Datenschutzerklärung

1. Überblick

Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten nach dieser Erklärung ist:

nebty GmbH
c/o BASE Coworking
Blütenstr. 15
80799 München
E-Mail: [email protected]

Für alle Fragen zum Datenschutz und für Anträge zu Ihren Rechten schreiben Sie bitte an diese Adresse.

Wofür diese Erklärung gilt

Diese Erklärung gilt für:

• die Website nebty-id.com,
• die kostenlosen Tools, also den Website-Scanner, die Domain-Abfrage, die API und den MCP-Server unter tools.nebty-id.com, die DoppelCart-Suche und den Impersonation Explorer,
• die nebty Plattform unter dash.nebty.de mit ihrer Schnittstelle app.nebty.de und dem MCP-Server mcp.nebty-id.com.

Personenbezogene Daten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen, zum Beispiel Name, E-Mail-Adresse oder IP-Adresse.

Wann wir im Auftrag unserer Kunden handeln

Wenn unsere Kunden Monitoring oder Takedowns nutzen, verarbeiten wir die dabei anfallenden Daten Dritter in deren Auftrag. Verantwortlich ist dann der Kunde. Grundlage ist unser Auftragsverarbeitungsvertrag. Abschnitt 6 beschreibt diese Verarbeitung, damit betroffene Personen wissen, was geschieht.

2. Besuch der Website

Hosting und Auslieferung

Die Website liegt bei Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA (Cloudflare Pages). Wenn Sie eine Seite aufrufen, verarbeitet Cloudflare technisch notwendige Daten: Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, die zuvor besuchte Seite (Referrer) sowie Browser und Betriebssystem. Cloudflare nutzt diese Daten, um die Seite auszuliefern und Angriffe abzuwehren. Dafür kann Cloudflare das Cookie __cf_bm setzen. Wir selbst speichern für die Website keine Logdateien.

Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und schnellen Website (Art. 6 Abs. 1 lit. f DSGVO). Das Cookie ist für diesen Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Cloudflare ist nach dem EU-U.S. Data Privacy Framework zertifiziert.

KI-Assistenten über MCP verbinden

Wenn Sie einen Assistenten wie Claude (Anthropic) oder ChatGPT (OpenAI) verbinden, wählen Sie den Anbieter, der Ergebnisse von nebty erhält. OAuth speichert Ihre Freigabe, den Client, erlaubte Rechte und Verbindungsaktivität. Die Verbindung kann für Ihr Konto zugängliche Kontometadaten, Brand-Datensätze und Monitoring-Findings abrufen, darunter öffentliche Profile, Belegbeschreibungen und Notizen. Sie kann auch Status und Verlauf bestehender Takedowns lesen. Wir begrenzen Ergebnisse auf geprüfte Felder. Beliebige personenbezogene Angaben innerhalb einer Belegbeschreibung oder Notiz werden nicht automatisch entfernt.

Zweck ist die von Ihnen angefragte Integration (Art. 6 Abs. 1 lit. b DSGVO). Der gewählte Assistentenanbieter verarbeitet die Ergebnisse nach seinen eigenen Bedingungen und Datenschutzhinweisen. Seine Speicherdauer und internationale Übermittlungen hängen von Ihrem Tarif und Ihren Einstellungen ab. Prüfen Sie diese Hinweise und die Regeln Ihrer Organisation vor der Verbindung. OAuth-Zugangsdaten dienen der Authentifizierung und werden nicht in Toolergebnisse aufgenommen. Geben Sie keine Zugangsdaten in einen Chat ein.

Bei einer Kontoanmeldung während der Verbindung speichern wir den Anmelde- und Verbindungskontext vorübergehend, damit Sie Ihre E-Mail bestätigen und den Checkout abschließen können. Notwendige Cookies binden diese Schritte an Ihren Browser (§ 25 Abs. 2 Nr. 2 TDDDG). Verbindungsdatensätze speichern wir mit dem Konto; es gelten die unten beschriebenen Aufbewahrungsregeln der Plattform. Sie können den Zugriff in den Dashboard-Einstellungen widerrufen oder die Verbindung im Assistenten trennen. Der Widerruf blockiert die künftige Nutzung dieser Verbindung. Er löscht keine bereits beim Anbieter gespeicherten Ergebnisse und macht abgeschlossene Aktionen nicht rückgängig. Die Löschung des Kontos können Sie per E-Mail verlangen.

