Stand 15. September 2026
1. Verantwortlicher
Verantwortlicher ist Treelogy | Privacy Audit — Gesellschaft bürgerlichen Rechts (GbR), Sulzbacher Straße 63, 38116 Braunschweig, Deutschland, vertreten durch die Gesellschafter Andreas Knoll, M.A., und Michael Frenzel. E-Mail:
2. Verarbeitete Daten und Pflichtangaben
Verarbeitet werden insbesondere die E-Mail-Adresse für die Code-Verifikation, die angegebene URL, Auftrags- und Statusdaten sowie technische Protokoll- und Sicherheitsdaten. Bei einer passiven Prüfung können öffentlich ausgelieferte Seiteninhalte, Quelltextmerkmale, Netzwerkmetadaten, Cookies, Storage-Einträge, Rechtstexte, Screenshots und Sicherheitsheader als Prüfbelege erfasst werden. Für die kostenlose Prüfung sind E-Mail-Adresse und Prüf-URL erforderlich; für einen kostenpflichtigen Bericht sind zusätzlich Name sowie die für Bestellung, Zahlungszuordnung und Bereitstellung erforderlichen Angaben erforderlich. Ohne diese Pflichtangaben kann der jeweilige Auftrag nicht gestartet oder bereitgestellt werden. Werte mit möglichem Personen-, Token- oder Geheimnisbezug werden für externe Darstellungen redigiert oder nicht ausgegeben.
3. Zweck und Rechtsgrundlagen
Die Verarbeitung dient der Anbahnung und Durchführung des Prüfauftrags, der E-Mail-Verifikation, der Bereitstellung geschützter Ergebnisse, der Missbrauchs- und Betriebssicherheit sowie der nachvollziehbaren Dokumentation. Je nach Vorgang kommen insbesondere Art. 6 Abs. 1 lit. b DSGVO zur Vertragserfüllung, Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Pflichten und Art. 6 Abs. 1 lit. f DSGVO für Sicherheits- und Nachweisinteressen in Betracht. Eine Prüfung wird nur im öffentlich erreichbaren und technisch passiven Umfang durchgeführt.
4. Speicherdauer und Löschung
Verifizierungscodes und nicht abgeschlossene Challenge-Daten werden spätestens nach 10 Minuten beziehungsweise nach Ablauf oder Verbrauch gelöscht. Technische Bereitstellungslinks für gekaufte Dateien sind 48 Stunden gültig. Server-Logdaten werden grundsätzlich höchstens 7 Tage für Betrieb und Sicherheit vorgehalten und nur bei einem dokumentierten Sicherheits- oder Rechtsvorfall länger gespeichert, soweit erforderlich. Prüfberichte und Belege werden nur für Bereitstellung, Nachweis und Abrechnung vorgehalten und nach Wegfall des Zwecks gelöscht; kaufmännische und zahlungsbezogene Nachweise bleiben im Umfang der gesetzlichen Aufbewahrungspflichten gespeichert. Löschanfragen richten Sie bitte an .
5. Server-Logfiles und technische Sicherheit
Beim Aufruf des Dienstes können Server-Logfiles mit IP-Adresse, Zeitpunkt, angeforderter URL, HTTP-Status, übertragener Datenmenge, Referrer und User-Agent verarbeitet werden. Dies dient der Stabilität, Fehleranalyse, Missbrauchsabwehr und Angriffserkennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren und funktionsfähigen Betrieb. Die Regelspeicherdauer beträgt höchstens 7 Tage, vorbehaltlich der für einen konkreten Sicherheits- oder Rechtsvorfall erforderlichen Sicherung.
6. Cookies, Local Storage und ähnliche Technologien
Wir setzen keine optionalen Analyse-, Marketing- oder Drittanbieter-Cookies ein. Die Website speichert die Auswahl des Cookie-Hinweises ausschließlich im Local Storage des Browsers unter einem technischen Schlüssel; gespeichert werden Auswahl, Versionsstand und Zeitpunkt. Diese Präferenz wird nicht an Dritte übertragen und bleibt bis zur Löschung im Browser oder einer neuen Einwilligungs-Version gespeichert. Die Speicherung dient ausschließlich der vom Nutzer gewünschten Anzeige der Präferenzauswahl und ist für diesen Zweck unbedingt erforderlich. Es werden keine optionalen Tracking-Technologien aktiviert.
7. Empfänger, Auftragsverarbeiter und Zahlungsdienstleister
Für Betrieb, Prüfung, Bereitstellung und Abrechnung werden Daten nur im erforderlichen Umfang an folgende Stellen übermittelt: (1) Hosting- und Serverbetrieb: STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, als technischer Auftragsverarbeiter für Server, Datenbank und geschützte Dateispeicherung; (2) E-Mail-Versand: der für den Dienst eingesetzte SMTP-/Mailserver als Auftragsverarbeiter für Verifizierungs-, Status- und Bereitstellungsnachrichten; (3) Zahlungsabwicklung: PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg. PayPal ist für die Verarbeitung im Zusammenhang mit dem PayPal-Konto und der Zahlungsabwicklung grundsätzlich eigener Verantwortlicher und nicht lediglich Auftragsverarbeiter; es gelten ergänzend die PayPal-Datenschutzhinweise unter https://www.paypal.com/de/legalhub/paypal/privacy-full. An PayPal werden nur die für Bestellung, Zahlungsprüfung, Betragszuordnung und Rückabwicklung erforderlichen Bestell- und Zahlungsdaten übermittelt; vollständige Prüfberichte, Screenshots, Quelltexte und Beweisakten werden nicht an PayPal übermittelt. Mit Auftragsverarbeitern werden – soweit erforderlich – Vereinbarungen nach Art. 28 DSGVO geschlossen. Eine Veröffentlichung vollständiger Reports erfolgt nicht; eine begrenzte Ergebnisübersicht kann nur nach der vorgesehenen Freigabe angezeigt werden.
