Datenschutz

1. Verantwortlicher

Sebastian Seelig · c/o Alte Waschfabrik · Gemarkenstraße 11 · 45147 Essen · E-Mail: hallo@vizomat.de

2. Hosting, E-Mail-Versand & Server-Logdateien

Diese Website wird bei der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland gehostet (Auftragsverarbeitung nach Art. 28 DSGVO). Beim Aufruf der Seiten verarbeitet der Server automatisch technische Zugriffsdaten (IP-Adresse, Datum/Uhrzeit, aufgerufene Seite, Browser-Kennung). Diese Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO); die Logdaten werden nach kurzer Frist automatisch gelöscht.

E-Mail-Versand: Die E-Mails, die wir dir schicken (etwa Bestätigungs- und Passwort-Mails, der wöchentliche Bericht, die Bestätigung einer Newsletter-Anmeldung), und die Nachrichten aus Kontaktformular, Vormerkung und Tarifanfrage, die wir uns selbst zustellen, versenden wir über Postmark (AC PM LLC, Chicago, USA) als Auftragsverarbeiter nach Art. 28 DSGVO. Übermittelt werden die Empfängeradresse und der Inhalt der Mail. Postmark speichert die Mails zur Zustellung und Fehlersuche 45 Tage. Ob du eine Mail öffnest oder auf Links klickst, wird nicht gemessen. Die Übermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln (Art. 46 DSGVO).

3. Registrierung & Konto

Für die Nutzung von VIZ‑O‑MAT® legst du ein Konto an. Dabei verarbeiten wir deine E-Mail-Adresse, dein Passwort (ausschließlich als kryptografischer Hash), optional deinen Namen (für die Anrede), die Website-Adresse, die du beim Anlegen mitgibst, sowie die von dir angelegten Website-Projekte und deren Messdaten. Kommst du über einen Tarif-Link zu uns, merken wir uns außerdem deinen Tarifwunsch, damit wir den Tarif persönlich freischalten können (eine Online-Bezahlung gibt es nicht). Zweck ist die Bereitstellung des Dienstes (Art. 6 Abs. 1 lit. b DSGVO). Beim Löschen eines Projekts werden alle zugehörigen Messdaten mit entfernt.

Tarif, Angebot und Rechnung: Fragst du einen kostenpflichtigen Tarif an, verarbeiten wir die gewählte Laufzeit und deine Rechnungsanschrift (Firma oder Name, Straße, PLZ, Ort, Land, freiwillig die USt-IdNr.), um dir ein Angebot und die Rechnungen zu schicken; nach der Freischaltung speichern wir dazu den Beginn deines Abos. Rechtsgrundlage ist die Vertragsanbahnung und -erfüllung (Art. 6 Abs. 1 lit. b DSGVO). Angebote und Rechnungen schreiben wir mit Lexware Office der Haufe-Lexware GmbH & Co. KG, Munzinger Straße 9, 79111 Freiburg, als Auftragsverarbeiter nach Art. 28 DSGVO; deine Zahlung läuft über unsere Bank. Rechnungen und Buchungsbelege bewahren wir so lange auf, wie Handels- und Steuerrecht es verlangen, für Rechnungen derzeit 8 Jahre (Art. 6 Abs. 1 lit. c DSGVO); eine Steuerberatung und die Finanzbehörden erhalten sie nur, soweit das dafür nötig ist. In VIZ‑O‑MAT® selbst liegt die Anschrift, bis du dein Konto löschst.

Bei der Registrierung bestätigst du per Häkchen, dass du VIZ‑O‑MAT® geschäftlich nutzt (als Unternehmen, Selbständige oder Selbständiger, Verein oder Behörde, Unternehmer im Sinne von § 14 BGB). Den Zeitpunkt dieser Bestätigung speichern wir als Nachweis der Vertragsgrundlage (Art. 6 Abs. 1 lit. b und f DSGVO); er wird mit dem Konto gelöscht.