Speicher im Browser

Die Website speichert einige Einträge im Speicher Ihres Browsers (localStorage und sessionStorage): Ihre Entscheidung im Cookie-Banner mit Datum, Ihre Sprache, die gewählte Währung auf der Preisseite und für einen Moment das Ergebnis eines Website-Scans. Diese Einträge sind für die von Ihnen gewünschten Funktionen erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und verlassen Ihr Gerät nicht. Wenn Sie die Anzeigenmessung erlauben, behält die Website zusätzlich die Klick-ID einer Anzeige für den aktuellen Tab (siehe „Conversion-Tracking von Google Ads“ unten). Alle Einträge mit Zweck und Dauer stehen in der Cookie-Richtlinie.

Reichweitenmessung mit Ahrefs Web Analytics

Wir messen die Nutzung der Website mit Ahrefs Web Analytics der Ahrefs Pte. Ltd., Singapur. Das Skript lädt von analytics.ahrefs.com, auch auf unseren Kurzlink-Seiten. Dabei erhält Ahrefs Ihre IP-Adresse, die aufgerufene Seite, den Referrer, Browser, Betriebssystem und Gerätetyp. Ahrefs setzt keine Cookies und speichert nichts auf Ihrem Gerät.

Nach Angaben von Ahrefs wird aus IP-Adresse und Browserkennung zusammen mit einem täglich wechselnden Zufallswert ein Hashwert gebildet. Die IP-Adresse selbst speichert Ahrefs nicht, und der Zufallswert wird nach 24 Stunden gelöscht. Wir sehen nur zusammengefasste Zahlen, zum Beispiel Besuche je Seite, Herkunftsland und Quelle.

Rechtsgrundlage ist unser berechtigtes Interesse, die Reichweite unserer Inhalte zu messen und die Website zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Für Singapur gibt es keinen Angemessenheitsbeschluss der EU-Kommission. Die Übermittlung stützt sich auf die Standardvertragsklauseln der EU-Kommission, die wir mit Ahrefs vereinbart haben. Sie können der Messung nach Art. 21 DSGVO widersprechen. Technisch verhindern Sie sie, indem Sie analytics.ahrefs.com in Ihrem Browser blockieren.

Apollo.io (nur mit Einwilligung)

Wenn Sie im Cookie-Banner einwilligen, laden wir den Website-Tracker der ZenLeads, Inc. (Apollo.io), 440 N Barranca Ave #4750, Covina, CA 91723, USA. Der Tracker erfasst besuchte Seiten, IP-Adresse, Browser- und Geräteangaben sowie den Referrer und setzt dafür Cookies. Apollo.io ordnet die IP-Adresse einem Unternehmen zu. So sehen wir, welche Unternehmen unsere Website besuchen, und unser Vertrieb kann sie ansprechen.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Die Einwilligung gilt zwölf Monate. Sie können sie jederzeit für die Zukunft widerrufen, über „Cookie-Einstellungen“ im Footer jeder Seite. Ohne Einwilligung lädt der Tracker nicht. Apollo.io verarbeitet die Daten in den USA und ist nach dem EU-U.S. Data Privacy Framework zertifiziert. Mit Apollo.io haben wir einen Auftragsverarbeitungsvertrag geschlossen.

Conversion-Tracking von Google Ads (nur mit Einwilligung)

Wir schalten Anzeigen bei Google. Wenn Sie im Cookie-Banner die „Anzeigenmessung“ erlauben, laden wir für das Conversion-Tracking von Google Ads das Google-Tag der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Es zeigt uns, welche Anzeigenklicks zu einer Takedown-Anfrage, einer Demo-Buchung oder einer Testanmeldung führen, damit wir sehen, welche Anzeigen sich lohnen. Ohne Ihre Einwilligung lädt das Google-Tag nicht, und diese Website sendet nichts an Google Ads.

