Datenschutz

Zuletzt aktualisiert: 21. Oktober 2026

Diese Seite erklärt, welche personenbezogenen Daten CitedBy (citedby.eu) verarbeitet, warum, auf welcher Rechtsgrundlage, wie lange wir sie speichern, wer sie sonst erhält und was Sie dagegen tun können. Sie folgt der Datenschutz-Grundverordnung der EU (DSGVO).

1. Wer verantwortlich ist

CitedBy wird von Bilal Sbaiby betrieben, einer in Spanien ansässigen natürlichen Person, die der Verantwortliche für Ihre Daten ist. Postanschrift: Travesia del Nuevo Alamin 11, 2D, 19005 Guadalajara, Spanien. E-Mail: hello@citedby.eu. Siehe auch das Impressum.

2. Was wir verarbeiten, warum und wie lange

Was	Wofür wir es verwenden	Rechtsgrundlage (DSGVO Art. 6)	Wie lange wir es speichern
Kostenloser Check: die Webadresse, die Sie eingeben, die öffentlichen Seiten, die wir davon abgerufen haben, und das Ergebnis. Ihre IP-Adresse wird in einen mit einem Schlüssel erzeugten Einwegcode umgewandelt, mit dem wir die Checks pro Netzwerk zählen; die Adresse selbst speichern wir nicht.	Um den Check durchzuführen und Ihnen das Ergebnis zu zeigen. Um Missbrauch zu begrenzen (einige kostenlose Checks pro Netzwerk und Tag).	Erfüllung der von Ihnen gewünschten Leistung (Art. 6 Abs. 1 Buchst. b); unser Interesse an der Verhinderung von Missbrauch (Art. 6 Abs. 1 Buchst. f).	7 Tage, danach gelöscht.
Konto: Ihre E-Mail-Adresse, die von Ihnen gewählte Sprache, der Zeitpunkt Ihrer Anmeldung. Wenn Sie ein Passwort festlegen, nur ein gesalzener Hash davon (scrypt), niemals das Passwort. Wenn Sie die Anmeldung mit Google nutzen, nur die bestätigte E-Mail-Adresse, die Google uns sendet.	Um Ihr Konto anzulegen, Sie anzumelden und Ihnen das Bestellte zuzusenden.	Erfüllung des Vertrags mit Ihnen (Art. 6 Abs. 1 Buchst. b).	Bis Sie Ihr Konto löschen.
Anmelde- und Bestätigungslinks: Ein Link ist für eine einmalige Verwendung und 15 Minuten gültig (ein Link zum Zurücksetzen des Passworts ebenso), und wir speichern nur einen Hash davon.	Um nachzuweisen, dass die E-Mail-Adresse Ihnen gehört.	Art. 6 Abs. 1 Buchst. b.	Gelöscht mit Ihrem Konto.
Site-Audits: Ihre E-Mail-Adresse, die Webadresse, die Sie prüfen lassen, die öffentlichen Seiten, die wir davon abgerufen haben (Adresse, Titel, Überschriften, ein kurzer Textauszug und die bestandenen oder nicht bestandenen Prüfungen) und der Bericht. Wir rufen nur öffentliche Seiten ab, melden uns nie an und geben uns als CitedBot zu erkennen, außer dass wir Ihre Startseite einmal als Browser und einmal als jeden der großen KI-Crawler laden, um zu sehen, was jeder davon angezeigt bekommt.	Um Ihre Website zu crawlen, den Bericht und die Lösungen zu erstellen und nach dem von Ihnen festgelegten Zeitplan erneut zu crawlen.	Art. 6 Abs. 1 Buchst. b.	Bis Sie Ihr Konto löschen. Ein Einzel-Audit bleibt 30 Tage für Sie zugänglich; der gespeicherte Bericht wird zu diesem Zeitpunkt nicht automatisch entfernt, sondern erst, wenn Ihr Konto gelöscht wird oder Sie uns bitten, das Audit zu löschen.
Projekteinstellungen, die Sie hinzufügen: Zeitplan, Optionen für E-Mail-Zusammenfassungen und Warnungen, eine Slack-Webhook-Adresse, Zahlen aus der Search Console, die Sie importieren, ein Markenname, Logo und Farbe, eine eigene Domain für Berichte, ein Passwort für die Freigabe (nur als Hash gespeichert), E-Mail-Adressen von Teammitgliedern.	Um diese Funktionen bereitzustellen.	Art. 6 Abs. 1 Buchst. b.	Bis Sie sie entfernen oder Ihr Konto löschen.
Zahlungen: Ihr Tarif, die Kunden- und Abonnementnummern bei Stripe, der Zahlungsstatus. Ihre Kartennummer sehen wir nie: Stripe verarbeitet sie. Die Benachrichtigungen von Stripe an uns (Ereignisse) enthalten Ihre E-Mail-Adresse, Ihren Tarif und die Beträge.	Um die Zahlung einzuziehen, die kostenlose Testphase und die Verlängerungen abzuwickeln, Rechnungen auszustellen und Erstattungen vorzunehmen.	Art. 6 Abs. 1 Buchst. b; Aufbewahrung von Buchhaltungsunterlagen (Art. 6 Abs. 1 Buchst. c).	Die Unterlagen, die Stripe und wir als Buchhaltungsunterlagen führen, werden sechs Jahre aufbewahrt, wie es das spanische Handelsrecht verlangt (Código de Comercio, Art. 30), und danach gelöscht. Sie werden nicht gelöscht, wenn Sie Ihr Konto löschen.
Eine kostenlose Testphase pro E-Mail-Adresse und Karte: Ihre E-Mail-Adresse, deren Domain, die Konto- und Abonnementnummern und der Fingerabdruck Ihrer Karte bei Stripe (ein Code, der die Karte identifiziert; er ist nicht die Kartennummer).	Um die Regel einer Testphase durchzusetzen, damit das Löschen eines Kontos und ein Neustart keine zweite kostenlose Testphase ermöglichen.	Unser Interesse an der Verhinderung von Missbrauch (Art. 6 Abs. 1 Buchst. f).	Wird nach der Löschung Ihres Kontos aufbewahrt, solange die Regel einer Testphase gilt. Sie können dieser Speicherung widersprechen (siehe Abschnitt 7).
Widerruf: Wenn Sie mit der Funktion „Vertrag widerrufen“ einen Vertrag widerrufen, Ihr Name, Ihre E-Mail-Adresse, die Vertragsnummer, die Erklärung, der Zeitpunkt der Abgabe (UTC) und was wir daraufhin getan haben.	Um Ihren Widerruf zu bearbeiten, Sie zu erstatten und später nachweisen zu können, dass wir es getan haben.	Art. 6 Abs. 1 Buchst. c und Art. 6 Abs. 1 Buchst. f.	Sechs Jahre, zusammen mit den oben genannten Buchhaltungsunterlagen.
E-Mails, die wir Ihnen senden: Anmeldelinks, Bestätigungen, Belege und Erinnerungen an die Testphase (3 Tage vor der ersten Abbuchung), Berichte sowie die Zusammenfassungen und Warnungen, die Sie aktivieren. Wir führen ein Protokoll dessen, was wir gesendet haben: die Adresse, den Betreff und den Text, ohne Anmelde- und Passwortlinks.	Um die Leistung zu erbringen.	Art. 6 Abs. 1 Buchst. b.	Gelöscht mit Ihrem Konto.
Nachrichten, die Sie uns senden, an hello@citedby.eu: Ihre Adresse und die Nachricht.	Um Ihnen zu antworten.	Art. 6 Abs. 1 Buchst. b, wenn Sie Kunde sind oder es werden wollen; andernfalls unser Interesse an der Beantwortung (Art. 6 Abs. 1 Buchst. f).	Solange es nötig ist, um Ihnen zu antworten und Nachfragen zu bearbeiten, danach gelöscht.
Besuchszahlen: welche Seite aufgerufen wurde, in welcher Sprache, ob eine Schaltfläche gedrückt wurde, und anonyme Zahlen zu Schritten wie Registrierung, Anmeldung, Zahlung oder Widerruf (keine E-Mail-Adresse, kein Name, keine Kontonummer), ohne Cookie und ohne dass etwas auf Ihrem Gerät gespeichert wird. Unsere Server schreiben keine IP-Adressen und keine Query-Strings in ihre eigenen Protokolle.	Um zu wissen, welche Seiten funktionieren, und um den Dienst am Laufen zu halten.	Unser Interesse an der Verbesserung des Dienstes und an seiner Sicherheit (Art. 6 Abs. 1 Buchst. f).	Die Zahlen enthalten keine Kennung; der Analyseanbieter speichert sie in seinem EU-Projekt (siehe Abschnitt 4).
Hosting- und Sicherheitsdaten: Die Hosting-Ebene (Server, Netzwerk) verarbeitet Ihre IP-Adresse und die angeforderte Seite, um die Seite auszuliefern und Angriffe abzuwehren.	Um die Website sicher bereitzustellen.	Art. 6 Abs. 1 Buchst. f.	Nur so lange, wie es für diese Zwecke nötig ist.
Backups: eine nächtliche Kopie unserer Datenbank.	Um den Dienst wiederherzustellen, falls etwas ausfällt.	Art. 6 Abs. 1 Buchst. f.	Wir behalten die neuesten 30 nächtlichen Kopien; ältere werden überschrieben. Ein gelöschtes Konto verschwindet innerhalb von 30 Tagen aus den Backups, sobald die älteren Kopien ersetzt werden.

