Datenschutzerklärung
Diese Website kommt ohne Cookies, ohne Tracking-Dienste und, abgesehen vom Spam-Schutz an den Formularen, ohne eingebettete Dienste Dritter aus. Was wir verarbeiten, steht hier vollständig.
1. Verantwortlicher
WDM Webdesign München GmbH, Deisenhofener Str. 45, 81539 München, Telefon +49 89 856 371 05, E-Mail projekt@wdm.de, vertreten durch die Geschäftsführerin Marie-Anne Le Corre. Ein Datenschutzbeauftragter ist gesetzlich nicht zu benennen; Anfragen zum Datenschutz richten Sie bitte an die genannte Adresse.
2. Aufruf der Website (Server-Logdateien)
Beim Aufruf dieser Website verarbeitet der Webserver technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, übertragene Datenmenge, Browsertyp und Betriebssystem, zuvor besuchte Seite (Referrer). Diese Daten werden in Server-Logdateien gespeichert und nach spätestens 14 Tagen gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere und stabile Betrieb der Website und die Abwehr von Angriffen.
Die Website wird von der Mittwald CM Service GmbH & Co. KG, Königsberger Straße 4-6, 32339 Espelkamp, in Deutschland gehostet. Mit Mittwald besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
Alle Aufrufe laufen über das Content Delivery Network der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Cloudflare leitet die Anfragen an den Webserver weiter, schützt die Website vor Angriffen und verarbeitet dabei dieselben technischen Daten, insbesondere Ihre IP-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine sichere und schnell erreichbare Website. Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag mit den EU-Standardvertragsklauseln; Cloudflare ist zudem unter dem EU-US Data Privacy Framework zertifiziert.
3. Formulare und E-Mail
Wenn Sie das Formular "Demo anfragen" nutzen (für eine Demo oder für eine Frage), verarbeiten wir die von Ihnen eingegebenen Angaben: Ihr Anliegen, Name, Unternehmen, E-Mail-Adresse, Nachricht sowie freiwillig Telefonnummer, Art Ihrer Produkte, einen Termin für die Demo und Ihr Interesse an einer Teilnahme als Pilotkunde. Die Daten werden per E-Mail an uns übermittelt und zur Bearbeitung Ihrer Anfrage sowie für die Anbahnung eines Vertrags verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) und lit. f DSGVO (Beantwortung von Anfragen).
Wählen Sie einen Termin für die Demo, erhalten Sie zusätzlich eine Bestätigung mit Kalendereintrag per E-Mail. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) und lit. f DSGVO (Organisation des Termins). Damit ein Termin nicht doppelt vergeben wird, speichern wir den gebuchten Zeitraum und eine zufällige Kennung auf unserem Server, bis der Termin vorbei ist, ohne Namen oder Kontaktdaten. Die freien Zeiten lesen wir aus unserem eigenen Kalender. Dabei werden nur Zeiträume ausgewertet, keine Inhalte anderer Termine, und es werden keine Daten von Ihnen an den Kalenderanbieter übermittelt.
Die Demo findet über Google Meet statt, einen Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Den Link erhalten Sie mit der Bestätigung; die Teilnahme ist im Browser ohne Google-Konto möglich. Beim Gespräch verarbeitet Google die für die Verbindung nötigen Daten, insbesondere IP-Adresse, Geräte- und Verbindungsdaten, den von Ihnen angegebenen Namen sowie Bild und Ton während des Gesprächs. Wir zeichnen Gespräche nicht auf. Eine Übermittlung in die USA ist nicht ausgeschlossen; Google ist unter dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) und lit. f DSGVO (unser Interesse an einer einfachen Durchführung des Gesprächs). Möchten Sie Google Meet nicht nutzen, antworten Sie auf die Bestätigung, dann finden wir einen anderen Weg. Weitere Informationen: Datenschutzerklärung von Google.
Im Betroffenheitscheck können Sie sich Ihr Ergebnis per E-Mail zusenden lassen. Dafür verarbeiten wir Ihre E-Mail-Adresse, freiwillig Name und Unternehmen sowie Ihre Antworten im Check in Form des Ergebniscodes. Wir senden Ihnen das Ergebnis zu und erhalten selbst eine Kopie, um bei Bedarf einmal nachzufragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Zusendung auf Ihren Wunsch) und lit. f DSGVO (Kontaktaufnahme zu unserem Angebot). Dieser Kontaktaufnahme können Sie jederzeit widersprechen.