Wenn Sie über eine unserer Anzeigen auf die Website kommen, hängt Google eine Klick-ID (gclid, gbraid oder wbraid) an die Adresse. Mit Ihrer Einwilligung speichert das Google-Tag sie in Cookies auf nebty-id.com, und wir behalten sie im Sitzungsspeicher Ihres Browsers, bis Sie den Tab schließen. Senden Sie danach eine Takedown-Anfrage ab oder klicken Sie auf den Link zur Demo-Buchung, meldet das Tag diese Conversion mit Klick-ID, Zeitpunkt und Art der Conversion an Google. Dabei erhält Google Ihre IP-Adresse, Browser- und Geräteangaben und die Adresse der Seite. In Google Ads sehen wir nur zusammengefasste Zahlen, zum Beispiel wie viele Conversions eine Anzeige gebracht hat.

Wir nutzen die Daten nicht für Remarketing und nicht für personalisierte Werbung auf Grundlage Ihres Verhaltens auf unserer Website. Anzeigenpersonalisierung und Google Signals sind im Tag abgeschaltet. Google verarbeitet die Daten als eigener Verantwortlicher nach den Google Ads Controller-Controller Data Protection Terms.

Wenn Sie auf „Kostenlos testen“ klicken, umfasst dieselbe Einwilligung die Übergabe des Anzeigenklicks an unsere Plattform dash.nebty.de. Der Link trägt dann die Klick-ID und einen Hinweis, dass Sie auf der Website eingewilligt haben. Auf der Plattform meldet das Google-Tag eine abgeschlossene Registrierung als Conversion an Google Ads und kann die Google-Ads-Cookies auch auf dash.nebty.de setzen. Ohne Ihre Einwilligung trägt der Link beides nicht, und die Plattform lädt das Google-Tag nicht.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Die Einwilligung gilt zwölf Monate. Sie können sie jederzeit für die Zukunft widerrufen, über „Cookie-Einstellungen“ im Footer jeder Seite. Nach einem Widerruf sendet die Website keine weiteren Conversions und löscht die Google-Ads-Cookies auf nebty-id.com und die gespeicherte Klick-ID. Google kann Daten an die Google LLC in den USA übermitteln. Google LLC ist nach dem EU-U.S. Data Privacy Framework zertifiziert; zusätzlich hat Google für diese Übermittlungen Standardvertragsklauseln vereinbart.

Videos von YouTube

Einige Seiten zeigen Videos von YouTube. Wir laden das Video erst, wenn Sie auf das Vorschaubild klicken. Vorher fließen keine Daten an YouTube. Nach dem Klick lädt der Player von youtube-nocookie.com, einem Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google erhält dann Ihre IP-Adresse, die Seite und Browserangaben und kann Daten in Ihrem Browser speichern.

Rechtsgrundlage ist Ihre Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Google kann Daten an die Google LLC in den USA übermitteln; Google LLC ist nach dem EU-U.S. Data Privacy Framework zertifiziert.

Website-Symbole von Google

Der Website-Scanner, die Domain-Abfrage und die Plattform zeigen neben Domains deren Symbol (Favicon). Diese Symbole lädt Ihr Browser vom Dienst www.google.com/s2/favicons. Dabei erhält Google den Namen der angezeigten Domain, Ihre IP-Adresse und Browserangaben. Rechtsgrundlage ist unser berechtigtes Interesse an einer übersichtlichen Darstellung (Art. 6 Abs. 1 lit. f DSGVO). Anbieter ist die Google Ireland Limited; für Übermittlungen an die Google LLC gilt das EU-U.S. Data Privacy Framework.

Wechselkurse

Die Kostenrechner auf unseren Vergleichsseiten laden den aktuellen Wechselkurs von api.frankfurter.dev, einem offenen Dienst auf Basis der Kurse der Europäischen Zentralbank. Dabei erreicht Ihre IP-Adresse den Betreiber und seinen Netzwerkdienstleister Cloudflare. Der Betreiber gibt an, keine IP-Adressen zu speichern. Wir übermitteln keine Eingaben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

3. Kontakt, Termine und Formulare

Kontakt per E-Mail

Wenn Sie uns eine E-Mail schreiben, verarbeiten wir Ihre Adresse, Ihren Namen und den Inhalt, um Ihre Anfrage zu beantworten. Unsere Postfächer liegen bei Google Workspace (Google Cloud EMEA Limited, Dublin, Irland). Rechtsgrundlage ist die Anbahnung oder Durchführung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO) oder unser berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO).

