Datenschutzerklärung

Diese Datenschutzerklärung informiert Sie gemäß Art. 13 und Art. 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten wir beim Betrieb des Dienstes HTProtect.app verarbeiten, zu welchen Zwecken und auf welcher Rechtsgrundlage dies geschieht und welche Rechte Ihnen zustehen. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

Einen gesetzlich benannten Datenschutzbeauftragten haben wir nicht bestellt, da hierfür keine gesetzliche Verpflichtung besteht. Für alle Anliegen rund um den Datenschutz erreichen Sie uns unter der oben genannten E-Mail-Adresse. Weitere Angaben finden Sie in unserem Impressum.

2. Allgemeines und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung unseres Dienstes erforderlich ist und eine gültige Rechtsgrundlage besteht. Je nach Verarbeitung stützen wir uns auf eine der folgenden Rechtsgrundlagen des Art. 6 Abs. 1 DSGVO:

• Vertrag (lit. b): Die Verarbeitung ist zur Erfüllung eines Vertrags mit Ihnen oder zur Durchführung vorvertraglicher Maßnahmen erforderlich - etwa zur Bereitstellung Ihres Kontos und der Sicherheits-Dienstleistung.
• Rechtliche Pflicht (lit. c): Die Verarbeitung ist zur Erfüllung einer gesetzlichen Verpflichtung erforderlich, der wir unterliegen - etwa steuer- und handelsrechtliche Aufbewahrungspflichten.
• Berechtigtes Interesse (lit. f): Die Verarbeitung ist zur Wahrung unserer berechtigten Interessen erforderlich, sofern Ihre Interessen oder Grundrechte nicht überwiegen - etwa der sichere und stabile Betrieb unserer Systeme.
• Einwilligung (lit. a): Sie haben in eine bestimmte Verarbeitung eingewilligt. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

3. Server-Logdaten

Bei jedem Aufruf von HTProtect.app werden durch den Server automatisch Zugriffsdaten erfasst und in sogenannten Logdateien gespeichert. Erfasst werden dabei insbesondere:

• die IP-Adresse des zugreifenden Geräts,
• Datum und Uhrzeit des Zugriffs,
• die angeforderte Ressource (aufgerufene Seite bzw. Datei),
• Informationen zu verwendetem Browser und Betriebssystem sowie ggf. die zuvor besuchte Seite (Referrer).

Diese Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses am technisch fehlerfreien Betrieb, an der Systemsicherheit sowie an der Aufklärung und Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO). Die Logdaten werden nur so lange gespeichert, wie es für diese Zwecke erforderlich ist, und anschließend gelöscht oder anonymisiert.

Das Hosting erfolgt durch die IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, in Rechenzentren innerhalb der Europäischen Union (Deutschland). Mit der IONOS SE besteht ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO.

4. Cookies

Wir setzen ausschließlich technisch notwendige Cookies ein, die für den Betrieb und die Sicherheit des Dienstes erforderlich sind. Dazu zählen insbesondere Sitzungs- und Sicherheits-Cookies für die Anmeldung, den Schutz vor Cross-Site-Request-Forgery (CSRF) sowie die Speicherung Ihrer Sprachwahl. Der Sprachwahl-Cookie htp_locale merkt sich lediglich die von Ihnen gewählte Anzeigesprache; er wird nicht personenbezogen ausgewertet.

Wir verwenden keine Analyse-, Statistik-, Tracking- oder Marketing-Cookies und binden keine entsprechenden Dienste Dritter ein. Da wir ausschließlich unbedingt erforderliche Cookies im Sinne des § 25 Abs. 2 TDDDG einsetzen, ist hierfür keine Einwilligung erforderlich; ein Einwilligungsbanner entfällt. Rechtsgrundlage ist unser berechtigtes Interesse am ordnungsgemäßen und sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO) bzw. die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

5. Registrierung, Konto und Workspace

Zur Nutzung des Dienstes richten Sie ein Konto ein. Dabei und im laufenden Betrieb verarbeiten wir insbesondere folgende Daten:

• Name bzw. gewählter Anzeigename,
• E-Mail-Adresse,
• Passwort - dieses speichern wir ausschließlich als kryptografischen Hash, niemals im Klartext,
• Team- und Workspace-Daten (etwa Bezeichnungen, Mitglieder, Rollen und Zuordnungen der betreuten Websites).

Zweck dieser Verarbeitung ist die Bereitstellung, Verwaltung und Absicherung Ihres Kontos sowie die Erbringung der vereinbarten Leistung. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

6. Zahlungsabwicklung über Stripe

Für die Abwicklung von Zahlungen nutzen wir den Zahlungsdienstleister Stripe. Der Bezahlvorgang läuft über einen von Stripe gehosteten Checkout: Sie werden dazu auf eine Bezahlseite von Stripe weitergeleitet. Ihre vollständigen Zahlungsdaten, insbesondere Kreditkartennummern, werden dabei nicht bei HTProtect.app verarbeitet oder gespeichert, sondern ausschließlich von Stripe erhoben.

An Stripe übermittelt bzw. dort im Zusammenhang mit Ihrer Zahlung verarbeitet werden insbesondere Ihr Name, Ihre E-Mail-Adresse, Rechnungs- und Adressdaten, gegebenenfalls Ihre USt-IdNr. sowie der Rechnungsbetrag. Stripe verarbeitet diese Daten teils als Auftragsverarbeiter und teils als eigenverantwortlicher Zahlungsdienstleister.

Anbieter sind die Stripe Payments Europe, Ltd. (Irland) sowie die Stripe, Inc. (USA). Dabei kann es zu einer Übermittlung von Daten in ein Drittland (USA) kommen. Diese Übermittlung wird durch die von der EU-Kommission erlassenen Standardvertragsklauseln (Art. 46 DSGVO) abgesichert. Rechtsgrundlagen sind die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) sowie die Erfüllung rechtlicher Pflichten, insbesondere handels- und steuerrechtlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO). Nähere Informationen zur Datenverarbeitung durch Stripe finden Sie in der Datenschutzerklärung von Stripe unter stripe.com/privacy.

7. E-Mail-Versand

Im Rahmen der Vertragsdurchführung versenden wir systemseitige E-Mails an Sie, etwa zur Bestätigung einer Kündigung, zu sicherheitsrelevanten Mitteilungen oder zu Statusmeldungen des Dienstes. Zweck ist die Vertragserfüllung sowie die Erfüllung rechtlicher Pflichten (Art. 6 Abs. 1 lit. b und lit. c DSGVO); bei rein informatorischen Mitteilungen stützen wir uns auf unser berechtigtes Interesse an der Information unserer Kundinnen und Kunden (Art. 6 Abs. 1 lit. f DSGVO).

Für den Versand von E-Mails (z. B. Kündigungsbestätigungen, systemseitige Mitteilungen) nutzen wir Amazon Simple Email Service (Amazon SES) der Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg, mit Verarbeitung in der Region Frankfurt (eu-central-1) innerhalb der EU. Es besteht ein Auftragsverarbeitungsvertrag (AWS Data Processing Addendum nach Art. 28 DSGVO). Übermittelt werden die E-Mail-Adresse der Empfängerin bzw. des Empfängers sowie der Nachrichteninhalt. Rechtsgrundlage: Vertragserfüllung und rechtliche Pflicht (Art. 6 Abs. 1 lit. b und c DSGVO).

8. Vom Connector gemeldete Site-Metadaten

Der HTProtect-Connector, den Sie auf den von Ihnen betreuten Websites einsetzen, meldet ausgehend sicherheitsrelevante Metadaten dieser Websites an HTProtect.app. Dazu gehören insbesondere der ermittelte Sicherheits-Level, installierte Software-Versionen, die URLs der betreuten Websites sowie der jeweilige Update- und Scan-Status.

Zusätzlich wird ein Verlauf der Aktualisierungen geführt: welche Erweiterung wann von welcher auf welche Version aktualisiert wurde, mit welchem Ergebnis, und ob HTProtect diese Aktualisierung selbst ausgeführt hat oder sie an anderer Stelle erfolgt ist (etwa durch Joomlas eigene Update-Automatik, eine Aktualisierung von Hand oder durch Ihren Hoster). Dieser Verlauf dient dem Nachweis der erbrachten Wartung und wird 24 Monate gespeichert. Übermittelt werden dabei ausschließlich Bezeichnung und Versionsnummern der jeweiligen Erweiterung sowie Ergebnis und Zeitpunkt - keine Dateipfade, keine Inhalte und keine Daten der Besucherinnen und Besucher Ihrer Websites.

Nicht übermittelt werden die Passwörter und Passwort-Prüfsummen der Benutzerkonten Ihrer Websites. Bei der laufenden Meldung des Connectors werden auch keine Inhalte Ihrer Websites übertragen. Davon zu unterscheiden sind zwei Funktionen, die Sie selbst auslösen und die deshalb sehr wohl Inhalte übermitteln: die websiteübergreifende Inhaltssuche, bei der wir gekürzte Fundstellen-Ausschnitte erhalten, und die KI-Steuerung nach Ziffer 9. Damit der Dienst funktioniert, speichern wir jedoch bestimmte Zugangs- und Sicherheitsmerkmale:

• ein bei der Kopplung erzeugtes Transport-Geheimnis, mit dem sich Ihre Website gegenüber dem Dashboard ausweist;
• den Zugangs-String Ihres Backend-Schutzes, sofern Sie ihn im Dashboard für die Ein-Klick-Anmeldung hinterlegen - verschlüsselt gespeichert, für diese Funktion jedoch serverseitig lesbar;
• zusätzlich meldet Ihre Website diesen Zugangs-String in Ende-zu-Ende-versiegelter Form. Dieses Chiffrat können wir nicht öffnen; es wird ausschließlich in Ihrem Browser entschlüsselt und dient dazu, das vorgenannte Feld vorauszufüllen;
• Zugangstoken zu Ihrem Joomla - ausschließlich dann, wenn Sie die KI-Steuerung aktivieren (siehe Ziffer 9).

Legen Sie für Ihre Sicherungen fest, welche Verzeichnisse oder Datenbanktabellen ausgenommen werden sollen, so wird diese von Ihnen gesetzte Auswahl im Dashboard gespeichert. Sie enthält die von Ihnen benannten Verzeichnis- und Tabellennamen Ihrer Website im Klartext.

Diese Merkmale sind verschlüsselt gespeichert. Wir weisen ausdrücklich darauf hin, dass sie - mit Ausnahme des Ende-zu-Ende-versiegelten Zugangs-Strings - technisch serverseitig lesbar sind; eine pauschale Zusicherung, keinerlei Zugangsdaten zu speichern, wäre unzutreffend. Zweck dieser Verarbeitung ist die Erbringung der Sicherheits-Dienstleistung, also die Überwachung und Absicherung Ihrer Websites. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Soweit diese Metadaten personenbezogene Daten enthalten (etwa in URLs oder in den Namen der Administrationskonten Ihrer Websites), gilt diese Erklärung entsprechend.

9. KI-Steuerung (optional, nur nach ausdrücklicher Freischaltung)

HTProtect.app bietet eine optionale Schnittstelle, über die Sie Ihre Websites mit einem KI-Assistenten Ihrer Wahl verwalten können (etwa ChatGPT oder Claude). Die Schnittstelle ist standardmäßig ausgeschaltet und wird nur wirksam, wenn Sie sie je Website ausdrücklich freischalten.

Wie der Datenfluss verläuft: Wir betreiben lediglich die Schnittstelle. Wir rufen selbst keinen KI-Anbieter auf und haben mit keinem KI-Anbieter einen Vertrag. Sie verbinden Ihren eigenen Zugang bei dem von Ihnen gewählten Anbieter mit unserer Schnittstelle. Ruft dieser Assistent Daten ab, geschieht das auf Ihre Veranlassung; die Daten fließen an Ihren Anbieter, unter Ihrem Vertrag und auf Ihrer Rechtsgrundlage. Für dieses Verhältnis - einschließlich einer etwaigen Übermittlung in ein Drittland - sind Sie verantwortlich. Bitte prüfen Sie die Bedingungen Ihres KI-Anbieters.

Worauf der Assistent zugreifen kann: Bei Freischaltung sind über die Schnittstelle nicht nur Metadaten, sondern auch Inhalte der jeweiligen Website abrufbar - insbesondere Beiträge, Kategorien, Module, Menüs, Medienangaben, installierte Erweiterungen, Sprachen, Vorlagen-Stile sowie der Sicherheits- und Aktualisierungsstand. Schreibende Zugriffe sind zusätzlich gesondert freizuschalten und standardmäßig nicht möglich.

