Datenschutzerklärung

Stand: Datum der Veröffentlichung

Diese Erklärung gilt für die Website zu prüfen: Produktiv-Domain von mavirank, die mavirank-App unter derselben Adresse, die öffentlichen SEO-Tools und die öffentlichen Reports, die unter einer eigenen Adresse (reports.…) oder unter der Domain eines Kunden erscheinen (zusammen: „mavirank“). mavirank ist ein SEO-Dienst: Du lässt Webseiten auf On-Page-SEO, Technik und Sicherheit prüfen (Audits), lässt Websites wiederkehrend und über ihre Sitemap prüfen, teilst die Ergebnisse als Report, wirst über Kanäle deiner Wahl benachrichtigt, kannst die Google Search Console anbinden, AI-Zusammenfassungen erzeugen lassen und die Zugriffsprotokolle deines Webservers auswerten. Wir verarbeiten nur die Daten, die dafür nötig sind. Es gibt kein Tracking und keine Analyse-Werkzeuge.

Verantwortlicher

Global Solutions Systems GmbH, Bessemerstraße 51, 1. OG, 12103 Berlin, Deutschland, vertreten durch den Geschäftsführer Ünal Aydin.
E-Mail für Datenschutzfragen: info@global-solutions-systems.com

Einen Datenschutzbeauftragten haben wir nicht benannt; eine Pflicht dazu besteht nicht (§ 38 Abs. 1 BDSG, weniger als 20 ständig mit automatisierter Verarbeitung beschäftigte Personen). Für alle Datenschutzfragen erreichst du uns unter der oben genannten Adresse.

Unsere zwei Rollen

Eigene Verantwortung. Für die Daten deines Kontos, für Anmeldung, Mitgliedschaften, Abrechnung, System-E-Mails, die Protokolle unserer eigenen Server, den Schutz vor Missbrauch und die Nutzung der öffentlichen Tools ohne Konto sind wir selbst Verantwortlicher.

Auftragsverarbeitung. Für die Inhalte, die deine Organisation in mavirank verarbeiten lässt, ist deine Organisation Verantwortliche: geprüfte Adressen und Audit-Ergebnisse, Reports, Benachrichtigungskontakte, Daten aus der Google Search Console, AI-Zusammenfassungen und die Protokolldaten aus der Log-Analyse. Wir verarbeiten sie als Auftragsverarbeiter nur auf Weisung und nicht für eigene Zwecke. Die Einzelheiten regelt unsere Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO). Diese Erklärung beschreibt, was dabei technisch geschieht; die Information der Personen, deren Daten in geprüften Seiten, Reports oder Protokollen erscheinen (zum Beispiel die Besucherinnen und Besucher deiner Website), ist Aufgabe deiner Organisation.

Welche Daten wir verarbeiten und warum

Server-Logdaten der Plattform

Wenn du mavirank aufrufst (Website, App, Tools oder einen Report), verarbeitet unser Webserver technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge und die Kennung deines Browsers. Wir brauchen sie, um die Seiten auszuliefern, Fehler zu finden und Angriffe abzuwehren. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Logdaten werden nach höchstens 14 Tagen gelöscht OFFEN-4: Aufbewahrung der Server-Logs bestätigen. Bei der Anmeldung, an den öffentlichen Tools, beim Entsperren passwortgeschützter Reports und an der Schnittstelle merken wir uns IP-Adressen kurzzeitig, um Missbrauch und das Erraten von Passwörtern zu begrenzen (Raten-Limits; Rechtsgrundlage ebenfalls Art. 6 Abs. 1 lit. f DSGVO).

Diese Logdaten unserer eigenen Server sind etwas anderes als die Protokolle, die Kunden für die Log-Analyse von ihren Servern einliefern (Abschnitt „Log-Analyse“).

