt.

An die angegebene Adresse geht eine Nachricht mit einem Bestätigungslink. Ohne Bestätigung bleibt das Konto gesperrt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, die Durchführung des Nutzungsvertrags.

Anmeldung und Sitzung

Bei der Anmeldung wird ein Sitzungscookie mit dem Namen rc_session gesetzt. Es enthält ein Zufallstoken; in der Datenbank liegt nur dessen SHA-256-Hashwert. Das Cookie ist auf HttpOnly, Secure und SameSite=Lax gesetzt und dreißig Tage gültig. Zu jeder Sitzung wird die Browserkennung gespeichert, gekürzt auf 300 Zeichen, damit Sie fremde Sitzungen erkennen und beenden können.

Zur Sitzung wird keine IP-Adresse gespeichert. Die Drosselung der Anmelde- und Registrierungsversuche verwendet IP-Adressen, hält sie aber ausschließlich im Arbeitsspeicher des Servers und schreibt sie nicht in die Datenbank.

Rechtsgrundlage für die Sitzungsverwaltung ist Art. 6 Abs. 1 lit. b DSGVO. Das Sitzungscookie ist für den vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich im Sinne des § 25 Abs. 2 Nr. 2 TDDDG; eine Einwilligung ist dafür nicht erforderlich.

Speicher im Browser

Die Anwendung legt zwei Einträge im Speicher Ihres Browsers ab, die nicht an uns übertragen werden:

• nach der Registrierung Ihre E-Mail-Adresse unter dem Schlüssel redcheck.registrierung.email im Sitzungsspeicher (sessionStorage), damit die Seite zur Bestätigung der E-Mail-Adresse sie anzeigen kann. Der Eintrag gilt bis zur Bestätigung und verfällt spätestens mit dem Schließen des Browserfensters;
• den Entwurf eines neuen Scans unter dem Schlüssel redcheck.entwurf.scan im lokalen Speicher (localStorage), damit ein halb ausgefülltes Formular eine abgelaufene Sitzung übersteht. Er enthält die gewählte Domain und die Einstellungen des Scans, aber keine Zugangsdaten für authentifizierte Prüfungen, und wird gelöscht, sobald der Scan gestartet ist.

Beide Einträge sind für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich im Sinne des § 25 Abs. 2 Nr. 2 TDDDG; eine Einwilligung ist dafür nicht erforderlich. Rechtsgrundlage für die damit verbundene Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO. Haben Sie der Nutzungsanalyse zugestimmt, kommen deren Einträge hinzu (Abschnitt „Analyse“).

Zweiter Faktor

Wer die Zwei-Faktor-Anmeldung einrichtet, hinterlegt ein Geheimnis für zeitbasierte Einmalkennwörter. Es wird mit XChaCha20-Poly1305 verschlüsselt gespeichert. Die Wiederherstellungscodes werden nur als Hashwerte abgelegt.

Team und Einladungen

Ein Mitglied mit den nötigen Rechten kann weitere Personen einladen. Dazu gibt es deren E-Mail-Adresse an. Gespeichert werden die eingeladene Adresse, die einladende Person, die vorgesehene Rolle, der Hashwert des Einladungstokens und die Zahl der Zustellversuche. Eine Einladung verfällt nach sieben Tagen.

Hinweis nach Art. 14 DSGVO: Wenn Sie eine Einladung erhalten, stammt Ihre E-Mail-Adresse nicht von Ihnen selbst, sondern von der einladenden Organisation. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse beider Seiten an der Zusammenarbeit im Team. Sie können der Verarbeitung jederzeit widersprechen; die Einladung wird dann gelöscht.

API-Schlüssel

Ein API-Schlüssel wird nur als SHA-256-Hashwert gespeichert, zusammen mit einem sichtbaren Präfix zur Wiedererkennung, dem Namen, der anlegenden Person und dem Zeitpunkt der letzten Verwendung. Der Klartext wird genau einmal angezeigt und danach nie wieder ausgegeben.

Innerhalb der Anwendung werden verarbeitet: die von der Organisation angelegten Domains, die Nachweise ihrer Verifikation, die dabei aufgelösten IP-Adressen der Server des Kunden, die ausgelösten Läufe mit Zeitpunkt, Stufe und auslösender Person, die erzeugten Berichte sowie die Einstellungen der Organisation.

