Datenschutzerklärung

2. Hosting und Rechenzentrum

Die Website xictraq.com, die Plattform sowie alle zugehörigen Datenbanken werden in Rechenzentren innerhalb der Europäischen Union (Standorte Nürnberg, Falkenstein und Helsinki) gehostet. Mit den eingesetzten Hosting-Auftragsverarbeitern (namentlich unter Ziffer 10 aufgeführt) bestehen Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Eine Übermittlung in Drittländer außerhalb des EWR findet im Hosting-Bereich nicht statt; einzelne, unter Ziffer 10 namentlich aufgeführte Auftragsverarbeiter (insb. Anthropic für den optionalen KI-Chat-Assistenten und die KI-Sichtbarkeit) verarbeiten in den USA auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

3. Server-Log-Dateien

Beim Aufruf unserer Website werden automatisch Informationen in sogenannten Server-Log-Dateien gespeichert, die Ihr Browser übermittelt: Browsertyp und -version, verwendetes Betriebssystem, Referrer-URL, Hostname des zugreifenden Rechners, Uhrzeit der Serveranfrage und eine gekürzte IP-Adresse. Diese Daten dienen ausschließlich der Systemsicherheit und Fehleranalyse und werden gelöscht, sobald sie für diesen Zweck nicht mehr erforderlich sind. Eine Zusammenführung mit anderen Datenquellen erfolgt nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am störungsfreien Betrieb).

4. Cookielose Besucherstatistik

Zur Reichweitenmessung setzen wir auf xictraq.com XICTRAQ ein, unser eigenes, cookiefreies Analysesystem. Bei jedem Seitenaufruf werden verarbeitet: die aufgerufene Seite und die verweisende Seite (Referrer), Kampagnen-Parameter, die ungefähre Verweildauer, Bildschirm- und Fenstergröße, die daraus abgeleitete Geräteklasse, Browser- und Betriebssystem-Kategorie samt Version sowie — soweit der Browser sie von sich aus mitteilt — Bauform, Gerätefamilie und Hersteller, der ungefähre Standort (Land, Region, Stadt, Postleitzahl und Koordinaten, aus der IP-Adresse abgeleitet), der Internetanbieter samt Netzkennung (ASN), die eingestellte Sprache sowie Datum und Uhrzeit des Aufrufs; tritt auf der Seite ein JavaScript-Fehler auf, zusätzlich dessen Meldung und Fundstelle, wobei E-Mail-Adressen darin sowie Zugangswerte in enthaltenen Adressen (etwa token= oder key=) unkenntlich gemacht werden. Die Erhebung erfolgt vollständig ohne Cookies, ohne Fingerprinting und ohne Weitergabe an Dritte.

Für die Reichweitenmessung werden keine Cookies gesetzt und keine Informationen im Browser gespeichert oder ausgelesen; eine Einwilligung nach § 25 Abs. 1 TDDDG ist dafür nicht erforderlich. Zur Unterscheidung von Besuchen wird aus der IP-Adresse und einem Tagesschlüssel (Salt) eine pseudonyme Tageskennung gebildet. Der Tagesschlüssel ist ein täglich neu erzeugter Zufallswert und wird nach Ablauf des Tages gelöscht; danach ist eine Zuordnung der Tageskennung zu einer IP-Adresse nicht mehr möglich. Die IP-Adresse wird nur zur Bildung dieser Kennung, zur ungefähren geografischen Zuordnung, zur Bestimmung des Internetanbieters, zur Erkennung automatisierter Zugriffe und für höchstens eine Minute zur Begrenzung der Anfragezahl verwendet und nicht gespeichert. Führen Sie ein Gespräch mit unserem KI-Chat-Assistenten, speichert dieser die IP-Adresse des Gesprächs (Ziffer 9b). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der statistischen Auswertung der Website-Nutzung). Ergänzend werden auf xictraq.com für Klick- und Scroll-Heatmaps die einzelnen Klicks (Position, Elementtyp und sichtbarer Text des angeklickten Elements) und die Scroll-Tiefe erfasst, pseudonym über die Tageskennung — Details siehe Abschnitt 8b. Session-Recording ist auf xictraq.com standardmäßig deaktiviert und läuft ausschließlich nach aktiver Einwilligung über den Cookie-Consent-Banner (Details siehe Abschnitt 8b-r).