Terminbuchung

Für Demo-Termine verlinken wir auf eine Buchungsseite von Notion Calendar. Wenn Sie dort einen Termin buchen, verarbeitet die Notion Labs, Inc., USA, Ihren Namen, Ihre E-Mail-Adresse, den Termin und Ihre Notizen für uns. Wir übernehmen die Angaben in unser Kundenverwaltungssystem in Notion. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Notion ist nach dem EU-U.S. Data Privacy Framework zertifiziert; mit Notion haben wir einen Auftragsverarbeitungsvertrag geschlossen.

Report-Anmeldung und Takedown-Anfrage

Über unsere Formulare können Sie einen kostenlosen nebty Report anfordern oder einen Takedown anfragen. Wir verarbeiten dabei:

• beim Report: Name, Unternehmen, E-Mail-Adresse, Domain, Ihre Notiz, Sprache, Herkunftsseite und Zeitpunkt,
• bei der Takedown-Anfrage: Unternehmen, E-Mail-Adresse, Art der Anfrage, die beanstandete Adresse, Ihre Original-Domain, Ihre Beschreibung, Sprache, Herkunftsseite und Zeitpunkt.

Die Formulare senden die Angaben an unseren Automatisierungsserver (n8n) bei der Hetzner Online GmbH in Finnland. Von dort speichern wir sie in unserem Kundenverwaltungssystem in Notion. Wir nutzen die Angaben, um den Report zu erstellen oder die Anfrage zu bearbeiten und Sie dazu zu kontaktieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

4. Kostenlose Tools

Website-Scanner, Domain-Abfrage, API und MCP-Server

Der Website-Scanner und die Domain-Abfrage laufen unter tools.nebty-id.com, ebenso die API und der MCP-Server. Der Dienst läuft bei Cloudflare (Cloudflare Workers); dort liegen auch die Datenbank und die gespeicherten Dateien. Für einen Scan ruft unser Erfassungsdienst auf Servern der Hetzner Online GmbH in Deutschland die angegebene Seite auf. Er nutzt dafür Proxy-Server der Oxylabs, UAB, Vilnius, Litauen.

Wir verarbeiten dabei:

• die Adresse, die Sie eingeben, und die erzeugte Momentaufnahme (Snapshot) mit Screenshot, Quelltext und Seitentext,
• öffentliche Angaben zur Domain aus DNS und Registrierungsdatenbanken (RDAP), darunter Abuse-Kontaktadressen der Provider,
• Ihre IP-Adresse, um die Zahl anonymer Scans zu begrenzen. Wir speichern dazu je IP-Adresse einen Zähler für die laufende Minute, den jede neue Anfrage überschreibt,
• bei Nutzung eines API-Schlüssels den Schlüssel, damit wir Ihnen private Scans zuordnen können,
• technische Protokolle der Anfragen bei Cloudflare.

Snapshots sind standardmäßig öffentlich. Jede Person mit dem Link kann sie abrufen, und sie erscheinen im durchsuchbaren Archiv. Rechtsgrundlage für den Scan ist die Nutzung des Dienstes nach unseren Nutzungsbedingungen (Art. 6 Abs. 1 lit. b DSGVO). Die Begrenzung über die IP-Adresse und die Protokolle beruhen auf unserem berechtigten Interesse, den Dienst vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO).

Personen auf gescannten Seiten

Ein Snapshot zeigt eine fremde Website so, wie sie öffentlich abrufbar war. Er kann deshalb personenbezogene Daten enthalten, die dort standen, etwa Namen, Kontaktdaten oder Fotos. Quelle dieser Daten ist die gescannte, öffentlich zugängliche Website. Wir speichern Snapshots, um verdächtige Websites nachprüfbar zu dokumentieren, damit Nutzer Betrug und Phishing erkennen und belegen können. Rechtsgrundlage ist dieses berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Wenn Sie auf einem Snapshot vorkommen, können Sie der Verarbeitung widersprechen und die Löschung verlangen. Schreiben Sie dazu an [email protected] und nennen Sie die Scan-ID oder die Adresse. Snapshots bleiben gespeichert, bis sie auf Antrag oder durch uns gelöscht werden.

