Datenschutzerklärung
Hier erfährst du, welche personenbezogenen Daten bytereport verarbeitet, wofür, auf welcher Rechtsgrundlage und wie lange. Kurz gesagt: bytereport prüft öffentlich abrufbare Angaben von Domains und Websites. Inhalte von Testmails speichern wir nie. Wir setzen keine Tracking- oder Werbe-Cookies und geben keine Daten zu Werbezwecken weiter. Die Reichweite messen wir mit einer selbst betriebenen Statistik ohne Cookies und ohne Weitergabe an Dritte.
Verantwortlicher
bytepark GmbH
Friedrichstraße 155
10117 Berlin
E-Mail: support@bytereport.eu
Handelsregister: Amtsgericht Charlottenburg, HRB 94433 B
Geschäftsführer: Florian Batschi und Paul Nitsche
Datenschutzanfragen richte an datenschutz@bytereport.eu.
Überblick
Wir verarbeiten nur die Daten, die für die Reports und den sicheren Betrieb nötig sind:
- Kontodaten: Name, E-Mail-Adresse, Rolle, Sprache, Plan und die Daten zur Anmeldung.
- Prüfziele und Ergebnisse: die Domains, Hosts und Adressen, die du prüfen lässt, und die Befunde der Reports. Bei der AI-Sichtbarkeit kommen deine Projekte mit Marke, Wettbewerbern, Prompts und Keywords hinzu.
- Testmails und Mail-Quelltexte: nur die technischen Angaben, die der Report braucht, nie Inhalt, Betreff oder Empfänger.
- Nutzungs- und Metadaten: Zeitpunkte von Anmeldungen und Reports, genutzte Kontingente und verbrauchte Credits.
- Zugriffsdaten: technische Angaben zu Seitenaufrufen in den Server-Protokollen.
Betroffen sind Nutzerinnen und Nutzer mit Konto, Besucherinnen und Besucher, die ohne Konto prüfen, und Personen, deren Angaben öffentlich in einer geprüften Domain oder Website stehen, etwa als Kontaktadresse in einer security.txt.
Rechtsgrundlagen
Wir verarbeiten Daten auf Grundlage der Datenschutz-Grundverordnung (DSGVO). In den folgenden Abschnitten nennen wir zu jeder Verarbeitung die Rechtsgrundlage:
- Vertrag (Art. 6 Abs. 1 lit. b DSGVO): Bereitstellung deines Kontos, der Reports, Zeitpläne und bezahlten Pläne.
- Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): sicherer und stabiler Betrieb, Schutz vor Missbrauch und Reports ohne Konto. Das gilt auch für Angaben Dritter, die öffentlich in einer geprüften Domain oder Website stehen: Wir lesen sie nur, soweit der Report sie braucht.
- Rechtliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO), etwa Aufbewahrungspflichten.
Sicherheit und Verschlüsselung
Die Verbindung zu bytereport ist per TLS verschlüsselt (erkennbar an „https“ in der Adresszeile). Darüber hinaus gilt:
- Dein Passwort verlässt dein Gerät nie, auch nicht verschlüsselt. Die Anmeldung nutzt ein Verfahren (OPAQUE), bei dem der Server das Passwort nicht erfährt.
- Name und E-Mail-Adresse speichern wir verschlüsselt. Alle weiteren schützenswerten Angaben auf dem Server, etwa Schlüssel für Bestätigungscodes, Zugänge zu Postfächern und Anbietern und ausgehende E-Mails, sind mit einem Schlüssel versiegelt, der nicht in der Datenbank liegt.
- Schriften, Skripte und Bilder kommen von unserem eigenen Server. Es gibt keine externen Inhalte, keine Zählskripte und keine Tracking-Pixel, auch nicht in unseren E-Mails.
- Prüfungen erreichen nur öffentliche Adressen im Internet, nie interne Netze.
Konto und Anmeldung
Für ein Konto verarbeiten wir Name, E-Mail-Adresse, Sprache, Plan und die Daten zur Anmeldung. Die E-Mail-Adresse bestätigst du mit einem Link oder Code, der 24 Stunden gilt. Unbestätigte Konten löschen wir nach sieben Tagen.