Was wir dabei speichern: Für die Schnittstelle werden Zugangstoken zu Ihrem Joomla erzeugt und verschlüsselt gespeichert; sie sind serverseitig lesbar, da die Schnittstelle sie verwenden muss. Jeder Aufruf wird protokolliert - mit Zeitpunkt, aufgerufener Funktion, den übergebenen Parametern und der IP-Adresse des zugreifenden Clients. Die Parameter werden dabei lediglich gekürzt gespeichert (200 Zeichen je Wert); eine inhaltliche Schwärzung findet nicht statt, sodass etwa Titel, Textanfänge, Suchbegriffe oder Medienpfade darin gekürzt im Wortlaut erscheinen können. Zweck ist die Nachvollziehbarkeit und Missbrauchserkennung; Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit des Dienstes (Art. 6 Abs. 1 lit. f DSGVO).

Sie können die Freischaltung jederzeit widerrufen. Die Zugangstoken werden dann entwertet.

10. Community-Forum

Unter forum.htprotect.app betreiben wir ein Community-Forum auf Basis der Software Flarum. Das Forum läuft auf unserer eigenen Infrastruktur innerhalb der EU; eine Übermittlung an Dritte findet dabei nicht statt.

Rufen Sie das Forum aus Ihrem eingeloggten Konto heraus auf, wird für Sie automatisch ein Forenkonto angelegt bzw. mit Ihrem bestehenden verknüpft (Single Sign-on). Übermittelt werden dabei eine unveränderliche, pseudonyme Kennung Ihres Kontos in der Form htp{ID}, Ihr Anzeigename sowie Ihre E-Mail-Adresse. Ihr Passwort wird nicht übermittelt.

Beiträge, Themen und Reaktionen, die Sie dort verfassen, sind für andere angemeldete Nutzerinnen und Nutzer sichtbar und bleiben gespeichert, bis sie gelöscht werden. Bitte veröffentlichen Sie im Forum keine personenbezogenen Daten Dritter und keine Zugangsdaten im Klartext. Für den Austausch vertraulicher Angaben steht eine Ende-zu-Ende-Verschlüsselung zur Verfügung; deren Inhalte sind für uns als Betreiber nicht im Klartext lesbar.

Zweck der Verarbeitung ist der fachliche Austausch und der Support rund um den Dienst. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an einer funktionierenden Nutzergemeinschaft (Art. 6 Abs. 1 lit. f DSGVO). Das Forenkonto besteht unabhängig von Ihrem Kundenkonto; möchten Sie es löschen lassen, genügt eine Nachricht an mail@htprotect.app. Bereits veröffentlichte Beiträge können zur Nachvollziehbarkeit laufender Diskussionen in anonymisierter Form erhalten bleiben.

11. Speicherdauer und Löschung

Wir speichern personenbezogene Daten grundsätzlich nur so lange, wie es für die jeweiligen Zwecke oder zur Durchführung des Vertragsverhältnisses erforderlich ist. Danach werden die Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Insbesondere steuer- und handelsrechtliche Aufbewahrungsfristen (in der Regel sechs bis zehn Jahre) bleiben unberührt; für die Dauer dieser Fristen wird die Verarbeitung der betroffenen Daten eingeschränkt.

12. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt.

13. Ihre Rechte als betroffene Person

Ihnen stehen nach der DSGVO die folgenden Rechte zu:

• Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger oder unvollständiger Daten (Art. 16 DSGVO),
• Löschung Ihrer Daten, soweit keine Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit, also Erhalt Ihrer Daten in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung dieser Rechte genügt eine formlose Nachricht an mail@htprotect.app.

Unabhängig davon haben Sie das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Für uns zuständig ist aufgrund unseres Sitzes in Nordrhein-Westfalen die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen. Sie können sich jedoch auch an die Aufsichtsbehörde Ihres üblichen Aufenthaltsorts wenden.

14. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die tatsächlichen Verarbeitungen oder die rechtlichen Rahmenbedingungen ändern. Es gilt jeweils die auf dieser Seite veröffentlichte, aktuelle Fassung. Ergänzende Informationen finden Sie in unserem Impressum, unseren AGB sowie in den Hinweisen zum Widerruf und zur Kündigung.

Stand: Juli 2026