8. E-Mail-Verifikation
Für die Freischaltung eines Prüfauftrags wird ein einmaliger Verifizierungscode an die angegebene E-Mail-Adresse versendet. Der Code wird serverseitig nicht im Klartext als dauerhafter Inhalt gespeichert. Challenge-Daten, Ablaufzeit, Fehlversuche und ein technischer Zustandsnachweis dienen der Missbrauchsabwehr und werden nach Ablauf bzw. Wegfall des Zwecks bereinigt, soweit keine Aufbewahrungspflicht besteht.
9. Prüfungen und Belege
Die Prüfung läuft passiv in einer frischen Sitzung je Zustand. Der Dienst sendet keine Logins oder Formulareingaben und führt keine Portscans, Fuzzing- oder Angriffstests aus. Erfasst werden nur Inhalte und technische Signale, die im jeweiligen Lauf öffentlich ausgeliefert oder vom Browser beobachtbar sind. Nicht erreichbare, dynamisch nachgeladene oder durch Schutzmaßnahmen blockierte Inhalte können zu einer unvollständigen Coverage führen; dies wird im Bericht kenntlich gemacht.
10. Speicherung und Schutz
Berichte, Evidence-Dateien und Auftragsdaten werden in geschützten serverseitigen Speichersystemen abgelegt. Öffentliche Listen enthalten ausschließlich begrenzte, freigegebene Metadaten. Zugangsdaten, Verifizierungstoken und nicht redigierte Belege werden nicht über die öffentliche Website ausgeliefert.
11. Übermittlungen und Drittlandbezug
Bei der Prüfung können Verbindungen zu den von der Zielseite eingebundenen Drittanbietern beobachtet werden. Treelogy | PA initiiert im passiven Prüfmodus keine Anmeldung bei diesen Diensten und bewertet aus einem Hostnamen allein weder Empfänger noch Drittlandtransfer. Für den eigenen Betrieb werden Übermittlungen auf das Erforderliche begrenzt und vor dem Einsatz des jeweiligen Dienstes geprüft.
12. Automatisierte Auswertung
Der Dienst klassifiziert technische Beobachtungen regelbasiert und erstellt daraus Hinweise, Prioritäten und Handlungsempfehlungen. Es findet keine Entscheidung über eine Person und kein Profiling zu Werbe- oder Kreditentscheidungen statt. Ein Bericht ersetzt keine individuelle rechtliche oder technische Prüfung.
13. Einsatz von KI-gestützten Werkzeugen
Im Standardlauf werden Prüfungen, Primärbelege und Reportfreigaben regelbasiert sowie menschlich kontrolliert; eine KI wird nicht eigenständig zur Beweisführung oder Rechtsbewertung eingesetzt. Die eigene Treelogy-KI kann innerhalb der kontrollierten Betriebsumgebung für begrenztes Data Enrichment und technische Klassifikation aktiviert werden. Dafür kommen nur freigegebene technische Signale, redigierte Quelltext-/DOM-Ausschnitte, Katalogbegriffe und Evidence-Metadaten in Betracht. Rohpasswörter, Tokens, geheime Payloads und nicht erforderliche personenbezogene Inhalte werden nicht an externe KI-Modelle übermittelt. Vorschläge werden gegen Primärquellen und Regeln geprüft, als Unterstützung gekennzeichnet und nicht als ausschließlich automatisierte Entscheidung über Personen verwendet. Das optionale Modul BIFE mit Treelogy-Modell ist kein Bestandteil des Standardlaufs. Es wird nur auf ausdrücklichen Auftrag, für einen definierten Zweck und nach Freigabe der zulässigen Daten eingesetzt, etwa zur technischen Bild-, Video- oder Metadatenforensik. Zweck, Datenkategorien, Betriebsumgebung, Speicherdauer und Löschung werden vorab festgelegt. BIFE liefert technische Hinweise und Evidence, keine sichere Aussage über Identität, Urheberschaft oder Rechtswidrigkeit; Personen- oder Gesichtserkennung sowie Personensuche gehören nicht zum Standardlauf. Bei Änderungen an Einsatz, Datenarten oder externen Empfängern wird diese Information aktualisiert.
14. Ihre Rechte und Widerspruch
Widerspruch: Sie können aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen Verarbeitungen widersprechen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen. Sie haben nach Maßgabe der gesetzlichen Voraussetzungen außerdem Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Anfragen richten Sie an . Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren.