Datenschutzerklärung

1. Verantwortlicher

2. Das Wichtigste in Kürze

• Keine Cookies, kein Tracking, keine Werbe- oder Analyse-Dienste Dritter, kein Benutzerkonto.
• Ihre Prüf-Eingaben (Domains, IP-Adressen, E-Mail-Header) werden nur für die angeforderte Prüfung verarbeitet. Wir legen keine Datenbank Ihrer Eingaben oder Ergebnisse an.
• Domains und IP-Adressen stehen allerdings als Teil der aufgerufenen Adresse im Server-Logfile, das nach spätestens 15 Tagen gelöscht wird (Abschnitt 4).
• Der Server steht in Deutschland (Hetzner). Ausgeliefert wird die Website über das Netzwerk von Cloudflare; für einzelne Prüfungen werden weitere Dienste kontaktiert (Abschnitte 3 und 5).

3. Hosting und Auslieferung

Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen): Der Server, auf dem maildiag.de und alle Prüfungen laufen, steht in einem Rechenzentrum der Hetzner Online GmbH in Deutschland. Hetzner verarbeitet die Daten als Auftragsverarbeiter.

Cloudflare (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA): Alle Aufrufe von maildiag.de laufen über das Content-Delivery-Netzwerk von Cloudflare, das die Seiten ausliefert und vor Angriffen schützt. Dabei verarbeitet Cloudflare technisch notwendige Verbindungsdaten wie Ihre IP-Adresse, die aufgerufene Adresse und Browser-Angaben (User-Agent). Eine Verarbeitung in den USA ist möglich; Cloudflare ist nach dem EU-U.S. Data Privacy Framework zertifiziert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und schnellen Auslieferung). Datenschutzerklärung: cloudflare.com/privacypolicy.

4. Server-Logfiles und Zugriffsstatistik

Bei jedem Aufruf speichert unser Webserver (nginx) im Zugriffslog:

• IP-Adresse des Besuchers
• Datum und Uhrzeit des Zugriffs
• Aufgerufene Adresse (URL) und HTTP-Statuscode – bei Prüfungen enthält die URL die eingegebene Domain bzw. IP-Adresse, z. B. /api/lookup/spf/beispiel.de
• Übertragene Datenmenge, Referrer und User-Agent

Eingefügte E-Mail-Header und Inhalte des Kontaktformulars werden per POST übertragen und stehen nicht im Log. Das Zugriffslog wird täglich rotiert und nach spätestens 15 Tagen automatisch gelöscht. Es dient dem Betrieb, der Fehlersuche und der Abwehr von Missbrauch.

Aus dem Log erstellen wir mit GoAccess eine Zugriffsstatistik, lokal auf unserem Server und ohne Übermittlung an Dritte. Vor der Auswertung werden das letzte Oktett der IP-Adresse entfernt sowie eingegebene Domains, IP-Adressen und URL-Parameter aus den Adressen gelöscht. Die gekürzte IP-Adresse wird mit der lokal gespeicherten GeoLite2-Datenbank von MaxMind nur dem Land bzw. der ungefähren Region zugeordnet. Die Statistik enthält ausschließlich zusammengefasste Werte.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betrieb, Sicherheit und Verbesserung des Dienstes).

5. Verarbeitung bei den Prüfungen

Ihre Eingaben werden im Arbeitsspeicher des Servers verarbeitet und nach der Antwort verworfen; DNS-Antworten werden höchstens fünf Minuten zwischengespeichert. Für die Prüfungen nimmt unser Server – nicht Ihr Browser – Kontakt zu folgenden Stellen auf:

