Datenschutzerklärung

Stand: 24. August 2026

Verantwortlicher

Oliver Welsch
Hackenbroicher Str. 58
50259 Pulheim
Deutschland
info@oliverwelsch.de

Hosting

Diese Website wird bei Vercel Inc. (San Francisco, Kalifornien, USA) gehostet. Beim Aufruf werden technisch notwendige Daten (IP-Adresse, Zeitpunkt, abgerufene Ressource, Browser- und Gerätekennung) in Server-Logs verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).

Vercel ist Auftragsverarbeiter; es besteht ein Vertrag nach Art. 28 DSGVO. Die Funktionen dieser Seite laufen in der Region fra1 — einem Rechenzentrum in Frankfurt am Main. Dort entstehen auch die Protokollzeilen. Eine einzige Ausnahme gibt es, und sie verarbeitet keine Daten über Besucher: der Ersatz-Abruf, den der nächste Abschnitt beschreibt. Die statischen Dateien liefert das weltweite Zwischennetz von Vercel aus, das einen Aufruf am nächstgelegenen Standort annimmt. Vercel Inc. sitzt in den USA, und ein Zugriff von dort lässt sich deshalb nicht ausschließen; Grundlage für Übermittlungen in die USA sind die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Ein Rechtsschutzniveau wie in der EU besteht dort nicht.

Dieselbe Plattform hält kurzzeitig die Betriebsmeldungen der Funktionen vor — etwa dass eine Bestätigungsmail rausging oder auf welcher fremden Seite ein Abzeichen eingebunden ist. Darin steht im Einzelfall auch die E-Mail-Adresse, die gerade bestätigt hat. Diese Zeilen dienen der Fehlersuche, werden nicht ausgewertet und laufen mit der Aufbewahrung der Plattform ab — Laufzeitprotokolle hält Vercel nur für ein kurzes Fenster von wenigen Tagen vor, danach sind sie weg. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Der Scan

Wird eine Adresse eingegeben, ruft Botlight diese Seite serverseitig ab und wertet sie aus. Der Report entsteht in diesem Moment, geht an den anfragenden Browser und lebt dort im Tab — er wird nicht gespeichert. Hinter dieser Seite steht keine Datenbank, es gibt kein Konto und keine Historie. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erbringung der angefragten Leistung).

Dasselbe gilt für den Scan mehrerer Seiten einer Domain, den bestätigte Empfänger auslösen können: Er ruft bis zu zwölf Seiten derselben Website ab und wertet sie im selben Lauf aus. Der Abruf geht vom Server dieser Seite aus; die Betreiber der geprüften Seite sehen darin die Adresse des Rechenzentrums, nicht die desjenigen, der den Scan gestartet hat.

Der Ersatz-Abruf aus den USA

Manche Seiten weisen Abrufe aus europäischen Rechenzentren ab und beantworten dieselbe Anfrage aus den USA. Weil die Crawler der Antwortsysteme überwiegend von dort kommen, würde eine Messung aus Frankfurt in diesen Fällen etwas anderes zeigen als das, was ein Antwortsystem sieht. Antwortet eine Seite mit HTTP 403 oder 451, wird der Scan deshalb einmal aus einem Rechenzentrum in den USA wiederholt (Vercel, Region iad1).

Dorthin geht dabei ausschließlich die Adresse der zu prüfenden Seite. IP-Adresse, Cookies und eine etwaige E-Mail-Adresse bleiben in Frankfurt, denn den Ersatz-Abruf startet die Frankfurter Funktion und nicht der Browser — die US-Funktion sieht als Aufrufer ein Rechenzentrum, nicht einen Menschen. Im dortigen Funktionslog bleibt eine Zeile mit dem Namen der geprüften Seite, dem Antwortstatus und der Dauer. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erbringung der angefragten Leistung); für die Übermittlung gelten die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Der Report verschweigt das nicht: Wurde aus den USA gemessen, steht das als eigener Befund im Bereich „access“, zusammen mit dem Hinweis, dass ein europäischer Besucher etwas anderes sehen kann als die gemessene Fassung.

