Datenschutzerklärung

1) Einleitung und Kontaktdaten des Verantwortlichen

1.1 Wir freuen uns, dass Sie unsere Website besuchen, und bedanken uns für Ihr Interesse. Im Folgenden informieren wir Sie über den Umgang mit Ihren personenbezogenen Daten bei der Nutzung unserer Website. Personenbezogene Daten sind hierbei alle Daten, mit denen Sie persönlich identifiziert werden können.

1.2 Verantwortlicher für die Datenverarbeitung auf dieser Website im Sinne der Datenschutz-Grundverordnung (DSGVO) ist Michael Pehl, Putbuser Str. 6, 18109 Rostock, Deutschland, Tel.: 0381 37119916, E-Mail: info@fepo.app. Der für die Verarbeitung von personenbezogenen Daten Verantwortliche ist diejenige natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

2) Datenerfassung beim Besuch unserer Website

2.1 Bei der bloß informatorischen Nutzung unserer Website, also wenn Sie sich nicht registrieren oder uns anderweitig Informationen übermitteln, erheben wir nur solche Daten, die Ihr Browser an den Seitenserver übermittelt (sog. „Server-Logfiles"). Wenn Sie unsere Website aufrufen, erheben wir die folgenden Daten, die für uns technisch erforderlich sind, um Ihnen die Website anzuzeigen:

• Unsere besuchte Website
• Datum und Uhrzeit zum Zeitpunkt des Zugriffes
• Menge der gesendeten Daten in Byte
• Quelle/Verweis, von welchem Sie auf die Seite gelangten
• Verwendeter Browser
• Verwendetes Betriebssystem
• Verwendete IP-Adresse (ggf.: in anonymisierter Form)

Die Verarbeitung erfolgt gemäß Art. 6 Abs. 1 lit. f DSGVO auf Basis unseres berechtigten Interesses an der Verbesserung der Stabilität und Funktionalität unserer Website. Eine Weitergabe oder anderweitige Verwendung der Daten findet nicht statt. Wir behalten uns allerdings vor, die Server-Logfiles nachträglich zu überprüfen, sollten konkrete Anhaltspunkte auf eine rechtswidrige Nutzung hinweisen.

2.2 Diese Website nutzt aus Sicherheitsgründen und zum Schutz der Übertragung personenbezogener Daten und anderer vertraulicher Inhalte (z.B. Bestellungen oder Anfragen an den Verantwortlichen) eine SSL- bzw. TLS-Verschlüsselung. Sie können eine verschlüsselte Verbindung an der Zeichenfolge „https://" und dem Schloss-Symbol in Ihrer Browserzeile erkennen.

3) Hosting & Content-Delivery-Network

3.1 Für das Hosting unserer Website und die Darstellung der Seiteninhalte nutzen wir die Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) als Anbieter, deren Server sich in einem Rechenzentrum in Falkenstein/Sachsen befinden. Sämtliche auf unserer Website erhobenen Daten werden auf diesen Servern in Deutschland verarbeitet. Wir haben mit der Hetzner Online GmbH einen Auftragsverarbeitungsvertrag geschlossen, der den Schutz der Daten unserer Seitenbesucher sicherstellt und eine unberechtigte Weitergabe an Dritte untersagt.

3.2 Cloudflare

Wir nutzen ein Content Delivery Network des folgenden Anbieters: Cloudflare Inc., 101 Townsend St. San Francisco, CA 94107, USA

Dieser Dienst ermöglicht uns, große Mediendateien wie Grafiken, Seiteninhalte oder Skripte über ein Netz regional verteilter Server schneller auszuliefern. Die Verarbeitung erfolgt zur Wahrung unseres berechtigten Interesses an der Verbesserung der Stabilität und Funktionalität unserer Website gem. Art. 6 Abs. 1 lit. f DSGVO. Wir haben mit dem Anbieter einen Auftragsverarbeitungsvertrag geschlossen, der den Schutz der Daten unserer Seitenbesucher sicherstellt und eine unberechtigte Weitergabe an Dritte untersagt.

Für Datenübermittlungen in die USA hat sich der Anbieter dem EU-US-Datenschutzrahmen (EU-US Data Privacy Framework) angeschlossen, das auf Basis eines Angemessenheitsbeschlusses der Europäischen Kommission die Einhaltung des europäischen Datenschutzniveaus sicherstellt.

4) Cookies

Um den Besuch unserer Website attraktiv zu gestalten und die Nutzung bestimmter Funktionen zu ermöglichen, verwenden wir Cookies, also kleine Textdateien, die auf Ihrem Endgerät abgelegt werden. Teilweise werden diese Cookies nach Schließen des Browsers automatisch wieder gelöscht (sog. „Session-Cookies"), teilweise verbleiben diese Cookies länger auf Ihrem Endgerät und ermöglichen das Speichern von Seiteneinstellungen (sog. „persistente Cookies"). Im letzteren Fall können Sie die Speicherdauer der Übersicht zu den Cookie-Einstellungen Ihres Webbrowsers entnehmen.

Sofern durch einzelne von uns eingesetzte Cookies auch personenbezogene Daten verarbeitet werden, erfolgt die Verarbeitung gemäß Art. 6 Abs. 1 lit. b DSGVO entweder zur Durchführung des Vertrages, gemäß Art. 6 Abs. 1 lit. a DSGVO im Falle einer erteilten Einwilligung oder gemäß Art. 6 Abs. 1 lit. f DSGVO zur Wahrung unserer berechtigten Interessen an der bestmöglichen Funktionalität der Website sowie einer kundenfreundlichen und effektiven Ausgestaltung des Seitenbesuchs.

Sie können Ihren Browser so einstellen, dass Sie über das Setzen von Cookies informiert werden und einzeln über deren Annahme entscheiden oder die Annahme von Cookies für bestimmte Fälle oder generell ausschließen können. Bitte beachten Sie, dass bei Nichtannahme von Cookies die Funktionalität unserer Website eingeschränkt sein kann.

