Datenschutzerklärung

Verantwortlicher

Verantwortlicher ist HUCENCY, eine Gesellschaft mit beschränkter Haftung (SARL) mit einem Stammkapital von 50 000 €, eingetragen im Handels- und Gesellschaftsregister Rouen unter der Nummer 832 080 055, mit Sitz in 313, rue Edouard Delamare Deboutteville, 76160 Saint-Martin-du-Vivier, Frankreich. Die vollständigen Angaben finden Sie im Impressum.

Verarbeitete Daten, Zwecke und Rechtsgrundlagen

Wir verarbeiten Ihre Daten ausschließlich für die nachstehend beschriebenen Zwecke, die jeweils auf einer Rechtsgrundlage im Sinne von Artikel 6 DSGVO beruhen.

Kontoverwaltung und Authentifizierung: Kontoerstellung, Anmeldung und Sicherheit (E-Mail-Adresse, gehashtes Passwort, Zwei-Faktor-Authentifizierung, gegebenenfalls Anmeldeidentität über ein Drittkonto).

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)

DMARC-Überwachung: Erhebung und Analyse der aggregierten Berichte (RUA) für die von Ihnen überwachten Domains (Quell-IP-Adressen, Volumen, SPF/DKIM-Ausrichtung, Identifizierung der Versandquellen). Für Daten Dritter in diesen Berichten ist der Kunde der Verantwortliche und HUCENCY handelt als Auftragsverarbeiter.

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)

KI-Assistent « Thomas »: Verarbeitung des Inhalts Ihrer Unterhaltungen mit dem Assistenten, um Sie bei der DMARC-Umsetzung zu unterstützen. Der öffentliche Chat ohne Konto wird in einem eigenen Abschnitt weiter unten behandelt.

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) für angemeldete Nutzer; berechtigtes Interesse an der Bereitstellung und Verbesserung des Assistenten (Art. 6 Abs. 1 lit. f DSGVO) für den öffentlichen Chat ohne Konto

Transaktions-E-Mails: Versand der mit dem Dienst verbundenen Nachrichten (Bestätigung, Benachrichtigungen, Warnungen).

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)

Abrechnung und Zahlung: Verwaltung von Abonnements, Rechnungen und Umsatzsteuer.

Gesetzliche buchhalterische und steuerliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO) und Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)

Akquise: Verarbeitung der E-Mail-Adressen, die bei einer öffentlichen Analyse oder einer Kontaktanfrage hinterlassen werden.

Berechtigtes Interesse an der Entwicklung unserer Geschäftstätigkeit (Art. 6 Abs. 1 lit. f DSGVO); Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), wenn Sie sich freiwillig für unsere Mitteilungen anmelden

Reichweitenmessung: Statistiken zu Websitebesuchen (Seitenaufrufe, abgeleitetes Land, Gerätetyp), ohne Cookies und ohne Speicherung Ihrer IP-Adresse. Mit Ihrer Einwilligung erfolgt eine ergänzende Reichweitenmessung durch Google Analytics 4 (Cookies, siehe Abschnitt „Cookies“).

Berechtigtes Interesse an der Messung und Verbesserung unserer Reichweite (Art. 6 Abs. 1 lit. f DSGVO); Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) für Google Analytics

Werbung und Kampagnenmessung: Mit Ihrer Einwilligung misst das LinkedIn Insight Tag die Wirksamkeit unserer LinkedIn-Kampagnen und ermöglicht die Bildung von Werbezielgruppen auf LinkedIn (siehe Abschnitt „Cookies“).

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)

Audit-Protokoll und Sicherheit: Nachvollziehbarkeit von Aktionen und Missbrauchsprävention (IP-Adresse, E-Mail der handelnden Person, durchgeführte Aktion, Zeitstempel).

Gesetzliche Sicherheitspflicht (Art. 6 Abs. 1 lit. c DSGVO) und berechtigtes Interesse an der Absicherung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO)

Forensische Berichte (RUF): Ihre Erhebung ist standardmäßig deaktiviert; wenn aktiviert, umfasst sie Nachrichtenauszüge, die sensible Daten enthalten können.

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)

Deaktivierung eines Kontos: Maßnahmen bei nachgewiesenem Missbrauch oder Betrug.