Zweck ist die Erbringung der vertraglichen Leistung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Teilen-Links

Ein Kunde kann einen Bericht über einen Link an Dritte weitergeben. Der Link kann mit einem Zugangswort geschützt und mit einem Ablaufdatum versehen werden, vorbelegt sind vierzehn Tage, höchstens neunzig. Gespeichert werden der Hashwert des Tokens, gegebenenfalls der Argon2id-Hashwert des Zugangsworts, eine Beschriftung und die Adresse des Empfängers, sofern der Kunde eine angibt.

Jeder Aufruf eines Teilen-Links wird protokolliert: Zeitpunkt, Browserkennung und ein Hashwert der IP-Adresse. Die IP-Adresse wird mit einem geheimen Schlüssel gehasht und ist nicht zurückrechenbar; sie beantwortet nur die Frage, wie oft und von wie vielen verschiedenen Stellen ein Link geöffnet wurde. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse des Kunden und des Anbieters an der Nachvollziehbarkeit der Weitergabe. Das Zugriffsprotokoll wird nach zwölf Monaten gelöscht.

Ist ein Link mit einem Zugangswort geschützt, setzt der Server nach der richtigen Eingabe ein Freischalt-Cookie, dessen Name mit rc_share_ beginnt. Es enthält eine signierte Freischaltmarke für genau diesen Link und keine Angaben zu Ihrer Person, ist auf HttpOnly gesetzt, gilt nur für den Pfad /v1/share und läuft nach zwei Stunden ab. Es ist für den gewünschten Abruf des Berichts unbedingt erforderlich im Sinne des § 25 Abs. 2 Nr. 2 TDDDG; eine Einwilligung ist dafür nicht erforderlich.

Diagnose und Betriebsdaten

Zur Überwachung des Betriebs werden Kennzahlen der Läufe erfasst (Telemetrie). Die geprüfte Domain verlässt den Scan-Worker dabei nur als mit einem geheimen Schlüssel gebildeten Hashwert (HMAC-SHA-256), der sich ohne diesen Schlüssel nicht zurückrechnen lässt; ein Ereignis mit einer Domain im Klartext wird von der Steuerungsebene abgewiesen. Das ist eine Pseudonymisierung und keine Anonymisierung: mit dem Schlüssel lässt sich der Hashwert einer bekannten Domain nachrechnen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im stabilen Betrieb der Plattform und im Erkennen fehlerhafter Prüfwerkzeuge. Die Telemetriedaten werden nach neunzig Tagen gelöscht.

Redcheck versendet nur Nachrichten, die zum Konto und zur gebuchten Leistung gehören. Das sind derzeit die folgenden:

Konto und Zugang

• Bestätigung der E-Mail-Adresse nach der Registrierung;
• Link zum Zurücksetzen des Passworts, auf eigene Anforderung oder auf Veranlassung des Supports;
• Einladung in eine Organisation;
• Bestätigung, dass eine Domain verifiziert ist;
• Hinweis an den Inhaber, dass der Support auf seine Organisation zugegriffen hat;
• Mitteilung, dass das Konto eingeschränkt, gedrosselt oder wieder freigegeben wurde.

Läufe und Zeitpläne

• Bericht fertig, mit Zahl und Titel der wichtigsten Befunde, aber ohne Einzelheiten;
• Scan konnte nicht abgeschlossen werden;
• Änderungen im letzten geplanten Lauf, für Agenturen auch als Sammelmail über alle Domains;
• geplanter Lauf konnte nicht laufen;
• Zeitplan gespeichert, wartet aber auf freies Kontingent;
• Testmail, die Sie in den Benachrichtigungseinstellungen selbst auslösen.

Kontingent und Abrechnung

• Kontingent zu 90 % ausgeschöpft;
• Zahlung für eine Rechnung fehlgeschlagen;
• Monatsüberblick über die geprüften Domains.

KI-Scan (Beta)

• Eingangsbestätigung einer KI-Scan-Anfrage;
• Bericht des KI-Scans fertig;
• KI-Scan-Anfrage abgelehnt.

