Privacyverklaring

Wij nemen de bescherming van uw persoonsgegevens serieus – juist omdat onze dienst zelf met gevoelige vindplaatsen en lekmeldingen werkt. Deze verklaring informeert u over welke gegevens wij verwerken, met welk doel, op welke rechtsgrondslag en hoe lang.

1. Verwerkingsverantwoordelijke

Ayzix IT Solution, Sebastian Scherf
Weyroth 96, 55543 Bad Kreuznach, Deutschland
E-mail: kontakt@zentrale-datenschutzstelle.de

De „Zentrale Datenschutzstelle” is een particuliere dienst en geen overheidsinstantie of publieke instelling.

2. Hosting en serverlocatie

Onze systemen draaien op servers van Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in Duitsland. Er vindt geen verwerking buiten de Europese Unie plaats, tenzij in deze verklaring uitdrukkelijk genoemd (betalingsverwerking, lekdatabank). Met de hostingprovider bestaat een verwerkersovereenkomst conform art. 28 AVG. Rechtsgrondslag is art. 6 lid 1 sub f AVG (gerechtvaardigd belang bij een veilige en goed functionerende exploitatie) en art. 6 lid 1 sub b AVG tegenover klanten.

3. Serverlogboeken

Bij het bezoeken van onze website verwerkt de webserver automatisch: IP-adres, datum en tijd, opgevraagde URL, referrer, browsertype en besturingssysteem, overgedragen hoeveelheid gegevens en statuscode. Deze logboeken dienen de beveiliging, foutanalyse en afweer van aanvallen (art. 6 lid 1 sub f AVG) en worden uiterlijk na 14 dagen verwijderd, tenzij ze nodig zijn voor het onderzoek van een beveiligingsincident. Applicatielogboeken bevatten geen wachtwoorden, geen documentinhoud en geen lekresultaten.

4. Cookies en bezoekersstatistiek

Technisch noodzakelijke cookies plaatsen wij zonder toestemming, omdat de klantomgeving zonder deze niet werkt (§ 25 lid 2 nr. 2 TDDDG, art. 6 lid 1 sub b en f AVG). Al het overige – de hieronder beschreven bezoekersstatistiek – gebruiken wij alleen als u bij het eerste bezoek uitdrukkelijk toestemt.

Taal- en landkeuze

Bij uw eerste bezoek bepalen wij uw land aan de hand van uw IP-adres om de website in de passende taal te tonen. De toewijzing gebeurt uitsluitend op onze server met een lokaal opgeslagen landendatabase (DB-IP.com, licentie CC BY 4.0); het IP-adres wordt hiervoor niet opgeslagen en niet aan derden doorgegeven. Uw keuze in het taalmenu bewaren wij een jaar lang in de cookies zds_lang en zds_land (technisch noodzakelijk, geen toestemming vereist). De rechtsgrond is art. 6 lid 1 sub f AVG.

Bezoekersstatistiek met Microsoft Clarity (alleen met toestemming)

Om te begrijpen hoe onze website wordt gebruikt en om deze begrijpelijker te maken, gebruiken wij met uw toestemming de dienst Microsoft Clarity van Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Ierland. Clarity registreert hoe u met onze openbare pagina's omgaat: bezochte pagina's en hun adres, verblijfsduur, klikken, muisbewegingen en scrollgedrag, apparaattype, browser, besturingssysteem, schermgrootte, geschatte locatie (afgeleid uit het IP-adres) en een pseudonieme identificatie. Uit deze gegevens worden gebruiksstatistieken, heatmaps en sessieopnamen gemaakt. Invoer in formuliervelden wordt vóór de overdracht onleesbaar gemaakt.

Clarity wordt uitsluitend op openbare pagina's geladen. Niet geregistreerd worden de klantomgeving, het beheer, de wachtwoordcheck, pagina's met bevestigings-, uitnodigings- of resetlinks, de tweefactoraanmelding en resultaatpagina's van de telefoonnummercheck. Clarity plaatst daarvoor de cookies _clck (identificatie, tot 1 jaar) en _clsk (samenvoegen van paginaweergaven van één sessie, 1 dag); Microsoft kan daarnaast de cookies CLID, MUID, ANONCHK, MR en SM gebruiken.

Rechtsgrondslag is uw toestemming (§ 25 lid 1 TDDDG, art. 6 lid 1 sub a AVG). Microsoft kan gegevens naar de VS doorgeven; de Microsoft Corporation is gecertificeerd volgens het EU-US Data Privacy Framework (adequaatheidsbesluit, art. 45 AVG), aanvullend gelden EU-standaardcontractbepalingen. Microsoft verwerkt de gegevens ook voor eigen doeleinden, zoals de verbetering van zijn diensten; meer informatie: privacy.microsoft.com en Cookielijst van Clarity. De gegevens worden bij Clarity uiterlijk na 13 maanden verwijderd.

