Datenschutzerklärung

Wer wir sind

Doclight ist ein Tool zur Messung der KI-Sichtbarkeit, entwickelt und betrieben von [TODO: legal entity name and registered address] („Doclight“, „wir“). Wir sind Verantwortliche für die in dieser Erklärung beschriebenen personenbezogenen Daten, außer dort, wo wir angeben, dass wir Daten im Auftrag eines Kunden verarbeiten.

Kontakt zu allen Fragen dieser Erklärung: [email protected].

Diese Erklärung gilt für:

• die Website und Dokumentation unter doclight.app
• die Doclight-App unter app.doclight.app und die API unter api.doclight.app
• den kostenlosen Website-Scanner unter try.doclight.app
• die Doclight-SDKs (@doclight/core, @doclight/node, @doclight/express, @doclight/mcp) und den Doclight-MCP-Server

Welche Daten wir erheben und warum

Ihr Konto

Wenn Sie ein Konto erstellen, erheben wir Ihre E-Mail-Adresse und ein Passwort. Das Passwort wird nur als Einweg-Hash (argon2) gespeichert, nie im Klartext. Außerdem speichern wir einen optionalen Empfehlungs- oder Einladungscode, Ihre Oberflächensprache, ein Land, das Sie freiwillig angeben können, ob Ihre E-Mail-Adresse bestätigt ist, sowie Anmeldezeitpunkte und fehlgeschlagene Anmeldeversuche zum Schutz des Kontos.

Wenn die Anmeldung mit Google oder GitHub angeboten wird und Sie sie nutzen, erhalten wir die Kontokennung und E-Mail-Adresse, die dieser Anbieter mit uns teilt.

Wir nutzen diese Daten, um Ihr Konto zu erstellen und zu schützen, Sie anzumelden und Sie zu Ihrem Konto zu kontaktieren.

Was Sie in Doclight anlegen

Die Marken, Domains, Aliasse, Wettbewerber, Fragen, Märkte, Sprachen, Alarmregeln und Berichtszeitpläne, die Sie einrichten, werden in Ihrem Workspace gespeichert. Wenn Sie Teammitglieder einladen, speichern wir deren E-Mail-Adresse und Rolle. Wenn Sie den Assistenten in der App nutzen, werden Ihre Unterhaltungen gespeichert, damit Sie sie später fortsetzen können.

Messungen und Analysen

Um die KI-Sichtbarkeit zu messen, senden wir die von Ihnen verfolgten Fragen über die offiziellen APIs an KI-Anbieter (derzeit OpenAI, Anthropic, Perplexity und Google) und speichern die Antworten zusammen mit den darin gefundenen Marken, Links und Quellen.

Wenn Sie eine Website hinzufügen, rufen wir deren öffentliche Seiten ab, um zu prüfen, wie gut sie für KI-Systeme lesbar ist. Agent-Task-Audits laden Ihre Website in einem automatisierten Browser und können Screenshots der besuchten Seiten speichern. Einige Analysen (Inhaltsbewertungen, Stimmungs- und Aussagenprüfung, der Assistent) senden Seiteninhalte, gespeicherte Antworten oder Ihre Nachrichten an einen KI-Anbieter, um ein Ergebnis zu erzeugen.

Bitte geben Sie in verfolgten Fragen oder Assistenten-Nachrichten keine personenbezogenen Daten anderer Personen ein.

Zahlungen

Bezahlte Pläne werden über Lemon Squeezy verkauft, das als Händler (Merchant of Record) auftritt und Ihre Zahlungsdaten nach seiner eigenen Datenschutzerklärung verarbeitet. Kartennummern sehen und speichern wir nie. Wir erhalten und speichern Ihre Kunden- und Abonnementkennungen bei Lemon Squeezy, Ihren Plan, den Abonnementstatus sowie Verlängerungs- oder Kündigungsdaten, damit wir Ihnen den bezahlten Zugang gewähren können.

API-Schlüssel

Wenn Sie einen API-Schlüssel erstellen, speichern wir nur einen Hash davon und ein kurzes Präfix zur Identifizierung. Der vollständige Schlüssel wird Ihnen einmal angezeigt und kann von uns nicht wiederhergestellt werden. Jede Anfrage mit einem Schlüssel wird gegen dessen Berechtigungsumfang und Ratenlimit geprüft.