Benachrichtigungen zu verifizierten Domains, Läufen, Zeitplänen und Kontingent, zum fertigen KI-Scan sowie der Monatsüberblick lassen sich abbestellen; jede dieser Nachrichten trägt dafür einen Link. Nachrichten zur Einrichtung und Sicherheit des Kontos, zu Zahlungen und zu Einschränkungen des Kontos sowie die Antworten auf eine eigene KI-Scan-Anfrage lassen sich nicht abbestellen. Es gibt keinen Newsletter und keine Werbe-E-Mails. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Anfragen zum KI-Scan und Rückfragen über das Formular unter /scanner melden wir zusätzlich an ein Postfach des Betreibers; diese Nachrichten gehen nicht an Kunden.

Jede Nachricht wird zunächst in einem Ausgangspostfach in der Datenbank abgelegt und von dort zugestellt. Gespeichert werden Empfängeradresse, Empfängername, Betreff sowie der Text- und der HTML-Teil der Nachricht.

Text- und HTML-Teil versendeter Nachrichten werden dreißig Tage nach dem Versand gelöscht. Empfängeradresse, Betreff und Versandzeitpunkt bleiben als Nachweis der Zustellung erhalten.

Der Versand erfolgt über einen externen Mailanbieter (siehe Subprozessoren). Absenderadresse ist noreply@red-check.de.

Kostenpflichtige Pläne werden über den Zahlungsdienstleister Stripe abgewickelt. Der Bezahlvorgang und das Kundenportal sind Seiten von Stripe; ein eigenes Zahlungsformular gibt es nicht.

An Stripe übermittelt werden beim Start des Bezahlvorgangs die E-Mail-Adresse des Kontoinhabers, eine Kennnummer der Organisation und die Zahl der abzurechnenden Domains. Die Domainnamen selbst werden nicht übermittelt. Zahlungsart, Rechnungsanschrift und Umsatzsteuer-Identifikationsnummer geben Sie direkt bei Stripe ein.

Zahlungsdaten werden von uns weder erhoben noch gespeichert. Es liegen keine Kartennummern und keine Kontodaten vor.

Von Stripe zurück kommen und gespeichert werden: die Kennungen von Kunde, Abonnement und Preis, Menge, Abrechnungszeitraum, Betrag, Währung, Status sowie ein Rechnungsspiegel mit Nummer, Zeitraum, Beträgen und den Links auf die bei Stripe liegende Rechnung. Zusätzlich werden Rechnungsname, Rechnungsadresse, Rechnungs-E-Mail und Umsatzsteuer-Identifikationsnummer der Organisation gespeichert, soweit sie in den Einstellungen gepflegt werden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Vertragsabwicklung und Art. 6 Abs. 1 lit. c DSGVO für die handels- und steuerrechtlichen Aufbewahrungspflichten.

Die Zahlungsabwicklung ist derzeit nicht scharfgeschaltet. Solange kein kostenpflichtiger Plan gebucht werden kann, werden an Stripe keine Daten übermittelt.

Redcheck führt drei getrennte Protokolle.

Lauf-Protokoll

Zu jedem Lauf ein fortlaufendes, hash-verkettetes Protokoll der Entscheidungen des Prüfumfangs: welche Domain, welche Stufe, welches Zeitfenster, welche Freigabereferenz, welche gepinnten Adressen, wer den Lauf auslöste. Es ist der Nachweis, dass ein aktiver Lauf autorisiert war, und bleibt erhalten, wenn die Berichte gelöscht sind, und wird drei Jahre nach Abschluss des Laufs gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse beider Seiten an diesem Nachweis.

Plattformprotokoll

Handlungen von Beschäftigten des Anbieters an Kundendaten, mit handelnder Person, E-Mail-Adresse, Zeitpunkt, betroffener Organisation, Grund und IP-Adresse. Jeder Support-Zugriff auf eine Organisation verlangt eine Begründung, ist auf dreißig Minuten begrenzt und wird dem Inhaber der Organisation per E-Mail mitgeteilt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Nachvollziehbarkeit administrativer Zugriffe.

Zugriffsprotokoll der Teilen-Links

Zeitpunkt, gehashte IP-Adresse, Browserkennung und ob der Zugriff gewährt wurde. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, wie oben bei den Teilen-Links beschrieben. Löschung nach zwölf Monaten.

