Datenschutzerklärung

1. Datenschutz auf einen Blick

Die folgenden Hinweise geben einen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen oder den CaptchaCore-Service nutzen.

Verantwortlicher

SpeedIT Solutions UG (haftungsbeschränkt)
Asphalweg 26, 30916 Isernhagen, Deutschland
E-Mail: datenschutz@captchacore.eu

2. Datenverarbeitung durch CaptchaCore

Was CaptchaCore verarbeitet

• IP-Adresse: Wird für die Prüfung vollständig verarbeitet (lokaler Abgleich mit Netz-Reputationslisten, lokale GeoIP-Auswertung, Begrenzung der Anfragen). In der Datenbank wird sie nie im Klartext gespeichert, sondern nur gekürzt (letztes Oktett auf 0 bei IPv4, letzte 80 Bit bei IPv6) und als Hash mit einem zufälligen Salt, der alle 6 Stunden wechselt und nur im Cache liegt (nicht in der Datenbank, nicht in Datensicherungen). Die Kürzung ist immer aktiv.

• User-Agent: Wird im Klartext ausgewertet; gespeichert werden nur ein gesalzener Hash und die grobe Browser-, Betriebssystem- und Gerätefamilie. Herkunftsseite und Sitzungskennung werden nur als gesalzene Hashes gespeichert. Land und Netzbetreiber werden zur Prüfung lokal abgeleitet, derzeit aber nicht gespeichert.

• Verhaltenskennzahlen: Verdichtete Kennzahlen (Maus-Entropie, Tipp-Rhythmus, Scroll-, Touch- und Fokus-Aktivität — nur Entropiewerte, Zähler und Zeiten). Sie werden lokal im Browser berechnet und im Token an CaptchaCore übertragen — keine Rohdaten, keine Tastenwerte, keine Mauspfade.

• Umgebungsmerkmale: Technische Kennzahlen zur Erkennung automatisierter Browser (u. a. webdriver-Kennzeichen, Anzahl von Plugins und Sprachen, Bildschirmgröße, CPU-Kerne, Software-Rendering ja/nein statt GPU-Modell, Canvas-Renderzeit, Gleichmäßigkeit der Bildwiederholung, Namen erkannter Automatisierungs-Objekte). Sie werden nicht gespeichert und nicht zur geräteübergreifenden Wiedererkennung genutzt. Zeitzone, Audio-Merkmale, GPU-Modell, Plattform und Arbeitsspeicher werden nicht erhoben. Eine vollständige Liste enthalten die Datenschutzbestimmungen für Endnutzer.

• Proof-of-Work-Lösung: Einmalige kryptografische Challenge, wird nach erfolgreicher Verifikation sofort gelöscht (Redis, Single-Use).

Was CaptchaCore NICHT verarbeitet

• Keine Cookies und keine Speicherung im Browser (kein localStorage, sessionStorage oder IndexedDB) — auch nicht im Under-Attack-Mode

• Keine Tracking-Pixel, kein geräteübergreifendes Wiedererkennungs-Fingerprinting, kein Re-Targeting

• Keine Weitergabe an Dritte zu eigenen Zwecken; einziger Unterauftragsverarbeiter für Besucherdaten ist Bunny.net für die Auslieferung der Widget-Datei (siehe Ziffer 16); keine Drittlandübertragung bei der Verifikation

• Keine Speicherung von Formulardaten, Passwörtern oder E-Mail-Adressen der Endnutzer

• Keine Mauspfade, Tastenwerte oder Scroll-Positionen als Rohdaten

3. Hosting und Server

CaptchaCore wird ausschließlich auf Servern in Deutschland betrieben. Die Server werden von SpeedIT Solutions UG selbst betrieben und gewartet. Bei der Verarbeitung der Verifikationsdaten findet keine Übermittlung in Drittländer statt.

Ausnahme CDN: Hiervon ausgenommen ist allein die Auslieferung der Widget-Datei (JavaScript) über unser Content Delivery Network. Standard ist der EU-Endpunkt (src-eu.captchacore.eu), der ausschließlich über Server in Mitgliedstaaten der EU ausliefert. Aktiviert der Webseitenbetreiber optional den globalen Endpunkt (src.captchacore.eu), wird die Skriptdatei auch über Standorte außerhalb der EU ausgeliefert; der CDN-Anbieter verarbeitet dabei IP-Adresse und User-Agent auf Grundlage von Standardvertragsklauseln (Art. 46 DSGVO). Die Verifikation selbst — Challenge, Vorprüfung, Risk Engine und Datenbank — läuft in keinem Fall über das CDN.