5. Registrierung und Nutzerkonto

Für die Nutzung des kostenpflichtigen und kostenlosen Funktionsumfangs der Plattform ist die Anlage eines Nutzerkontos erforderlich. Dabei verarbeiten wir: Name, E-Mail-Adresse, Passwort (als sicherer Hash gespeichert, nicht im Klartext), gewählter Tarif, Spracheinstellung, Zeitstempel der Registrierung und der letzten Anmeldung. Bei geschäftlichen Kunden zusätzlich Firmenbezeichnung, Rechnungsanschrift und Umsatzsteuer-Identifikationsnummer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen). Die Daten werden gelöscht, sobald sie für die Vertragsdurchführung nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten (insb. §§ 147 AO, 257 HGB) entgegenstehen.

5b. Sicherheits-Hinweise an Geschäftsdomains (Outreach)

Wenn unser öffentlicher Sicherheits-Index auf einer deutschen Geschäftsdomain konkrete technische Probleme erkennt (z. B. abgelaufenes SSL-Zertifikat, fehlende Security-Header, DSGVO-relevante Pre-Consent-Tracker, Mixed-Content), versenden wir an die im Impressum dieser Domain genannte Kontaktadresse einen einmaligen sachlichen Hinweis mit den konkreten Befunden. Wir verarbeiten dafür ausschließlich die im öffentlichen Impressum bereits selbst veröffentlichten Daten (Adresse, Verantwortlicher, E-Mail) sowie die technischen Scan-Ergebnisse zu der Domain. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheits- und Compliance-Aufklärung im B2B-Kontext) i. V. m. § 7 Abs. 2 Nr. 3 UWG (mutmaßliches Interesse des Empfängers an einem unmittelbaren technischen Befund zu seiner eigenen Domain). Maximal drei Mails pro Domain insgesamt, mindestens 90 Tage Cooldown zwischen Mails. Jede Mail enthält einen One-Click-Abmeldelink (RFC 8058); ein Widerruf wirkt sofort und dauerhaft auf E-Mail- und Domain-Ebene. Die Mail enthält ein Bild-Element, das beim Öffnen geladen wird (Open-Tracking) — wir speichern nur den ersten Öffnungs-Zeitpunkt, keine IP, keine Mehrfach-Opens; Widerruf jederzeit über den Abmeldelink. Empfänger der Outreach-Mails sind keine XICTRAQ-Kunden; deren Daten werden getrennt von Kundendaten verarbeitet und nach Abmeldung in einer Suppression-Liste geführt, damit erneuter Versand technisch ausgeschlossen ist.

6. Monitoring- und Check-Daten

Im Rahmen der Nutzung der Plattform werden die vom Kunden angegebenen Websites automatisiert durch unsere Monitoring-Agenten aus dem DACH-Raum geprüft. Dabei fallen technische Daten über die jeweilige Website an (URLs, HTTP-Header, Response-Zeiten, SSL-Zertifikat-Metadaten, DNS-Records, erkannte Third-Party-Scripts, gefundene Cookies, Accessibility- und SEO-Auswertungen, Screenshots der Website). Diese Daten werden dem jeweiligen Kundenkonto zugeordnet und dort gespeichert, bis der Kunde sie löscht oder sein Konto beendet; Monitoring-Rohdaten und Screenshots werden spätestens nach Ablauf der in Ziffer 11 genannten Fristen automatisch gelöscht, mit der dort genannten Ausnahme der Vergleichsaufnahme.

Sofern auf den vom Kunden überwachten Websites personenbezogene Daten Dritter (z. B. Besucher der Kundenwebsite, sichtbare Klarnamen im Impressum) enthalten sind, erfolgt die Verarbeitung durch uns im Auftrag des Kunden nach Art. 28 DSGVO. Der Kunde ist insoweit Verantwortlicher, wir sind Auftragsverarbeiter. Die nach Art. 28 Abs. 3 DSGVO erforderlichen Regelungen sind direkt in § 9a unserer AGB enthalten und werden mit Vertragsschluss verbindlich; ein zusätzlicher AVV-Schriftsatz ist nicht erforderlich.

7. Cookielose Analytics auf Kundenwebsites

Wenn der Kunde unser Tracking-Script („t.js“) auf seiner eigenen Website einbindet, werden Besucherdaten dieser Website ebenfalls mit dem unter Ziffer 4 beschriebenen Verfahren verarbeitet. Die Verarbeitung erfolgt ausschließlich im Auftrag des Kunden. Der Kunde ist verpflichtet, die Verarbeitung auf seiner eigenen Website gegenüber seinen Besuchern transparent zu machen (eigene Datenschutzerklärung) und zu prüfen, ob die Rechtsgrundlage seines Einsatzes auf seiner Website gegeben ist.

8. Zahlungsabwicklung (Stripe)

Für kostenpflichtige Tarife setzen wir den Zahlungsdienstleister Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland ein. Zahlungsdaten (Kreditkarte, SEPA-Lastschrift) werden direkt auf den Servern von Stripe verarbeitet; XICTRAQ hat keinen Zugriff auf vollständige Zahlungsmittel. Wir erhalten lediglich Zahlungsstatus, Abrechnungszeitraum und eine Rechnungs-ID. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Weitere Informationen finden Sie in der Datenschutzerklärung von Stripe.

8a. Passkeys (WebAuthn)

Auf Wunsch können Sie sich statt mit einem Passwort mit einem Passkey (WebAuthn / FIDO2) anmelden. Der kryptografische Private Key verbleibt ausschließlich auf Ihrem Gerät bzw. in Ihrem Hardware-Token und wird niemals an uns übertragen. Auf unseren Servern speichern wir lediglich den öffentlichen Schlüssel, eine Credential-ID, den Authenticator-Typ (Plattform/Cross-Platform), den Zeitpunkt der letzten Nutzung sowie ein Anzeigename-Feld, damit Sie mehrere Passkeys unterscheiden können. Es erfolgt keine biometrische Datenerhebung durch uns. Sie können jede Passkey-Registrierung jederzeit in Ihrem Kontobereich einzeln widerrufen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung / Authentifizierung) sowie unser berechtigtes Interesse an Konto-Sicherheit nach Art. 6 Abs. 1 lit. f DSGVO.

8b. Klick- und Scroll-Heatmaps

Optional können Kunden auf ihren eigenen Websites Klick- und Scroll-Heatmaps aktivieren. Dabei wird jeder Klick einzeln gespeichert: die Position auf der Seite (in Prozent von Seitenbreite und -höhe), Fenster- und Seitengröße, Geräteklasse, URL-Pfad, der Typ des angeklickten Elements und dessen sichtbarer Text (höchstens 100 Zeichen) sowie Kennzeichen für wiederholte und wirkungslose Klicks. Die Scroll-Tiefe wird je Seitenaufruf in Prozent gespeichert. Jeder Klick trägt die pseudonyme Tageskennung des Besuchs (Ziffer 4); die Kennung selbst enthält weder Namen noch IP-Adresse, und Cookies werden dafür nicht gesetzt. Der erfasste sichtbare Text kann Angaben enthalten, die die Seite selbst anzeigt, etwa den Namen eines angemeldeten Kunden, sofern der Bereich nicht maskiert ist. E-Mail-Adressen im Klicktext werden vor dem Speichern unkenntlich gemacht, ausgenommen Adressen der eigenen Domain der Website, etwa eine Kontaktadresse. Formulareingaben und Passwörter werden nicht erfasst; eine Aufzeichnung der Sitzung findet bei der Heatmap nicht statt (dazu Ziffer 8b-r). Die Aktivierung erfolgt durch den Kunden; er ist verantwortlich für die Information seiner Besucher in der eigenen Datenschutzerklärung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Usability-Optimierung), bei Einwilligungspflicht nach dem TDDDG: Art. 6 Abs. 1 lit. a DSGVO.

