Datenschutzerklärung

Diese Erklärung beschreibt, welche personenbezogenen Daten bei der Nutzung von Vulnerize verarbeitet werden, zu welchem Zweck und auf welcher Rechtsgrundlage.

1. Verantwortlicher

Mathias Jehle
Schubertweg 9/1
8141 Premstätten, Österreich
E-Mail: [email protected]

Ein Datenschutzbeauftragter ist gesetzlich nicht zu bestellen und wurde nicht bestellt.

2. Welche Daten wir verarbeiten

• Konto: E-Mail-Adresse, Passwort-Hash (Argon2id, kein Klartext), Zeitpunkte von Registrierung, E-Mail-Bestätigung und letzter Anmeldung. Zweck: Bereitstellung des Kontos. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Sitzungen: zufälliges Sitzungs-Token (in der Datenbank nur als Hash), Erstellungs- und Ablaufzeit. Zur Sitzung werden keine IP-Adressen oder Gerätekennungen gespeichert.
• Websites und Scans: eingegebene URLs, Scan-Einstellungen und Ergebnisse (Befunde, Scores, geprüfte URLs, ausgewählte HTTP-Header der geprüften Website). Vollständige HTML-Seiten, Cookie-Werte und Antwortinhalte der gescannten Websites werden nicht gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Anonyme Quick Scans: Ein zufälliges Gast-Token (gespeichert als Hash) ordnet dir deinen Bericht zu. Löschung nach 24 Stunden.
• Optimierungs-Anfragen: Wenn du über das Anfrageformular eine Website-Optimierung anfragst, verarbeiten wir die von dir angegebenen Daten (Name, E-Mail-Adresse, Website, gewähltes Paket, Nachricht sowie ggf. die Kennung des zugehörigen Scans) zur Bearbeitung deiner Anfrage und zur Vertragsanbahnung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen).
• Missbrauchsschutz: Für Rate-Limits wird ein mit einem geheimen Schlüssel gebildeter Hash aus IP-Adresse bzw. E-Mail-Adresse bis zu 24 Stunden gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch und Angriffen).
• Nutzung und Tarif: Anzahl der Scans pro Monat, gewählter Tarif und Abo-Status; bei bezahlten Tarifen Kunden- und Abo-ID des Zahlungsanbieters (keine Kartendaten). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Domain-Verifizierung: Domainname, Prüf-Token, Zeitpunkt und Methode der Verifizierung.
• Benachrichtigungen: In-App-Benachrichtigungen; E-Mail-Benachrichtigungen bei Monitoring-Änderungen nur nach Aktivierung.
• Server-Protokolle: Die Anwendung protokolliert Methode, Pfad (ohne Query-Parameter), Statuscode, Dauer und eine Anfrage-ID, jedoch keine IP-Adressen. Der Hosting-Anbieter (siehe Punkt 5) protokolliert zur Abwehr von Angriffen und zur Sicherstellung des Betriebs technische Zugriffsdaten einschließlich IP-Adressen; diese werden dort regelmäßig nach kurzer Zeit gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

3. Gescannte Websites

Beim Scan ruft Vulnerize öffentlich erreichbare Seiten der angegebenen Website ab, ähnlich wie ein Browser. Dabei können personenbezogene Daten Dritter sichtbar sein, die auf der Website veröffentlicht sind (z. B. Namen im Impressum). Sie werden nicht gezielt extrahiert und nur als Teil von Befunden (z. B. Linktext) gespeichert.

4. Cookies

Wir verwenden ausschließlich technisch notwendige Cookies (siehe Cookie-Informationen). Es gibt keine Analyse-, Marketing- oder Tracking-Cookies, keine eingebundenen Drittanbieter-Skripte und keine extern geladenen Schriftarten.

5. Empfänger und Auftragsverarbeiter

• Hosting: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland; Rechenzentrum in Deutschland. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
• E-Mail-Versand: Brevo (Sendinblue GmbH), Köpenicker Str. 126, 10179 Berlin, Deutschland. Verarbeitet E-Mail-Adresse und Inhalt der Systemnachrichten (z. B. Bestätigungs- und Benachrichtigungs-E-Mails).
• Zahlungsabwicklung (nur bei bezahlten Tarifen): Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland. Dabei kann es zu einer Übermittlung an die Stripe, Inc. in den USA kommen, die auf Grundlage der EU-Standardvertragsklauseln erfolgt. Kartendaten werden ausschließlich bei Stripe verarbeitet, nicht bei uns.

6. Speicherdauer

• Scans im Free-Tarif: 30 Tage; in bezahlten Tarifen: 365 Tage; anonyme Scans: 24 Stunden.
• Sitzungen: bis zur Abmeldung, spätestens nach 14 Tagen bzw. 72 Stunden Inaktivität.
• Rate-Limit-Einträge: 24 Stunden. Benachrichtigungen: 90 Tage.
• Optimierungs-Anfragen: bis zur abschließenden Bearbeitung; führt die Anfrage zu einem Vertrag, gelten die gesetzlichen Aufbewahrungsfristen.
• Konto: bis zur Löschung durch dich. Abrechnungs- und Rechnungsdaten werden gemäß den gesetzlichen Aufbewahrungspflichten (§ 132 BAO: sieben Jahre) aufbewahrt.

7. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). Im Konto kannst du deine Daten selbst exportieren und dein Konto sofort löschen. Für weitere Anliegen: [email protected]. Du kannst dich bei einer Aufsichtsbehörde beschweren, in Österreich bei der Datenschutzbehörde (www.dsb.gv.at).

8. Sicherheit

Übertragung ausschließlich per HTTPS, Passwort-Hashing mit Argon2id, gehashte Sitzungs- und Einmal-Tokens, strikte Mandantentrennung. Details: Sicherheit.

Stand: 30. Oktober 2026