5) Kontaktaufnahme

Im Rahmen der Kontaktaufnahme mit uns (z.B. per Kontaktformular oder E-Mail) werden – ausschließlich zum Zweck der Bearbeitung und Beantwortung Ihres Anliegens und nur im dafür erforderlichen Umfang – personenbezogene Daten verarbeitet. Rechtsgrundlage für die Verarbeitung dieser Daten ist unser berechtigtes Interesse an der Beantwortung Ihres Anliegens gemäß Art. 6 Abs. 1 lit. f DSGVO. Zielt Ihre Kontaktierung auf einen Vertrag ab, so ist zusätzliche Rechtsgrundlage für die Verarbeitung Art. 6 Abs. 1 lit. b DSGVO. Ihre Daten werden gelöscht, wenn sich aus den Umständen entnehmen lässt, dass der betroffene Sachverhalt abschließend geklärt ist und sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

6) Datenverarbeitung bei Eröffnung eines Kundenkontos

Gemäß Art. 6 Abs. 1 lit. b DSGVO werden personenbezogene Daten im jeweils erforderlichen Umfang weiterhin erhoben und verarbeitet, wenn Sie uns diese bei der Eröffnung eines Kundenkontos mitteilen. Welche Daten für die Kontoeröffnung erforderlich sind, entnehmen Sie der Eingabemaske des entsprechenden Formulars auf unserer Website.

Eine Löschung Ihres Kundenkontos ist jederzeit möglich — entweder selbständig im Portal über Konto → Account löschen (siehe Abschnitt 10 unten zum 30-Tage-Pending-Lösch-Flow inkl. Sofort-Lösch-Opt-Out) oder durch eine Nachricht an die o.g. Adresse des Verantwortlichen. Nach Löschung Ihres Kundenkontos werden Ihre Daten gelöscht, sofern alle darüber geschlossenen Verträge vollständig abgewickelt sind, keine gesetzlichen Aufbewahrungsfristen entgegenstehen und unsererseits kein berechtigtes Interesse an der Weiterspeicherung fortbesteht.

7) Datenverarbeitung zur Vertragsabwicklung

7.1 Zur Abwicklung des Vertrags arbeiten wir mit dem / den nachstehenden Dienstleister(n) zusammen, die uns ganz oder teilweise bei der Durchführung geschlossener Verträge unterstützen. An diese Dienstleister werden nach Maßgabe der folgenden Informationen gewisse personenbezogene Daten übermittelt.

7.2 Verwendung von Paymentdienstleistern (Zahlungsdiensten)

Stripe

Auf dieser Website stehen eine oder mehrere Online-Zahlungsarten des folgenden Anbieters zur Verfügung: Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland

Bei Auswahl einer Zahlungsart des Anbieters, bei der Sie in Vorleistung gehen (etwa Kreditkartenzahlung), werden an diesen Ihre im Rahmen des Bestellvorgangs mitgeteilten Zahlungsdaten (darunter Name, Anschrift, Bank- und Zahlkarteninformationen, Währung und Transaktionsnummer) sowie Informationen über den Inhalt Ihrer Bestellung gemäß Art. 6 Abs. 1 lit. b DSGVO weitergegeben. Die Weitergabe Ihrer Daten erfolgt in diesem Falle ausschließlich zum Zweck der Zahlungsabwicklung mit dem Anbieter und nur insoweit, als sie hierfür erforderlich ist.

Bei Auswahl einer Zahlungsart, bei der der Anbieter in Vorleistung geht (etwa Rechnungs- oder Ratenkauf bzw. Lastschrift), werden Sie im Bestellablauf auch aufgefordert, bestimmte persönliche Daten (Vor- und Nachname, Straße, Hausnummer, Postleitzahl, Ort, Geburtsdatum, E-Mail-Adresse, Telefonnummer, ggf. Daten zu einem alternativen Zahlungsmittel) anzugeben.

Um unser berechtigtes Interesse an der Feststellung der Zahlungsfähigkeit unserer Kunden zu wahren, werden diese Daten von uns gemäß Art. 6 Abs. 1 lit. f DSGVO zum Zweck einer Bonitätsprüfung an den Anbieter weitergeleitet. Der Anbieter prüft auf Basis der von Ihnen angegebenen persönlichen Daten sowie weiterer Daten (wie etwa Warenkorb, Rechnungsbetrag, Bestellhistorie, Zahlungserfahrungen), ob die von Ihnen ausgewählte Zahlungsmöglichkeit im Hinblick auf Zahlungs- und/oder Forderungsausfallrisiken gewährt werden kann.

Die Bonitätsauskunft kann Wahrscheinlichkeitswerte enthalten (sog. Score-Werte). Soweit Score-Werte in das Ergebnis der Bonitätsauskunft einfließen, haben sie ihre Grundlage in einem wissenschaftlich anerkannten mathematisch-statistischen Verfahren. In die Berechnung der Score-Werte fließen unter anderem, aber nicht ausschließlich, Anschriftendaten ein.

Sie können dieser Verarbeitung Ihrer Daten jederzeit durch eine Nachricht an uns oder gegenüber dem Anbieter widersprechen. Jedoch bleibt der Anbieter ggf. weiterhin berechtigt, Ihre personenbezogenen Daten zu verarbeiten, sofern dies zur vertragsgemäßen Zahlungsabwicklung erforderlich ist.

Weiterführende Informationen zur Datenverarbeitung durch Stripe und zum Umgang mit Ihren Daten finden Sie in der Datenschutzerklärung von Stripe unter stripe.com/de/privacy.

