Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website und im Dienst „Pfadfindr" ist:

Mattis Vahldieck, Nymphenburger Str. 3, 10825 Berlin, E-Mail: hallo@pfadfindr.com (vollständige Angaben im Impressum).

2. Überblick

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung unseres SEO-Audit-Dienstes erforderlich ist oder Sie eingewilligt haben. Nachfolgend erläutern wir je Verarbeitungszweck, welche Daten verarbeitet werden und auf welcher Rechtsgrundlage. Eine Übersicht der Dienstleister und Drittlandübermittlungen finden Sie in Abschnitt 12, die Speicherfristen in Abschnitt 13.

3. Hosting & Server-Logfiles

Wir hosten den Dienst bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, auf Servern in Deutschland. Beim Aufruf des Dienstes verarbeitet der Server technisch notwendige Verbindungsdaten (IP-Adresse, Datum und Uhrzeit, aufgerufene URL, HTTP-Statuscode, übermittelter User-Agent). Diese Daten sind für Auslieferung, Stabilität und Sicherheit erforderlich; eine Zusammenführung mit anderen Daten oder eine Identifizierung einzelner Personen findet nicht statt. Zur Abwehr von Missbrauch (Rate-Limiting) wird die IP-Adresse zusätzlich kurzzeitig im Arbeitsspeicher verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, stabilen Betrieb). Verbindungsdaten werden nur so lange aufbewahrt, wie es für diese Zwecke erforderlich ist. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

4. Registrierung & Nutzerkonto

Für die Nutzung des Dienstes legen Sie ein Konto an. Verarbeitet werden:

• Vor- und Nachname, E-Mail-Adresse
• Passwort ausschließlich als kryptographischer Hash (bcrypt) – niemals im Klartext
• Kontostatus (E-Mail-Verifizierung, Tarif/Rolle), Zeitpunkt der Registrierung und Verifizierung
• Verbrauchszähler des kostenlosen Kontingents

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen). Zur Verifizierung Ihrer E-Mail-Adresse und für Sicherheitsfunktionen (z. B. Passwort-Zurücksetzen) versenden wir transaktionale E-Mails (siehe Abschnitt 7).

Team-Mitglieder: Als Account-Inhaber können Sie weitere Personen per E-Mail in Ihren Account einladen. Zur Versendung der Einladung verarbeiten wir die von Ihnen angegebene E-Mail-Adresse (Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an der Zusammenarbeit im Team). Tritt die eingeladene Person bei, verarbeiten wir deren Konto-Stammdaten (Name, E-Mail) zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Mitglieder eines Accounts teilen sich Plan, Kontingent und Audit-Ergebnisse; innerhalb eines Accounts sind die Crawl-/Audit-Ergebnisse für alle Mitglieder sichtbar. Die Einladungs-E-Mail versenden wir über unseren E-Mail-Dienstleister (siehe Abschnitt 7) ohne werbliches Tracking.

Öffentliche Report-Links: Sie können einen Audit-Report über einen login-freien Link öffentlich teilen. Der Link enthält ein nicht erratbares Token; wir speichern nur dessen Hash-Wert. Wer den Link kennt, kann den Report (Findings, Scores und Empfehlungen – ohne HTML-Rohdaten, Screenshots oder Downloads) einsehen. Da ein Report Inhalte der analysierten Drittseite enthalten kann, aktivieren Sie das Teilen bewusst und geben den Link nur an dazu Berechtigte weiter. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Weitergabe der Ergebnisse). Ein Link läuft nach der beim Teilen gewählten Dauer (7 bis 90 Tage, Standard 90) automatisch ab; Sie können ihn außerdem jederzeit widerrufen – danach ist er sofort ungültig. Öffentliche Report-Seiten sind auf „noindex“ gesetzt und werden von Suchmaschinen nicht indexiert.