Müssen Sie uns Ihre Daten geben? Für ein Konto und den Erhalt der Berichte brauchen wir eine E-Mail-Adresse; ohne sie können wir den Dienst nicht erbringen. Der kostenlose Check braucht nur die Webadresse, die Sie eingeben. Alles Weitere ist freiwillig. Für den Kauf eines Tarifs sind die Zahlungsdaten nötig, die Stripe erhebt und die wir nie sehen.

Wir verkaufen Ihre Daten nicht und verwenden sie nicht für Werbung. Wir treffen keine ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidungen über Sie, die rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22).

3. Cookies

Die öffentlichen Seiten setzen keine Cookies und laden keine Skripte von Dritten, und das Analyse-Tag speichert nichts auf Ihrem Gerät. Wir setzen ein Cookie nur, wenn eine Funktion es benötigt. Jedes ist unbedingt erforderlich, HttpOnly, wird nur über HTTPS gesendet und nie für Tracking oder Werbung verwendet:

ci_session hält Sie angemeldet. Es wird bei der Anmeldung gesetzt und gilt 30 Tage oder bis Sie sich abmelden.
ci_gstate wird nur gesetzt, wenn Sie „Weiter mit Google“ nutzen. Es gilt 10 Minuten und prüft, ob die Anmeldung, von der Sie zurückkehren, die ist, die Sie gestartet haben.
ci_share_<report id> wird gesetzt, wenn Sie einen passwortgeschützten freigegebenen Bericht öffnen und dessen Passwort eingeben. Es gilt 24 Stunden, damit Sie das Passwort nicht erneut eingeben müssen.

4. Wer Ihre Daten erhält

Wir setzen die folgenden Dienstleister (Auftragsverarbeiter) und einen eigenständigen Verantwortlichen ein. Jeder erhält nur das, was seine Funktion erfordert.