Richtest du Passkeys ein, speichern wir den öffentlichen Teil des Passkeys mit den technischen Angaben deines Authentifikators, den Namen, den du ihm gibst, und den Zeitpunkt der letzten Nutzung. Biometrische Daten wie Fingerabdruck oder Gesicht verlassen dein Gerät nicht. Für Codes aus einer Authenticator-App speichern wir einen versiegelten Schlüssel, Wiederherstellungscodes nur als Prüfwert. Codes per E-Mail gelten zehn Minuten und liegen nur im Arbeitsspeicher.
Für jede Anmeldung speichern wir eine Sitzung mit Zeitpunkt und Anmeldeart, ohne IP-Adresse oder Angaben zum Gerät. Unter Konto → Sicherheit kannst du dich auf allen anderen Geräten abmelden.
Lädt dich eine Administratorin oder ein Administrator ein, speichern wir Name und E-Mail-Adresse für die Einladung. Sie gilt sieben Tage.
Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO).
Anmeldung per Single Sign-on
Organisationen können bytereport mit ihrem Identity Provider verbinden, etwa Microsoft Entra ID, Google Workspace oder Okta (Firmen-Login per SAML). Du meldest dich dann direkt bei deinem Identity Provider an. Das Passwort, das du dort eingibst, sehen und speichern wir nicht.
Nach der Anmeldung schickt uns der Identity Provider eine signierte Bestätigung mit deiner E-Mail-Adresse und, je nach Einrichtung, deinem Namen. Welche Angaben er übermittelt, legt deine Organisation fest. Wir prüfen, ob die Adresse zu einer Domain der Organisation gehört. Je nach Einstellung legen wir bei der ersten Anmeldung automatisch ein Konto an und übernehmen einen geänderten Namen bei späteren Anmeldungen. Der Identity Provider erhält keinen Zugriff auf deine Reports.
Für die Verarbeitung beim Identity Provider ist deine Organisation verantwortlich. Möchtest du den Firmen-Login nicht mehr nutzen, wende dich an sie.
Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO) sowie berechtigtes Interesse deiner Organisation und von uns an einer sicheren, zentral verwalteten Anmeldung (Art. 6 Abs. 1 lit. f DSGVO).
Reports und Prüfungen
Für einen Report verarbeiten wir das Prüfziel (eine Domain, einen Host oder eine Adresse), die gewählten Reports und Optionen und die Befunde. Die Prüfungen lesen nur, was öffentlich abrufbar ist: DNS-Einträge, die Antworten von Web- und Mailservern, robots.txt, Sitemap, security.txt und die Seiten der Website. Dabei können Angaben Dritter anfallen, etwa eine Kontaktadresse in der security.txt. Wir speichern davon nur, was der Befund braucht: von HTTP-Headern höchstens 300 Zeichen, von Cookies nur die Namen, aus der security.txt nur Pfad, erste Kontaktangabe und Ablaufdatum.
Für den E-Mail-Check fragen wir die Domain und die Adressen ihrer Mailserver bei DNS-Sperrlisten ab, etwa UCEPROTECT und URIBL. Die Abfragen laufen über unseren eigenen DNS-Resolver, die Betreiber der Listen sehen also nur unseren Server, nicht dich. Zu den Mailservern der Domain bauen wir eine Verbindung auf, um Erreichbarkeit und Verschlüsselung zu prüfen. Eine E-Mail senden wir dabei nicht.
Mit Konto kann der Barrierefreiheits-Check die Seiten zusätzlich in einem Browser ohne Bildschirm öffnen. Er lädt sie wie ein gewöhnlicher Besuch, also auch Inhalte, die die Seite von Dritten einbindet. Bildschirmfotos speichern wir dabei nicht.
Der Consent-Check öffnet die gewählten Seiten der geprüften Website dreimal in einem solchen Browser: ohne Klick, nach „Ablehnen“ und nach „Alle akzeptieren“ in ihrem Cookie-Banner. Er speichert die Namen und Domains der Cookies und Storage-Einträge (keine Werte), die Hosts der geladenen Drittanbieter, die geprüften Adressen und ein Bildschirmfoto der Startseite, wie sie beim ersten Aufruf erscheint. Den Text der Datenschutzerklärung der geprüften Website liest er nur, um die Namen von Diensten darin zu finden, und speichert ihn nicht.
Reports im Konto bewahren wir so lange auf, wie dein Plan vorsieht (wie lange, steht auf der Preisseite), und löschen sie danach automatisch. Du kannst sie jederzeit selbst löschen und unter Konto → Übersicht als JSON exportieren. Zeitpläne starten Reports regelmäßig und benachrichtigen nur die E-Mail-Adresse deines Kontos.
