Datenschutzerklärung

HARWAY Experience GmbH
Ericusspitze 4
20457 Hamburg
Deutschland
E-Mail: info@harwayexperience.com

Wir verarbeiten personenbezogene Daten, die Sie uns aktiv übermitteln oder die technisch erforderlich sind, um LaunchCheck bereitzustellen. Dazu gehören:

• die eingegebene Adresse (URL) und das Ergebnis der Prüfung;
• Ihre E-Mail-Adresse, wenn Sie den Quick-Check kaufen, sich auf die Warteliste eintragen oder eine Review-Anfrage senden;
• Zahlungsdaten über Stripe;
• technische Zugriffsdaten (IP-Adresse, User-Agent, Zeitstempel);
• zusammengefasste Nutzungsdaten aus Vercel Web Analytics;
• Messpunkte (Ereignisse) mit Prüfungs-ID, ohne Adresse, E-Mail-Adresse, IP-Adresse und User-Agent.

Wenn Sie eine Adresse prüfen lassen, ruft unser Server die öffentlich erreichbaren Seiten der Adresse ab und lädt sie in einem Browser ohne Benutzerkonto, ohne Anmeldung und ohne Eingaben in Formulare. Wir prüfen, was von außen sichtbar ist, etwa Sicherheits-Header, öffentlich erreichbare Dateien, im Code ausgelieferte Schlüssel, geladene Dienste, Impressum und Datenschutzerklärung. Gefundene Schlüssel speichern wir nie im Klartext, sondern nur gekürzt (z. B. sk_live_••••3f9a) und als nicht umkehrbaren Hash. Den Seitentext speichern wir nicht.

Bei der Prüfung von Impressum und Datenschutzerklärung lesen wir die Angaben des Betreibers der geprüften Seite. Wir speichern nur, ob Angaben vorhanden sind, nicht die Angaben selbst.

Beim passiven Check lesen wir Antworten der Seite kurz im Speicher und speichern nur, ob Felder wie E-Mail vorkommen. Bei der Supabase-Prüfung speichern wir Tabellennamen und das Ergebnis (ohne Anmeldung lesbar oder nicht), keine Inhalte, 90 Tage.

Vor der Prüfung bestätigen Sie, dass Sie die Adresse betreiben oder zur Prüfung befugt sind. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, die angefragte Prüfung durchzuführen und Missbrauch zu verhindern).

Zum Schutz vor Missbrauch begrenzen wir die Zahl der Prüfungen je Adresse und je IP-Adresse. Dafür speichern wir Ihre IP-Adresse nur als nicht umkehrbaren Hash (HMAC mit geheimem Schlüssel) und löschen ihn nach 48 Stunden. Das gilt auch für Review-Anfragen und die Warteliste. Eine Prüfung derselben Adresse innerhalb von 3 Minuten zeigt unter Umständen das vorhandene Ergebnis.

Den Quick-Check (19 € inkl. MwSt., einmalig) bezahlen Sie über Stripe. Stripe (Stripe Payments Europe, Ltd., Irland) verarbeitet Zahlungs-, Rechnungs-, Geräte- und Betrugspräventionsdaten als eigener Verantwortlicher; Einzelheiten finden Sie in der Datenschutzerklärung von Stripe. Nach der Zahlung übermittelt Stripe uns Ihre E-Mail-Adresse, den Betrag und die Zahlungsreferenz.

Wir senden Ihnen den Link zum Report per E-Mail (Resend) und legen den Report unter einem nicht erratbaren Link ab. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung der Belege Art. 6 Abs. 1 lit. c DSGVO. Die Rechnung stellt Stripe aus; Belege liegen bei Stripe und sevDesk (sevDesk GmbH, Deutschland).

Für genaue Fundstellen bestätigen Sie Ihre Domain (DNS-Eintrag oder Datei); wir speichern Domain, Zeitpunkt und Nachweis.

Für eine Review-Anfrage speichern wir Ihre Angaben (E-Mail-Adresse, Domain, Sprache, Nachricht) und benachrichtigen unser Team per E-Mail. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Wenn Sie auf der Ergebnisseite angeben, warum Sie den Report nicht freischalten, speichern wir Ihre Antwort zusammen mit dem Check. Wir speichern dabei keine IP-Adresse und setzen keine Cookies.

Zum Schutz vor Missbrauch speichern wir bei Review-Anfrage und Warteliste ebenfalls einen nicht umkehrbaren Hash Ihrer IP-Adresse und löschen ihn nach 48 Stunden. Die Warteliste für das Monitoring läuft mit Double-Opt-in: Wir senden Ihnen eine Bestätigungs-E-Mail und speichern die Adresse erst nach Ihrer Bestätigung dauerhaft. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit mit Wirkung für die Zukunft per E-Mail an info@harwayexperience.com widerrufen können.