Einmalkauf „Download der optimierten Dateien": Die Audits selbst sind kostenlos. Wenn Sie die optimierten Dateien eines Audits herunterladen möchten, erwerben Sie diese einmalig für 9,99 USD zzgl. USt. über den Zahlungsanbieter Stripe. An Stripe übermittelt bzw. dort erfasst werden Ihre E-Mail-Adresse und Ihr Name, die Rechnungsadresse (zur Berechnung der Umsatzsteuer nach Ihrem Land), bei Geschäftskunden auf Wunsch die USt-IdNr. sowie die Zahlungsdaten. Stripe stellt Ihnen darüber eine Rechnung aus. Außerdem halten wir bei Stripe fest, wann Sie der sofortigen Bereitstellung zugestimmt und den Verlust Ihres Widerrufsrechts bestätigt haben (§ 356 Abs. 5 BGB). Lokal speichern wir nur den Kaufzeitpunkt am betreffenden Audit-Lauf; die Dateien sind ab diesem Zeitpunkt 365 Tage abrufbar. Nach dem Kauf senden wir Ihnen eine Bestätigung des Vertrags per E-Mail. Bei Konto-Löschung werden die lokalen Einträge automatisch mit gelöscht; Rechnungen werden für die gesetzlichen Aufbewahrungsfristen (§ 147 AO, § 257 HGB) aufbewahrt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (steuerrechtliche Pflichten).

7.3 Elektronische Kündigungsmöglichkeit für Dauerschuldverhältnisse mit Verbrauchern

Verbraucher, welche auf dieser Website Verträge über entgeltpflichtige Dauerschuldverhältnisse (etwa Abonnement-Verträge) eingegangen sind, haben die Möglichkeit, diese über eine elektronische Schaltfläche im Einklang mit den geltenden Kündigungsfristen zu kündigen.

Die Betätigung der Schaltfläche führt zu einer Bestätigungsseite, auf welcher der Verbraucher nähere Angaben zur Kündigung machen, sich eindeutig identifizieren und seine Kündigung im Anschluss elektronisch erklären kann.

Die Erhebung personenbezogener Daten und deren Übermittlung an uns erfolgt hierbei gemäß Art. 6 Abs. 1 lit. b DSGVO und nur insoweit, wie sie für die ordnungsgemäße Bearbeitung der Kündigung erforderlich sind. Ebenfalls auf Basis von Art. 6 Abs. 1 lit. b DSGVO werden die bereitgestellten personenbezogenen Daten verwendet, um den Zugang der Kündigungserklärung und den Kündigungszeitpunkt auf elektronischem Weg in Textform zu bestätigen. Weitere Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 lit. c DSGVO. Wir sind zur Vorhaltung einer elektronischen Kündigungsmöglichkeit bei im Wege des elektronischen Geschäftsverkehrs geschlossenen Verbraucherverträgen über entgeltpflichtige Dauerschuldverhältnisse gesetzlich verpflichtet.

7.4 Elektronische Widerrufsfunktion fïr Fernabsatzverträge

Verbraucher, welche auf dieser Website Verträge schließen, bei denen ein gesetzliches Widerrufsrecht besteht, haben die Möglichkeit, den Widerruf ïber eine elektronische Widerrufsfunktion im Einklang mit den geltenden Widerrufsbestimmungen zu erklären. Bei Nutzung der Widerrufsfunktion sind neben Angaben zur Identifizierung des zu widerrufenden Vertrags auch weitere personenbezogene Informationen wie der Vor- und Nachname sowie die Mailadresse des Verbrauchers bereitzustellen oder zu bestätigen. Die Erhebung dieser Informationen und deren Übermittlung an uns erfolgt hierbei gemäß Art. 6 Abs. 1 lit. b DSGVO und nur insoweit, wie sie fïr die ordnungsgemäße Bearbeitung des Widerrufs erforderlich sind. Ebenfalls auf Basis von Art. 6 Abs. 1 lit. b DSGVO werden die bereitgestellten personenbezogenen Daten verwendet, um den Zugang der Widerrufserklärung per E-Mail bestätigen. Weitere Rechtsgrundlage fïr die Verarbeitung ist Art. 6 Abs. 1 lit. c DSGVO. Wir sind zur Vorhaltung einer elektronischen Widerrufsfunktion fïr entgeltpflichtige Verbraucherfernabsatzverträge gesetzlich verpflichtet.

8) Rechte des Betroffenen

8.1 Das geltende Datenschutzrecht gewährt Ihnen gegenüber dem Verantwortlichen hinsichtlich der Verarbeitung Ihrer personenbezogenen Daten die nachstehenden Betroffenenrechte (Auskunfts- und Interventionsrechte), wobei für die jeweiligen Ausübungsvoraussetzungen auf die angeführte Rechtsgrundlage verwiesen wird:

• Auskunftsrecht gemäß Art. 15 DSGVO;
• Recht auf Berichtigung gemäß Art. 16 DSGVO;
• Recht auf Löschung gemäß Art. 17 DSGVO;
• Recht auf Einschränkung der Verarbeitung gemäß Art. 18 DSGVO;
• Recht auf Unterrichtung gemäß Art. 19 DSGVO;
• Recht auf Datenübertragbarkeit gemäß Art. 20 DSGVO;
• Recht auf Widerruf erteilter Einwilligungen gemäß Art. 7 Abs. 3 DSGVO;
• Recht auf Beschwerde gemäß Art. 77 DSGVO.

8.2 Widerspruchsrecht

Wenn wir im Rahmen einer Interessenabwägung Ihre personenbezogenen Daten aufgrund unseres überwiegenden berechtigten Interesses verarbeiten, haben Sie das jederzeitige Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, gegen diese Verarbeitung Widerspruch mit Wirkung für die Zukunft einzulegen.

Machen Sie von Ihrem Widerspruchsrecht Gebrauch, beenden wir die Verarbeitung der betroffenen Daten. Eine Weiterverarbeitung bleibt aber vorbehalten, wenn wir zwingende schutzwürdige Gründe für die Verarbeitung nachweisen können, die Ihre Interessen, Grundrechte und Grundfreiheiten überwiegen, oder wenn die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient.

Werden Ihre personenbezogenen Daten von uns verarbeitet, um Direktwerbung zu betreiben, haben Sie das Recht, jederzeit Widerspruch gegen die Verarbeitung Sie betreffender personenbezogener Daten zum Zwecke derartiger Werbung einzulegen. Sie können den Widerspruch wie oben beschrieben ausüben.