Cookies und lokaler Speicher

mavirank setzt nur Cookies und Einträge im lokalen Speicher deines Browsers, die für den Betrieb nötig sind: dein Anmelde-Cookie, ein Cookie für Live-Aktualisierungen in deiner Organisation, deine Sprache, deine Darstellung (hell/dunkel, Farbe), deine zuletzt geöffnete Organisation und die Merkung deiner Wahl im Cookie-Dialog. Die vollständige Liste mit Zweck und Dauer steht in den Cookie-Einstellungen (Knopf unten links auf jeder Seite). Entsperrst du einen passwortgeschützten Report, setzt die Report-Adresse ein kurzlebiges Cookie, das nur für diesen Report gilt und sich merkt, dass das Passwort richtig war; die Report-Adresse erhält keine Cookies der App. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG (technisch erforderlich für den von dir gewünschten Dienst) und Art. 6 Abs. 1 lit. f DSGVO. Für diese Einträge brauchen wir keine Einwilligung; trotzdem zeigen wir dir den Dialog, damit du siehst, was gespeichert wird. Statistik- oder Marketing-Cookies setzen wir nicht ein.

Konto, Organisation und Mitglieder

Wenn du dich registrierst, verarbeiten wir deine E-Mail-Adresse, deinen Namen, dein Passwort (nur als Hash, nie im Klartext), deine Sprache, den Namen deiner Organisation sowie Mitgliedschaften und Rollen (Owner, Admin, Member, Viewer). Dazu kommen Anmeldesitzungen, Einladungen an weitere Mitglieder (E-Mail-Adresse der eingeladenen Person, Rolle, einladendes Mitglied), welche Fassung der Rechtstexte wann für die Organisation angenommen wurde, und, wenn du sie einrichtest, API-Tokens (nur als Hash gespeichert). Plattform-Administratoren melden sich zusätzlich mit einem zweiten Faktor an. Wir verarbeiten diese Daten, um dein Konto bereitzustellen und den Vertrag zu erfüllen (Art. 6 Abs. 1 lit. b DSGVO) und die Sicherheit des Dienstes zu gewährleisten (Art. 6 Abs. 1 lit. f DSGVO). Nicht bestätigte Konten löschen wir nach 72 Stunden.

Zugriffe von Plattform-Administratoren auf Kundendaten, etwa im Supportfall, sowie sicherheitsrelevante Handlungen von Mitgliedern (zum Beispiel das Ausstellen und Widerrufen von API-Tokens und Collector-Tokens, das Verbinden und Trennen der Google Search Console, Zustandswechsel eigener Domains) protokollieren wir mit handelndem Konto, Zeitpunkt und IP-Adresse in einem Audit-Log (Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO: Nachweis von Eingriffen mit weitreichenden Rechten und Missbrauchsabwehr) und löschen die Einträge nach zwei Jahren. Dieses Audit-Log ist ein Protokoll von Handlungen in mavirank und hat nichts mit den SEO-Audits zu tun.

Audits, Websites und Crawling

Wenn du ein Audit anlegst, speichern wir die Adresse der zu prüfenden Seite und deine Einstellungen dazu (zum Beispiel zusätzliche Header, Zugangsdaten für eine einfache HTTP-Anmeldung, Zeitlimit, erwarteter Statuscode; Header und Zugangsdaten verschlüsselt). Legst du eine Website an, speichern wir zusätzlich ihren Hostnamen, die Prüfintervalle, die Adresse der Sitemap und die dort gefundenen Adressen.

Unser Crawler ruft die Seite dann von unseren Servern ab: die Seite selbst, Weiterleitungen und einige Nebenabrufe (etwa robots.txt, Sitemap, Favicon, eine bewusst nicht vorhandene Adresse für die Prüfung der Fehlerseite). Er meldet sich mit einer eigenen, ehrlichen Kennung als MavirankBot; der Betreiber der geprüften Seite sieht dabei die IP-Adresse unserer Server und diese Kennung. Der Crawler ruft nur öffentlich erreichbare Adressen ab; private Netze und interne Adressen sind gesperrt.

Aus dem Abruf erzeugen wir das Audit-Ergebnis: Statuscode, Weiterleitungskette, Antwortzeiten, Größe, Angaben zu Verschlüsselung und Zertifikat, Antwort-Header sowie je Test die ausgewerteten Werte (zum Beispiel Titel, Beschreibung, Überschriften, Anzahl der Wörter, Links, Bilder ohne Alternativtext), den Score und die Liste der Befunde. Wir speichern die geprüfte Seite nicht als Kopie, sondern ausgewertete und in Länge und Anzahl begrenzte Werte. Diese Werte können personenbezogene Daten enthalten, wenn die geprüfte Seite sie öffentlich zeigt: Ein Test meldet zum Beispiel E-Mail-Adressen, die im sichtbaren Text der Seite stehen, und speichert davon bis zu zehn Beispiele; auch Adressen, Titel und Überschriften können Namen enthalten.

