Veracly ist ein B2B-SaaS, das öffentlich zugängliche Webseiten auf Compliance-Probleme prüft. Wir verarbeiten begrenzte personenbezogene Daten – Namen, Geschäfts-E-Mails, Rechnungsadressen und Audit-Logs – zur Leistungserbringung. Wir verkaufen keine Daten und geben sie nicht an Werbetreibende weiter. Wir verarbeiten personenbezogene Daten in fünf nachfolgend beschriebenen eigenständigen Tätigkeiten.
- 01
Wer wir sind
RR Sols Pty Ltd (ABN 56 672 722 486, ACN 672 722 486), handelnd als Veracly. Eingetragener Sitz: 136 Arthur Allen Drive, Bardia, NSW 2565, Australien. Geschäftsführer und vertretungsberechtigte Person: Purushotham Reddy Pamuluru.
- 02
EU- und UK-DSGVO-Vertreter
Da RR Sols Pty Ltd nicht in der EU oder im Vereinigten Königreich niedergelassen ist, haben wir gemäß Art. 27 DSGVO und Art. 27 UK-DSGVO Vertreter benannt. EU-Bürger können unseren EU-Vertreter kontaktieren: Prighter EU Rep GmbH, Schellinggasse 3/10, 1010 Wien, Österreich. UK-Bürger können unseren UK-Vertreter kontaktieren: Prighter Ltd, 20 Mortlake High Street, London, SW14 8JN, Vereinigtes Königreich. Um Ihre Rechte als betroffene Person auszuüben oder eine Beschwerde einzureichen, können Sie eine Anfrage über das Prighter-Portal stellen: https://app.prighter.com/portal/11399422438. Bitte geben Sie ID-11399422438 in jeglicher Korrespondenz an.
- 03
Wie wir personenbezogene Daten verarbeiten – fünf Tätigkeiten
Wir verarbeiten personenbezogene Daten in fünf eigenständigen Tätigkeiten, jeweils mit eigener Rechtsgrundlage, Datenkategorie und Aufbewahrungsfrist. Die Abschnitte 4–8 enthalten die Art.-13/14-DSGVO-Datenschutzhinweise zu jeder Tätigkeit. Übergreifende Themen – automatisierte Verarbeitung, internationale Übermittlungen, Ihre Rechte und Sicherheit – folgen in den Abschnitten 9–13.
- 04
Tätigkeit 1 – Besucher von veracly.app
Verarbeitete Daten: täglich rotierte Hashed-IP-Adresse (nicht im Klartext gespeichert), Browser-Metadaten, aufgerufene Seiten, Referrer sowie Kontaktformular-Einsendungen (Name, E-Mail, Nachricht – nur wenn Sie das Formular nutzen). Zweck: Betrieb der Website, Beantwortung von Anfragen und Performance-Monitoring. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, berechtigte Interessen (Website-Betrieb, cookieless Aggregate Analytics). Wir verwenden Vercel Web Analytics und Speed Insights – keine Cookies, kein Fingerprinting, keine Einwilligung erforderlich. Kontaktformulardaten werden 24 Monate aufbewahrt und dann gelöscht; Performance-Logs werden innerhalb von 30 Tagen rotiert. Empfänger: Vercel, Inc. (Hosting und Analytics). Beschwerderecht: Ihre zuständige Aufsichtsbehörde oder die österreichische DSB (zuständig für unseren EU-Vertreter).
- 05
Tätigkeit 2 – Nutzer des kostenlosen Scans
Verarbeitete Daten: von Ihnen eingegebene E-Mail-Adresse, gescannte Domain, Scan-Zeitstempel, IP-Adresse zum Anfragezeitpunkt sowie Scan-Ergebnisse (nur öffentliche Seiteninhalte – es wird kein Konto angelegt). Zweck: Durchführung des angeforderten Scans, Durchsetzung des Limits (ein kostenloser Scan je E-Mail-Adresse alle 7 Tage) und Erkennung von Missbrauch. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage) für den Scan selbst; Art. 6 Abs. 1 lit. f DSGVO, berechtigte Interessen, für Rate-Limiting und Missbrauchsprävention. Aufbewahrung: 30 Tage, anschließend automatische Löschung. Empfänger: Vercel (Hosting), Clerk (Authentifizierungsinfrastruktur), AWS EU-West-1 Frankfurt (Worker-Compute). Keine Marketingnutzung; keine Weitergabe zu Werbezwecken.
- 06
Tätigkeit 3 – Outreach-Empfänger (Informationspflicht nach Art. 14 DSGVO)
Falls Sie eine Kalt-E-Mail von puru@veracly.app erhalten haben: Ihre Kontakt-E-Mail-Adresse wurde von Ihrer Website oder einem öffentlich zugänglichen Branchenverzeichnis entnommen. Verarbeitete Daten: geschäftliche E-Mail-Adresse, Unternehmensname, öffentlich zugängliche Domain sowie ein oder mehrere Compliance-Befunde aus einem öffentlichen Crawl. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, berechtigte Interessen – Versand einer einzigen informellen E-Mail über einen technischen Compliance-Befund zu Ihrer öffentlich zugänglichen Website. Interessenabwägung dokumentiert: Der Befund ist in DevTools selbst nachprüfbar; Sie werden als Unternehmensverantwortliche/r, nicht als Privatperson, kontaktiert; die Verarbeitung beschränkt sich auf öffentlich verfügbare Kontaktdaten und Befunde. Widerspruchsrecht (Art. 21 DSGVO): Antworten Sie mit einer Ablehnung beliebiger Formulierung oder schreiben Sie an privacy@veracly.app – wir sperren Ihre Adresse sofort und dauerhaft und löschen alle zugehörigen Daten. Aufbewahrung: bis zum Widerspruch oder 6 Monate ab Erhebung, je nachdem, was früher eintritt. Kein Profiling; keine automatisierte Einzelentscheidung mit rechtlicher oder ähnlich erheblicher Wirkung.
- 07
Tätigkeit 4 – Kontoinhaber und zahlende Kunden
Verarbeitete Daten: Name, geschäftliche E-Mail-Adresse, Organisationsname, Rechnungsadresse, USt-IdNr., Abo-Stufe, Scan-Verlauf, PDF-Berichte, Rechnungen sowie Zahlungsmittel-Metadaten (Kartendaten werden von Stripe verarbeitet – wir speichern keine Kartennummern im Klartext). Zweck: Erbringung des Scan-Dienstes, Abrechnung, Service-Benachrichtigungen und Erfüllung steuerlicher Pflichten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung: Steuerunterlagen, australisches Corporations Act 2001). Aufbewahrung: Kontodaten für die Dauer des Kontos (Selbstlöschung unter /account/profile möglich); Scan-Ergebnisse 12 Monate nach jedem Scan; Abrechnungsunterlagen 7 Jahre (australische Aufbewahrungspflicht). Empfänger: Stripe, Inc. (Abrechnung, USA – AV, SCCs); Clerk, Inc. (Authentifizierung, USA – AV, SCCs); Amazon Web Services EMEA SARL (Hosting, Frankfurt für EU-Kunden – AVV, SCCs); Revenue Commissioners, Irland (USt-OSS-Meldung – nur Name, Land und Transaktionsbetrag, keine Scan-Inhalte). Beschwerderecht: Ihre zuständige Datenschutzbehörde oder die österreichische DSB.
- 08
Tätigkeit 5 – Auftragsverarbeiterliste
Aktuelle Auftragsverarbeiter: Vercel, Inc. (Web-Hosting und Analytics, USA – AV, SCCs); Clerk, Inc. (Authentifizierung, USA – AV, SCCs); Amazon Web Services EMEA SARL (Compute und Storage, EU-West-1 Frankfurt für EU-Kunden und US-East-1 Virginia für US-Kunden – AWS AVV, SCCs); Stripe, Inc. (Zahlungsabwicklung, USA – AV, SCCs); Anthropic PBC (KI-Texterstellung in Scan-Berichten, USA – AV, SCCs; wir übermitteln nur technische Verstoßdaten und einen kurzen HTML-Ausschnitt – keine Konto- oder Abrechnungsdaten); Revenue Commissioners, Irland (USt-OSS-Meldung – nur Name, Land und Betrag). Die vollständige Liste mit Gültigkeitsdaten ist unter veracly.app/subprocessors veröffentlicht. Vor Hinzufügung eines neuen Auftragsverarbeiters informieren wir Sie 14 Tage im Voraus; Sie können gemäß AVV-Bedingungen innerhalb von 10 Tagen widersprechen.
- 09
Automatisierte Verarbeitung und KI
Einige Texte in Ihrem Compliance-Bericht — klar formulierte Erklärungen von Verstößen, die Zusammenfassung, Vorschläge zur Behebung und Übersetzungen in die unterstützten Sprachen — werden von einem KI-Modell von Anthropic (Claude) generiert, das als Auftragsverarbeiter in unserem Auftrag tätig ist. An die KI senden wir die technischen Verstoßdaten und einen kurzen HTML-Ausschnitt des betroffenen Elements; wir übermitteln weder Ihren Firmennamen noch Kontaktdaten oder andere bei uns gespeicherte personenbezogene Daten. KI-generierte Texte werden gegen deterministische Vorlagen abgesichert; ist die KI nicht verfügbar, fallen wir automatisch auf diese Vorlagen zurück. Wir treffen keine Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung Ihnen gegenüber (Art. 22 DSGVO). Sie können jederzeit eine menschliche Überprüfung einer KI-erzeugten Passage anfordern unter privacy@veracly.app.
- 10
Wie lange wir sie speichern
Wir speichern personenbezogene Daten nur so lange, wie es für den Zweck der Erhebung erforderlich ist. Scan-Ergebnisse — einschließlich Befunden, zugrunde liegender Rohdaten, jurisdiktionsbezogener Bewertungen und erzeugter PDF-Berichte — werden 12 Monate nach Abschluss des Scans gelöscht. PDF-Berichte kostenloser Scans und der zugehörige kryptografische Verifizierungsnachweis werden 60 Tage (2 Monate) ab Ausstellung aufbewahrt und danach entfernt. KI-Nutzungseinträge (Modellname, Token-Anzahl, Kosten) werden 24 Monate aufbewahrt, um Abrechnungs- oder Prüfungsanfragen beantworten zu können. Der Verlauf kostenloser Scans (zur Durchsetzung des Limits von einem kostenlosen Scan pro E-Mail-Adresse alle 7 Tage) wird 30 Tage gespeichert. Öffentliche Kontaktformular-Einsendungen werden 24 Monate für Vertriebs-Follow-ups aufbewahrt und anschließend gelöscht. Kontodaten — Ihr Profil, Ihre Organisation und die Verknüpfung mit dem Authentifizierungsanbieter — bleiben für die Dauer des Kontos gespeichert; Sie können sie jederzeit selbst unter /account/profile oder per E-Mail an privacy@veracly.app löschen. Abrechnungsunterlagen bei Stripe und unserer Buchhaltungssoftware werden 7 Jahre aufbewahrt, um die australischen Aufbewahrungspflichten der RR Sols Pty Ltd zu erfüllen. Ein täglicher automatisierter Auftrag setzt diese Fristen durch.
- 11
Ihre Rechte (Art. 15–22 DSGVO)
Auskunft (Art. 15): Kopie der bei uns gespeicherten personenbezogenen Daten erhalten. Berichtigung (Art. 16): unrichtige Daten korrigieren lassen. Löschung (Art. 17): Daten löschen lassen, sofern keine gesetzliche Aufbewahrungspflicht besteht – Kontodaten können Sie selbst unter /account/profile löschen. Einschränkung (Art. 18): Verarbeitung während einer Streitigkeit aussetzen lassen. Übertragbarkeit (Art. 20): Kontodaten in maschinenlesbarem Format erhalten. Widerspruch (Art. 21): der Verarbeitung auf Basis berechtigter Interessen widersprechen; wir stellen die Verarbeitung ein, sofern wir keine zwingenden schutzwürdigen Gründe nachweisen. Einwilligung widerrufen (Art. 7 Abs. 3): bei einwilligungsbasierter Verarbeitung jederzeit für die Zukunft widerrufen. Kein vollautomatisiertes Entscheiden (Art. 22): wir treffen keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung. Beschwerde: Ihre zuständige Aufsichtsbehörde oder die österreichische DSB (Datenschutzbehörde) als zuständige Behörde für unseren EU-Vertreter Prighter EU Rep GmbH. Zur Ausübung Ihrer Rechte: privacy@veracly.app oder Selbstbedienungstools unter /account. Antwortfrist: ein Monat, bei komplexen Anfragen verlängerbar um zwei Monate.
- 12
Internationale Datenübermittlungen und Schutzmaßnahmen
EU-Kundendaten werden in AWS EU-West-1 Frankfurt gehostet. Australien verfügt über keinen EU-Angemessenheitsbeschluss: Jede Übermittlung personenbezogener Daten aus der EU an Server von RR Sols Pty Ltd in Australien (für technischen Zugriff, Prüfung und Finanzen) erfolgt auf Grundlage der Standardvertragsklauseln (Beschluss der EU-Kommission 2021/914, Modul 3). Übermittlungen aus dem Vereinigten Königreich erfolgen auf Basis des UK International Data Transfer Addendum (IDTA) zu den EU-SCCs. US-amerikanische Auftragsverarbeiter (Vercel, Clerk, Stripe, Anthropic) sind über die SCC-Module 2 des Beschlusses 2021/914 abgesichert. Vor der Einbindung jedes Auftragsverarbeiters in einem Drittland ohne Angemessenheitsentscheidung wird eine Transfer-Folgenabschätzung durchgeführt. Kopien der anwendbaren SCCs und IDTAs sind auf Anfrage bei legal@veracly.app erhältlich. Zur Erfüllung der EU-Umsatzsteuerpflichten ist RR Sols Pty Ltd im Rahmen des Non-Union-OSS-Verfahrens in Irland registriert (EU372098920); die für Umsatzsteuererklärungen erforderlichen Transaktionsdaten werden an die irische Steuerbehörde (Revenue Commissioners) als Mitgliedstaat der Identifizierung übermittelt.
- 13
Wie wir Daten schützen
Verschlüsselung im Transport und Ruhezustand, rollenbasierte Zugriffskontrolle, Audit-Logging und regelmäßige Penetrationstests. SOC 2 Typ II ist in Vorbereitung.
- 14
Änderungen dieser Richtlinie
Wesentliche Änderungen werden mindestens 30 Tage vor Inkrafttreten per E-Mail angekündigt. Unwesentliche Änderungen spiegeln sich im obigen Datum wider.