Datenschutzerklärung

Stand: 2026-10-11

1. Verantwortlicher

Raman Navarych, ul. Jerzego Holzera 6 lok. 112, 02-972 Warszawa, Polen
E-Mail für Datenschutzanfragen: privacy@normaro.eu

Einen Datenschutzbeauftragten haben wir nicht bestellt, da keine Pflicht nach Art. 37 DSGVO besteht.

2. Überblick

Wir verarbeiten personenbezogene Daten nur, soweit es für die Website, Ihr Konto, Ihre Bestellungen und die Sicherheit des Dienstes nötig ist. Wir verkaufen keine Daten, zeigen keine Werbung und setzen keine Analyse- oder Tracking-Dienste ein.

3. Aufruf der Website und Hosting

Beim Aufruf jeder Seite verarbeitet unser Server technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer, Browser und Betriebssystem. Die Daten werden in Server-Logs gespeichert, um Angriffe zu erkennen und Fehler zu beheben.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb).
• Speicherdauer: höchstens 30 Tage, danach Löschung.
• Hosting: Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2. Mit dem Hoster besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Standort der Server: europe-west1 (Saint-Ghislain, BE). Google kann als US-Konzern auf Daten zugreifen; dafür gelten das EU-US Data Privacy Framework und Standardvertragsklauseln.
• Datenbank: Neon (Databricks, Inc. / Neon, LLC, USA), Rechenzentrum in aws-eu-central-1 (Frankfurt am Main, DE). Neon ist Auftragsverarbeiter (Art. 28 DSGVO). Da der Anbieter seinen Sitz in den USA hat, stützen wir einen möglichen Zugriff von dort auf das EU-US Data Privacy Framework und ergänzend auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Für alle Übermittlungen in die USA gilt: Fällt das EU-US Data Privacy Framework weg, bleiben die Standardvertragsklauseln als Grundlage bestehen.

Schriften sind auf unserem Server gespeichert. Beim Laden der Seite werden keine Daten an Google oder andere Schriftanbieter übertragen.

4. Kundenkonto

Für ein Konto verarbeiten wir Ihre E-Mail-Adresse, die gewählte Sprache, freiwillige Angaben (Name, Firma, USt-IdNr.) sowie Zeitpunkte von Registrierung und Anmeldung.

Die Anmeldung mit E-Mail und Passwort oder mit Google wickelt Firebase Authentication ab, ein Dienst von Google (Auftragsverarbeiter). Firebase speichert Ihr Passwort nur als kryptografischen Hash, wir sehen es nie. Firebase versendet auch die E-Mails zur Bestätigung Ihrer Adresse und zum Zurücksetzen des Passworts. Die Verarbeitung kann in den USA stattfinden; Grundlage sind das EU-US Data Privacy Framework und Standardvertragsklauseln.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag über die Nutzung des Kontos).
• Speicherdauer: bis zur Löschung des Kontos. Sie können Ihr Konto jederzeit in den Kontoeinstellungen löschen.

5. Anmeldung mit Google

Wenn Sie „Mit Google anmelden“ wählen, erhalten wir von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, Ihren Namen, Ihre E-Mail-Adresse und eine Google-Kennung. Google verarbeitet dabei Daten in eigener Verantwortung nach seiner Datenschutzerklärung.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

6. Prüfaufträge

Für eine Prüfung verarbeiten wir die Adresse der Website, die gewählten Seiten und die Ergebnisse. Dazu ruft unser System die öffentlich erreichbaren Seiten auf, wie ein Besucher. Enthalten diese Seiten personenbezogene Daten Dritter (z. B. Namen im Impressum), werden sie nur für die Dauer der Prüfung verarbeitet und nicht gesondert gespeichert.

Für den Abruf und die Auswertung öffentlich erreichbarer Seiten sind wir eigenständiger Verantwortlicher, auch wenn Sie die Prüfung für einen Kunden beauftragen. Personen, deren Daten auf geprüften Seiten stehen, informieren wir nicht einzeln, weil das bei öffentlich zugänglichen Daten, die nur kurz verarbeitet werden, unverhältnismäßig wäre (Art. 14 Abs. 5 lit. b DSGVO); diese Datenschutzerklärung ist öffentlich. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Durchführung der von Ihnen bestellten Prüfung).

Die Zusammenfassung jedes Berichts erstellt ein KI-Modell von Anthropic (Vertragspartner für den EWR: Anthropic Ireland, Limited, Dublin, Irland; die Verarbeitung erfolgt durch Anthropic, PBC, San Francisco, USA). Dafür übermitteln wir die Messergebnisse und Textauszüge der geprüften Seiten, nicht aber Ihre Kontodaten. Anthropic speichert diese Daten nach seinen kommerziellen Bedingungen nur befristet zur Missbrauchskontrolle und verwendet sie nicht zum Training seiner Modelle. Anthropic ist unser Auftragsverarbeiter; die Verarbeitung kann in den USA stattfinden. Grundlage der Übermittlung ist das EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Speicherdauer: Berichte bleiben in Ihrem Konto, bis Sie sie oder das Konto löschen.