DoppelCart-Suche

Die Suche in unserer DoppelCart-Recherche sendet Ihren Suchbegriff an investigations.nebty-id.com. Der Dienst läuft bei Cloudflare und nutzt Ihre IP-Adresse kurzzeitig, um die Zahl der Anfragen zu begrenzen. Die Seiten unter investigations.nebty-id.com zählen Aufrufe mit Cloudflare Web Analytics, ohne Cookies. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Lookalike-Check

Der Lookalike-Check auf der Startseite berechnet mögliche gefälschte Domains in Ihrem Browser. Ihre Eingabe verlässt Ihr Gerät dabei nicht. Wenn Sie danach einen Report anfordern, übernehmen wir die Domain in das Formular.

5. Die nebty Plattform

Hosting

Die Plattform unter dash.nebty.de, ihre Schnittstelle app.nebty.de, die Datenbank und der Speicher für Screenshots und Beweismittel laufen auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in Rechenzentren in Deutschland. Der MCP-Server unter mcp.nebty-id.com läuft bei Cloudflare und leitet Anfragen an die Plattform weiter.

Registrierung und Konto

Für ein Konto verarbeiten wir Ihre E-Mail-Adresse und Ihr Passwort. Das Passwort speichern wir nur als Hashwert. Wenn Sie sich mit Google registrieren, erhalten wir zusätzlich Ihren Namen. Zur Bestätigung senden wir Ihnen einen Link per E-Mail. Damit sich keine Bots registrieren, prüft Cloudflare Turnstile die Anmeldung; Cloudflare erhält dafür Ihre IP-Adresse und Browserangaben.

Rechtsgrundlage für das Konto ist der Vertrag mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO), für Turnstile unser berechtigtes Interesse am Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Wir speichern die Kontodaten, solange das Konto besteht. Die Löschung Ihres Kontos können Sie jederzeit per E-Mail verlangen.

Anmeldung

Sie melden sich mit Passwort, mit einem Link per E-Mail (gültig 15 Minuten, wir speichern nur einen Hashwert) oder mit Google an. Bei der Anmeldung mit Google erhalten wir von der Google Ireland Limited Ihren Namen, Ihre E-Mail-Adresse und eine Kennung Ihres Google-Kontos. Optional schützen Sie Ihr Konto mit einem Code per E-Mail als zweitem Faktor. Für den Zugriff über API oder KI-Assistenten (MCP) speichern wir API-Schlüssel und Zugangstoken nur als Hashwert bzw. mit begrenzter Laufzeit sowie den Zeitpunkt der letzten Nutzung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Speicher im Browser der Plattform

Die Plattform speichert in Ihrem Browser Ihre Anmeldung (Zugangstoken), Ihre Sprache, Ansichtseinstellungen und die Suchverläufe des Impersonation Explorers. Ein Cookie merkt sich sieben Tage lang, ob die Seitenleiste geöffnet ist. Diese Einträge sind für die Funktionen erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Nach 30 Minuten ohne Aktivität meldet die Plattform Sie ab. Die Plattform lädt ihre Schriftart von Google Fonts; Google erhält dabei Ihre IP-Adresse (Art. 6 Abs. 1 lit. f DSGVO).

Protokolle und Fehlerüberwachung

Bei jeder Anfrage an die Plattform protokollieren unsere Server IP-Adresse, Browser, Benutzerkennung, aufgerufene Adresse und Zeitpunkt. Die Protokolle werden fortlaufend überschrieben und nur kurz aufbewahrt. Um Angriffe auf Anmeldung und Schnittstellen abzuwehren, zählen wir Anfragen je IP-Adresse für eine Minute bis eine Stunde.

Fehler und Betriebsmeldungen senden wir an Sentry der Functional Software, Inc., USA. Sentry speichert die Daten in der EU. Die Meldungen enthalten technische Angaben und können Benutzerkennungen und E-Mail-Adressen enthalten. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Für einen Zugriff aus den USA gelten das EU-U.S. Data Privacy Framework und die Standardvertragsklauseln.

