Datenschutzerklärung

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website und im Accessonaut-Dienst ist rocket-ship, Inhaber Florian Bischof, An der Halde 7, 89081 Ulm, Deutschland. Kontakt: info@accessonaut.com. Weitere Angaben findest du im Impressum.

Wir stützen uns auf Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung für einen Vertrag mit dir oder dessen Anbahnung erforderlich ist, auf Art. 6 Abs. 1 lit. c DSGVO für rechtliche Pflichten (zum Beispiel die Aufbewahrung von Rechnungen), auf Art. 6 Abs. 1 lit. f DSGVO für unser berechtigtes Interesse an einem sicheren, stabilen und verbesserten Dienst und auf Art. 6 Abs. 1 lit. a DSGVO, soweit du eingewilligt hast. Die folgenden Abschnitte nennen die Grundlage der jeweiligen Verarbeitung. Gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO kannst du widersprechen (siehe Widerspruchsrecht).

Accessonaut läuft auf einem eigenen Server, den wir bei der Contabo GmbH, München, betreiben. Der Server steht im Rechenzentrum von Contabo in Lauterbourg (Frankreich), also in der EU. Dort laufen die Website, die Anwendung, unsere Schnittstelle unter api.accessonaut.com, die Datenbank, die Reichweitenmessung (Umami) unter analytics.accessonaut.com und die Fehlerdiagnose (GlitchTip) unter errors.accessonaut.com. Mit Contabo besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO.

Unsere Datenbanken sichern wir täglich auf diesem Server. Nur wir haben Zugriff auf die Sicherungen. Wir bewahren sie 30 Tage auf und löschen sie danach automatisch; bleibt eine neue Sicherung aus, behalten wir die jeweils jüngste, damit eine Wiederherstellung möglich bleibt. Auf diesem Server können gelöschte Daten deshalb bis zu 30 Tage in einer Sicherung enthalten sein. Zusätzlich legen wir zweimal täglich eine verschlüsselte Kopie dieser Sicherungen und der Serverkonfiguration bei Google Cloud (Google Cloud EMEA Limited, Dublin) im Rechenzentrum Frankfurt am Main ab. Die Daten werden schon auf unserem Server mit AES-256 verschlüsselt; den Schlüssel hat nur Accessonaut, Google speichert ausschließlich verschlüsselte Daten. Wir behalten 30 tägliche und 12 monatliche Stände; gelöschte Stände hält Google weitere 30 Tage vor. Gelöschte Daten können deshalb bis zu etwa 13 Monate in einer verschlüsselten Sicherung enthalten sein. Mit Google besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO (Cloud Data Processing Addendum). Wir verwenden die Sicherungen ausschließlich zur Wiederherstellung nach einem Ausfall oder Datenverlust (Art. 6 Abs. 1 lit. f DSGVO).

Jede Anfrage an accessonaut.com und api.accessonaut.com nimmt zuerst unser Webserver (Nginx) entgegen und leitet sie an die Anwendung weiter. Dabei verarbeitet er technisch deine IP-Adresse, den Zeitpunkt, die angefragte Adresse, die Browserkennung (User-Agent) und übliche Verbindungsdaten. Für Accessonaut schreibt der Webserver keine aufgerufenen Seitenadressen, Abfrageparameter oder verweisenden Seiten (Referrer) in seine Zugriffsprotokolle. Schlägt eine Anfrage bereits auf dem Webserver fehl, kann sein Fehlerprotokoll die IP-Adresse und die angefragte Adresse enthalten; Fehlerprotokolle werden täglich rotiert und spätestens nach 15 Tagen gelöscht.

Die Anwendung protokolliert Anfragen an ihre Schnittstelle mit Anfragemethode, Pfad ohne Parameter, Statuscode und Bearbeitungsdauer, ohne IP-Adresse, Kopfzeilen oder Anfrageinhalte. Diese Protokolle liegen im größenbegrenzten Systemprotokoll des Servers; ältere Einträge werden automatisch überschrieben. Zur Abwehr von Missbrauch zählt die Anwendung Anfragen je IP-Adresse für ein Zeitfenster von einer Minute im Arbeitsspeicher. Wir brauchen diese Verarbeitung, um den Dienst sicher und stabil zu betreiben und Angriffe und Fehler zu erkennen (Art. 6 Abs. 1 lit. f DSGVO).

Für den angeforderten Check verarbeiten wir die eingegebene URL, öffentlich abrufbare Seiteninhalte und die Prüfergebnisse. Zugangsdaten und private Netzwerkziele sind nicht zulässig. Ergebnisse und Zugriffstokens werden nach 24 Stunden bereinigt. Zur Missbrauchsbegrenzung speichern wir zu jedem Check einen mit geheimem Schlüssel gebildeten HMAC-Wert deiner IP-Adresse statt der Adresse selbst. Damit begrenzen wir, wie viele Checks du gleichzeitig (höchstens 3), pro Stunde (höchstens 20) und innerhalb von 24 Stunden (höchstens 50) starten kannst. Unabhängig davon, wer prüft, kann dieselbe Website höchstens 20-mal pro Stunde geprüft werden; dafür zählen wir die Checks anhand der geprüften Adresse. Der HMAC-Wert wird mit dem Check nach 24 Stunden gelöscht. Dein Browser speichert einen Zugriffstoken für den Check im Sitzungsspeicher des Tabs. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für den angeforderten Check und Art. 6 Abs. 1 lit. f DSGVO für die Missbrauchsbegrenzung. Gescannte Seiten können selbst personenbezogene Angaben enthalten; prüfe deshalb nur Websites, die dir gehören oder für die du eine Berechtigung hast.

Der kostenlose Website-Check auf der Startseite, unter /check und unter /bfsg-check startet ohne Checkbox. Gegen automatisierten Missbrauch verwenden wir den unsichtbaren Dienst Cloudflare Turnstile. Das Skript wird erst von challenges.cloudflare.com geladen, wenn du das Formular benutzt, etwa das Adressfeld anklickst, etwas eingibst oder den Check startest; das bloße Aufrufen der Seite lädt Turnstile nicht. Nur ausnahmsweise zeigt Cloudflare ein Kästchen zur Bestätigung an. Anbieter ist Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Dabei erhält Cloudflare technische Signale wie IP-Adresse, Browserkennung, TLS-Merkmale sowie Kennung und Herkunft unserer Website. Cloudflare verarbeitet sie für die Sicherheitsprüfung in unserem Auftrag und zur Verbesserung seiner Bot-Erkennung auch in eigener Verantwortung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse, Missbrauch abzuwehren und die Kapazität des Website-Checks für Besucher verfügbar zu halten. Soweit dafür unbedingt erforderliche Zugriffe auf dein Endgerät erfolgen, stützen wir sie auf § 25 Abs. 2 Nr. 2 TDDDG. Turnstile setzt kein Cookie. Das Einmal-Token liegt nur im Arbeitsspeicher der Seite; es wird beim Start des Checks verbraucht und verfällt sonst nach 5 Minuten. Unser Server prüft das Token bei Cloudflare, bevor er einen Check anlegt, und übermittelt dabei weder deine IP-Adresse noch die zu prüfende Adresse oder eine E-Mail-Adresse. Wir speichern das Token nicht im Check. Ist die Prüfung blockiert oder schlägt sie fehl, kann kein Check gestartet werden.

Eine Verarbeitung durch Cloudflare kann in den USA erfolgen; Cloudflare nennt das EU-US Data Privacy Framework und gegebenenfalls Standardvertragsklauseln als Übermittlungsgrundlagen. Für die Aufbewahrung bei Cloudflare gelten die dort beschriebenen zweckbezogenen Kriterien; eine feste Löschfrist für Cloudflares Systeme geben wir nicht vor. Weitere Informationen und Kontaktdaten: Cloudflare: Turnstile Privacy Addendum und Cloudflare: Datenschutzerklärung.

Dieselbe Prüfung schützt die Registrierung mit E-Mail-Adresse unter /auth/register: Auch dort lädt Turnstile erst, wenn du das Formular benutzt, und unser Server prüft das Einmal-Token vor dem Anlegen des Kontos, ohne deine IP-Adresse, deine E-Mail-Adresse oder dein Passwort an Cloudflare zu übermitteln. Ist die Prüfung blockiert oder schlägt sie fehl, kann das Konto nicht angelegt werden. Die Registrierung über eine Team-Einladung oder mit Google verwendet Turnstile nicht.

Wenn du einen Bericht per E-Mail anforderst, übergeben wir die Empfängeradresse und das PDF mit geprüfter URL und Befunden an Resend (siehe E-Mail-Versand). Das dient ausschließlich dem einmalig beauftragten Versand (Art. 6 Abs. 1 lit. b DSGVO). Zustellungsreferenz und Empfängeradresse bleiben bis zu 90 Tage gespeichert, damit wir doppelte Sendungen verhindern und Fehler bearbeiten können. Für einen erneuten Zustellversuch bleibt die PDF-Datei bis zur erfolgreichen Übergabe gespeichert, höchstens bis zur Bereinigung des Checks. Die PDF-Anforderung meldet dich nicht zu Werbung an.

Nur mit deiner ausdrücklichen Einwilligung speichern wir E-Mail-Adresse, geprüfte Website, Zeitpunkt und Version deiner Einwilligung, um dich zu diesem Check zu kontaktieren (Art. 6 Abs. 1 lit. a DSGVO). Die Kontaktanfrage wird nach 90 Tagen gelöscht. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft per E-Mail an info@accessonaut.com widerrufen. Die Anfrage meldet dich nicht zu einem Newsletter an.

Mit deiner Einwilligung speichern wir Namen, E-Mail-Adresse, Organisation, Tätigkeitsbereich, Land, optionale Website und Nachricht, um dein Vorhaben zu bearbeiten und dich dazu zu kontaktieren (Art. 6 Abs. 1 lit. a DSGVO). Wir erfassen Zeitpunkt und Version der Einwilligung. Über eine neue Anfrage benachrichtigen wir uns selbst per E-Mail; deine Adresse ist dabei als Antwortadresse hinterlegt. Die Angaben sind ausschließlich für die Plattformadministration zugänglich und melden dich nicht zu einem Newsletter an. Partneranfragen werden nach 90 Tagen gelöscht. Du kannst deine Einwilligung widerrufen und eine frühere Löschung verlangen.

Zur Missbrauchsbegrenzung speichern wir innerhalb des Anfragevorgangs einen mittels HMAC pseudonymisierten Wert deiner IP-Adresse. Eine zufällige Anfragereferenz und ein Prüfsummenwert verhindern doppelte Anfragen bei einem erneuten Übertragungsversuch. Diese Werte werden zusammen mit der Anfrage entfernt (Art. 6 Abs. 1 lit. f DSGVO).

Für dein Konto speichern wir Namen, E-Mail-Adresse, einen Hashwert deines Passworts oder bei Anmeldung mit Google deine Google-Kontokennung sowie den Bestätigungsstatus. Hinzu kommen deine Organisation, Projekte, Scanergebnisse, Ergebnisse und Notizen deiner manuellen Prüfungen, Widget-Einstellungen, Nutzungszähler und dein Tarif. Das Passwort speichern wir nie im Klartext. Für die Bestätigung deiner Adresse und das Zurücksetzen des Passworts verwenden wir zeitlich begrenzte Einmaltokens (Bestätigung 24 Stunden, Passwortlink 60 Minuten). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Projektberichte bleiben gespeichert, bis du das Projekt oder dein Konto löschst. Projekte kannst du selbst im Dashboard löschen. Die Löschung deines Kontos kannst du jederzeit per E-Mail an info@accessonaut.com verlangen; wir führen sie innerhalb von 30 Tagen durch, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

Bei der Registrierung speichern wir außerdem, über welchen Link unserer Website du zur Registrierung gekommen bist (eine kurze Kennung wie „pricing_free“), gegebenenfalls die Kampagnenangaben utm_source, utm_medium und utm_campaign aus der Adresse der Registrierungsseite und den Hostnamen der Website, von der aus du zu uns gekommen bist (zum Beispiel www.google.com, ohne Pfad). Die Registrierungsseite liest diese Angaben beim Absenden aus ihrer eigenen Adresse und der verweisenden Seite; dafür werden keine Cookies gesetzt und nichts auf deinem Gerät gespeichert. Angaben, die nicht in dieses Format passen (etwa E-Mail-Adressen), verwerfen wir. Wir werten sie nur zusammengefasst aus, um zu verstehen, welche Seiten und Kanäle zu Registrierungen führen (Art. 6 Abs. 1 lit. f DSGVO), und löschen sie mit deinem Konto.

Du kannst dich statt mit E-Mail-Adresse und Passwort auch mit deinem Google-Konto registrieren und anmelden. Google wird erst eingebunden, wenn du die Google-Anmeldung auswählst; dein Google-Passwort erfahren wir nicht. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Für die Berechtigungen „openid“, „email“ und „profile“ übermittelt Google uns deinen Namen, deine E-Mail-Adresse samt Bestätigungsstatus und deine eindeutige Google-Kontokennung. Ein bestehendes Passwortkonto verknüpfen wir nur auf deinen ausdrücklichen Auftrag nach der Anmeldung. Ein kurzlebiges Cookie schützt den Anmeldevorgang (siehe Cookies). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Für den Anmeldevorgang bei Google ist Google selbst verantwortlich. Dabei können Daten an die Google LLC in den USA übermittelt werden; die Google LLC ist nach dem EU-U.S. Data Privacy Framework zertifiziert, für das ein Angemessenheitsbeschluss der EU-Kommission besteht (Art. 45 DSGVO). Weitere Informationen: Datenschutzerklärung von Google.

Gespeicherte Barrierefreiheitserklärungen und Sprachtexte liegen versioniert in deinem Projekt. Wir speichern Eingaben, Ausgangstext, Scanbelege, Entwürfe, Bearbeiterkennung, Zeitpunkte und die ausdrückliche Freigabe. Entwürfe sind nur angemeldeten Projektmitgliedern zugänglich. Erst mit der Veröffentlichung wird die freigegebene Fassung über einen öffentlichen, nicht erratbaren Link und eine optionale Einbettung abrufbar; jede Person mit diesem Link kann sie lesen. Spätere Änderungen an einem Entwurf werden erst nach erneuter Freigabe öffentlich.

Du kannst eine Veröffentlichung zurückziehen; Kopien, die Dritte bereits angefertigt haben, lassen sich dadurch nicht zurückholen. Zum Dienst gehört eine jährliche Erinnerung an die Überprüfung einer Erklärung per E-Mail an ein aktives, bestätigtes Inhaber- oder Administratorkonto. Dokumentversionen bewahren wir bis zur Löschung des Dokuments, Projekts oder Kontos auf. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Für Bildbeschreibungen und Texte in einfacher Sprache nutzen wir die Claude API von Anthropic, derzeit mit dem Modell Claude Sonnet 5.5; der Alt-Text-Generator nutzt das Modell Claude Haiku 5.5 desselben Anbieters. Vertragspartner für Kunden im Europäischen Wirtschaftsraum ist die Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland. Wir übermitteln nur dann Daten an Anthropic, wenn du einen KI-Auftrag ausdrücklich startest oder in den Tarifen Pro und Business die Bild-Automatisierung für ein Projekt einschaltest. Übermittelt werden die für den Auftrag nötigen Inhalte: bei einfacher Sprache der Ausgangstext mit Zielgruppe, Zweck und Fachbegriffen, bei Bildbeschreibungen die Bilddaten; jeweils mit Seitentitel und Seitenkontext. Für Bildbeschreibungen lädt unser Server das ausgewählte öffentliche Bild und übermittelt die Bilddaten. Bei Texten in einfacher Sprache lassen wir die Länge des Auftrags vorher bei Anthropic kostenlos zählen (Token-Zählung); dabei wird derselbe Inhalt übermittelt. Bei eingeschalteter Bild-Automatisierung geschieht das für neu gefundene Bilder deines Projekts ohne weiteren Einzelauftrag, bis du sie ausschaltest. Jeder Auftrag wird einmal gesendet, ohne automatische Wiederholung und ohne Weitergabe an andere KI-Anbieter. Ein bloßer Website-Scan löst keine KI-Verarbeitung aus.

Die erzeugten Entwürfe und Nutzungszähler speichern wir in deinem Projekt; Zeitpunkt und Version deiner Freigabe der KI-Verarbeitung dokumentieren wir. Anthropic verarbeitet die Daten als unser Auftragsverarbeiter (Art. 28 DSGVO) nach dem Data Processing Addendum, das Bestandteil der Commercial Terms von Anthropic ist. Nach diesen Bedingungen darf Anthropic Eingaben und Ausgaben nicht zum Training seiner Modelle verwenden. Eingaben und Ausgaben der API löscht Anthropic nach eigenen Angaben automatisch innerhalb von 30 Tagen. Länger aufbewahrt werden sie nur, soweit das gesetzlich erforderlich ist oder um Anthropics Nutzungsrichtlinien durchzusetzen: Von automatischen Sicherheitssystemen markierte Eingaben und Ausgaben bis zu 2 Jahre, die zugehörigen Sicherheitsbewertungen bis zu 7 Jahre (Anthropic: Speicherdauer bei der API). Eine Verarbeitung in den USA ist möglich; Grundlage sind die im Data Processing Addendum vereinbarten EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Weitere Informationen: Commercial Terms, Data Processing Addendum und Datenschutzerklärung von Anthropic. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Übermittle bitte nur Inhalte, für deren Verarbeitung du berechtigt bist; besonders schutzwürdige oder vertrauliche Inhalte gehören nicht in diese Werkzeuge.

Die KI-Werkzeuge „Text in einfache Sprache umwandeln“ und „Alt-Text-Generator“ stehen nur angemeldeten Nutzerinnen und Nutzern zur Verfügung, auf den Werkzeugseiten und im Arbeitsbereich. Wenn du eine Anfrage startest und der Übermittlung zustimmst, senden wir die dafür nötigen Inhalte an Anthropic (Claude): beim Umwandeln deinen Text, seine Sprache und die gewählte Zielgruppe, beim Alt-Text-Generator die hochgeladene Bilddatei, deinen optionalen Seitenkontext und die gewählte Sprache. Vor der Verarbeitung lassen wir die Länge der Anfrage bei Anthropic kostenlos zählen (Token-Zählung); dabei wird derselbe Inhalt übermittelt. Jede Anfrage wird einmal gesendet, ohne automatische Wiederholung.

Accessonaut speichert Eingaben und Ergebnisse der Werkzeuge nicht: Text, Bild, Kontext und Ergebnis werden nur für die Dauer der Anfrage im Arbeitsspeicher verarbeitet und dir angezeigt. Sie gelangen nicht in unsere Datenbank, unsere Server-Logs oder die Fehlerdiagnose. Gespeichert wird ein Ergebnis nur, wenn du es selbst übernimmst, etwa als Entwurf im Bereich Einfache Sprache (siehe Abschnitt zu Erklärungen und Sprachtexten). Für die Monatskontingente speichern wir je Konto und Kalendermonat nur, wie oft jedes Werkzeug genutzt wurde; für die gemeinsame KI-Kapazität der Free-Konten zusätzlich eine monatliche Gesamtsumme ohne Bezug zu einem Konto.

Zweck ist die Bereitstellung der von dir angeforderten Funktion; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Anthropic verarbeitet die Inhalte als unser Auftragsverarbeiter; für Vertragsgrundlage, Speicherdauer bei Anthropic und eine mögliche Verarbeitung in den USA gilt der Abschnitt KI-Funktionen mit Claude (Anthropic). Übermittle nur Inhalte, die du verarbeiten lassen darfst. Bilder können personenbezogene Daten enthalten, etwa erkennbare Personen; das Werkzeug ist nicht dafür gedacht, Personen zu identifizieren.