Berechtigtes Interesse an der Verhinderung von Betrug und Missbrauch (Art. 6 Abs. 1 lit. f DSGVO)

Kostenlose Sicherheitstest-Tools: Wird ein Test (zum Beispiel « WP2SHELL ») für eine von Ihnen überwachte Domain angefordert, erfolgen die Überprüfung des Domain-Eigentums (DNS-TXT-Token), die Einholung Ihrer ausdrücklichen Einwilligung (Zeitstempel und IP-Adresse werden als Nachweis gespeichert) und eine nicht eingreifende Diagnose der Domain (es wird keine Schwachstelle ausgenutzt).

Erfüllung eines angeforderten Dienstes (Art. 6 Abs. 1 lit. b DSGVO), ausdrückliche Einwilligung in den Test (Art. 6 Abs. 1 lit. a DSGVO) und berechtigtes Interesse an der Sicherheit (Art. 6 Abs. 1 lit. f DSGVO)

Ausgehende Ansprache über zwei getrennte Kanäle. (1) LINKEDIN-NACHRICHT (InMail): Ermittlung von IT- oder Sicherheitsverantwortlichen, deren Organisation eine öffentlich erkennbare DMARC-Schwachstelle aufweist. Die Kontaktdaten (Name, Funktion, LinkedIn-Profil, Organisation) stammen von LinkedIn und aus öffentlichen beruflichen Quellen, nicht von der betroffenen Person. (2) E-MAIL: Wurde eine Domain im öffentlichen Analysetool dieser Website geprüft, ohne dass anschließend ein Konto angelegt wurde, wird eine Kontaktadresse unter denjenigen gesucht, die die Domain selbst veröffentlicht — die dafür vorgesehene Datei „security.txt“, die in ihrer DNS-Zone angegebene Empfangsadresse für DMARC-Berichte oder eine standardisierte Rollenadresse wie security@ oder postmaster@. Diese Adressen werden nie bei der Person erfragt und sind meist funktionale Postfächer ohne Personenbezug; die verwendete Adresse wird zusammen mit ihrer Herkunft im Interessentendatensatz gespeichert, damit die Nachricht angeben kann, woher sie stammt. Es wird ausschließlich an eine Adresse der geprüften Domain selbst gesendet, und jede Sendung enthält einen Abmeldelink, der mit einem einzigen Klick wirksam wird. In beiden Kanälen gilt: Der Link in der Nachricht ist personalisiert: Er identifiziert seinen Empfänger. Sein Aufruf sowie ein nach einer Lesedauer vom Browser gesendetes Signal messen, ob die Nachricht geöffnet und anschließend gelesen wurde; die erste Messung wird auch durch automatische Sicherheitsprüfungen von E-Mail-Diensten ausgelöst und belegt für sich genommen kein Lesen durch eine Person. Das Lesesignal erfasst darüber hinaus das für die Reichweitenmessung der Website verwendete Sitzungstoken und schreibt es in den Interessentendatensatz. Ab diesem Zeitpunkt werden die während der Sitzung aufgerufenen Seiten der identifizierten Person zugeordnet: Gespeichert wird der Pfad jeder Seite — niemals der Inhalt der Seiten, weder URL-Parameter noch die IP-Adresse —, und die interne Auswertung leitet daraus die Zahl der aufgerufenen Seiten, die zuletzt besuchte Seite und gegebenenfalls das Vorliegen einer Registrierung ab. Wird an anderer Stelle auf der Website eine E-Mail-Adresse hinterlassen (Analyse, Angebotsanfrage, Registrierung), so wird sie derselben Sitzung zugeordnet und neben dem Namen angezeigt. Der Interessentendatensatz wird zum unten genannten Zeitpunkt gelöscht, auf Wunsch auch früher; die aufgerufenen Seiten hingegen werden nicht zugleich gelöscht: Für sie gilt die eigene Frist der Reichweitenmessung (180 Tage), und für eine etwaig hinterlassene E-Mail-Adresse die ihre.

Berechtigtes Interesse, gefährdeten Organisationen einen Sicherheitsdienst anzubieten (Art. 6.1.f): Die Person wird in ihrer beruflichen Eigenschaft angesprochen, wegen einer Schwachstelle, die an den öffentlichen DNS-Einträgen der Domain ihrer Organisation festgestellt wurde. Der LinkedIn-Kanal erhebt keine E-Mail-Adresse: Die Nachricht wird über LinkedIn versendet. Der E-Mail-Kanal hingegen speichert die von der Domain veröffentlichte Adresse samt ihrer Herkunft — diese Adresse ist es, die den Versand überhaupt ermöglicht, und die Angabe ihrer Herkunft erlaubt es der Nachricht, offenzulegen, woher sie stammt. Eine an anderer Stelle auf der Website hinterlassene Adresse (Analyse, Angebotsanfrage, Registrierung) fällt unter das oben beschriebene Verfahren zur Lead-Gewinnung; sie wird hier nicht gespeichert, jedoch zur Anzeige mit dem Datensatz zusammengeführt, wie oben dargelegt. Ein Widerspruch ist jederzeit und ohne Begründung möglich — durch Antwort auf die Nachricht, an die unten genannte Adresse oder, beim E-Mail-Kanal, über den Abmeldelink jeder Sendung, der eine Bestätigungsseite öffnet, auf der ein zweiter Klick den Widerspruch erfasst. Die Kontaktdaten (Name, Funktion, LinkedIn-Profil, E-Mail-Adresse) werden dann gelöscht und es wird keine weitere Nachricht versendet. Zwei Spuren bleiben erhalten, einzig zu dem Zweck, den Widerspruch dauerhaft wirksam zu halten: der Domain-Eintrag, der verhindert, dass die Organisation bei einer späteren Auswahl erneut ausgewählt wird, und eine Prüfsumme der Adresse (SHA-256-Hash) in einer Widerspruchsliste. Diese Prüfsumme wird bewusst ohne zeitliche Begrenzung aufbewahrt: Da der Interessentendatensatz nach der unten genannten Frist gelöscht wird, würde ein zugleich verschwindender Widerspruch die Person wieder kontaktierbar machen — die Löschung ihrer Daten bewirkte dann das Gegenteil dessen, was sie verlangt hat. Diese Prüfsumme bleibt ein personenbezogenes Datum — pseudonymisiert, nicht anonym: Die Adresse ist nie im Klartext gespeichert und die Liste lässt sich nicht als Kontaktdatei lesen, doch wer über die Datenbank verfügt, könnte prüfen, ob eine bestimmte Adresse — insbesondere eine gängige Funktionsadresse — darin eingetragen ist.

Kundenbewertungen: Veröffentlichung einer von einem Administrator einer Kundenorganisation verfassten Bewertung auf der Preisseite (Note, Text, vom Autor gewählter Anzeigename, optionale Funktion, Sprache) nach Prüfung. Die Bewertung kann jederzeit aus dem Kundenbereich zurückgezogen werden.

Einwilligung (Art. 6.1.a), per Kontrollkästchen bei der Abgabe erhoben; jederzeit widerrufbar

Empfänger und Übermittlungen außerhalb der Europäischen Union

Die Anwendung wird von HUCENCY selbst auf eigenen Servern in Frankreich (Rechenzentrum Lille) gehostet: An diesem Hosting ist kein Dritter beteiligt. Ihre Daten werden niemals verkauft. Sie sind für unsere technischen Dienstleister zugänglich — Auftragsverarbeiter im Sinne von Artikel 28 DSGVO, die ausschließlich nach unseren Weisungen handeln und durch einen Auftragsverarbeitungsvertrag gebunden sind — und, allein für die Dienste, die Ihrer Einwilligung unterliegen, für gemeinsam Verantwortliche im Sinne von Artikel 26:

Externe Sicherungen

Scaleway (Frankreich, Region fr-par): verschlüsselte Speicherung der externen Sicherungen. Zu diesem Zweck werden keine Daten außerhalb der Europäischen Union übermittelt.

Zahlung

Stripe (Stripe Payments Europe, Irland): Zahlungseinzug und Umsatzsteuerberechnung. Wir speichern keine Kartendaten.

Transaktions-E-Mails

Microsoft: Zustellung der E-Mails des Dienstes.

Anmeldung über ein Drittkonto (SSO)

Microsoft und Google: nur wenn Sie sich für die Anmeldung mit einem dieser Konten entscheiden.

KI-Assistent

Anthropic: Verarbeitung der an den Assistenten « Thomas » gerichteten Anfragen. Die übermittelten Daten sind minimiert (keine E-Mail-Adresse, kein Nachrichteninhalt, kein Rohbericht) und werden nicht zum Training der Modelle verwendet.

Reichweitenmessung (mit Einwilligung)

Google Ireland Limited: Google Tag Manager und Google Analytics 4, nur wenn Sie die Reichweitenmessung akzeptieren. Auftragsverarbeiter (Google Ads-Datenverarbeitungsbedingungen).

Werbung (mit Einwilligung)

LinkedIn Ireland Unlimited Company: LinkedIn Insight Tag, nur wenn Sie Werbung akzeptieren. LinkedIn ist für die von diesem Tag erhobenen Daten gemeinsam Verantwortlicher (Artikel 26).