E-Mails der Plattform

Die Plattform versendet E-Mails über SendGrid der Twilio Inc., USA: Bestätigungen, Anmeldelinks und Codes, Einladungen, Treffermeldungen, Reports, Nachrichten zu Takedowns und die Bestätigung einer Vollmacht mit dem PDF im Anhang. Von jeder versandten E-Mail speichern wir eine Kopie mit Empfänger und Inhalt in der Plattform. Wir werten nicht aus, ob Sie eine E-Mail öffnen oder Links anklicken. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Twilio ist nach dem EU-U.S. Data Privacy Framework zertifiziert; zusätzlich gelten Standardvertragsklauseln.

Interne Benachrichtigungen

Über neue Anmeldungen zum Monitoring, über neue Takedown-Anträge und über Rückmeldungen zu Treffern informiert die Plattform unser Team in Slack. Je nach Anlass enthält die Nachricht den Firmennamen, die Brand, die Domain, den gewählten Tarif mit Preis, Name und Funktion der unterzeichnenden Person und die E-Mail-Adresse des Nutzers. So können wir neue Kunden beim Start begleiten, Anmeldungen prüfen und Takedowns zügig bearbeiten. Rechtsgrundlage ist unser berechtigtes Interesse an der Betreuung unserer Kunden (Art. 6 Abs. 1 lit. f DSGVO). Slack ist nach dem EU-U.S. Data Privacy Framework zertifiziert.

Vertrag, Onboarding und Zahlung

Für den Vertragsschluss verarbeiten wir Firmenname, Anschrift, Land, Umsatzsteuer-ID sowie Name und Funktion der unterzeichnenden Person. Die Annahme der AGB und der Vollmacht speichern wir mit Zeitpunkt und IP-Adresse als Nachweis. Was wir zur Vollmacht für Takedowns zusätzlich speichern, steht unter „Nachweis der Vollmacht für Takedowns“. Zahlungen wickelt die Stripe Payments Europe, Ltd., Dublin, Irland, ab. Stripe erhebt dafür Rechnungsname, Anschrift, E-Mail-Adresse, Umsatzsteuer-ID und Zahlungsdaten und ist für die Zahlungsabwicklung selbst verantwortlich. Wir speichern nur Kennungen, Abonnement- und Rechnungsdaten.

Rechtsgrundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO) und für Rechnungen unsere gesetzliche Aufbewahrungspflicht (Art. 6 Abs. 1 lit. c DSGVO). Stripe kann Daten an die Stripe, Inc. in den USA übermitteln; Stripe ist nach dem EU-U.S. Data Privacy Framework zertifiziert.

Nachweis der Vollmacht für Takedowns

Mit den AGB für Takedown Services erteilen Sie uns die Vollmacht, in Ihrem Namen gegenüber Providern, Registraren und Plattformen aufzutreten (§ 3 der AGB). Wenn Sie diese AGB annehmen, erstellt die Plattform ein PDF als Nachweis. Es enthält Firmenname, Anschrift und Land, Name, Funktion und E-Mail-Adresse der unterzeichnenden Person, den Wortlaut der Vollmacht, Zeitpunkt, IP-Adresse und Browserkennung (User-Agent) der Bestätigung sowie Adresse, Fassung und vollständigen Text der AGB. Diese Angaben speichern wir auch in der Plattform, zusammen mit einer Prüfsumme (SHA-256) des PDFs. Mit der Prüfsumme können wir später zeigen, dass das PDF unverändert ist.

Das PDF liegt bei der Hetzner Online GmbH in Deutschland in einem Speicher, der es zehn Jahre lang gegen Änderung und Löschung sperrt. Eine Kopie senden wir per E-Mail an die unterzeichnende Person. Verlangt ein Provider oder eine Plattform einen Nachweis der Bevollmächtigung, übermitteln wir ihn, soweit dies zur Bearbeitung des Takedowns erforderlich ist. Für Übermittlungen außerhalb des Europäischen Wirtschaftsraums gelten die Voraussetzungen in Abschnitt 6.

Wir erstellen und verwenden den Nachweis, um die beauftragten Takedowns durchzuführen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst unser Vertragspartner sind. Für die Daten vertretender Personen und die Aufbewahrung des Nachweises stützen wir uns auf unser berechtigtes Interesse, die erteilte Bevollmächtigung gegenüber Providern und Plattformen sowie bei Rechtsstreitigkeiten nachzuweisen (Art. 6 Abs. 1 lit. f DSGVO), soweit die Verarbeitung hierfür erforderlich ist und Ihre Interessen oder Grundrechte nicht überwiegen.

