ECODYNAMICSWebcheck

Datenschutzerklärung

Stand: Oktober 2026

1. Verantwortlicher

ECODYNAMICS GmbH

Rheinpromenade 9

40789 Monheim am Rhein, Deutschland

Geschäftsführer: Hamidreza Hosseini

E-Mail: info@ecodynamics.de

Telefon: +49 (2173) 297 2024

2. Überblick

Webcheck ist ein AI-Readiness-Checker für Websites. Wir bewerten anhand von 68 Kriterien in vier Bereichen (REACH, UNDERSTAND, TRUST, RECOMMEND), wie gut eine Website von KI-gestützten Suchmaschinen gefunden, verstanden, vertraut und empfohlen wird.

In diesem Rahmen verarbeiten wir personenbezogene Daten unserer Nutzer (Account-Daten, Nutzungsdaten) sowie technische Daten der analysierten Websites (öffentlich zugängliche Website-Inhalte). Die nachfolgende Erklärung informiert Sie darüber, welche Daten wir erheben, zu welchem Zweck und auf welcher Rechtsgrundlage.

3. Hosting & Infrastruktur

Railway (Applikation)

Die Webcheck-Applikation wird in Docker-Containern auf Railway betrieben. Der von uns genutzte Server-Standort ist Amsterdam, Niederlande (EU). Anbieter: Railway Corporation, San Francisco, USA. Es besteht ein Auftragsverarbeitungsvertrag (DPA). Die Anwendungsdaten verlassen den EU-Standort nicht.

Supabase (Datenbank & Auth)

Für Datenbank (PostgreSQL), Authentifizierung, Storage und Realtime-Funktionen nutzen wir Supabase in der Region eu-central-1 (Frankfurt). Anbieter: Supabase Inc., San Francisco, USA. Es besteht ein Auftragsverarbeitungsvertrag (DPA). Alle Daten werden ausschließlich in der EU gespeichert und verarbeitet.

Ein Transfer personenbezogener Daten in Drittländer findet für Hosting und Datenspeicherung nicht statt.

4. Erhobene Daten

Account-Daten

  • E-Mail-Adresse (zur Anmeldung und Kommunikation)
  • Passwort (gespeichert als bcrypt-Hash via Supabase Auth — das Klartext-Passwort wird zu keinem Zeitpunkt gespeichert)
  • Spracheinstellung (Deutsch oder Englisch)

Organisations-Daten

  • Firmenname und Logo (optional)
  • Team-Mitglieder: E-Mail-Adressen, Rollen (Admin, Manager, Editor, Viewer), Abteilungszugehörigkeiten

Website-Analyse-Daten

  • URLs der zu analysierenden Websites (vom Nutzer eingegeben)
  • Crawl-Ergebnisse: HTTP-Status-Codes, Seitentypen, Scores pro Kriterium
  • HTML-Inhalte der gecrawlten Seiten (temporär, zur Analyse — werden nicht dauerhaft gespeichert)
  • Schema.org-Daten, Meta-Tags, Performance-Metriken der analysierten Seiten

Nutzungsdaten

  • Login-Zeitpunkte
  • IP-Adresse (automatisch durch Supabase Auth protokolliert)
  • Session-Informationen (Auth-Token)

5. Cookies & Tracking

Verwendete Cookies

  • Supabase Auth Session Cookie — funktional und technisch notwendig für die Authentifizierung. Dieser Cookie wird gesetzt, wenn Sie sich anmelden, und ist für den Betrieb der Anwendung erforderlich. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) und § 25 Abs. 2 TDDDG (technisch notwendig).
  • Spracheinstellung (Cookie „locale“) — speichert, ob Sie Webcheck auf Deutsch oder Englisch nutzen. Er enthält nur „de“ oder „en“, gilt ein Jahr und ist technisch notwendig, damit die gewählte Sprache erhalten bleibt. Rechtsgrundlage: § 25 Abs. 2 TDDDG.