Machen Sie von Ihrem Widerspruchsrecht Gebrauch, beenden wir die Verarbeitung der betroffenen Daten zu Direktwerbezwecken.

9) Dauer der Speicherung personenbezogener Daten

Die Dauer der Speicherung von personenbezogenen Daten bemisst sich anhand der jeweiligen Rechtsgrundlage, am Verarbeitungszweck und – sofern einschlägig – zusätzlich anhand der jeweiligen gesetzlichen Aufbewahrungsfrist (z.B. handels- und steuerrechtliche Aufbewahrungsfristen).

Bei der Verarbeitung von personenbezogenen Daten auf Grundlage einer ausdrücklichen Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO werden die betroffenen Daten so lange gespeichert, bis Sie Ihre Einwilligung widerrufen.

Existieren gesetzliche Aufbewahrungsfristen für Daten, die im Rahmen rechtsgeschäftlicher bzw. rechtsgeschäftsähnlicher Verpflichtungen auf der Grundlage von Art. 6 Abs. 1 lit. b DSGVO verarbeitet werden, werden diese Daten nach Ablauf der Aufbewahrungsfristen routinemäßig gelöscht, sofern sie nicht mehr zur Vertragserfüllung oder Vertragsanbahnung erforderlich sind und/oder unsererseits kein berechtigtes Interesse an der Weiterspeicherung fortbesteht.

Bei der Verarbeitung von personenbezogenen Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO werden diese Daten so lange gespeichert, bis Sie Ihr Widerspruchsrecht nach Art. 21 Abs. 1 DSGVO ausüben, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Bei der Verarbeitung von personenbezogenen Daten zum Zwecke der Direktwerbung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO werden diese Daten so lange gespeichert, bis Sie Ihr Widerspruchsrecht nach Art. 21 Abs. 2 DSGVO ausüben.

Sofern sich aus den sonstigen Informationen dieser Erklärung über spezifische Verarbeitungssituationen nichts anderes ergibt, werden gespeicherte personenbezogene Daten im Übrigen dann gelöscht, wenn sie für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind.

10) Durchführung von Web-Performance-Audits (fepo-Kernleistung)

Gegenstand unserer Leistung ist die technische Analyse von Webseiten (sog. „Audits"), die Sie als Nutzer über unser Portal beauftragen. Zur Erbringung dieser Leistung rufen wir die von Ihnen angegebene URL von unseren Servern in Deutschland (Hetzner Online GmbH, Rechenzentrum Falkenstein) aus auf und analysieren technische Merkmale der ausgelieferten Seite.

Zweck: Bereitstellung des gebuchten Performance-Audits (Art. 6 Abs. 1 lit. b DSGVO).

Verarbeitete Daten:

• Die von Ihnen eingegebene URL
• Technische Metriken der Zielseite (Ladezeit, Core Web Vitals, Render-Timing, etc.)
• Eine HAR-Datei (HTTP-Archive) ohne Response-Inhalte (content: omit) — gespeichert werden ausschließlich Request-URLs, Zeitpunkte und Transfergrößen
• Screenshots der analysierten Seite (Mobile-Viewport 360×640 px, max. 3× Retina-Skalierung) sowie Filmstreifen (niedrigauflösend, 360×640 px) zur visuellen Dokumentation des Ladefortschritts
• Zeitstempel des Audit-Vorgangs

Keine Verarbeitung von Besucher-PII: Unsere Server rufen die Zielseite technisch wie ein Browser auf, ohne sich als konkrete Person anzumelden, ohne Cookies zu akzeptieren und ohne Formulare auszufüllen. Personenbezogene Daten von Besuchern der auditierten Seite werden strukturell nicht erhoben. Dadurch sind gesicherte Bereiche (Login-geschützte Portale, Mitgliederbereiche, interne Dashboards) für unseren Audit nicht erreichbar und können folglich auch in Screenshots oder Filmstreifen nicht erscheinen — dokumentiert wird ausschließlich der öffentlich zugängliche Seiten-Anteil.

Speicherort und -dauer: Alle Audit-Artefakte werden verschlüsselt (LUKS + AES-256-GCM) auf unseren Servern in Deutschland gespeichert. Maßgeblich ist, ob für den einzelnen Audit optimierte Dateien gekauft wurden. Die einzige Ausnahme ist das Agentur-Abonnement, bei dem die längere Frist für alle Audits gilt:

• Kostenloser Audit: 30 Tage für Report und Dateien (Audit-Metriken, Waterfall-Viewer, Screenshots, HAR-Datei, optimierte Dateien). Die Dateien liegen in dieser Zeit bereit, damit Sie sie kaufen können; herunterladen lassen sie sich erst nach erfolgreichem Kauf.
• Gekaufter Audit: 365 Tage ab dem Kaufzeitpunkt für Report und Dateien (Ursprungs- und optimierte Dateien: HTML, CSS, JS, Bilder, Fonts, HAR-Datei, Screenshots, Filmstrips, Videos, ZIP-Pakete).
• Agentur-Abonnement: 365 Tage ab dem Audit für Report und Dateien.

Rechtsgrundlage der längeren Aufbewahrung gekaufter Audits ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Eine bezahlte Leistung darf nicht durch eine Aufbewahrungsfrist vernichtet werden. Die Frist von 365 Tagen setzt dem zugleich eine Grenze (Art. 5 Abs. 1 lit. e, Speicherbegrenzung).

DB-Einträge (Scores, Zeitstempel, URL-Verlauf) bleiben unabhängig von den vorgenannten Fristen erhalten, solange der Account besteht. Die 30-Tage-Datenabruf-Frist nach Kündigung gemäß Art. 25 Data Act (siehe AGB-Annex §9.1) bleibt hiervon unberührt und läuft separat.