Herroeping: U kunt uw toestemming te allen tijde met werking voor de toekomst intrekken door in de voettekst op „Cookie-instellingen” klikken en „Alleen noodzakelijke” kiezen. Clarity wordt dan niet meer geladen en de cookies ervan worden verwijderd. Weigeren heeft geen enkel nadeel voor het gebruik van onze website.

5. Registratie en klantaccount

Voor het gebruik van de klantomgeving is een account vereist. Wij verwerken accounttype (particulier/bedrijf), voor- en achternaam, e-mailadres, een wachtwoord (uitsluitend als Argon2id-hash, nooit in leesbare tekst), bij bedrijven daarnaast bedrijfsnaam, domein, rol en optioneel btw-identificatienummer, alsmede tijdstip en IP-adres van de instemming met de algemene voorwaarden en privacyverklaring. Het e-mailadres wordt via een eenmalig te gebruiken, tijdelijk geldige link bevestigd. Optioneel kunt u tweefactorauthenticatie (TOTP) activeren; het bijbehorende geheim wordt versleuteld opgeslagen. Rechtsgrondslag: art. 6 lid 1 sub b AVG (overeenkomst resp. precontractuele maatregelen). Mislukte inlogpogingen worden ter bescherming tegen misbruik 30 dagen gelogd (art. 6 lid 1 sub f AVG).

6. Opdrachtgegevens: vindplaatsen, dossiers, bewakingsobjecten

Voor de levering van onze dienst verwerken wij de gegevens die u ons voor de opdracht verstrekt of die wij in het kader van het onderzoek registreren: namen, e-mailadressen, domeinen, telefoon- en faxnummers, adressen, vindplaatsen (bron, URL, gegevenscategorieën, risico-indeling, status), dossiers (type, wederpartij, communicatie, termijnen, gebeurtenislogboek) en bewijsstukken. Het beginsel van dataminimalisatie geldt: wij verzamelen alleen wat voor de betreffende opdracht noodzakelijk is. Rechtsgrondslag: art. 6 lid 1 sub b AVG. Voor zover u gegevens van derden (bijv. afzenders van reclamefaxen) invoert, verwerken wij deze op grond van art. 6 lid 1 sub f AVG ter behartiging van uw gerechtvaardigde belangen bij de uitoefening van uw rechten.

7. Lekcontrole (Have I Been Pwned)

Voor de controle van e-mailadressen en geverifieerde domeinen op bekende datalekken gebruiken wij de API van de dienst „Have I Been Pwned” (Superlative Enterprises Pty Ltd, Australië). De opvraging gebeurt uitsluitend op de server via een eigen API-sleutel; aan de dienst wordt het te controleren e-mailadres resp. domein doorgegeven. De resultaten (leknaam, datum, gegevenscategorieën) slaan wij versleuteld op en tonen wij alleen aan de bevoegde gebruiker en de verantwoordelijke behandelaar. Tijdelijk opgeslagen antwoorden worden uiterlijk na 7 dagen verwijderd. Domeincontroles vereisen het bewijs van domeineigendom. Rechtsgrondslag: art. 6 lid 1 sub b AVG; voor doorgifte naar derde landen baseren wij ons op de standaardcontractbepalingen van de aanbieder (art. 46 lid 2 sub c AVG).

Wachtwoordcheck: De controle van een wachtwoord tegen de databank „Pwned Passwords” verloopt volledig in uw browser. Er wordt alleen een vijftekens prefix van de SHA-1-hash naar api.pwnedpasswords.com gestuurd (k-anonimiteit); de vergelijking vindt lokaal plaats. Noch het wachtwoord, noch de volledige hash, het prefix, het resultaat of uw IP-adres wordt door ons opgeslagen of gelogd.

8. Betalingsverwerking (Stripe)

Betaalde pakketten worden via Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Ierland, gefactureerd. Bij boeking wordt u doorgestuurd naar Stripe Checkout; daar voert u betaalgegevens rechtstreeks bij Stripe in. Wij slaan geen creditcard- of rekeninggegevens op. Aan Stripe geven wij e-mailadres, naam resp. bedrijfsnaam, interne klant-, organisatie- en pakketidentificaties, factuuradres en eventueel btw-identificatienummer door. Van Stripe ontvangen wij status- en factuurgegevens (abonnementsstatus, factuurnummer, bedrag, betalingsstatus). Facturen, betaalgegevens, pakketwijziging en opzegging beheert u in het Stripe Customer Portal. Rechtsgrondslag: art. 6 lid 1 sub b AVG en art. 6 lid 1 sub c AVG (fiscale en handelsrechtelijke bewaarplicht). Stripe kan gegevens naar derde landen doorgeven en baseert zich daarbij op EU-standaardcontractbepalingen. Meer informatie: stripe.com/de/privacy.

