Datenschutzerklärung

Bei jedem Aufruf verarbeitet unser Hoster technische Zugriffsdaten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, übermittelte Datenmenge, Browser- und Betriebssystemkennung sowie gegebenenfalls die zuvor besuchte Seite. Das ist technisch notwendig, um die Seite ausliefern und Angriffe abwehren zu können.

Rechtsgrundlage ist unser berechtigtes Interesse am sicheren Betrieb nach Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: Unser Hoster hält diese Protokolldaten höchstens 30 Tage vor und löscht sie danach, sofern kein sicherheitsrelevanter Vorfall eine längere Aufbewahrung erfordert; wir werten sie nicht personenbezogen aus.

Wenn Sie eine Domain eingeben und auf „Prüfen“ klicken, wird dieser Domainname an unseren Server übertragen. Dort wird er ausschließlich dazu verwendet, öffentlich abrufbare DNS-Einträge dieser Domain abzufragen und daraus den Bericht zu erstellen.

Der Domainname wird nicht gespeichert. Es gibt keine Verlaufsliste und keine Auswertung der geprüften Domains. Nach dem Erstellen des Berichts ist die Eingabe nicht mehr vorhanden. Der Bericht selbst entsteht nur in Ihrem Browser und wird bei uns nicht abgelegt. Wir führen lediglich einen Gesamtzähler darüber, wie oft geprüft wurde — eine reine Zahl ohne jeden Bezug zu Ihnen oder Ihrer Domain, siehe Abschnitt 5.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO: Sie haben die Prüfung selbst angefordert, und die Verarbeitung ist zu ihrer Durchführung erforderlich.

Nach der Prüfung steht die geprüfte Domain in der Adresszeile, damit das Ergebnis teilbar bleibt und ein Sprachwechsel es nicht verwirft. Diese Adresse erscheint dadurch in Ihrem Browserverlauf und in den Zugriffsprotokollen unseres Hosters. An fremde Websites wird sie nicht weitergegeben: Wir setzen den Header Referrer-Policy auf strict-origin-when-cross-origin, wodurch beim Anklicken eines externen Links nur unser Domainname übermittelt wird, nicht die geprüfte Domain.

Um automatisierte Massenabfragen und Missbrauch des Mailversands zu verhindern, zählen wir für höchstens zehn Minuten, wie viele Anfragen von einer IP-Adresse kamen. Die IP-Adresse selbst wird dafür nicht gespeichert: Sie wird auf unserem Server in eine pseudonyme Kennung umgerechnet (SHA-256-Hash mit geheimem Zusatz), und nur diese Kennung samt Zähler liegt für die zehn Minuten bei Upstash, Inc. im Rechenzentrum Frankfurt am Main — danach verfällt sie von selbst. Aus der Kennung lässt sich die IP-Adresse nicht zurückrechnen.

Ist dieser Dienst nicht erreichbar, zählt unser Server ersatzweise im eigenen Arbeitsspeicher, ebenfalls höchstens zehn Minuten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Für die Prüfung fragen wir DNS-Server ab. Verwendet werden Cloudflare (1.1.1.1) und ersatzweise Google Public DNS. Diese Dienste erfahren dabei den Namen der geprüften Domain und die IP-Adresse unseres Servers — nicht Ihre. Die Abfrage geht von uns aus, nicht von Ihrem Gerät.

Abgefragt wird dabei nicht nur der eingegebene Domainname selbst, sondern auch die daraus abgeleiteten Namen, die zur Prüfung gehören: etwa _dmarc.ihre-domain, die Namen der eingetragenen Mailserver und deren Adressen in umgekehrter Schreibweise für die Rückwärtsauflösung. Es handelt sich durchwegs um öffentlich abrufbare Einträge — dieselben, die jeder Mailserver bei einer Zustellung ohnehin abfragt.

Ist für die geprüfte Domain MTA-STS eingerichtet, ruft unser Server zusätzlich die dort öffentlich hinterlegte Richtliniendatei über HTTPS ab. Auch dieser Abruf erfolgt von unserem Server aus.

Wir zählen, wie oft mit diesem Werkzeug geprüft wurde. Gespeichert wird dabei ausschließlich eine einzige fortlaufende Zahl. Nicht gespeichert werden: die geprüfte Domain, Ihre IP-Adresse, der Zeitpunkt der Prüfung und alles Weitere, woraus sich eine einzelne Prüfung nachvollziehen ließe.

Aus dieser Zahl lässt sich ablesen, dass das Werkzeug benutzt wird — und sonst nichts. Ein Personenbezug besteht nicht; sie ist deshalb kein personenbezogenes Datum im Sinne der DSGVO. Wir nennen sie hier trotzdem, weil wir an dieser Stelle vollständig sein wollen.

Nach demselben Prinzip führen wir Tages-Summenzahlen: wie oft an einem Tag geprüft wurde, wie oft die Startseite besucht wurde, wie oft der Header-Check und wie oft das Outlook-Add-in benutzt und wie oft eine Test-Adresse erzeugt oder beliefert wurde. Auch hier wird je Tag nur eine Zahl um eins erhöht — ohne IP-Adresse, ohne Cookie und ohne jede Möglichkeit, einzelne Besuche wiederzuerkennen. Diese Tageszahlen löschen sich nach 90 Tagen von selbst. Ein Analysewerkzeug im üblichen Sinn (Besucherprofile, Wiedererkennung, Herkunft) setzen wir weiterhin nicht ein.

Technisch liegen die Zähler bei Upstash, Inc. (USA) in einem Rechenzentrum in Frankfurt am Main. Übermittelt wird nur der Befehl, die jeweilige Zahl um eins zu erhöhen.

Eine Angabe legen wir im lokalen Speicher Ihres Browsers ab: ob Sie den Hinweis auf die andere Sprachfassung ausgeblendet haben. Sie verlässt Ihr Gerät nicht und wird uns nicht übermittelt. Sie wird nur gespeichert, wenn Sie den Hinweis tatsächlich schließen, und lässt sich über die Website-Daten Ihres Browsers jederzeit löschen.

Welche Sprachfassung Ihr Browser bevorzugt, lesen wir nur im Moment des Seitenaufrufs aus, um den Hinweis anzuzeigen oder eben nicht. Diese Angabe wird weder gespeichert noch an uns übertragen, und es findet keine automatische Weiterleitung statt — Sie entscheiden mit einem Klick.

Auf der Ergebnisseite können Sie sich den Bericht per E-Mail zusenden lassen. Dafür speichern wir: Ihre E-Mail-Adresse, die geprüfte Domain, das Gesamtergebnis (Punktzahl), die gewählte Sprache sowie die Zeitpunkte von Anforderung und Bestätigung. Ihre IP-Adresse wird dabei nicht gespeichert.

Der Versand ist zweistufig: Zuerst erhalten Sie eine Bestätigungsmail mit einem Link, der 24 Stunden gültig ist und genau ein Mal funktioniert. Erst nach Ihrer Bestätigung prüfen wir die Domain erneut und senden den Bericht. Bestätigen Sie nicht, wird die Anforderung automatisch gelöscht — spätestens drei Tage nach Ablauf des Links.

Speicherdauer: E-Mail-Adresse, geprüfte Domain und Ergebnis einer bestätigten Anforderung löschen wir 30 Tage nach dem Versand des Berichts; übrig bleibt ein Zähleintrag ohne Personenbezug. Eine erteilte Einwilligung in Hinweise (nächster Absatz) bewahren wir davon getrennt als Nachweis auf.

Kreuzen Sie zusätzlich das getrennte, nie vorausgewählte Kästchen an, willigen Sie ein, gelegentlich Hinweise zur Mail-Sicherheit von uns zu erhalten. Diese Einwilligung wird ebenfalls erst mit Ihrer Bestätigung wirksam und mit den Zeitpunkten von Anforderung und Bestätigung festgehalten — das ist der gesetzlich verlangte Nachweis. Sie können sie jederzeit formlos mit Wirkung für die Zukunft widerrufen: per Nachricht an kontakt@mailampel.com oder als Antwort auf eine unserer Mails. Bestätigte Anforderungen und Einwilligungen bewahren wir als Nachweis auf, bis Sie widerrufen oder die Löschung verlangen.

Rechtsgrundlagen: für den angeforderten Bericht Art. 6 Abs. 1 lit. b DSGVO (Sie haben ihn bestellt), für die Hinweise Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 174 TKG 2021.

Für den Versand dieser E-Mails nutzen wir Resend als Auftragsverarbeiter; der Versand erfolgt über die EU-Region des Dienstes (Irland). Die gespeicherten Angaben liegen in einer Datenbank bei Neon im Rechenzentrum Frankfurt am Main. Mit beiden Anbietern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO; Einzelheiten in der Empfängertabelle unten.

Für die laufende Überwachung von Domains gibt es einen Kontobereich. Ein Konto besteht aus Ihrer E-Mail-Adresse — ein Passwort gibt es nicht, die Anmeldung läuft über einen Einmal-Link per E-Mail. Gespeichert werden: Ihre E-Mail-Adresse, Anmeldezeitpunkte, Ihre überwachten Domains samt Einstellungen, den letzten Prüfergebnissen und einem Verlauf der täglichen Prüfwerte samt versendeter Warnungen (für die 30-Tage-Ansicht und den Report-Export im Dashboard) sowie — falls Sie ein Team nutzen — Teamname, Mitgliedschaften und offene Einladungen. Ihre IP-Adresse wird nicht gespeichert.

Die Anmeldeadresse können Sie im Profil ändern; der Bestätigungslink geht an die neue Adresse und ist eine Stunde gültig. Dort lässt sich das Konto auch endgültig löschen — damit enden alle Überwachungen, und Konto, Passkeys und Teams werden entfernt.

Für die Dauer der Anmeldung setzen wir ein technisch notwendiges Cookie (eine signierte Sitzungskennung, höchstens 30 Tage gültig). Es dient ausschließlich dazu, Sie angemeldet zu halten, enthält keine Kennungen Dritter und wird beim Abmelden gelöscht. Als unbedingt erforderliches Cookie ist es einwilligungsfrei; Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO.

Passkeys (optional): Für die Anmeldung können Sie zusätzlich einen Passkey hinterlegen (WebAuthn). Gespeichert werden dabei nur der öffentliche Teil des Schlüsselpaares, eine technische Kennung sowie Einrichtungs- und letzter Verwendungszeitpunkt. Der geheime Teil verbleibt auf Ihrem Gerät; biometrische Merkmale (Fingerabdruck, Gesicht) verlassen Ihr Gerät nicht und erreichen unsere Server nie. Passkeys entfernen Sie jederzeit selbst im Dashboard unter „Sicherheit“. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Bezahlung: Kostenpflichtige Überwachung (ab der zweiten Domain) wird über Stripe abgewickelt. Ihre Zahlungsdaten — Kartennummer oder Bankverbindung — geben Sie direkt bei Stripe ein; sie erreichen unsere Server zu keinem Zeitpunkt. Wir speichern nur die Stripe-Kundennummer und den Stand des Abos (Anzahl der Domains, Status, Zahlweise). Belege und Rechnungen erstellt und versendet Stripe in unserem Auftrag. Beim Kauf halten wir Ihre Zustimmung zu den Vertragsbedingungen und zum vorzeitigen Beginn der Leistung mit Zeitpunkt und Wortlaut fest — das ist der Nachweis, den das Fern- und Auswärtsgeschäfte-Gesetz verlangt; wir bewahren ihn sieben Jahre nach Vertragsende auf (§ 132 BAO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DSGVO.

Löschung: Ihr Konto lassen Sie jederzeit per Nachricht an kontakt@mailampel.com löschen. Rechnungsbezogene Daten unterliegen der siebenjährigen Aufbewahrungspflicht nach § 132 BAO und werden erst danach entfernt.

Die Schaltfläche für eine Anfrage öffnet Ihr eigenes E-Mail-Programm mit einem vorbereiteten Text. Es werden dabei keine Daten an uns übertragen — erst wenn Sie die Nachricht selbst absenden, erhalten wir sie.

Schreiben Sie uns, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO). Anfragen, aus denen ein Auftrag entsteht, unterliegen den steuerrechtlichen Aufbewahrungsfristen von sieben Jahren; andere Anfragen löschen wir, sobald sie erledigt sind.

Der Prüfbericht bewertet die technische Konfiguration einer Domain. Es findet keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO über Personen statt, insbesondere kein Profiling.

Der Header-Check (/header bzw. /en/header) verarbeitet die von Ihnen eingefügten E-Mail-Kopfzeilen ausschließlich in Ihrem Browser. Es werden keine Kopfzeilen an unsere Server übertragen, nicht gespeichert und nicht protokolliert — auch nicht die darin enthaltenen IP-Adressen oder E-Mail-Adressen. Schließen Sie die Seite, sind die Daten weg. Beim ersten Ergebnis einer Browser-Sitzung schickt Ihr Browser lediglich ein inhaltsloses Zählsignal („der Header-Check wurde benutzt“) an unseren Server — ohne Kopfzeilen, ohne Domain, ohne Kennung; es erhöht nur die Tageszahl aus Abschnitt 5.

Die Funktionen „Bereinigt kopieren“ und „KI-Prompt kopieren“ legen Text in die Zwischenablage Ihres Geräts. mailampel überträgt dabei nichts an KI-Dienste; wohin Sie den Text einfügen, entscheiden Sie. Der KI-Prompt enthält keine IP-Adressen, E-Mail-Adressen oder Namen und nicht Ihre eigene Domain — nur den Befund. Dasselbe gilt für den KI-Prompt der Domain-Prüfung: Dort wird Ihre Domain durch den Platzhalter ihre-domain.example ersetzt. Welche Daten das von Ihnen gewählte KI-Werkzeug verarbeitet, richtet sich nach dessen Anbieter.

Auf /test bzw. /en/test können Sie sich eine einmalige Adresse der Form t-…@test.mailampel.com erzeugen lassen und von Ihrem eigenen System eine Mail dorthin schicken. Diese Mail nimmt für uns der Dienst Postmark (ActiveCampaign, LLC, USA) an und übergibt sie an unseren Server. Wir werten ausschließlich die Kopfzeilen aus — Zustellweg, Authentifizierungsergebnisse, Spam-Bewertung des Empfangsservers samt den von ihm in einer Kopfzeile vermerkten Filterregeln (die Regeln berechnet der Empfangsserver, nicht wir) sowie Absender, Empfänger, Betreff und Datum Ihrer eigenen Testmail. Um die DKIM-Signatur zu prüfen, wird der Nachrichteninhalt dabei ausschließlich flüchtig im Arbeitsspeicher für die Prüfsumme benötigt — er wird weder gelesen noch inhaltlich ausgewertet und nicht gespeichert.

Gespeichert wird nur das fertige Auswertungsergebnis, verknüpft mit der zufälligen Adresse — ohne die IP-Adresse, von der Sie die Seite aufrufen. Dieses Ergebnis enthält die Angaben aus den Kopfzeilen: die beteiligten Mailserver samt ihren IP-Adressen, die Authentifizierungsergebnisse sowie Absender, Empfänger, Betreff und Datum Ihrer Testmail. Es wird 60 Minuten nach Eingang der Mail automatisch gelöscht; eine Adresse, an die keine Mail eingeht, verfällt nach 24 Stunden. Rechtsgrundlage ist die von Ihnen angestoßene Prüfung (Art. 6 Abs. 1 lit. b DSGVO). Postmark verarbeitet eingehende Nachrichten nach eigenen Aufbewahrungsregeln; Grundlage der Übermittlung in die USA ist das EU-US Data Privacy Framework.

Das mailampel-Add-in für Outlook ist eine Seitenleiste, die Outlook von unserem Server lädt (die Seite /outlook). Beim Laden fallen dieselben technischen Zugriffsdaten an wie bei jedem Aufruf der Website (Abschnitt 1). Zusätzlich lädt Outlook die Office-JavaScript-Bibliothek von Microsoft (appsforoffice.microsoft.com); ohne sie kann kein Add-in mit Outlook sprechen. Dabei erhält Microsoft die technischen Zugriffsdaten dieses Abrufs, nicht den Inhalt Ihrer Mails.

Das Add-in liest über die Outlook-Schnittstelle ausschließlich die Kopfzeilen der gerade geöffneten Nachricht (Berechtigung „Element lesen“) und wertet sie nur im Add-in-Fenster aus — genau wie der Header-Check im Browser (Abschnitt 11). Kopfzeilen, Absender, Empfänger, Betreff oder Inhalt werden weder an unsere Server übertragen noch gespeichert oder protokolliert. Beim ersten Ergebnis einer Sitzung schickt das Add-in lediglich das inhaltslose Zählsignal „das Add-in wurde benutzt“ (Abschnitt 5). Die Funktion „Als Antwort öffnen“ legt einen Entwurf in Ihrem Outlook an; wir sehen ihn nicht, und ob Sie ihn abschicken, entscheiden Sie. „Domain prüfen“ öffnet die Domain-Prüfung auf mailampel.com in Ihrem Browser (Abschnitt 2).

Ob und für wen das Add-in in einem Postfach oder einer Organisation eingerichtet wird, entscheidet die nutzende Person bzw. deren Administrator. Rechtsgrundlage ist die von Ihnen angestoßene Auswertung (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an einem funktionierenden, gegen Missbrauch geschützten Werkzeug (Art. 6 Abs. 1 lit. f DSGVO).

Unter jedem Bericht können Sie über „Unverbindlich anfragen“ eine Anfrage an Mani IT e.U. schicken. Übermittelt wird, was Sie eintragen — E-Mail-Adresse (Pflicht), Name und Telefonnummer (freiwillig) und Ihre Nachricht — sowie die geprüfte Domain, damit die Anfrage zugeordnet werden kann. Die Nachricht ist mit den Befunden des Berichts vorbelegt; Sie können sie vor dem Absenden beliebig ändern oder kürzen.

Die Anfrage wird als E-Mail über Resend (EU-Region, siehe Abschnitt 7) an das Postfach office@mani-it.at zugestellt, das bei Microsoft 365 liegt, und dort wie jede andere geschäftliche E-Mail bearbeitet. Auf den mailampel-Servern und in unserer Datenbank wird davon nichts gespeichert; es greift lediglich der Missbrauchsschutz aus Abschnitt 3 (pseudonyme Kennung der IP-Adresse für höchstens zehn Minuten) und ein unsichtbares Formularfeld, das automatisierte Absender erkennt. Rechtsgrundlage ist die Anbahnung eines Vertrags auf Ihre Anfrage hin (Art. 6 Abs. 1 lit. b DSGVO). Wir bewahren die Anfrage auf, solange sie bearbeitet wird; kommt kein Auftrag zustande, löschen wir sie spätestens nach zwölf Monaten, sofern keine gesetzliche Aufbewahrungspflicht besteht.