4. Kostenloser Sofort-Check & Missbrauchsbegrenzung

Beim registrierungsfreien Sofort-Check verarbeiten wir die von dir eingegebene Website-Adresse, um die Analyse durchzuführen. Das Ergebnis eines Sofort-Checks speichern wir 48 Stunden unter einer zufälligen Adresse, damit du die Seite neu laden und aus ihr heraus ein Konto anlegen kannst. Darin stehen nur die geprüfte Website-Adresse und öffentliche Angaben ihrer Startseite, keine IP-Adresse und nichts über dich. Legst du binnen 24 Stunden über diese Seite ein Konto an, übernehmen wir das Ergebnis als erste Messung deiner Website. Danach ist die Seite nicht mehr abrufbar, die Datei löschen wir turnusmäßig, in der Regel binnen weniger Tage. Hat die geprüfte Website ein Vorschaubild für soziale Netzwerke, lädt dein Browser es beim Öffnen dieser Seite direkt von der Adresse, die die Website dafür angibt, meist ihrem eigenen Server, manchmal einem Bilddienst; wer dort antwortet, sieht dabei, wie bei jedem Bild aus dem Netz, deine IP-Adresse und deinen Browser. Zur Missbrauchsbegrenzung (Rate-Limit, Art. 6 Abs. 1 lit. f DSGVO: Schutz vor automatisiertem Missbrauch kostenpflichtiger Analyse-Dienste und vor Angriffen auf Konten) verarbeiten wir außerdem beim Sofort-Check, beim Login, bei der Registrierung, beim Passwort-Zurücksetzen, beim Kontrast-Checker, beim Abruf der Vorschau-Bilder geteilter Ergebnisse und beim Download der WordPress- oder Kirby-Plugins einen aus deiner IP-Adresse gebildeten Hash-Wert (die rohe IP-Adresse selbst speichern wir dafür nicht). Diese Zähler werden nicht mit der geprüften Website verknüpft und turnusmäßig, in der Regel binnen weniger Tage, gelöscht.

Bei der Registrierung prüfen wir außerdem per DNS-Abfrage, ob die Domain deiner E-Mail-Adresse Post annimmt, sonst käme die Bestätigung nie an; abgefragt wird nur der Teil hinter dem @. Damit niemand ein fremdes Postfach mit unseren Mails flutet oder ein Konto durch Raten angreift, zählen wir Login-Versuche und die Mails, die wir an eine Adresse schicken (Bestätigung, neues Passwort, Adress-Änderung, Newsletter-Anmeldung), auch je E-Mail-Adresse. Dafür speichern wir nur einen mit einem geheimen Schlüssel gebildeten Hash-Wert der Adresse, nie die Adresse selbst, und löschen diese Zähler beim täglichen Aufräumen, sobald sie älter als zwei Tage sind. Rechtsgrundlage ist auch hier Art. 6 Abs. 1 lit. f DSGVO.

5. Cookies

VIZ‑O‑MAT® verwendet ausschließlich einen technisch notwendigen Session-Cookie (Name „PHPSESSID“) für Login und Sicherheit (CSRF-Schutz, Statusmeldungen). Für Besucher ohne Login gilt er nur bis zum Schließen des Browsers. Nach dem Login verlängern wir ihn auf 30 Tage, damit du den Bericht aus der wöchentlichen E-Mail ohne erneutes Anmelden öffnen kannst; „Abmelden“ löscht ihn sofort. Es gibt keine Tracking-, Werbe- oder Statistik-Cookies: deshalb auch kein Cookie-Banner. Zur Reichweitenmessung setzen wir einen cookiefreien Dienst ein, siehe Abschnitt 5a. Auch eingebundene Schriftarten liefern wir lokal von unserem eigenen Server aus (kein externes Schriften-CDN wie Google Fonts), sodass über die Schriften keine personenbezogenen Daten an Dritte gehen.

5a. Reichweitenmessung

Auf unseren öffentlichen Seiten messen wir, wie oft sie aufgerufen werden. Dafür nutzen wir Umami Cloud (Umami Software, Inc., USA). Der Dienst setzt keine Cookies und erstellt keine geräteübergreifenden Profile. Erhoben werden der Seitenaufruf mit Adresse (ohne den Teil nach dem Fragezeichen) und Titel der Seite, beim Ergebnis eines Sofort-Checks also auch die geprüfte Website, bei einem geteilten Vergleich auch die verglichene Website und das Suchwort, dazu die verweisende Seite, ungefähre Herkunft auf Länderebene sowie Browser-, Betriebssystem- und Gerätetyp, außerdem Klicks auf einzelne Knöpfe wie „Sofort prüfen“ oder „Kostenlos starten“, ohne das, was du in ein Feld eintippst; nach Angaben des Anbieters wird deine IP-Adresse dabei nicht gespeichert. Rechtsgrundlage ist unser berechtigtes Interesse an einer einfachen Reichweitenmessung ohne Nutzerprofile (Art. 6 Abs. 1 lit. f DSGVO). Die Übermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln (Art. 46 DSGVO). Du kannst der Messung jederzeit widersprechen: schreib uns, oder blockiere die Domain cloud.umami.is in deinem Browser oder Blocker. Der eingeloggte Bereich wird nicht gemessen: was du in deinem Konto tust, erfassen wir nicht mit diesem Dienst.

6. Analyse-Datenquellen (Auftragsverarbeitung & Drittdienste)

Für die SEO-Analysen deiner Projekte übermitteln wir projektbezogene Daten an folgende Dienste. Konto- und Kontaktdaten (E-Mail, Passwort, dein Name aus dem Konto) werden dabei nie übermittelt:

• Messdaten-Dienstleister (Auftragsverarbeiter nach Art. 28 DSGVO, Sitz in der EU): die zu prüfende Website-Adresse bzw. Suchbegriffe für Ranking-, Keyword-, Backlink-, Ladezeit- und Onpage-Messdaten zur geprüften Domain; für die KI-Sichtbarkeit die KI-Fragen, die du festlegst oder aus unseren Vorschlägen übernimmst (hast du noch keine festgelegt, die Suchbegriffe, für die deine Website bei Google gefunden wird), als Fragen an KI-Dienste (ChatGPT, Gemini, Perplexity, Claude und Google AI Mode, den KI-Modus der Google-Suche), wobei wir die Antworten der KI-Dienste je Messstand speichern, um dir zu zeigen, was sie über dich sagen; für die Marken-Sichtbarkeit (Entitäts-Check) und das Google-Unternehmensprofil dein Markenname und die von dir hinterlegte Region (zurück kommen die öffentlichen Profildaten und die 30 jüngsten Google-Bewertungen mit Anzeigename, Text, Sternen und Inhaber-Antwort, die wir je Messstand speichern, um dir unbeantwortete Bewertungen zu zeigen; von den Einträgen deiner Wettbewerber holen wir ebenfalls die jüngsten Bewertungen ab, speichern davon aber nur Zahlen, keine Namen und keine Texte); außerdem die Domains der Wettbewerber, die du anlegst oder die wir aus den Suchergebnissen ableiten. Deine Search-Console-Suchanfragen gehen dort nie hin (Abschnitt 7).
• KI-Dienstleister (Anthropic PBC, USA): Für die sprachliche Ausgabe deiner Auswertungen übermitteln wir die bei uns bereits berechneten Mess-Ergebnisse deines Projekts (Kennzahlen, Positionen, Veränderungen, Suchbegriffe und die daraus abgeleiteten Aufgaben) sowie die von dir hinterlegten Projekt-Angaben (Projektname, Branche, Region und deine Freitext-Felder: Kunden/Zielgruppe, Alleinstellung, Ziel und Wortwahl-Wünsche) sowie, wenn wir dir neue KI-Fragen vorschlagen, die KI-Fragen, die du schon festgelegt hast, und für den Abgleich „Was die KI über dich sagt“ die gespeicherten Antworten der KI-Dienste zusammen mit den Angaben aus deinem Google-Unternehmensprofil. Legst du eine Website an, übermitteln wir einmal die öffentlich abrufbaren Inhalte ihrer Startseite (Titel, Beschreibung, Überschriften, sichtbarer Text und Firmenangaben aus dem Markup), damit wir dir Name, Angebot, Ort und Kundenfragen vorschlagen können. Die Bewertung selbst findet bei uns statt: übermittelt wird, was formuliert werden soll, nicht die Entscheidung darüber. Trage in die Freitext-Felder deshalb keine Angaben zu anderen Personen ein, die dort nicht hingehören. Laut den API-Bedingungen von Anthropic werden diese Daten nicht zum Training von KI-Modellen verwendet. Die Übermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln (Art. 46 DSGVO).
• Wikimedia (Wikimedia Foundation Inc., San Francisco, USA): für die Marken-Sichtbarkeit (Entitäts-Check) fragen wir die öffentlichen Schnittstellen von Wikidata und Wikipedia ab. Übermittelt wird ausschließlich dein Markenname; Wikimedia sieht dabei wie bei jedem Seitenaufruf die IP-Adresse unseres Servers, nicht deine.
• Google PageSpeed Insights (Google LLC, USA): ausschließlich die öffentliche Website-Adresse zur Messung der Ladezeit-Kennzahlen der geprüften Website.
• Microsoft Bing Webmaster Tools (optional): Nur wenn du deinen eigenen Bing-API-Schlüssel hinterlegst, rufen wir damit die Suchdaten deiner Website bei Microsoft ab.

7. Google Search Console („Mit Google verbinden“)

Du kannst dein Projekt per OAuth mit deiner Google Search Console verbinden. Dabei gilt:

• Wir erhalten ausschließlich Lesezugriff auf deine Search-Console-Daten (Scope „webmasters.readonly“): Suchanfragen, Klicks, Impressionen, Positionen und deine Property-Liste. Wir können nichts in deinem Google-Konto ändern.
• Gespeichert werden bei uns: ein Zugriffs-Token (Refresh-Token) für künftige Abrufe sowie die abgerufenen Suchstatistiken deiner Website. Dein Google-Passwort sehen und speichern wir nie.
• Du kannst die Verbindung jederzeit in den Projekt-Einstellungen lösen (wir widerrufen das Token bei Google und löschen es bei uns; schlägt der Widerruf bei Google fehl, sagen wir dir das und du kannst die Freigabe direkt entziehen), zusätzlich unter myaccount.google.com/permissions.
• Limited Use: Die Nutzung der aus Google-APIs erhaltenen Daten durch VIZ‑O‑MAT® entspricht der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen. Die Daten werden zur Darstellung deiner eigenen Suchstatistiken in deinem Konto und für deinen Bericht verwendet, nicht für Werbung, nicht verkauft und nicht zum Training von KI-Modellen genutzt. Für den Bericht übermitteln wir ausschließlich aggregierte Search-Console-Kennzahlen (Klicks, Impressionen, Durchschnittsposition, deren Veränderung sowie die Anzahl der Chancen-Suchanfragen, keine einzelnen Suchanfrage-Texte) an unseren Auftragsverarbeiter Anthropic (siehe Abschnitt 6); eine darüber hinausgehende Weitergabe an Dritte findet nicht statt.

8. Bericht per E-Mail & Produkt-News (Newsletter)

Der wöchentliche Bericht zu deinen Websites gehört zu den Tarifen mit E-Mail-Versand und ist damit Teil unserer Leistung (Art. 6 Abs. 1 lit. b DSGVO). Er startet erst, nachdem du deine E-Mail-Adresse bestätigt hast, und ist von Anfang an eingeschaltet. Du kannst ihn jederzeit abbestellen: über den Abmelde-Link in jeder Berichts-Mail oder den Schalter in deinem Konto. Im Tool bleibt er für dich abrufbar.

Produkt-News schicken wir dir nur mit deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du gibst sie über eine eigene, nicht vorausgewählte Checkbox bei der Registrierung oder über den Schalter in deinem Konto, und du kannst sie dort jederzeit widerrufen. Das Abbestellen des Berichts berührt die Produkt-News nicht, und umgekehrt. Beide Einstellungen speichern wir, solange dein Konto besteht.

8b. Newsletter ohne Konto

In unserem Blog kannst du dich ohne Konto in unseren Verteiler eintragen. Du bekommst dann eine kurze E-Mail, wenn ein neuer Beitrag erscheint, dazu gelegentlich eine Neuigkeit zum Produkt. Wir verwenden dafür das Double-Opt-in-Verfahren: Nach dem Eintragen schicken wir dir eine E-Mail mit einem Bestätigungslink, und erst wenn du dort bestätigst, bekommst du Nachrichten von uns. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Gespeichert werden: deine E-Mail-Adresse, der Zeitpunkt von Eintragung und Bestätigung, der Wortlaut der Einwilligung samt Version sowie IP-Adresse und Browser-Kennung des Eintragens. Die letzten Angaben dienen ausschließlich dem Nachweis der Einwilligung (Art. 7 Abs. 1 DSGVO) und dem Schutz davor, dass jemand fremde Adressen einträgt.

Du kannst dich jederzeit abmelden: über den Link am Ende jeder E-Mail oder formlos an hallo@vizomat.de. Nach der Abmeldung verschicken wir nichts mehr an diese Adresse. Wir bewahren den Eintrag mit dem Vermerk „abgemeldet“ auf, damit dieselbe Adresse nicht versehentlich erneut angeschrieben wird und der Nachweis über die frühere Einwilligung erhalten bleibt; auf Wunsch löschen wir ihn vollständig. Ein nicht bestätigter Eintrag verfällt nach 14 Tagen.

Die Newsletter-Ausgaben verschicken wir über den Mailserver unseres Hosters IONOS, die Bestätigungs-Mail über Postmark (beides Abschnitt 2). Wir messen weder, ob du eine E-Mail öffnest, noch ob du auf Links darin klickst.

9. Speicherdauer

Konto- und Projektdaten speichern wir, solange dein Konto besteht. Hast du dich ab dem 15. Oktober 2026 selbst registriert und deine E-Mail-Adresse nie bestätigt, löschen wir dein Frei-Konto samt Websites und Messdaten 30 Tage nach der Registrierung. Das gilt nicht, wenn dein Konto je einen kostenpflichtigen Tarif hatte oder wir je einen Tarifwunsch von dir notiert haben. Den Tag nennen wir dir in der Bestätigungs-Mail und nach dem Login. Mess-Snapshots dienen dem Verlauf deiner Sichtbarkeit; sie werden turnusmäßig auf die jüngsten Messstände ausgedünnt (in der Regel bleiben die letzten 52 Messungen je Modul erhalten, einschließlich der zu einem Messstand gespeicherten Google-Bewertungen; bei der KI-Sichtbarkeit die letzten acht Messstände je KI-Dienst). Ausgedünnt wird frühestens nach 15 Monaten: jüngere Messungen bleiben in jedem Fall erhalten, damit dir der Vergleich mit dem Vorjahr nicht verloren geht. Spätestens mit der Löschung des Projekts bzw. Kontos werden sie entfernt. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Sicherungskopien: Von der Datenbank legen wir regelmäßig (in der Regel täglich) eine Sicherung an und bewahren die letzten 14 Stände auf. Gelöschte Konten und Projekte wirken darin bis zu zwei Wochen nach, bis die Sicherung turnusmäßig überschrieben wird; Sicherungen nutzen wir ausschließlich zur Wiederherstellung nach einem Fehler. Unsere Betriebs- und Versandprotokolle nennen dich nur über Konto- und Projekt-Kennung bzw. die Website-Adresse, nie über deine E-Mail-Adresse. Benachrichtigungen, die uns als Betreiber erreichen (z. B. dein Tarifwunsch oder die Entfernung einer Website), bewahren wir als Geschäftskorrespondenz in unserem Postfach auf.

10. Deine Rechte

Du hast nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Zwei dieser Rechte übst du direkt selbst aus, ohne Anfrage bei uns, in deinem Konto:

• Berichtigung (Art. 16): deine E-Mail-Adresse änderst du dort selbst; die Änderung wird per Bestätigungs-Link an die neue Adresse wirksam.
• Löschung (Art. 17): „Konto löschen“ entfernt Konto, Websites und Messdaten sofort aus der laufenden Datenbank; in den Sicherungskopien wirken sie bis zu 14 Tage nach (Abschnitt 9).

Datenübertragbarkeit (Art. 20): auf Anfrage bekommst du Konto, Websites samt Einstellungen, beobachtete Begriffe, Wettbewerber, Maßnahmenplan, Berichte und Redaktions-Briefe als JSON-Datei, gesendet ausschließlich an die E-Mail-Adresse deines Kontos (Anleitung: Datenexport und Anbieterwechsel).

Für alles Übrige (Auskunft, Einschränkung, Widerspruch) wende dich formlos an die oben genannte E-Mail-Adresse. Außerdem hast du ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde, z. B. der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

11. Kontaktformular

Schreibst du uns über /kontakt, verarbeiten wir deinen Namen (freiwillig), deine E-Mail-Adresse und den Text deiner Nachricht, um die Anfrage zu beantworten (Art. 6 Abs. 1 lit. b DSGVO, bei allgemeinen Anfragen lit. f). Die Nachricht wird einmal als E-Mail an den Verantwortlichen zugestellt und nicht in der Datenbank gespeichert; sie bleibt im Postfach, bis die Anfrage erledigt ist, gesetzliche Aufbewahrungspflichten bleiben unberührt. Zur Missbrauchsbegrenzung zählen wir Anfragen je pseudonymisierter IP-Adresse (SHA-256, wie in Abschnitt 4 beschrieben). Dasselbe gilt für die Vormerkung auf /register, solange die Registrierung geschlossen ist: deine E-Mail-Adresse, freiwillig deine Website-Adresse und ein gewünschter Tarif gehen einmal als E-Mail an den Verantwortlichen, damit wir dich benachrichtigen können, sobald die Registrierung öffnet (Art. 6 Abs. 1 lit. b DSGVO, Vertragsanbahnung). Es entsteht kein Verteiler und kein Datenbankeintrag.