9. Documentuploads, virusscan en tekstherkenning

U kunt bewijsstukken (PDF, PNG, JPG, EML) uploaden. Elk bestand wordt op de server op zijn werkelijke bestandstype gecontroleerd, vóór vrijgave lokaal met ClamAV op malware onderzocht en in een privéopslag buiten de webmap bewaard. Ophalen is alleen mogelijk na rechtencontrole via kortlevende, ondertekende links. Reclamefaxen worden lokaal met Tesseract (tekstherkenning) geanalyseerd om afzender, faxnummer, datum en referentie te registreren; de herkende tekst wordt versleuteld opgeslagen. Er worden geen externe OCR- of clouddiensten gebruikt. Rechtsgrondslag: art. 6 lid 1 sub b AVG.

10. Inzageverzoek met volmacht: identiteitsbewijs en bewijs van vertegenwoordiging

Op uw verzoek oefenen wij uw rechten als betrokkene niet alleen als bode uit, maar treden wij met een door u verleende volmacht zelf op tegenover kredietinformatiebureaus, adressenhandelaars en bedrijvendatabanken. Daarvoor verwerken wij aanvullend:

• Volmacht: Uw verklaring, uw naam, plaats en datum, uw in de browser gezette handtekening en – als bewijs van ondertekening – tijdstip, IP-adres en browserkenmerk. Daaruit maken wij een akte als PDF en slaan wij de controlesom ervan op.
• Identiteitsbewijs: de door u geüploade kopie van uw identiteitsdocument. De aangeschreven instanties mogen bij gegronde twijfel aan uw identiteit een bewijs verlangen (art. 12 lid 6 AVG). Wij verzoeken u uitdrukkelijk alle niet-benodigde gegevens zwart te maken; vereist zijn alleen naam, geboortedatum, adres en geldigheid.
• Bij bedrijven aanvullend: het bewijs van uw vertegenwoordigingsbevoegdheid (bijv. uittreksel uit het handelsregister) en uw functie in het bedrijf.

Volmacht en identiteitsbewijs verstrekken wij uitsluitend aan de door u geselecteerde instanties en uitsluitend samen met het betreffende inzageverzoek. Elke verstrekte kopie draagt een zichtbare vermelding van doel en ontvanger en is daarmee als kopie gemarkeerd (§ 20 lid 2 Duitse Personalausweisgesetz). Gebruik voor andere doeleinden vindt niet plaats.

Verwijdering: Identiteits- en vertegenwoordigingsbewijzen verwijderen wij zodra alle aangeschreven instanties hebben geantwoord, uiterlijk 90 dagen na het begin van de ronde, bij intrekking direct – het bestand wordt daarna binnen 7 dagen definitief verwijderd. De volmachtakte bewaren wij als bewijs van onze opdracht.

Herroeping: U kunt de volmacht te allen tijde zonder opgave van redenen in de klantomgeving of vormvrij per e-mail intrekken (§ 168 BGB). Nog niet verzonden brieven stoppen wij dan direct.

Rechtsgrondslag: art. 6 lid 1 sub b AVG (uitvoering van de met u gesloten overeenkomst) en art. 6 lid 1 sub c AVG, voor zover de aangeschreven instantie het identiteitsbewijs verlangt. Het overleggen van het identiteitsbewijs is vrijwillig; zonder dit kunnen wij de verzending namens u echter niet overnemen – u kunt de brieven in dat geval zelf verzenden.

11. E-mailverzending

Transactiemails (bevestigingslinks, wachtwoordreset, termijnherinneringen, dossiermeldingen, factuurmeldingen) en uitgaande verzoeken aan wederpartijen verzenden wij via een SMTP-server van een Duitse hostingprovider waarmee een verwerkersovereenkomst bestaat. Wij loggen ontvanger, onderwerp, tijdstip en bezorgstatus, niet de inhoud. Rechtsgrondslag: art. 6 lid 1 sub b AVG.

12. Interne meldingen

Om snel te kunnen reageren op nieuwe registraties, betalingen of contactverzoeken ontvangt ons team interne meldingen via de messenger Telegram. Deze meldingen bevatten uitsluitend gebeurtenistypes en eventueel de naam van een organisatie, geen vindplaatsen, lekresultaten, documenten of contactgegevens van particulieren.