• DNS-Abfragen über Cloudflare (1.1.1.1, DNS-over-HTTPS): für alle DNS-basierten Prüfungen einschließlich BIMI. Übermittelt wird der abgefragte DNS-Name, beim Blacklist-Check und bei IP-Adressen aus E-Mail-Headern also auch die geprüfte IP-Adresse (in umgekehrter Schreibweise). Ihre eigene IP-Adresse wird dabei nicht übermittelt.
• Betreiber der Blacklists (u. a. Barracuda, SpamCop, UCEPROTECT, Mailspike): erhalten über den Cloudflare-Resolver die geprüfte IP-Adresse, nicht Ihre eigene.
• Server der geprüften Domain: Für MTA-STS, TLS-, DANE- und Ghost-Sender-Prüfungen verbindet sich unser Server mit dem Web- bzw. Mailserver der eingegebenen Domain. Bei der Ghost-Sender-Prüfung wird eine SMTP-Verbindung bis zum Schritt „RCPT TO“ aufgebaut und danach ohne Versand einer E-Mail beendet; verwendet werden nur feste Test-Angaben, keine Daten von Ihnen.
• Microsoft (login.microsoftonline.com; Microsoft Corporation, Redmond, USA): beim Microsoft-365-Check für die Tenant-Verfügbarkeitsprüfung und – wenn Sie „Tenant über Microsoft ermitteln“ aktivieren – zur Abfrage von Tenant-Name und -ID. Übermittelt werden nur der Domain- bzw. Tenant-Name und ggf. der feste Platzhalter user@<domain>. Datenschutzerklärung: privacy.microsoft.com.

Eingefügte E-Mail-Header können personenbezogene Daten enthalten (z. B. E-Mail-Adressen, Namen, IP-Adressen). Sie werden nur für die Analyse verarbeitet und nicht gespeichert. Bitte fügen Sie nur Header ein, zu deren Weitergabe Sie berechtigt sind.

Logos im BIMI-Check: Ist für eine Domain ein BIMI-Logo hinterlegt, lädt Ihr Browser das Logo direkt von der im DNS-Eintrag angegebenen Adresse. Der Betreiber dieses Servers erhält dabei Ihre IP-Adresse und Browser-Angaben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Durchführung der von Ihnen angeforderten Prüfung).

6. Standortabfrage in der Header-Analyse (ipinfo.io, nur auf Klick)

In der Header-Analyse können Sie über die Schaltfläche „Standorte nachschlagen“ Land, Ort und Netzbetreiber der Server in der Zustellkette anzeigen lassen. Erst wenn Sie klicken, sendet Ihr Browser die IP-Adressen aus den Headern direkt an ipinfo.io (IPinfo, USA); dabei erhält IPinfo auch Ihre eigene IP-Adresse und Browser-Angaben. Eine Verarbeitung in den USA findet statt. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie durch den Klick erteilen und jederzeit für die Zukunft widerrufen können, indem Sie die Funktion nicht mehr nutzen. Ohne Klick findet keine Übermittlung an ipinfo.io statt. Datenschutzerklärung: ipinfo.io/privacy-policy.

7. Kontaktformular

Wenn Sie uns über das Kontaktformular schreiben, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, den gewählten Betreff und Ihre Nachricht, um Ihre Anfrage zu beantworten. Die Angaben werden nicht auf dem Webserver gespeichert, sondern als E-Mail an unser Postfach bei Microsoft 365 (Exchange Online) zugestellt und dort bis zur abschließenden Bearbeitung aufbewahrt, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Microsoft verarbeitet die Daten als Auftragsverarbeiter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf einen Vertrag zielt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Cloudflare Turnstile: Zum Schutz vor Spam und Missbrauch lädt die Kontaktseite den Dienst Turnstile von Cloudflare (Anbieter siehe Abschnitt 3); beim Ghost-Sender-Test wird Turnstile erst geladen, wenn Sie das Häkchen für die aktive Prüfung setzen. Dabei können IP-Adresse, Browser-Angaben und Merkmale der Interaktion verarbeitet werden. Turnstile setzt nach Angaben von Cloudflare keine Tracking-Cookies und erstellt keine Werbeprofile. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor Missbrauch).

8. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
• Recht, eine erteilte Einwilligung jederzeit für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte wenden Sie sich an [email protected].

Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Die für uns zuständige Aufsichtsbehörde ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit.