Datenschutzerklärung von SearchedBy

Version 0.10 · Stand: 31.10.2026 · in rechtlicher Prüfung

1. Verantwortlicher

Pablo Pavon (SearchedBy), Zähringerstraße 24, 10707 Berlin, Deutschland · [email protected].

Ein Datenschutzbeauftragter ist nicht benannt: Das deutsche Recht verlangt ihn erst, wenn in der Regel mindestens 20 Personen ständig mit der Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG).

2. Welche Daten wir verarbeiten und woher sie stammen

• Beim Besuch der Website: Jede Anfrage läuft über Cloudflare, das unseren Server mit dem Internet verbindet und dabei die IP-Adresse, den Zeitpunkt, die aufgerufene Adresse und Angaben zum Browser verarbeitet. Unser Server speichert technische Protokolle der Anfragen, um den Dienst zu betreiben und zu schützen.
• Schritt 1 des Checks: die Website und die E-Mail-Adresse.
• Schritt 3 des Checks: Marke, Markt, Angebot, Stadt und Wettbewerber (Stadt und Wettbewerber sind freiwillig) und, falls abgefragt, ein Einladungscode.
• Zur Bestätigung: der 6-stellige Code (wir speichern nur seinen kryptografischen Fingerabdruck), der Zeitpunkt des Versands und die Zahl der Versuche.
• Zum Schutz vor Missbrauch: ein mit einem geheimen Schlüssel gebildeter Fingerabdruck der IP-Adresse (oder ihres IPv6 /64-Blocks) und der E-Mail-Adresse, um Anfragen pro Netz, pro Postfach und pro E-Mail-Domain zu zählen. Unsere Datenbank speichert den Fingerabdruck, nicht die IP-Adresse.
• Bot-Schutz von Cloudflare (Turnstile): Er wird erst geladen, wenn jemand das Formular des Checks zu nutzen beginnt, nicht beim Öffnen einer Seite. Cloudflare verarbeitet dabei Browsersignale wie die IP-Adresse, den TLS-Fingerabdruck und den User-Agent.
• Von der analysierten Website: einige öffentliche Seiten, die Daten Dritter enthalten können. Wir speichern nur, was der Bericht braucht. Links zu Social-Media-Profilen auf diesen Seiten werden im Bericht aufgeführt; die sozialen Netzwerke selbst rufen wir nicht auf.
• Die Antworten der KI-Dienste: Sie können Unternehmen und manchmal Personen nennen, etwa Selbstständige, die unter ihrem Namen auftreten. Wir speichern sie als Teil des Berichts.
• Anfrage der 48-Stunden-Diagnose (freiwillig): Märkte, Ziel, wer die Website pflegt, Plattform, Wettbewerber, Links zu Bewertungen und zu Social-Media-Profilen, genutzte Tools, geplante Änderungen, Budget und ob ein Gespräch gewünscht ist, zusammen mit einem Fingerabdruck der IP-Adresse.
• Feedback-Formular unter dem Bericht (freiwillig): eine Bewertung, ein Name, falls angegeben, und freier Text.
• E-Mails an unsere Adresse: die Adresse des Absenders und der Inhalt der Nachricht.

Die E-Mail-Adresse wird verschlüsselt gespeichert: Jeder Datensatz hat einen eigenen Zufallswert und eine Integritätsprüfung, und der Schlüssel bleibt auf dem Server. Eine Kopie der Datenbank ist ohne ihn nicht lesbar.

3. Zwecke und Rechtsgrundlagen

• Code senden, Check durchführen, Bericht anzeigen und seinen Link senden: Erfüllung des angefragten Dienstes (Art. 6 Abs. 1 lit. b DSGVO).
• Fingerabdrücke, Limits, Turnstile und technische Protokolle des Servers: berechtigtes Interesse, den Dienst und seine Kosten vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Turnstile außerdem, weil es für den angefragten Dienst unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG).
• Qualitätskontrolle: Der Betreiber erhält zu jedem Check eine interne Kontrollnachricht mit dem Ergebnis und der E-Mail-Adresse der anfragenden Person, um das Ergebnis zu prüfen und ihr bei Bedarf zu diesem Check zu schreiben. Grundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
• Anfrage der 48-Stunden-Diagnose: vorvertragliche Maßnahmen auf Anfrage der Person (Art. 6 Abs. 1 lit. b DSGVO).
• Feedback: berechtigtes Interesse, den Dienst mit den Rückmeldungen seiner Nutzer zu verbessern (Art. 6 Abs. 1 lit. f DSGVO).
• In KI-Antworten genannte Personen: berechtigtes Interesse, zu zeigen, was die KI-Dienste über einen Markt sagen (Art. 6 Abs. 1 lit. f DSGVO).
• Werbe-E-Mails: nur mit Einwilligung, die jederzeit widerrufen werden kann (Art. 6 Abs. 1 lit. a DSGVO und § 7 Abs. 2 UWG); siehe Abschnitt 8.

