Transparenz ist uns wichtig
Welche Daten wir von den Besuchern Ihrer Website verarbeiten, welche Daten aus Ihrem eigenen Nutzerkonto stammen, welche Dienstleister daran beteiligt sind und wie lange wir alles speichern.
Zwei Arten von Daten, zwei Rollen
Wenn Sie sitebrunch einsetzen, entstehen zwei getrennte Arten von Daten. Wir halten sie auf dieser Seite bewusst auseinander, weil für sie unterschiedliche Regeln gelten und wir jeweils eine andere Rolle haben.
Daten der Besucher Ihrer Website verarbeiten wir ausschließlich in Ihrem Auftrag. Sie entscheiden, was erhoben wird, und sind Verantwortlicher im Sinne der DSGVO. Wir sind Auftragsverarbeiterin und dafür an Ihre Weisungen gebunden. Grundlage dafür ist unser Auftragsverarbeitungsvertrag.
Daten aus Ihrem eigenen Nutzerkonto, etwa Ihre Zugangsdaten und Ihre Abrechnung, verarbeiten wir dagegen für unsere eigenen Zwecke. Hier sind wir selbst Verantwortliche. Einzelheiten dazu stehen in unserer Datenschutzerklärung.
Diese Seite ist eine informative Übersicht und kein Vertrag. Sie ersetzt weder den Auftragsverarbeitungsvertrag noch unsere Datenschutzerklärung, sondern soll nachvollziehbar machen, was tatsächlich passiert.
Daten der Besucher Ihrer Website
Besucht eine Person eine Seite Ihrer Website, sendet unser Standard-Skript die folgenden Angaben an unseren Server in Deutschland. Es setzt dabei keine Cookies. Vom Endgerät lesen wir ausschließlich einen technischen Hinweis, den unser Editor setzt, damit Ihre eigenen Besuche nicht in Ihrer Statistik auftauchen. Angaben zu unseren Beta-Funktionen, die hiervon abweichen, finden Sie weiter unten.
Angabe | Beschreibung |
|---|---|
url | Die aufgerufene Adresse |
referrer | Nur bei Aufrufen von einer fremden Domain und ausschließlich deren Domainname, ohne Pfad |
previousUrl | Der Pfad der zuvor besuchten Seite, ausschließlich innerhalb Ihrer eigenen Domain. Query-Parameter und Anker werden dabei nicht übermittelt |
device | Geräteart (Mobil, Tablet, Desktop), ermittelt aus User-Agent und Bildschirmgröße |
scrollPosition | Scrollposition, auf Schritte von fünf gerundet |
pageViewId | Zufällige Kennung je Seitenaufruf, kein Rückschluss auf eine Person möglich |
path, elementIdentifiers | Nur bei Interaktionen wie Klicks oder Formularabsendungen: der CSS-Pfad des betroffenen Elements, dessen sichtbarer Text sowie technische Attribute wie Linkziel, Titel, Alternativtext oder Feldname. Die Eingaben in Formularfeldern lesen wir nicht aus. Bitte beachten Sie: Der sichtbare Text eines angeklickten Elements kann personenbezogene Angaben enthalten, wenn Ihre Seite dort etwa einen Namen oder eine Bestellnummer anzeigt |
IP-Adresse, User-Agent, Client Hints | Sendet der Browser technisch bedingt mit. Wird ausschließlich zur Bildung des Hashes genutzt und danach verworfen |
Was wir dauerhaft speichern
Aus IP-Adresse, User-Agent, Client Hints, Geräteart und Domain bilden wir zusammen mit einem zufälligen, websitebezogenen Wert (Salt) einen Hash nach dem Verfahren SHA-256. IP-Adresse, User-Agent und Client Hints werden in diesem Schritt verworfen und erreichen unsere Analysedatenbank nicht. Dort existiert keine Spalte für IP-Adresse oder User-Agent.
Vom Standort speichern wir ausschließlich das Land nach ISO-3166. Eine Erfassung von Stadt oder Region findet nicht statt.
Im Modus „enhanced-privacy“ kürzen wir die IP-Adresse zusätzlich bereits vor der Hash-Bildung. Bei IPv4 wird dabei das gesamte letzte Oktett auf null gesetzt (Maske /24).
Hat eine Person „Do Not Track“ in ihrem Browser aktiviert, schaltet unser Standard-Skript die automatische Erfassung vollständig ab. Seitenaufrufe, Interaktionen und Scrollbewegungen werden dann nicht an unseren Server gesendet.