Für diese Daten ist deine Organisation Verantwortliche, wir sind Auftragsverarbeiter (siehe „Unsere zwei Rollen“). Prüfe bitte nur Seiten, die du prüfen darfst.

Aufbewahrung richtet sich nach deinem Plan: Audits mit ihrem Verlauf 30, 90, 365 oder 730 Tage, archivierte Audits 30, 365, 730 oder 1.825 Tage (Free, Starter, Pro, Agency); nach einem Wechsel in einen kleineren Plan behalten diese Fristen 30 Tage lang den höheren Wert. Danach werden die Daten automatisch gelöscht. Was du selbst löschst, wird sofort aus der Anwendung entfernt.

Reports und eigene Domains

Du kannst das Ergebnis eines Audits oder einer Website als Report freigeben: öffentlich über einen Link oder mit Passwort geschützt. Ein öffentlicher Report ist für alle lesbar, die den Link kennen; ein geschützter erst nach Eingabe des Passworts. Das Passwort speichern wir nur als Hash. Der Report zeigt nur, was freigegeben ist, und ist für Suchmaschinen als nicht zu indexieren gekennzeichnet. In den Plänen Pro und Agency kann der Report dein Logo und deine Farben tragen und unter einer eigenen Domain deiner Organisation erscheinen; dafür speichern wir die Domain, den Stand ihrer Prüfung über DNS-Einträge und das für sie ausgestellte Zertifikat.

Wer einen Report aufruft, erzeugt bei uns Server-Logdaten (siehe oben) und, bei geschützten Reports, das oben beschriebene Cookie; Versuche, ein Passwort einzugeben, begrenzen wir je IP-Adresse und Report. Weitere Daten der Leserinnen und Leser erheben wir nicht. Für den Inhalt eines Reports und die Entscheidung, ihn zu veröffentlichen, ist deine Organisation verantwortlich.

Öffentliche SEO-Tools

Die Tools unter /tools kannst du ohne Konto benutzen. Du gibst eine Adresse, einen Hostnamen oder einen Text ein; für Tools, die eine fremde Seite untersuchen, ruft unser Crawler diese Seite wie bei einem Audit ab und zeigt dir das ausgewertete Ergebnis. Eingaben und Ergebnisse anonymer Aufrufe speichern wir nicht dauerhaft; wir zählen je Tool und Tag nur, wie oft es benutzt und wie oft ein Aufruf abgewiesen wurde.

Damit die Tools nicht missbraucht werden, begrenzen wir die Zahl der Aufrufe je IP-Adresse, je Tool und je geprüftem Ziel; die IP-Adresse wird dafür kurzzeitig verarbeitet. Ab einer bestimmten Zahl von Aufrufen löst dein Browser eine kleine Rechenaufgabe, bevor ein weiterer Aufruf angenommen wird; das Verfahren läuft auf unseren Servern, ohne einen Dienst Dritter und ohne Cookies. Bewertest du ein Tool, speichern wir die Bewertung zusammen mit einem Prüfwert, der aus deiner IP-Adresse und dem Tag gebildet wird, damit je Tag nur eine Bewertung zählt; die IP-Adresse selbst speichern wir dabei nicht. Rechtsgrundlage ist unser berechtigtes Interesse, die Tools bereitzustellen und vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Bist du angemeldet, gelten die Limits deines Plans, und die Nutzung wird deiner Organisation zugerechnet (Art. 6 Abs. 1 lit. b DSGVO).

Einzelne Tools fragen Datenquellen Dritter ab (zum Beispiel für Angaben zu einer IP-Adresse oder Domain) OFFEN-24: Datenquellen der Tools, Anbieter und Sitz.

Benachrichtigungskanäle

Auf Wunsch benachrichtigen wir dich, wenn sich bei einem Audit oder einer Website etwas ändert (neue Befunde, Sprung des Scores, Seite nicht erreichbar) oder ein Kontingent fast erreicht ist. Dafür verarbeiten wir die Kontakte, die du als Kanal einträgst: E-Mail-Adressen, Telefonnummern (SMS, Anruf), Webhook-Adressen und Kennungen für Slack, Discord, Microsoft Teams, Google Chat, Telegram (über deinen eigenen Bot zu prüfen: Telegram – eigener Bot des Kunden oder Bot der Plattform) oder ntfy (Konfiguration verschlüsselt gespeichert), und führen ein Zustellprotokoll (Kanal, Ereignis, Zeitpunkt, Ergebnis). Eine Benachrichtigung enthält den Namen bzw. die Adresse der Website oder des Audits, das Ereignis, den Zeitpunkt, den Score und einen Link in die App. E-Mail-Adressen außerhalb deiner Organisation müssen den Empfang zuerst bestätigen und können ihn jederzeit abbestellen.

Welche Dienste Benachrichtigungen erhalten, entscheidest du; indem du einen Kanal einrichtest, weist du uns an, dorthin zu senden. Bei Webhooks und Chat-Diensten ist der gewählte Dienst dein Vertragspartner, nicht unser Unterauftragsverarbeiter; sitzt er außerhalb der EU, ist das eine Übermittlung auf deine Weisung, für die du die Voraussetzungen prüfst. SMS und Anrufe (Pläne Pro und Agency) stellen wir über Twilio zu OFFEN-22: Twilio – Vertragspartner, Verarbeitungsort und Garantie für die Übermittlung; E-Mails versenden wir über OFFEN-20: Versanddienst für System- und Benachrichtigungs-E-Mails. Das Zustellprotokoll und Benachrichtigungen in der App löschen wir nach 90 Tagen. Rechtsgrundlage ist die Vertragserfüllung dir gegenüber (Art. 6 Abs. 1 lit. b DSGVO) bzw. die Auftragsverarbeitung (Art. 28 DSGVO).

Google Search Console

Ein Owner oder Admin kann die Organisation mit einem Google-Konto verbinden, das Zugriff auf Properties der Google Search Console hat. Die Verbindung läuft über die Anmeldung bei Google (OAuth) mit ausschließlich lesendem Zugriff. Wir speichern die Kennung und die E-Mail-Adresse des verbundenen Google-Kontos, welches Mitglied die Verbindung hergestellt hat, die freigegebenen Properties und das Zugriffstoken (verschlüsselt). Über die Verbindung rufen wir regelmäßig für die Properties, die du einer Website zuordnest, den Indexierungsstatus einzelner Adressen und Kennzahlen der Suchanalyse ab (Suchanfragen, Klicks, Impressionen, Position, nach Tag, Land und Gerät) und zeigen sie in der App.

Daten aus der Search Console verwenden wir nur, um sie deiner Organisation in mavirank anzuzeigen und auszuwerten. Wir geben sie nicht an AI-Anbieter weiter, nutzen sie nicht für Werbung und nicht für eigene Zwecke. Trennst du die Verbindung, widerrufen wir den Zugriff bei Google und löschen das Zugriffstoken; bereits abgerufene Daten bleiben bis zum Ablauf ihrer Aufbewahrung oder bis du sie löschst. Du kannst den Zugriff zusätzlich jederzeit in deinem Google-Konto widerrufen. Google ist für die Search Console eigenständiger Verantwortlicher; es gilt die Datenschutzerklärung von Google. Für die abgerufenen Daten ist deine Organisation Verantwortliche, wir sind Auftragsverarbeiter; für die Verbindung selbst ist Rechtsgrundlage die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

AI-Zusammenfassungen

AI-Zusammenfassungen sind in der Voreinstellung ausgeschaltet. Schaltet ein Owner oder Admin sie für die Organisation ein, erzeugt mavirank auf Knopfdruck und, wenn zusätzlich so eingestellt, bei geänderten Befunden eine Zusammenfassung eines Audits oder einer Website. Dafür senden wir ausschließlich die Befunde des Audits (Testergebnisse mit ihren ausgewerteten Werten, darunter die geprüfte Adresse) an einen AI-Anbieter und speichern dessen Antwort als strukturierten Text zusammen mit Anbieter, Modell und Verbrauch. Standard ist Claude von Anthropic; je nach Einstellung der Plattform oder deiner Organisation kommen OpenAI oder Gemini von Google zum Einsatz. Nicht übermittelt werden Daten aus der Google Search Console, Protokolldaten der Log-Analyse, Konto- und Mitgliederdaten, Benachrichtigungskontakte sowie hinterlegte Zugangsdaten und Header.