5. Durchführung des SEO-Audits

Kern des Dienstes ist die Analyse der von Ihnen angegebenen Domain. Hierfür verarbeiten wir die von Ihnen eingegebenen URLs und Crawl-Konfigurationen sowie die Crawl-Ergebnisse (technische Merkmale und Inhalte der analysierten Seiten), die in einer Ergebnisdatenbank auf unserem Server in Deutschland gespeichert werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Sie sind dafür verantwortlich, dass Sie zur Analyse der angegebenen Websites berechtigt sind. Enthalten die analysierten Seiten personenbezogene Daten, verarbeiten wir diese ausschließlich weisungsgebunden zur Erbringung der Analyse für Sie. Die gespeicherten Crawl-Ergebnisse verlassen den EU-Raum nicht; eine Ausnahme besteht nur bei aktiver Nutzung der KI-Funktion (Abschnitt 6).

Für Betrieb, Support und Missbrauchsabwehr (z. B. um massenhaftes Crawlen fremder Websites zu erkennen) können unsere Administratoren einsehen, welche Domains über welches Konto geprüft wurden. Der Zugriff ist auf Administratoren beschränkt; die Angaben werden zusammen mit den Crawl-Ergebnissen gelöscht (Abschnitt 13). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, missbrauchsfreien Betrieb). Zur Verbesserung des Dienstes werten wir außerdem nur zusammengefasste Kennzahlen aus (z. B. Anzahl der Audits, Verteilung der Scores, häufigste Probleme) – ohne Domains, URLs oder Bezug zu einem Konto und erst ab mindestens fünf Audits, sodass sich keine einzelne Website und keine Person daraus ableiten lässt. Geprüfte Domains nutzen wir nicht für Werbung oder Vertrieb und geben sie nicht an Dritte weiter.

6. KI-gestützte Handlungsempfehlungen (Tarife Starter/Pro)

Wenn KI-Empfehlungen genutzt werden (Schaltfläche bzw. Audit-Option „KI-Empfehlungen“), geht je Befund nur eine anonyme Zusammenfassung (Regel, Schweregrad, Anzahl und Anteil betroffener Seiten sowie unser allgemeiner Empfehlungstext) zur Auswertung an unseren KI-Dienstleister xAI Corp. (Betreiber von „Grok", USA). Domain, URLs und Seiteninhalte der analysierten Website sowie Konto- oder Zahlungsdaten werden nicht übertragen; ein automatischer Prüfschritt verhindert das Senden, falls doch seitenspezifische Angaben enthalten wären. Die Verarbeitung erfolgt ausschließlich zur Erstellung der Empfehlungen; ergänzend gelten die Datenverarbeitungsbedingungen von xAI. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Zur Drittlandübermittlung siehe Abschnitt 12.

7. E-Mail-Versand

Für transaktionale E-Mails (Verifizierung, Passwort-Zurücksetzen, Abo- und Rechnungshinweise) setzen wir den Dienstleister Resend, Inc. (USA) ein. Übermittelt werden Ihre E-Mail-Adresse und der jeweilige Nachrichteninhalt. Es erfolgt kein werbliches Tracking. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Zur Drittlandübermittlung siehe Abschnitt 12.

8. Zahlungsabwicklung

Zahlungen kostenpflichtiger Tarife wickeln wir über Stripe ab (Stripe Payments Europe, Ltd., Dublin, Irland; ggf. Stripe, Inc., USA). Zahlungsmitteldaten (z. B. Kreditkarten- oder Bankdaten) geben Sie direkt bei Stripe ein; sie werden ausschließlich von Stripe verarbeitet und nicht auf unseren Servern gespeichert. Wir erhalten lediglich Status- und Zuordnungsdaten (Stripe-Customer-ID, Subscription-ID, Zahlungsstatus). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Aufbewahrung von Rechnungsdaten Art. 6 Abs. 1 lit. c DSGVO. Zu den Aufbewahrungsfristen siehe Abschnitt 13.

9. Cookies & lokale Speicherung

Nach dem Login speichern wir ein Anmelde-Token (JWT) im lokalen Speicher (localStorage) Ihres Browsers; es ist für den Betrieb des Nutzerkontos zwingend erforderlich und wird bei Abmeldung bzw. Ablauf entfernt. Ebenso speichern wir Ihre Cookie-Entscheidung lokal, um sie zu berücksichtigen. Diese Speicherung ist nach § 25 Abs. 2 Nr. 2 TTDSG einwilligungsfrei (unbedingt erforderlich für den von Ihnen angeforderten Dienst); Rechtsgrundlage der zugehörigen Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO. Für notwendige Funktionen setzen wir keine Tracking-Cookies.