7. Zahlung über Paddle

Bestellungen und Zahlungen wickelt Paddle.com Market Limited, Judd House, 18–29 Mora Street, London EC1V 8BT, Vereinigtes Königreich, als Wiederverkäufer ab. Paddle verarbeitet Zahlungs- und Rechnungsdaten in eigener Verantwortung. Wir erhalten von Paddle Name, E-Mail-Adresse, Land, Betrag, Status und Kennung der Transaktion, aber keine vollständigen Kartendaten. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission.

Die Skripte von Paddle werden erst geladen, wenn Sie den Bezahlvorgang starten.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Aufbewahrung nach Art. 6 Abs. 1 lit. c DSGVO.

• Speicherdauer: Bestelldaten 5 Jahre ab Ende des Kalenderjahres, in dem die Frist zur Zahlung der betreffenden Steuer abgelaufen ist (Art. 86 § 1 in Verbindung mit Art. 70 § 1 der polnischen Abgabenordnung, Ordynacja podatkowa).

• Protokolle zu Bestellung, Zahlung, Erstattung und Widerruf bewahren wir im selben Zeitraum auf.

8. E-Mails und Anfragen

Wir senden E-Mails, die zum Dienst gehören: Bestätigung der Registrierung, Passwort-Zurücksetzung, Auftragsbestätigung, Bestätigung eines Widerrufs und Hinweis auf fertige Berichte. Newsletter versenden wir nicht. Versanddienst: Brevo (Sendinblue SAS, 106 boulevard Haussmann, 75008 Paris), Google (Firebase Authentication) (Auftragsverarbeiter); die Server stehen in der EU. Öffnungs- und Klick-Tracking ist abgeschaltet.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Wenn Sie uns über das Kontaktformular, per E-Mail oder in Ihrem Konto schreiben (Frage, Reklamation, Widerruf), speichern wir Ihre E-Mail-Adresse, Ihren Namen, falls angegeben, die Nachricht und, wenn Sie angemeldet sind, die Verbindung zu Ihrem Konto. Damit das Formular nicht massenhaft missbraucht wird, speichern wir außerdem einen Hashwert Ihrer IP-Adresse (pseudonymisiert) und löschen ihn nach 30 Tagen.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage einen Vertrag betrifft; sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Anfragen zu beantworten und das Formular vor Missbrauch zu schützen).
• Speicherdauer: bis die Anfrage erledigt ist, danach bis zu 3 Jahre, soweit wir sie zur Abwehr von Ansprüchen brauchen (Art. 118 des polnischen Zivilgesetzbuchs, Kodeks cywilny).

9. Cookies

Wir setzen nur Cookies, die für den Betrieb nötig sind: gewählte Sprache, Ihre Cookie-Auswahl und die Anmeldung. Eine Einwilligung ist dafür nicht erforderlich (Art. 5 Abs. 3 der Richtlinie 2002/58/EG, in Polen umgesetzt durch Art. 399 des Gesetzes über elektronische Kommunikation, Prawo komunikacji elektronicznej).

Die Liste mit Speicherdauer finden Sie in den Cookie-Einstellungen im Fußbereich jeder Seite.

10. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Schreiben Sie an privacy@normaro.eu. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO); zur Prüfung Ihrer Identität können wir Sie bitten, über die E-Mail-Adresse Ihres Kontos zu schreiben.

Widerspruchsrecht: Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einlegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in Ihrem Wohnsitzland oder bei der für uns zuständigen Behörde: Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, Polen.

11. Pflicht zur Bereitstellung, automatisierte Entscheidungen

Die Angaben für Konto und Bestellung sind für den Vertrag erforderlich; ohne sie können wir keine Prüfung durchführen. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.

12. Sicherheit

Alle Verbindungen sind mit TLS verschlüsselt. Passwörter verwaltet Firebase Authentication, wir sehen und speichern sie nicht. Von Ihrer Sitzung speichern wir nur einen Hash.

Sicherungskopien: Die Datenbank lässt sich auf jeden Zeitpunkt der letzten bis zu 7 Tage wiederherstellen; gelöschte Berichtsdateien bleiben 7 Tage wiederherstellbar und werden danach endgültig entfernt. Gelöschte Daten verschwinden damit spätestens nach 7 Tagen auch aus den Sicherungen.

13. Nutzer in den Vereinigten Staaten

Wir verkaufen keine personenbezogenen Daten, geben sie nicht für zielgerichtete Werbung weiter („sell“ oder „share“ im Sinne des California Consumer Privacy Act) und erstellen keine Profile mit rechtlicher oder ähnlich erheblicher Wirkung. Nach unserer Einschätzung unterliegen wir derzeit nicht den Schwellenwerten der Datenschutzgesetze der US-Bundesstaaten (zum Beispiel CCPA/CPRA in Kalifornien). Unabhängig davon räumen wir Einwohnern der Vereinigten Staaten die Rechte nach Abschnitt 10 ein: Auskunft, Berichtigung, Löschung und Datenübertragbarkeit. Wegen der Ausübung dieser Rechte werden Sie nicht benachteiligt. Ein bevollmächtigter Vertreter kann Anfragen für Sie stellen, wenn er seine Vollmacht nachweist. Anfragen richten Sie an privacy@normaro.eu.

14. Minderjährige

Der Dienst richtet sich an Personen ab 18 Jahren. Wissentlich erheben wir keine Daten von Minderjährigen; erfahren wir davon, löschen wir sie.

15. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Die geltende Fassung mit Datum steht auf dieser Seite; über wesentliche Änderungen informieren wir Kontoinhaber per E-Mail.