Die Doclight-SDKs

Die SDKs laufen in Ihrer eigenen Website oder Ihrem MCP-Server und senden Ereignisse mit einem von Ihnen erstellten Ingest-Schlüssel an api.doclight.app. Für Besucher Ihrer Website und Nutzer Ihres MCP-Servers sind Sie Verantwortlicher dieser Daten, und wir verarbeiten sie in Ihrem Auftrag. [TODO: confirm processor role and whether a data processing agreement is offered]

Für Website-Anfragen senden die SDKs den Anfragepfad (ohne Query-String), die HTTP-Methode, den Statuscode, die Dauer, die Crawler- oder Agent-Bezeichnung, den User-Agent-String, den Referrer, einen Zeitstempel, eine Sitzungskennung und Metadaten, die Sie selbst hinzufügen. Vom Referrer speichern wir nur den Ursprung (Schema, Host und Port); Pfad und Query werden verworfen. Anfrage- und Antwortinhalte, Header, Cookies und Query-Strings werden nicht gespeichert, und die Express-Middleware erhebt keine IP-Adressen.

Für MCP-Server sendet @doclight/mcp den Tool-Namen, den Servernamen, den Status, die Dauer, den Fehlertyp sowie Sitzungs- und Trace-Kennungen. Tool-Argumente und -Ergebnisse werden nicht gespeichert.

Werte, die Sie selbst angeben (Sitzungskennungen, Metadaten, Bezeichnungen), werden unverändert gesendet. Verwenden Sie kurze, nicht sensible Kennungen, niemals E-Mail-Adressen, Tokens oder Kundennamen. Details finden Sie in der SDK-Datenschutzdokumentation (auf Englisch).

Der Doclight-MCP-Server

Der MCP-Server läuft auf Ihrem eigenen Rechner und ruft die Doclight-API mit Ihrem API-Schlüssel auf. Seine Anfragen, etwa Marken auflisten, Fragen hinzufügen oder einen Lauf starten, werden genauso verarbeitet wie dieselben Aktionen in der App.

Der kostenlose Scanner

Der Scanner unter try.doclight.app prüft eine von Ihnen eingegebene Website ohne Konto. [TODO: confirm what the scanner stores (the URL, the results, any email address), for how long, and whether results are publicly viewable by link]

E-Mails

Wir senden E-Mails, die für Ihr Konto nötig sind (Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts, Sicherheitshinweise), sowie die Alarme und Berichte, die Sie aktivieren. Berichte und Alarme können Sie in der App ändern oder pausieren. Wenn Sie auf unserer früheren Warteliste standen, können Sie sich jederzeit von diesen E-Mails abmelden.

Wenn Sie uns schreiben, bewahren wir die Korrespondenz auf, um Ihnen zu antworten und Vereinbarungen festzuhalten.

Sicherheits- und Audit-Protokolle

Wir führen ein Audit-Protokoll sicherheitsrelevanter Konto- und Workspace-Aktionen mit der IP-Adresse, von der die Anfrage kam. Diese Einträge bleiben nach der Löschung eines Kontos erhalten, wobei die Verknüpfung zum Konto entfernt wird, damit der Verlauf in geteilten Workspaces nachvollziehbar bleibt. [TODO: audit log retention period]

Unser Hosting-Anbieter speichert technische Anfrageprotokolle einschließlich IP-Adressen. [TODO: hosting log retention period]

Diese Website, Cookies und Analyse

doclight.app verwendet keine Analyse-, Werbe- oder Tracking-Cookies. Ihre Wahl zwischen hellem und dunklem Design wird im lokalen Speicher (Local Storage) Ihres Browsers abgelegt. Die Sprachweiterleitung kann Ihre gewählte Sprache in einem Cookie speichern, damit die Website in dieser Sprache öffnet. [TODO: confirm whether the language cookie is set in production]

Die App speichert Ihre Anmeldesitzung im Sitzungsspeicher (Session Storage) Ihres Browsers und merkt sich Oberflächeneinstellungen (ausgewählte Marke, Design, Sprache, Seitenleiste und Tutorial-Status) im lokalen Speicher. Die Anmeldung mit Google oder GitHub nutzt ein kurzlebiges Cookie zum Schutz des Anmeldevorgangs.

Website und App können Sentry zur Fehlerüberwachung verwenden. Sentry erfasst technische Angaben zu Fehlern wie Seite, Browser und Fehlermeldung. [TODO: confirm Sentry is enabled in production, its data region and retention]

Rechtsgrundlagen

Soweit die DSGVO oder die UK GDPR gilt, stützen wir uns auf:

• Vertrag (Art. 6 Abs. 1 lit. b DSGVO): um Ihr Konto, Ihren Workspace, Messungen, Abrechnung und die für den Dienst nötigen E-Mails bereitzustellen.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): um den Dienst sicher zu halten, Missbrauch zu verhindern, Fehler zu überwachen und das Produkt zu verbessern. Sie können dieser Verarbeitung widersprechen.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): um gesetzlich vorgeschriebene Aufzeichnungen zu führen, etwa für Steuerzwecke.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): wo das Gesetz sie verlangt. Sie können Ihre Einwilligung jederzeit widerrufen.

