Datenschutzerklärung

Stand: Oktober 2026

Der Schutz Ihrer personenbezogenen Daten ist uns wichtig. Diese Erklärung zeigt Ihnen, welche Daten wir bei der Nutzung von EMPEDIAcloud verarbeiten, wozu wir sie brauchen, wer dabei hilft und welche Rechte Sie haben.

1. Verantwortliche Stelle

urbanstudio GmbH
Potsdamer Platz 1
10785 Berlin
Telefon: +49 30 217 990 470
E-Mail: datenschutz@urbanstudio.de

Für Ihre Konto-, Abrechnungs- und Nutzungsdaten sind wir Verantwortliche im Sinne der DSGVO. Die Inhalte, die Sie mit EMPEDIAcloud prüfen lassen (Ihre Websites, Server, Quellcode), verarbeiten wir in Ihrem Auftrag auf Grundlage des Auftragsverarbeitungsvertrags (AVV), den Sie in Ihrem Konto abschließen.

2. Welche Daten wir verarbeiten

• Konto und Anmeldung: E-Mail-Adresse, Passwort (nur als Hash, nie im Klartext), Name und Organisation, Rolle und Berechtigungen. Bei Anmeldung per Passkey speichern wir den öffentlichen Schlüssel des Passkeys, nie biometrische Daten. Optional und nur auf Ihre Veranlassung: eine bestätigte Mobilnummer (zum Empfang von SMS-Alarmen; die Nummer bestätigen Sie mit einem per SMS gesendeten Code), ein Profilfoto sowie die Kennung eines verknüpften Google- oder Microsoft-Kontos.
• Nutzungs- und Sicherheitsdaten: IP-Adresse, Browserkennung (User-Agent) und Zeitpunkt bei Anmeldungen und sicherheitsrelevanten Aktionen (Audit-Log) sowie in Server-Protokollen des Webservers.
• Prüfaufträge: die von Ihnen eingetragenen Domains und URLs, Scan-Konfigurationen und Ergebnisse (Befunde, Berichte, KI-Auswertungen). Beim Domain-Nachweis speichern wir die Prüfmethode und den Zeitpunkt der Bestätigung.
• Monitoring: bei Website-Monitoring Prüfergebnisse (Erreichbarkeit, Antwortzeit, Zertifikate); bei Server-Monitoring die vom Agenten übermittelten Kennzahlen (Hostname, IP-Adresse, Auslastung einschließlich Grafikkarten, Namen laufender Prozesse und Dienste, Updatestand, Neustartzeitpunkte, Momentaufnahme zum Zeitpunkt eines Alarms); bei Heartbeat-Monitoren Zeitpunkt und Ergebnis jeder Meldung Ihres Jobs und ein von Ihnen frei gewählter Kurztext; bei der Subdomain-Überwachung die gefundenen Subdomains Ihrer Domain; der Alarm-Verlauf (Empfänger bzw. Zielkanal und Meldungstext). Wer einen Alarm-Link „Abmelden“ nutzt, wird nur über einen Hash seiner E-Mail-Adresse erfasst.
• Code-Audit: hochgeladene Quelltext-Archive oder per Git/SFTP/FTP abgerufene Dateien. Zugangsdaten für Anbindungen speichern wir verschlüsselt (AES-256-GCM).
• Zahlung und Abrechnung: gebuchtes Paket, Rechnungs- und Zahlungsstatus. Dazu gehören auch Guthaben, Buchungen, Rechnungen (je nach Vereinbarung über Stripe oder unser Rechnungssystem) und Nutzungsnachweise sowie, bei Zahlungsverzug, Zahlungserinnerungen und Mahnungen. Zahlungsdaten (z. B. Kartennummer, IBAN, PayPal-Konto) verarbeitet ausschließlich Stripe; wir erhalten sie nicht, sondern nur Art, Marke und letzte Ziffern des hinterlegten Zahlungsmittels. Das gilt auch für die automatische Aufladung, die Sie jederzeit abschalten können.
• Website-Check-Anfragen (Lead-Formular): E-Mail-Adresse, optional Name, Firma und Nachricht, die geprüfte Website und das Ergebnis. Die Anfrage wird erst nach Bestätigung per E-Mail (Double-Opt-In) wirksam; wir speichern dafür Zeitpunkt der Einwilligung, den Einwilligungstext, den Bestätigungszeitpunkt und einen Hash der IP-Adresse als Nachweis. Nicht bestätigte Anfragen löschen wir nach 14 Tagen. Wer das Formular auf der Website einer Agentur nutzt, sendet die Anfrage an diese Agentur (dort verantwortlich); wir verarbeiten sie als deren Dienstleister. Zusätzlich kann der Besucher freiwillig und getrennt einwilligen, Tipps und Informationen per E-Mail zu erhalten; ohne diese Einwilligung erhält er nur Antworten auf seine Anfrage. Nachrichten an bestätigte Kontakte enthalten einen Abmeldelink.
• E-Mail-Sicherheit (optional): Aggregierte DMARC- und TLS-RPT-Berichte, die Mailserver an eine von uns bereitgestellte Berichtsadresse senden: IP-Adressen und Hostnamen der beteiligten Mailserver, Nachrichtenzahlen, Ergebnisse der SPF-/DKIM-Prüfung, Fehlerarten. Keine Nachrichteninhalte. IP-Adressen kürzen wir nach 90 Tagen, die Berichte löschen wir nach 13 Monaten.
• Suchmaschinen-Daten (optional): Wenn Sie eine Domain mit Google Search Console oder Bing Webmaster Tools verbinden, rufen wir in Ihrem Auftrag Statistiken Ihrer Website ab (Klicks, Impressionen, Position, häufige Suchbegriffe, Indexstatus, Sitemaps, Crawl-Fehler); dazu gehören die von Ihnen ausgewählten Suchbegriffe („beobachtete Keywords“). Bing-Schlüssel speichern wir verschlüsselt. Zusätzlich rufen wir öffentliche Core-Web-Vitals-Messwerte (Chrome UX Report) zu Ihrer Domain ab. Die Verknüpfung können Sie jederzeit trennen; dann löschen wir die Daten.
• Übergabe-Snapshots (optional): Eine unveränderliche Kopie eines Prüfergebnisses mit Protokoll-PDF und Prüfwert (SHA-256). Zur Beweissicherung lassen wir den Prüfwert, nicht den Inhalt, von einer Zeitstempelstelle (RFC 3161) bestätigen. Bestätigt Ihr Kunde einen Snapshot über den Link, speichern wir Name, E-Mail-Adresse, Zeitpunkt und einen Hash der IP-Adresse.
• Domains und Hosting (optional): Für Domain-Registrierung, -Transfer und -Verwaltung verarbeiten wir die Kontaktdaten der Domain-Inhaber und -Ansprechpartner (Name, Firma, Anschrift, E-Mail-Adresse, Telefonnummer; sogenannte Handles), den Domainbestand mit Laufzeiten und Nameservern, DNS-Einträge (einschließlich eines Änderungsprotokolls der Zone mit Zeitpunkt, Benutzer und geänderten Einträgen), Weiterleitungen, Bestellungen (Domain, Preis, Zeitpunkt, Ergebnis) und Anfragen, die Sie uns senden. Bei Zertifikaten verarbeiten wir die Zertifikatsanforderung (CSR) mit den darin enthaltenen Angaben (Domainname, ggf. Organisation, Ort, Land), den Ansprechpartner des Zertifikats (Name, Firma, Anschrift, E-Mail-Adresse, Telefonnummer) und die gewählte Bestätigungsadresse; private Schlüssel erhalten wir nie. Beim Hosting zusätzlich Konto- und Zugangsdaten für das Hosting-Panel (Benutzername; das Anfangspasswort senden wir Ihnen einmalig, gespeichert wird es verschlüsselt) und die zugeordnete Domain.
• KI-API (optional): Konto bei unserem KI-Gateway, die Bezeichnungen Ihrer Schlüssel (die Schlüssel selbst sehen wir nach der Anzeige nicht mehr) und je Anfrage Zeitpunkt, Modell, Schlüssel, Anzahl der Token und Kosten (Nutzungsdaten, 90 Tage als Einzelanfrage, 13 Monate als Tageswert). Die Inhalte Ihrer Anfragen und der Antworten verarbeiten wir ausschließlich, um Ihre Anfrage auf unserer eigenen Hardware in Deutschland zu beantworten; wir speichern sie nicht.
• Verbundene Apps und Schnittstellen: Wenn Sie eine App (z. B. einen KI-Assistenten über MCP oder eine eigene Anwendung über OAuth) mit Ihrem Konto verbinden, speichern wir die Kennung der App, die erteilten Berechtigungen und Zugriffstoken (nur als Hash). Für Webhooks speichern wir die Zieladresse und ein Signaturgeheimnis (verschlüsselt). Was die verbundene App mit den abgerufenen Daten tut, liegt in Ihrer Verantwortung und der des App-Anbieters.
• Empfehlungsprogramm: persönlicher Empfehlungscode; bei Neukunden, die über einen Empfehlungslink kommen, die Zuordnung zum Empfehler; je Zahlung Betrag, Produkt, Datum und Provision. Empfehler sehen Neukunden nur anonym (laufende Nummer), nie mit Namen oder Kontaktdaten.
• Kommunikation: Inhalt und Metadaten von E-Mails, die Sie uns schreiben, sowie der von uns versandten System-E-Mails (z. B. Bestätigung, Passwort, Benachrichtigungen).