LaunchCheck wird über Vercel bereitgestellt (Region Frankfurt). Vercel verarbeitet bei jedem Aufruf technische Zugriffsdaten (IP-Adresse, User-Agent, URL, Referrer, Zeitpunkt) und Server-Logs zur Auslieferung, zur Angriffserkennung und für die Performance. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Zur Reichweitenmessung nutzen wir Vercel Web Analytics: Das Skript setzt keine Cookies und bildet keine personenbezogenen Profile; wir speichern daraus nur Pfad, Tag und Anzahl der Aufrufe. Zusätzlich zählen wir Prüfungen, Käufe und Anfragen als Ereignisse in unserer Datenbank, nur mit Ereignisname, Zeitpunkt, Prüfungs-ID und einem gekürzten Herkunftswert (UTM), ohne Adresse, E-Mail-Adresse, IP-Adresse oder User-Agent. Die Prüfungs-ID lässt sich einem Kauf oder einer Anfrage zuordnen, solange diese gespeichert sind. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (datensparsame Reichweitenmessung, um zu verstehen, ob und wie LaunchCheck genutzt wird).

Rufen Sie unsere Startseite über einen Link mit Kampagnenkennung auf (etwa aus einer Anzeige), zählen wir diesen Aufruf zusammen mit der Kampagnenkennung. Wir setzen dafür kein Cookie, speichern nichts auf Ihrem Gerät und speichern weder IP-Adresse noch Browserangaben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Auswertung unserer Werbung).

Wir setzen keine Cookies und nutzen keinen Browser-Speicher wie localStorage oder sessionStorage. Die Sprache ergibt sich nur aus der Adresse der Seite.

Empfänger der Daten sind HARWAY Experience und die in dieser Erklärung genannten Dienstleister, soweit es für Betrieb, Zahlung oder Rechnungsstellung erforderlich ist. Mit unseren Auftragsverarbeitern haben wir Verträge nach Art. 28 DSGVO geschlossen.

Für die kurze Zusammenfassung im kostenpflichtigen Report nutzen wir das KI-Modell Claude der Anthropic PBC (USA). Übermittelt werden ausschließlich technische Befundcodes mit Titel und Stufe, der erkannte Technik-Stack und die Zahl der Prüfungen, die nicht möglich waren, also keine Adresse (URL) eurer Seite, keine Fundstellen, keine Schlüssel und keine personenbezogenen Daten. Rechtsgrundlage ist unser berechtigtes Interesse an einem verständlichen Report (Art. 6 Abs. 1 lit. f DSGVO). Mit Anthropic besteht ein Auftragsverarbeitungsvertrag; Anthropic ist nicht nach dem Data Privacy Framework zertifiziert, die Übermittlung in die USA stützt sich auf Standardvertragsklauseln. Über die Schnittstelle übermittelte Daten verwendet Anthropic nicht zum Training. Fällt der Dienst aus, zeigt der Report die regelbasierte Einleitung. Der Text ist im Report als „Zusammenfassung automatisch erstellt“ gekennzeichnet.

Übermittlung in Drittländer

• Vercel Inc. (USA), Hosting und Web Analytics: EU-U.S. Data Privacy Framework.
• Resend (Plus Five Five, Inc., USA), E-Mail-Versand: EU-U.S. Data Privacy Framework, zusätzlich Standardvertragsklauseln im Auftragsverarbeitungsvertrag.
• Stripe, Zahlungsabwicklung als eigener Verantwortlicher: EU-U.S. Data Privacy Framework für Übermittlungen innerhalb von Stripe in die USA.
• Supabase, Datenbank: Vertragspartner ist Supabase Pte. Ltd. (Singapur), die Datenbank liegt in der EU-Region Frankfurt; Grundlage sind Standardvertragsklauseln im Auftragsverarbeitungsvertrag.
• Anthropic PBC (USA), Zusammenfassung im kostenpflichtigen Report: Standardvertragsklauseln im Auftragsverarbeitungsvertrag; nicht nach dem Data Privacy Framework zertifiziert.
• sevDesk GmbH (Deutschland), Rechnungsstellung: keine Übermittlung in ein Drittland.

• Prüfung ohne Kauf samt Befunden: 90 Tage.
• Fehlgeschlagene Prüfungen: 30 Tage.
• Bezahlter Report: Der Link ist 12 Monate gültig, danach zeigt er „abgelaufen“ und die Befunde sind gelöscht.
• E-Mail-Adresse zum Kauf: mit Ablauf des Links (12 Monate).
• Zahlungsreferenz und Betrag: 24 Monate, die E-Mail-Adresse ist dann bereits gelöscht; Rechnungen nach den gesetzlichen Fristen bei Stripe und sevDesk.
• IP-Hash zur Missbrauchsbegrenzung: 48 Stunden (bei Prüfungen, Review-Anfragen und der Warteliste).
• Domain-Bestätigung: bis zum Ablauf, höchstens 12 Monate.
• Warteliste: unbestätigt 14 Tage, bestätigt bis zum Widerruf, höchstens 24 Monate.
• Review-Anfragen: 12 Monate.
• Messpunkte: 24 Monate.
• Server-Logs bei Vercel: nach den Fristen von Vercel.

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit (Art. 15 bis 20 DSGVO).

Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.

Kontakt: info@harwayexperience.com

Widerspruchsrecht (Art. 21 DSGVO)

Soweit wir Daten auf Grundlage unseres berechtigten Interesses verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), können Sie dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Den Widerspruch richten Sie formlos an info@harwayexperience.com.

Stand dieser Erklärung

Diese Datenschutzerklärung bildet den aktuellen Stand von LaunchCheck ab, einschließlich Vercel, Vercel Web Analytics, Supabase, Resend, Stripe und sevDesk.