Datenschutz

1Wer verantwortlich ist

Verantwortlich im Sinne der DSGVO ist CDTechnology, Inhaber Utku Cem Dogan, Markt 36, 60311 Frankfurt am Main, Deutschland, erreichbar unter cem@cdcapital-group.com. Eine Datenschutzbeauftragte Person ist nicht benannt, weil keine Pflicht dazu besteht (§ 38 BDSG).

2Zwei Rollen: Sie und die geprüfte Website

Sie als Nutzer. Wenn Sie Hullwise nutzen, verarbeiten wir Daten über Sie, etwa die Adresse, die Sie eingeben, und bei einem Konto Ihre E-Mail-Adresse. Darum geht es in dieser Erklärung.

Die geprüfte Website. Beim Scan lesen wir nur, was die Seite jedem Besucher öffentlich ausliefert: Antwort-Header, das ausgelieferte HTML, die JavaScript-Dateien und Stylesheets, die die Seite selbst von derselben Domain einbindet oder nachlädt, Konfigurationsdateien, die ihr Code selbst abruft, die Datei /.well-known/security.txt, das Zertifikat und öffentliche DNS-Einträge. Wir suchen dort nicht nach Personen. Steht im HTML oder in einer JavaScript-Datei ein Muster, das nach einem Schlüssel aussieht, nennen wir Art und Fundstelle und zeigen den Wert nur gekürzt, also den Anfang und die letzten Zeichen, etwa sk_live_…9f2A. Nur diese gekürzte Form steht im Bericht und im Verlauf. Den vollständigen Wert speichern wir nie. Enthält eine öffentliche Seite zufällig personenbezogene Daten, verarbeiten wir sie nur flüchtig beim Lesen auf Grundlage unseres berechtigten Interesses an einem funktionierenden Sicherheits-Check (Art. 6 Abs. 1 lit. f DSGVO).

3Wo Ihre Daten verarbeitet werden

Die Serverfunktionen von Hullwise, also Scans, API, MCP-Server, Anmeldung und Kasse, laufen bei Vercel in der Region Frankfurt am Main (fra1). Die Datenbank liegt bei Supabase ebenfalls in Frankfurt am Main. Statische Teile der Website liefert Vercel über sein weltweites Netz aus, in der Regel vom Standort, der Ihnen am nächsten ist.

Vercel und Resend haben ihren Sitz in den USA, unser Vertragspartner bei Supabase ist die Supabase Pte. Ltd. in Singapur. Auch wenn die Daten in Frankfurt liegen, ist ein Zugriff aus diesen Ländern, etwa für Wartung und Support, nicht ausgeschlossen. Wie wir das absichern, steht im Abschnitt Dienstleister.

4Was wir ohne Konto verarbeiten

• Die eingegebene Adresse. Wir brauchen sie, um den Scan auszuführen. Ohne Konto speichern wir weder Adresse noch Ergebnis.
• Ihre IP-Adresse für das Limit. Damit niemand den Scan missbraucht, zählen wir Scans je IP-Adresse. Genauso begrenzen wir Versuche, einen Zugangscode einzulösen. Die Zähler liegen nur im Arbeitsspeicher und verfallen nach einer Stunde.
• Technische Protokolle beim Hosting. Wie jeder Webserver protokolliert Vercel Anfragen: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode und Browser-Kennung. Die Protokolle dienen der Fehlersuche und der Abwehr von Angriffen. Vercel bewahrt diese Laufzeitprotokolle nach eigenen Vorgaben auf, derzeit je nach Tarif eine Stunde bis einen Tag, mit dem Zusatz „Observability Plus“ bis zu 30 Tage (Quelle: Vercel-Dokumentation „Runtime Logs“, Stand 28. August 2026).

5Was wir mit Konto speichern

• E-Mail-Adresse für die Anmeldung per E-Mail-Link und für Benachrichtigungen.
• Verlauf: geprüfte Domain, Note, Punkte, Bericht, Zeitpunkt und ob der Scan über Website, API, MCP oder die Überwachung kam. Gefundene Schlüssel stehen im Bericht nur gekürzt, nie mit vollständigem Wert.
• Überwachung in Business: die Domains, die Sie überwachen lassen, mit letzter Note und letztem Prüfzeitpunkt.
• Gekaufte Einzelberichte: die E-Mail-Adresse aus der Kasse und, falls vorhanden, Ihr Konto, die Domain, die Kennung des Bezahlvorgangs bei Stripe, Kaufzeitpunkt, der private Link und der vollständige Bericht zum Zeitpunkt des Scans (gefundene Schlüssel nur gekürzt).
• „Apps finden“ in Business: die Domain und der Firmenname, die Sie eingeben, und die gefundenen Adressen mit Hoster, DNS-Einträgen, Erreichbarkeit und Datum des letzten Zertifikats. Einzelheiten im nächsten Abschnitt.
• API-Schlüssel: nur als SHA-256-Hash, dazu Name, Anfang des Schlüssels und letzte Nutzung. Den Schlüssel selbst zeigen wir Ihnen nur einmal.
• Audit-Bestellungen: Domain, E-Mail-Adresse, Kennung des Bezahlvorgangs und Bearbeitungsstand, dazu die Abstimmung und der Bericht zum Audit.
• Paket und Kundennummer bei Stripe, damit wir Ihr Abo und Ihre Käufe zuordnen können.

6„Apps finden“

Mit „Apps finden“ suchen Sie in Business nach Subdomains Ihres Unternehmens, die Sie vielleicht nicht kennen. Dafür fragen wir crt.sh mit der Domain ab, die Sie eingeben. crt.sh durchsucht die öffentlichen Certificate-Transparency-Logs, in denen jedes öffentlich ausgestellte Zertifikat steht. Ist ein eigener Schlüssel für CertSpotter (SSLMate) eingerichtet, kann ersatzweise dieser Dienst mit derselben Domain abgefragt werden.

Für die gefundenen Namen und wenige Namensvarianten Ihres Firmennamens auf bekannten Plattformen lesen wir öffentliche DNS-Einträge und rufen je Adresse einmal die Startseite ab. Interne Adressen rufen wir nie ab. Die Ergebnisse speichern wir in Ihrem Konto. Ihre E-Mail-Adresse oder andere Daten über Sie geben wir an crt.sh nicht weiter.

7Bericht als PDF

Laden Sie einen Bericht als PDF herunter, erzeugen wir die Datei aus demselben Bericht, den Sie gerade sehen. Die PDF enthält nur Inhalte, die Sie auch im Browser sehen dürfen, gefundene Schlüssel also nur gekürzt. Für die PDF selbst legen wir keine zusätzlichen Daten über Sie an.

8Öffentliche Datenquellen

Um Befunde einzuordnen, fragen wir öffentliche Datenbanken ab. Diese Dienste sind keine Auftragsverarbeiter, weil sie keine Daten in unserem Auftrag verarbeiten. Wir übermitteln nur, was in der Tabelle steht, und nie Ihre IP-Adresse, E-Mail-Adresse oder Kontodaten. Die Anfragen kommen von unseren Servern.

9Warum wir das dürfen

• Scan, Konto, Einzelbericht, Business mit „Apps finden“, Enterprise und Security Audit: zur Erfüllung des Vertrags mit Ihnen und zur Durchführung vorvertraglicher Schritte, Art. 6 Abs. 1 lit. b DSGVO.
• Limits je IP-Adresse, Hosting-Protokolle, Schutz vor Missbrauch und Sicherheit des Dienstes: berechtigtes Interesse an einem sicheren und stabilen Betrieb, Art. 6 Abs. 1 lit. f DSGVO.
• Aufbewahrung von Rechnungen und Buchungsbelegen: rechtliche Pflicht, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB.
• Speichern und Auslesen von Cookies und lokalem Speicher auf Ihrem Gerät: ohne Einwilligung zulässig, weil es unbedingt erforderlich ist, um den von Ihnen ausdrücklich gewünschten Dienst bereitzustellen, § 25 Abs. 2 Nr. 2 TDDDG. Die anschließende Verarbeitung stützen wir auf Art. 6 Abs. 1 lit. b oder f DSGVO.

10Dienstleister

Diese Dienstleister helfen uns, Hullwise zu betreiben.

Vercel, Supabase und Resend verarbeiten Daten nur in unserem Auftrag. Mit ihnen bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Soweit Daten in die USA gelangen, stützen wir uns auf das EU-US Data Privacy Framework, wenn der Anbieter danach zertifiziert ist (Art. 45 DSGVO), und sonst auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Für Supabase gelten die Standardvertragsklauseln aus dem Auftragsverarbeitungsvertrag von Supabase.

Stripe verarbeitet Zahlungsdaten teils in unserem Auftrag und teils als eigener Verantwortlicher, etwa zur Betrugsabwehr und für gesetzliche Pflichten als Zahlungsdienstleister. Dafür gilt auch die Datenschutzerklärung von Stripe. Die Kasse ist eine Seite von Stripe. Cookies, die Stripe dort setzt, verantwortet Stripe.

11Cookies und lokaler Speicher

Wir speichern auf Ihrem Gerät nur, was für den Dienst unbedingt nötig ist. Wir nutzen keine Cookies für Analyse oder Werbung und binden keine Tracking-Dienste ein. Deshalb fragen wir auch nicht nach einer Einwilligung.

Alle Cookies gelten nur für Hullwise selbst und werden nicht an Dritte übermittelt. Die Cookies von Hullwise (sc_…) sind für Skripte im Browser nicht lesbar.

12Wie lange wir speichern

• Scan ohne Konto: kein Speichern von Adresse oder Ergebnis. Die Zähler für Limits verfallen nach einer Stunde.
• Hosting-Protokolle: nach den Vorgaben von Vercel, siehe oben.
• Kontodaten, Verlauf, überwachte Domains, Ergebnisse von „Apps finden“, Freischaltungen und Schlüssel: bis Sie Ihr Konto löschen lassen. Eine Domain, die Sie aus der Überwachung entfernen, wird dort nicht weiter gespeichert.
• Audit: Zugangsdaten, die Sie uns für die Prüfung geben, löschen wir nach Abschluss. Bericht und Korrespondenz bewahren wir auf, solange Handels- und Steuerrecht es verlangen.
• Rechnungen und Buchungsbelege: so lange, wie das Handels- und Steuerrecht es verlangt, in der Regel acht oder zehn Jahre.

13Pflicht zur Angabe und automatisierte Entscheidungen

Sie müssen uns keine Daten geben. Ohne E-Mail-Adresse können Sie aber kein Konto nutzen, und ohne Rechnungsangaben können wir keine bezahlte Leistung abrechnen. Die Note eines Scans ist eine automatische Bewertung der geprüften Website, keine Entscheidung über Sie im Sinne von Art. 22 DSGVO.

14Ihre Rechte

Sie haben das Recht auf:

• Auskunft über Ihre Daten (Art. 15 DSGVO)
• Berichtigung (Art. 16) und Löschung (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen Verarbeitungen aus berechtigtem Interesse (Art. 21)
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77), zum Beispiel bei der für uns zuständigen Behörde: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Wiesbaden

Schreiben Sie uns dafür an cem@cdcapital-group.com.

15Änderungen

Ändert sich, wie wir Daten verarbeiten, passen wir diese Erklärung an. Das Datum oben zeigt den Stand. Wie wir prüfen, steht unter So prüfen wir.