Sie können die Vollmacht jederzeit in Textform widerrufen. Der Widerruf wirkt für die Zukunft. Den Nachweis über die erteilte Vollmacht bewahren wir trotzdem mindestens zehn Jahre ab Erteilung auf, auch wenn Sie Ihr Konto oder die Brand löschen. Mit dem Ablauf der technischen Sperre löscht die Plattform den Nachweis nicht automatisch. Löschanfragen prüfen wir im Einzelfall. Soweit der Nachweis zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist, kann die Ausnahme nach Art. 17 Abs. 3 lit. e DSGVO einer Löschung entgegenstehen.

Impersonation Explorer

Mit dem Impersonation Explorer können Sie ohne Konto nach Fälschungen einer Brand suchen. Wir speichern den eingegebenen Brandnamen, die Domain und die Ergebnisse. Ihre IP-Adresse nutzen wir nur kurzzeitig, um die Zahl der Anfragen zu begrenzen. Für die Suche nutzen wir KI-Modelle und Dienste zum Abruf öffentlicher Inhalte (siehe Abschnitt 6). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

6. Daten Dritter in Monitoring und Takedown

Was wir für unsere Kunden verarbeiten

Unsere Kunden lassen von uns überwachen, ob ihre Brand online missbraucht wird, und lassen gefälschte Inhalte entfernen. Dabei verarbeiten wir Daten von Personen, die keine Kunden sind:

• Inhaber, Betreiber und Kontaktpersonen verdächtiger Websites, Profile und Anzeigen: Domain- und Registrierungsdaten, Inhalte und Screenshots, öffentliche Profildaten wie Name, Profilbild, Jobtitel und Profiladresse, Angaben zu Werbetreibenden,
• Beschäftigte unserer Kunden, soweit wir ihre öffentlichen Profile brauchen, um echte von gefälschten Profilen zu unterscheiden,
• Ansprechpartner bei Providern und Plattformen, an die wir Meldungen richten.

Diese Daten stammen aus öffentlich zugänglichen Quellen: Websites, Zertifikatsprotokollen, Registrierungsdatenbanken, sozialen Netzwerken und den Werbebibliotheken der Plattformen. Verantwortlich ist der jeweilige Kunde, für den wir nach dem Auftragsverarbeitungsvertrag handeln. Wenn Sie Ihre Rechte geltend machen wollen, können Sie sich auch an uns wenden. Wir leiten Ihr Anliegen an den Kunden weiter.

Bedrohungsindikatoren in eigener Verantwortung

Technische Merkmale betrügerischer Angebote, etwa Domains, URLs, IP-Adressen, Hashwerte sowie Hosting-Anbieter und Registrare, nutzen wir in eigener Verantwortung, um unsere Erkennung zu verbessern und andere Kunden vor denselben Angriffen zu schützen. Rechtsgrundlage ist unser berechtigtes Interesse daran (Art. 6 Abs. 1 lit. f DSGVO). Die Identität unserer Kunden geben wir dabei nicht preis.

Takedown-Meldungen

Für einen Takedown senden wir im Namen des Kunden Meldungen mit Beweismitteln an die zuständigen Stellen: Hosting-Anbieter, Registrare, Plattformen, Suchmaschinen und Betreiber von Sicherheits-Blacklists. Diese Stellen sitzen weltweit und verarbeiten die Meldungen in eigener Verantwortung. Übermittlungen außerhalb des Europäischen Wirtschaftsraums setzen einen Angemessenheitsbeschluss oder geeignete Garantien nach Art. 45 bzw. 46 DSGVO voraus. Fehlen diese, kommt Art. 49 Abs. 1 lit. e DSGVO nur für eine gelegentliche Übermittlung in Betracht, die zur Geltendmachung, Ausübung oder Verteidigung konkreter Rechtsansprüche erforderlich ist. Wir prüfen diese Voraussetzungen für die jeweilige Übermittlung und beschränken jede Meldung auf das Nötige.

