Datenschutzerklärung
Verantwortlicher
Kevin Feiler Einzelunternehmen, handelnd unter der Marke Trayyce, vertreten durch Kevin Feiler, Königstraße 5, 70173 Stuttgart, Deutschland. E-Mail: info@ddevelopment.de, Telefon: 0711 25267505.
Aufruf der Website
Trayyce läuft auf einem Server, den wir bei einem Rechenzentrumsbetreiber in Deutschland gemietet haben. Anfragen an trayyce.io gehen zuerst an Cloudflare (Cloudflare, Inc., USA). Cloudflare beantwortet die DNS-Anfragen, nimmt die verschlüsselte Verbindung an und reicht die Anfrage über einen Tunnel an unseren Server weiter. Dabei verarbeitet Cloudflare Ihre IP-Adresse und den Inhalt der Anfrage. Außerdem bittet Cloudflare Ihren Browser, fehlgeschlagene Verbindungen zu melden (Network Error Logging).
Cloudflare stützt Übermittlungen in die USA auf seine Zertifizierung nach dem EU-US Data Privacy Framework; sein Auftragsverarbeitungsvertrag enthält zusätzlich die Standardvertragsklauseln der EU.
Unser Webserver protokolliert Zeitpunkt, aufgerufene Adresse, Statuscode, übertragene Datenmenge, die zuvor besuchte Seite (Referrer) und die Browserkennung, aber keine IP-Adresse. Die Anwendung protokolliert Fehler und Betriebsmeldungen ohne IP-Adressen. Protokolle löschen wir nach 14 Tagen.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb der Website.
Prüfen einer Adresse
Wenn Sie eine Adresse prüfen, speichern wir die eingegebene Adresse, Sprache, Zeitpunkt und das Ergebnis. Unser Prüfdienst ruft die Adresse dazu von unserem Server aus ab: einige GET-Anfragen, eine Anfrage an /.well-known/security.txt, einzelne TLS-Verbindungen und DNS-Abfragen über die öffentlichen Resolver von Cloudflare. Der Betreiber der geprüften Website sieht dabei die IP-Adresse unseres Servers und die Kennung „Trayyce/1 (+https://trayyce.io)“, nicht Ihre Daten.
Der Bericht enthält, was der Server der geprüften Website öffentlich mitschickt: Weiterleitungen, Kopfzeilen (Cookie-Werte gekürzt), Zertifikat, IP-Adresse des Servers, erkannte Software und DNS-Einträge. Wir speichern ihn 30 Tage. Ausnahme: Liegt die Note einer Startseite unter B, bewahren wir den ersten Bericht dieser Reihe auf, bis eine Prüfung Note B oder besser ergibt, und danach noch 30 Tage, längstens ein Jahr ab der Messung. Damit belegt die Rangliste, seit wann die Website unter B liegt. Lesen kann ihn, wer den Link kennt. Prüft jemand dieselbe Adresse innerhalb von zehn Minuten erneut, bekommt er denselben Bericht. Ergibt die Prüfung eine Note, nehmen wir die Website in das Anbieterverzeichnis auf (Abschnitt „Anbieterverzeichnis und automatische Prüfungen“). Dort verlinkt ist nur ein Bericht über die Startseite der Website, keiner über eine eingegebene Unterseite.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, die angefragte Prüfung auszuführen und über öffentlich sichtbare Sicherheitseinstellungen zu informieren.
Technische Eckdaten je Adresse
Zu jedem geprüften Host speichern wir Note, Hoster, CDN, DNS- und Mailanbieter, Server und Serversprache, CMS und Bibliotheken mit Version, Zertifikatsaussteller, Hinweise zu gefundenen Mängeln sowie Zeitpunkt und Zahl der Prüfungen. Diese Liste sehen nur wir als Betreiber. Wir nutzen sie, um Betreibern von Websites mit Mängeln Hilfe bei der Behebung anzubieten, und für die Hoster-Übersicht, die nur zusammengefasste Werte je Netzbetreiber zeigt.