Stripe Payments Europe Ltd (Irland): Zahlungen, Abonnements, Rechnungen und Erstattungen. Das Unternehmen erhält Ihre E-Mail-Adresse, Ihren Tarif und Ihre Kartendaten; die Kartendaten gelangen nie zu uns. Es kann Daten auf Grundlage von Standardvertragsklauseln in den Vereinigten Staaten verarbeiten.
Resend (Vereinigte Staaten): versendet unsere E-Mails und erhält daher Ihre E-Mail-Adresse, den Betreff und den Text jeder Nachricht, einschließlich Anmeldelinks, Belegen, Berichten, Zusammenfassungen und Warnungen. Standardvertragsklauseln.
Anthropic Ireland, Limited (Irland, EU), das Daten auf Grundlage von Standardvertragsklauseln an Anthropic, PBC (Vereinigte Staaten) übermitteln kann: Es erhält den öffentlichen Text der Seiten, die wir gecrawlt haben, damit wir jede Seite bewerten und die Lösungen schreiben können. Es erhält weder Ihre E-Mail-Adresse noch Kontodaten.
OpenRouter (Vereinigte Staaten; Standardvertragsklauseln): erhält allgemeine Fragen zu Produktkategorien, die wir selbst formulieren, für unsere eigenen Referenzdaten. Es erhält keine E-Mail-Adresse, keine Kontodaten und keine Audit-Inhalte.
PostHog (EU-Cloud, Frankfurt, betrieben von PostHog Inc., Vereinigte Staaten; Standardvertragsklauseln): zählt Seitenaufrufe und diese Schritte. Unser Server übergibt ihm bei jedem Seitenaufruf Ihre IP-Adresse und Ihren Browsertyp, damit es Besuche für die Dauer eines Tages unterscheiden kann; es setzt kein Cookie, speichert weder die Adresse noch den Browsertyp und kommt nicht zum Einsatz, wenn Ihr Browser Do Not Track oder Global Privacy Control sendet.
Forward Email (Forward Email LLC, Vereinigte Staaten; Standardvertragsklauseln): erhält jede Nachricht, die an hello@citedby.eu gesendet wird (Absenderadresse und Nachricht), und leitet sie an das Gmail-Postfach des Betreibers weiter, das von Google Ireland Ltd (EU) bereitgestellt wird, welche Daten auf Grundlage des Datenschutzrahmens EU–USA an Google LLC (Vereinigte Staaten) übermitteln kann.
Google Drive (Google Ireland Ltd, mit Google LLC im Rahmen des Datenschutzrahmens EU–USA): speichert unsere nächtlichen Datenbank-Backups (siehe Tabelle oben).
Hetzner Online GmbH (Deutschland; unsere Server stehen in Helsinki, Finnland, EU): hostet unsere Website und Datenbank.
Cloudflare, Inc. (Vereinigte Staaten, im Rahmen des Datenschutzrahmens EU–USA): beantwortet die DNS-Abfragen, die wir durchführen, wenn Sie eine Website per DNS-Eintrag bestätigen oder die eigene Domain für Ihre Berichte unter Ihrer Marke prüfen. Es erhält diese Website-Adresse oder Domain und die IP-Adresse unseres Servers, jedoch keine Kontodaten.
Slack (Salesforce, Inc., Vereinigte Staaten, im Rahmen des Datenschutzrahmens EU–USA): erhält unsere Projektwarnungen (die Adresse der geprüften Website, ihren Score, wie viele Probleme neu oder behoben sind und was sich verschlechtert hat, sowie einen Link zum Bericht) nur an eine Slack-Webhook-Adresse, die Sie uns in Ihren Projekteinstellungen nennen; sie gehen also in Ihren eigenen Slack-Arbeitsbereich, auf Grundlage Ihrer Vereinbarung mit Slack. Ist keine hinterlegt, geht nichts an Slack.
Google (Google Ireland Ltd, mit Google LLC im Rahmen des Datenschutzrahmens EU–USA) ist für die Anmeldung mit „Weiter mit Google“ außerdem ein eigenständiger Verantwortlicher: Es sieht, dass Sie sich bei CitedBy anmelden, und verarbeitet Ihr Google-Konto nach seiner eigenen Datenschutzerklärung (policies.google.com/privacy), und es sendet uns Ihre bestätigte E-Mail-Adresse. Wir fragen Google nur nach Ihrer E-Mail-Adresse (die Scopes openid und email) und speichern keinen Namen, kein Foto, keine Kontakte und kein Google-Token. Wir senden Google sonst nichts über Sie. Die Anmeldung mit Google ist optional; der Anmeldelink per E-Mail funktioniert auch ohne sie. Die Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b.

Wir können Daten außerdem offenlegen, wenn das Gesetz es verlangt.

5. Übermittlungen außerhalb der EU

Befindet sich ein Empfänger in den Vereinigten Staaten (Resend, OpenRouter, PostHog Inc., Forward Email, Anthropic, Google, Cloudflare, Slack), beruht die Übermittlung entweder auf dem Datenschutzrahmen EU–USA (wo wir das oben angeben) oder auf den Standardvertragsklauseln der Europäischen Kommission. Schreiben Sie an hello@citedby.eu, wenn Sie eine Kopie der Garantien wünschen.