13. Contactformulier en e-mailcontact

Als u ons via het contactformulier of per e-mail schrijft, verwerken wij uw gegevens (naam, e-mailadres, onderwerp, bericht, IP-adres, tijdstip) voor de behandeling van het verzoek. Rechtsgrondslag: art. 6 lid 1 sub b AVG resp. art. 6 lid 1 sub f AVG. Verzoeken worden na definitieve afhandeling, uiterlijk na 12 maanden, verwijderd, tenzij wettelijke bewaarplichten zich daartegen verzetten.

14. Gebeurtenislogboek en auditlog

Beveiligingsrelevante acties (aanmeldingen, statuswijzigingen, rechtenwijzigingen, downloads, exports, beheeracties) worden vastgelegd in een manipulatiebestendig, onveranderlijk logboek met tijdstip, handelende persoon, betrokken record en IP-adres. Dit dient de traceerbaarheid van uw dossiers, de beveiliging en de nakoming van onze verantwoordingsplicht (art. 5 lid 2, art. 32 AVG; art. 6 lid 1 sub c en f AVG).

15. Ontvangers en verwerking door verwerkers

Ontvangers van persoonsgegevens zijn uitsluitend: onze hostingprovider (Hetzner), onze e-mailprovider, Stripe (betalingsverwerking), Have I Been Pwned (lekvergelijking), Microsoft (bezoekersstatistiek, alleen met toestemming) alsmede – in het kader van de door u opgedragen dossiers – de betreffende wederpartijen (bijv. datahandelaren, registerbeheerders, adverteerders) aan wie wij namens u inzage-, bezwaar- of verwijderingsverzoeken richten. Met dienstverleners bestaan verwerkersovereenkomsten conform art. 28 AVG. Doorgifte voor reclamedoeleinden vindt niet plaats.

16. Bewaartermijn en verwijdering

• Accountgegevens: tot verwijdering van het account; daarna 30 dagen respijt, vervolgens definitieve verwijdering.
• Dossiers, vindplaatsen en bewijsstukken: tot 3 jaar na afsluiting van het dossier, daarna geautomatiseerde verwijdering via geplande verwijderingstaken; op verzoek eerder.
• Factuur- en betaalgegevens: 10 jaar conform § 147 AO en § 257 HGB.
• Toestemmingsstatus (zds_consent): 6 maanden. Statistiekgegevens bij Microsoft Clarity: maximaal 13 maanden.
• Tijdelijk opgeslagen lekantwoorden: 7 dagen. Mislukte inlogpogingen: 30 dagen. Serverlogboeken: 14 dagen.
• Door u verwijderde documenten: 30 dagen respijt, daarna definitief verwijderd.
• Identiteits- en vertegenwoordigingsbewijzen van het inzageverzoek: tot de afsluiting van de ronde, maximaal 90 dagen, daarna 7 dagen respijt. Volmachtakten: 3 jaar als bewijs van de opdracht.

17. Beveiliging

Wij nemen technische en organisatorische maatregelen conform art. 32 AVG: transportversleuteling (TLS, HSTS), versleuteling van bijzonder gevoelige velden (tweefactorgeheimen, lekresultaten, OCR-teksten) met AES-256-GCM, Argon2id-wachtwoordhashes, serversessies, CSRF-bescherming, Content Security Policy, snelheidsbeperking, gehardende systeemdiensten, strikte scheiding van klantomgevingen, dagelijkse versleutelde back-ups en regelmatige hersteltests. Vanwege de bijzondere gevoeligheid van resultaat- en lekgegevens is vóór de ingebruikname een gegevensbeschermingseffectbeoordeling conform art. 35 AVG uitgevoerd.

18. Uw rechten

U hebt recht op inzage (art. 15 AVG), rectificatie (art. 16), verwijdering (art. 17), beperking van de verwerking (art. 18), overdraagbaarheid van gegevens (art. 20) en bezwaar tegen verwerkingen op grond van art. 6 lid 1 sub f AVG (art. 21). Gegeven toestemmingen kunt u te allen tijde met werking voor de toekomst intrekken. Wend u daarvoor tot kontakt@zentrale-datenschutzstelle.de. Bovendien hebt u het recht een klacht in te dienen bij een toezichthoudende autoriteit voor gegevensbescherming (art. 77 AVG), met name bij de voor uw woonplaats of voor onze vestigingsplaats bevoegde (Duitse) deelstaatfunctionaris voor gegevensbescherming.

19. Geen geautomatiseerde besluitvorming

De risico-indeling van vindplaatsen en lekmeldingen dient uitsluitend ter informatie en prioritering. Er vindt geen geautomatiseerde besluitvorming met rechtsgevolgen in de zin van art. 22 AVG plaats.

20. Wijzigingen

Wij passen deze privacyverklaring aan wanneer onze diensten of de wetgeving veranderen. De actuele versie is te vinden onder https://zentrale-datenschutzstelle.de/datenschutz te raadplegen.

Stand: 12.09.2026