Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und des Datenschutzgesetzes (DSG) ist:

2. Erhobene Daten und Zwecke

2.1 Website-Besuch ohne Audit

Beim bloßen Besuch der Website werden Server-Access-Logs bewusst minimiert. Die Logs enthalten keine IP-Adresse, keinen User-Agent, keinen Referrer und keine Query-Strings. Erfasst werden nur technische Betriebsdaten:

• Datum und Uhrzeit der Anfrage
• HTTP-Methode und Pfad ohne Query-String
• Statuscode
• übertragene Datenmenge
• Antwortzeit

2.2 Durchführung eines Barrierefreiheits-Audits

Wenn Sie unser Audit-Tool verwenden, verarbeiten wir folgende Daten:

Die Aufbewahrungsfrist beträgt 30 Tage ab Erstellung des Scans. Dieser Termin steht mit dem Start des Scans fest und verlängert sich nicht, wenn Sie das Ergebnis später öffnen. Mit Ablauf der Frist löschen wir den gesamten Scan-Datensatz: URL, IP-Adresse, Konto-ID, API-Schlüssel, Webhook-Daten, Score, Befunde, HTML-Ausschnitte, Selektoren und Texte der KI-Analyse. Es bleiben keine Ergebnisdaten zurück, und einzelne Ergebnisse können danach nicht wiederhergestellt werden. Das Löschdatum steht in der Ergebnis-E-Mail, auf der Ergebnisseite und in Ihrem Konto.

Bei bezahlten Guthaben-Scans wird die in der Nutzungshistorie gespeicherte URL mit der Löschung des Scans entfernt; die Audit-ID bleibt dort ohne Ergebnisdaten als Buchungsreferenz erhalten. Kauf- und Rechnungsdaten wie Betrag, Kaufdatum, Paket, Rechnungsadresse und gegebenenfalls UID bleiben ohne gescannte URL nach den gesetzlichen Aufbewahrungspflichten gespeichert, siehe Abschnitt 2.4.

2.3 Nutzerkonto und Anmeldung

Für Mehrseiten-Scans, Scan-Guthaben und die Kontoverwaltung können Sie ein Nutzerkonto anlegen. Dabei verarbeiten wir Name, E-Mail-Adresse, Passwort-Hash, E-Mail-Verifikationsstatus, Konto-ID sowie technische Zeitstempel zur Erstellung und Änderung des Kontos. Passwörter speichern wir nicht im Klartext.

Bei der Anmeldung und während einer aktiven Sitzung speichern wir außerdem Session-Daten wie Session-ID, Ablaufzeitpunkt, IP-Adresse und User-Agent. Diese Daten dienen der Authentifizierung, Sitzungssicherheit und Missbrauchsprävention. Für E-Mail-Bestätigung und Passwort-Zurücksetzung werden zeitlich begrenzte Verifikations-Tokens verarbeitet. Transaktionale E-Mails für Konto- und Sicherheitszwecke, insbesondere E-Mail-Bestätigung und Passwort-Zurücksetzung, werden nur für diese Zwecke versendet; den Versand übernimmt Scaleway SAS als Auftragsverarbeiter, siehe Abschnitt 4.1.

Legen Sie im Konto eine eigene Website für die kostenlosen Scans fest, speichern wir deren registrierbare Domain und den Zeitpunkt der Festlegung. Beides dient ausschließlich dem höheren Tageslimit für diese Website und der Wechselfrist von 30 Tagen; die Angabe ist freiwillig und bleibt bis zu einer Änderung oder zur Löschung des Kontos gespeichert.

Mehrseiten-Scans und mit Guthaben gestartete Scans werden dem angemeldeten Konto zugeordnet, damit die Ergebnisse und der Guthabenverbrauch im Konto angezeigt werden können. Das Ergebnis samt Kontozuordnung wird 30 Tage nach Erstellung des Scans vollständig gelöscht, siehe Abschnitt 2.2. Die Kauf- und Verbrauchshistorie bleibt im Konto erhalten, wobei gescannte URLs mit der Löschung des Scans entfernt werden.

Schreiben wir Ihrem Konto Guthaben kostenlos gut, etwa aus Kulanz, speichern wir dazu einen internen Vermerk zum Grund. Dieser Vermerk dient ausschließlich der Nachvollziehbarkeit gegenüber uns selbst, wird Ihnen nicht angezeigt und wird mit dem Konto gelöscht.

Wird ein neues Konto angelegt, erhalten wir eine interne Benachrichtigung per E-Mail an unser eigenes Postfach. Sie enthält Name, E-Mail-Adresse, Zeitpunkt der Registrierung und ob die E-Mail-Adresse bereits bestätigt ist. Die Benachrichtigung dient dem Überblick über neue Konten und der frühen Erkennung von Missbrauch, etwa von massenhaft angelegten Konten. Versendet wird sie über Scaleway SAS, siehe Abschnitt 4.1; wir löschen sie spätestens nach zwölf Monaten. Gleichzeitig erhält unser System-Monitoring einen Hinweis „Neues Konto“, der nur den Zeitpunkt enthält, siehe Abschnitt 4.4.

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO: Registrierung, Anmeldung, Kontoverwaltung, Bereitstellung von Mehrseiten-Scans und Guthabenverwaltung
• Art. 6 Abs. 1 lit. f DSGVO: Sitzungssicherheit, Missbrauchsprävention, technische Nachvollziehbarkeit und die interne Benachrichtigung über neue Konten

Speicherdauer: Kontodaten speichern wir bis zur Kontolöschung, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Sessions werden bis zum Ablauf der Sitzung oder bis zur Abmeldung gespeichert. Verifikations-Tokens werden nur solange gespeichert, wie sie für den jeweiligen Konto- oder Sicherheitsvorgang benötigt werden.

2.4 Zahlungsabwicklung und Rechnungslegung

Beim Kauf von Scan-Guthaben und bei sonstigen Online-Zahlungen erheben wir vor dem Checkout die für die Bestellung und Rechnungslegung erforderlichen Daten, insbesondere Name, Ansprechperson, Rechnungsadresse, gegebenenfalls UID sowie Ihre Telefonnummer, sofern angegeben. Kaufen Sie erneut Guthaben, füllen wir das Formular in Ihrem Konto mit den Rechnungsdaten vor, die Sie zuletzt angegeben haben, damit Sie sie nur prüfen und nicht erneut eingeben müssen; dafür werden keine zusätzlichen Daten erhoben und nichts im Browser gespeichert. Die Zahlung wird über den Zahlungsdienstleister Mollie B.V. in den Niederlanden abgewickelt. Je nach gewählter Zahlungsart verarbeitet Mollie Zahlungsdaten wie Zahlungsbetrag, Zahlungsreferenz, Zahlungsstatus, Zahlungsart sowie die für die jeweilige Zahlungsart erforderlichen Zahlungsinformationen.

Wir selbst erhalten von Mollie keine vollständigen Kreditkarten- oder Bankdaten. Wir erhalten insbesondere Informationen darüber, ob eine Zahlung erfolgreich war, fehlgeschlagen ist oder offen ist, sowie die zur Zuordnung zum Konto, Paketkauf und Auftrag erforderliche Zahlungsreferenz.

Elektronische Rechnungen und Buchungsunterlagen werden über FreeFinance als österreichische Cloud-Buchhaltung erstellt und verwaltet. FreeFinance verarbeitet die dafür erforderlichen Rechnungs- und Buchhaltungsdaten in unserem Auftrag.

Zwecke der Verarbeitung:

• Bereitstellung einer Online-Zahlungsmöglichkeit
• Zahlungsabwicklung
• Zuordnung der Zahlung zum Konto, Paketkauf bzw. Auftrag
• Bereitstellung von Scan-Guthaben nach erfolgreicher Zahlung
• Elektronische Rechnungslegung
• Betrugs- und Missbrauchsprävention
• Buchhaltung und Zahlungsnachweis

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO: Durchführung vorvertraglicher Maßnahmen und Vertragserfüllung
• Art. 6 Abs. 1 lit. c DSGVO: gesetzliche Buchhaltungs- und Aufbewahrungspflichten
• Art. 6 Abs. 1 lit. f DSGVO: berechtigtes Interesse an sicherer, nachvollziehbarer und effizienter Zahlungsabwicklung

Mollie verarbeitet Zahlungsdaten teilweise als eigenständiger Verantwortlicher, insbesondere soweit Mollie als regulierter Zahlungsdienstleister eigene gesetzliche Verpflichtungen erfüllen muss. Weitere Informationen finden Sie in der Datenschutzerklärung von Mollie.

Speicherdauer: Zahlungs-, Rechnungs- und Buchungsdaten speichern wir grundsätzlich 7 Jahre gemäß § 132 BAO. Das betrifft insbesondere Beträge, Kaufdatum, Paket, Zahlungsstatus, Rechnungsdaten und Buchungsbelege. Die gescannten URLs in der Verbrauchshistorie werden davon getrennt nach dem 30-Tage-Fenster bereinigt.

2.5 Benachrichtigung zum API-Start

Die API von barrieretest.at folgt später. Auf der Seite „API-Zugang“ können Sie Ihre E-Mail-Adresse hinterlassen, damit wir Ihnen zum Start der API einmalig schreiben. Dazu speichern wir Ihre E-Mail-Adresse, den Status Ihrer Eintragung (offen oder bestätigt), den Zeitpunkt Ihrer Eintragung, die Fassung des Einwilligungstextes, dem Sie zugestimmt haben, und den Zeitpunkt Ihrer Bestätigung. Ihre IP-Adresse speichern wir dafür nicht.

Die Eintragung erfolgt im Double-Opt-in-Verfahren: Nach dem Absenden des Formulars senden wir eine E-Mail mit einem Bestätigungslink. Erst wenn Sie diesen Link öffnen, gilt Ihre Einwilligung und erst dann erhalten Sie die Benachrichtigung zum API-Start. Ohne Bestätigung schreiben wir Ihnen nicht. Die Bestätigungsmail versenden wir über denselben Dienstleister für transaktionale E-Mails, der in Abschnitt 4.1 genannt ist.

Zweck: einmalige Benachrichtigung über die Verfügbarkeit der API.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung)
Speicherdauer: Eine offene, nicht bestätigte Eintragung löschen wir automatisch nach 7 Tagen. Eine bestätigte Eintragung speichern wir, bis die Benachrichtigung zum API-Start versendet ist, längstens jedoch 12 Monate ab Ihrer Bestätigung; danach wird sie automatisch gelöscht.

Widerruf: Sie können Ihre Einwilligung jederzeit widerrufen. Jede E-Mail zu dieser Warteliste enthält dafür einen Link, über den Ihre Adresse sofort gelöscht wird. Alternativ genügt eine Nachricht an datenschutz@solasit.at. Durch den Widerruf wird die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht berührt.

Wie alle anderen Datenbankinhalte ist auch diese Liste Teil unserer verschlüsselten Sicherungen. Eine gelöschte Adresse verschwindet daher innerhalb von 14 Tagen auch aus allen Sicherungen, siehe Abschnitt 4.1.

3. Cookies und Reichweitenmessung

Beim bloßen Besuch der Website ohne Anmeldung setzt barrieretest.at derzeit keine eigenen Cookies. Wenn Sie sich anmelden, setzt das System technisch notwendige First-Party-Session-Cookies, damit Ihr Konto erkannt und Ihre Sitzung abgesichert werden kann. Diese Cookies verwenden den Cookie-Präfix barrieretest, werden in der Produktion mit Secure-Attribut und SameSite=Lax gesetzt und dienen nicht Werbe- oder Trackingzwecken.

Diese Session-Cookies sind technisch notwendig. Eine Einwilligung ist dafür nach § 165 Abs. 3 TKG 2021 nicht erforderlich. Rechtsgrundlage für die damit verbundene Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO, für Sicherheits-Metadaten zusätzlich Art. 6 Abs. 1 lit. f DSGVO.

Plausible erhält technische Nutzungsdaten wie besuchte Seite, Referrer-Domain, Browser, Betriebssystem, Gerätetyp und Land auf aggregierter Ebene. Wir verwenden keine personenbezogenen Profile, kein Retargeting und keine Werbe-IDs.

4. Weitergabe von Daten

Wir geben Ihre Daten nicht an Dritte weiter, außer:

• Bei gesetzlicher Verpflichtung (z.B. behördliche Anordnung)
• An Hetzner Online GmbH als Hosting-Anbieter für Server, Datenbanken und verschlüsselte Sicherungen
• An Scaleway SAS für den Versand transaktionaler E-Mails
• An Bunny Fonts zur Auslieferung der Schriftarten
• An Plausible für cookielose, aggregierte Reichweitenmessung
• An Mistral AI nur bei aktivierter KI-Analyse
• An Mollie zur Zahlungsabwicklung
• An FreeFinance zur Rechnungslegung und Buchhaltung
• In anonymisierter Form für System-Monitoring (siehe 4.4)

4.1 Auftragsverarbeiter (Hosting, Sicherungen und E-Mail-Versand)

Server und Datenbanken von barrieretest.at betreiben wir bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO; die Verarbeitung findet ausschließlich in der Europäischen Union statt.