Speicherdauer bei Inaktivität: Konten, mit denen 180 Tage lang weder eine Anmeldung noch ein Audit erfolgt ist, löschen wir automatisch samt aller gespeicherten Daten. 14 Tage vorher erhalten Sie eine E-Mail; eine einfache Anmeldung genügt, um das Konto zu behalten. Ausgenommen sind Konten mit einem gekauften Download für 365 Tage nach dem Kauf, mit erworbenem WP-Credit-Guthaben oder mit einem laufenden Agentur-Abonnement. Rechtsgrundlage: Art. 5 Abs. 1 lit. e DSGVO (Speicherbegrenzung).

Löschung: Sie können Ihren Account jederzeit über das Portal oder — bei Nutzung unseres WordPress-Plugins — über die Plugin-Deinstallation löschen. Die Löschung umfasst alle mit Ihrem Account verknüpften Audit-Daten (Art. 17 DSGVO). Interne Logdaten der Löschung selbst (pseudonymisiert) bleiben aus Nachweispflichten (Art. 5 Abs. 2 DSGVO) bis zu 24 Monate erhalten.

30-Tage-Reue-Frist (Pending-Lösch-Flow): Lösch-Anträge im Portal durchlaufen standardmäßig eine 30-tägige Reue-Frist (gemäß Art. 12 Abs. 3 DSGVO Bearbeitungsfrist). Nach Bestätigung Ihrer Lösch-Anfrage über den Email-Link erhalten Sie eine Bestätigungs-Mail mit dem konkreten Lösch-Datum sowie einem Reaktivierungs-Link. Während der 30-Tage-Frist:

• bleibt Ihr Konto eingeschränkt erreichbar — Sie können sich einloggen, alle Reports und Daten herunterladen (Datenexport gemäß Art. 20 DSGVO), Ihre bereits gekauften Download-Pakete weiter abrufen und Ihre täglichen Scans weiter nutzen;
• sind keine Settings-Änderungen oder Stripe-Portal-Aktionen möglich;
• wird ein etwaiges Agentur-Abonnement automatisch zum Periodenende gekündigt (kein Refund — die bezahlte Periode wird ausgeschöpft). Für den Einmalkauf einzelner Downloads gilt das nicht: Diese bleiben bis zur endgültigen Löschung abrufbar;
• können Sie die Löschung jederzeit per Email-Reactivate-Link oder durch Klick auf den Banner im Portal abbrechen;
• erhalten Sie 7 Tage und 1 Tag vor dem Lösch-Datum eine Erinnerungs-Mail.

Wenn Sie eine Löschung ohne Reue-Frist wünschen (Art. 17 Abs. 1 DSGVO), können Sie in der Bestätigungs-Email den Button „Sofort löschen" wählen. Diese Option löscht Ihr Konto unmittelbar und unwiderruflich ohne Reue-Frist.

Falls Sie auf die Bestätigungs-Email nicht reagieren (d.h. weder einen der drei Buttons klicken noch reagieren), wird nichts geändert — der Bestätigungs-Token verfällt nach 24 Stunden automatisch und Ihr Konto bleibt unverändert aktiv.

10a) White-Label-Darstellung mit Agency-Logo (nur Agency-Plan)

Kunden des Agency-Plans können ein eigenes Firmen-Logo hinterlegen lassen, das im Portal-Header und auf der Report-Seite (Bildschirmansicht und Druck/PDF) anstelle des fepo-Textlogos angezeigt wird. So sehen die Endkunden der Agentur die Marke der Agentur statt unsere.

Verarbeitungsablauf: Der Upload erfolgt aktuell nicht im Self-Service, sondern manuell durch uns (Super-Admin): Sie senden uns Ihr Logo zu, wir laden es im internen Admin-Bereich hoch. Beim Upload wird das Bild serverseitig validiert (nur PNG, JPEG, WebP — kein SVG) und in das moderne AVIF-Format konvertiert (maximal 200 px Höhe, Breite proportional, kein Hochskalieren). Das Originalformat wird niemals persistiert — die Re-Encodierung neutralisiert mögliche Manipulationen in der Bilddatei.

Übermittelte Daten: die von Ihnen bereitgestellte Bilddatei. Mittelbar kann ein Firmen-Logo Personenbezug enthalten (z.B. bei einem Einzelunternehmer mit Namen im Logo); deshalb wird es hier als personenbezogene Verarbeitung behandelt.

Speicherort: ausschließlich auf unserem dedizierten Server bei der Hetzner Online GmbH in Falkenstein, Deutschland, auf LUKS-verschlüsseltem Volume (`results/<Ihre-Konto-ID>/uploaded_logo/logo.avif`). Keine Drittanbieter erhalten das Logo (keine Bildanalyse, keine OCR, kein CDN-Cache mit Personenbezug).

Auslieferung: das Logo wird ausschließlich an den eingeloggten Agency-Kunden ausgeliefert (session-gebunden, der eigene Account wird über den Session-Cookie identifiziert). Andere Kunden können Ihr Logo nicht abrufen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — White-Label-Darstellung ist Bestandteil des gebuchten Agency-Plans).

Drittland-Transfer: keiner.

Löschung: Sie können das Logo jederzeit über uns wieder entfernen lassen. Bei einer vollständigen Konto-Löschung (Art. 17 DSGVO) wird das Logo automatisch zusammen mit allen anderen Konto-Daten unwiderruflich vom Filesystem entfernt. Wird Ihr Konto stattdessen anonymisiert (z.B. weil handelsrechtliche Aufbewahrungspflichten für die zugehörigen Rechnungen bestehen), wird das Logo trotzdem separat gelöscht — anonymisierte Konten enthalten kein Branding mehr.