3. Zwecke und Rechtsgrundlagen

• Bereitstellung des Dienstes — Konto, Prüfungen, Berichte, Monitoring, Benachrichtigungen, Support: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
• Domains, Hosting, KI-API und verbundene Dienste — Registrierung und Verwaltung von Domains, Bereitstellung von Hosting-Paketen und des KI-Gateways, Abruf und Auswertung der von Ihnen verbundenen Dienste (Suchmaschinen, E-Mail-Sicherheit), Übergabe-Snapshots: Art. 6 Abs. 1 lit. b DSGVO.
• Abrechnung und gesetzliche Pflichten — Buchhaltung, Aufbewahrung von Belegen: Art. 6 Abs. 1 lit. c DSGVO. Zahlungserinnerungen, Mahnungen und die Sperrung von Diensten bei Zahlungsverzug: Art. 6 Abs. 1 lit. b und f DSGVO (Durchsetzung unserer Forderungen).
• Empfehlungsprogramm — Berechnung, Verrechnung und Abrechnung der Provision gegenüber dem Empfehler: Art. 6 Abs. 1 lit. b DSGVO; Speicherung der Zuordnung eines Neukunden zum Empfehler: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Durchführung des Programms und der Abrechnung, bei geringem Eingriff, da der Empfehler keine Daten des Neukunden erhält).
• IT-Sicherheit und Missbrauchsabwehr — Protokolle, Anmeldeschutz, Abwehr von Angriffen: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).
• KI-gestützte Auswertung — Art. 6 Abs. 1 lit. b DSGVO, soweit die Auswertung zur Erfüllung des mit Ihnen geschlossenen Vertrags gehört bzw. von Ihnen als Teil der Leistung angefordert wird; ergänzend Art. 6 Abs. 1 lit. a DSGVO, soweit Sie vor der Nutzung eines externen KI-Anbieters im Einwilligungsdialog zustimmen (siehe Abschnitt 6).