Wir löschen die Angaben zwölf Monate nach der letzten Prüfung. Wird eine Website regelmäßig automatisch geprüft (siehe Anbieterverzeichnis), beginnt die Frist mit jeder Prüfung neu.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Angaben sind öffentlich abrufbar; unser berechtigtes Interesse ist, Sicherheitsmängel sichtbar zu machen und Hilfe anzubieten. Widersprechen können Sie über die Seite „Daten löschen“.
Anbieterverzeichnis und automatische Prüfungen (Rangliste)
Das Anbieterverzeichnis listet Firmen und weitere Websites mit der Note ihrer Website. Neue Einträge finden wir automatisch in öffentlichen Quellen: in den Firmenverzeichnissen DBpedia und Wikidata, in OpenStreetMap (Geschäfte, Gastronomie, Handwerk und Büros, die dort eine Website angegeben haben), in Nachrichtenartikeln und in Fundstellen unserer eigenen Recherche. Außerdem nehmen wir Websites auf, die jemand mit dem öffentlichen Website-Check auf trayyce.io prüft; Prüfungen aus dem Kundenbereich nicht. Das gilt auch für die Suche in der Rangliste: Findet sie eine gesuchte Domain nicht, lässt sich diese dort prüfen. Aufgenommen wird eine Website, sobald ihre Prüfung eine Note ergibt; ausgenommen sind Subdomains, Prüfungen ohne Weiterleitungen und Websites, die auf eine andere Domain weiterleiten. War die geprüfte Adresse eine Unterseite, prüfen wir die Startseite mit; verlinkt wird nur der Bericht über die Startseite. Diese Einträge stehen unter „Weitere Websites“, ihr Name ist die Domain, und im Eintrag steht nicht, wer geprüft oder gesucht hat. Je Eintrag speichern wir Name, Website, Fundstelle, Kategorie und den Zeitpunkt der Aufnahme, aber keine Anschrift, Telefonnummer, E-Mail-Adresse oder Ansprechpartner.
Die Website jedes Eintrags prüfen wir automatisch wie oben beschrieben, danach regelmäßig erneut, derzeit alle 14 Tage; war sie vorübergehend nicht erreichbar, nach 24 Stunden. Leitet sie auf die Variante mit oder ohne www um, prüfen wir auch diese. Im Verzeichnis zeigen wir öffentlich Name, Website, Kategorie, Fundstelle, Note mit Prüfdatum und Link zum Bericht sowie die Zahl bekannter Datenpannen der Domain aus der öffentlichen Liste von Have I Been Pwned.
Einträge im Verzeichnis haben keine feste Löschfrist. Sie verschwinden, sobald die Domain über „Daten löschen“ widerspricht oder wir den Eintrag ausblenden. Nach einem Widerspruch prüfen wir die Website nicht mehr automatisch.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein Marktüberblick, der Anbieter nach der Sicherheit ihrer Website vergleichbar macht. Die Angaben stammen aus öffentlichen Quellen oder aus Prüfungen, die jemand auf trayyce.io angefragt hat. Ist ein Firmenname oder eine Domain zugleich Ihr eigener Name, können Sie jederzeit widersprechen.
Daten zu einer Domain löschen
Auf der Seite „Daten löschen“ weisen Sie mit einem DNS-Eintrag oder einer Datei auf Ihrer Website nach, dass Sie die Domain verwalten. Den DNS-Eintrag fragen wir über den DNS-Dienst von Cloudflare ab. Danach löschen wir sofort die Berichte, die technischen Eckdaten und die Einträge der Nutzungsstatistik zur Domain, nehmen sie aus dem Anbieterverzeichnis und prüfen sie nicht mehr automatisch. Den Widerspruch selbst (Domain und Zeitpunkt) speichern wir ohne Frist, damit er wirkt.
Ohne Nachweis können Sie den Antrag per E-Mail an info@ddevelopment.de stellen; wir bearbeiten ihn von Hand. Das Antragsformular auf der Seite braucht einen E-Mail-Versand, der derzeit nicht eingerichtet ist. Sobald er läuft, gilt: Wir speichern Domain, E-Mail-Adresse und Nachricht und schicken einen Bestätigungslink. Unbestätigte Anträge löschen wir nach 7 Tagen, bestätigte bleiben bis zur Entscheidung gespeichert, bearbeitete löschen wir 30 Tage nach der Entscheidung. Die Entscheidung selbst (Domain, Zeitpunkt, Art) halten wir ohne E-Mail-Adresse drei Jahre fest.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 17 und 21 DSGVO.
Datenschutz-Check über einen Code (trayyce.io/d)
Unser Partner Closing-Empire (Closing-Empire GbR, Franz-Wieman-Straße 42, 24537 Neumünster) kann Ihnen an der Haustür einen QR-Code oder einen Code zum Abtippen geben. Damit öffnen Sie auf trayyce.io/d einen Check, mit dem Sie nach Ihren eigenen Daten suchen und Löschanträge vorbereiten. Verantwortlich für diesen Check ist der oben genannte Betreiber von Trayyce. Closing-Empire schickt uns beim Anlegen des Codes nur die gewünschte Sprache, keine Angaben über Sie, Ihr Haus oder Ihre Adresse.
Mit dem Start bekommen Sie einen eigenen Link; der Code von der Tür öffnet danach nichts mehr. Ein nie gestarteter Code verfällt nach 24 Stunden. Danach geben Sie ein, was Sie möchten: höchstens drei E-Mail-Adressen, drei Telefonnummern und zwei Anschriften, dazu freiwillig Ihren Namen, der als Unterschrift unter den Anträgen und als Suchbegriff in den Suchlinks dient. Wir speichern diese Angaben, welche Anbieter Sie als „abgeschickt“ abhaken, Sprache, Zustand und Zeitpunkte. Angaben und Haken speichern wir verschlüsselt. Den Schlüssel bilden wir aus Ihrem Link und dem Gerätecookie (nächster Absatz) und speichern ihn nicht; ohne beides lassen sich die gespeicherten Angaben nicht lesen, auch nicht von uns. Während Sie die Seite benutzen, verarbeitet unser Server sie im Arbeitsspeicher. Link, Code und Gerätecookie speichern wir nur als Prüfsumme.
Beim ersten Aufruf von trayyce.io/d oder eines Codes setzt die Seite ein einziges Cookie, „ty_tuer_geraet“. Es enthält einen Zufallswert ohne Bezug zu Ihrer Person. Mit dem Start bindet es den Fall an den Browser, in dem er gestartet wurde; in jedem anderen Browser öffnet er sich nicht, auch nicht mit dem Link. Hat jemand anderes den Code gestartet und Ihnen den Link gegeben, öffnet er sich bei Ihnen deshalb nicht, und Sie sehen eine Warnung. Starten Sie den Check also selbst auf Ihrem eigenen Gerät. Das Cookie gilt nur für trayyce.io/d und ist für Skripte auf der Seite nicht lesbar (HttpOnly). Es wird nur verschlüsselt übertragen (Secure) und von fremden Seiten aus nur beim Öffnen eines Links mitgesendet, nicht bei Formularen oder Abrufen im Hintergrund (SameSite=Lax). Ohne Start läuft es nach einem Tag ab, nach dem Start 90 Tage nach der letzten Nutzung. Löschen Sie Ihren letzten Fall in diesem Browser, löschen wir es sofort. Es ist für den Check unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung braucht es dafür nicht.
Der Teil Ihres Links hinter dem Zeichen # bleibt in Ihrem Browser und erreicht unseren Server nicht als Adresse; er steht deshalb nicht im Protokoll unseres Webservers. Der Code von der Tür steht dort wie jede aufgerufene Adresse bis zu 14 Tage.
Trayyce sucht nicht selbst nach Ihnen und fragt keine Datenbanken mit Datenlecks ab. Die Seite zeigt Ihnen Suchlinks zu Google (auch Google Maps), Bing, DuckDuckGo, Yandex, Startpage, GitHub und tellows. Öffnen Sie einen davon, erhält dieser Dienst Ihren Suchbegriff und verarbeitet ihn nach seinen eigenen Datenschutzbestimmungen; dass Sie von Trayyce kommen, teilt Ihr Browser ihm nicht mit. Die Löschanträge schicken Sie selbst: Per Mail öffnet sich Ihr eigenes Mailprogramm, beim Formular die Seite des Anbieters. Trayyce verschickt dabei nichts und erfährt nicht, ob Sie wirklich abgeschickt haben; der Haken ist Ihre eigene Angabe.
Closing-Empire fragt bei uns den Stand ab und erhält nur den Zustand (noch nicht geöffnet, gestartet, Angaben gespeichert, abgeschlossen, abgelaufen oder gelöscht) und zwei Zahlen: wie viele Anträge vorbereitet und wie viele als abgeschickt abgehakt sind. Ihre Angaben und die Namen der Anbieter erhält Closing-Empire nicht.
In dem Browser, in dem Sie den Fall gestartet haben, können Sie ihn jederzeit über „Fall löschen“ löschen. Fehlt dort das Cookie, etwa nach einem privaten Fenster oder gelöschten Websitedaten, oder haben Sie den Link nicht mehr, öffnet sich der Fall nicht mehr; er wird dann wie unten beschrieben nach 90 Tagen gelöscht. Beim Löschen entfernen wir Ihre Angaben, die Haken, Ihren Link und die Bindung an Ihren Browser sofort; bis 90 Tage danach bleibt ohne Angaben über Sie nur festgehalten, dass es die Übergabe gab und dass sie gelöscht ist. Ohne Aktivität (Start, Speichern, Abhaken, Abschließen) löschen wir den Fall 90 Tage nach der letzten Aktivität vollständig: Ab dann öffnet der Link nichts mehr, und der tägliche Löschlauf entfernt die Daten. Für Sicherungskopien gilt der Abschnitt „Sicherungskopien“.
Rechtsgrundlage für den Check selbst ist Art. 6 Abs. 1 lit. b DSGVO, denn Sie starten und nutzen ihn auf eigenen Wunsch. Für die Meldung des Stands an Closing-Empire ist es Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse ist, dass Closing-Empire sieht, ob die Übergabe an der Tür angekommen ist. Darauf weist die Seite vor der ersten Eingabe hin.
Dieser Meldung können Sie jederzeit ohne Begründung widersprechen (Art. 21 DSGVO), in Ihrem Fall mit „Meldung an Closing-Empire beenden“. Danach antwortet Trayyce auf Anfragen von Closing-Empire zu Ihrem Fall nur noch, er sei unbekannt, auch nachdem Sie ihn gelöscht haben.
Begrenzung der Anfragen
Damit niemand den Dienst überlastet, sind Prüfungen je Besucher begrenzt. Dafür bilden wir aus Ihrer IP-Adresse mit einem Geheimnis, das bei jedem Neustart wechselt, einen Schlüssel und speichern nur diesen, höchstens 25 Stunden. Für Anmeldungen und Zugangslinks gilt dasselbe mit einem Fenster von 15 Minuten. Beim Datenschutz-Check über einen Code zählen wir so das Öffnen eines Codes oder Falls, Codeeingaben und Änderungen am Fall. Die IP-Adresse selbst speichern wir dafür nicht.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der Schutz vor Missbrauch.
Nutzungsstatistik
Um zu sehen, wie Trayyce genutzt wird, zählen wir Seitenaufrufe und Funktionen, ohne Cookies und ohne etwas in Ihrem Browser zu speichern oder auszulesen. Bei jedem Seitenwechsel meldet die Seite unserem Server nur, welche Art von Seite aufgerufen wurde (etwa „Bericht“, ohne die Bericht-ID), und beim ersten Aufruf den Hostnamen der fremden Website, von der Sie kamen, aus der Referrer-Angabe Ihres Browsers. Der Server leitet daraus die Geräteart (Handy, Tablet, Computer) ab, dazu das Land, das Cloudflare zur Anfrage mitschickt.