4. Empfänger

Wir nutzen diese Dienstleister, die als Auftragsverarbeiter handeln (Art. 28 DSGVO), soweit nicht anders angegeben:

• Hetzner Online GmbH, Deutschland: der Server, in einem Rechenzentrum in Deutschland.
• Cloudflare, Inc., USA: die Verbindung zwischen dem Internet und unserem Server, der Namensdienst der Domain, der Bot-Schutz (Turnstile) und die Weiterleitung von E-Mails an unsere Adresse. Zur Verbesserung von Turnstile handelt Cloudflare als eigener Verantwortlicher.
• E-Mail-Versand (der Code, der Link zum Bericht und Antworten): Zoho Corporation B.V., Niederlande, die die Daten in der EU speichert; ihr Support in Indien kann auf Grundlage von Standardvertragsklauseln darauf zugreifen. Der Versand wechselt zu Brevo (Sendinblue SAS, Frankreich); ab dann erhält Sendinblue SAS dieselben Daten zum selben Zweck.
• Google: E-Mails an unsere Adresse werden in das Postfach des Betreibers bei Google (Gmail) weitergeleitet.
• Fontshare (Indian Type Foundry): Wenn die Seiten auf Englisch, Spanisch oder Deutsch geöffnet werden, lädt der Browser dort die Schriften und übermittelt dabei die IP-Adresse. Die hebräischen Seiten laden diese Schriften nicht.
• Google (Chrome UX Report), nur wenn Geschwindigkeitsdaten echter Nutzer abgefragt werden: erhält die Adresse der Website, nie die E-Mail-Adresse.
• Für die KI-Stichprobe gehen die Fragen, die Website, Marke, Markt, Angebot, Stadt und Wettbewerber enthalten, an: Anthropic Ireland, Limited (Claude mit Websuche; die Verarbeitung erfolgt in den USA, wo auch ihre Suchanbieter sitzen, darunter Brave); OpenAI (ChatGPT; USA); Perplexity AI, Inc. (USA); und, wenn die KI-Antworten von Google gemessen werden, DataForSEO OÜ (Estland). Sie erhalten nie die E-Mail-Adresse.

5. Übermittlungen außerhalb des Europäischen Wirtschaftsraums

Mehrere Dienstleister sitzen in den USA (die Verarbeitung und die Suchanbieter von Anthropic, OpenAI, Perplexity und Cloudflare) oder greifen von außerhalb des EWR auf Daten zu (der Support von Zoho in Indien). Die Übermittlung stützt sich auf die Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914); bei Cloudflare, das zertifiziert ist, zusätzlich auf das EU-U.S. Data Privacy Framework. Eine Kopie der Garantien kann unter [email protected] angefordert werden.

6. Speicherdauer

• Fingerabdruck des Bestätigungscodes: wird bei der Bestätigung der E-Mail-Adresse gelöscht oder, wenn ihn niemand nutzt, spätestens einen Tag nach Ablauf (er läuft nach 15 Minuten ab).
• Zähler gegen Missbrauch: Die Fingerabdrücke von IP und E-Mail darin werden nach 30 Tagen gelöscht. Die im Datensatz eines Checks bleiben, solange der Check besteht.
• Bericht, Eingaben, E-Mail-Adresse, KI-Antworten, Diagnose-Anfragen und Feedback: werden für den Dienst und seine Nachbereitung gespeichert. Eine automatische Löschung gibt es noch nicht: Bis dahin löschen wir sie jederzeit auf Anfrage, und wir nennen die Frist an dieser Stelle.
• Nachweise von Einwilligungen und Sperrliste: nur ein Fingerabdruck der E-Mail-Adresse, gespeichert, solange wir eine Einwilligung nachweisen oder eine Abmeldung beachten müssen.
• Bei den Dienstleistern: Jeder speichert Anfragen nach seinen eigenen Bedingungen. Nach ihren veröffentlichten Bedingungen speichern Anthropic und OpenAI sie bis zu 30 Tage (länger, wenn eine Anfrage wegen Missbrauchs markiert wird) und DataForSEO bis zu 12 Monate.

7. Ihre Rechte

Unter [email protected] kann jede Person verlangen:

• Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 18, 20 und 21 DSGVO);
• den Widerruf einer Einwilligung, jederzeit, ohne dass die bis dahin erfolgte Verarbeitung unrechtmäßig wird.

Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit; auch die Behörde am Wohnort kann angerufen werden.

Wer in einem Bericht genannt wird, kann verlangen, dass wir die Nennung korrigieren oder entfernen: Wie wir Websites lesen.

8. Werbe-E-Mails

Derzeit versenden wir keine Werbe-E-Mails. Wenn wir sie anbieten, fragen wir gesondert nach der Bestätigung der E-Mail-Adresse, mit zwei unabhängigen Wahlmöglichkeiten (Ja / Nein) und ohne Vorauswahl; der Check wird auch ohne Zustimmung erbracht, und jede Werbe-E-Mail enthält einen Abmeldelink mit einem Klick.

Sie können der Nutzung Ihrer Daten für Werbung jederzeit widersprechen.

9. Ist die Angabe der E-Mail-Adresse Pflicht?

Kein Gesetz verlangt sie, aber ohne sie können wir weder den Code noch den Link zum Bericht senden, also gibt es keinen Check.

10. Automatisierte Entscheidungen

Wir treffen keine automatisierten Entscheidungen mit rechtlicher Wirkung für Personen (Art. 22 DSGVO). Die Limits gegen Missbrauch stoppen nur wiederholte Anfragen.

11. Browser, Cookies und Pixel

Wir setzen keine eigenen Cookies und keine Werbe- oder Analyse-Cookies, und die E-Mails enthalten keine Tracking-Pixel. Turnstile wird erst geladen, wenn jemand das Formular des Checks zu nutzen beginnt.

12. Der Link zum Bericht

Der Bericht liegt unter einem nicht öffentlich gelisteten Link: Wer ihn hat, kann ihn öffnen. Berichtsseiten werden von Suchmaschinen nicht indexiert und geben ihre Adresse nicht an andere Websites weiter.

13. Änderungen und Version

Version 0.10 vom 31. Oktober 2026. Wir passen diese Erklärung an, wenn sich der Dienst oder seine Dienstleister ändern; frühere Versionen bleiben archiviert.