Datenschutzerklärung

1. Verantwortliche Stelle

Verantwortlich im Sinne der DSGVO:

Erle-IT
Inhaber: Lennart Erhard
Obere Bahnhofstraße 9
85604 Zorneding
Tel.: +49 170 466 3188
E-Mail: kontakt@plugthebug.de

Für Fragen zum Datenschutz, Auskunftsersuchen und Widersprüche erreichen Sie uns direkt unter datenschutz@plugthebug.de.

2. Das Wichtigste in Kürze

• Diese Website setzt keine Cookies und speichert nichts in Ihrem Browser.
• Wir verwenden keine Tracking-, Analyse- oder Marketing-Dienste und binden keine Inhalte von Drittanbietern ein (keine externen Schriften, Karten oder Videos).
• Formulardaten werden nicht in einer Datenbank auf der Website gesammelt, sondern per E-Mail an uns übermittelt. Ausnahmen (Bestätigungslinks, Einwilligungsnachweise, Missbrauchsschutz) beschreiben wir unten.

3. Hosting und Server-Logs

Diese Website wird auf einem eigenen Server betrieben, der bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, eingemietet ist. Hetzner stellt ausschließlich die Serverinfrastruktur bereit und ist als Rechenzentrumsdienstleister Auftragsverarbeiter gemäß Art. 28 DSGVO. Der Server steht in Deutschland.

Beim Aufruf der Website übermittelt Ihr Browser automatisch folgende Daten an den Server:

• IP-Adresse des anfragenden Rechners
• Datum und Uhrzeit des Zugriffs
• Name und URL der abgerufenen Datei
• Referrer-URL (zuvor besuchte Website)
• Verwendeter Browser und Betriebssystem

Diese Daten werden in Server-Logfiles gespeichert und nach spätestens 14 Tagen automatisch gelöscht. Formularinhalte werden nicht protokolliert; Fehlerprotokolle der Formulare enthalten keine personenbezogenen Daten. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO (berechtigtes Interesse an Betriebssicherheit und Fehlerdiagnose).

4. SSL-/TLS-Verschlüsselung

Diese Website nutzt aus Sicherheitsgründen und zum Schutz der Übertragung eine SSL-/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers mit „https://“ beginnt.

5. Kontaktformular und E-Mail-Kontakt

Wenn Sie uns über das Kontaktformular oder per E-Mail kontaktieren, verarbeiten wir die von Ihnen übermittelten Daten (Name, Firma, E-Mail-Adresse, Website, optional Telefonnummer, Betreff und Nachricht), um Ihre Anfrage zu bearbeiten. Die Nachricht wird verschlüsselt übertragen und per E-Mail an unser Postfach weitergeleitet (siehe Abschnitt 12); auf der Website selbst wird sie nicht gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO, soweit Ihre Anfrage unsere Leistungen betrifft (vorvertragliche Maßnahmen), sonst Art. 6 Abs. 1 S. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Die Daten werden gelöscht, sobald sie zur Erreichung des Zwecks nicht mehr erforderlich sind, spätestens nach Ablauf gesetzlicher Aufbewahrungsfristen.

Eine automatische Eingangsbestätigung an Sie versenden wir nicht. Haben Sie im Kontaktformular zusätzlich eine Werbe-Einwilligung angehakt, senden wir Ihnen ausschließlich dafür eine Bestätigungsmail ohne den Inhalt Ihrer Nachricht (siehe Abschnitt 10).

6. Prüfanfrage mit Double-Opt-in

Über die Prüfmaske „Website prüfen lassen“ können Sie eine unverbindliche Anfrage stellen. Dabei verarbeiten wir: Website-Adresse, Firma, Name, E-Mail-Adresse, optional Paketwunsch und Telefonnummer sowie die Angabe, welche Zustimmungen und Einwilligungen Sie gesetzt haben.

Nach dem Absenden senden wir Ihnen eine Bestätigungsmail (Double-Opt-in). Sie enthält nur die geprüfte Domain, einen Bestätigungslink und gegebenenfalls den Wortlaut der von Ihnen erteilten Werbe-Einwilligung. Bis zur Bestätigung speichern wir Ihre Angaben in einem geschützten Bereich unseres Servers außerhalb des öffentlichen Webverzeichnisses. Der Link ist 48 Stunden gültig und nur einmal nutzbar. Bestätigen Sie nicht, werden die Angaben nach Ablauf der 48 Stunden gelöscht; es wird dann nichts weitergeleitet und keine Einwilligung gespeichert.

Nach der Bestätigung leiten wir die Anfrage per E-Mail an unser Postfach weiter und legen sie zur Bearbeitung in einer internen Warteschlange auf unserem Server ab. Zusätzlich speichern wir als Nachweis den Zeitpunkt von Anfrage und Bestätigung, Ihre E-Mail-Adresse, die gesetzten Häkchen, die Version des Einwilligungstexts und der AGB sowie Ihre IP-Adresse in pseudonymisierter Form (als HMAC mit einem geheimen Schlüssel, nicht im Klartext).

Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage). Den Nachweis der Bestätigung und der akzeptierten AGB speichern wir auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f DSGVO (berechtigtes Interesse, den Ablauf belegen zu können). Kommt kein Vertrag zustande, löschen wir die Anfragedaten, sobald sie nicht mehr erforderlich sind; zu Einwilligungsnachweisen siehe Abschnitt 10.

7. Schutz vor Missbrauch und Begrenzung der Anfragen

Damit die Formulare nicht automatisiert missbraucht werden, nutzen wir ein für Menschen unsichtbares Feld (Honeypot) und eine Zeitprüfung: Ein kleines Skript merkt sich im Formular, wann die Seite geladen wurde, und verwirft Anfragen, die schneller als in drei Sekunden abgeschickt werden. Dabei wird nichts in Ihrem Browser gespeichert.

Außerdem begrenzen wir die Zahl der Anfragen je IP-Adresse und je geprüfter Domain. Dafür speichern wir Ihre IP-Adresse nicht im Klartext, sondern nur als HMAC-Wert mit einem geheimen, täglich wechselnden Schlüssel. Diese Einträge werden nach 24 Stunden gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit unseres Angebots und an der Abwehr von Missbrauch).

8. Durchführung der Prüfungen und Berichte

Wenn Sie uns beauftragen, rufen wir die von Ihnen benannte Website regelmäßig von außen ab und werten nur öffentlich erreichbare Inhalte und Konfigurationen aus. Dabei können auch personenbezogene Daten verarbeitet werden, die auf der Website öffentlich stehen (zum Beispiel Namen und Kontaktdaten im Impressum). Aus den Ergebnissen erstellen wir Befunde und Berichte, die wir an die vereinbarte E-Mail-Adresse senden.

Die Berichte werden KI-gestützt erstellt; Befunde prüft vor dem Versand ein Mensch. Für die KI-gestützte Auswertung setzen wir folgenden Dienst ein: [FEHLT: KI-Dienst für Prüfy/Meldy, z. B. xAI/Grok – Anbieter, Anschrift, Auftragsverarbeitungsvertrag, Serverstandort].

Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO (Vertragserfüllung). Rechnungen und steuerlich relevante Unterlagen bewahren wir nach Art. 6 Abs. 1 S. 1 lit. c DSGVO im Rahmen der gesetzlichen Aufbewahrungspflichten auf. Berichte und Prüfdaten speichern wir für die Dauer des Vertragsverhältnisses und löschen sie danach, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

9. Hinweis-Mails an Unternehmen

Fallen uns auf einer öffentlich erreichbaren Firmenwebsite erhebliche Sicherheitsbefunde auf, senden wir dem betreibenden Unternehmen einmalig eine Hinweis-Mail ohne Werbung (Versand durch unser Hinweis-System „Meldy“). Die folgenden Informationen geben wir nach Art. 14 DSGVO, weil wir die Daten nicht bei Ihnen selbst erhoben haben.

• Welche Daten: Domain und Name des Unternehmens, die Kontakt-E-Mail-Adresse und gegebenenfalls ein dort genannter Name sowie die Befunde zu der Website.
• Herkunft: Die Adresse stammt aus öffentlich zugänglichen Quellen der geprüften Website selbst, nämlich aus der security.txt (einer Datei, in der Website-Betreiber eine Kontaktadresse für Sicherheitshinweise angeben) oder aus dem Impressum.
• Zweck: einmaliger Hinweis auf erhebliche Sicherheitsbefunde. Auf Ihre Antwort hin prüfen wir die Website kostenlos nach.
• Rechtsgrundlage: Art. 6 Abs. 1 S. 1 lit. f DSGVO. Unser berechtigtes Interesse und das des Unternehmens liegen darin, auf erkennbare Sicherheitsrisiken aufmerksam zu machen, bevor sie ausgenutzt werden.
• Widerspruch: Sie können weiteren Hinweisen jederzeit nach Art. 21 DSGVO widersprechen, per Antwort auf die Hinweis-Mail oder an datenschutz@plugthebug.de. Wir setzen die Domain und die Adresse dann auf eine Sperrliste, damit Sie keine weiteren Hinweise erhalten. Die Sperrliste speichern wir so lange, wie sie für diesen Zweck nötig ist.
• Speicherdauer: [FEHLT: Speicherdauer für Hinweis-Mails und zugehörige Befunde]

Mehr dazu, auch für Empfängerinnen und Empfänger einer solchen Mail: Hinweis-Mail erhalten?

10. Werbung per E-Mail oder Telefon mit Einwilligung

Haben Sie in der Prüfmaske oder im Kontaktformular eine Werbe-Einwilligung angehakt, informieren wir Sie per E-Mail bzw. telefonisch über die PlugTheBug-Prüfpakete, Consulting-Leistungen sowie IT-Sicherheits- und Website-Leistungen von Erle-IT. Die Einwilligung ist freiwillig und keine Voraussetzung für eine Prüfung. Wirksam wird sie erst, wenn Sie den Link in der Bestätigungsmail aufrufen und die Bestätigung absenden (Double-Opt-in).

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 S. 1 lit. a DSGVO in Verbindung mit § 7 UWG. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmeldelink in jeder Werbe-E-Mail oder per Mail an kontakt@plugthebug.de. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Mit dem Widerruf endet die Werbung sofort. Den Nachweis der Einwilligung (Zeitpunkt von Anfrage und Bestätigung, E-Mail-Adresse, Wortlaut-Version „einwilligung-v1“, pseudonymisierte IP-Adresse) und das Datum des Widerrufs bewahren wir danach noch drei Jahre auf, um nachweisen zu können, dass die Werbung rechtmäßig war, und um Ansprüche abwehren zu können. Rechtsgrundlage dafür ist Art. 6 Abs. 1 S. 1 lit. f DSGVO.

11. Werbung an Bestandskunden

Wenn Sie ein kostenpflichtiges Paket buchen, nutzen wir die dabei erhaltene E-Mail-Adresse, um Sie gelegentlich über weitere PlugTheBug-Prüfpakete und Consulting-Leistungen zu informieren (§ 7 Abs. 3 UWG). Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Information bestehender Kunden über ähnliche eigene Leistungen. Sie können dem jederzeit widersprechen, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen: über den Abmeldelink in jeder dieser E-Mails oder per Mail an kontakt@plugthebug.de.

12. E-Mail-Versand über Microsoft 365

Für den Versand und Empfang von E-Mails (Bestätigungsmails, Weiterleitung von Anfragen an unser Postfach, Berichte und Korrespondenz) nutzen wir Microsoft 365 der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Microsoft verarbeitet die Daten als Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO. Eine Übermittlung an die Microsoft Corporation in den USA ist nicht auszuschließen; sie stützt sich auf das EU-US Data Privacy Framework und ergänzend auf Standardvertragsklauseln der EU-Kommission. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO bzw. lit. f DSGVO (berechtigtes Interesse an einer sicheren, zuverlässigen E-Mail-Kommunikation).

13. Ihre Rechte

Sie haben das Recht:

• gemäß Art. 15 DSGVO Auskunft über Ihre von uns verarbeiteten personenbezogenen Daten zu verlangen,
• gemäß Art. 16 DSGVO die Berichtigung unrichtiger oder Vervollständigung Ihrer gespeicherten Daten zu verlangen,
• gemäß Art. 17 DSGVO die Löschung Ihrer bei uns gespeicherten personenbezogenen Daten zu verlangen,
• gemäß Art. 18 DSGVO die Einschränkung der Verarbeitung zu verlangen,
• gemäß Art. 20 DSGVO Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten (Datenportabilität),
• gemäß Art. 7 Abs. 3 DSGVO eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen.

Zur Ausübung Ihrer Rechte wenden Sie sich an: datenschutz@plugthebug.de

14. Widerspruchsrecht nach Art. 21 DSGVO

Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f DSGVO verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einzulegen. Gegen die Verarbeitung zum Zweck der Direktwerbung (auch Bestandskundenwerbung) können Sie jederzeit ohne Angabe von Gründen widersprechen; wir verarbeiten Ihre Daten dann nicht mehr für diesen Zweck. Ein Widerspruch genügt formlos an datenschutz@plugthebug.de.

15. Beschwerderecht bei der Aufsichtsbehörde

Sie haben gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständige Behörde für Bayern ist das:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
Tel.: +49 981 180093-0
Web: www.lda.bayern.de

16. Aktualität dieser Datenschutzerklärung

Diese Datenschutzerklärung hat den Stand November 2026. Wir passen sie an, wenn sich unser Angebot oder die Rechtslage ändert.