Für den beauftragten Dokumentdienst speichern wir die hochgeladene PDF-Datei, den extrahierten Text, erkannte Prüfhindernisse, Bearbeitungsangaben und die erzeugten PDF- und HTML-Lesefassungen. Die Dateien werden auf unserem Server verarbeitet; die Aufbereitung nutzt keinen KI-Anbieter. Den Text gescannter Seiten liest eine Texterkennungssoftware (Tesseract) ausschließlich auf unserem Server aus; dabei werden keine Daten an Dritte übermittelt. Dateien und Inhaltsdaten stehen höchstens 84 Tage innerhalb des jeweiligen Verarbeitungszyklus zur Verfügung und werden danach automatisch entfernt; das Ablaufdatum siehst du im Konto, und du kannst Dokumente vorher löschen. Bestell-, Rechnungs- und Zahlungsangaben bewahren wir aufgrund gesetzlicher Pflichten länger auf (siehe Stripe). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Lade nur Dateien hoch, für die du die erforderlichen Rechte und eine Grundlage zur Verarbeitung besitzt.

Websitebetreiber können unser Lesehilfen-Widget auf ihrer Website einbinden. Ruft jemand eine solche Seite auf, fragt sein Browser bei api.accessonaut.com die veröffentlichte Widget-Konfiguration ab. Dabei übermittelt er die Projektkennung, die Domain der Website und die Adresse der aktuellen Seite, damit wir freigegebene Bildbeschreibungen für genau diese Seite ausliefern können, sowie technisch IP-Adresse und Browserkennung. Diese Angaben speichern wir nicht in unserer Datenbank. Für den Websitebetreiber speichern wir je Projekt nur, wann das Widget zuletzt auf der registrierten Website geladen wurde, und wie oft es an jedem Kalendertag geladen wurde (Widget-Aufrufe für das Kontingent des Tarifs). Der Zeitstempel wird höchstens alle 6 Stunden aktualisiert; beide Angaben haben keinen Bezug zu einzelnen Besuchern. Öffnet jemand das Menü der Lesehilfen, meldet das Widget außerdem höchstens einmal pro Seitenaufruf, dass das Menü geöffnet wurde, den Seitenpfad ohne Parameter und ohne kennungsartige Bestandteile (etwa Bestellnummern), eine grobe Geräteklasse (Desktop, Tablet, Smartphone) und welche Lesehilfen und Profile eingeschaltet wurden. Diese Meldung enthält keine Cookies, keine Kennung und keinen Referrer; wir zählen sie nur als Tagessummen je Projekt für die Nutzungsstatistik des Websitebetreibers, speichern dabei weder IP-Adresse noch Browserkennung und löschen die Tagessummen nach etwa 13 Monaten. Browser mit „Do Not Track“ oder Global Privacy Control senden keine solchen Meldungen, ebenso der Shop-Datenschutzmodus unseres WooCommerce-Plugins. Damit Bots und automatische Prüfungen nicht mitgezählt werden, werten wir die Browserkennung nur im Moment des Abrufs aus und speichern sie nicht. Zur Missbrauchsbegrenzung zählen wir die Abrufe je IP-Adresse für eine Minute im Arbeitsspeicher; unsere Schnittstellenprotokolle enthalten nur den Pfad ohne Parameter (siehe Server-Logs). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einer sicheren Auslieferung des Widgets.

Die Einstellungen, die Besucher im Widget wählen, etwa Schriftgröße oder Kontrast, speichert das Widget im lokalen Speicher ihres Browsers unter „accessonaut_accessibility_settings“; sie werden nicht an uns übertragen. Ältere Versionen nutzten den Schlüssel „inclulab_accessibility_settings“; er wird beim nächsten Besuch übernommen und gelöscht. Das ist für die ausdrücklich gewünschte Funktion erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Im Free-Tarif zeigt das Widget einen Link zu Accessonaut. Ob das Widget eingebunden wird, entscheidet der jeweilige Websitebetreiber; er informiert in seiner eigenen Datenschutzerklärung darüber.

Der private Browser-Assistent in den Tarifen Pro und Business zeigt angemeldeten Projektmitgliedern Befunde direkt auf ihrer Website. Dafür wird ein Startcode, der höchstens 10 Minuten gilt, gegen eine Sitzung von höchstens 30 Minuten getauscht; übermittelt werden Seitenadresse und Domain, damit die passenden Befunde angezeigt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Kostenpflichtige Tarife und den Dokumentdienst rechnen wir über den Zahlungsdienstleister Stripe ab (Stripe Payments Europe, Limited, Dublin, Irland). Verarbeitet werden Name oder Firma, Rechnungsanschrift und E-Mail-Adresse, der gebuchte Tarif oder Auftrag, Zahlungs- und Rechnungshistorie sowie deine Zahlungsmitteldaten. Die Zahlungsmitteldaten gibst du in ein Formular von Stripe ein, das in Accessonaut eingebettet ist; vollständige Kartennummern erhalten wir nicht, sondern nur Angaben wie Kartenmarke, die letzten vier Ziffern und das Ablaufdatum. Die Skripte von Stripe werden erst geladen, wenn du eine Zahlung vorbereitest oder ein Zahlungsmittel änderst. Sie erfassen zur Betrugsprävention Geräte- und Verbindungsdaten wie die IP-Adresse und können dafür Cookies oder ähnliche Technologien verwenden, die für den angeforderten Zahlungsvorgang unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG).