6. Ihr Konto löschen

Sie können Ihre Kontodaten exportieren und Ihr Konto in Ihren Kontoeinstellungen löschen. Das Löschen erfolgt in einem Schritt und wirkt sofort:

Zuerst kündigen wir bei Stripe jedes aktive Abonnement. Schlägt das fehl, löschen wir nichts und zeigen Ihnen einen Fehler an, sodass Ihnen nie ein gelöschtes Konto in Rechnung gestellt wird. Versuchen Sie es erneut oder schreiben Sie uns.
Dann entfernen wir Ihr Konto, Ihre Anmeldelinks, Ihre Adresse aus unserem E-Mail-Protokoll und alles, was Ihre Audits enthalten: Audits, die abgerufenen Seiten, Projekte und deren Einstellungen (einschließlich einer Slack-Webhook-Adresse), Zahlen aus der Search Console, Markeneinstellungen, Passwörter für die Freigabe, Zeitpläne und die Teammitglieder, die Sie eingeladen haben. Auch eine Einladung, die ein anderes Konto an Ihre Adresse gesendet hat, wird entfernt. Daten anderer Konten werden nie angetastet.

Was nach der Löschung bleibt und warum: die in der Tabelle oben beschriebenen Zahlungs-, Rechnungs- und Widerrufsunterlagen (sechs Jahre, Buchhaltungsrecht) und der Datensatz zur Testphase (Art. 6 Abs. 1 Buchst. f). Unsere Datenbank-Backups verlieren Ihre Daten innerhalb von 30 Tagen, sobald die älteren Kopien überschrieben werden.

Um ein einzelnes Audit entfernen zu lassen, ohne Ihr Konto zu löschen, schreiben Sie an hello@citedby.eu.

7. Ihre Rechte

Nach der DSGVO (Art. 15 bis 22) haben Sie das Recht,

Auskunft über Ihre Daten zu erhalten und eine Kopie zu bekommen (Art. 15). Sie können sie in Ihren Kontoeinstellungen herunterladen.
unrichtige Daten berichtigen zu lassen (Art. 16).
Ihre Daten löschen zu lassen (Art. 17), vorbehaltlich der oben genannten Ausnahmen.
die Verarbeitung durch uns einschränken zu lassen (Art. 18).
benachrichtigt zu werden, wenn wir Daten, die wir weitergegeben haben, berichtigen, löschen oder deren Verarbeitung einschränken (Art. 19).
sie in einem übertragbaren Format zu erhalten (Art. 20): Der Export aus Ihren Kontoeinstellungen ist eine JSON-Datei.
einer Verarbeitung, die auf unserem berechtigten Interesse beruht, zu widersprechen (Art. 21), zum Beispiel dem Datensatz zur Testphase, den Missbrauchsgrenzen und den Besuchszahlen. Wir beenden die Verarbeitung dann, es sei denn, wir weisen zwingende schutzwürdige Gründe nach oder benötigen die Daten zur Geltendmachung von Rechtsansprüchen.
nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, die rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22). Wir treffen keine solchen Entscheidungen.

Um ein Recht auszuüben, schreiben Sie von der Adresse, die Ihr Konto verwendet, an hello@citedby.eu. Wir antworten innerhalb von 2 Arbeitstagen und erledigen Ihr Anliegen in jedem Fall innerhalb eines Monats (Art. 12 Abs. 3). Wir können Sie bitten, Ihre Identität nachzuweisen.

8. Beschwerden

Sie haben das Recht, bei einer Datenschutz-Aufsichtsbehörde Beschwerde einzulegen. In Spanien ist das die Agencia Española de Protección de Datos (AEPD): aepd.es (Beschwerden über ihren elektronischen Amtssitz (sede electrónica, sedeaepd.gob.es)). Sie können sich auch an die Aufsichtsbehörde des EU-Landes wenden, in dem Sie leben oder arbeiten.

9. Änderungen

Wir ändern diese Seite, wenn sich ändert, was wir tun, und aktualisieren das Datum oben.