8b-r. Session-Recording

Auf xictraq.com wird Session-Recording nur eingesetzt, wenn Sie über den Cookie-Consent-Banner aktiv die Kategorie „Session-Recording“ aktivieren. Default ist aus; ohne Einwilligung findet keine Aufzeichnung statt. Bei erteilter Einwilligung zeichnen wir Sitzungsverläufe (DOM-Mutationen, Maus-, Scroll- und Klickbewegungen, Seiteninteraktionen und Zeitpunkte) pseudonym auf: Jede Aufzeichnung trägt die Tageskennung des Besuchs (Ziffer 4); die Kennung selbst enthält weder Namen noch IP-Adresse, und es wird kein Dritt-Cookie gesetzt. Die Aufzeichnung kann Angaben enthalten, die die Seite selbst anzeigt, etwa den Namen eines angemeldeten Kunden, sofern der Bereich nicht maskiert ist. Eingabefelder sowie als sensibel markierte Inhalte — insbesondere Passwörter und Feldtexte — werden bereits im Browser vor dem Upload automatisch maskiert (maskAllInputs); Kreditkarten- und IBAN-Muster werden geschwärzt. Wir verwenden die Open-Source-Bibliothek rrweb, ausgeliefert von unserer eigenen Domain — keine externen Skript-Hoster, keine Third-Party-Cookies. Die Aufzeichnungen werden auf Servern in der EU gespeichert, längstens 90 Tage und anschließend automatisch gelöscht. Widerruf: jederzeit mit Wirkung für die Zukunft über den Cookie-Einstellungen-Link im Footer; bereits gespeicherte Aufzeichnungen werden auf Anfrage nach Art. 17 DSGVO gelöscht. Für die Dauer der Sitzung wird eine Kennung der Aufzeichnung im Speicher Ihres Browsers (sessionStorage) abgelegt; sie wird beim Schließen des Tabs gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 25 Abs. 1 TDDDG.

8c. API-Zugang und API-Schlüssel

Nutzer können im Kundenbereich eigene API-Schlüssel erstellen, um die XICTRAQ-API programmatisch zu nutzen (z. B. Export, Integrationen, eigene Dashboards). Jeder Schlüssel wird nur als Hashwert gespeichert; den Klartext sehen Sie nur einmalig bei der Erstellung. Wir protokollieren API-Aufrufe (Endpoint, HTTP-Status, Zeitstempel sowie Client-IP) zur Erkennung von Missbrauch und Durchsetzung von Rate-Limits; die Speicherung erfolgt nur, solange sie für diese Zwecke erforderlich ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO. Sie können alle Schlüssel jederzeit sofort widerrufen.

8d. Status-Page-Benachrichtigungen

Betreibt ein Kunde eine öffentliche Status-Page, können sich dessen Endnutzer dort per E-Mail für Störungsmeldungen anmelden. Hierzu speichern wir die E-Mail-Adresse, die abonnierte Status-Page sowie einen zufällig erzeugten Bestätigungs- und Abmelde-Token (Double-Opt-In). Die Verarbeitung erfolgt im Auftrag des Status-Page-Betreibers nach Art. 28 DSGVO; Rechtsgrundlage gegenüber dem Abonnenten ist dessen Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Jede Benachrichtigungs-E-Mail enthält einen personalisierten Abmelde-Link. Nach Abmeldung werden alle zur Abonnement-Verwaltung gespeicherten Daten ohne unangemessene Verzögerung gelöscht.

8e. Kostenlose Online-Prüfwerkzeuge

Auf unserer Website können Sie ohne Registrierung eine Domain prüfen lassen (unter anderem Website-Check, SSL-Prüfung, Security-Score, PageSpeed, Open-Graph-Tags, E-Mail-Authentifizierung und Barrierefreiheit). Zu jeder Prüfung speichern wir die eingegebene Adresse, das Ergebnis, die Dauer der Prüfung sowie Ihre IP-Adresse, die Browserkennung, die verweisende Seite und Ihre bevorzugte Sprache. Zweck ist die Abwehr von Missbrauch, die Durchsetzung von Nutzungsgrenzen und die Betriebsstatistik; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Spätestens nach 90 Tagen entfernen wir IP-Adresse, Browserkennung, verweisende Seite und Sprachangabe aus diesen Einträgen; die verbleibende Zeile ohne Personenbezug behalten wir für die Betriebsstatistik.

Kunden mit Agentur-Plan können dasselbe Prüfwerkzeug als Baustein in ihre eigene Website einbinden. Prüfen Sie eine Domain über einen solchen eingebetteten Baustein, halten wir für den betreibenden Kunden zusätzlich fest, welche Adresse geprüft wurde, von welcher Seite der Aufruf kam und aus welchem Land er stammte. Ihre IP-Adresse wird dabei nicht im Klartext gespeichert, sondern nur als gesalzener Hashwert, der ausschließlich der Mehrfach-Erkennung dient. Diese Verarbeitung erfolgt im Auftrag des einbindenden Kunden nach Art. 28 DSGVO.