Um Besucher je Tag zählen zu können, bildet der Server aus IP-Adresse und Browserkennung mit einem Tagesgeheimnis einen Prüfwert. Geheimnis und Prüfwerte liegen nur im Arbeitsspeicher und verfallen täglich um Mitternacht (UTC) und bei jedem Neustart; gespeichert werden sie nie. In der Datenbank stehen nur Tageszahlen: Aufrufe je Seitenart, Zahl der Besucher, Geräte, Länder, Herkunftsseiten, genutzte Funktionen (etwa gestartete Checks oder Anmeldungen) und die Zahl aktiver Kundenkonten. Eine IP-Adresse, eine vollständige Adresse oder eine Kennung einzelner Besucher speichern wir nicht. Die Tageszahlen löschen wir nach 13 Monaten.
Sendet Ihr Browser das Signal „Do Not Track“ oder „Global Privacy Control“, zählen wir Ihre Aufrufe nicht.
Bei Website-Checks, B2B-Vorschau, Workspace-Suche und den Datenschutz-Werkzeugen halten wir außerdem Zeitpunkt, Ergebnis-Status und Dauer fest, beim Website-Check den geprüften Host und bei der B2B-Vorschau den Suchbegriff, sofern er keine E-Mail-Adresse, lange Nummer oder Zugangsdaten enthält. Diese Einträge löschen wir nach 90 Tagen.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, den Dienst nach seiner tatsächlichen Nutzung zu verbessern.
Kundenkonto und Anmeldung
Für ein Konto speichern wir E-Mail-Adresse, Name, Rolle, den Zeitpunkt der letzten Anmeldung und Ihr Passwort nur als gesalzenen Hash. Nach der Anmeldung liegt ein Sitzungsschlüssel im Speicher Ihres Browsers (localStorage), bei uns nur als Hash. Die Sitzung endet nach 14 Tagen, beim Abmelden oder beim Ändern des Passworts. Einmalige Zugangslinks gelten 60 Minuten, vom Betreiber erzeugte Einrichtungslinks bis zu 24 Stunden. Änderungen an Konten halten wir 90 Tage in einem Protokoll fest.
Konten lassen sich im Kundenbereich deaktivieren. Möchten Sie Ihr Konto ganz löschen lassen, schreiben Sie an info@ddevelopment.de.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Werkzeuge im Kundenbereich
Die Recherche durchsucht öffentliche Beiträge auf Hacker News, Reddit, GitHub, dev.to, Stack Exchange, Mastodon und Lemmy sowie Google News und Bing News nach Suchbegriffen des Kunden. Passende Beiträge speichern wir mit Titel, Text (bis 4.000 Zeichen), Link, Quelle und dem öffentlich angezeigten Autor- oder Benutzernamen. Zugangsdaten im Text schwärzen wir. Die Treffer sehen nur die angemeldeten Nutzer des Kunden; wir löschen sie 90 Tage nach der Erfassung. Übernimmt ein Kunde einen Fund als B2B-Lead, bleibt ein Auszug von bis zu 280 Zeichen gespeichert, bis er den Lead löscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse ist, öffentlich geäußerten Bedarf zu finden.
Mit dem Datenschutz-Werkzeug sucht ein Kunde für eine betroffene Person, die eingewilligt hat, nach deren Daten bei Dritten und bereitet Löschanträge vor. Dazu speichern wir die Angaben, die der Kunde zur Person einträgt (Name, E-Mail-Adressen, Telefonnummern, Anschriften), die Fundstellen und die Antragsentwürfe, bis der Kunde den Fall löscht. Für die Suche fragen wir Gravatar (Prüfsumme der E-Mail-Adresse), GitHub (Benutzername), crt.sh (eigene Domain) und Pwned Passwords (nur die ersten fünf Zeichen einer Prüfsumme) ab. Verantwortlich ist dabei der Kunde; wir verarbeiten die Daten in seinem Auftrag.