Webserver-Protokolle: Webserver-Protokolle enthalten nur die gekürzte IP und werden nach 14 Tagen gelöscht.

4. Speicherdauer

Aus den Verifikationslogs werden gekürzte IP-Adresse, IP-Hash, User-Agent-Hash sowie die Hashes von Herkunftsseite und Sitzung nach 30 Tagen automatisch und unwiderruflich geleert. Die übrigen Angaben ohne Personenbezug (Ergebnis, Risikowert, Gerätetyp, Browser, Betriebssystem, Formulartyp) bleiben für die Statistik je nach gebuchtem Paket 7 bis 365 Tage erhalten und werden danach gelöscht. Von Hand bestätigte Einträge unserer Prüfwarteschlange (gekürzte IP-Adressen) löschen wir nach 90 Tagen. Datenbanksicherungen liegen auf unseren Servern in Deutschland, sind nur für den Betrieb zugänglich und werden nach 14 Tagen gelöscht — damit auch die darin enthaltenen Daten. Sicherheitslogs (IP nur als Hash) werden nach 7 Tagen gelöscht, gelernte Angriffsmuster mit gekürzten IP-Adressen spätestens 30 Tage nach der letzten Auffälligkeit, zusammengefasste Angriffskampagnen ohne IP-Adressen nach 90 Tagen, Webserver-Protokolle (nur gekürzte IP) nach 14 Tagen. Registrierungsversuche auf captchacore.eu (E-Mail-Adresse und User-Agent, zur Missbrauchsabwehr) werden standardmäßig nach 30 Tagen gelöscht. Darüber hinaus gelten die gesetzlichen Aufbewahrungsfristen (handels- und steuerrechtlich bis zu 10 Jahre für Geschäftsunterlagen).

5. Rechtsgrundlagen

• Bot-Defense-Service: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Abwehr von Spam und Bot-Angriffen)

• Registrierung / Kundenkonto: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

• Zahlungsabwicklung: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

• Server-Logfiles: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit)

6. Zahlungsabwicklung und Rechnungsstellung

Für die Zahlungsabwicklung setzen wir folgende Dienstleister ein (Art. 6 Abs. 1 lit. b DSGVO): Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande (Online-Zahlungen und SEPA-/Kreditkarten-Mandate, Datenschutzerklärung: mollie.com/de/privacy) sowie PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, 2449 Luxemburg (Datenschutzerklärung: paypal.com). Alternativ ist die Zahlung per Banküberweisung möglich. CaptchaCore speichert keine Kreditkartendaten. Die Rechnungsstellung erfolgt über Lexware Office (Haufe-Lexware GmbH & Co. KG, Munzinger Straße 9, 79111 Freiburg); dabei werden die Rechnungsdaten (Firma, Anschrift, USt-IdNr., Rechnungspositionen) zur Erstellung und Aufbewahrung der Rechnungen verarbeitet.

7. Cookies

Das CaptchaCore-Widget auf den Websites unserer Kunden setzt keine Cookies — weder im Normalbetrieb noch im Under-Attack-Mode — und speichert nichts im Browser. Auf unserer eigenen Website captchacore.eu verwenden wir zwei technisch notwendige Cookies: ein Sitzungs-Cookie (für Anmeldung, Formulare und Spracheinstellung, verschlüsselt, Ablauf nach 2 Stunden Inaktivität) und ein XSRF-TOKEN gegen gefälschte Formularanfragen; beide sind von der Einwilligungspflicht ausgenommen (§ 25 Abs. 2 Nr. 2 TDDDG). Im Under-Attack-Mode zeigt das Widget ab Stufe 2 eine Klick-Prüfung, setzt aber ebenfalls kein Cookie. Ob Ihre Website insgesamt ein Cookie-Banner benötigt, hängt von den übrigen eingesetzten Diensten ab; eine rechtliche Einschätzung geben wir nicht ab.

8. SSL-/TLS-Verschlüsselung

Sämtliche Datenübertragungen zwischen Browser, Widget und CaptchaCore-API erfolgen über TLS 1.2/1.3-verschlüsselte Verbindungen.

9. Registrierung / Kundenkonto

Bei der Registrierung speichern wir: Name, E-Mail-Adresse, Firma (optional), Adresse (optional), Telefon (optional). Diese Daten werden für die Vertragsdurchführung benötigt (Art. 6 Abs. 1 lit. b DSGVO). Bei Löschung des Kundenkontos werden alle personenbezogenen Daten unwiderruflich entfernt, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

10. Ihre Rechte

Sie haben jederzeit das Recht auf:

• Auskunft über Ihre gespeicherten personenbezogenen Daten (Art. 15 DSGVO)

• Berichtigung unrichtiger Daten (Art. 16 DSGVO)

• Löschung Ihrer Daten (Art. 17 DSGVO)

• Einschränkung der Verarbeitung (Art. 18 DSGVO)

• Datenübertragbarkeit (Art. 20 DSGVO)

• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

11. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständige Aufsichtsbehörde:

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
Telefon: +49 511 120-4500
www.lfd.niedersachsen.de

12. Widerspruchsrecht

Soweit die Verarbeitung Ihrer personenbezogenen Daten auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) beruht, haben Sie das Recht, gemäß Art. 21 Abs. 1 DSGVO Widerspruch gegen die Verarbeitung einzulegen. Bitte richten Sie Ihren Widerspruch an datenschutz@captchacore.eu.

13. Datenschutzbestimmungen für Endnutzer

Diese Bestimmungen gelten für Endnutzer (Webseitenbesucher), deren Formulare durch CaptchaCore geschützt werden.

Welche Daten verarbeitet CaptchaCore?

Wenn Sie ein durch CaptchaCore geschütztes Formular nutzen, werden folgende Daten verarbeitet:

• IP-Adresse: Wird für die Prüfung verarbeitet und nur gekürzt (letztes Oktett bei IPv4, letzte 80 Bit bei IPv6 auf 0) sowie als Hash mit alle 6 Stunden wechselndem Salt gespeichert — nie im Klartext.
• Browser-Informationen: Der User-Agent wird im Klartext ausgewertet, gespeichert nur als gesalzener Hash und als grobe Browser-, Betriebssystem- und Gerätefamilie.
• Umgebungsmerkmale: Technische Kennzahlen zur Erkennung automatisierter Browser; sie werden nicht gespeichert.
• Proof-of-Work-Lösung: Ihr Browser löst eine mathematische Aufgabe. Die Lösung wird nach Prüfung sofort gelöscht.
• Verhaltenskennzahlen: Verdichtete Kennzahlen (keine Rohdaten) zu Mausbewegung, Tipp-Verhalten und Scroll-Aktivität. Diese werden lokal in Ihrem Browser berechnet.

Welche Daten werden NICHT verarbeitet?

• Keine Cookies, auch nicht im Under-Attack-Mode
• Keine Formulardaten (Name, E-Mail, Nachricht etc.)
• Keine Mausbewegungen, Tastatureingaben oder Scroll-Positionen im Klartext
• Kein Tracking über Seiten oder Domains hinweg
• Keine Weitergabe an Dritte zu eigenen Zwecken; einziger Unterauftragsverarbeiter für Besucherdaten ist Bunny.net für die Auslieferung der Widget-Datei (siehe Ziffer 16); keine Drittlandübertragung bei der Verifikation

Zweck der Verarbeitung

Die Datenverarbeitung dient ausschließlich dem Schutz des Webformulars vor automatisierten Bot-Angriffen und Spam (berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer

IP-bezogene Angaben werden nach 30 Tagen aus den Verifikationslogs entfernt; die übrigen Angaben ohne Personenbezug werden je nach gebuchtem Paket nach 7 bis 365 Tagen gelöscht.

14. Datenschutzbestimmungen für Service-Nutzer

Diese Bestimmungen gelten für registrierte Kunden, die CaptchaCore in ihre Webseiten integrieren.

Verantwortlichkeiten

• Sie (der Kunde) sind Verantwortlicher gemäß Art. 4 Nr. 7 DSGVO für die Verarbeitung personenbezogener Daten Ihrer Webseitenbesucher.
• CaptchaCore / SpeedIT Solutions ist Auftragsverarbeiter gemäß Art. 4 Nr. 8 DSGVO.