Bestimmte Verarbeitungen können eine Übermittlung außerhalb der Europäischen Union umfassen: Anfragen an den KI-Assistenten (Anthropic, USA) und je nach Konfiguration Ihres Postfachs die Transaktions-E-Mails (Microsoft), abgesichert durch die Standardvertragsklauseln der Europäischen Kommission; sowie, falls Sie eingewilligt haben, Reichweitenmessung und Werbung (Google und LinkedIn, USA), abgesichert durch das EU-US-Datenschutzrahmen (Data Privacy Framework) und die Standardvertragsklauseln. Alle übrigen Verarbeitungen finden innerhalb der Europäischen Union statt.

Speicherfristen

Wir speichern Ihre Daten nur so lange, wie es für den jeweiligen Zweck unbedingt erforderlich ist:

Kundenkonto

Bis zur Löschung des Kontos, die jederzeit in Ihren Einstellungen möglich ist.

DMARC-Berichte (RUA)

Der Rohbericht wird unmittelbar nach der Verarbeitung gelöscht; die aggregierten Details werden je nach Tarif gespeichert: 30 Tage (Free), 90 Tage (Starter), 180 Tage (Pro), 365 Tage (Business), 730 Tage (Enterprise). Monatliche Aggregate werden in anonymisierter Form aufbewahrt.

Forensische Berichte (RUF)

30 Tage, sofern die Erhebung aktiviert ist.

Audit- und Sicherheitsprotokoll

365 Tage für Sicherheitsereignisse, 90 Tage für Lesezugriffe, 180 Tage für sonstige Aktionen.

Interessenten

730 Tage; Lebensdauer des Kontos, wenn aus dem Interessenten ein Kunde wird.

Öffentliche Analysen (ohne Konto)

90 Tage.

Öffentliche Chat-Unterhaltungen (ohne Konto)

30 Tage.

Reichweitenstatistiken

180 Tage.

Nicht bestätigte Registrierungen

7 Tage.

Verschlüsselte Sicherungen

30 Tage.

Ergebnisse der Tests kostenloser Tools (WP2SHELL)

365 Tage (Sicherheits-Momentaufnahme); mit dem Konto gelöscht.

Nachweis der Einwilligung in einen Sicherheitstest

Dauer der Vertragsbeziehung (Beweiswert); wird bei Löschung des Kontos gelöscht.

Rechnungen

10 Jahre (gesetzliche Aufbewahrungspflicht).

Kontaktierte Interessenten (ausgehende Ansprache über LinkedIn oder E-Mail): Name, Funktion, LinkedIn-Profil, die von der Domain veröffentlichte Kontaktadresse samt ihrer Herkunft, Messung des Link-Aufrufs und das zugeordnete Sitzungstoken

1095 Tage (3 Jahre) ab dem letzten Kontakt, danach automatische Löschung. Die diesem Token zugeordneten aufgerufenen Seiten fallen unter die Reichweitenmessung und folgen deren eigener Frist (180 Tage).

Widerspruchsliste der Ansprache: Prüfsumme (SHA-256-Hash) der Adresse und ihrer Domain — nie die Adresse im Klartext; pseudonymisiertes personenbezogenes Datum

Bewusst ohne zeitliche Begrenzung aufbewahrt: Da der Interessentendatensatz nach 1095 Tagen gelöscht wird, würde ein gleichzeitig verschwindender Widerspruch die Person wieder kontaktierbar machen. Diese Prüfsumme garantiert das Gegenteil. Sie enthält nie die Adresse im Klartext, bleibt aber ein pseudonymisiertes personenbezogenes Datum: Wer über die Datenbank verfügt, könnte prüfen, ob eine bestimmte Adresse darin eingetragen ist.

Kundenbewertung (Note, Text, Anzeigename, Funktion, Sprache)

Solange die Bewertung veröffentlicht ist oder auf Prüfung wartet; eine zurückgezogene oder abgelehnte Bewertung wird sofort nicht mehr angezeigt und mit dem Konto der Organisation gelöscht.

Ihre Rechte

Nach der DSGVO haben Sie das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit hinsichtlich Ihrer personenbezogenen Daten. Beruht eine Verarbeitung auf Ihrer Einwilligung, können Sie diese jederzeit widerrufen, ohne dass die bereits erfolgte Verarbeitung berührt wird.

Wenn Sie ein Konto haben, können Sie die meisten dieser Rechte direkt in Ihren Einstellungen ausüben (Einsicht, Export Ihrer Daten, Löschung des Kontos). Für alle sonstigen Anfragen nutzen Sie die unten angegebene Kontaktadresse; wir antworten innerhalb eines Monats.

Sie können außerdem Beschwerde bei der CNIL (der französischen Datenschutzbehörde) einlegen, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, Frankreich, www.cnil.fr.

Wir treffen keine automatisierten Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten. Der Assistent « Thomas » gibt Empfehlungen, die Entscheidungen bleiben jedoch bei Ihnen.

Cookies

Die Website verwendet für ihren Betrieb unbedingt erforderliche Cookies (Sitzung, Authentifizierung, Zwei-Faktor-Authentifizierung, Anmeldung über ein Drittkonto, Merken eines vertrauenswürdigen Geräts für 24 Stunden auf Ihren Wunsch, Sprachpräferenz, Speicherung Ihrer Cookie-Wahl). Diese erfordern keine Einwilligung. Die interne Reichweitenmessung der Website (Seitenaufrufe, abgeleitetes Land, Gerätetyp) funktioniert ohne jedes Cookie.

Mit Ihrer Einwilligung — und nur mit ihr — lädt die Website den Tag-Manager Google Tag Manager, der zwei Drittdienste aktivieren kann, jeder mit einer eigenen Wahl: Google Analytics 4 (Reichweitenmessung; Cookies „_ga“ und „_ga_*“, höchstens 13 Monate gespeichert) und das LinkedIn Insight Tag (Werbung und Kampagnenmessung; LinkedIn-Cookies wie „li_fat_id“, „lidc“ oder „bcookie“). Solange Sie nichts akzeptiert haben, wird keine Anfrage an Google oder LinkedIn gesendet. Sobald ein Zweck akzeptiert ist, wird der Tag-Manager von Googles Servern geladen, die dann Ihre IP-Adresse, die Adresse der aufgerufenen Seite und die technischen Merkmale Ihres Browsers erhalten. Ihre Wahl (Zustimmung oder Ablehnung) wird 6 Monate in einem Cookie „dmarc_consent“ gespeichert; Sie können sie jederzeit über „Cookies verwalten“ in der Fußzeile ändern. Diese Dienste werden nur auf den öffentlichen Seiten der Website angeboten und nie für angemeldete Besucher geladen — weder im Kundenbereich noch auf den Registrierungs- und Anmeldeseiten noch auf einer öffentlichen Seite, die bei laufender Sitzung in Ihrem Konto geöffnet wird. Einzige Ausnahme: Eine öffentliche Seite, die bereits vor Ihrer Anmeldung geöffnet war, behält sie bis zum Neuladen. Angemeldet können Sie Ihre Einwilligung über die Fußzeile widerrufen.

Cookies verwalten

Gespräche mit Thomas (öffentliche Analyse)

Wenn Sie ohne Konto über die öffentliche Analyse mit Thomas chatten, speichern wir die analysierte Domain, das Gespräch und – falls Sie Thomas’ Einstiegsfrage beantworten – wie Sie auf uns aufmerksam geworden sind, 30 Tage lang; danach werden sie automatisch gelöscht. Ein Teammitglied kann sie prüfen, um Thomas zu verbessern. Weder Ihre E-Mail-Adresse noch Ihre IP-Adresse werden dabei gespeichert. Anonym sind die Chats dennoch nicht: Das Gespräch wird so gespeichert, wie Sie es eingegeben haben, einschließlich personenbezogener Angaben, die Sie selbst hineinschreiben. Hinterlassen Sie anschließend in derselben Browsersitzung Ihre E-Mail-Adresse oder legen Sie ein Konto an, kann es während dieser 30 Tage Ihrem Kontaktdatensatz oder Ihrem Konto zugeordnet werden; die von Ihnen angegebene Herkunft wird dann in Ihren Kontaktdatensatz übernommen. Ihre Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch können Sie daher auch für diese Chats ausüben: Schreiben Sie uns an die unten angegebene Adresse unter Angabe der gegebenenfalls hinterlassenen E-Mail-Adresse oder andernfalls der Domain und des Datums.

Änderungen dieser Erklärung

Diese Erklärung kann sich ändern, insbesondere um technische oder rechtliche Entwicklungen abzubilden. Das Datum der letzten Aktualisierung finden Sie am Anfang der Seite.

Kontakt

Bei Fragen zu Ihren personenbezogenen Daten oder zur Ausübung Ihrer Rechte wenden Sie sich an unseren Ansprechpartner unter: dpo@hucency.com