EMPEDIAcloud richtet sich ausschließlich an Unternehmen. Wir treffen keine ausschließlich automatisierten Entscheidungen mit rechtlicher Wirkung für Sie (Art. 22 DSGVO).

4. Empfänger und Auftragsverarbeiter

Wir geben Daten nur weiter, soweit das für den Betrieb nötig ist, und schließen mit unseren Dienstleistern Verträge nach Art. 28 DSGVO.

• Hosting: Unsere Systeme betreiben wir im Rechenzentrum der InternetX GmbH (Resellercloud). Der Anbieter stellt die Infrastruktur bereit und kann dabei technisch Zugriff auf Daten haben; mit ihm besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Die Verarbeitung findet in Deutschland statt. Das gilt auch für die Hosting-Pakete, die wir Ihnen anbieten (Webspace, virtuelle und dedizierte Server).
• E-Mail-Versand: System-E-Mails verschicken wir über Microsoft 365 (Exchange Online) der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland.
• Anmeldung mit Google oder Microsoft (optional): Wenn Sie in den Einstellungen eine Anmeldung über Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) oder Microsoft (Microsoft Ireland Operations Limited, siehe oben) mit Ihrem Konto verknüpfen und diese zum Anmelden nutzen, werden Sie zum jeweiligen Anbieter weitergeleitet. Von dort erhalten wir eine Kennung Ihres Kontos beim Anbieter und die dort hinterlegte E-Mail-Adresse und speichern sie zur Wiedererkennung Ihres Kontos. Ein Konto entsteht dadurch nie; die Verknüpfung können Sie jederzeit in den Einstellungen lösen. Es gelten zusätzlich die Datenschutzbestimmungen des jeweiligen Anbieters.
• Backup-Speicher (optional, Zusatzpaket des WordPress-Plugins): BunnyWay d.o.o. (bunny.net), Slowenien, Speicherzonen in der EU (Standard Deutschland, optional zweite Kopie in Schweden). Dort liegen ausschließlich bereits auf Ihrer Website verschlüsselte Sicherungen (siehe Abschnitt 6c); Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Eigene Speicherziele, die Sie selbst verbinden (z. B. Google Drive, OneDrive, Dropbox, Box, pCloud, S3-kompatible Speicher, WebDAV, SFTP), sind keine Auftragsverarbeiter von uns.
• Zahlungsabwicklung: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland (Datenschutz: stripe.com/de/privacy).
• Rechnungsstellung: Rechnungen stellen wir je nach Vereinbarung über Stripe (siehe oben) oder über das Rechnungssystem der Fastbill GmbH, Frankfurt am Main, Deutschland, aus. Dorthin übermitteln wir Firmenname, Anschrift, E-Mail-Adresse, Umsatzsteuer-ID und die Rechnungspositionen.
• SMS-Versand: SMS-Alarme und Bestätigungscodes senden wir über die CM.com-Gruppe (Niederlande). Übermittelt werden Mobilnummer, Absenderkennung und der Nachrichtentext.
• Domains: Für Registrierung, Transfer und Verwaltung von Domains nutzen wir die InternetX GmbH (Regensburg, Deutschland; Plattform AutoDNS) als Registrar-Dienstleister. An sie und an die Registry der jeweiligen Endung (z. B. DENIC eG für .de) werden die Kontaktdaten der Domain-Inhaber übermittelt, soweit die Registrierung das erfordert; bei Endungen außerhalb der EU kann das eine Übermittlung in ein Drittland bedeuten, die wir auf Standardvertragsklauseln oder die Erforderlichkeit zur Vertragserfüllung stützen. Zonen- und DNS-Daten verwalten wir bei InternetX. Für Zertifikate werden Domainname, Zertifikatsanforderung und Ansprechpartner an InternetX und die jeweilige Zertifizierungsstelle übermittelt, die sie zur Ausstellung und Validierung als eigenständig Verantwortliche verarbeitet. Bei Endungen mit Zusatzanforderungen (z. B. Ausweis- oder Registernummer, Bezug zum Land) übermitteln wir die dafür erforderlichen Angaben an die Registry.
• Suchmaschinen-Daten: Für die von Ihnen verbundene Search Console bzw. Bing Webmaster Tools rufen wir die Daten in Ihrem Namen bei Google Ireland Limited / Google LLC bzw. Microsoft Ireland Operations Limited ab (siehe oben); Core-Web-Vitals-Messwerte stammen aus dem Chrome UX Report von Google.
• Zeitstempel: Für Übergabe-Snapshots senden wir nur den Prüfwert (SHA-256) an eine Zeitstempelstelle (Sectigo Limited, Vereinigtes Königreich; DigiCert, Inc., USA; freetsa.org; optional für qualifizierte Zeitstempel e-commerce monitoring GmbH / GLOBALTRUST, Österreich). Es werden keine Inhalte oder Kontaktdaten übermittelt.
• Öffentliche Verzeichnisse und Dienste: Für die Prüfungen fragen wir öffentliche Verzeichnisse ab, etwa wordpress.org, npmjs.org, packagist.org, pypi.org, osv.dev, vulnerability.circl.lu, wpvulnerability.net, Zertifikats-Transparenzlisten (crt.sh), RDAP-Server der Registries und Spam-Listen (DNSBL). Übermittelt werden nur technische Kennungen (Domainname, Paket- oder Plugin-Name, Version, IP-Adresse); technisch fällt dabei die IP-Adresse unseres Servers an, nicht Ihre.
• Zertifikate für eigene Statusseiten-Domains: Let’s Encrypt (Internet Security Research Group). Dabei werden nur der Domainname und die technische Anfrage verarbeitet.
• KI-Auswertung: siehe Abschnitt 6.

Mit allen Dienstleistern, die in unserem Auftrag personenbezogene Daten verarbeiten, schließen wir einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO) oder eine vergleichbare Vereinbarung ab. Soweit Dienstleister Daten in Ländern außerhalb der EU/des EWR verarbeiten, erfolgt das nur auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist) oder der EU-Standardvertragsklauseln (Art. 46 DSGVO).

5. Prüfungen Ihrer Websites und Server

EMPEDIAcloud ruft die von Ihnen angegebenen Adressen wie ein Besucher ab und analysiert die Antworten. Aktive Sicherheitstests führen wir nur für Domains aus, deren Inhaberschaft Sie nachgewiesen haben. Ergebnisse werden in Ihrem Konto gespeichert und nur Ihrer Organisation angezeigt. Anfragen an interne oder private Adressen werden technisch blockiert. Zur Erkennung von Manipulationen (z. B. Weiterleitungen nur für Suchmaschinen-Bots) rufen wir einzelne Seiten ergänzend mit anderen Browserkennungen ab. Ergebnisse unserer Prüfungen ersetzen keine Rechtsberatung.

6. KI-gestützte Analyse

Bestimmte Funktionen nutzen Künstliche Intelligenz, um Scan-Ergebnisse zu erläutern und Handlungsempfehlungen zu erstellen. Sie ist stets optional und erfordert Ihre ausdrückliche Einwilligung vor der Nutzung.

Welche Daten werden verarbeitet?

Ausschließlich technische Scan-Daten: Befunde, Schweregrade, Scores, die geprüfte Domain-URL, Compliance-Einschätzungen (z. B. NIS2, DORA, WCAG) und Antworten auf optionale Organisations-Fragebögen (nur technische Angaben). Wir übermitteln keine E-Mail-Adressen, Namen, Passwörter oder Anmeldedaten.

Wo läuft die KI?

• Eigene KI-Hardware der urbanstudio GmbH: Die Auswertung läuft auf von uns selbst betriebener Hardware. Es gibt hierfür keinen externen KI-Anbieter.
• Externe KI-Anbieter (nur falls aktiviert oder von Ihnen konfiguriert):
  • OpenAI — für Kunden im EWR und in der Schweiz: OpenAI Ireland Ltd., Dublin, Irland; Konzernmutter OpenAI, L.L.C., USA (Datenschutz: openai.com/policies/privacy-policy).
  • Anthropic — Anthropic, PBC, USA (api.anthropic.com).
  • Weitere OpenAI-kompatible Dienste, die Sie als eigenen Endpunkt (BYO-AI) hinterlegen.
• Selbst betriebene Modelle (z. B. Ollama, vLLM auf Ihrer Infrastruktur): Die Daten verlassen Ihre Infrastruktur nicht.

Welcher Anbieter aktiv ist, zeigt Ihnen der Einwilligungsdialog vor jeder Analyse. Anbieter in der EU und selbst betriebene Modelle sind mit einem EU-Hinweis gekennzeichnet. Nach den API-Bedingungen der Anbieter werden übermittelte Daten nicht zum Training von Modellen verwendet (Stand: April 2026). Ihre Einwilligung können Sie jederzeit unter Einstellungen → KI-Konfiguration widerrufen.

Externe KI-Anbieter: Rechtsgrundlagen und Drittlandübermittlung

Nutzen Sie die KI-Auswertung über einen externen Anbieter (z. B. OpenAI oder Anthropic), werden die oben genannten technischen Scan-Daten an diesen Anbieter übermittelt und dort ausschließlich zur Erstellung Ihrer Auswertung verarbeitet.