Cookies

Botlight setzt zwei eigene Cookies, beide ohne Reichweitenmessung und ohne Profilbildung: bl_scans zählt die freien Scans eines Browsers (Tagesdatum und Zählstand, signiert, Laufzeit 48 Stunden) und bl_pass vermerkt, dass dieser Browser eine E-Mail-Adresse bestätigt hat und deshalb nicht mehr gezählt wird (Laufzeit ein Jahr). Beide sind HttpOnly, gelten nur für diese Domain und enthalten keine Angaben über gescannte Seiten. Sie sind für den angefragten Dienst erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); die Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. f DSGVO.

Report per E-Mail und Newsletter

Für den Versand des Reports und den Newsletter gilt das Double-Opt-in-Verfahren: Nach der Eintragung kommt eine E-Mail mit einem Bestätigungslink, der sieben Tage gültig ist. Erst mit dem Klick wird die Adresse in den Verteiler aufgenommen — bis dahin ist sie nirgends gespeichert, sondern reist nur signiert im Link mit. Zum Nachweis der Einwilligung werden Zeitpunkt und IP-Adresse der Bestätigung protokolliert, dazu die gescannte Adresse und ihr Score, damit die Mail den Report enthalten kann. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Versand und Verwaltung des Verteilers erfolgen über Brevo (Sendinblue GmbH, Köpenicker Str. 126, 10179 Berlin) als Auftragsverarbeiter; die Daten werden auf Servern innerhalb der EU verarbeitet. Jede Mail enthält einen Abmeldelink; die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Die Angabe der Adresse ist freiwillig und weder gesetzlich noch vertraglich vorgeschrieben — ohne sie gibt es den Report per Mail und den Wächter nicht, alles andere funktioniert weiter. Gespeichert bleiben die Daten, bis die Einwilligung widerrufen wird; nach dem Widerruf werden sie gelöscht, mit Ausnahme des Einwilligungsnachweises, der zur Abwehr möglicher Ansprüche noch drei Jahre aufbewahrt wird (Art. 6 Abs. 1 lit. f DSGVO).

Die Mails werden gemessen: Ein Zählpixel meldet, ob und wann eine Mail geöffnet wurde, und die Links darin laufen über eine Weiterleitung von Brevo, die den Klick festhält. Beides wird beim Kontakt im Verteiler gespeichert und beantwortet die Frage, ob die Mails ankommen und gelesen werden. Auf diese Messung wird bei der Anmeldung hingewiesen, sie ist von der Einwilligung umfasst — Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, für das Zählpixel zusätzlich § 25 Abs. 1 TDDDG. Mit dem Widerruf über den Abmeldelink endet sie. Wer die Mails ohne Messung lesen möchte, kann in seinem Mailprogramm das Laden externer Bilder abschalten und die Adressen der Links kopieren, statt sie anzuklicken.

Der Wächter

Wer bestätigt hat, bekommt die gescannte Seite einmal am Tag nachgeprüft. Gemeldet wird nur, wenn ein Engine-Verdikt kippt oder der Score sich um mindestens fünf Punkte bewegt. Dafür wird beim Kontakt im Verteiler der Stand der letzten Meldung hinterlegt (gescannte Adresse, Score, Zustand der Engines, Datum der letzten Prüfung). Jede dieser Mails trägt einen Link, der die Prüfungen wieder abschaltet. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Das Abzeichen

Das Abzeichen unter /api/badge ist ein Bild für fremde Seiten. Beim Abruf misst Botlight den Score der genannten Domain neu; gespeichert wird nichts. Im Funktionslog bleibt eine Zeile mit der einbindenden und der gemessenen Domain — keine Angaben über die Besucher dieser Seite.