11) Übermittlung von URLs an Google (PageSpeed Insights & CrUX)

Zur Erweiterung unserer Audit-Ergebnisse um reale Nutzungsdaten (Field Data) und ergänzende Performance-Messungen übermitteln wir bei jedem Audit die von Ihnen analysierte URL an zwei APIs des Anbieters Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland:

• Google PageSpeed Insights API
• Google Chrome UX Report API (CrUX)

Übermittelte Daten: ausschließlich die URL der von Ihnen analysierten Webseite. Es werden keine Stammdaten, E-Mail-Adressen oder andere Informationen über Sie als Kunden übermittelt. Die Übermittlung erfolgt serverseitig (nicht über Ihren Browser); Ihre IP-Adresse wird daher nicht an Google geleitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — die Field Data sind Bestandteil des gebuchten Audit-Reports).

Keine Daten über Sie: Google erhält nur die Adresse der öffentlich zugänglichen Seite (bzw. deren Domain) sowie Angaben zur Abfrage (z. B. Gerätetyp „Mobil"). Google kann daher nicht erkennen, wer die Prüfung veranlasst hat. Google verarbeitet damit keine personenbezogenen Daten unserer Kunden in unserem Auftrag; ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) ist hierfür nicht erforderlich.

Server in den USA: Google verarbeitet Anfragen technisch auch auf Servern in den USA und hat sich dem EU-US-Datenschutzrahmen (EU-US Data Privacy Framework) angeschlossen. Für Details verweisen wir auf Googles Datenschutzerklärung unter policies.google.com/privacy.

12) Verwendung der Anthropic API (KI-generierte Management-Zusammenfassung)

Unsere Audit-Reports enthalten eine automatisch generierte Management-Zusammenfassung („Executive Summary"). Diese wird durch das KI-Sprachmodell Claude des Anbieters Anthropic PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA erstellt.

Übermittelte Daten: Ausschließlich aggregierte, nicht-personenbezogene Metriken aus dem von Ihnen beauftragten Audit (z.B. Ladezeiten, Bytes, Tracker-Anzahl, Sicherheits-Header). Es werden keine URLs, Kundenstammdaten, E-Mail-Adressen oder sonstige Identifikatoren übermittelt.

Zweck: Umwandlung der technischen Audit-Metriken in eine verständliche schriftliche Zusammenfassung für Ihren Report.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Drittland-Transfer: Die Verarbeitung erfolgt auf Servern in den USA. Die Übermittlung ist auf Grundlage der EU-Standardvertragsklauseln (SCCs) abgesichert. Anthropic ist nach deren „Commercial Terms of Service" (Abschnitt B) vertraglich verpflichtet, Ihre API-Inputs und -Outputs nicht für das Training seiner Modelle zu verwenden. Übermittelte Daten werden maximal 30 Tage für automatisiertes Missbrauchs-Monitoring vorgehalten und danach gelöscht. Details unter anthropic.com/legal/commercial-terms und anthropic.com/legal/privacy.

Caching: Zur Reduzierung von Kosten und Antwortzeiten speichern wir generierte Zusammenfassungen pseudonym in unserer Datenbank (Schlüssel: Hash der Metrik-Werte, keine Verknüpfung zum Kundenkonto). Wiederkehrende Anfragen mit identischen Metriken werden aus dem Cache beantwortet, ohne Anthropic erneut aufzurufen.

13) Nutzung unseres WordPress-Plugins

Wenn Sie unser optionales WordPress-Plugin „fepo" auf Ihrer WordPress-Installation einsetzen, werden zur Authentifizierung gegenüber unserer API folgende Daten übertragen:

• Ein SHA-256-Hash einer zufällig generierten Kennung Ihrer Installation („Site-Hash") als Authentifizierungs-Token
• Der Hostname Ihrer WordPress-Seite (wird aus technischen Gründen benötigt, verhindert missbräuchliche Verwendung des Site-Hashes)

Speicherung des Hostnamens: Der Hostname Ihrer WordPress-Seite wird ausschließlich als HMAC-SHA256-Hash (mit server-seitigem Salt) in unserer Datenbank gespeichert — der Klartext der Domain wird nicht persistiert. Ein Rückschluss auf die ursprüngliche Domain ist ohne den server-seitigen Salt nicht möglich; die Personenbezugs-Wahrscheinlichkeit ist damit auf das technisch Notwendige reduziert (Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — das Plugin ist Bestandteil unseres Leistungsangebots).

Kostenpflichtige Credit-Pakete (Bild- & Font-Optimierung): Für die Optimierungsfunktionen des Plugins können Sie einmalige Guthaben-Pakete („Credits", 100/500/1000) erwerben. Die Zahlungsabwicklung erfolgt über unseren Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd.; Übermittlung an Stripe Inc., USA, abgesichert über den EU-US Data Privacy Framework sowie Standardvertragsklauseln). Es handelt sich um einen Einmalkauf (keine Abonnement-Zahlung); erworbene Credits verfallen nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die dabei bei uns anfallenden Daten beschränken sich auf die Zuordnung des Kaufs zu Ihrem Plugin-Account (Site-Hash) und das Guthaben; die Zahlungsdaten selbst verarbeitet ausschließlich Stripe (siehe Abschnitt 7 und die Auflistung der Empfänger).

Löschung bei Deinstallation: Wenn Sie das Audit-Plugin deinstallieren, sendet dieses automatisch einen Löschbefehl an unseren Server. Alle Ihrem Plugin-Account zugeordneten Daten (Audits, Einstellungen, Audit-Artefakte) werden daraufhin gemäß Art. 17 DSGVO gelöscht. Scheitert der Löschbefehl (z.B. durch Netzwerkprobleme beim Deinstallieren), wird in der WordPress-Optionstabelle ein Hinweis hinterlegt, sodass Sie die Löschung bei Bedarf manuell per E-Mail an uns anfragen können. Das Optimierungs-Plugin löscht bei Deinstallation bewusst kein serverseitiges Konto — damit ein erworbenes Credit-Guthaben nach einer versehentlichen Deinstallation und Neuinstallation nicht verloren geht. Die Löschung dieser Daten können Sie jederzeit per E-Mail an uns anfragen (Art. 17 DSGVO).

Speicherdauer bei Inaktivität: Plugin-Installationen ohne erworbenes Credit-Guthaben, die 60 Tage inaktiv sind, werden automatisch gelöscht. Haben Sie hingegen einmalig Credits erworben, bleibt Ihre Installation dauerhaft aktiv (auch bei aufgebrauchtem Guthaben), damit ein späteres Wiederaufladen ohne Datenverlust möglich ist; die Löschung erfolgt in diesem Fall über die Plugin-Deinstallation (siehe oben) oder auf Ihre Anfrage.

Täglicher Kontakt des Optimierungs-Plugins: Solange das Bild- & Font-Optimierungs-Plugin aktiv ist und Sie im Plugin eingewilligt haben, meldet es sich einmal täglich mit dem Site-Hash bei unserem Server, damit Ihre Installation nicht nach 60 Tagen Inaktivität gelöscht wird. Seit Version 1.1.6 schickt es dabei fünf technische Werte über Ihren Server mit: die Hauptversion von ImageMagick (bzw. dass es fehlt), ob die PHP-Erweiterung Imagick geladen ist, ob AVIF und WebP geschrieben werden können, und die PHP-Version. Diese Übermittlung erfolgt auf Grundlage Ihrer Einwilligung im Plugin (Art. 6 Abs. 1 lit. a DSGVO). Sie können sie dort jederzeit über „Withdraw consent" widerrufen; dann endet auch der tägliche Kontakt. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt. Auf unserem Server speichern wir die Werte nur als anonyme Tageszähler (z. B. „so viele Installationen können AVIF"), ohne Bezug zu Ihrer Seite; um Doppelzählungen zu vermeiden, halten wir höchstens zwei Tage lang einen gehashten Schlüssel vor. Zweck ist herauszufinden, wie viele Server Bilder selbst umwandeln können (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Weiterentwicklung des Plugins).

14) Fallback auf WebPageTest bei Bot-Blockierung

Einige Webseiten blockieren automatisierte Browser-Zugriffe (typisch: Cloudflare-Bot-Schutz, anti-scraping-Mechanismen). In diesen Fällen kann unser hauseigener Crawler das gewünschte Audit nicht durchführen. Als Fallback übermitteln wir in diesen Ausnahmefällen die von Ihnen angegebene URL an den externen Dienst WebPageTest (Anbieter: Catchpoint Systems, Inc., 228 East 45th Street, Suite 9E, New York, NY 10017, USA).

Übermittelte Daten: Ausschließlich die von Ihnen eingegebene URL sowie generische Test-Parameter (Gerätetyp: Mobile, Netzwerk: 4G). Es werden keine Kundenstammdaten, E-Mail-Adressen oder sonstige Identifikatoren übertragen.

Zweck: Durchführung des gebuchten Audits in Fällen, in denen unser eigener Crawler durch die Zielseite blockiert wird.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — ohne diesen Fallback könnten wir geschützte Seiten nicht auditieren).

Test-Standort: Die Messung erfolgt primär vom WebPageTest-Test-Knoten in Frankfurt, Deutschland. Bei kapazitätsbedingter Überlast des Frankfurt-Knotens wird automatisch auf einen anderen EU-Knoten ausgewichen: Amsterdam (Niederlande), Paris (Frankreich) oder Hamina (Finnland). Der einmal gewählte Knoten wird pro Projekt persistiert, sodass Folge-Audits desselben Projekts den gleichen Standort nutzen (Score-Vergleichbarkeit). Andere Test-Standorte außerhalb der EU werden nicht genutzt.

Keine Daten über Sie: An WebPageTest geht ausschließlich die Adresse der zu prüfenden, öffentlich zugänglichen Webseite und die Test-Einstellungen. Nicht übermittelt werden Ihr Name, Ihre E-Mail-Adresse, Ihre Kundennummer oder sonstige Angaben, die einen Bezug zu Ihnen herstellen. Catchpoint kann daher nicht erkennen, wer die Prüfung veranlasst hat, und ruft die Seite auf wie jeder andere Besucher. Catchpoint verarbeitet damit keine personenbezogenen Daten unserer Kunden in unserem Auftrag; ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) ist hierfür nicht erforderlich.

Sitz des Anbieters: Catchpoint Systems hat seinen Sitz in den USA. Die Messungen laufen auf Test-Knoten in der EU (siehe oben); die Steuerung der Tests erfolgt über webpagetest.org. Details zur Datenverarbeitung durch WebPageTest finden Sie unter webpagetest.org/privacy.

Transparenz: Ob für Ihren Audit der WebPageTest-Fallback genutzt wurde, wird im Report unter „Quelle" explizit ausgewiesen (Werte: „Programmatic" für unseren eigenen Crawler, „WPT" für den Fallback).

14a) DNSSEC-Prüfung der auditierten Domain (Cloudflare-Resolver)

Im Rahmen des Portal-Audits prüfen wir, ob die von Ihnen auditierte Domain DNSSEC (kryptografisch signierte DNS-Antworten) aktiviert hat. Dazu fragen wir die DNS-Records (DS/DNSKEY) der auditierten Ziel-Domain über den öffentlichen DNS-Resolver von Cloudflare (1.1.1.1) ab.

Übermittelte Daten: Ausschließlich die Domain der von Ihnen eingegebenen Audit-URL — dieselbe Angabe, die auch an Google (CrUX, siehe Ziff. 11) übermittelt wird. Es werden keine Kundenstammdaten, E-Mail-Adressen oder sonstigen Identifikatoren übertragen. Die Resolver-Antwort wird nur für den Report ausgewertet und nicht dauerhaft gespeichert.

Zweck: Anzeige des DNSSEC-Status im Sicherheits-Panel des Reports (informativ, ohne Einfluss auf den Score). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Bestandteil des gebuchten Audits). Dieser Check läuft nur im eingeloggten Portal-Audit, nicht im kostenlosen Public-Scan.

Drittland-Transfer: Cloudflare, Inc. hat seinen Sitz in den USA (EU-Knoten in Frankfurt/Amsterdam). Die Übermittlung ist über das EU-US Data Privacy Framework (DPF) sowie EU-Standardvertragsklauseln (SCCs) im Cloudflare-DPA abgesichert (siehe auch Ziff. 3.2). Übermittelt wird nur die auditierte Domain ohne Personenbezug.

15) Interne Server-Benachrichtigungen (ntfy)

Wir betreiben auf demselben Hetzner-Server wie unsere Anwendung einen self-hosted Push-Benachrichtigungsdienst (ntfy, erreichbar unter ntfy.fepo.app). Dieser dient ausschließlich der internen Betriebsüberwachung — Audit-Abschlüsse, Fehler und kritische System-Warnungen werden an uns als Betreiber gepusht.

Datenkategorien: Audit-Status, URL der analysierten Seite, Fehlermeldungen, interne Run-Identifier. Bei Fehlerfällen kann die URL personenbezogen sein, falls Sie als Kunde eine URL mit User-Identifier auditieren — diese würde im Push-Body kurzzeitig erscheinen.

Empfänger: ausschließlich der Betreiber. Keine externe Weitergabe — der ntfy-Server liegt auf demselben Hetzner-Host wie die fepo-Anwendung, ist über HTTPS abgesichert und Bearer-Token-authentifiziert. Die Push-Nachrichten werden nach maximal 12 Stunden gelöscht (ntfy Cache-Duration).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Systembetrieb und Fehler-Frühwarnung) sowie Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Audit-Status-Reporting an den Betreiber).

15a) Sub-Prozessoren-Übersicht (Art. 13 Abs. 1 lit. e DSGVO)

Die folgenden externen Dienstleister verarbeiten in unserem Auftrag personenbezogene Daten. Detailliertere Beschreibung der jeweiligen Verarbeitung finden Sie in den nummerierten Abschnitten oben und in unserem Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO).

Nicht aufgeführt sind Google (PageSpeed Insights und CrUX, siehe Ziff. 11) und WebPageTest (Catchpoint Systems, Inc., USA, siehe Ziff. 14): Beide erhalten nur die Adresse der geprüften, öffentlich zugänglichen Webseite, keine Daten über Sie, und sind daher keine Auftragsverarbeiter.

Die vollständige Beschreibung jeder einzelnen Verarbeitung — inklusive Datenkategorien, Löschfristen und Drittland-Transfer-Garantien — finden Sie im verbindlichen Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO, das wir auf Anfrage zur Verfügung stellen.

15b) Subprozessor-Status-Monitoring

Wir betreiben einen täglichen Cron-Job (15:00 Uhr Europe/Berlin), der die öffentlichen Status-Seiten und Blog-Feeds unserer wichtigsten Subprozessoren abruft, um Vorfälle (Art. 28 DSGVO) und neue Sub-Sub- Prozessoren (Art. 33 DSGVO) zeitnah zu erkennen. Abgefragt werden ausschließlich öffentlich erreichbare Endpunkte (Statuspage.io-JSON, RSS/Atom-Feeds): Stripe Status, Cloudflare Status, Anthropic Status, Catchpoint Status, Hetzner Status, Google Cloud Status, Cloudflare-Blog, Stripe-Blog.

Datenkategorien: Es werden keinerlei Kundendaten übermittelt. Beim Abruf der jeweiligen Endpunkte fällt — wie bei jedem HTTP-Request — die öffentliche IP-Adresse unseres Servers und ein generischer User-Agent („fepo-subprocessor-watch/1.0") an. Es werden keine Cookies, Tokens oder Header mit Personenbezug gesendet.

Empfänger: ausschließlich der Betreiber via ntfy/Sendmail. Keine externe Weitergabe der gesammelten Befunde.

Drittland-Transfer: Sieben der acht Quellen werden in den USA betrieben (Stripe, Cloudflare, Anthropic, Catchpoint, Google) — dies betrifft jedoch nur den Abruf der öffentlichen Status-Seiten dieser Anbieter, nicht den Transfer von Kundendaten. Der Transfer der Server-IP-Adresse erfolgt auf Grundlage von Art. 49 Abs. 1 lit. b DSGVO (Erforderlichkeit für Vertragserfüllung — Monitoring der Subprozessoren ist Teil unserer Art.-28-Pflichten).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Subprozessor- Vorfall-Frühwarnung als Compliance-Pflicht aus Art. 28 und Art. 33 DSGVO).

16) Technische und organisatorische Maßnahmen (TOMs)

Zum Schutz Ihrer Daten setzen wir technische Maßnahmen nach dem Stand der Technik ein:

• Verschlüsselung im Transit: HTTPS/TLS für alle externen Verbindungen
• Verschlüsselung im Ruhezustand: LUKS-Verschlüsselung der Datenpartitionen; AES-256-GCM für personenbezogene Felder in der Datenbank
• Pseudonymisierung: interne Identifier werden gehasht (HMAC-SHA256), Klartext-E-Mail-Adressen erscheinen nicht in Logs
• Datensparsamkeit: HAR-Dateien werden ohne Response-Inhalte gespeichert; Bilder nur beim Audit temporär geladen und verarbeitet
• Audit-Trail: Zugriffe auf Kundendaten durch Administrator-Rollen werden revisionssicher protokolliert (Art. 5 Abs. 2 DSGVO)
• Automatisierte Löschkonzepte: Aufbewahrungsfristen je Audit (30 Tage, gekauft 365 Tage ab Kauf), Löschung inaktiver Konten nach 180 Tagen, vollständige Account-Löschung nach Art. 17 DSGVO auf Abruf oder manuell durch Sie
• Verschlüsselte Backups: Datenbank-Backups AES-256-GCM verschlüsselt; maximal 10 Generationen; Schlüssel nur auf dem Produktivsystem
• Coordinated Vulnerability Disclosure: wir veröffentlichen eine security.txt nach RFC 9116 unter fepo.app/.well-known/security.txt und bieten Sicherheitsforschern einen verbindlichen Meldekanal unter security@fepo.app