• Auftragsverarbeitung: Wir schließen mit externen KI-Anbietern, die wir selbst bereitstellen, einen Vertrag zur Auftragsverarbeitung (Data Processing Addendum) nach Art. 28 DSGVO ab. Soweit ein solcher Vertrag bei einem Anbieter nicht möglich ist, nutzen wir ihn nicht oder nur auf Grundlage einer anderen tragfähigen Rechtsgrundlage und weisen Sie darauf hin.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, weil die von Ihnen gewünschte KI-gestützte Auswertung Teil der vertraglich geschuldeten Leistung ist und wir den Vertrag ohne den Einsatz des gewählten Modells nicht erfüllen könnten; zusätzlich Art. 6 Abs. 1 lit. a DSGVO, soweit Sie im Einwilligungsdialog zustimmen.
• Übermittlung in Drittländer (USA): Soweit der Anbieter Daten außerhalb der EU/des EWR verarbeitet, stützen wir die Übermittlung auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) bzw. einen Angemessenheitsbeschluss, soweit der Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist. Ist beides nicht gegeben, erfolgt die Übermittlung nur ausnahmsweise nach Art. 49 Abs. 1 lit. b bzw. lit. a DSGVO (Erforderlichkeit zur Vertragserfüllung bzw. ausdrückliche Einwilligung nach Information über die Risiken).
• Speicherdauer beim Anbieter: Nach den API-Bedingungen von OpenAI werden über die API übermittelte Daten höchstens 30 Tage gespeichert (z. B. zur Missbrauchserkennung) und anschließend gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Die Fristen anderer Anbieter ergeben sich aus deren Bedingungen.
• Eigener Anbieter-Zugang (BYO-AI): Hinterlegen Sie einen eigenen API-Schlüssel, nutzen Sie den Anbieter auf Ihre Weisung und in Ihrer Verantwortung; Sie schließen die Verträge (einschließlich AVV) dann selbst mit dem Anbieter ab.

Wir weisen darauf hin, dass in den USA ein dem EU-Recht entsprechendes Datenschutzniveau nicht in jedem Fall gewährleistet ist und US-Behörden unter bestimmten Voraussetzungen auf Daten zugreifen können. Wenn Sie das nicht wünschen, nutzen Sie bitte die Auswertung auf unserer eigenen Hardware in Deutschland oder verzichten Sie auf die KI-Auswertung; die übrigen Funktionen bleiben nutzbar.

6a. KI-API (optionales Produkt)

Mit der KI-API können Sie Sprachmodelle direkt aus Ihren Anwendungen nutzen. Sie läuft ausschließlich auf von uns betriebener Hardware in Deutschland; ein externer KI-Anbieter ist daran nicht beteiligt. Die Inhalte Ihrer Anfragen und der Antworten verarbeiten wir nur, um die Anfrage zu beantworten, und speichern sie nicht. Gespeichert werden nur Nutzungsdaten (Zeitpunkt, Modell, Schlüssel, Token-Zahl, Kosten), die wir für Abrechnung, Sperre bei leerem Guthaben und Missbrauchsabwehr brauchen. Senden Sie über die KI-API personenbezogene Daten Dritter, handeln wir dabei als Ihr Auftragsverarbeiter nach dem AVV.

Für die KI-API gelten zusätzlich eigene Nutzungsbedingungen und eine eigene Datenschutzerklärung (jeweils in englischer Sprache): Terms of Service und Privacy Policy. Sie beschreiben die Verarbeitung bei der KI-API verbindlich und ausführlicher, insbesondere: keine dauerhafte Speicherung von Inhalten (Zero Data Retention), keine Verwendung für Training oder Weiterentwicklung von Modellen, IP-Adressen in den Zugriffsprotokollen 7 Tage, technische Metadaten höchstens 30 Tage, kurzlebige Zwischenspeicher für die Verarbeitung höchstens 5 Minuten. Das direkte Angebot richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB. Bei Widersprüchen gehen diese Dokumente für die KI-API vor.

6b. EMPEDIAcaptcha (optionales Produkt)

EMPEDIAcaptcha schützt Formulare und Schnittstellen unserer Kunden vor automatisierten Anfragen. Beim Besuch einer geschützten Seite ruft der Browser des Besuchers Aufgaben bei uns ab und sendet das Ergebnis samt einigen groben Verhaltenssignalen (z. B. ob das Formular zu schnell abgeschickt wurde). Dabei setzen wir keine Cookies, nutzen weder localStorage noch sessionStorage und bilden keinen Fingerabdruck des Geräts. Die IP-Adresse des Besuchers verarbeiten wir nur kurzzeitig im Arbeitsspeicher für Begrenzungen und den Abgleich mit öffentlichen Sperrlisten (StopForumSpam: IP-Adressen, E-Mail-Adressen, Benutzernamen und Spam-Domains, täglich heruntergeladen und lokal geprüft); sie wird nicht gespeichert und nicht an Dritte übermittelt (die Listen werden von uns heruntergeladen und lokal geprüft). Beim optionalen Formularschutz verarbeitet der Dienst die vom Kunden übermittelten Angaben einer Anfrage (z. B. E-Mail-Adresse, Text) ausschließlich zur Bewertung und speichert sie nicht; gespeichert werden nur vom Kunden angelegte oder per Meldung gelernte Regeln (z. B. gesperrte E-Mail-Adressen, 90 Tage). Gespeichert werden je Website nur Tageszähler (Anzahl der Aufgaben, Lösungen und Prüfungen) sowie für die Dauer von höchstens einigen Minuten bis Stunden die Kennungen bereits verbrauchter Aufgaben und Token, damit sie nicht doppelt verwendet werden können. Legt der Kunde Länder- oder ASN-Regeln an, fragen wir den Standort der jeweiligen IP-Adresse bei einem Dienstleister in der EU (ip-api.com) ab; die Adresse wird dafür übermittelt, aber weder dort von uns noch bei uns dauerhaft gespeichert (Arbeitsspeicher höchstens 10 Minuten); Rechtsgrundlage ist unser berechtigtes Interesse an der Abwehr von Spam und Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Ohne solche Regeln erfolgt keine Abfrage. Beim optionalen Seitenschutz (Vorschaltprüfung) setzt das Modul auf der Website des Kunden – nicht bei uns – ein technisch notwendiges Sitzungs-Cookie (empedia_pass, signierte Freigabe ohne Personenbezug, Gültigkeit 5 Minuten bis 24 Stunden); die Prüfseite selbst setzt keine Cookies. Rechtsgrundlage ist unser berechtigtes Interesse an der Absicherung der Dienste unserer Kunden und der Missbrauchsabwehr (Art. 6 Abs. 1 lit. f DSGVO) bzw. die Vertragserfüllung gegenüber dem Kunden (lit. b). Für die Verarbeitung im Auftrag des Kunden gilt der AVV.

Standortabfrage (ip-api.com): Nur wenn ein Kunde für seine Domain Länder- oder ASN-Regeln aktiviert hat, wird die IP-Adresse des Besuchers zur Ermittlung von Land und Netzbetreiber an den Dienst ip-api.com gesendet. Anbieter ist die ARTIA INTERNATIONAL S.R.L., Bld. Decebal 28, 030971 Bukarest, Rumänien (Handelsregister J40/12390/2011, USt-IdNr. RO29237219, contact@ip-api.com); die Verarbeitung findet in der EU statt. Wir haben mit dem Anbieter einen Auftragsverarbeitungsvertrag geschlossen. Die Adresse wird nur für die Abfrage übermittelt und bei uns nicht dauerhaft gespeichert (Arbeitsspeicher höchstens 10 Minuten). Gleiches gilt für die Auswertung von Server-IP-Adressen im Monitoring und in Audits (Land und Netzbetreiber der vom Kunden eingetragenen oder geprüften Server). Rechtsgrundlage ist unser berechtigtes Interesse an der Abwehr von Missbrauch bzw. die Vertragserfüllung (Art. 6 Abs. 1 lit. f bzw. b DSGVO).

Gemeinsam gelernte Sperren (EMPEDIAcaptcha): Melden Kunden eine E-Mail-Adresse oder IP-Adresse als Spam, gilt die Sperre zunächst nur für die meldende Domain (90 Tage). Melden mindestens drei voneinander unabhängige Organisationen denselben Wert, prüfen wir ihn: automatisch (keine privaten Adressen), auf Wunsch durch ein lokales KI-Modell auf unserem eigenen Server (nichts verlässt unsere Infrastruktur) und abschließend durch einen Menschen beim Betreiber. Nur freigegebene Werte wirken für alle Domains; sie werden nach 180 Tagen ohne neue Meldung gelöscht, abgelehnte nach 30 Tagen. Ein Kunde, der einen Wert als „echt“ freigegeben hat, schließt ihn von der gemeinsamen Sperre aus. Rechtsgrundlage ist unser berechtigtes Interesse an der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

6c. WordPress-Plugin (optionales Produkt)

Mit dem WordPress-Plugin „EMPEDIA Shield“ (früher „EMPEDIAcloud“; der Bot-Schutz EMPEDIAcaptcha ist als Modul enthalten) verbinden Sie eine WordPress-Seite mit Ihrem Konto. Nach Ihrer ausdrücklichen Verbindung (Anmeldung bei uns und Bestätigung oder Verbindungscode) meldet das Plugin täglich und bei Änderungen technische Angaben: Versionen von WordPress, PHP und Datenbank, Liste der Plugins und Themes mit Name, Kennung und Version, sicherheitsrelevante Einstellungen als Ja/Nein-Werte, die Zahl der Administratoren (und wie viele davon einen zweiten Faktor haben), das Ergebnis der Dateiprüfung (nur Dateipfade und Regel-Kennungen, nie Dateiinhalte) sowie Änderungsereignisse (Art der Änderung, bei Plugins und Themes Ordnername und Version, abgeschlossene Sicherung). Nicht übertragen werden Beiträge, Seiteninhalte, Kommentare, Besucherdaten, Benutzernamen, E-Mail-Adressen oder Passwörter. Anmeldeschutz, Zwei-Faktor-Anmeldung und Passkeys arbeiten ausschließlich in Ihrer WordPress-Installation; Passkeys und Authenticator-Geheimnisse verlassen sie nicht, IP-Adressen werden dort nur als nicht umkehrbare Prüfwerte für die Sperre nach Fehlversuchen und nicht bei uns gespeichert.

Bei der optionalen Anmeldung mit dem EMPEDIAcloud-Konto erhält die WordPress-Seite von uns nach Ihrer Zustimmung Ihre bestätigte E-Mail-Adresse, Ihren Namen und eine Kennung Ihres Kontos (Art. 6 Abs. 1 lit. b DSGVO); das Passwort wird dabei nicht weitergegeben. Die Kennung wird in den Benutzerdaten der WordPress-Seite gespeichert, damit nur dasselbe Konto sich wieder anmelden kann.

Die optionale Firewall des Plugins arbeitet auf Ihrer Website. Sie speichert keine IP-Adressen; an uns gehen nur Zähler je Regel und Tag sowie die eingestellten Modi, keine Anfrageinhalte. Kurze Auszüge zu Treffern (Regel, Feldname, wenige Zeichen) bleiben auf Ihrer Website und werden dort nach kurzer Zeit überschrieben.

Zusätzlich messen wir von unseren Servern aus die Erreichbarkeit Ihrer Seite (Abruf der öffentlichen Adresse alle 5 Minuten, nur Stufe Pro). Die Zugangsdaten des Plugins (ein Token) gelten ausschließlich für die Plugin-Schnittstelle und werden bei uns nur als Prüfsumme gespeichert. Änderungsereignisse bewahren wir 90 Tage auf, den letzten Stand von Inventar und Dateiprüfung bis zum Trennen der Verbindung. Das Plugin wird über das WordPress-Plugin-Verzeichnis (wordpress.org) installiert und aktualisiert; die Update-Abfragen Ihrer WordPress-Installation gehen an wordpress.org, nicht an uns.

Für die Dateiprüfung fragt das Plugin auf Ihrer Website bei wordpress.org die offiziellen Prüfsummen Ihrer WordPress-Version und Ihrer Plugins ab (übermittelt werden nur Version bzw. Plugin-Ordnername); das geschieht zwischen Ihrer Website und der WordPress Foundation, nicht über uns. Die Statusabfrage des Bot-Schutzes im Plugin (EMPEDIAcaptcha) liefert nur Zahlen und Ja/Nein-Werte zu Ihrem Kontingent (z. B. ob die Grenze des kostenlosen Kontingents von 10.000 Prüfungen und einer Domain erreicht ist), keine Personendaten Ihrer Besucher. Die Schwachstellen-Abfrage zu den gemeldeten Versionen läuft über unsere Server bei der offenen Datenbank WPVulnerability (nur Komponentenname und Version, nie Ihre Domain). Updates für EMPEDIA Shield werden von wordpress.org bereitgestellt. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); für die Verarbeitung im Auftrag gilt unser Auftragsverarbeitungsvertrag.

Sicherungen (Backups) im Plugin: Das Plugin kann Dateien und Datenbank Ihrer Website sichern und wiederherstellen. Lokale Sicherungen und die Wiederherstellung liegen und laufen ausschließlich auf Ihrem eigenen Server; wir erhalten dabei keine Inhalte, nur das Ereignis „Sicherung abgeschlossen“ (siehe oben). Eine Sicherung enthält naturgemäß alle Daten Ihrer Website, auch personenbezogene Daten Ihrer Nutzer, Kunden und Besucher; für diese sind Sie verantwortlich, soweit Sie die Sicherungen an Speicherziele senden oder dort aufbewahren. Verarbeiten wir sie im Rahmen des Backup-Speichers, geschieht das in Ihrem Auftrag (AVV, Anlage 1 und 2).

Eigene Speicherziele: Sie können Sicherungen zu S3-kompatiblem Speicher, WebDAV oder FTP/FTPS senden; das geht in jeder Stufe und ohne Verbindung zu uns. Ziele mit Anmeldung (Google Drive, OneDrive, Dropbox, Box, pCloud) gibt es ab Stufe Pro. Die Zugangsdaten bleiben verschlüsselt in Ihrer WordPress-Installation; die Sicherungen gehen direkt von Ihrer Website zum Ziel, ohne über uns zu laufen, und wir geben dabei keine Daten an die Zielanbieter weiter. Diese Anbieter wählen und beauftragen Sie selbst; es gelten deren Bedingungen und Datenschutzhinweise.

Backup-Speicher (optional, Zusatzpaket): Buchen Sie den Backup-Speicher, legen wir für Ihre Seite eine eigene Speicherzone bei unserem Unterauftragsverarbeiter bunny.net (BunnyWay d.o.o., Slowenien; Rechenzentren in der EU, Standard Deutschland, optional eine zweite Kopie in Schweden) an. Das Plugin verschlüsselt jede Sicherung auf Ihrer Website, bevor sie hochgeladen wird; bunny.net erhält nur verschlüsselte Daten mit neutralen Dateinamen. Der Hauptschlüssel entsteht im Plugin; wir verwahren eine verschlüsselte Kopie, damit Sie im Notfall wiederherstellen können. Wir geben sie nur an Ihre verbundene, domain-bestätigte Seite und an Administratoren Ihrer Organisation heraus und protokollieren jeden Zugriff. Technisch könnten wir die Sicherungen damit entschlüsseln; wir tun das nicht ohne Ihren Auftrag. Täglich lesen wir die belegte Größe der Zone aus (nur eine Zahl) für Anzeige, Warnungen und die Abrechnung des Verbrauchs über dem Paket. Das Protokoll der Zugriffe auf den verwahrten Schlüssel (Aktion, Zeitpunkt, Benutzer, gekürzter Prüfwert der IP-Adresse) und die täglichen Größenwerte löschen wir nach 13 Monaten. Endet das Paket, bleibt die Zone eine Karenzzeit (Standard 30 Tage) bestehen und wird danach mit allen Sicherungen und dem verwahrten Schlüssel gelöscht. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); für die Verarbeitung im Auftrag gilt unser Auftragsverarbeitungsvertrag (Anlage 2).