Dienstleister in Monitoring und Takedown

Öffentliche Inhalte rufen wir über Bright Data Ltd. (Israel), Oxylabs, UAB (Litauen) und VostokInc SAS (ScrapingBee, Frankreich) ab. Treffer bewerten wir mit KI-Modellen der OpenAI Ireland Limited sowie über OpenRouter, Inc. (USA). OpenRouter leitet Anfragen an Anbieter von KI-Modellen weiter, die ihren Sitz auch außerhalb der EU haben, auch in Asien. An diese Dienste senden wir öffentliche Daten aus dem Monitoring und Angaben zur Brand des Kunden, keine Kontodaten. Die vollständige Liste steht unter Unterauftragsverarbeiter.

7. Empfänger und Übermittlung in Drittländer

Personenbezogene Daten erhalten nur die Dienstleister in dieser Tabelle und die in Abschnitt 6 genannten Stellen. Unsere Dienstleister verarbeiten Daten nur nach unseren Weisungen, außer Stripe bei der Zahlungsabwicklung. Behörden erhalten Daten nur, wenn wir gesetzlich dazu verpflichtet sind.

Das EU-U.S. Data Privacy Framework beruht auf einem Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO) und gilt für zertifizierte Unternehmen. Standardvertragsklauseln sind geeignete Garantien nach Art. 46 Abs. 2 lit. c DSGVO. Eine Kopie erhalten Sie auf Anfrage.

8. Speicherdauer

Wir speichern personenbezogene Daten, solange wir sie für den jeweiligen Zweck brauchen. Im Einzelnen:

• Kontodaten: solange das Konto besteht,
• Vertrags- und Rechnungsunterlagen: bis zum Ende der gesetzlichen Aufbewahrungsfristen von sechs bis zehn Jahren (§ 257 HGB, § 147 AO),
• Nachweise über eine erteilte Vollmacht für Takedowns: mindestens zehn Jahre ab Erteilung, auch nach einem Widerruf und nach Löschung des Kontos oder der Brand,
• Anfragen und Formulardaten: bis die Anfrage erledigt ist, bei einer Geschäftsbeziehung für deren Dauer,
• Server-Protokolle der Plattform: nur kurz, sie werden fortlaufend überschrieben,
• Zähler zur Begrenzung von Anfragen: eine Minute bis eine Stunde, beim Website-Scanner bis zur nächsten Anfrage derselben IP-Adresse,
• Ihre Entscheidung im Cookie-Banner: zwölf Monate,
• Google-Ads-Cookies auf nebty-id.com: bis zu 90 Tage, die Klick-ID im Sitzungsspeicher, bis Sie den Tab schließen; Google bewahrt Conversion-Daten nach eigenen Fristen auf,
• Snapshots des Website-Scanners: bis zur Löschung auf Antrag oder durch uns,
• Daten, die wir im Auftrag unserer Kunden verarbeiten: nach dem Auftragsverarbeitungsvertrag.

9. Ihre Rechte

Sie haben gegenüber uns folgende Rechte:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt,
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO).

Zuständige Aufsichtsbehörde für uns: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach. Sie können sich auch an die Aufsichtsbehörde Ihres Wohnorts oder Arbeitsplatzes wenden.

Widerspruchsrecht nach Art. 21 DSGVO

Verarbeiten wir Ihre Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Verarbeiten wir Ihre Daten für Direktwerbung, können Sie dem jederzeit ohne Angabe von Gründen widersprechen. Wir verwenden Ihre Daten dann nicht mehr für diesen Zweck.

Für einen Widerspruch genügt eine E-Mail an [email protected].

10. Weitere Angaben

Pflicht zur Bereitstellung

Sie müssen uns keine Daten geben. Ohne die Pflichtangaben können wir aber kein Konto anlegen, keinen Vertrag schließen und keine Anfrage bearbeiten.

Automatisierte Entscheidungen

Wir treffen keine automatisierten Entscheidungen nach Art. 22 DSGVO. KI-Bewertungen im Monitoring bereiten Entscheidungen vor. Einen Takedown beauftragt der Kunde.

Sicherheit

Alle Verbindungen zur Website, zu den Tools und zur Plattform sind per TLS verschlüsselt. Unsere technischen und organisatorischen Maßnahmen beschreibt Anlage 2 des Auftragsverarbeitungsvertrags.

Änderungen

Wir passen diese Erklärung an, wenn sich unsere Dienste oder die Rechtslage ändern. Es gilt die Fassung auf dieser Seite. Das Datum steht oben.