8f. Anbindung an die Shop-API (Shopware 6)

Kunden können einen Shopware-6-Shop über dessen Admin-API anbinden. Dazu speichern wir die Zugangsdaten einer vom Kunden angelegten Integration (das Secret nur verschlüsselt) und die Adresse der API. Einmal täglich lesen wir darüber die Versionsnummer des Shops. Schaltet der Kunde zusätzlich den Bestellstatus ein, fragen wir einmal täglich für die vom Tracker erfassten Käufe der letzten 30 Tage die Bestellnummer sowie den Status von Bestellung, Zahlung und Versand ab. Namen, Anschriften, E-Mail-Adressen und Bestellpositionen fordern wir für den Bestellstatus nicht an. Der Status erscheint nur im Bestellverlauf des Kunden selbst, nicht über Freigabelinks. Wir löschen ihn mit den Kaufereignissen nach der Aufbewahrungsfrist des Tarifs und sofort, wenn der Kunde den Abruf ausschaltet oder die Anbindung trennt. Die Verarbeitung erfolgt im Auftrag des Kunden nach Art. 28 DSGVO.

Zusätzlich kann der Kunde den Bestellimport einschalten. Nur solange dieser Schalter eingeschaltet ist, rufen wir über dieselbe Integration einmalig den gesamten bisherigen Bestellverlauf des Shops und danach laufend neue und geänderte Bestellungen ab, auch solche, die in der Shop-Verwaltung erfasst wurden, etwa nach einer telefonischen Bestellung. Abgerufen werden je Bestellung: Bestellnummer, Zeitpunkt der Bestellung und der letzten Änderung, Brutto- und Nettobetrag, Steuer, Versandkosten, Währung, Zahlungs- und Versandart, der Status von Bestellung, Zahlung und Versand, der Verkaufskanal als technische Kennung, ob die Bestellung in der Shopware-Administration angelegt wurde (gespeichert wird nur dieses Kennzeichen, nicht der anlegende Benutzer), die Positionen mit Produktnummer, Bezeichnung, Variante, Menge, Stückpreis und Zeilensumme sowie Vor- und Nachname, Firma und Kundennummer des Bestellers. Nicht abgerufen werden E-Mail-Adresse, Rechnungs- und Lieferanschrift, Telefonnummer, Kommentar des Bestellers, USt-IdNr sowie Kampagnen-, Partner- und Deeplink-Codes. Die in Shopware dafür nötige Rolle macht technisch weitere Angaben lesbar, etwa die E-Mail-Adresse des Bestellers; diese fordern wir nicht an. Die Zusatzangaben einer Bestellposition liefert Shopware nur als Ganzes; daraus übernehmen wir Produktnummer und Variantenmerkmale und verwerfen den Rest. Name, Firma und Kundennummer speichern wir nur, wenn der Tarif des Kunden die Identifizierung von Kunden umfasst. Findet sich zu einer Bestellung ein vom Tracker erfasster Kauf, ordnen wir die Bestellung diesem Kauf zu, statt sie doppelt zu zählen; die übrigen Bestellungen zählen in den E-Commerce-Auswertungen des Kunden ohne Bezug zu einem Besuch. Auch diese Verarbeitung erfolgt im Auftrag des Kunden nach Art. 28 DSGVO; als Verantwortlicher informiert der Kunde seine Besteller in seiner eigenen Datenschutzerklärung.

Die importierten Bestellungen, Positionen und Angaben zum Besteller löschen wir nach der Aufbewahrungsfrist des Tarifs (Ziffer 11), wenn der Kunde die Website aus XICTRAQ entfernt, und sofort, wenn der Kunde den Bestellimport ausschaltet oder die Anbindung trennt. Vor- und Nachname, Firma und Kundennummer des Bestellers entfernen wir unabhängig davon mit der täglichen automatischen Löschung, sobald die Bestellung 365 Tage zurückliegt; die übrigen Bestelldaten bleiben davon unberührt. Für Bestellungen, die beim Abruf bereits mehr als 365 Tage zurückliegen, speichern wir diese Angaben nicht. Name, Firma und Kundennummer des Bestellers erscheinen nur im Kundenbereich des Kunden, nicht über Freigabelinks.