Backups im eigenen Cloud-Konto (optional, ab Stufe Pro): Verbinden Sie im Plugin Ihr eigenes Konto bei Google Drive, Microsoft OneDrive, Dropbox, Box oder pCloud, laufen die Sicherungen direkt von Ihrer Website dorthin; Anbieter und Konto wählen Sie selbst, sie sind keine Unterauftragsverarbeiter von uns. Weil die Zugangsdaten der Anmelde-App bei uns liegen, tauschen unsere Server den Anmelde-Code einmalig gegen die Zugangs-Tokens Ihres Kontos und erneuern ein ablaufendes Token auf Anforderung Ihrer Website. Dabei verarbeiten wir die Tokens nur flüchtig im Arbeitsspeicher bzw. höchstens zehn Minuten verschlüsselt bis zur Abholung durch Ihre Website, speichern sie danach nirgends und sehen keine Sicherungen. Protokolliert werden nur Anbieter und Ergebnis. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

7. Cookies und lokale Speicherung

EMPEDIAcloud verwendet keine Tracking- oder Werbe-Cookies und keine Analyse-Dienste Dritter. Technisch notwendig sind:

• ua_access_token, ua_refresh_token (Local Storage) — Anmeldung und deren Erneuerung
• ua_user (Local Storage) — Anzeige von E-Mail und Rolle
• ua_theme, ua_lang, ua_nav_collapsed, ua_sidebar_collapsed (Local Storage) — Hell-/Dunkelmodus, gewählte Sprache und Zustand der Menüs
• ua_areas, ua_user_synced, ua_oauth_pending, pending_scan_job, docs_open_groups (Session bzw. Local Storage) — Zwischenspeicher für freigegebene Bereiche, Anmeldeablauf, laufende Prüfung und geöffnete Bereiche der Dokumentation; sie enthalten keine Inhalte Ihrer Prüfungen
• oauth_state (Cookie, nur während einer Anmeldung über einen externen Identitätsanbieter, danach gelöscht) — Schutz vor gefälschten Anmeldeanfragen

Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den gewünschten Dienst) und Art. 6 Abs. 1 lit. b DSGVO.

8. Speicherdauer

• Kontodaten: bis zur Löschung Ihres Kontos. Bei Kontolöschung entfernen wir alle personenbezogenen Daten innerhalb von 30 Tagen; in Sicherheitsprotokollen werden IP-Adresse und Browserkennung entfernt.
• Scan-Ergebnisse: gemäß der Aufbewahrungsdauer Ihres Pakets, danach automatisch gelöscht.
• Rechnungs- und Buchungsdaten einschließlich Provisionsabrechnungen und Gutschriften: gemäß den handels- und steuerrechtlichen Aufbewahrungsfristen (bis zu zehn Jahre).
• Monitoring-Daten: Messwerte, Heartbeat-Einzelmeldungen (30 Tage; Tageszahlen 400 Tage), Alarm-Verläufe und Momentaufnahmen 400 Tage; DMARC-/TLS-RPT-Berichte 13 Monate (IP-Adressen gekürzt nach 90 Tagen); Suchmaschinen-Daten bis zu 16 Monate; Nutzungsdaten der KI-API 90 Tage je Anfrage und 13 Monate als Tageswert.
• Domains und Hosting: Domain-Kontaktdaten und Bestand für die Dauer der Verwaltung (das Änderungsprotokoll der Zonen löschen wir nach 12 Monaten, nicht abgeschlossene Zertifikatsvorbereitungen nach 30 Tagen, Zertifikatsbestellungen mit CSR bleiben bis zum Ablauf des Zertifikats; für Rechnungen gelten die handels- und steuerrechtlichen Fristen), danach nur, soweit das Registrierungsrecht oder Aufbewahrungsfristen es verlangen; Hosting-Konten werden nach Vertragsende gesperrt und nach Ablauf einer Frist gelöscht.
• WordPress-Plugin: Änderungsereignisse 90 Tage; Inventar und Dateiprüfung als letzter Stand bis zum Trennen der Verbindung. Backup-Speicher: Sicherungen und verwahrter Schlüssel solange das Paket besteht, nach dessen Ende 30 Tage Karenzzeit, danach endgültige Löschung; Größenwerte und Schlüsselprotokoll 13 Monate; Abrechnungsnachweise nach den handels- und steuerrechtlichen Fristen.
• Server-Protokolle: nur so lange, wie es für Betrieb und Sicherheit erforderlich ist.

9. Sicherheit

Wir schützen Ihre Daten durch technische und organisatorische Maßnahmen, u. a. TLS-Verschlüsselung, Passwort-Hashing, Verschlüsselung gespeicherter Zugangsdaten und API-Schlüssel (AES-256-GCM), rollenbasierte Zugriffskontrolle, Anmeldeschutz mit Passkey-Unterstützung sowie Netzwerk- und Systemhärtung der Server. Details zur Auftragsverarbeitung finden Sie im AVV.

10. Ihre Rechte

Sie haben jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO) — den Datenexport finden Sie in Ihrem Konto unter Einstellungen
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) — Konto-Löschung ebenfalls unter Einstellungen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Bitte wenden Sie sich an datenschutz@urbanstudio.de. Außerdem können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin.

11. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Die aktuelle Fassung finden Sie stets unter empedia.cloud/datenschutz.