Das Plattformprotokoll führt Betriebsvorgänge wie den Zugriff des Supports zu Nachweiszwecken. Einträge werden nach drei Jahren gelöscht, Einträge zu Rechnungen, Preisen und Gutschriften nach zehn Jahren ab Ende des Kalenderjahres. Löscht die handelnde Person ihr Konto, wird ihre E-Mail-Adresse sofort entfernt.

Dieser Abschnitt beschreibt die Verarbeitung, für die der Kunde Verantwortlicher ist und wir Auftragsverarbeiter sind. Er ist hier aufgeführt, damit nachvollziehbar ist, was tatsächlich geschieht.

Passive Prüfung

Der Scan-Worker ruft öffentlich erreichbare Adressen der geprüften Website ab, ohne Anmeldung, ohne Absenden von Formularen und ohne Ausprobieren von Zugangsdaten, und fragt die zugehörigen DNS-Einträge und TLS-Parameter ab. Neben gewöhnlichen Seitenaufrufen gehören dazu eine Anfrage, welche HTTP-Methoden der Server erlaubt (OPTIONS), Anfragen nach bekannten Konfigurations- und Sicherungsdateien, von denen höchstens die ersten 512 Byte gelesen werden, eine Anfrage mit fremdem Origin-Kopf und Verbindungsversuche mit veralteten TLS-Fassungen. Inhalte werden dabei weder angelegt noch geändert. Ausgewertet werden Sicherheits-Kopfzeilen, die HTTPS-Weiterleitung, zugelassene HTTP-Methoden, CORS, offen erreichbare Pfade sowie erkannte Software und deren Versionen.

Datenschutzprüfung im echten Browser

Für die Datenschutzprüfung werden die Startseite und eine Stichprobe von Unterseiten (zusammen höchstens 30 Seiten, bei einer Vollprüfung jede gefundene Seite) in einem gesteuerten Chromium-Browser geladen, ohne eine Einwilligung zu erteilen und ohne etwas anzuklicken. Aufgezeichnet wird, was die Seite von sich aus tut:

• die gesetzten Cookies mit Name, Domain, Pfad, Ablauf, Laufzeit, HttpOnly, Secure und SameSite sowie der Länge des Werts. Der Wert selbst wird nicht gespeichert;
• die Schlüsselnamen im lokalen Speicher des Browsers, ohne deren Werte;
• die ausgehenden Verbindungen mit Adresse, Hostname, Methode, Ressourcentyp und Status, samt der Feststellung, ob es sich um einen Drittanbieter handelt;
• das Vorhandensein und die Art eines Einwilligungsbanners, mit einem Textauszug bis 300 Zeichen.

Daraus entstehen die Befunde zu Trackern und Cookies vor der Einwilligung, zu Drittlandtransfers, zu extern eingebundenen Schriften und zu Einbettungen wie Videos, Karten oder Captchas.

Der Scan erhebt keine Daten realer Besucher der geprüften Website. Der Browser des Scan-Workers ist selbst der Besucher. Es werden weder Sitzungen mitgelesen noch IP-Adressen von Besuchern verarbeitet.

Aktive Prüfung

Aktive Prüfungen setzen einen technischen Nachweis des Domain-Eigentums voraus und richten sich ausschließlich an die dabei gepinnten IP-Adressen, innerhalb eines Zeitfensters von 24 Stunden. Dazu gehören Portscan, TLS-Tiefenprüfung, Prüfvorlagen für bekannte Schwachstellen, die Erkennung einer Web Application Firewall und Tests auf reflektierte Cross-Site-Scripting- sowie SQL-Injection-Schwachstellen. Die Prüfung der Anmeldedrosselung sendet höchstens drei Anmeldeversuche mit einem erfundenen Benutzernamen.

Beweismittel und Schwärzung

Zu einem Befund wird ein Beweismittel gespeichert, damit er nachvollziehbar bleibt. Vor dem Speichern werden Cookie-Werte, Cookie- und Authorization-Kopfzeilen, CSRF-Token und E-Mail-Adressen automatisch geschwärzt. Bildschirmfotos werden nicht angefertigt, und der Volltext der geprüften Seiten wird nicht abgelegt.

Näheres regelt der Vertrag zur Auftragsverarbeitung.