Soweit Stripe die Zahlungen für uns abwickelt, handelt Stripe als unser Auftragsverarbeiter. Für eigene Zwecke, insbesondere Betrugsprävention, eigene gesetzliche Pflichten und die Abwicklung mit Karten- und Zahlungsnetzwerken, ist Stripe eigenständig verantwortlich (Datenschutzerklärung von Stripe). Stripe kann Daten an die Stripe, Inc. in den USA übermitteln; diese ist nach dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO), ergänzend setzt Stripe EU-Standardvertragsklauseln ein (Art. 46 Abs. 2 lit. c DSGVO). Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO und Art. 6 Abs. 1 lit. c DSGVO. Rechnungen und Buchungsbelege bewahren wir acht Jahre auf (§ 14b Abs. 1 UStG, § 147 AO).

E-Mails des Dienstes, also Bestätigung deiner Adresse, Passwort- und Sicherheitshinweise, angeforderte PDF-Berichte, Monitoring-Hinweise, Erinnerungen an Erklärungen, Nachrichten zu Dokumentbestellungen, Rechnungen als PDF-Anhang, Hinweise zu den Widget-Aufrufen deines Tarifs, Einrichtungstipps und Monatsübersichten sowie unsere internen Hinweise zu Partneranfragen, versenden wir über Resend, einen Dienst der Plus Five Five, Inc., San Francisco, USA. Resend erhält dafür Empfängeradresse, Betreff, Inhalt und gegebenenfalls Anhang der jeweiligen E-Mail sowie die Zustelldaten. Öffnungs- und Klickverfolgung sind ausgeschaltet. Wir versenden über die EU-Region von Resend; weil Resend ein US-Unternehmen ist, können Daten dennoch in die USA übermittelt werden. Grundlage ist die Zertifizierung von Resend nach dem EU-U.S. Data Privacy Framework (Art. 45 DSGVO); ergänzend sind in der Auftragsverarbeitungsvereinbarung von Resend EU-Standardvertragsklauseln vereinbart (Art. 46 Abs. 2 lit. c DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Sicherheitshinweise, Einrichtungstipps, Monatsübersichten und interne Benachrichtigungen Art. 6 Abs. 1 lit. f DSGVO. Unsere eigenen Protokolle enthalten zum Versand nur Kategorie und Fehlerart, nie Empfänger oder Inhalte.

Nach deiner Registrierung schicken wir dir an die Adresse deines Kontos einige E-Mails, die beim Einstieg helfen: eine Begrüßung mit dem nächsten Schritt, sobald deine Adresse bestätigt ist, höchstens zwei Erinnerungen (etwa 3 und 10 Tage nach der Registrierung), solange noch kein Scan abgeschlossen oder das Widget auf deiner Website noch nicht erkannt ist, und, solange du den Free-Tarif nutzt, einmal im Monat eine Übersicht mit dem letzten Scan, den offenen Barrieren, den verbleibenden Scans und einem Hinweis auf unsere Tarife mit automatischem Monitoring. Dafür verwenden wir deine E-Mail-Adresse, deinen Vornamen, die Sprache deines Kontos und Angaben aus deinem Konto (Websites, Scanergebnisse, ob das Widget erkannt wurde, Tarif). Welche dieser E-Mails wir wann gesendet haben, speichern wir zu deinem Konto, damit keine doppelt ankommt. Öffnungen und Klicks werten wir nicht aus; versendet wird über Resend (siehe E-Mail-Versand über Resend).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, dass du den Dienst, für den du dich registriert hast, einrichten und nutzen kannst, und dich auf eigene ähnliche Leistungen hinzuweisen (Direktwerbung, Erwägungsgrund 47 DSGVO). Für die werblichen Hinweise stützen wir uns auf § 7 Abs. 3 UWG: Wir weisen nur auf eigene ähnliche Leistungen hin, haben deine Adresse bei deiner Registrierung erhalten und weisen dort und in jeder dieser E-Mails auf dein Widerspruchsrecht hin. Du kannst jederzeit widersprechen, ohne dass dir dafür andere als die Übermittlungskosten nach den Basistarifen entstehen: über den Abmeldelink in jeder dieser E-Mails (auch über die Abmeldefunktion deines E-Mail-Programms), in deinem Konto unter „Profil & Sicherheit“ oder per E-Mail an info@accessonaut.com. Danach senden wir dir keine dieser E-Mails mehr; Sicherheitshinweise, Rechnungen und E-Mails, die du selbst anforderst, sind davon nicht betroffen. Deinen Widerspruch speichern wir mit dem Zeitpunkt, damit wir ihn beachten können. Konten, die vor der Einführung dieser E-Mails angelegt wurden, erhalten sie nur, wenn sie die Einstellung selbst einschalten.