Unsere Datenbanken werden verschlüsselt gesichert und in den Hetzner Object Storage (Standort in der EU) übertragen. Diese Sicherungen werden nach 14 Tagen gelöscht und ausschließlich dazu verwendet, den Dienst nach einer Störung wiederherzustellen, niemals zur Wiederherstellung einzelner gelöschter Ergebnisse. Ein gelöschtes Ergebnis verschwindet damit innerhalb von 14 Tagen auch aus allen Sicherungen.

Transaktionale E-Mails, also E-Mail-Bestätigung, Passwort-Zurücksetzung, Scan-Ergebnisse und kaufbezogene Nachrichten, sowie unsere internen Benachrichtigungen über neue Konten versenden wir über Scaleway SAS, 8 rue de la Ville l'Evêque, 75008 Paris, Frankreich. Scaleway verarbeitet dabei Empfängeradresse, Inhalt und Versand-Metadaten der E-Mail als Auftragsverarbeiter in der Europäischen Union; auch mit Scaleway besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Schriftarten werden über Bunny Fonts geladen. Dabei wird Ihre Anfrage technisch an Bunny Fonts übermittelt; Cookies oder Werbeprofile setzen wir dafür nicht ein.

4.2 Reichweitenmessung mit Plausible

Für minimale Nutzungsstatistiken verwenden wir Plausible Analytics. Plausible arbeitet cookielos und erstellt keine personenbezogenen Nutzerprofile. Die Auswertung hilft uns zu erkennen, welche Inhalte genutzt werden und wo technische Probleme auftreten.

Zusätzlich zu den Seitenaufrufen zählen wir, wie weit eine Seite gescrollt und wie lange sie aktiv angesehen wurde, sowie diese Interaktionen:

• gestartete Scans (einzelne Seite, mehrere Seiten, mit oder ohne KI-Analyse), angezeigte Ergebnisse, fehlgeschlagene Scans und das Erreichen des kostenlosen Tageslimits
• das Starten der Suche nach Unterseiten und das Öffnen der Seitenauswahl
• im Ergebnis: den geführten Rundgang, den Druck-Button und den Wechsel zu einer anderen Darstellung
• beim Konto: eine erfolgreiche Registrierung, eine bestätigte E-Mail-Adresse, eine Anmeldung und den Aufruf der Passwort-Zurücksetzung
• die Anmeldung zur API-Warteliste, Klicks auf unsere E-Mail-Adresse und das Umschalten des Dunkelmodus
• das Erreichen eines Abschnitts der Startseite, Klicks auf Links zu anderen Websites, Datei-Downloads und Aufrufe nicht vorhandener Seiten

Erfasst wird dabei nur, dass die Interaktion stattgefunden hat und auf welcher Seite, bei Links zu anderen Websites und bei Downloads zusätzlich deren Adresse. Nie übertragen werden die von Ihnen eingegebene Website-Adresse, Ihre E-Mail-Adresse, Ihre Konto- oder Scan-Kennung oder sonstige von Ihnen eingegebene Inhalte. Von der Adresse der besuchten Seite entfernen wir vor dem Senden Query-String und Anker. Auf Seiten, deren Adresse einen Einmal-Link enthält (Passwort-Zurücksetzung, Bestätigung und Austragung der API-Warteliste), senden wir gar nichts. Plausible setzt keine Cookies, erkennt Besucher nicht über mehrere Tage wieder und bildet keine Nutzerprofile. Wir nutzen diese Zahlen nur, um zu verstehen, welche Schritte genutzt werden und wo etwas nicht funktioniert.

4.3 Optionale KI-Analyse mit Mistral AI

Wenn Sie die KI-Analyse aktivieren, werden Screenshot, URL und Seitenkontext an Mistral AI übermittelt. Ohne aktivierte KI-Analyse findet diese Übermittlung nicht statt. Wir übermitteln nur die für die Analyse erforderlichen Inhalte.

4.4 System-Monitoring (Discord)

Zur Überwachung der System-Auslastung und Erkennung von Problemen verwenden wir Discord Webhooks. Dabei werden ausschließlich anonymisierte und aggregierte Daten übermittelt:

• IP-Adressen: Werden anonymisiert (z.B. 192.168.1.123 → 192.168.1.0), sodass keine Identifizierung möglich ist
• URLs: Query-Parameter und persönliche Daten werden entfernt
• Aggregierte Statistiken: Anzahl der Anfragen, Fehlerquoten, Warteschlangenstatus
• Technische Events: Rate-Limits, Systemfehler, Audit-Status sowie der Hinweis „Neues Konto“, der nur den Zeitpunkt der Registrierung enthält

Die anonymisierten Monitoring-Daten ermöglichen es uns nicht, einzelne Nutzer zu identifizieren, und dienen ausschließlich der Systemüberwachung.

4.5 Zahlungs- und Rechnungsdienstleister

Für Online-Zahlungen verwenden wir Mollie B.V. mit Sitz in den Niederlanden. Mollie erhält die zur Abwicklung der jeweiligen Zahlung erforderlichen Zahlungsdaten und verarbeitet bestimmte Daten auch als regulierter Zahlungsdienstleister in eigener Verantwortung.

Für elektronische Rechnungslegung und Buchhaltung verwenden wir FreeFinance als österreichische Cloud-Buchhaltung. FreeFinance erhält die für Rechnung, Buchung und gesetzliche Aufbewahrung erforderlichen Daten, insbesondere Name, Ansprechperson, Rechnungsadresse, gegebenenfalls UID, Telefonnummer, sofern angegeben, Beträge, Kaufdaten und Rechnungsbelege.

5. Ihre Rechte gemäß DSGVO

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

6. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei der Datenschutzbehörde zu beschweren:

7. Automatisierte Entscheidungsfindung und Profiling

Wir verwenden keine automatisierte Entscheidungsfindung oder Profiling im Sinne von Art. 22 DSGVO.

8. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten zu schützen:

• SSL/TLS-Verschlüsselung für die Datenübertragung
• Regelmäßige Backups
• Zugriffsbeschränkungen auf Server und Datenbanken
• Sichere Passwort-Richtlinien
• Regelmäßige Sicherheitsupdates
• Firewall- und Intrusion-Detection-Systeme

9. Datenübermittlung in Drittländer

Unsere Website wird grundsätzlich in der Europäischen Union betrieben. Server, Datenbanken und Sicherungen liegen bei Hetzner in Deutschland, der Versand transaktionaler E-Mails erfolgt über Scaleway in Frankreich. Plausible sitzt in Estland. Mollie sitzt in den Niederlanden, FreeFinance in Österreich, Mistral AI in Frankreich. Im Rahmen des System-Monitorings über Discord werden ausschließlich anonymisierte technische Daten übermittelt, wie in Abschnitt 4.4 beschrieben. Bei aktivierter KI-Analyse können Screenshot, URL und Seitenkontext an Mistral AI übermittelt werden; die Verarbeitung erfolgt laut Anbieterangaben standardmäßig in der Europäischen Union.

Bei Zahlungen über Mollie erfolgt die Zahlungsabwicklung über Mollie B.V. mit Sitz in den Niederlanden. Je nach gewählter Zahlungsart und gesetzlichen Verpflichtungen des Zahlungsdienstleisters können weitere Zahlungsdienstleister, Banken oder Finanzinstitute eingebunden sein. Die Verarbeitung richtet sich insoweit auch nach den Datenschutzinformationen von Mollie und der jeweils gewählten Zahlungsart.

FreeFinance wird für Rechnungslegung und Buchhaltung in Österreich eingesetzt. Soweit Dienstleister Unterauftragnehmer einsetzen und dadurch eine Drittlandübermittlung stattfindet, erfolgt diese nach den jeweils anwendbaren datenschutzrechtlichen Garantien.

10. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder Änderungen unserer Dienstleistungen anzupassen. Die aktuelle Version finden Sie stets auf dieser Seite.

11. Kontakt bei Datenschutzfragen

Bei Fragen zum Datenschutz kontaktieren Sie uns bitte unter datenschutz@solasit.at