Die Anbieter verarbeiten die Daten in unserem Auftrag und außerhalb der EU OFFEN-21: AI-Anbieter – Vertragspartner, Verarbeitungsorte und Garantie für die Übermittlung je Anbieter. Owner und Admins können AI-Zusammenfassungen jederzeit wieder abschalten; solange sie ausgeschaltet sind, übermitteln wir keine Daten dieser Organisation an einen AI-Anbieter. Die Zusammenfassung ist ein automatisch erzeugter Text und kann Fehler enthalten. Für die übermittelten Befunde ist deine Organisation Verantwortliche, wir sind Auftragsverarbeiter.

Ahrefs Domain Rating und Google Web Risk

Für Websites in Plänen mit dieser Funktion fragen wir bei Ahrefs in Abständen das Domain Rating ab; dabei übermitteln wir den Hostnamen der Website. Für den Test „Safe Browsing“ fragen wir bei Google (Web Risk) ab, ob die geprüfte Adresse als schädlich bekannt ist; dabei übermitteln wir die Adresse. Konto- oder Mitgliederdaten übermitteln wir in beiden Fällen nicht OFFEN-24: Ahrefs und Google Web Risk – Vertragspartner und Verarbeitungsort.

Log-Analyse

Für die Log-Analyse installiert deine Organisation auf ihrem Webserver unseren Collector. Er liest die Zugriffs- und, wenn eingeschaltet, die Fehlerprotokolle des Webservers und liefert sie verschlüsselt an mavirank. IP-Adressen ersetzt der Collector schon auf deinem Server durch ein Pseudonym, das aus der Adresse und einem täglich wechselnden Schlüssel gebildet wird; der Schlüssel entsteht auf deinem Server und verlässt ihn nicht. Wir erhalten keine vollständigen IP-Adressen der Besucherinnen und Besucher und können aus dem Pseudonym keine Adresse zurückrechnen. Das Pseudonym wechselt täglich, ein Absender lässt sich also nur innerhalb eines Tages wiedererkennen.

Eingeliefert werden je Anfrage: Zeitpunkt, Domain, Methode, Pfad, Statuscode, Größe, das Pseudonym, die Kennung des anfragenden Programms (Browser oder Bot), die verweisende Adresse ohne Parameter, ob es sich um einen bekannten Bot handelt und ob dessen Herkunft bestätigt ist (das prüft der Collector mit der echten Adresse vor der Pseudonymisierung). Werte von Parametern in der Adresse werden in der Voreinstellung maskiert, weil sie Kennungen enthalten können. Bei abgewiesenen Scan-Anfragen kann zusätzlich das gekürzte Netz der Adresse enthalten sein (bei IPv4 die ersten drei Blöcke), um Angreifer-Netze zu erkennen; das lässt sich je Quelle abschalten. Meldungen aus dem Fehlerprotokoll werden gekürzt und können Dateipfade enthalten; auch sie lassen sich je Quelle abschalten. Benutzernamen aus dem Protokoll werden nicht übertragen.

Wir werten die Protokolle für dich aus (Anfragen, Fehler, Scans, Verhalten von Suchmaschinen-Bots, Abgleich mit der Sitemap) und bilden daraus Tagesstatistiken. Pseudonymisierte Daten gelten weiter als personenbezogen. Für sie ist deine Organisation Verantwortliche, wir sind Auftragsverarbeiter; die Information der Besucherinnen und Besucher deiner Website und die Rechtsgrundlage dieser Auswertung liegen bei deiner Organisation. Einzelne Besucherinnen und Besucher können wir in diesen Daten nicht auffinden.

Aufbewahrung: Die eingelieferten Protokollzeilen löschen wir in allen Plänen nach 30 Tagen. Die Tagesstatistiken bewahren wir nach Plan 30 Tage, 6, 12 oder 24 Monate auf (Free, Starter, Pro, Agency). Entfernst du eine Log-Quelle, eine Website oder die Organisation, löschen wir die Statistiken sofort; die Protokollzeilen laufen spätestens nach 30 Tagen aus.

Zahlungen

Bezahlte Pläne kaufst du bei Paddle.com Market Limited („Paddle“), 30 Old Bailey, London EC4M 7AU, Vereinigtes Königreich, die als Wiederverkäufer und Merchant of Record auftritt. Paddle verarbeitet deine Zahlungs- und Rechnungsdaten (z. B. Name, Anschrift, Zahlungsmittel, Steuerangaben) als eigenständiger Verantwortlicher und stellt dir die Rechnung; es gilt die Datenschutzerklärung von Paddle. Der Paddle-Checkout wird erst geladen, wenn du in der App auf „Kaufen“ klickst; dabei setzt Paddle eigene Cookies, die für den Kauf nötig sind. Wir erhalten von Paddle nur, was wir für das Abo brauchen: Kunden- und Abo-Kennungen, den gebuchten Plan, den Abo-Status, Abrechnungszeiträume und die Rechnungsadresse. Karten- oder Kontodaten bekommen wir nie. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), für die Aufbewahrung von Abrechnungsdaten unsere handels- und steuerrechtliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO).

System-E-Mails

Bestätigungs-, Einladungs- und Passwort-zurücksetzen-Mails sowie Hinweise zu Testphase, Abo und Kontingenten versenden wir über OFFEN-20: Versanddienst für System- und Benachrichtigungs-E-Mails. Dorthin gehen deine E-Mail-Adresse und der Mailtext (Link zur Bestätigung usw.). Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Werbliche E-Mails versenden wir nicht.

Hosting

mavirank läuft auf Servern, die wir selbst verwalten OFFEN-5: Hosting-Anbieter, Standort des Rechenzentrums und Vertrag zur Auftragsverarbeitung. Dort liegen die Anwendung, die Datenbank, der Speicher für die Protokolle der Log-Analyse und die Crawler. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO.

Empfänger und Übermittlung in Drittländer

Empfänger	Zweck	Sitz / Verarbeitung	Rolle
Hosting-Anbieter OFFEN-5: Hosting-Anbieter, Standort des Rechenzentrums und Vertrag zur Auftragsverarbeitung	Server für Anwendung, Datenbank, Protokollspeicher und Crawler	OFFEN-5: Standort	Auftragsverarbeiter
Versanddienst für E-Mails OFFEN-20: Versanddienst für System- und Benachrichtigungs-E-Mails	Versand von System- und Benachrichtigungs-E-Mails	OFFEN-20: Sitz	Auftragsverarbeiter
Anbieter des Offsite-Backups OFFEN-7: Anbieter des Offsite-Backups	verschlüsselte Sicherungskopien	OFFEN-7: Sitz	Auftragsverarbeiter
Paddle.com Market Limited (und Paddle-Gesellschaften)	Zahlung, Rechnung, Steuern	Vereinigtes Königreich, ggf. USA, Irland, Kanada	eigenständiger Verantwortlicher
AI-Anbieter: Anthropic (Claude), OpenAI, Google (Gemini), je nach Einstellung	AI-Zusammenfassungen aus Audit-Befunden	OFFEN-21: Vertragspartner und Verarbeitungsorte je Anbieter	Auftragsverarbeiter bzw. Unterauftragsverarbeiter
Twilio	Zustellung von SMS und Anrufen, wenn du solche Kanäle einrichtest	OFFEN-22: Vertragspartner und Verarbeitungsort	Auftragsverarbeiter bzw. Unterauftragsverarbeiter
Google (Search Console)	Quelle der Search-Console-Daten nach deiner Freigabe	OFFEN-24: Vertragspartner und Verarbeitungsort	eigenständiger Verantwortlicher
Google (Web Risk)	Abfrage, ob eine geprüfte Adresse als schädlich bekannt ist	OFFEN-24: Vertragspartner und Verarbeitungsort	Empfänger der geprüften Adresse
Ahrefs	Abfrage des Domain Ratings	OFFEN-24: Vertragspartner und Verarbeitungsort	Empfänger des Hostnamens
Von dir gewählte Chat- und Webhook-Dienste	Zustellung deiner Benachrichtigungen	nach deiner Wahl	dein Empfänger, auf deine Weisung

Eine Übermittlung in Drittländer findet bei Paddle statt, bei den AI-Anbietern und bei Twilio, soweit du diese Funktionen nutzt, sowie bei den Chat- und Webhook-Diensten, die du für Benachrichtigungen wählst (auf deine Weisung, siehe „Benachrichtigungskanäle“). Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (erneuert am 19. Dezember 2025, gültig bis 27. Dezember 2031); für Übermittlungen an Paddle-Gesellschaften in anderen Drittländern (z. B. USA) nutzt Paddle nach eigener Angabe Standardvertragsklauseln und weitere Garantien. Quelle: https://www.paddle.com/legal/privacy. Auf welche Garantie (Angemessenheitsbeschluss oder Standardvertragsklauseln, Art. 45, 46 DSGVO) wir die Übermittlung an die AI-Anbieter und an Twilio stützen, nennen wir hier, sobald die Verträge feststehen OFFEN-21: Garantie je AI-Anbieter OFFEN-22: Garantie für Twilio. Eine Kopie der Garantien erhältst du bei uns auf Anfrage. Eine Weitergabe an sonstige Dritte findet nicht statt, außer wir sind gesetzlich dazu verpflichtet.

Speicherdauer

Daten	Dauer
Server-Logdaten der Plattform	höchstens 14 Tage OFFEN-4: Aufbewahrung der Server-Logs bestätigen
Konto- und Organisationsdaten	bis du dein Konto bzw. deine Organisation löschst; nicht bestätigte Konten nach 72 Stunden
Audits mit Verlauf	nach Plan 30, 90, 365 oder 730 Tage; nach einem Wechsel in einen kleineren Plan 30 Tage Schonfrist
Archivierte Audits	nach Plan 30, 365, 730 oder 1.825 Tage; Schonfrist wie oben
Websites, Reports, Freigaben, Kanäle, eigene Domains, hinterlegte Zugangsdaten, API-Tokens	bis du sie löschst
Zugriffstoken der Google Search Console	bis du die Verbindung trennst oder die Organisation löschst
Abgerufene Daten der Google Search Console	OFFEN-26: Aufbewahrung der Search-Console-Daten je Plan
AI-Zusammenfassungen	so lange wie das Audit bzw. die Website, zu der sie gehören
Protokollzeilen der Log-Analyse	30 Tage
Tagesstatistiken der Log-Analyse	nach Plan 30 Tage, 6, 12 oder 24 Monate; bei Löschung der Quelle, Website oder Organisation sofort
Zählung der Tool-Nutzung	ohne Personenbezug (Tageswerte je Tool)
Bewertungen der Tools	Prüfwert aus IP-Adresse und Tag, ohne die IP-Adresse selbst
Abrechnungsdaten (Abo, Rechnungen)	gesetzliche Aufbewahrungsfristen, bis zu zehn Jahre (§ 147 AO, § 257 HGB)
Audit-Log (Administratoren und sicherheitsrelevante Handlungen von Mitgliedern)	zwei Jahre
Zustellprotokoll und Benachrichtigungen in der App	90 Tage
Sicherungskopien (Backups)	OFFEN-23: Aufbewahrung der lokalen und der Offsite-Sicherungen

Löschung und Sicherungskopien

Löschst du Daten in der App oder laufen sie nach Plan ab, verschwinden sie aus der laufenden Anwendung. Unsere Sicherungskopien sind verschlüsselt und werden nach festen Fristen überschrieben OFFEN-23: Aufbewahrung der lokalen und der Offsite-Sicherungen. Eine Löschung wirkt in den Sicherungen deshalb erst, wenn die jeweilige Kopie ausläuft. Nach einer Wiederherstellung löschen wir bereits gelöschte Daten unverzüglich erneut.

Deine Rechte

Du hast gegenüber uns das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) gegen Verarbeitungen auf Grundlage berechtigter Interessen. Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Schreib uns dazu an die oben genannte Adresse. Betrifft dein Anliegen Daten, die eine Organisation in mavirank verarbeiten lässt (zum Beispiel einen Report oder die Protokolle einer Website), wende dich bitte an diese Organisation; erreicht uns ein solcher Antrag, leiten wir ihn an sie weiter, soweit wir ihn zuordnen können. Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, zum Beispiel bei der für uns zuständigen Berliner Beauftragten für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin, https://www.datenschutz-berlin.de, oder bei der Behörde an deinem Wohnort. Die Bereitstellung von Daten ist für die Registrierung erforderlich; ohne E-Mail-Adresse und Passwort können wir kein Konto anlegen. Automatisierte Entscheidungen im Sinne von Art. 22 DSGVO treffen wir nicht.

Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich mavirank oder die Rechtslage ändert. Die jeweils gültige Fassung steht hier; das Datum oben zeigt den Stand. Bei wesentlichen Änderungen informieren wir angemeldete Nutzerinnen und Nutzer per E-Mail oder in der App.