Um zu verstehen, welche Seiten von accessonaut.com und der Anwendung genutzt werden, setzen wir die Open-Source-Software Umami ein. Wir betreiben Umami selbst unter analytics.accessonaut.com auf unserem Server in der EU (siehe Hosting). Die Messdaten bleiben dort; wir geben sie an niemanden weiter, auch nicht an den Hersteller von Umami.

Es wird kein Skript von analytics.accessonaut.com geladen. Stattdessen meldet unsere eigene Seite jeden Seitenaufruf mit einer einzelnen Anfrage. Sie enthält nur die Kennung der Website, den Hostnamen und den Seitenpfad; Projekt- und Dokumentkennungen im Pfad ersetzen wir durch allgemeine Bezeichnungen. Abfrageparameter, URL-Fragmente, verweisende Seiten, E-Mail-Adressen und Kontodaten senden wir nicht. Aufrufe von Anmelde-, Administrations- und Checkout-Seiten melden wir nicht. Zusätzlich melden wir auf dieselbe Weise einige Schritte als Ereignis mit festem Namen, zum Beispiel „Website-Check gestartet“, „Registrierung abgeschlossen“, „E-Mail-Adresse bestätigt“, „Website angelegt“, „Widget-Einbau erkannt“ oder „Kauf abgeschlossen“. Ein Ereignis enthält höchstens kurze Codes wie den gewählten Tarif, die Anmeldeart (Passwort oder Google), den Bereich des Check-Ergebnisses (zum Beispiel „70–89“) oder einen Fehlercode, nie die geprüfte Website, E-Mail-Adressen, Kennungen oder freie Texte. Registrierung und Anmeldung mit Google meldet unser Server; er gibt dabei nur die Browserkennung weiter, nicht deine IP-Adresse. Wie jede Anfrage überträgt dein Browser dabei technisch deine IP-Adresse und Browserkennung. Umami leitet daraus Browser, Betriebssystem, Gerätetyp und ungefähren Standort ab und bildet mit einem täglich wechselnden geheimen Wert einen Hashwert als Sitzungskennung, damit Besuche gezählt werden können, ohne dich wiederzuerkennen; die IP-Adresse selbst wird nicht gespeichert.

Die Messung setzt keine Cookies und speichert nichts auf deinem Gerät. Sind in deinem Browser „Do Not Track“ oder „Global Privacy Control“ eingeschaltet, senden wir keine Meldungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist es, Reichweite und Nutzung zu verstehen und Inhalte und Funktionen zu verbessern, mit möglichst wenigen Daten, ohne Profile und ohne Weitergabe. Eine Einwilligung ist dafür nicht erforderlich, weil wir nichts auf deinem Endgerät speichern oder auslesen. Die Messdaten löschen wir nach 90 Tagen automatisch. Du kannst jederzeit per E-Mail an info@accessonaut.com widersprechen oder analytics.accessonaut.com mit einem Inhalteblocker sperren.

Bei technischen Fehlern übermitteln wir ausgewählte Fehlerereignisse an unseren selbst betriebenen GlitchTip-Dienst unter errors.accessonaut.com; weitere Empfänger gibt es dafür nicht. Ein Ereignis enthält die Fehlerklasse, bereinigte Verweise auf die betroffene Programmstelle, Zeitpunkt, eine zufällige Ereigniskennung sowie Angaben zu Softwareversion, Laufzeit und technischem Vorgang. Fehlermeldungstexte, besuchte Seitenadressen, Abfrageparameter, Kontodaten, IP-Adressen, Kopfzeilen und Anfrageinhalte werden nicht übernommen; Sitzungen, Eingaben oder Leistungsdaten zeichnen wir nicht auf. Beim Verbindungsaufbau empfängt der Dienst technisch die IP-Adresse; sie wird nicht im Ereignis gespeichert. Im Browser verhindern „Do Not Track“ und „Global Privacy Control“ den Versand. Fehlerereignisse werden nach 30 Tagen automatisch gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an der Erkennung und Behebung technischer Störungen.

Accessonaut setzt nur technisch notwendige Cookies: „auth_token“ hält dich nach der Anmeldung angemeldet (HttpOnly, höchstens 7 Tage, wird beim Abmelden gelöscht); ein Cookie für den Google-Anmeldevorgang schützt diesen vor Missbrauch und gilt 10 Minuten. Der kostenlose Website-Check legt seinen Zugriffstoken im Sitzungsspeicher des Tabs ab; dein Browser löscht ihn beim Schließen des Tabs. Die automatische Sicherheitsprüfung setzt kein Cookie; ihr Einmal-Token liegt nur im Arbeitsspeicher der Seite. Widget-Vorschau-Einstellungen und frühere lokale Erklärungsentwürfe liegen im lokalen Speicher deines Browsers, bis du sie selbst löschst oder ausdrücklich in dein Konto übernimmst. Manuelle Checklisten speichern wir in deinem Projekt (siehe Konto); eine früher nur im Browser abgelegte Checkliste übernehmen wir beim nächsten Öffnen einmalig in dein Projekt und entfernen sie danach aus dem Browser. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG; eine Einwilligung ist dafür nicht erforderlich, und wir setzen keine Analyse- oder Marketing-Cookies. Zu Stripe siehe Zahlungsabwicklung, zum Widget auf Kundenwebsites siehe Lesehilfen-Widget.

