Datenschutzerklärung

Stand 16.10.2026

Diese Erklärung beschreibt, welche personenbezogenen Daten wir verarbeiten, wenn Sie semafio.com besuchen, einen kostenlosen Scan starten, ein Konto anlegen, eine App prüfen lassen oder das Paket Scanner buchen. Sie gilt für die Website und die Web-App von Semafio.

1. Verantwortlicher

Für Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter datenschutz@semafio.com. Einen Datenschutzbeauftragten haben wir nicht benannt, weil wir dazu gesetzlich nicht verpflichtet sind.

2. Überblick

Semafio prüft Web-Apps, die mit KI-Werkzeugen wie Lovable, Bolt, Replit oder Cursor gebaut wurden, automatisch nach einem öffentlichen Katalog in den Bereichen Sicherheit, Datenschutz, KI-Verordnung, Betrieb und Recht. Geprüft werden in erster Linie technische Merkmale einer App, nicht Personen. Personenbezogene Daten verarbeiten wir vor allem, wenn Sie unsere Website aufrufen, ein Konto nutzen, bezahlen oder uns schreiben. Bei der Prüfung einer App können außerdem Daten anfallen, die die geprüfte App selbst öffentlich ausliefert.

Wir zeigen keine Werbung, binden keine Social-Media-Plugins ein und nutzen kein Tracking über Dritte. Schriften liefern wir von unserem eigenen Server aus; eine Verbindung zu Google Fonts findet nicht statt. In Phase 1 setzen wir keine Anbieter von KI-Modellen ein. Sollte sich das ändern, ergänzen wir diese Erklärung vorher.

3. Hosting und Server-Logfiles

Die Web-App und die Datenbank (MySQL) betreiben wir bei der Hostinger International Ltd. (Larnaka, Zypern) in einem Rechenzentrum in Frankfurt am Main. Hostinger ist für uns als Auftragsverarbeiter nach Art. 28 DSGVO tätig.

Bei jedem Aufruf unserer Seiten verarbeitet der Server technisch notwendige Angaben: IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Statuscode, verweisende Seite und Browserkennung (User-Agent). Diese Angaben werden in Logfiles beim Hoster gespeichert, um den Betrieb zu sichern und Angriffe zu erkennen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem sicheren und stabilen Betrieb. Die Logfiles werden nach [Speicherdauer beim Hoster, z. B. höchstens 30 Tagen] gelöscht, soweit sie nicht zur Aufklärung eines Sicherheitsvorfalls länger benötigt werden.

4. Kostenloser Scan ohne Konto

Den kostenlosen Scan können Sie ohne Konto starten, einmal pro Monat und Domain. Er ist passiv: Wir rufen die Startseite der angegebenen Adresse so ab, wie es ein normaler Besucher tut, und lesen nur öffentlich ausgelieferte Inhalte. Dazu gehören das HTML, Skripte derselben Herkunft, die HTTP-Header, das TLS-Zertifikat, die Datei /.well-known/security.txt sowie Impressum und Datenschutzerklärung der Website. Für einen Teil der Kriterien lädt unser Scan-Worker die Startseite zusätzlich in einem Browser (siehe Abschnitt 6.4).

Was wir speichern: die eingegebene URL, die Messergebnisse je Kriterium und, zur Begrenzung von Missbrauch, einen gesalzenen Hash Ihrer IP-Adresse. Die IP-Adresse selbst speichern wir dabei nicht im Klartext.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Durchführung des von Ihnen angeforderten Scans, Art. 6 Abs. 1 lit. f DSGVO für die Begrenzung (unser berechtigtes Interesse ist der Schutz des Dienstes vor missbräuchlicher und massenhafter Nutzung).

Speicherdauer: Den IP-Hash löschen wir nach 30 Tagen, kostenlose Scans ohne Konto nach 90 Tagen.