An wen wir Daten weitergeben

Wir verkaufen keine personenbezogenen Daten und geben sie nicht für Werbezwecke weiter. Wir geben sie nur an Dienstleister weiter, die uns beim Betrieb von Doclight helfen und deren Nutzung vertraglich beschränkt ist:

• Railway: Hosting, Datenbanken und Anfrageprotokolle
• OpenAI, Anthropic, Perplexity und Google: KI-APIs für Messungen und Analysen
• Lemon Squeezy: Zahlungen, Abonnements und Steuern
• Resend: E-Mail-Versand [TODO: confirm email provider]
• Sentry: Fehlerüberwachung [TODO: confirm]
• [TODO: object storage provider for screenshots]

[TODO: complete subprocessor list with each provider's location, and confirm each AI provider's API data use and retention terms]

Wir können Daten außerdem offenlegen, wenn das Gesetz es verlangt oder um unsere Rechte, unsere Nutzer oder die Öffentlichkeit zu schützen.

Internationale Übermittlungen

Unsere Dienstleister können Daten außerhalb Ihres Landes verarbeiten. [TODO: hosting region and the transfer mechanism used, for example Standard Contractual Clauses]

Wie lange wir Daten speichern

• Konto- und Workspace-Daten: solange Ihr Konto besteht.
• Kontolöschung: Sie können Ihr Konto in der App löschen. Die Löschung wird zeitnah durchgeführt und entfernt Ihr Konto, Workspaces in Ihrem Besitz, Marken, Fragen, Antworten und SDK-Ereignisse. Wir bewahren einen minimalen Löschnachweis auf (eine interne Kontokennung, das Erstellungs- und das Löschdatum, ohne Ihre E-Mail-Adresse), damit gelöschte Daten bei einer Wiederherstellung aus einem Backup nicht zurückkehren.
• MCP-Tool- und Sitzungsereignisse: 90 Tage, danach automatische Löschung.
• Website-Anfrageereignisse aus den SDKs: bis die Marke oder das Konto gelöscht wird.
• Backups: [TODO: backup retention period]
• Audit- und Hosting-Protokolle: siehe oben.
• Abrechnungsunterlagen: werden von Lemon Squeezy nach steuerrechtlichen Vorgaben aufbewahrt. [TODO: how long we keep billing identifiers after account deletion, if at all]
• E-Mail-Korrespondenz: [TODO: retention period]

Ihre Rechte

Je nach Wohnort haben Sie das Recht auf Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Einschränkung der Verarbeitung, Widerspruch gegen die Verarbeitung und Widerruf einer Einwilligung.

• Export: Nutzen Sie „Meine Daten exportieren“ in den Einstellungen der App, um Ihre Daten herunterzuladen.
• Löschen: Löschen Sie Ihr Konto in den Einstellungen der App.
• Alles andere: Schreiben Sie an [email protected]. Wir antworten innerhalb eines Monats. [TODO: confirm response time]

Sie haben außerdem das Recht, sich bei Ihrer zuständigen Datenschutzaufsichtsbehörde zu beschweren.

Sicherheit

Wir schützen Daten durch Verschlüsselung bei der Übertragung (HTTPS), gehashte Passwörter und API-Schlüssel, Workspace-Rollen, die festlegen, wer was sehen darf, und Audit-Protokolle. Kein System ist vollkommen sicher; betrifft eine Datenpanne Ihre personenbezogenen Daten, benachrichtigen wir Sie und die Behörden wie gesetzlich vorgeschrieben.

Kinder

Doclight ist ein Business-Tool und richtet sich nicht an Kinder. [TODO: minimum age, for example 16]

Änderungen dieser Erklärung

Wenn wir diese Erklärung ändern, aktualisieren wir das Datum oben auf dieser Seite. Wenn eine Änderung wesentlich beeinflusst, wie wir Ihre Daten nutzen, informieren wir Sie vor Inkrafttreten per E-Mail oder in der App.

Kontakt

Fragen oder Anliegen zum Datenschutz: [email protected].

[TODO: legal entity name, registered address and, if required, an EU or UK representative]