Personenbezogene Daten erhalten nur die in dieser Erklärung genannten Dienstleister, jeweils für den beschriebenen Zweck:

• Contabo GmbH, München: Hosting in Lauterbourg (Frankreich), Auftragsverarbeiter
• Google Cloud EMEA Limited (Irland): verschlüsselte externe Datensicherung in Frankfurt am Main, Auftragsverarbeiter
• Resend (Plus Five Five, Inc., USA): E-Mail-Versand, Auftragsverarbeiter
• Stripe Payments Europe, Limited (Irland): Zahlungsabwicklung, Auftragsverarbeiter und eigenständig verantwortlich
• Anthropic Ireland, Limited (Irland): KI-Funktionen auf deinen Auftrag, Auftragsverarbeiter
• Cloudflare, Inc. (USA): Sicherheitsprüfung des Website-Checks, Auftragsverarbeiter und eigenständig verantwortlich
• Google Ireland Limited (Irland): Anmeldung mit Google, eigenständig verantwortlich

Bei Resend, Stripe, Anthropic, Cloudflare und Google können Daten in die USA übermittelt werden; die jeweilige Grundlage nennen wir im entsprechenden Abschnitt. Darüber hinaus geben wir personenbezogene Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

• Kontodaten, Projekte und Berichte: bis zur Löschung durch dich oder auf deinen Wunsch
• Ergebnisse des kostenlosen Website-Checks: 24 Stunden
• Eingaben und Ergebnisse der KI-Werkzeuge: keine Speicherung über die Anfrage hinaus; Nutzungszähler bis zur Löschung des Kontos
• Kontaktanfragen zum Check und Partneranfragen: 90 Tage
• Zustellungsreferenzen für PDF-Berichte: bis zu 90 Tage
• Hochgeladene PDF-Dateien und Lesefassungen: höchstens 84 Tage
• Reichweitenmessung (Seitenaufrufe und Ereignisse): 90 Tage
• Herkunft der Registrierung, Versandprotokoll der Einrichtungstipps und Monatsübersichten und dein Widerspruch dagegen: bis zur Löschung deines Kontos
• Fehlerereignisse: 30 Tage
• Fehlerprotokolle des Webservers: höchstens 15 Tage
• Datenbanksicherungen: 30 Tage auf unserem Server, bis zu etwa 13 Monate (verschlüsselte externe Sicherung)
• Rechnungen und Buchungsbelege: acht Jahre

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 21 DSGVO). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Wende dich dafür formlos an info@accessonaut.com. Gesetzliche Aufbewahrungspflichten können einer sofortigen Löschung einzelner Abrechnungsdaten entgegenstehen.

Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

Du hast das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit gegen die Verarbeitung dich betreffender personenbezogener Daten Widerspruch einzulegen, die wir auf Grundlage unserer berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten. Das betrifft insbesondere die Server-Logs und die Missbrauchsbegrenzung, die Fehlerdiagnose, die Reichweitenmessung mit Umami, die Herkunftsangaben der Registrierung, die Auslieferung des Widgets, Sicherheitshinweise, Einrichtungstipps und Monatsübersichten per E-Mail und die Datensicherungen. Legst du Widerspruch ein, verarbeiten wir die betroffenen Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Der Verwendung deiner Daten für Direktwerbung, etwa für die Hinweise auf unsere Tarife in der Monatsübersicht, kannst du jederzeit ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO), am einfachsten über den Abmeldelink in diesen E-Mails (siehe Einrichtungstipps und Monatsübersicht). Deinen Widerspruch kannst du formlos an info@accessonaut.com richten.

Gesetzlich verpflichtet, uns personenbezogene Daten bereitzustellen, bist du nicht. Für ein Konto brauchen wir aber Name, E-Mail-Adresse und Passwort oder dein Google-Konto, für kostenpflichtige Tarife zusätzlich Rechnungsanschrift und Zahlungsmittel; ohne sie können wir kein Konto anlegen und keinen kostenpflichtigen Tarif bereitstellen. Die Angaben in Rechnungen schreibt das Steuerrecht vor. Deine E-Mail-Adresse beim kostenlosen Check gibst du freiwillig an. Die Daten in den Server-Logs fallen technisch bei jedem Aufruf an.

Ausschließlich automatisierte Entscheidungen, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO), treffen wir nicht, und wir betreiben kein Profiling. Automatisch angewendet werden nur feste Regeln wie Tarifkontingente und die Abweisung zu vieler Anfragen in kurzer Zeit. Stripe kann Zahlungen im Rahmen seiner eigenen Betrugsprävention automatisiert ablehnen; dafür ist Stripe selbst verantwortlich.