10. Webanalyse: Google Analytics 4 (nur mit Einwilligung)

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Zweck: Analyse der Website- und App-Nutzung zur Verbesserung unseres Angebots.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TTDSG (Einwilligung).

Einwilligung: Google Analytics 4 wird ausschließlich nach Ihrer ausdrücklichen Einwilligung über unseren Consent-Banner aktiviert. Ohne Einwilligung werden keine GA4-Daten erhoben und keine GA4-Cookies gesetzt. Die IP-Anonymisierung ist aktiviert. Diese Cookies setzen eine Einwilligung voraus (siehe Abschnitt 9); zum Widerruf und zu Ihren weiteren Rechten siehe Abschnitt 14.

Cookies: _ga und _ga_<Mess-ID> (Speicherdauer jeweils bis zu 2 Jahre) zur statistischen Wiedererkennung des Browsers.

Serverseitige Ereignisse: Einige Ereignisse, die auf unserem Server stattfinden (abgeschlossener oder fehlgeschlagener Audit, Start des Bezahlvorgangs, Kauf, Kündigung), übermitteln wir direkt von unserem Server an Google Analytics (Measurement Protocol) – nur wenn Sie eingewilligt haben; ohne Einwilligung wird nichts übermittelt. Dabei verwenden wir die Analyse-Kennung Ihres Browsers und eine pseudonyme Nutzer-ID (mit einem geheimen Schlüssel gebildeter Hash-Wert, nicht Ihre E-Mail-Adresse). Inhalte geprüfter Websites, Domains oder E-Mail-Adressen übermitteln wir nicht.

Drittlandübermittlung: Google verarbeitet Daten auch auf Servern in den USA. Grundlage: EU-US Data Privacy Framework (DPF) sowie ergänzend Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Mit Google besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Cookie-Einstellungen öffnen

Alternativ können Sie GA4 über das Browser-Add-on von Google deaktivieren: tools.google.com/dlpage/gaoptout. Datenschutzerklärung von Google: policies.google.com/privacy.

11. Newsletter („SEO-Espresso")

Zweck: Sofern Sie sich anmelden, versenden wir den Newsletter „SEO-Espresso" mit Artikeln und Tipps rund um SEO und KI-Suche an die von Ihnen angegebene E-Mail-Adresse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Double-Opt-in: Nach Ihrer Anmeldung erhalten Sie zunächst eine Bestätigungs-E-Mail. Erst nach Klick auf den darin enthaltenen Bestätigungslink nehmen wir Sie in den Verteiler auf; bis zur Bestätigung erfolgt kein Versand des Newsletters. Zum Nachweis Ihrer Einwilligung protokollieren wir den Zeitpunkt der Anmeldung sowie der Bestätigung.

Verarbeitete Daten: E-Mail-Adresse, Anmeldestatus (ausstehend/bestätigt/abgemeldet) sowie Zeitstempel von Anmeldung, Bestätigung und Abmeldung.

Versanddienstleister: Den Versand des Newsletters wickeln wir über Resend, Inc. (USA) ab. Hierzu wird Ihre E-Mail-Adresse zur Zustellung an den Dienstleister übermittelt. Mit Resend besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Zur Drittlandübermittlung siehe Abschnitt 12.

Widerruf/Abmeldung: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – über den Abmeldelink, der in jeder Newsletter-E-Mail enthalten ist, oder per Nachricht an die im Impressum genannte Adresse. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

Speicherdauer: Wir speichern Ihre Daten, bis Sie sich vom Newsletter abmelden. Nach der Abmeldung werden die Daten gelöscht bzw. für künftige Zusendungen gesperrt.

11a. Kurz-Audit ohne Registrierung

Zweck: Auf der Startseite können Sie ohne Konto ein Kurz-Audit einer Website anfordern. Wir verarbeiten die angegebene Website und E-Mail-Adresse, um Ihre Adresse per Double-Opt-in zu bestätigen, bis zu 25 öffentlich erreichbare Seiten der Website zu prüfen (unter Beachtung der robots.txt) und Ihnen den Link zum Kurzreport zu senden.