Kunden können auf ihrer Website ein Kontaktformular von Trayyce einbinden. Wer es ausfüllt, übermittelt Website, E-Mail-Adresse und optional einen Firmennamen mit ausdrücklicher Einwilligung an den Kunden. Wir speichern die Anfrage samt Einwilligungstext 90 Tage für den Kunden.
Kunden können eigene Telegram-Bots anbinden. Schreibt jemand einem solchen Bot, speichern wir für den Kunden Vornamen, @Benutzernamen und Telegram-ID der Person, ihre Nachrichten (bei Fotos, Sprachnachrichten und Dateien nur einen Hinweis wie „[Foto]“, nicht die Datei), die Antworten des Bots und des Kunden, Antwortvorschläge sowie Status und Notizen, die der Kunde zum Kontakt einträgt. Antwortvorschläge erstellt ein Sprachmodell auf unserem eigenen Server; an einen KI-Anbieter geben wir die Nachrichten nicht. Schreibt die Person /stop, schickt ihr der Bot nichts mehr, bis sie selbst wieder /start schreibt. Kontakt und Verlauf löschen wir 180 Tage nach der letzten Nachricht der Person; der Kunde kann sie jederzeit vorher löschen. Die Nachrichten laufen über Telegram (Telegram FZ-LLC, Dubai), wo die Person den Bot selbst angeschrieben hat und das sie nach seinen eigenen Bedingungen verarbeitet. Verantwortlich ist der Kunde; wir verarbeiten die Daten in seinem Auftrag.
Kunden können bis zu zehn eigene Adressen überwachen lassen. Wir prüfen sie etwa alle sieben Tage und speichern Notenverlauf und Berichte wie oben beschrieben. Richtet ein Kunde Benachrichtigungen ein, gehen Meldungen an den gewählten Kanal (E-Mail, Telegram, Discord oder eine eigene Webadresse).
Kontakt per E-Mail
Schreiben Sie uns an info@ddevelopment.de, etwa um ein Konto oder eine Freischaltung anzufragen, um einen Zugangslink zu bitten, eine Domain ohne Nachweis austragen zu lassen oder eine Frage zu stellen, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen, soweit Sie ihn angeben, und den Inhalt der Nachricht, um Ihnen zu antworten. Die Knöpfe auf trayyce.io öffnen dafür nur Ihr eigenes Mailprogramm mit einem vorbelegten Betreff; Trayyce selbst verschickt oder speichert dabei nichts.
Die Nachricht nimmt unser eigener Mailserver an (mail.ddevelopment.de), der ebenfalls bei einem Rechenzentrumsbetreiber in Deutschland gemietet ist. Wir löschen sie, sobald die Anfrage erledigt ist, es sei denn, eine gesetzliche Aufbewahrungspflicht steht dem entgegen, etwa für Geschäftsbriefe. Für Löschanträge zu einer Domain gelten die Fristen im Abschnitt „Daten zu einer Domain löschen“.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Sie ein Konto oder eine Freischaltung anfragen, bei Löschanträgen Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 17 und 21 DSGVO, sonst Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Anfragen zu beantworten.
E-Mail-Versand
Derzeit verschickt Trayyce keine E-Mails; ein Mailserver ist nicht eingerichtet. Funktionen, die eine E-Mail brauchen, etwa Bestätigungslinks, Zugangslinks oder Warnungen der Überwachung, sind deshalb abgeschaltet. Antworten auf Anfragen und vom Betreiber erzeugte Zugangslinks schicken wir bis dahin von Hand von info@ddevelopment.de.
Cookies und Speicher im Browser
Die öffentlichen Seiten setzen keine Cookies und speichern nichts in Ihrem Browser. Ausnahme ist das Cookie „ty_tuer_geraet“ des Datenschutz-Checks über einen Code, das nur unter trayyce.io/d entsteht (Abschnitt „Datenschutz-Check über einen Code“). Im Kundenbereich liegen der Sitzungsschlüssel und die gewählte Darstellung (hell oder dunkel) im localStorage Ihres Browsers, dazu das Cookie „sidebar_state“, das sich sieben Tage lang merkt, ob die Seitenleiste auf- oder zugeklappt ist. Diese Speicherungen sind für den Kundenbereich erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung braucht es dafür nicht.
Dienste, die Trayyce selbst abfragt
Für seine Funktionen fragt Trayyce öffentliche Dienste ab: die DNS-Resolver von Cloudflare und Google, DBpedia, Wikidata, die Overpass-Server von OpenStreetMap (overpass-api.de, ersatzweise overpass.private.coffee), Bing, Google News, Hacker News (über Algolia), Reddit, GitHub, dev.to, Stack Exchange, Mastodon, Lemmy und die öffentliche Liste von Have I Been Pwned. Diese Dienste erhalten Domainnamen, Suchbegriffe oder Kartenausschnitte, aber keine Angaben über Sie als Besucher.
Übermittlung in Länder außerhalb der EU
Cloudflare, Inc. (USA) ist nach dem EU-US Data Privacy Framework zertifiziert; sein Auftragsverarbeitungsvertrag enthält zusätzlich die Standardvertragsklauseln (Abschnitt „Aufruf der Website“).
Für das Datenschutz-Werkzeug im Kundenbereich fragt Trayyce im Auftrag des Kunden diese Dienste außerhalb der EU ab: GitHub, Inc. (USA, zertifiziert nach dem EU-US Data Privacy Framework), Automattic Inc. für Gravatar (USA, Standardvertragsklauseln), Sectigo Limited für crt.sh (Vereinigtes Königreich, Angemessenheitsbeschluss der EU-Kommission) und Superlative Enterprises Pty Ltd für Pwned Passwords (Australien; dorthin gehen nur die ersten fünf Zeichen einer Prüfsumme, aus denen sich nicht auf eine Person schließen lässt). Den Dienst XposedOrNot (Betreiber in Indien, ohne Angemessenheitsbeschluss) fragen wir seit dem 26. Oktober 2026 nicht mehr ab.
Buchung und Zahlung
Derzeit ist der Verkauf geschlossen: Pakete schalten wir auf Anfrage frei, und es wird nichts bezahlt. Sobald er läuft, gilt:
Bucht eine Firma im Kundenbereich ein Paket, leiten wir sie zum Checkout unseres Zahlungsdienstleisters weiter, Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin, Irland. Stripe erhält von uns die E-Mail-Adresse des buchenden Kontos, die Kennung der Firma und das Paket. Rechnungsanschrift, Umsatzsteuer-Identifikationsnummer und Zahlungsdaten geben Sie direkt bei Stripe ein; Karten- oder Kontodaten sehen wir nicht. Bei uns gespeichert werden die Kundennummer bei Stripe, Paket, Status, Laufzeit, eine Kündigung zum Laufzeitende und bei Einmalkäufen die Kennung der Zahlung.
Stripe verarbeitet die Daten teils in unserem Auftrag, teils als eigener Verantwortlicher, etwa zur Betrugsprävention und zur Prüfung nach dem Geldwäscherecht, und kann sie an Stripe, LLC in den USA übermitteln. Stripe, LLC ist nach dem EU-US Data Privacy Framework zertifiziert; dazu kommen Standardvertragsklauseln.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Angaben zu Buchungen bewahren wir auf, solange das Konto besteht, und darüber hinaus, soweit steuer- und handelsrechtliche Fristen es verlangen, bis zu zehn Jahre (Art. 6 Abs. 1 lit. c DSGVO mit § 147 AO und § 257 HGB).
Sicherungskopien
Vor jeder Aktualisierung legen wir eine Kopie der Datenbank auf demselben Server ab. Die fünf jüngsten Kopien bleiben erhalten, ältere löschen wir nach 14 Tagen. Löschungen in der laufenden Anwendung erreichen diese Kopien erst, wenn sie selbst gelöscht werden.
Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f (Art. 21). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Schreiben Sie dazu an info@ddevelopment.de.
Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa bei der für uns zuständigen: dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg.
Stand
26. Oktober 2026