Teilst du einen Report per Link, kann ihn jede Person mit diesem Link sehen, höchstens 30 Tage lang. Du kannst den Link jederzeit zurückziehen.
Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO). Angaben Dritter verarbeiten wir im berechtigten Interesse an einem vollständigen technischen Report (Art. 6 Abs. 1 lit. f DSGVO).
Reports ohne Konto
Ohne Konto kannst du einzelne Reports erstellen. Damit du sie wiederfindest, setzen wir ein Cookie mit einer Zufallskennung, bei uns liegt davon nur ein Prüfwert. Um die Zahl der Reports je Stunde zu begrenzen, zählen wir sie je IP-Adresse. Dafür speichern wir nicht die IP-Adresse, sondern einen mit einem geheimen Schlüssel gebildeten Prüfwert, aus dem sie sich nicht zurückrechnen lässt. Diese Zähler löschen wir nach 48 Stunden.
Reports ohne Konto löschen wir nach sieben Tagen. Meldest du dich vorher an, übernehmen wir sie in dein Konto.
Rechtsgrundlage: berechtigtes Interesse an einem frei nutzbaren Angebot, das vor Missbrauch geschützt ist (Art. 6 Abs. 1 lit. f DSGVO).
Testmails und Mail-Quelltext
Für einen Testmail-Report schickst du eine E-Mail an eine Adresse mit einem Code, den dir die Seite nennt. Der Code gilt 30 Minuten. Wir ordnen eine eingehende E-Mail nur einem gültigen, wartenden Code zu, sonst keinem Report.
Wir holen jede E-Mail sofort aus dem Postfach und löschen sie dort, ob sie zugeordnet wurde oder nicht. Bis der Report fertig ist, liegt sie nur im Arbeitsspeicher, gespeichert wird sie nie. Der Report enthält nur technische Angaben: die Domains von Absender und Return-Path, die Ergebnisse von SPF, DKIM und DMARC, den Weg über die Mailserver, die Größe und die Hosts von Linkverkürzern. Empfängeradressen, Betreff und Inhalt speichern wir nicht. Den Vorgang zum Code (Adresse, Status und Zeitpunkte) löschen wir nach 30 Tagen.
Einen eingefügten Mail-Quelltext behandeln wir genauso: Er liegt nur im Arbeitsspeicher, bis der Report fertig ist, und der Report enthält nur die genannten technischen Angaben.
Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO).
AI-Sichtbarkeit
Der Check AI-Sichtbarkeit fragt Sprachmodelle und Suchmaschinen, was sie über eine Website wissen. Dazu schicken wir an die Anbieter, die wir freigeschaltet haben:
- Sprachmodelle (OpenAI, Anthropic, Google Gemini, Perplexity, Mistral): die Prompts mit Marke und Domain. Zur Auswertung gehen die Antworten mit deinem Faktenblatt an ein Modell, für Vorschläge Titel, Beschreibung und Überschriften der Startseite, die Wettbewerber und die vorhandenen Prompts.
- Suchanbieter (DataForSEO, SerpApi): die Keywords mit Land, Sprache und Gerätetyp.
Ohne Konto fragen wir nur, was ein Modell über den eingegebenen Host weiß. Angaben zu deiner Person oder deinem Konto schicken wir nicht mit, die Anbieter sehen als Absender nur unseren Server.
Gleiche Fragen beantworten wir eine Zeit lang aus einem Zwischenspeicher, damit sie nicht erneut bezahlt werden: höchstens sieben Tage, mit Websuche 24 Stunden. Im Report bleiben Prompt, Antwort (höchstens 4.000 Zeichen) und Quellen. Antworten können Aussagen über Dritte enthalten, etwa über Personen hinter einer Marke. Für die Abrechnung der Credits speichern wir je Anfrage Anbieter, Modell, Tokens und Kosten, ohne Text, und löschen diese Einträge nach 13 Monaten. Projekte bleiben, bis du sie oder dein Konto löschst.
Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO), ohne Konto berechtigtes Interesse an einem frei nutzbaren Angebot (Art. 6 Abs. 1 lit. f DSGVO).