Für das CRA-Meldepflicht-Kit verarbeiten wir Ihre geschäftliche E-Mail-Adresse. Wir prüfen, ob die Domain E-Mails empfangen kann und nicht zu einem kostenlosen Mail-Dienst oder einem Dienst für Wegwerf-Adressen gehört, senden Ihnen einen Download-Link (30 Tage gültig) und erhalten selbst eine Kopie, um bei Bedarf einmal persönlich nachzufragen. Mit der Anforderung übermittelt Ihr Browser, von welcher Seite Sie zum Kit gekommen sind (Pfad einer unserer Seiten oder Hostname einer externen Website); diese Angabe steht in unserer Kopie, damit wir sehen, welche Hinweise auf das Kit gelesen werden. Beim Anfordern und beim Herunterladen speichern wir zur Auswertung nur die Domain Ihrer Adresse, den Zeitpunkt und beim Anfordern diese Herkunft. Beim Herunterladen vermerken wir außerdem, ob derselbe Browser zugreift, mit dem Sie das Kit angefordert haben; dafür enthält der Link einen nicht umkehrbaren Prüfwert der Browserkennung (User-Agent), die Kennung selbst speichern wir nicht. So unterscheiden wir Ihren Download von Abrufen durch Virenscanner Ihres Mailsystems. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Zusendung auf Ihren Wunsch) und lit. f DSGVO (Kontaktaufnahme zu unserem Angebot); dieser Kontaktaufnahme können Sie jederzeit widersprechen. Setzen Sie das Häkchen für Hinweise per E-Mail, gilt für Sie der folgende Absatz zum Newsletter.
Zum Schutz vor Spam und automatisierten Eingaben nutzen wir an allen Formularen (Demo-Anfrage, Ergebnis per E-Mail, Meldepflicht-Kit, Newsletter, Meldeformular) Cloudflare Turnstile der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Turnstile wird erst geladen, wenn Sie ein Formular nutzen, prüft im Browser, ob die Eingabe von einem Menschen stammt, und verarbeitet dazu insbesondere Ihre IP-Adresse sowie technische Merkmale von Browser und Gerät; nur bei Zweifel erscheint eine Aufgabe zum Anklicken. Nach Angaben von Cloudflare setzt Turnstile keine Cookies. Eine Übermittlung in die USA ist möglich; Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert, mit Cloudflare besteht ein Auftragsverarbeitungsvertrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz der Formulare vor Missbrauch. Das Meldeformular für Schwachstellen funktioniert auch ohne Turnstile, etwa ohne JavaScript. Weitere Informationen: Datenschutzerklärung von Cloudflare.
Alle E-Mails dieser Website (Formulare, Bestätigungen, Ergebnis, Kit, Newsletter) versenden wir über den Mailserver unseres Hosters Mittwald in Deutschland (siehe Abschnitt 2), ohne weiteren Versanddienstleister. Zu jeder versendeten E-Mail protokollieren wir Empfängeradresse, Betreff, Zeitpunkt, Kennung und Zustellstatus, nicht den Inhalt, und löschen dieses Versandprotokoll nach 30 Tagen. Meldungen über unzustellbare E-Mails und automatische Antworten werten wir automatisch aus und löschen sie danach. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein nachvollziehbarer und zuverlässiger Versand.
Anfragen speichern wir, bis die Bearbeitung abgeschlossen ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Kommt ein Vertrag zustande, gelten die handels- und steuerrechtlichen Aufbewahrungsfristen von bis zu zehn Jahren.
4. Nutzungsprotokoll des Betroffenheitschecks
Um den Betroffenheitscheck zu verbessern, zeichnen wir auf unserem eigenen Server auf, wie er genutzt wird: welche Frage mit welcher Antwort beantwortet wurde und wie viele Sekunden das gedauert hat, an welcher Stelle ein Durchlauf endet und ob der Browser-Tab dabei in den Hintergrund wechselt oder geschlossen wird, welches Ergebnis angezeigt und ob es bis zum Ende angesehen wurde, ob die Schaltflächen zum Teilen, zur Demo-Anfrage oder zum E-Mail-Versand oder die Hinweise auf das Meldepflicht-Kit und den security.txt Generator genutzt wurden, ob ein Mobilgerät oder ein Desktop-Rechner verwendet wurde und wie Sie auf unsere Website gekommen sind (Hostname der verweisenden Website, erste aufgerufene Seite, Kampagnen-Parameter wie utm_source in der Adresse). Bewerten Sie das Ergebnis oder schreiben Sie uns dazu einen kurzen Text, speichern wir auch diese Angaben; bitte tragen Sie dort keine Namen oder Kontaktdaten ein. Damit die Schritte eines Durchlaufs zusammengehören, vergibt der Browser eine zufällige Kennung und merkt sich den Einstieg in die Website; beides liegt nur für die Dauer des geöffneten Browser-Tabs im Speicher Ihres Browsers (sessionStorage) und verfällt beim Schließen. Cookies werden nicht gesetzt.