8g. Speicherung im Browser (technisch erforderlich)

Unabhängig von der Reichweitenmessung (Ziffer 4), die nichts im Browser speichert, legen Website und Kundenbereich einzelne Angaben im Speicher Ihres Browsers ab (localStorage bzw. sessionStorage), um von Ihnen angeforderte Funktionen bereitzustellen: Ihre Auswahl in den Cookie-Einstellungen; das gewählte Farbschema und Ihre Einstellungen zur Barrierefreiheit; den Zustand des KI-Chats (Sitzungskennung, Fenstergröße und -position, Ihre Zustimmung zum Chat, ob ein Hinweis geschlossen wurde); kurzzeitig zwischengespeicherte öffentliche Statusdaten der Plattform für die Dauer des Tabs; nach einer Registrierung aus einem Angebot das vorgemerkte Ziel für den Checkout, höchstens 14 Tage und nach der Anmeldung gelöscht; das Ziel nach einer Anmeldung über einen externen Anbieter (derzeit Google); den Zustand des Demo-Zugangs. Im Kundenbereich kommen hinzu: Ihre Anmeldung (Zugangskennung, bis zur Abmeldung), Ansichten, Sortierungen, Dashboard-Layouts und Notizen, der Bearbeitungsstand des Sicherheits-Assistenten und des Widget-Konfigurators sowie gesehene Hinweise und Einführungen. Wer einen geteilten Dashboard-Link öffnet und dort Karten anordnet, dem wird diese Anordnung ebenfalls im Browser gemerkt. Diese Angaben dienen keiner Messung, werden nicht an Dritte gegeben und von uns nicht ausgewertet; mit Ausnahme der Zugangskennung, die jede Anfrage an unsere API begleitet, verlassen sie Ihren Browser nicht. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG; die Verarbeitung erfolgt nach Art. 6 Abs. 1 lit. b DSGVO bzw., für Darstellungseinstellungen, nach Art. 6 Abs. 1 lit. f DSGVO. Sie können die Angaben jederzeit über die Einstellungen Ihres Browsers löschen.

9. Transaktionale E-Mails und Benachrichtigungen

Als registrierter Nutzer erhalten Sie transaktionale E-Mails, die für die Erbringung unseres Dienstes erforderlich sind (Registrierungsbestätigung, Passwort-Reset, Monitoring-Alerts, wöchentliche/monatliche Reports, Rechnungen, Vertragsinformationen). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Alert-Benachrichtigungen können jederzeit in den Einstellungen Ihres Kontos deaktiviert oder in Umfang und Kanal (E-Mail, Slack, Discord, Telegram, Webhook) angepasst werden. Transaktionale E-Mails ohne werblichen Charakter werden auch bei Deaktivierung zugestellt, soweit dies zur Vertragsdurchführung unverzichtbar ist.

9b. KI-Chat-Assistent (Anthropic)

Wir bieten einen KI-gestützten Chat-Assistenten zur Produktberatung, Dokumentations-Hilfe und Konfigurations-Unterstützung. Für die Antwort-Generierung nutzen wir die Sprachmodell-API von Anthropic, PBC, San Francisco, USA. Hierfür übermitteln wir folgende Daten an Anthropic:

• Inhalt Ihrer Chat-Nachrichten;
• vorheriger Chat-Verlauf der aktuellen Konversation (max. 30 Nachrichten);
• aktuelle Seiten-URL/Bereich (z. B. „/app/websites/[ID]“) für kontextuelle Antworten;
• bei eingeloggten Nutzern: aktueller Plan, Anzahl Websites, ausgewählte Website-Daten (Status, Score, Alerts) — wenn der Assistent diese aktiv für die Beantwortung Ihrer Frage abruft;
• bei eingeloggten Nutzern: die Einträge im Gedächtnis des Assistenten (Einstellungen → KI-Gedächtnis), höchstens 40 je Gespräch.

Mit Anthropic besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Die Übermittlung in die USA erfolgt auf Basis der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Anthropic sichert vertraglich zu, dass API-Daten nicht zum Training von KI-Modellen verwendet werden („Zero Data Retention“ für API-Calls). Die Verarbeitung erfolgt ausschließlich zur Antwort-Generierung. Rechtsgrundlage für eingeloggte Nutzer: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung des XICTRAQ-Service); für Besucher ohne Anmeldung: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung — bestätigt durch das Öffnen des Chat-Widgets samt Hinweis darin).

