Datenschutzerklärung

Wir nehmen den Schutz Ihrer personenbezogenen Daten ernst – gerade weil unser Dienst selbst mit sensiblen Fundstellen und Leak-Hinweisen arbeitet. Diese Erklärung informiert Sie darüber, welche Daten wir verarbeiten, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange.

1. Verantwortliche Stelle

Ayzix IT Solution, Sebastian Scherf
Weyroth 96, 55543 Bad Kreuznach, Deutschland
E-Mail: kontakt@zentrale-datenschutzstelle.de

Die „Zentrale Datenschutzstelle“ ist ein privatwirtschaftlicher Dienst und keine Behörde oder öffentliche Stelle.

2. Hosting und Serverstandort

Unsere Systeme werden auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in Deutschland betrieben. Es findet keine Verarbeitung außerhalb der Europäischen Union statt, soweit nicht in dieser Erklärung ausdrücklich genannt (Zahlungsabwicklung, Leak-Datenbank). Mit dem Hosting-Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und leistungsfähigen Betrieb) sowie Art. 6 Abs. 1 lit. b DSGVO gegenüber Kundinnen und Kunden.

3. Server-Protokolle

Beim Aufruf unserer Website verarbeitet der Webserver automatisch: IP-Adresse, Datum und Uhrzeit, aufgerufene URL, Referrer, Browsertyp und Betriebssystem, übertragene Datenmenge und Statuscode. Diese Protokolle dienen der Sicherheit, Fehleranalyse und Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO) und werden nach spätestens 14 Tagen gelöscht, sofern sie nicht zur Aufklärung eines Sicherheitsvorfalls benötigt werden. Anwendungsprotokolle enthalten keine Passwörter, keine Dokumentinhalte und keine Leak-Ergebnisse.

4. Cookies und Besucherstatistik

Technisch notwendige Cookies setzen wir ohne Einwilligung ein, weil der Kundenbereich ohne sie nicht funktioniert (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b und f DSGVO). Alles Weitere – die unten beschriebene Besucherstatistik – nutzen wir nur, wenn Sie beim ersten Besuch ausdrücklich zustimmen.

Sprach- und Länderwahl

Beim ersten Aufruf ermitteln wir aus Ihrer IP-Adresse das Land, um Ihnen die Website in der passenden Sprache anzuzeigen. Die Zuordnung erfolgt ausschließlich auf unserem Server anhand einer lokal gespeicherten Länderdatenbank (DB-IP.com, Lizenz CC BY 4.0); die IP-Adresse wird dafür nicht gespeichert und nicht an Dritte übermittelt. Ihre Auswahl im Sprachmenü speichern wir für ein Jahr in den Cookies zds_lang und zds_land (technisch notwendig, keine Einwilligung erforderlich). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Besucherstatistik mit Microsoft Clarity (nur mit Einwilligung)

Um zu verstehen, wie unsere Website genutzt wird, und sie verständlicher zu machen, setzen wir mit Ihrer Einwilligung den Dienst Microsoft Clarity der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland, ein. Clarity erfasst, wie Sie mit unseren öffentlichen Seiten interagieren: aufgerufene Seiten und deren Adresse, Verweildauer, Klicks, Mausbewegungen und Scrollverhalten, Gerätetyp, Browser, Betriebssystem, Bildschirmgröße, ungefährer Standort (aus der IP-Adresse abgeleitet) sowie eine pseudonyme Kennung. Aus diesen Daten werden Nutzungsstatistiken, Heatmaps und Sitzungswiedergaben erstellt. Eingaben in Formularfelder werden vor der Übertragung unkenntlich gemacht.

Clarity wird ausschließlich auf öffentlichen Seiten geladen. Nicht erfasst werden der Kundenbereich, die Verwaltung, der Passwort-Check, Seiten mit Bestätigungs-, Einladungs- oder Rücksetz-Links, die Zwei-Faktor-Anmeldung sowie Ergebnisseiten des Rufnummern-Checks. Clarity setzt dafür die Cookies _clck (Kennung, bis zu 1 Jahr) und _clsk (Zusammenführung von Seitenaufrufen einer Sitzung, 1 Tag); Microsoft kann zusätzlich die Cookies CLID, MUID, ANONCHK, MR und SM verwenden.

Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Microsoft kann Daten in die USA übermitteln; die Microsoft Corporation ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO), ergänzend gelten EU-Standardvertragsklauseln. Microsoft verarbeitet die Daten auch für eigene Zwecke, etwa zur Verbesserung seiner Dienste; weitere Informationen: privacy.microsoft.com und Cookie-Liste von Clarity. Die Daten werden bei Clarity nach spätestens 13 Monaten gelöscht.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie im Seitenfuß auf „Cookie-Einstellungen“ klicken und „Nur notwendige“ wählen. Clarity wird dann nicht mehr geladen und seine Cookies werden entfernt. Die Ablehnung hat keinerlei Nachteile für die Nutzung unserer Website.

5. Registrierung und Kundenkonto

Für die Nutzung des Kundenbereichs ist ein Konto erforderlich. Wir verarbeiten Kontotyp (Privatperson/Unternehmen), Vor- und Nachname, E-Mail-Adresse, ein Passwort (ausschließlich als Argon2id-Hash, nie im Klartext), bei Unternehmen zusätzlich Firmenname, Domain, Rolle und optional Umsatzsteuer-Identifikationsnummer sowie Zeitpunkt und IP-Adresse der Zustimmung zu AGB und Datenschutzerklärung. Die E-Mail-Adresse wird über einen einmalig verwendbaren, zeitlich befristeten Link bestätigt. Optional können Sie eine Zwei-Faktor-Authentifizierung (TOTP) aktivieren; das zugehörige Geheimnis wird verschlüsselt gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen). Fehlgeschlagene Anmeldeversuche werden zum Schutz vor Missbrauch für 30 Tage protokolliert (Art. 6 Abs. 1 lit. f DSGVO).

6. Auftragsdaten: Fundstellen, Vorgänge, Überwachungsobjekte

Zur Erbringung unserer Leistung verarbeiten wir die Daten, die Sie uns zum Auftrag übermitteln oder die wir im Rahmen der Recherche erfassen: Namen, E-Mail-Adressen, Domains, Telefon- und Faxnummern, Anschriften, Fundstellen (Quelle, URL, Datenkategorien, Risikoeinordnung, Status), Vorgänge (Typ, Gegenstelle, Kommunikation, Fristen, Ereignisverlauf) sowie Belege. Es gilt der Grundsatz der Datenminimierung: Wir erheben nur, was für den jeweiligen Auftrag notwendig ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Soweit Sie Daten Dritter (z. B. Absender von Werbefaxen) hinterlegen, verarbeiten wir diese auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO zur Wahrung Ihrer berechtigten Interessen an der Geltendmachung Ihrer Rechte.

7. Leak-Prüfung (Have I Been Pwned)

Für die Prüfung von E-Mail-Adressen und verifizierten Domains auf bekannte Datenleaks nutzen wir die API des Dienstes „Have I Been Pwned“ (Superlative Enterprises Pty Ltd, Australien). Die Abfrage erfolgt ausschließlich serverseitig über einen eigenen API-Schlüssel; an den Dienst wird die zu prüfende E-Mail-Adresse bzw. Domain übermittelt. Die Ergebnisse (Leak-Name, Datum, Datenklassen) speichern wir verschlüsselt und zeigen sie nur der berechtigten Nutzerin bzw. dem berechtigten Nutzer und dem zuständigen Sachbearbeiter an. Zwischengespeicherte Antworten werden nach spätestens 7 Tagen gelöscht. Domain-Prüfungen setzen den Nachweis des Domainbesitzes voraus. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Drittlandübermittlungen stützen wir uns auf Standardvertragsklauseln des Anbieters (Art. 46 Abs. 2 lit. c DSGVO).

Passwort-Check: Die Prüfung eines Passworts gegen die Datenbank „Pwned Passwords“ erfolgt vollständig in Ihrem Browser. Es wird nur ein fünfstelliges Präfix des SHA-1-Hashes an api.pwnedpasswords.com gesendet (k-Anonymität); der Abgleich findet lokal statt. Weder das Passwort noch der vollständige Hash, das Präfix, das Ergebnis oder Ihre IP-Adresse werden von uns gespeichert oder protokolliert.

8. Zahlungsabwicklung (Stripe)

Kostenpflichtige Pakete werden über Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland, abgerechnet. Bei Buchung werden Sie zu Stripe Checkout weitergeleitet; dort geben Sie Zahlungsdaten direkt bei Stripe ein. Wir speichern keine Kreditkarten- oder Kontodaten. An Stripe übermitteln wir E-Mail-Adresse, Name bzw. Firmenname, interne Kunden-, Organisations- und Paketkennungen sowie Rechnungsadresse und ggf. Umsatzsteuer-Identifikationsnummer. Von Stripe erhalten wir Status- und Rechnungsdaten (Abonnementstatus, Rechnungsnummer, Betrag, Zahlungsstatus). Rechnungen, Zahlungsdaten, Paketwechsel und Kündigung verwalten Sie im Stripe Customer Portal. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Aufbewahrung). Stripe kann Daten in Drittländer übermitteln und stützt sich dabei auf EU-Standardvertragsklauseln. Weitere Informationen: stripe.com/de/privacy.

9. Dokumentenuploads, Virenscan und Texterkennung

Sie können Belege (PDF, PNG, JPG, EML) hochladen. Jede Datei wird serverseitig auf ihren tatsächlichen Dateityp geprüft, vor der Freigabe lokal mit ClamAV auf Schadsoftware untersucht und in einer privaten Ablage außerhalb des Webverzeichnisses gespeichert. Der Abruf ist nur nach Berechtigungsprüfung über kurzlebige, signierte Links möglich. Werbefaxe werden lokal mit Tesseract (Texterkennung) ausgewertet, um Absender, Faxnummer, Datum und Referenz zu erfassen; der erkannte Text wird verschlüsselt gespeichert. Es werden keine externen OCR- oder Cloud-Dienste eingesetzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

10. Datenauskunft mit Vollmacht: Identitätsnachweis und Vertretungsnachweis

Auf Ihren Wunsch machen wir Ihre Betroffenenrechte nicht nur als Bote geltend, sondern treten mit einer von Ihnen erteilten Vollmacht selbst gegenüber Auskunfteien, Adresshändlern und Firmendatenbanken auf. Dafür verarbeiten wir zusätzlich:

• Vollmacht: Ihre Erklärung, Ihr Name, Ort und Datum, Ihr im Browser gezeichneter Namenszug sowie – zum Nachweis der Unterzeichnung – Zeitpunkt, IP-Adresse und Browserkennung. Daraus erzeugen wir eine Urkunde als PDF und speichern deren Prüfsumme.
• Identitätsnachweis: die von Ihnen hochgeladene Kopie Ihres Ausweisdokuments. Die angeschriebenen Stellen dürfen bei begründeten Zweifeln an Ihrer Identität einen Nachweis verlangen (Art. 12 Abs. 6 DSGVO). Wir bitten Sie ausdrücklich, alle nicht benötigten Angaben zu schwärzen; erforderlich sind nur Name, Geburtsdatum, Anschrift und Gültigkeit.
• Bei Unternehmen zusätzlich: den Nachweis Ihrer Vertretungsberechtigung (z. B. Handelsregisterauszug) und Ihre Funktion im Unternehmen.

Vollmacht und Identitätsnachweis übermitteln wir ausschließlich an die von Ihnen ausgewählten Stellen und ausschließlich zusammen mit dem jeweiligen Auskunftsersuchen. Jede übermittelte Kopie trägt einen sichtbaren Aufdruck mit Zweck und Empfänger und ist damit als Kopie gekennzeichnet (§ 20 Abs. 2 Personalausweisgesetz). Eine Verwendung zu anderen Zwecken findet nicht statt.

Löschung: Ausweis- und Vertretungsnachweise löschen wir, sobald alle angeschriebenen Stellen geantwortet haben, spätestens 90 Tage nach Beginn der Runde, bei Widerruf sofort – die Datei wird anschließend innerhalb von 7 Tagen endgültig entfernt. Die Vollmachtsurkunde bewahren wir als Nachweis unserer Beauftragung auf.

Widerruf: Sie können die Vollmacht jederzeit ohne Angabe von Gründen im Kundenbereich oder formlos per E-Mail widerrufen (§ 168 BGB). Noch nicht abgesandte Schreiben stoppen wir dann sofort.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des mit Ihnen geschlossenen Vertrages) sowie Art. 6 Abs. 1 lit. c DSGVO, soweit die angeschriebene Stelle den Identitätsnachweis verlangt. Die Vorlage des Ausweises ist freiwillig; ohne ihn können wir den Versand in Ihrem Namen jedoch nicht übernehmen – Sie können die Schreiben in diesem Fall selbst versenden.

11. E-Mail-Versand

Transaktionsmails (Bestätigungslinks, Passwort-Reset, Fristen-Erinnerungen, Vorgangsbenachrichtigungen, Rechnungshinweise) sowie ausgehende Anfragen an Gegenstellen versenden wir über einen SMTP-Server eines deutschen Hosting-Anbieters, mit dem ein Auftragsverarbeitungsvertrag besteht. Wir protokollieren Empfänger, Betreff, Zeitpunkt und Zustellstatus, nicht den Inhalt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

12. Interne Benachrichtigungen

Zur schnellen Reaktion auf neue Registrierungen, Zahlungen oder Kontaktanfragen erhält unser Team interne Hinweise über den Messenger Telegram. Diese Hinweise enthalten ausschließlich Ereignistypen und ggf. den Namen einer Organisation, keine Fundstellen, Leak-Ergebnisse, Dokumente oder Kontaktdaten von Privatpersonen.

13. Kontaktformular und E-Mail-Kontakt

Wenn Sie uns über das Kontaktformular oder per E-Mail schreiben, verarbeiten wir Ihre Angaben (Name, E-Mail-Adresse, Betreff, Nachricht, IP-Adresse, Zeitpunkt) zur Bearbeitung der Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO. Anfragen werden nach abschließender Bearbeitung, spätestens nach 12 Monaten, gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

14. Ereignisverlauf und Audit-Protokoll

Sicherheitsrelevante Aktionen (Anmeldungen, Statusänderungen, Berechtigungsänderungen, Downloads, Exporte, Administrationsaktionen) werden in einem manipulationsgeschützten, unveränderlichen Protokoll mit Zeitpunkt, handelnder Person, betroffenem Datensatz und IP-Adresse festgehalten. Dies dient der Nachvollziehbarkeit Ihrer Vorgänge, der Sicherheit und der Erfüllung unserer Rechenschaftspflicht (Art. 5 Abs. 2, Art. 32 DSGVO; Art. 6 Abs. 1 lit. c und f DSGVO).

15. Empfänger und Auftragsverarbeitung

Empfänger personenbezogener Daten sind ausschließlich: unser Hosting-Anbieter (Hetzner), unser E-Mail-Anbieter, Stripe (Zahlungsabwicklung), Have I Been Pwned (Leak-Abgleich), Microsoft (Besucherstatistik, nur mit Einwilligung) sowie – im Rahmen der von Ihnen beauftragten Vorgänge – die jeweiligen Gegenstellen (z. B. Datenhändler, Verzeichnisbetreiber, Werbetreibende), an die wir in Ihrem Namen Auskunfts-, Widerspruchs- oder Löschanfragen richten. Mit Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Eine Weitergabe zu Werbezwecken findet nicht statt.

16. Speicherdauer und Löschung

• Kontodaten: bis zur Löschung des Kontos; danach 30 Tage Karenz, anschließend endgültige Löschung.
• Vorgänge, Fundstellen und Belege: bis zu 3 Jahre nach Abschluss des Vorgangs, anschließend automatisierte Löschung über geplante Löschjobs; auf Wunsch früher.
• Rechnungs- und Zahlungsdaten: 10 Jahre gemäß § 147 AO und § 257 HGB.
• Einwilligungsstatus (zds_consent): 6 Monate. Statistikdaten bei Microsoft Clarity: höchstens 13 Monate.
• Zwischengespeicherte Leak-Antworten: 7 Tage. Fehlgeschlagene Anmeldeversuche: 30 Tage. Server-Protokolle: 14 Tage.
• Von Ihnen gelöschte Dokumente: 30 Tage in Karenz, danach endgültig entfernt.
• Identitäts- und Vertretungsnachweise der Datenauskunft: bis zum Abschluss der Runde, längstens 90 Tage, danach 7 Tage Karenz. Vollmachtsurkunden: 3 Jahre als Nachweis der Beauftragung.

17. Sicherheit

Wir setzen technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein: Transportverschlüsselung (TLS, HSTS), Verschlüsselung besonders sensibler Felder (Zwei-Faktor-Geheimnisse, Leak-Ergebnisse, OCR-Texte) mit AES-256-GCM, Argon2id-Passworthashes, serverseitige Sitzungen, CSRF-Schutz, Content Security Policy, Ratenbegrenzung, gehärtete Systemdienste, strikte Mandantentrennung, tägliche verschlüsselte Backups und regelmäßige Wiederherstellungstests. Wegen der besonderen Sensibilität von Treffer- und Leak-Daten wurde vor Aufnahme des Betriebs eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchgeführt.

18. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Wenden Sie sich dazu an kontakt@zentrale-datenschutzstelle.de. Zudem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere bei der für Ihren Wohnsitz oder für unseren Sitz zuständigen Landesbeauftragten bzw. dem Landesbeauftragten für den Datenschutz.

19. Keine automatisierte Entscheidungsfindung

Die Risikoeinordnung von Fundstellen und Leak-Hinweisen dient ausschließlich Ihrer Information und Priorisierung. Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO statt.

20. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Leistungen oder die Rechtslage ändern. Die jeweils aktuelle Fassung ist unter https://zentrale-datenschutzstelle.de/datenschutz abrufbar.

Stand: 12.09.2026