Datenschutzerklärung

Stand: April 2026

1. Verantwortlicher

NLTS Global Analytics s.r.o.
Malá 43/6, 301 00 Pilsen (CZ)
E-Mail: [email protected]
Geschäftsführer: Frank Drescher, MBA

2. Übersicht der Verarbeitungen

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung unseres Dienstes (Website-Datenschutz-Audits) erforderlich ist. Nachfolgend informieren wir Sie über Art, Umfang und Zweck der Datenverarbeitung.

3. Rechtsgrundlagen

Die Verarbeitung erfolgt auf Basis folgender Rechtsgrundlagen:

4. Welche Daten wir verarbeiten

4.1 Account-Daten

Bei der Registrierung: E-Mail-Adresse. Optional: Name, Unternehmen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: Bis zur Kontolöschung.

4.2 Scan-Daten

Bei der Durchführung eines Scans verarbeiten wir die eingegebene URL sowie die technischen Ergebnisse des Scans (HTTP-Header, DNS-Records, Tracker-Listen, Screenshots). Es werden keine personenbezogenen Daten der gescannten Website-Besucher verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: 12 Monate oder bis zur Löschung durch den Nutzer.

4.3 Zahlungsdaten

Die Zahlungsabwicklung für Einzelscans erfolgt über PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg. Wir erhalten keine vollständigen Zahlungsdaten; PayPal übermittelt uns lediglich Transaktions-ID, Betrag und E-Mail-Adresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Die Rechnungsstellung für Monitoring-Abos und B2B-Aufträge erfolgt über Billogram AB, Grev Turegatan 30, 114 38 Stockholm, Schweden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Auftragsverarbeitung nach Art. 28 DSGVO (EU-Serverstandort).

4.4 Server-Logfiles

Bei jedem Zugriff werden automatisch erfasst: IP-Adresse (anonymisiert nach 7 Tagen), Zeitstempel, angeforderte Ressource, Statuscode, User-Agent. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: 7 Tage.

5. Eingesetzte Dienste (exakte Auflistung nach Art. 13 DSGVO)

5.1 Hosting & Infrastruktur

DigitalOcean, LLC, 101 Avenue of the Americas, New York, NY 10013, USA — Serverstandort: EU (Frankfurt am Main). Auftragsverarbeitung nach Art. 28 DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Datenübermittlung in die USA auf Basis des EU-US Data Privacy Framework (DPF, Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023).

5.2 CDN / DNS / DDoS-Schutz

Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Verarbeitung: IP-Adressen für Lastverteilung, DDoS-Schutz und DNS-Auflösung. Speicherdauer: max. 24 Stunden in Logs. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. DPF-zertifiziert.

5.3 Webschriften (lokal gehostet)

Alle verwendeten Schriftarten (Inter, Playfair Display, Roboto Mono) werden lokal von unserem eigenen Server ausgeliefert. Es findet keine Verbindung zu Google-Servern (Google Fonts) und keine Übermittlung der Nutzer-IP an Dritte statt. Eine Einwilligung ist hierfür nicht erforderlich.

5.4 Zahlungsabwicklung

PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg — für Einzelkauf-Transaktionen (Forensic-Audit, Dark Pattern Check). Verarbeitete Daten: E-Mail-Adresse, Transaktions-ID, Betrag. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Billogram AB, Grev Turegatan 30, 114 38 Stockholm, Schweden — für Monitoring-Abos, Rechnungsstellung und B2B-Fakturierung. Verarbeitete Daten: Name, Unternehmensname, Rechnungsadresse, E-Mail, Betrag. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Auftragsverarbeitung nach Art. 28 DSGVO (EU-Serverstandort).

5.5 KI-gestützte Qualitätsprüfung

Anthropic PBC, 548 Market St, San Francisco, CA 94104, USA — Claude API. Zweck: Automatisierte KI-Qualitätsprüfung der Scan-Ergebnisse vor Report-Erstellung (False-Positive-Filter, Schwere-Kalibrierung) sowie optionale AI-Gutachten-Erstellung (Forensic-Audit Professional/Legal). Übermittelt werden ausschließlich technische Website-Daten (URLs, HTTP-Header, Script-Namen, Tracking-Domains) — keine personenbezogenen Endnutzerdaten der gescannten Website. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Datenübermittlung in die USA auf Basis des EU-US Data Privacy Framework (DPF) sowie Standardvertragsklauseln (SCCs) gemäß Art. 46 DSGVO.

5.6 E-Mail-Versand

Postmark (ein Dienst der ActiveCampaign, LLC), 1 North Dearborn Street, Chicago, IL 60602, USA — für Magic-Link-Login und automatischen Report-Versand. Verarbeitete Daten: E-Mail-Adresse, Versandmetadaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. DPF-zertifiziert. Auftragsverarbeitung nach Art. 28 DSGVO.

6. Cookies und Tracking

Wir verwenden keine Tracking-Cookies, kein Analytics, keine Werbung. Cookies: session (HTTP-only, funktional, Login-Session, 30 Tage) und _site_auth (HTTP-only, funktional, Zugangsschutz, 30 Tage). Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (technisch notwendig).

7. Drittlandtransfer

Datenübermittlungen in die USA (Google, Cloudflare, Anthropic, PayPal, Postmark/ActiveCampaign) erfolgen auf Basis des EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023). Die DPF-Zertifizierung der Empfänger wird regelmäßig überprüft. Soweit kein DPF-Zertifikat vorliegt, erfolgt die Übermittlung auf Basis von Standardvertragsklauseln (SCCs) gem. Art. 46 Abs. 2 lit. c DSGVO.

8. Ihre Rechte

Sie haben das Recht auf:

Anfragen an: [email protected]

9. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständige Aufsichtsbehörde: Úřad pro ochranu osobních údajů (ÚOOÚ), Pplk. Sochora 27, 170 00 Praha 7, CZ. Alternativ: Jede EU-Aufsichtsbehörde Ihres Wohnsitzes (Art. 77 DSGVO).

10. Speicherdauer

Account-Daten: Bis zur Kontolöschung. Scan-Ergebnisse: 12 Monate. Server-Logs: 7 Tage. Rechnungsdaten: 10 Jahre (handels- und steuerrechtliche Aufbewahrungspflicht).

11. Automatisierte Entscheidungsfindung

Die Bewertung (Scoring) der gescannten Websites erfolgt automatisiert auf Basis technischer Messwerte. Es handelt sich nicht um eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO, da keine Entscheidungen über natürliche Personen getroffen werden.