Zu jedem Eintrag speichern wir außerdem, aus welchem Netz der Aufruf kam: Ihre IP-Adresse in gekürzter Form (bei IPv4 ohne den letzten Block, bei IPv6 nur die ersten 48 Bit), den Netzbetreiber (Nummer und Name des autonomen Systems, etwa Ihr Internetanbieter oder das Netz Ihres Unternehmens) sowie Land, Region und Ort, wie Cloudflare sie aus der IP-Adresse ableitet. Die vollständige IP-Adresse speichern wir nicht. Namen, E-Mail-Adressen oder andere Angaben, mit denen wir Sie unmittelbar identifizieren könnten, erfassen wir dabei nicht; bei Unternehmen mit eigenem Netz lässt der Netzbetreiber aber auf die Organisation schließen. Wir werten die Einträge nur intern aus, um zu sehen, wer den Check aus welchem Anlass nutzt und wo er unklar ist, und löschen sie nach 24 Monaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Verbesserung des Checks und unseres Angebots. Sie können dieser Verarbeitung jederzeit widersprechen, etwa per E-Mail an info@cra-response-center.de. Es werden keine Dienste Dritter eingesetzt, abgesehen von Cloudflare als Auftragsverarbeiter für die Weiterleitung der Anfragen (Abschnitt 2).
5. security.txt Generator und security.txt Check
Generator und Check für die security.txt sind seit dem 11. Oktober 2026 auf security-txt.de umgezogen; für ihre Nutzung gilt die Datenschutzerklärung von security-txt.de. Die Aufzeichnungen, die bis dahin auf dieser Website entstanden sind (genutzte Funktionen, eingetragene oder geprüfte Domains, Art der Befunde, ohne IP-Adresse und ohne Dateiinhalt), werten wir nur noch statistisch aus und löschen sie spätestens am 31. Oktober 2028. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Auswertung, wie die Werkzeuge genutzt wurden.
6. Meldung von Schwachstellen
Über das Meldeformular und die Adressen psirt@, csirt@ und security@cra-response-center.de können Sie uns Sicherheitslücken melden. Wir verarbeiten dabei den Inhalt Ihrer Meldung und, nur wenn Sie sie angeben, Ihren Namen oder Alias und Ihre E-Mail-Adresse oder Telefonnummer. Die Angaben aus dem Formular senden wir über den Mailserver von Mittwald als E-Mail an unser Postfach dort; auf dem Server speichern wir dazu nur, wann eine Meldung einging, zu welchem Bereich und ob sie anonym war, nicht ihren Inhalt. Zweck ist die Prüfung und Behebung der gemeldeten Schwachstelle und die Rückmeldung an Sie, Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit unserer Dienste) sowie Art. 6 Abs. 1 lit. c DSGVO, soweit eine Meldung an Behörden nach Artikel 14 der Verordnung (EU) 2024/2847 nötig wird. Ihre Kontaktdaten geben wir nicht ohne Ihre ausdrückliche Zustimmung an Dritte weiter. Namen oder Alias veröffentlichen wir in den Danksagungen nur, wenn Sie das wünschen. Wir löschen die Meldung, wenn das Verfahren abgeschlossen ist und keine Aufbewahrungspflicht entgegensteht. Eine Meldung ist auch anonym möglich.
7. Reichweitenmessung mit Plausible
Um zu verstehen, welche Seiten gelesen werden und woher Besucher kommen, nutzen wir Plausible Analytics der Plausible Insights OÜ, Västriku tn 2, 50403 Tartu, Estland. Plausible setzt keine Cookies und speichert nichts auf Ihrem Gerät. Erfasst werden die aufgerufene Seite, die verweisende Website, gegebenenfalls Kampagnen-Parameter in der Adresse, Browser, Betriebssystem, Geräteklasse, das aus der IP-Adresse abgeleitete Land und die Region, wie weit und wie lange eine Seite gelesen wurde sowie Klicks auf externe Links, Downloads und das Absenden von Formularen (ohne deren Inhalt). Die Messung läuft über unseren eigenen Server: Ihr Browser sendet die Daten an unsere Domain, unser Server reicht sie an Plausible weiter. Ihre IP-Adresse und die Kennung Ihres Browsers (User-Agent) werden dabei nicht gespeichert; Plausible bildet daraus zusammen mit einem täglich wechselnden Zufallswert einen Hashwert, um Besuche eines Tages zu zählen, und löscht den Zufallswert nach 24 Stunden. Eine Wiedererkennung über mehrere Tage oder Websites hinweg ist damit nicht möglich. Plausible speichert die Daten auf Servern in der EU (Deutschland); mit Plausible besteht ein Auftragsverarbeitungsvertrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Verbesserung unseres Angebots. Weitere Informationen: Datenschutzhinweise von Plausible.
8. Keine Cookies, keine eingebetteten Dienste
Diese Website setzt keine Cookies. Schriften werden von unserem eigenen Server geladen, nicht von Google oder anderen Anbietern. Es sind keine Karten, Videos, Social-Media-Schaltflächen oder Chat-Dienste Dritter eingebettet. Einzige Ausnahme ist der Spam-Schutz Cloudflare Turnstile an den Formularen (Abschnitt 3).
9. Anmeldung an der Anwendung mit Google oder Microsoft
Kunden der Anwendung unter app.cra-response-center.com können sich statt mit Passwort über ihr Google-Konto oder ihr Microsoft-Konto anmelden (OpenID Connect). Das ist freiwillig, der Zugang mit Passwort bleibt möglich. Wählen Sie diesen Weg, leitet Ihr Browser Sie zu Google beziehungsweise Microsoft; nach Ihrer Anmeldung dort bestätigt uns der Anbieter Ihre Kennung bei ihm, Ihren Namen und Ihre E-Mail-Adresse. Mehr erhalten wir nicht, insbesondere keinen Zugriff auf Ihr Postfach, Ihre Kontakte oder Ihre Dateien. Umgekehrt übermitteln wir dem Anbieter keine Daten aus der Anwendung, keine Sicherheitsmeldungen und keine E-Mails; er erfährt nur, dass Sie sich bei uns anmelden, und die technischen Daten dieses Aufrufs. Wir speichern die Kennung, um Sie beim nächsten Mal wiederzuerkennen, dazu Name und Adresse des Anmeldekontos und den Zeitpunkt der letzten Nutzung, bis Sie die Verknüpfung in der Anwendung lösen oder Ihr Zugang endet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrags). Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, und Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland, verarbeiten die Anmeldung als eigenständig Verantwortliche nach ihren eigenen Bestimmungen: Datenschutzerklärung von Google, Datenschutzerklärung von Microsoft. Eine Übermittlung in die USA ist dabei nicht ausgeschlossen; beide Unternehmen sind unter dem EU-US Data Privacy Framework zertifiziert.
10. Empfänger
Empfänger Ihrer Daten sind ausschließlich die in dieser Erklärung genannten Auftragsverarbeiter (Mittwald, Cloudflare, Plausible) und, wenn Sie an einer Demo teilnehmen, Google für Google Meet; melden Sie sich an der Anwendung mit Google oder Microsoft an, der jeweilige Anbieter als eigenständig Verantwortlicher (Abschnitt 9). Bei Schwachstellenmeldungen kann der Inhalt, ohne Ihre Kontaktdaten, an das zuständige CSIRT (CERT-Bund beim BSI) oder die ENISA gehen, wenn wir zur Meldung verpflichtet sind (Abschnitt 6). Eine Übermittlung in Drittländer findet nur durch Cloudflare, gegebenenfalls Google Meet und die Anmeldung mit Google oder Microsoft in die USA auf Grundlage des EU-US Data Privacy Framework und der EU-Standardvertragsklauseln statt.
11. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Wenden Sie sich dazu an die unter Ziffer 1 genannte Adresse. Außerdem haben Sie das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren; für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach.
12. Änderungen
Wir passen diese Erklärung an, wenn sich die Website oder die Rechtslage ändert. Stand: Oktober 2026.