Ihre Pflichten als Webseitenbetreiber

• Information Ihrer Nutzer über den Einsatz von CaptchaCore in Ihrer Datenschutzerklärung
• Nennung der Rechtsgrundlage (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse)
• Hinweis, dass keine Cookies gesetzt werden und bei der Verifikation keine Datenübertragung in Drittländer stattfindet — sowie, falls Sie den globalen CDN-Endpunkt aktiviert haben, ein Hinweis auf die weltweite Auslieferung der Widget-Datei

Mustertext für Ihre Datenschutzerklärung

Diese Website verwendet CaptchaCore zum Schutz von Formularen vor automatisierten Bot-Angriffen. CaptchaCore wird von SpeedIT Solutions UG (haftungsbeschränkt), Isernhagen, Deutschland betrieben. Zur Auslieferung des Widget-JavaScripts wird das Content Delivery Network von Bunny.net (BunnyWay d.o.o., Slowenien) eingesetzt, standardmäßig ausschließlich über Server in der EU. [Falls Sie den globalen Endpunkt aktiviert haben, ersetzen Sie den vorstehenden Halbsatz durch: „…eingesetzt; die Auslieferung erfolgt dabei weltweit, die Übermittlung in Drittländer ist durch Standardvertragsklauseln abgesichert."]

Bei der Nutzung eines geschützten Formulars wird eine kryptografische Proof-of-Work-Aufgabe im Browser gelöst. Dabei werden verdichtete Verhaltenskennzahlen und technische Umgebungsmerkmale des Browsers erhoben (z. B. Kennzahlen zu Maus- und Tipp-Verhalten, Canvas-Renderzeit, ob per Software gerendert wird, verfügbare Web-APIs) und zusammen mit dem User-Agent an CaptchaCore übermittelt — keine Rohdaten wie Tastatureingaben oder Mausbewegungen. Es werden keine Cookies gesetzt und keine Daten im Browser gespeichert; die Verifikation erfolgt ohne Übermittlung in Drittländer. IP-Adressen werden nur gekürzt und als Hash mit wechselndem Salt gespeichert und nach 30 Tagen entfernt.

Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses an der Abwehr von Spam und Bot-Angriffen (Art. 6 Abs. 1 lit. f DSGVO). Weitere Informationen und die vollständige Liste der Unterauftragsverarbeiter: captchacore.eu/seite/datenschutz

15. Auftragsverarbeitungsvertrag (AVV)

Den Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO schließen Sie im Kundenbereich elektronisch ab. Der AVV regelt:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Art der personenbezogenen Daten und Kategorien betroffener Personen
• Pflichten und Rechte des Verantwortlichen
• Technische und organisatorische Maßnahmen (TOMs)
• Einsatz von Unterauftragsverarbeitern

Anfragen richten Sie bitte an: datenschutz@captchacore.eu

16. Content Delivery Network (CDN)

Für die Auslieferung des CaptchaCore-Widgets nutzen wir das Content Delivery Network von Bunny.net (BunnyWay d.o.o., Cesta komandanta Staneta 4A, 1215 Medvode, Slowenien). Bunny.net ist ein europäisches Unternehmen mit Sitz in der EU.

Warum ein CDN?

Das CDN sorgt dafür, dass das Widget-JavaScript (~16 KB) von einem Server in der Nähe des Webseitenbesuchers geladen wird, was die Ladezeit deutlich reduziert.

EU-only Endpoint (Standard)

Standardmäßig wird das Widget über den EU-only Endpoint (src-eu.captchacore.eu) ausgeliefert. Dabei werden ausschließlich Server in Mitgliedstaaten der EU verwendet — keine Datenübertragung in Drittländer.

Globaler Endpoint (optional)

Optional kann der globale Endpoint (src.captchacore.eu) aktiviert werden, der zusätzlich die weltweiten Standorte des CDN-Anbieters nutzt (laut Anbieter 119 Standorte).

Welche Daten verarbeitet das CDN?

• Das CDN liefert ausschließlich statische JavaScript-Dateien aus — keine dynamischen Inhalte, keine personenbezogenen Daten.
• Bunny.net verarbeitet dabei technisch notwendige Verbindungsdaten (IP-Adresse, User-Agent) gemäß ihrer Datenschutzerklärung.
• Es werden keine Cookies durch das CDN gesetzt.
• Die API-Kommunikation (Challenges, Verifikationen) läuft nicht über das CDN, sondern direkt an unsere Server in Deutschland.