Speicherung: Chat-Verläufe werden in unserer EU-gehosteten Datenbank gespeichert und automatisch gelöscht: Konversationen ohne Anmeldung 30 Tage nach der letzten Nachricht, Konversationen eingeloggter Nutzer nach zwölf Monaten. Eingeloggte Nutzer können ihre Unterhaltungen jederzeit selbst entfernen: im Archiv des Chats einzeln („Unterhaltung endgültig löschen“) oder alle auf einmal („Alle löschen“). Der Knopf „Verlauf löschen“ beendet dagegen nur die laufende Unterhaltung und legt sie im Archiv ab; gelöscht wird sie dann mit den oben genannten Fristen. Die Einträge im Gedächtnis des Assistenten bleiben gespeichert, bis Sie sie unter Einstellungen → KI-Gedächtnis löschen oder Ihr Konto löschen; das Löschen einer Unterhaltung entfernt sie nicht. Anfragen auf vollständige Löschung beantworten wir gemäß Art. 12 Abs. 3 DSGVO.

IP-Adresse und Verknüpfung mit der Besucherstatistik: Zu jedem Gespräch speichern wir die IP-Adresse und die Browserkennung (User-Agent) Ihres Geräts zusammen mit dem Chat-Verlauf; beide werden mit dem Gespräch nach den oben genannten Fristen gelöscht. Die IP-Adresse dient dazu, Gespräche ohne Anmeldung vor fremdem Zugriff zu schützen und Nutzungsgrenzen gegen Missbrauch durchzusetzen. Am Tag des Gesprächs bilden wir aus ihr außerdem die Tageskennung der Besucherstatistik (Ziffer 4) und verknüpfen das Gespräch so mit den Seitenaufrufen desselben Besuchs auf xictraq.com (unter anderem aufgerufene Seiten, Herkunft, ungefährer Standort und Gerät), damit unser Team die Anfrage im Zusammenhang einordnen kann. Nach Ablauf des Tages ist diese Verknüpfung nicht mehr möglich, weil der Tagesschlüssel dann gelöscht ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor Missbrauch und an einer auf den Besuch abgestimmten Beratung).

Übergabe an Mitarbeiter: Wenn der KI-Assistent Ihr Anliegen nicht beantworten kann oder Sie ausdrücklich einen Mitarbeiter wünschen, wird die Konversation an einen Mitarbeiter im XICTRAQ-Team übergeben. Die ursprünglichen Chat-Daten werden dabei nicht erneut an Anthropic übermittelt; die weitere Bearbeitung erfolgt rein intern bei XICTRAQ.

10. Empfänger und Auftragsverarbeiter

Zur Erbringung des Dienstes setzen wir sorgfältig ausgewählte Auftragsverarbeiter ein, mit denen jeweils ein Vertrag gemäß Art. 28 DSGVO besteht:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Hosting der Plattform, Datenbanken, E-Mail-Versand und sämtlicher Server-Infrastruktur in Rechenzentren innerhalb der EU;
• Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland — Zahlungsabwicklung (Kreditkarte, SEPA-Lastschrift, EU-Umsatzsteuer);
• Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA — KI-gestützte Antwort-Generierung im optionalen Chat-Assistenten und in der KI-Sichtbarkeit/Share-of-Model-Analyse (Details siehe Abschnitt 9b) sowie Texte im Kundenbereich: Zusammenfassungen in Berichten, Entwürfe für Vorfallmeldungen auf Statusseiten und Beschreibungen erkannter Änderungen bei Wettbewerbern; dafür gehen die jeweiligen Kennzahlen und Befunde zusammengefasst an Anthropic, keine Daten einzelner Besucher; Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO; Anthropic verarbeitet API-Daten vertraglich nicht zu Trainingszwecken (Zero Data Retention).

Optional vom Kunden im Nutzerkonto konfigurierte Drittdienste (z. B. Slack, Microsoft Teams, Discord, Telegram, generische Webhooks) zur Weiterleitung von Alerts sind keine Auftragsverarbeiter des Anbieters. Die Übermittlung an diese Dienste erfolgt allein auf Veranlassung des Kunden, der für die datenschutzrechtliche Beurteilung dieser Drittdienste selbst verantwortlich ist.

Eine darüber hinausgehende Weitergabe personenbezogener Daten an Dritte findet nicht statt, es sei denn, wir sind hierzu gesetzlich verpflichtet.

