Unsere Scan-Methodik & Rechtsgrundlage
Sitetals ist ein unabhängiges Compliance-Forschungsprojekt. Diese Seite erläutert in voller Transparenz, wie wir Compliance-Probleme aufdecken, warum wir Website-Betreiber kontaktieren und welcher rechtliche Rahmen unsere Kontaktaufnahme regelt.
Wer wir sind
Sitetals ist ein unabhängiges Unternehmen für Compliance-Analysen. Wir sind keine Rechtsanwaltskanzlei und mit keiner Aufsichtsbehörde verbunden. Wir verkaufen Compliance-Berichte; darüber hinaus prüfen wir aus eigenem Antrieb öffentlich zugängliche Websites und teilen den Betreibern unsere Feststellungen mit — kostenlos und ohne Gegenleistung. Wir führen systematische technische Überprüfungen öffentlich zugänglicher Webseiten durch, um potenzielle Risiken im Hinblick auf die Einhaltung EU-rechtlicher Vorgaben (DSGVO, TDDDG, DDG) zu identifizieren, und melden unsere Erkenntnisse den Website-Betreibern nach Treu und Glauben gemäß den Grundsätzen der Responsible Disclosure.
Wir unterhalten keine geschäftliche Beziehung zu irgendeiner Aufsichtsbehörde (CNIL, den deutschen Datenschutzbehörden oder anderen) und sind in keiner Weise mit ihnen verbunden.
Unsere technische Methodik
Ausschließlich passive Erfassung
Alle Compliance-Prüfungen erfolgen ausschließlich über standardmäßige, nicht authentifizierte öffentliche HTTP(S)-GET-Anfragen — dieselbe Methode, die jeder gewöhnliche Webbrowser beim Besuch einer Website verwendet. Wir tun Folgendes nicht:
- authentifizierten Zugang, Anmeldedaten oder Session-Tokens verwenden
- Verzeichnis-Brute-Forcing oder Path-Fuzzing betreiben
- versuchen, Web Application Firewalls (WAFs) oder Rate Limits zu umgehen
- auf nicht öffentliche, passwortgeschützte oder Mitgliedern vorbehaltene Bereiche zugreifen
- Website-Inhalte oder personenbezogene Daten von Website-Besuchern speichern, indexieren oder aufbewahren
- Profile der von uns kontaktierten Betreiber erstellen, anreichern oder sie re-identifizieren
Die einzigen personenbezogenen Daten, die wir aus einem Scan aufbewahren, sind die öffentlich gelistete geschäftliche Kontakt-E-Mail-Adresse, die wir auf Grundlage unserer dokumentierten Abwägung des berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) ausschließlich dazu verarbeiten, eine einzige Hinweis-E-Mail zu versenden und Opt-out-Anfragen nachzukommen.
Unser Scanner liest nur das, was jeder anonyme Besucher sehen kann. Technische Protokolle werden aufbewahrt, um im Falle einer behördlichen Anfrage den rechtmäßigen, passiven Zugriff nachweisen zu können.
Wie unser Scanner arbeitet
Unser Scanner weist sich bei jeder Anfrage als Sitetals-Compliance-Scanner/1.0 aus, mit einem Link auf diese Seite. Genau diese Angabe finden Sie in Ihren Server-Logs.
Unter diesem Namen geschehen zwei verschiedene Dinge, und wir halten sie auseinander.
Wird uns eine Website zur Prüfung genannt — von einer Besucherin, die hier eine Adresse eingibt, oder von einer Kundin, die einen Bericht für eine von ihr betriebene Website gekauft hat —, rufen wir diese Website ab, weil wir darum gebeten wurden. Die kostenlose Prüfung liest die Startseite und höchstens einige weitere Seiten. Der kostenpflichtige Bericht erfasst die Seiten aus der Sitemap der Website; wir erstellen ihn nur für Kundinnen und Kunden, die bestätigt haben, dass sie die Website betreiben. Eine Agentur mit einem unserer Agentur-Tarife kann dieselbe Prüfung über ihr Dashboard für die Websites ihrer Kunden starten; Seiten, die die robots.txt einer Website für uns sperrt, lesen wir nur, wenn die Agentur beim Hinzufügen dieser Website gemäß unseren Nutzungsbedingungen bestätigt hat, dass sie sie betreibt oder von ihrem Betreiber bevollmächtigt ist, sie prüfen zu lassen.