Die Proralis UG (haftungsbeschränkt) stellt Redcheck Unternehmen auch per Brief vor. Der Brief enthält einen Kurzbefund zur Sicherheit der Website des Unternehmens, entstanden aus einer passiven Prüfung: Zugriffe von außen ohne Anmeldung, ohne Absenden von Formularen und ohne Ausprobieren von Zugangsdaten, bei denen Inhalte weder angelegt noch geändert werden. Dazu gehören neben gewöhnlichen Seitenaufrufen eine Anfrage, welche HTTP-Methoden der Server erlaubt (OPTIONS), Anfragen nach bekannten Konfigurations- und Sicherungsdateien, von denen höchstens die ersten 512 Byte gelesen werden, eine Anfrage mit fremdem Origin-Kopf und Verbindungsversuche mit veralteten TLS-Fassungen. Für diese Werbung nutzen wir ausschließlich den Brief: keinen Anruf, keine Werbe-E-Mail, kein Fax. Für diese Verarbeitung ist die Proralis UG (haftungsbeschränkt) Verantwortlicher.

Welche Daten, und woher sie stammen

Verarbeitet werden Name, Rechtsform und Anschrift des Unternehmens, seine Website, Registerdaten (Registergericht, Registernummer, Rechtsform und vertretungsberechtigte Personen), ein kurzes Firmenprofil (Tätigkeit, Leistungen, Region, eingesetztes System der Website, Anlass für das Anschreiben) und die Ergebnisse der passiven Prüfung. Personenbezogen sind diese Angaben nur, soweit sie eine Person betreffen: bei einem Einzelunternehmen, dessen Firma einen Namen trägt, bei den vertretungsberechtigten Personen aus dem Register und beim Namen einer Ansprechperson, etwa der Geschäftsführung, wenn der Brief eine nennt.

Die Angaben stammen aus dem Handelsregister, abgerufen über den Dienst handelsregister.ai, aus dem Impressum, der Startseite und der Kontaktseite der Website des Unternehmens, aus einer Websuche nach dem Unternehmen und in Einzelfällen aus Angaben, die uns das Unternehmen selbst gemacht hat (etwa in einem Telefonat oder einer E-Mail an uns). Welche dieser Quellen für ein Unternehmen tatsächlich genutzt wurden, steht in dem Brief, den es erhält.

Zweck und Rechtsgrundlage

Zweck ist die Werbung für Redcheck bei Unternehmen. Soweit dabei personenbezogene Daten verarbeitet werden, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; Direktwerbung kann nach Erwägungsgrund 47 DSGVO ein berechtigtes Interesse sein. In unsere Abwägung geht ein, dass der Brief sich an ein Unternehmen richtet, sich auf dessen eigene, öffentlich erreichbare Website bezieht, mit einem Schritt dauerhaft abbestellt werden kann und dass der Personenbezug nach 24 Monaten ohne Kontakt gelöscht wird. Ein Profil einer Person legen wir nicht an.

Ihr Widerspruch

Sie können der Verarbeitung zu Werbezwecken jederzeit widersprechen, ohne Begründung und kostenlos (Art. 21 Abs. 2 DSGVO): online mit dem Code aus dem Brief unter red-check.de/widerspruch, per E-Mail an kontakt@red-check.de oder per Post an die oben genannte Anschrift. Ihr Unternehmen kommt dann sofort und dauerhaft auf unsere Sperrliste und erhält keine Briefe mehr von uns. Ein Brief, der in diesem Moment schon gedruckt wird, kann noch ankommen.