11. Speicherdauer

Wir speichern personenbezogene Daten nur solange, wie dies für die vereinbarten Zwecke erforderlich ist (Art. 5 Abs. 1 lit. e DSGVO). Monitoring- und Analytics-Rohdaten werden nach einer vom gebuchten Tarif abhängigen Frist automatisch und unwiderruflich gelöscht. Monitoring-Rohdaten (unter anderem Verfügbarkeits-, SSL- und Sicherheitsprüfungen sowie Screenshots): Free 7 Tage, Starter 30 Tage, Business 90 Tage, Agency 180 Tage. Ausgenommen ist je Website die jeweils neueste Aufnahme der visuellen Änderungserkennung: sie dient als Vergleichsgrundlage für die nächste Prüfung und bleibt erhalten, bis eine neuere sie ablöst oder die Website entfernt wird. Analytics-Daten: Free 30 Tage, Starter 90 Tage; in den Tarifen Business und Agency gilt keine tarifabhängige Frist, sie bleiben gespeichert, solange einer dieser Tarife gebucht ist; nach einem Wechsel in einen Tarif mit Frist gilt diese nach einem Nachlauf von bis zu 30 Tagen. Unabhängig vom Tarif gelten Obergrenzen: Session-Aufzeichnungen werden längstens 90 Tage gespeichert (Ziffer 8b-r), Zuordnungen von Besuchen zu Kundenkonten der Kundenwebsite werden gelöscht, wenn sie zwölf Monate lang nicht durch einen erneuten Besuch bestätigt wurden, und für Name, Firma und Kundennummer aus dem Bestellimport gilt Ziffer 8f. Das Add-on „Erweiterte Datenaufbewahrung“ verlängert die Frist für Monitoring-Rohdaten auf 24 Monate und hebt die Frist für Analytics-Daten auf. Unabhängig davon werden nach Beendigung des Vertrages alle Daten im Rahmen unseres Lösch-Konzepts entfernt; die dafür geltende Frist ergibt sich aus § 10 Abs. 4 unserer AGB. Rechnungs- und steuerrelevante Daten werden entsprechend der gesetzlichen Aufbewahrungsfristen nach §§ 147 AO, 257 HGB aufbewahrt und nach deren Ablauf gelöscht. Für Daten, die nicht an einen Vertrag gebunden sind, gelten feste Fristen: Einträge der kostenlosen Prüfwerkzeuge verlieren nach 90 Tagen ihren Personenbezug, nicht bestätigte Anmeldungen zu Status-Benachrichtigungen werden nach 30 Tagen gelöscht, das Kontoprotokoll nach zwölf Monaten, das Versandprotokoll unserer E-Mails ebenfalls nach zwölf Monaten (bei Empfängeradressen ohne zugehöriges Konto nach 90 Tagen), nicht angenommene Team-Einladungen nach 90 Tagen.

11a. Pflicht zur Bereitstellung und automatisierte Entscheidungen

Die Bereitstellung Ihrer personenbezogenen Daten ist weder gesetzlich noch vertraglich vorgeschrieben; sie ist jedoch erforderlich für den Vertragsschluss und die Vertragsdurchführung. Ohne die für die jeweilige Funktion erforderlichen Angaben kann der entsprechende Teil der Leistung nicht erbracht werden.

Eine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung — einschließlich Profiling — im Sinne des Art. 22 DSGVO findet nicht statt.

12. Ihre Rechte als betroffene Person

Sie haben nach der DSGVO folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht gegen Verarbeitung auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerrufsrecht bei Einwilligungen (Art. 7 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte genügt eine formlose E-Mail an mail@xictraq.com. Zur Missbrauchsvermeidung können wir einen geeigneten Identitätsnachweis verlangen.

13. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich gemäß Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde zu beschweren. Für XICTRAQ / XICTRON zuständig ist die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover (lfd.niedersachsen.de). Sie können sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsortes oder Ihres Arbeitsplatzes wenden.

14. SSL- bzw. TLS-Verschlüsselung

Diese Seite sowie die Plattform nutzen aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers „https://“ anzeigt und am Schloss-Symbol in Ihrer Browserzeile.

15. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich aus rechtlichen oder betrieblichen Gründen Änderungen ergeben. Die jeweils aktuelle Version finden Sie stets auf dieser Seite. Eingeloggte Kunden werden über wesentliche Änderungen zusätzlich per E-Mail informiert.