Suchen wir dagegen von uns aus nach Websites, hat uns niemand darum gebeten — und dann gilt für uns die engere Regel. Bevor wir eine Website abrufen, auf die uns niemand hingewiesen hat, lesen wir deren robots.txt und halten uns daran: Pfade, die uns dort verschlossen werden, rufen wir nicht ab, und eine Website, die sich uns vollständig verschließt, rufen wir überhaupt nicht ab. Eine angegebene Crawl-Verzögerung beachten wir. Hält uns die robots.txt von einer Seite fern, weisen unsere Ergebnisse darauf hin, statt das Nichtgelesene als etwas zu behandeln, das der Website fehlt.
In jedem Fall senden wir gewöhnliche, nicht authentifizierte GET-Anfragen — dasselbe, was ein Browser tut. Wir melden uns nicht an, probieren keine Adressen durch und umgehen weder Firewall noch Ratenbegrenzung noch Sperre. Ist von der Startseite keine Datenschutz- oder Rechtsseite verlinkt, versuchen wir eine kurze Liste der üblichen Adressen, damit wir eine Seite nicht als fehlend melden, die lediglich nicht verlinkt ist. Weist Ihr Server uns ab, war es das.
Wenn Sie nicht möchten, dass wir wiederkommen, ergänzen Sie Ihre robots.txt um:
User-agent: Sitetals-Compliance-Scanner
Disallow: /oder schreiben Sie uns — wir nehmen die Website aus unserer Liste.
Ermittlung der Kontakt-E-Mail-Adresse
Wir ermitteln Kontakt-E-Mail-Adressen ausschließlich aus:
- öffentlich gelisteten E-Mail-Adressen auf der Startseite, im Impressum, in den Mentions Légales oder auf der Kontaktseite der Website
- Dem
Contact:-Feld in einer/.well-known/security.txt-Datei (bevorzugt — gemäß RFC 9116 ist dies der vorgesehene Kanal für Responsible Disclosure)
Wir bevorzugen generische geschäftliche Adressen (info@, contact@, datenschutz@, security@). Wir kontaktieren keine auf eine namentlich genannte Person lautenden Adressen, es sei denn, sie sind ausdrücklich in einer security.txt-Datei aufgeführt.
Abwägung des berechtigten Interesses (LIA)
Hinweis für deutsche Websites: Die folgende Abwägung beschreibt die allgemeine Rechtsgrundlage unserer EU-weiten Methodik für Länder, in denen wir Hinweis-E-Mails versenden. Sie gilt nicht für deutsche (.de) Betreiber — für Deutschland führen wir ausschließlich den passiven Scan durch und nehmen zu keinem Zeitpunkt Kontakt per E-Mail auf.
Rechtsgrundlage für die Verarbeitung von Kontakt-E-Mail-Adressen: Art. 6 Abs. 1 lit. f DSGVO
Zweck: Benachrichtigung nach Treu und Glauben von Website-Betreibern über potenzielle Risiken im Hinblick auf die Einhaltung EU-rechtlicher Vorgaben, derer sie sich möglicherweise nicht bewusst sind.
Erforderlichkeit: Die Kontaktaufnahme per E-Mail ist der einzige praktikable Kanal, um Website-Betreiber zu erreichen, wenn kein anderer vorgesehener Meldemechanismus (wie etwa security.txt) existiert.
Abwägung: Der geringfügige Eingriff, eine einzige informative E-Mail zu erhalten, steht in einem angemessenen Verhältnis zum Nutzen, möglicherweise behördliche Sanktionen (einschließlich erheblicher Bußgelder nach der DSGVO) für das Unternehmen des Empfängers abzuwenden, und wird durch diesen Nutzen überwogen. Die E-Mail wird nur einmal versandt, ohne Nachfassen, ohne Tracking und mit einem sofortigen Opt-out-Mechanismus. Wir versenden keinerlei Kontaktaufnahme an deutsche (.de) Betreiber — für Deutschland gilt ausschließlich der Scan. Diese Benachrichtigungen sind rein informativ und nicht kommerziell: Sie enthalten keine Werbung und keinen Link zu einem kostenpflichtigen Produkt oder einer kostenpflichtigen Dienstleistung und verweisen ausschließlich auf unsere öffentliche Website.
Ein vollständiges, unterzeichnetes LIA-Dokument wird intern von Sitetals geführt. Im Einklang mit dem Rechenschaftsgrundsatz (Art. 5 Abs. 2 DSGVO) kann es jederzeit vorgelegt werden und steht den Aufsichtsbehörden innerhalb von 14 Tagen nach einer Anfrage zur Verfügung.
Unsere E-Mail-Richtlinie
Nur eine einzige E-Mail
Wir versenden genau eine Benachrichtigung pro Domain. Wir versenden niemals Erinnerungen oder Nachfassnachrichten und kontaktieren Betreiber, die nicht antworten, nicht erneut. Wenn sie nicht tätig werden, ist die Angelegenheit damit beendet.
Nur generische geschäftliche Adressen
Wir bevorzugen generische geschäftliche Adressen (info@, contact@, datenschutz@, security@, usw.) und schließen Adressen aus, die auf eine namentlich genannte Person lauten. Wir kontaktieren keine auf eine namentlich genannte Person lautenden E-Mail-Adressen, es sei denn, sie sind ausdrücklich als Meldekontakt in einer security.txt-Datei veröffentlicht.
Kein Tracking
Unsere Kontakt-E-Mails enthalten keine Tracking-Pixel zur Öffnungsmessung, keine Link-Klick-Tracker und keine Lesebestätigungen. Wir wissen bewusst nicht, ob unsere E-Mails geöffnet werden — das ist beabsichtigt und kein Versehen.
Sofortiges Opt-out
Jede Antwort mit dem Betreff „Abmelden“ / „Désabonner“ / „Unsubscribe“ oder eine E-Mail an optout@compliance.sitetals.com führt zur dauerhaften Entfernung von allen Kontaktlisten. Keine Bestätigung erforderlich. Keine Verzögerung. Die Adresse wird sofort gesperrt und nie wieder kontaktiert.
Deutschland: nur Scan — keine Outreach-E-Mails
Methodik (Deutsch)
Sitetals ist ein unabhängiges Sicherheits- und Compliance-Forschungsprojekt. Wir führen ausschließlich passive technische Überprüfungen öffentlich zugänglicher Webseiten durch (Standard-HTTP(S)-GET-Anfragen, ohne Authentifizierung) — identisch mit dem Vorgehen eines normalen Websitebesuchers.
Kein Outreach in Deutschland
Für deutsche Websites bieten wir ausschließlich den Scan an — wir versenden keinerlei Benachrichtigungs- oder Outreach-E-Mails an deutsche Betreiber.
Rechtlicher Grund: Das deutsche Lauterkeitsrecht (§ 7 Abs. 2 Nr. 3 Gesetz gegen den unlauteren Wettbewerb – UWG) qualifiziert unverlangte kommerzielle elektronische Kommunikation als unzumutbare Belästigung, sofern keine ausdrückliche vorherige Einwilligung des Empfängers vorliegt. Nach der ständigen Rechtsprechung des Bundesgerichtshofs gilt diese Anforderung auch für den B2B-Bereich. Auch wenn unsere Hinweise inhaltlich nicht als Werbung konzipiert sind, besteht in Deutschland aufgrund der engen Auslegung des § 7 UWG durch Gerichte und Abmahnvereine ein erhebliches rechtliches Risiko. Wir verzichten daher für Deutschland vollständig auf jegliche E-Mail-Outreach-Aktivität.
Fragen oder Bedenken?
Wenn Sie eine unserer Hinweis-E-Mails erhalten haben und Fragen zu unserer Methodik haben, von unseren Listen entfernt werden möchten oder der Ansicht sind, dass unsere Scan-Ergebnisse unzutreffend sind — kontaktieren Sie uns bitte direkt.
Kontaktieren Sie uns →