Der Kauf

Der Erlös-Schutz-Report wird über eine von Stripe gehostete Bezahlseite verkauft — einen Bezahllink oder eine serverseitig erzeugte Checkout-Sitzung, an der dann die gescannte Adresse hängt, damit sie beim Bezahlen nicht erneut eingetippt werden muss (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland). Kaufabwicklung, Zahlungsdaten und Rechnung liegen vollständig bei Stripe; für Stripes eigene Verarbeitung gilt deren Datenschutzerklärung. Botlight erhält nach der Zahlung eine Meldung mit der E-Mail-Adresse und der beim Kauf angegebenen Website-Adresse und verschickt daraufhin über Brevo (siehe oben) die Mail mit dem Report-Link. Hier gespeichert wird dabei nichts: Adresse und Website reisen signiert im Link mit, der nach sieben Tagen abläuft, und der Report entsteht bei jedem Öffnen frisch. Im Funktionslog bleibt wie bei allen Funktionen eine Betriebszeile über die Lieferung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Für die Zahlungsabwicklung ist Stripe eigenständig verantwortlich und nicht Auftragsverarbeiter; Stripe übermittelt Daten dabei auch an das US-Mutterunternehmen Stripe, Inc. und stützt das auf die Standardvertragsklauseln der EU-Kommission.

Was bei Stripe im Konto steht — Kaufdatum, Betrag, E-Mail-Adresse, gegebenenfalls Name und die angegebene Website —, ist zugleich der Beleg für die Buchhaltung. Diese Angaben werden dort für die Dauer der handels- und steuerrechtlichen Aufbewahrungsfristen gehalten; für Buchungsbelege sind das acht Jahre (§ 147 AO, § 257 HGB). Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung).

Kontakt per E-Mail

Wer an info@oliverwelsch.de schreibt, dessen Nachricht wird zur Beantwortung verarbeitet und bleibt im Postfach, solange der Vorgang offen ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag geht, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung). Betrifft die Nachricht einen Kauf, gelten für die daraus entstehenden Belege die Fristen oben.

Reichweitenmessung mit Plausible

Diese Seite misst Aufrufe mit Plausible Analytics (Plausible Insights OÜ, Västriku tn 2, 50403 Tartu, Estland). Der Dienst verzichtet auf Cookies und jede Form persönlicher Kennung: Die IP-Adresse wird nur für die Dauer der Berechnung eines täglich wechselnden Hashwerts verwendet, um wiederkehrende Besucher zu erkennen, und danach nicht gespeichert. Es entstehen keine Profile und keine geräteübergreifende Verfolgung, gespeichert werden ausschließlich aggregierte Werte wie Seitenaufrufe, verweisende Seite, grobe Standort- und Gerätedaten sowie ausgelöste Ereignisse im Funnel (etwa „Scan gestartet“ oder „Anmeldung bestätigt“, mit groben Zusatzangaben wie Score-Bereich, Seitentyp, Fehlerart oder Formularposition — nie eine E-Mail-Adresse und nie die gescannte Domain). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an anonymer Reichweitenmessung); mangels Personenbezugs ist keine Einwilligung erforderlich. Werbe-Tracker, Profiling oder Analyse-Cookies zu Werbezwecken setzt diese Seite nicht ein.

Keine automatisierte Entscheidung über Personen

Der Score bewertet eine Webseite, keinen Menschen. Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

Deine Rechte

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie der Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3). Eine Nachricht an info@oliverwelsch.de genügt.

Widerspruch: Gegen Verarbeitungen, die sich auf ein berechtigtes Interesse stützen (Art. 6 Abs. 1 lit. f DSGVO) — hier die Server- und Funktionsprotokolle und die Zähl-Cookies —, kann aus Gründen, die sich aus der besonderen Situation ergeben, jederzeit Widerspruch nach Art. 21 DSGVO eingelegt werden.

Beschwerde: Bei einer Aufsichtsbehörde, etwa der zuständigen Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestr. 2–4, 40213 Düsseldorf.

Änderungen dieser Erklärung

Diese Erklärung beschreibt, was der Code tut, und ändert sich mit ihm — kommt ein Cookie dazu, ein Empfänger oder ein gespeichertes Feld, steht das hier. Maßgeblich ist die jeweils hier abrufbare Fassung; das Datum oben sagt, wann sie zuletzt bearbeitet wurde.