Rechtsgrundlage: Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung der von Ihnen angeforderten Leistung). Zur Missbrauchsabwehr (Begrenzung der Anfragen je Website, E-Mail-Adresse und Netzwerk) speichern wir zusätzlich einen mit einem geheimen Schlüssel gehashten, nicht umkehrbaren Kennwert Ihrer IP-Adresse (Art. 6 Abs. 1 lit. f DSGVO). Mitgeschickte Kampagnen-Parameter (utm_source, utm_medium, utm_campaign) speichern wir, um zu verstehen, über welchen Kanal Anfragen kommen.

Einwilligung für E-Mails: Tipps, Newsletter und Angebote per E-Mail erhalten Sie nur, wenn Sie das gesonderte, freiwillige Kästchen ankreuzen und die Bestätigungs-E-Mail bestätigen (Art. 6 Abs. 1 lit. a DSGVO). Zum Nachweis protokollieren wir den Wortlaut der Einwilligung, dessen Version und die Zeitpunkte von Anfrage und Bestätigung. Widerruf jederzeit über den Abmeldelink in jeder E-Mail.

Speicherdauer: Unbestätigte Anfragen löschen wir nach 7 Tagen. Bei bestätigten Anfragen ohne Einwilligung entfernen wir E-Mail-Adresse und IP-Kennwert nach 30 Tagen. Den Kurzreport speichern wir, solange es zur Bereitstellung erforderlich ist; den Einwilligungsnachweis, solange die Einwilligung besteht und wir sie nachweisen müssen.

12. Auftragsverarbeiter & Drittlandübermittlung

• Hetzner Online GmbH (Deutschland) – Hosting
• Resend, Inc. (USA) – Versand transaktionaler E-Mails und des Newsletters
• Stripe Payments Europe, Ltd. (Irland) / Stripe, Inc. (USA) – Zahlungsabwicklung
• Google Ireland Limited (Irland) – Google Analytics 4 (nur bei Einwilligung)
• xAI Corp. (USA) – KI-gestützte Empfehlungen (nur bei aktiver Nutzung in den Tarifen Starter/Pro)

Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Bei Übermittlungen in die USA (Resend, Stripe, Google, xAI) stützen wir uns auf das EU-US Data Privacy Framework und/oder Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Crawl-Ergebnisdatenbanken werden ausschließlich in Deutschland gespeichert.

13. Speicherdauer

• Konto-/Stammdaten: bis zur Löschung Ihres Kontos (auf Anfrage)
• Crawl-Ergebnisse: automatische Löschung 90 Tage nach dem Crawl bzw. sobald das Aufbewahrungslimit überschritten wird
• Rechnungs-/Buchungsdaten: 10 Jahre (gesetzliche Aufbewahrungspflicht, § 147 AO, § 257 HGB)
• Newsletter-Daten: bis zur Abmeldung; danach Löschung bzw. Sperrung für künftige Zusendungen
• Server-Verbindungsdaten: nur so lange wie für Betrieb und Sicherheit erforderlich

14. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Erteilte Einwilligungen können Sie nach Art. 7 Abs. 3 DSGVO jederzeit mit Wirkung für die Zukunft widerrufen. Anfragen richten Sie bitte an: hallo@pfadfindr.com.

15. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI), Alt-Moabit 59–61, 10555 Berlin, mailbox@datenschutz-berlin.de.

16. Keine automatisierte Entscheidungsfindung

Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung Ihnen gegenüber im Sinne des Art. 22 DSGVO findet nicht statt. Die KI-gestützten Empfehlungen sind unverbindliche Hinweise.

17. Datensicherheit

Die Datenübertragung erfolgt TLS-verschlüsselt (HTTPS). Passwörter werden ausschließlich als bcrypt-Hash gespeichert; der Zugriff auf personenbezogene Daten ist auf das erforderliche Maß beschränkt.

18. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Datenverarbeitung oder die Rechtslage ändert. Es gilt jeweils die auf dieser Seite veröffentlichte aktuelle Fassung.