AI-Zusammenfassung
Auf Wunsch erklärt ein Sprachmodell einen Report in einfachen Worten. Erst wenn du auf „Zusammenfassung erstellen“ klickst, schicken wir die Befunde genau dieses Reports an den Anbieter, den wir dafür gewählt haben (einer von OpenAI, Anthropic, Google Gemini oder Mistral):
- Art des Reports, geprüfte Domain oder Adresse, Zeitpunkt und Scores,
- die Fehler, Warnungen und Hinweise mit Titel, gefundenem Wert (etwa einem DNS-Eintrag) und unserem Vorschlag, gekürzt,
- Anzahl und Titel der bestandenen Prüfungen.
Nicht dabei sind dein Name, deine E-Mail-Adresse, dein Konto, deine Organisation, dein Plan, andere Reports, Inhalt und Empfänger einer Testmail. E-Mail-Adressen in Befunden kürzen wir vorher auf ihre Domain. Jede Zusammenfassung ist eine eigene Anfrage ohne Werkzeuge und ohne beim Anbieter gespeicherten Verlauf.
Die Antwort speichern wir am Report; sie wird mit ihm gelöscht. Für Kontingent und Abrechnung speichern wir je Anfrage Anbieter, Modell, Tokens und Kosten, ohne Text, und löschen diese Einträge nach 13 Monaten. Ob eine Zusammenfassung hilfreich war, sieht nur die Administration.
Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO), ohne Konto berechtigtes Interesse an einem frei nutzbaren Angebot (Art. 6 Abs. 1 lit. f DSGVO).
DNS-Abfragen über öffentliche Resolver
Die DNS-Einträge einer geprüften Domain fragen wir über unseren eigenen Resolver ab. Antwortet er nicht oder meldet einen Fehler, etwa weil die Nameserver der Domain zeitweise nicht erreichbar sind, fragen wir dieselben Einträge über öffentliche Resolver ab: Cloudflare (1.1.1.1), Quad9 (9.9.9.9) und Google Public DNS (8.8.8.8). Sie erfahren dann die Namen, nach denen wir fragen, also die geprüfte Domain und ihre Mailserver. Angaben zu dir schicken wir nicht mit, die Anbieter sehen als Absender nur unseren Server. Blocklisten fragen wir nie über diese Resolver.
Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO), ohne Konto berechtigtes Interesse an einem frei nutzbaren Angebot (Art. 6 Abs. 1 lit. f DSGVO).
Core Web Vitals von Google
Ist die Messung der Core Web Vitals eingeschaltet, schickt der Performance-Check die Adresse der geprüften Startseite an die PageSpeed Insights API von Google. Google ruft die Seite auf und liefert Messwerte aus dem Chrome-Nutzerbericht zurück. Angaben zu dir schicken wir nicht mit, Google sieht als Absender nur unseren Server. Weitere Informationen findest du in der Datenschutzerklärung von Google.
Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO), ohne Konto berechtigtes Interesse an einem frei nutzbaren Angebot (Art. 6 Abs. 1 lit. f DSGVO).
Zahlungen
Bezahlte Pläne wickelt Stripe ab (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland). Beim ersten Kauf übermitteln wir Stripe deine E-Mail-Adresse, die Kennung deines Kontos und den gewählten Plan. Zahlungsdaten gibst du direkt bei Stripe ein, sie erreichen unsere Server nicht. Wir speichern nur die Kennungen von Kunde und Abo bei Stripe, den Plan, den Status und das Ende des Abrechnungszeitraums. Weitere Informationen findest du in der Datenschutzerklärung von Stripe.
Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO) und, für die Aufbewahrung von Buchungsbelegen, rechtliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO).
API-Token
Legst du ein API-Token an, speichern wir seinen Namen, einen Prüfwert des Tokens und die Zeitpunkte der Erstellung und der letzten Nutzung. Das Token selbst zeigen wir nur einmal an.
Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO).
E-Mail-Versand und -Hosting
Wir versenden ausschließlich E-Mails, die zur Nutzung gehören: Bestätigungscodes und -links, Einladungen, Sicherheitshinweise und Benachrichtigungen über Reports aus Zeitplänen. Einen Newsletter gibt es nicht.
Die Hosting-Leistungen, die wir nutzen, umfassen auch Versand, Empfang und Speicherung von E-Mails, darunter das Postfach für Testmails. Dabei werden die Adressen von Absender und Empfänger, der Inhalt und technische Angaben zum Versand verarbeitet, etwa die beteiligten Mailserver und der Zustellstatus. Diese Daten können auch genutzt werden, um Spam zu erkennen. Bis eine E-Mail zugestellt ist, liegt sie versiegelt in unserer Warteschlange. Gelingt die Zustellung nicht, versuchen wir es bis zu einen Tag lang erneut. Wir protokollieren nur die Art der E-Mail und gegebenenfalls die Fehlerursache, nie Empfänger, Betreff oder Inhalt.
E-Mails sind auf dem Transportweg in der Regel per TLS verschlüsselt, auf den Servern, über die sie versendet und empfangen werden, aber nicht. Sie sind also nicht Ende-zu-Ende-verschlüsselt. Für den Weg zwischen deinem Mailserver und unserem können wir keine Verantwortung übernehmen.
Schreibst du uns, verarbeiten wir deine Angaben, um deine Anfrage zu beantworten.
Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO) für E-Mails, die zur Nutzung gehören, und für Anfragen dazu. Im Übrigen berechtigtes Interesse an einer zuverlässigen und sicheren Kommunikation (Art. 6 Abs. 1 lit. f DSGVO).
Hosting
bytereport läuft auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in Rechenzentren in Deutschland. Hetzner stellt uns Speicherplatz, Rechenkapazität und Netzwerk bereit und verarbeitet die Daten dabei in unserem Auftrag. Mit Hetzner haben wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Weitere Informationen findest du in der Datenschutzerklärung von Hetzner.
Namen, E-Mail-Adressen und Zugangsdaten liegen auf den Servern und in den Datensicherungen nur verschlüsselt vor. Die Datenbank sichern wir täglich und bewahren die letzten sieben Sicherungen auf.
Rechtsgrundlage: berechtigtes Interesse an einem zuverlässigen, sicheren Betrieb in Deutschland (Art. 6 Abs. 1 lit. f DSGVO).
Server-Protokolle und Missbrauchsschutz
Bei jedem Aufruf übermittelt dein Browser technische Angaben an unseren Server. Der vorgeschaltete Webserver protokolliert sie in Server-Logfiles: Zeitpunkt, aufgerufene Adresse, Statuscode, übertragene Datenmenge, IP-Adresse, Browser und Betriebssystem sowie gegebenenfalls die zuvor besuchte Seite (Referrer).
Die Anwendung selbst protokolliert keine Seitenaufrufe mit IP-Adressen. Sie vermerkt IP-Adressen nur bei sicherheitsrelevanten Ereignissen, etwa bei Versuchen, den Server zu entsperren. Um zu viele Anmelde-, Code- oder Prüfversuche zu begrenzen, zählt sie Anfragen je IP-Adresse, und zwar nur im Arbeitsspeicher. Vor manchen Formularen löst dein Browser eine kleine Rechenaufgabe, die automatisierten Missbrauch erschwert. Dafür setzen wir kein Cookie.
Wir werten die Protokolle aus, um Angriffe und Missbrauch zu erkennen und abzuwehren, zum Beispiel das Durchprobieren von Passwörtern oder Codes und Überlastungsangriffe. Außerdem nutzen wir sie, um Fehler zu finden und die Stabilität zu sichern. Wir führen sie nicht mit anderen Daten zusammen und bilden keine Profile.
Die Protokolle löschen wir spätestens nach 30 Tagen. Einträge, die wir zur Aufklärung eines konkreten Vorfalls brauchen, bewahren wir bis zu dessen Abschluss auf.
Rechtsgrundlage: berechtigtes Interesse an einem sicheren, stabilen Betrieb und am Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).
Reichweitenmessung
Auf allen Seiten von bytereport, auch nach der Anmeldung, messen wir die Reichweite mit der Open-Source-Software Umami. Wir betreiben Umami selbst unter bytereport.eu auf Servern von Hetzner in Deutschland. Die Daten geben wir nicht an Dritte weiter.
Erfasst werden die aufgerufene Seite, die zuvor besuchte Seite (Referrer), Browser, Betriebssystem, Gerätetyp, Bildschirmgröße, Sprache und das Land oder die Region, die sich aus der IP-Adresse ergibt. Die Teile der Adresse hinter „?“ und „#“ werden nicht übertragen. Adressen, die einen bestimmten Report, einen geteilten Link oder eine Einladung bezeichnen, fassen wir zusammen: Statt der Kennung übertragen wir einen Platzhalter. Umami erfährt also, dass ein Report aufgerufen wurde, aber nicht welcher und nicht für welche Domain.
Die IP-Adresse wird nicht gespeichert. Um Besuche zu unterscheiden, bildet Umami aus IP-Adresse, Browserangaben und einem monatlich wechselnden Zufallswert eine Prüfsumme. Aus ihr lässt sich die IP-Adresse nicht zurückrechnen, und Besuche lassen sich nicht über den Monat hinaus einer Person zuordnen. Umami speichert also keine personenbezogenen Daten. Mit deinem Konto verknüpfen wir die Messung nicht. Umami setzt keine Cookies und legt nichts auf deinem Gerät ab. Wir werten nur zusammengefasste Zahlen aus, etwa Aufrufe je Seite und Tag.
Hast du in deinem Browser „Do Not Track“ aktiviert, erfassen wir nichts. Du kannst die Zählung auch hier abschalten; dann merkt sich dein Browser das im lokalen Speicher. Die Messdaten löschen wir nach spätestens 24 Monaten.
Rechtsgrundlage: berechtigtes Interesse, zu verstehen, wie unser Angebot gefunden und genutzt wird, und es zu verbessern (Art. 6 Abs. 1 lit. f DSGVO).
Übermittlung in Drittländer
Server, Datenbank und Datensicherungen liegen in Deutschland. In Länder außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums gelangen Daten nur in diesen Fällen:
- AI-Sichtbarkeit und AI-Zusammenfassung: OpenAI, Anthropic, Google und Perplexity haben ihren Sitz in den USA. Auch DataForSEO und SerpApi können Anfragen außerhalb der EU verarbeiten. Mistral sitzt in Frankreich.
- Core Web Vitals: Google kann die Anfrage auch in den USA verarbeiten.
- Zahlungen: Stripe kann Daten an die Stripe, Inc. in den USA übermitteln.
Die Übermittlung in die USA stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework, soweit der Anbieter danach zertifiziert ist, sonst auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Außer an Stripe für die Zahlung schicken wir diesen Anbietern keine Angaben zu deiner Person. Nutzt deine Organisation einen Identity Provider außerhalb der EU, liegt diese Übermittlung in ihrer Verantwortung.
Löschung
Wir löschen Daten, sobald sie für ihren Zweck nicht mehr nötig sind und keine Aufbewahrungspflicht besteht.
- Reports: nach der Aufbewahrung deines Plans, ohne Konto nach sieben Tagen. Du kannst sie jederzeit selbst löschen.
- Konto: Unter Konto → Sicherheit kannst du dein Konto selbst löschen. Dabei löschen wir sofort deine Kontodaten, Reports, Zeitpläne, Projekte, API-Token und Testmail-Vorgänge. Ein laufendes Abo endet dabei sofort, ohne anteilige Erstattung. Rechnungen und Buchungsbelege bleiben für die gesetzlichen Aufbewahrungsfristen bei Stripe. Zähler für Kontingente und Credits, die nur die Kennung des Kontos tragen, löschen wir nach 13 Monaten.
- Einladungen und unbestätigte Konten: nach sieben Tagen.
- Testmails: sofort nach dem Abholen aus dem Postfach, der Vorgang zum Code nach 30 Tagen.
- Zwischenspeicher der AI-Antworten: nach höchstens sieben Tagen.
- Zähler für Reports ohne Konto: nach 48 Stunden.
- E-Mails in der Warteschlange: nach dem Versand, nicht zustellbare nach sieben Tagen.
- Datensicherungen: nach sieben Tagen.
- Server-Protokolle: nach spätestens 30 Tagen, außer zur Aufklärung eines Vorfalls.
- Reichweitenmessung: nach spätestens 24 Monaten.
Deine Rechte
Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Einer Verarbeitung, die auf berechtigtem Interesse beruht, kannst du aus Gründen deiner besonderen Situation widersprechen (Art. 21). Schreib uns dafür an datenschutz@bytereport.eu.
Deine Reports kannst du jederzeit selbst unter Konto → Plan und Abrechnung als JSON exportieren.
Du kannst dich außerdem bei einer Aufsichtsbehörde beschweren. Für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin, www.datenschutz-berlin.de.
Änderungen
Wir passen diese Datenschutzerklärung an, wenn sich bytereport oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.
Stand: Oktober 2026