Daten aus Ihrem Nutzerkonto
Diese Daten betreffen Sie als Kundin oder Kunden, nicht die Besucher Ihrer Website. Für sie sind wir selbst Verantwortliche.
Datenart | Beschreibung |
|---|---|
Registrierung | Name, E-Mail-Adresse, Telefonnummer und Passwort. Das Passwort speichern wir ausschließlich als Hash, niemals im Klartext |
Herkunft Ihrer Anmeldung | Bei der Registrierung halten wir fest, über welche Seite und über welche Kampagnenparameter Sie zu uns gekommen sind, sowie die verweisende Adresse. Das hilft uns einzuschätzen, welche unserer Inhalte nützlich sind |
Ihre Websites und Projekte | Name und Domain der Websites, die Sie anlegen, sowie Ihre Projekte, Kommentare und Screenshots |
Abrechnung | Rechnungsname und Rechnungsanschrift, auf Wunsch Ihre Umsatzsteuer-Identifikationsnummer, sowie Ihre Zahlungsdaten. Die Zahlungsdaten selbst erheben wir nicht, sie werden direkt von Stripe verarbeitet |
IP-Adresse bei der Registrierung | Wird ausschließlich verwendet, um die Zahl der Registrierungen pro Stunde zu begrenzen und Missbrauch zu verhindern. Wir speichern sie nicht in Ihrem Nutzerkonto |
Beta-Funktionen
Einzelne Funktionen bieten wir als Beta an. Sie sind standardmäßig deaktiviert und müssen von Ihnen ausdrücklich aktiviert werden. Solange Sie keine Beta-Funktion aktivieren, gilt für Ihre Website ausschließlich das oben beschriebene Verhalten.
Cookie-basierte Wiedererkennung
Aktivieren Sie diese Funktion, setzt unser Skript auf den Endgeräten Ihrer Websitebesucher ein Cookie mit einer zufällig erzeugten Kennung. Die Wiedererkennung erfolgt dann über dieses Cookie und nicht mehr über den oben beschriebenen Hash. Die Salt-Rotation und die daraus folgende Begrenzung der Wiedererkennung auf 21 Tage gelten für diese Funktion daher nicht, die Lebensdauer des Cookies legen Sie selbst fest. Die Funktion ist nach § 25 TDDDG einwilligungspflichtig. Sie dürfen sie nur einsetzen, wenn Sie zuvor eine wirksame Einwilligung Ihrer Websitebesucher eingeholt haben. Die Browsereinstellung „Do Not Track“ wird in dieser Beta nicht ausgewertet.
Shopify-Pixel
Für Shopify-Shops bieten wir ein eigenes Pixel an. Es erfasst Ereignisse im Bestellvorgang, etwa das Hinzufügen eines Artikels zum Warenkorb. Sie richten es selbst in Ihrem Shop ein, ohne diese Einrichtung ist es nicht aktiv. Die Browsereinstellung „Do Not Track“ wird in dieser Beta nicht ausgewertet.
KI-gestützte Auswertungen
Die KI-gestützten Auswertungen, etwa die Prüfung von Alternativtexten und die Management-Zusammenfassung, sind Beta-Funktionen. Aktivieren Sie die Prüfung von Alternativtexten, übermitteln wir Inhalte und Bilddateien der geprüften Seiten an Scaleway in Frankreich (Paris). Aktivieren Sie die Management-Zusammenfassung, übermitteln wir zusätzlich aggregierte Statistiken Ihres Projekts, etwa Besuchszahlen, Sitzungsdauer, Absprungrate, Geräteverteilung und die meistbesuchten Seiten. Diese Statistiken sind Summen und Durchschnitte über alle Besuche, einzelne Personen sind darin nicht mehr erkennbar. Personenbezogene Daten Ihrer Websitebesucher übermitteln wir nicht.
Dienstleister, die wir einsetzen
Sämtliche Verarbeitung der Daten Ihrer Websitebesucher findet innerhalb der EU statt. Wir betreiben unsere Datenbanken, Warteschlangen und unser Fehler-Monitoring selbst auf eigener Infrastruktur und geben diese Daten nicht an Dritte weiter. An den personenbezogenen Daten Ihrer Websitebesucher sind nur die beiden folgenden Dienstleister beteiligt. Aktivieren Sie die Management-Zusammenfassung (Beta), kommt Scaleway hinzu, erhält dabei aber ausschließlich aggregierte Statistiken, in denen einzelne Personen nicht mehr erkennbar sind.
Für die Daten Ihrer Websitebesucher
Anbieter | Zweck | Sitz und Ort der Verarbeitung |
|---|---|---|
Hetzner | Hosting, Datenbanken, Warteschlangen und Backups der Analysedatenbank | Deutschland (Falkenstein, Nürnberg) |
bunny.net | Auslieferung unseres Analyse-Skripts. Beim Laden des Skripts verbindet sich der Browser Ihrer Websitebesucher mit dem CDN, dabei ist dessen IP-Adresse technisch bedingt sichtbar. Die Zugriffsprotokollierung ist deaktiviert | Slowenien, Auslieferung über europäische Standorte |
Für Ihr Nutzerkonto und den Betrieb der Anwendung
Anbieter | Zweck | Sitz und Ort der Verarbeitung |
|---|---|---|
Hetzner | Hosting und Datenbanken, Speicher für hochgeladene Dokumente | Deutschland (Falkenstein, Nürnberg) |
bunny.net | Auslieferung statischer Dateien und unseres Analyse-Skripts sowie Objektspeicher: Crawl-Momentaufnahmen und gespeichertes Seiten-HTML, Vorschau-Screenshots, Ergebnisdaten der Barrierefreiheitsprüfungen, Kurszertifikate sowie die verschlüsselten Backups unserer Kundendatenbank | Slowenien, Auslieferung und Speicherung über europäische Standorte |
Scaleway (Objektspeicher) | Objektspeicher für Anwendungsdateien, Kommentare und Exporte | Frankreich (Paris) |
Brevo | Versand von Transaktions- und Benachrichtigungs-E-Mails an Ihre Nutzerkonten | Frankreich |
awork (Ihr eigenes Konto) | Kein Unterauftragsverarbeiter von uns: Die Vertragsbeziehung zu awork besteht zwischen Ihnen und awork, wir übermitteln lediglich auf Ihre Weisung in Ihr eigenes Konto. Optionale Integration, standardmäßig nicht aktiv. Verbinden Sie Ihr awork-Konto, legen wir Ihre Kommentare als Aufgaben in awork an und übertragen dabei den Kommentartext, die zugewiesenen Personen und den zugehörigen Screenshot. Umgekehrt rufen wir Ihr dortiges Nutzerprofil sowie Ihre Projekt-, Status- und Aufgabenlisten ab und speichern diese in Ihrem sitebrunch-Konto. Eine Übertragung findet ausschließlich statt, wenn Sie einen Kommentar anlegen oder beantworten, nicht automatisiert im Hintergrund. Daten Ihrer Websitebesucher werden nicht übermittelt | Deutschland (Hamburg) |
Scaleway (KI-Auswertungen) | KI-gestützte Auswertungen als Beta-Funktion, etwa Prüfung von Alternativtexten und Management-Zusammenfassungen. Nur aktiv, wenn Sie die jeweilige Funktion ausdrücklich aktivieren. Übermittelt werden Inhalte und Bilddateien der geprüften Seiten sowie, bei der Management-Zusammenfassung, aggregierte Statistiken Ihres Projekts. Die übermittelten Inhalte werden nicht gespeichert und nicht zum Training von KI-Modellen verwendet. Personenbezogene Daten Ihrer Websitebesucher werden nicht übermittelt | Frankreich |
Stripe | Zahlungsabwicklung für Ihr sitebrunch-Abonnement. Keine Daten Ihrer Websitebesucher | Irland, Konzernverbund mit den USA |
Zur Bestimmung des Herkunftslandes nutzen wir die GeoLite2-Datenbank von MaxMind. Diese liegt als lokale Datei auf unseren Servern, es findet keine Abfrage bei MaxMind und keine Übermittlung der IP-Adresse statt.
Speicherdauern für Server- und CDN-Logs
Datenart | Speicherdauer |
|---|---|
CDN-Logs (bunny.net) | Die Zugriffsprotokollierung ist deaktiviert. Es entstehen keine CDN-Logs |
Server-Logs | Keine feste Dauer. Die Logs verbleiben auf dem jeweiligen Server in Deutschland, werden größenbasiert rotiert (höchstens fünf Dateien à zehn Megabyte je Dienst) und spätestens beim nächsten Austausch des Dienstes gelöscht. Eine zentrale Sammlung oder Weitergabe an Dritte findet nicht statt |
Fehlerprotokolle des Monitorings | 90 Tage, danach automatische Löschung. Betrieb auf eigenen Servern in Deutschland |
Salt zur Hash-Bildung | 14 Tage. Danach wird er unwiederbringlich überschrieben |
Backups der Kundendatenbank | 7 Tage. Die Backups werden bereits auf unserem Server verschlüsselt und verlassen ihn nur in dieser Form. Der Speicheranbieter kann die Inhalte nicht lesen |
Backups der Analysedatenbank | Es werden die fünf neuesten Backups vorgehalten, ältere werden automatisch gelöscht. Speicherung in Deutschland (Nürnberg). Diese Backups enthalten ausschließlich pseudonymisierte Analyse-Events, keinen Salt und keine IP-Adressen |
Rohdaten in der Warteschlange | Werden nach der Verarbeitung gelöscht, spätestens nach 14 Tagen |
Analyse-Events (pseudonymisiert) | Keine feste Löschfrist, damit Auswertungen über längere Zeiträume möglich bleiben. Der Personenbezug entfällt mit dem Überschreiben des Salts |
Ergebnisse von Website-Crawls | Bleiben gespeichert, bis Sie die Website löschen. Dabei werden sowohl die Crawls als auch die dabei erfassten Seiteninhalte entfernt |
Öffentliche Barrierefreiheits-Checks | 90 Tage |
Protokolle versendeter E-Mails | 30 Tage. Betrifft die E-Mails an Ihre Nutzerkonten, nicht Ihre Websitebesucher |
Der Salt ist Bestandteil des Hashes. Sobald er nach 14 Tagen überschrieben und nach weiteren höchstens 7 Tagen auch aus dem letzten Backup entfernt ist, lässt sich aus einem gespeicherten Hash auch von uns nicht mehr auf eine IP-Adresse zurückrechnen. Ab diesem Zeitpunkt sind die gespeicherten Analyse-Events dauerhaft anonymisiert. Eine Wiedererkennung derselben Person ist damit auf längstens 21 Tage begrenzt.
Übermittlungen außerhalb des EWR
Die Daten Ihrer Websitebesucher werden ausschließlich innerhalb der Europäischen Union verarbeitet. Für diese Daten findet keine Übermittlung in ein Drittland statt.
Wir binden auf unserer Anwendung weder Google Fonts noch Google Analytics oder reCAPTCHA ein. Unser Fehler-Monitoring betreiben wir auf eigenen Servern in Deutschland, es werden keine Fehlerdaten an einen externen Dienst übermittelt. Bevor ein Fehlerprotokoll gespeichert wird, entfernen wir IP-Adresse, User-Agent, Client Hints und die übermittelten Inhalte der Tracking-Anfragen. Die Protokolle werden nach 90 Tagen automatisch gelöscht.
Ein Drittlandbezug besteht ausschließlich in den folgenden Fällen, die Ihre Websitebesucher nicht betreffen:
Zahlungsabwicklung über Stripe. Vertragspartner ist Stripe Payments Europe mit Sitz in Irland. Eine Übermittlung innerhalb des Stripe-Konzerns in die USA erfolgt auf Grundlage der Standardvertragsklauseln der EU-Kommission. Betroffen sind ausschließlich Ihre Abrechnungsdaten, nicht die Daten Ihrer Websitebesucher.
Interne Betriebsbenachrichtigungen an Microsoft Teams, etwa bei Änderungen an Abonnements. Die Daten unseres Microsoft-365-Tenants werden in Deutschland gespeichert, eine Übermittlung in ein Drittland findet insoweit nicht statt. Es werden keine Daten Ihrer Websitebesucher übermittelt.
Im Dashboard können einzelne Hilfe-Videos über YouTube, Vimeo oder Tella eingebunden sein. YouTube binden wir im Modus ohne Cookies ein. Rufen Sie eine Seite mit einem eingebundenen Video auf, wird eine Verbindung zum jeweiligen Anbieter aufgebaut. Betroffen sind ausschließlich Ihre eigenen Nutzerkonten, nicht die Daten Ihrer Websitebesucher.
Stand dieser Seite: 21. September 2026. Änderungen an der Liste der eingesetzten Dienstleister kündigen wir Ihnen vorab an.