Daten auf der geprüften Website

Öffentlich ausgelieferte Inhalte können personenbezogene Daten enthalten, etwa Namen und Kontaktdaten im Impressum der geprüften Website. Wir werten solche Inhalte nur aus, soweit es für das jeweilige Kriterium nötig ist, und speichern im Ergebnis vor allem Feststellungen (zum Beispiel, ob Pflichtangaben vorhanden sind), Namen von Cookies und Adressen eingebundener Drittdienste. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, öffentlich zugängliche Websites auf Sicherheits- und Datenschutzmängel zu prüfen. Die Daten stammen aus der geprüften Website selbst. Für Ihre Rechte als betroffene Person gilt Abschnitt 15.

5. Konto und Anmeldung

Für ein Konto verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und Ihr Passwort, das wir nur als Hash speichern. Ihre E-Mail-Adresse bestätigen Sie über einen Link, den wir Ihnen schicken. Die Anmeldung betreiben wir selbst (mit der Open-Source-Software Better Auth) auf unserem Server bei Hostinger; Kontodaten liegen in unserer eigenen Datenbank.

Wenn Sie die Zwei-Faktor-Anmeldung per App einschalten, speichern wir das dafür nötige TOTP-Geheimnis und Ihre Backup-Codes verschlüsselt in unserer Datenbank. Die Codes erzeugt Ihre Authenticator-App auf Ihrem Gerät; an den Anbieter dieser App übermitteln wir nichts.

Nach der Anmeldung setzen wir ein technisch notwendiges Sitzungs-Cookie (siehe Abschnitt 12). Zu jeder Sitzung speichern wir die IP-Adresse und die Browserkennung, damit wir missbräuchliche Anmeldungen erkennen können. Wichtige Vorgänge in Ihrem Konto, etwa die Erteilung oder der Widerruf einer Prüferlaubnis und Löschungen, protokollieren wir mit Zeitpunkt und Konto, ohne Inhalte aus Scans.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Kontos), für Sitzungsdaten und Protokolle Art. 6 Abs. 1 lit. f DSGVO (Schutz Ihres Kontos und Nachvollziehbarkeit). Speicherdauer: bis zur Löschung des Kontos. Sie können Ihr Konto jederzeit selbst im Konto unter Einstellungen löschen. Danach bewahren wir nur auf, was wir nach Abschnitt 14 aufbewahren müssen oder dürfen.

6. Apps einreichen und prüfen lassen

6.1 Domain-Nachweis

Bevor wir eine App tiefer prüfen, weisen Sie nach, dass Sie über die Domain verfügen. Dazu legen Sie einen DNS-TXT-Eintrag an oder stellen eine Datei unter /.well-known/semafio.txt bereit. Wir speichern den Namen der App, die Adresse, den Prüfwert für den Nachweis, die gewählte Methode und den Zeitpunkt der erfolgreichen Prüfung.

6.2 Prüferlaubnis

Für die tieferen Prüfungen erteilen Sie uns eine ausdrückliche Prüferlaubnis. Wir protokollieren dazu den Zeitpunkt, Ihr Konto, Ihre E-Mail-Adresse, den Wortlaut der Erlaubnis und dessen Version. Das Protokoll dient dem Nachweis, dass die Prüfung erlaubt war, und unserer Rechtsverteidigung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Wir bewahren das Protokoll 3 Jahre nach Widerruf der Erlaubnis oder nach Löschung der App bzw. des Kontos auf. Den Widerruf können Sie jederzeit im Konto erklären; danach finden keine weiteren tieferen Prüfungen statt.

6.3 Tiefere Prüfungen

Nach Domain-Nachweis und Prüferlaubnis führen wir zusätzliche Prüfungen durch, unter anderem:

• Wir prüfen mit dem öffentlichen Anon-Key der App, ob Tabellen einer Supabase-Datenbank ohne Anmeldung lesbar sind. Gespeichert werden nur die Tabellennamen und das Ergebnis „lesbar ja oder nein“, nie Inhalte der Tabellen.
• Wir rufen eine feste Liste bekannter Pfade ab, etwa /.env oder /.git/HEAD, und halten fest, ob sie erreichbar sind.
• Erkannte Bibliotheken und ihre Versionen gleichen wir mit der öffentlichen Datenbank OSV (osv.dev, betrieben von Google) ab. Übermittelt werden nur Paketnamen und Versionen, keine personenbezogenen Daten.

Soweit Sie das Paket Scanner gebucht haben und bei diesen Prüfungen personenbezogene Daten aus Ihrer App anfallen, verarbeiten wir sie in Ihrem Auftrag nach dem Vertrag zur Auftragsverarbeitung. Für Ihre eigenen Daten als Kontoinhaber (Konto, Zahlung, Prüferlaubnis) bleiben wir Verantwortlicher.

6.4 Browser-Prüfung durch den Scan-Worker

Für Kriterien wie „Kein Tracking vor Einwilligung“ lädt ein eigener Scan-Worker die Startseite der geprüften App in einem Browser, ohne eine Einwilligung zu erteilen. Er protokolliert, welche Cookies gesetzt werden (nur Namen und Eigenschaften wie Secure oder HttpOnly, keine Werte) und welche Anfragen an Drittanbieter gehen. Der Worker läuft auf einem eigenen virtuellen Server bei Hostinger ([Standort des VPS, z. B. Frankfurt am Main]) und ruft die App mit einer festen ausgehenden IP-Adresse auf. Daten von Ihnen als Nutzer von Semafio verarbeitet er nicht.

Rechtsgrundlage für die Prüfungen in diesem Abschnitt ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrags). Speicherdauer: Scans und Befunde eines Kontos speichern wir, bis Sie die App oder Ihr Konto löschen.

7. Berichte, PDF und private Prüfseite

Aus den Messungen erstellen wir einen Bericht mit Befunden und Korrektur-Prompts, den Sie im Konto abrufen und als PDF exportieren können. Das PDF erzeugen wir auf unserem eigenen Server.

Auf Wunsch geben Sie für eine App eine private Prüfseite frei, die über einen geheimen Link erreichbar ist. Sie zeigt nur die Ampel je Bereich und das Datum der Prüfung, keine Details zu Schwachstellen, und ist für Suchmaschinen gesperrt. Wer den Link kennt, kann die Seite aufrufen. Sie entscheiden, an wen Sie den Link weitergeben, und können die Freigabe jederzeit im Konto beenden. Beim Aufruf der Prüfseite fallen beim Besucher nur die Server-Logfiles nach Abschnitt 3 an.

8. E-Mails

E-Mails zu Ihrem Konto, etwa zur Bestätigung Ihrer E-Mail-Adresse, zum Zurücksetzen des Passworts und die Nachricht, dass ein Scan fertig ist, senden wir aus unserem eigenen Postfach bei Hostinger Mail (SMTP, Hostinger International Ltd., Server in der EU). Dabei werden Ihre E-Mail-Adresse und der Inhalt der Nachricht verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Newsletter oder Werbe-Mails versenden wir nicht.

9. Zahlung über Stripe

Das Paket Scanner bezahlen Sie über Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland). Zahlungsdaten wie Kartennummer oder Kontoverbindung geben Sie direkt bei Stripe ein; wir erhalten sie nicht. Dort geben Sie auch Rechnungsanschrift und gegebenenfalls Ihre USt-IdNr. an. Wir übergeben an Stripe Ihre E-Mail-Adresse und die Kennung Ihres Kontos und speichern von Stripe die Kunden- und Abonnement-Kennung, den Status des Abonnements und das Ende des Abrechnungszeitraums. Rechnungen erstellt und versendet Stripe.

Stripe verarbeitet die Zahlungsdaten als eigener Verantwortlicher, unter anderem zur Betrugsprävention und zur Erfüllung eigener gesetzlicher Pflichten. Dabei können Daten an die Stripe, Inc. in den USA übermittelt werden. Stripe stützt die Übermittlung auf das EU-U.S. Data Privacy Framework und auf Standardvertragsklauseln. Einzelheiten finden Sie unter stripe.com/de/privacy.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Aufbewahrungspflichten). Rechnungs- und Buchungsdaten bewahren wir 8 bzw. 10 Jahre auf.

10. Kontakt und Meldungen zu Sicherheitslücken

Wenn Sie uns per E-Mail schreiben, etwa an hallo@semafio.com oder mit einer Meldung zu einer Sicherheitslücke an security@semafio.com, verarbeiten wir Ihre Adresse, Ihren Namen, soweit angegeben, und den Inhalt der Nachricht, um Ihr Anliegen zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO (Beantwortung von Anfragen und Behebung gemeldeter Lücken).

11. Webanalyse mit Umami

Nur mit Ihrer Einwilligung werten wir die Nutzung unserer Website mit Umami aus, einer Open-Source-Software für Webanalyse. Umami betreiben wir selbst als LEA Software unter analytics.lea-software.com auf einem Server in Frankfurt am Main. Die Daten werden nicht an Dritte weitergegeben.

Verarbeitete Daten: aufgerufene Seiten, verweisende Website, Zeitpunkt, Browser, Betriebssystem, Gerätetyp, Bildschirmgröße, Sprache und das aus der IP-Adresse abgeleitete Land, außerdem einzelne Aktionen wie „Scan gestartet“ ohne Angaben zu Ihrer Person. Umami setzt keine Cookies und speichert keine IP-Adressen. Die IP-Adresse wird nur kurz verwendet, um das Land zu bestimmen und zusammen mit Browserangaben und einem regelmäßig wechselnden Wert eine Kennung für den Besuch zu bilden, aus der wir Sie nicht bestimmen können. Hat Ihr Browser „Do Not Track“ eingeschaltet, erfasst Umami nichts.

Zweck ist, zu verstehen, welche Inhalte genutzt werden, und die Website zu verbessern. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Ohne Einwilligung wird das Skript von Umami nicht geladen. Speicherdauer: [Speicherdauer der Analysedaten, z. B. 24 Monate].

Widerruf: Ihre Einwilligung speichern wir in Ihrem Browser im localStorage unter semafio_consent_v1. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, über „Cookie-Einstellungen“ in der Fußzeile oder direkt hier:

Cookie-Einstellungen

12. Cookies und lokaler Speicher

Wir setzen nur Cookies und Einträge im lokalen Speicher Ihres Browsers, die für den Betrieb unbedingt erforderlich sind. Rechtsgrundlage für das Speichern und Auslesen ist § 25 Abs. 2 Nr. 2 TDDDG, für die weitere Verarbeitung Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Werbe- oder Tracking-Cookies setzen wir nicht.

Cookies

Lokaler Speicher

Bei der Bezahlung leiten wir Sie zu Stripe weiter. Welche Cookies Stripe auf seinen Seiten setzt, beschreibt Stripe in seiner eigenen Datenschutzerklärung.

13. Empfänger und Übermittlung in Drittländer

Die folgende Übersicht nennt alle Stellen, an die wir Daten weitergeben oder die Daten für uns verarbeiten. Eine Weitergabe zu Werbezwecken findet nicht statt.

Wenn wir eine App prüfen, erhält deren Server unsere Anfragen, so wie bei jedem anderen Besucher. Das betrifft auch die Supabase-Datenbank der geprüften App. Daten unserer Nutzer übermitteln wir dabei nicht.

14. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder eine gesetzliche Pflicht besteht. Danach löschen wir sie oder schränken die Verarbeitung ein, bis eine Aufbewahrungsfrist abgelaufen ist.

15. Ihre Rechte

Sie haben uns gegenüber folgende Rechte in Bezug auf Ihre personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, können Sie dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Für alle Anliegen genügt eine formlose Nachricht an datenschutz@semafio.com.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, www.baden-wuerttemberg.datenschutz.de.

16. Pflicht zur Bereitstellung und automatisierte Entscheidungen

Sie sind nicht verpflichtet, uns Daten bereitzustellen. Ohne E-Mail-Adresse und Passwort können wir Ihnen jedoch kein Konto einrichten, ohne die Adresse einer App keinen Scan durchführen. Eine automatisierte Entscheidung im Einzelfall nach Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet, treffen wir nicht. Die automatischen Bewertungen in unseren Berichten beziehen sich auf technische Merkmale einer App.

17. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Leistungen, die eingesetzten Dienste oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung. Ergänzend gelten unsere Nutzungsbedingungen und für Kunden des Pakets Scanner der Vertrag zur Auftragsverarbeitung.