Lokaler Speicher

  • Theme-Präferenz — wird im localStorage des Browsers gespeichert (hell/dunkel/System). Es handelt sich nicht um einen Cookie und es werden keine Daten an Server übertragen.

Kein Tracking

Wir setzen kein Google Analytics, keine Werbe-Tracker, keine Social-Media-Pixel und keine sonstigen Tracking-Dienste ein. Es findet keine Profilbildung statt.

6. Kontaktformular und Anfragen

Auf der Startseite gibt es ein Kontaktformular. Eine Anfrage speichern wir in unserer Datenbank und senden sie als E-Mail an unser Postfach info@ecodynamics.de, aber erst nachdem Sie sie über einen Link bestätigt haben.

Nach der Bestätigung erhalten Sie eine kurze Eingangsbestätigung per E-Mail. Die E-Mails an Sie enthalten Ihre Eingaben nicht.

Bestätigungsverfahren

Vor dem Absenden bestätigen Sie über ein Pflichtfeld, dass Sie diese Datenschutzhinweise zur Kenntnis genommen haben. Das Feld ist nicht vorangekreuzt; es ist eine Kenntnisnahme und keine Einwilligung.

Nach dem Absenden speichern wir die Anfrage als unbestätigt und senden an die angegebene Adresse eine E-Mail mit einem Link, der 48 Stunden und nur einmal gilt. Erst wenn Sie den Link öffnen und dort „Anfrage bestätigen“ wählen, geht die Anfrage bei uns ein.

So stellen wir sicher, dass niemand mit Ihrer Adresse Anfragen stellt und dass unser Formular nicht dazu dient, fremden Postfächern Nachrichten zuzustellen. Ohne Bestätigung leiten wir nichts weiter und löschen die Angaben nach Ablauf des Links. Je Adresse versenden wir höchstens drei solcher E-Mails am Tag.

Zum Nachweis (Art. 5 Abs. 2 DSGVO) speichern wir den Zeitpunkt, zu dem das Pflichtfeld bestätigt wurde, die Fassung seines Wortlauts, die Sprache und den Zeitpunkt der Bestätigung über den Link. Eine IP-Adresse speichern wir dazu nicht; vom Link selbst nur einen Prüfwert (SHA-256).

Schutz vor automatisierten Anfragen

Das Formular enthält ein für Menschen unsichtbares Feld und ist je IP-Adresse mengenmäßig begrenzt. Hinzu kommt eine Sicherheitsprüfung mit der quelloffenen Software ALTCHA, die wir selbst betreiben: Ihr Browser löst beim Absenden eine kleine Rechenaufgabe unseres Servers, und unser Server prüft die Lösung.

Die Sicherheitsprüfung setzt keine Cookies, schreibt nichts in den Speicher Ihres Browsers, bildet keinen Fingerabdruck Ihres Geräts und übermittelt keine Daten an Dritte. Damit eine Lösung nur einmal gilt, merkt sich der Server die Signatur der Aufgabe bis zu ihrem Ablauf (zehn Minuten), ohne Bezug zu Ihrer Person.

Für die Mengenbegrenzung zählen wir Abrufe der Sicherheitsprüfung, Absendungen und Bestätigungen je IP-Adresse sowie Bestätigungs-E-Mails je E-Mail-Adresse. Dabei speichern wir weder die IP-Adresse noch die E-Mail-Adresse im Klartext, sondern nur einen gekürzten Prüfwert, den wir mit einem geheimen Schlüssel bilden (HMAC-SHA-256), dazu einen Zähler und den Beginn des Zeitfensters.

Die Zeitfenster dauern höchstens einen Tag. Die Einträge löschen wir automatisch 48 Stunden nach Beginn ihres Zeitfensters.

  • Zweck: Beantworten Ihrer Anfrage, Anbahnen und Durchführen eines Vertrags; Schutz vor Anfragen unter fremder Adresse und vor automatisiertem Missbrauch.
  • Daten: Name, Unternehmen, E-Mail-Adresse, freiwillig Telefonnummer, Nachricht, Sprache, Zeitpunkte und die Angaben zum Bestätigungsverfahren; zur Mengenbegrenzung ein Prüfwert Ihrer IP-Adresse und Ihrer E-Mail-Adresse (HMAC).
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf einen Vertrag zielt; im Übrigen Art. 6 Abs. 1 lit. f DSGVO (Beantwortung geschäftlicher Anfragen, Schutz vor Missbrauch). Die Sicherheitsprüfung ist unbedingt erforderlich, um das Formular sicher bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG).
  • Speicherdauer: unbestätigte Anfragen bis zum Ablauf des Links (48 Stunden); erledigte zwölf Monate nach der Erledigung; alle übrigen spätestens 24 Monate nach Eingang; Prüfwerte zur Mengenbegrenzung 48 Stunden nach Beginn ihres Zeitfensters. Entsteht ein Vertrag, gelten die gesetzlichen Aufbewahrungsfristen (§ 257 HGB, § 147 AO).
  • Empfänger: Supabase (Datenbank), Railway (Betrieb), Resend, Inc., USA (Versand der E-Mails) sowie Microsoft, bei dem unser Postfach geführt wird. Für die Übermittlung in die USA gelten das EU-U.S. Data Privacy Framework und ergänzend die EU-Standardvertragsklauseln.

Abwägung: Sie wenden sich von sich aus an uns und erwarten eine Antwort. Wir nutzen Ihre Angaben nur dafür und für Rückfragen zu demselben Anliegen, nicht für Werbung. Ihre Interessen überwiegen deshalb nach unserer Prüfung nicht.

7. Drittanbieter-Dienste

Supabase (Authentifizierung, Datenbank, Storage)

Anbieter: Supabase Inc., 970 Toa Payoh North #07-04, Singapore 318992 / San Francisco, CA, USA.

Zweck: Nutzer-Authentifizierung, Datenspeicherung, Dateispeicherung (Reports).

Verarbeitete Daten: E-Mail, Passwort-Hash, IP-Adresse, Session-Daten, alle Anwendungsdaten.

Rechtsgrundlage: Art. 28 DSGVO (Auftragsverarbeitung). Datenstandort: EU (Frankfurt, eu-central-1).

Datenschutzerklärung: supabase.com/privacy

Anthropic Claude API (AI-Bewertung)

Anbieter: Anthropic PBC, San Francisco, CA, USA.

Zweck: KI-gestützte Bewertung von Website-Inhalten anhand der 68 Webcheck-Kriterien.

Verarbeitete Daten: Ausschließlich öffentlich zugängliche Website-Inhalte (HTML-Texte, Meta-Daten) der zu analysierenden Websites. Es werden keine personenbezogenen Daten unserer Nutzer an Anthropic übermittelt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung der Kernfunktionalität).

Drittlandtransfer (Schrems II): Anthropic verarbeitet Daten in den USA. Die Übermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln (SCC, Modul 2 – Verantwortlicher zu Auftragsverarbeiter, Durchführungsbeschluss (EU) 2021/914). Anthropic ist nach dem EU-U.S. Data Privacy Framework zertifiziert (DPF-Liste). Zusätzliche Schutzmaßnahmen: TLS 1.3 Transportverschlüsselung, kein Training auf API-Daten gemäß Anthropic-Geschäftsbedingungen, Daten-Retention bei Anthropic ≤ 30 Tage. Nutzer können den DPA auf Anfrage einsehen.

Datenschutzerklärung: anthropic.com/privacy • DPA: anthropic.com/legal/dpa

Railway (Hosting)

Anbieter: Railway Corporation, San Francisco, CA, USA.

Zweck: Hosting der Webcheck-Applikation und des Website-Scanners in Docker-Containern.

Verarbeitete Daten: IP-Adressen, HTTP-Requests, Anwendungslogs.

Rechtsgrundlage: Art. 28 DSGVO (Auftragsverarbeitung). Serverstandort: Amsterdam, Niederlande (EU).

Datenschutzerklärung: railway.app/legal/privacy

8. Rechtsgrundlagen (Art. 6 DSGVO)

  • Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) — soweit Sie uns eine Einwilligung zur Datenverarbeitung erteilt haben, z.B. für optionale Benachrichtigungen.
  • Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) — Verarbeitung ist für die Durchführung des Nutzungsvertrags erforderlich (Account-Erstellung, Website-Analyse, Report-Generierung).
  • Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) — Sicherstellung des Betriebs, Fehlerbehebung, Missbrauchsschutz, Verbesserung des Dienstes.

9. Ihre Rechte

Als betroffene Person haben Sie gegenüber dem Verantwortlichen folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

  • Auskunftsrecht (Art. 15 DSGVO) — Sie können Auskunft über Ihre von uns verarbeiteten personenbezogenen Daten verlangen.
  • Recht auf Berichtigung (Art. 16 DSGVO) — Sie können die Berichtigung unrichtiger Daten verlangen.
  • Recht auf Löschung (Art. 17 DSGVO) — Sie können die Löschung Ihrer Daten verlangen. Sie können Ihren Account jederzeit in den Einstellungen löschen.
  • Einschränkung der Verarbeitung (Art. 18 DSGVO) — Sie können die Einschränkung der Verarbeitung Ihrer Daten verlangen.
  • Datenübertragbarkeit (Art. 20 DSGVO) — Sie können Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten.
  • Widerspruchsrecht (Art. 21 DSGVO) — Sie können der Verarbeitung Ihrer Daten widersprechen, soweit diese auf Art. 6 Abs. 1 lit. f DSGVO beruht.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte per E-Mail an die im Abschnitt 1 genannte Adresse. Darüber hinaus haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.

10. Speicherdauer

  • Account-Daten — werden gespeichert, bis Sie Ihren Account löschen. Nach Löschung werden alle personenbezogenen Daten innerhalb von 30 Tagen entfernt.
  • Crawl- und Analyse-Daten — Ergebnisse (Scores, Evidenz) werden 90 Tage aufbewahrt. Temporäre HTML-Inhalte werden nach Abschluss der Analyse gelöscht.
  • Server-Logs — werden 30 Tage aufbewahrt und danach automatisch gelöscht.
  • Reports — werden bis zur Löschung durch den Nutzer oder bis zur Account-Löschung gespeichert.
  • Kontaktanfragen — unbestätigte nach Ablauf des Bestätigungslinks (48 Stunden), erledigte zwölf Monate nach der Erledigung, alle übrigen spätestens 24 Monate nach Eingang (siehe Abschnitt 6).

11. Datensicherheit

Wir setzen umfangreiche technische und organisatorische Maßnahmen zum Schutz Ihrer Daten ein:

  • Verschlüsselung — Alle Daten werden ausschließlich über TLS 1.3 übertragen (HTTPS). Daten sind in Transit und at Rest verschlüsselt.
  • Row Level Security (RLS) — Supabase RLS stellt sicher, dass Nutzer ausschließlich auf Daten ihrer eigenen Organisation zugreifen können.
  • Passwort-Hashing — Passwörter werden mit bcrypt gehasht. Das Klartext-Passwort wird nie persistiert.
  • Service-Key-Trennung — Der Supabase-Service-Role-Key wird ausschließlich serverseitig verwendet und ist im Frontend nicht zugänglich.
  • Input-Validierung — Alle Nutzereingaben werden mit Zod-Schemas serverseitig validiert.

12. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen des Dienstes anzupassen. Die aktuelle Fassung ist stets auf dieser Seite abrufbar. Bei wesentlichen Änderungen informieren wir registrierte Nutzer per E-Mail.