Die Berichtsseite hinter dem QR-Code

Der Brief führt über einen QR-Code und eine Adresse zum vollständigen Bericht über die Website. Wie bei jedem geteilten Bericht speichert der Server beim Aufruf den Zeitpunkt, die Browserkennung und einen mit einem geheimen Schlüssel gebildeten Hashwert der IP-Adresse, und ob der Bericht oder die PDF-Datei abgerufen wurde. Daraus ermitteln wir, ob und wie oft der Bericht geöffnet wurde (eindeutige Aufrufe je Tag) und mit welcher Geräteklasse (Computer, Tablet oder Telefon). Für dieses Protokoll setzt die Seite kein Cookie. Ein geöffneter Bericht kann Anlass für einen zweiten, letzten Brief sein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Darüber hinaus fragt die Berichtsseite beim ersten Aufruf, ob wir auswerten dürfen, wie Sie sie nutzen. Nur wenn Sie einwilligen, lädt sie unser Analysewerkzeug und erfasst Seitenaufrufe, Klicks, Scrolltiefe und Verweildauer, zeichnet die Sitzung auf (mit verdeckten Eingaben und Inhalten des Berichts) und meldet, ob der Bericht geöffnet und die PDF-Datei geladen wurde. Lehnen Sie ab, geschieht nichts davon; die Entscheidung speichern wir in einem technisch notwendigen Cookie. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die Sie jederzeit über „Datenschutz-Einstellungen“ am Ende der Seite widerrufen können. Einzelheiten, Speicherdauer und Empfänger stehen im Abschnitt „Analyse“.

Speicherdauer

Alle Angaben zu einer Person löschen wir 24 Monate nach dem letzten Kontakt: den Namen einer Ansprechperson, die vertretungsberechtigten Personen aus den Registerdaten, die freien Texte des Firmenprofils, unsere interne Notiz zum Unternehmen, die Anrede und den Namen einer Person im Text des Briefs, die Personenzeile der Anschrift, an die der Brief ging, und den Brief als PDF-Datei. Letzter Kontakt ist der jüngste Brief oder die jüngste Reaktion des Unternehmens. Name und Anschrift des Unternehmens bewahren wir auf, solange wir Unternehmen per Brief anschreiben: so wissen wir, wem wir geschrieben haben, und schreiben niemandem zweimal, der das nicht möchte. Ein Widerspruch wird dauerhaft gespeichert (Name und Anschrift des Unternehmens, Tag, Weg und gegebenenfalls ein Vermerk): er ist der Nachweis, dass wir nicht wieder schreiben dürfen. Der Link zum Bericht hinter dem QR-Code läuft sechs Monate nach dem letzten Brief ab.

Auftragsverarbeiter

LetterXpress

Druck, Kuvertierung und Einlieferung der Briefe. Übermittelt wird der fertige Brief mit der Anschrift des Unternehmens. Verarbeitung in Deutschland, Auftragsverarbeitung nach Art. 28 DSGVO.

Anthropic

Anthropic PBC, Vereinigte Staaten, Anbieter des Sprachmodells Claude. Das Modell liest öffentlich abrufbare Seiten der Website, findet Anschrift und Firmenprofil und schreibt den Text des Briefs. Übermittelt werden Inhalte dieser Seiten, Name und Anschrift des Unternehmens, gegebenenfalls der Name einer Ansprechperson und die Ergebnisse der passiven Prüfung. Auftragsverarbeitung nach Art. 28 DSGVO. Grundlage der Übermittlung in die Vereinigten Staaten sind Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Jeder Brief wird vor dem Versand von einem Menschen freigegeben.

Personenbezogene Daten werden an Dienstleister weitergegeben, die für den Betrieb erforderlich sind: den Betreiber der Server (auch des Servers der Nutzungsanalyse), den Mailanbieter und den Zahlungsdienstleister, für die Briefwerbung außerdem an den Druckdienst und den Anbieter des Sprachmodells (Abschnitt „Briefwerbung an Unternehmen“). Alle sind als Auftragsverarbeiter nach Art. 28 DSGVO gebunden. Die vollständige Liste der Auftragsverarbeiter für die Plattform mit Zweck, Ort der Verarbeitung und Grundlage steht unter Subprozessoren; die beiden Dienste der Briefwerbung sind im Abschnitt „Briefwerbung an Unternehmen“ benannt.

Beim Abgleich erkannter Software mit Schwachstellen- und Produktlebenszyklusdaten fragt der Scan-Worker öffentliche Quellen in den Vereinigten Staaten ab, darunter die National Vulnerability Database, OSV.dev und Wordfence. Übermittelt werden dabei ausschließlich Produktnamen und Versionsangaben. Weder die geprüfte Domain noch personenbezogene Daten werden übertragen; ein Drittlandtransfer personenbezogener Daten findet dabei nicht statt.

Eine Übermittlung personenbezogener Daten in ein Drittland findet ansonsten nur im Rahmen der Zahlungsabwicklung statt, und bei der Briefwerbung an den Anbieter des Sprachmodells in den Vereinigten Staaten. Die Grundlage ist für die Zahlungsabwicklung in der Liste der Subprozessoren benannt, für die Briefwerbung im Abschnitt „Briefwerbung an Unternehmen“.

Eine Weitergabe an Behörden erfolgt nur, soweit eine gesetzliche Verpflichtung besteht.

Ein nicht abgeholter Bericht ist nach Ablauf der Frist weg. Der Lauf bleibt mit seinen Kennzahlen sichtbar, aber ohne PDF.

Sie haben gegenüber dem Verantwortlichen die folgenden Rechte:

• Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO);
• Berichtigung unrichtiger und Vervollständigung unvollständiger Daten (Art. 16 DSGVO);
• Löschung (Art. 17 DSGVO);
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 DSGVO);
• Widerspruch nach Art. 21 DSGVO, Einzelheiten im folgenden Kasten;
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Ihr Widerspruchsrecht nach Art. 21 DSGVO

Soweit wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Verarbeiten wir Ihre Daten, um Direktwerbung zu betreiben, wie bei der Briefwerbung an Unternehmen, können Sie dem jederzeit und ohne Angabe von Gründen widersprechen; wir verarbeiten die Daten dann nicht mehr zu diesem Zweck. Den Widerspruch können Sie formlos einlegen, für die Briefwerbung am einfachsten unter red-check.de/widerspruch, sonst per E-Mail an kontakt@red-check.de oder per Post an die oben genannte Anschrift.

Was die Anwendung selbst bereitstellt

Inhaber und Administratoren einer Organisation können in den Einstellungen unter „Datenschutz und Löschung“ ein vollständiges Archiv der Organisation anfordern; es enthält Domains, Läufe, Befunde, Team, Rechnungen und das Lauf-Protokoll. Ebenso können sie dort einzelne Berichte, einzelne Domains, alle Artefakte oder die gesamte Organisation zur Löschung anmelden; die Ausführung erfolgt nach sieben Tagen und lässt sich bis dahin zurücknehmen.

Zum Verhältnis von Konto und Organisation: Ein Benutzerkonto besteht unabhängig von den Organisationen, denen die Person angehört, weil eine Person Mitglied mehrerer Organisationen sein kann. Wird ein Mitglied aus einer Organisation entfernt, endet nur die Mitgliedschaft. Sie können Ihr Konto selbst löschen, in den Einstellungen unter „Datenschutz und Löschung“. Zur Bestätigung ist Ihr Passwort erforderlich. Dabei werden Ihre E-Mail-Adresse, Ihr Name, Ihr Passwort und Ihr zweiter Faktor entfernt; wo Nachweispflichten die Zeile erhalten, wird nur der Personenbezug durch einen Platzhalter ersetzt.

Beschwerde bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Zuständig für uns ist die Sächsische Datenschutz- und Transparenzbeauftragte, Maternistraße 17, 01067 Dresden.

Eine automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Die Bewertung von Befunden ist eine technische Einstufung der geprüften Website und keine Entscheidung über eine Person.

Ein Sprachmodell setzen wir nur bei der Briefwerbung ein (Abschnitt „Briefwerbung an Unternehmen“); dort schreibt es Firmenprofil und Brieftext, und jeder Brief wird vor dem Versand von einem Menschen freigegeben. Beim KI-Scan (Beta) im Plan Agentur erstellt ein Prüfer von Redcheck den Bericht; Daten unserer Kunden werden dabei an kein System künstlicher Intelligenz übermittelt. Eine Entscheidung mit rechtlicher Wirkung trifft kein System.

Die Angabe der E-Mail-Adresse, eines Passworts und des Organisationsnamens ist für den Abschluss des Nutzungsvertrags erforderlich. Ohne sie kann kein Konto angelegt werden. Eine gesetzliche Pflicht zur Bereitstellung besteht nicht. Weitere Angaben, etwa der Name der Person oder Rechnungsangaben, sind freiwillig beziehungsweise nur für den Abschluss eines kostenpflichtigen Plans erforderlich.

Diese Erklärung wird angepasst, wenn sich die Verarbeitung ändert oder die Rechtslage es erfordert. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung. Wesentliche Änderungen teilen wir angemeldeten Kunden zusätzlich per E-Mail mit.