Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Rahmen von LinQovery ist:

komVAL Services
René Dumoulin
Grünkottenstr. 30
47269 Duisburg
E-Mail: info@komval.biz

2. Erhobene Daten

Bei der Registrierung und Nutzung verarbeiten wir: deine E-Mail-Adresse, deinen Namen, die von dir gespeicherten Lesezeichen (URL, Titel, Beschreibung, Notizen, Tags, Kategorien) sowie zugehörige Nutzungsdaten wie Besuchszähler, Bewertungen und Erinnerungen. Zur Absicherung deines Kontos speichern wir Anmelde-Sitzungen inklusive eines Geräte-Merkmals (Fingerprint), IP-Adresse und Zeitstempel. Dein Passwort wird ausschließlich als kryptografischer Hash (Werkzeug/PBKDF2) gespeichert, niemals im Klartext.

3. Zweck und Rechtsgrundlagen

Die Verarbeitung erfolgt zur Bereitstellung des Dienstes und zur Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO) sowie zur Gewährleistung von Sicherheit und Betrieb auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO). Eine Verarbeitung zu Werbezwecken findet nicht statt; eine Reichweitenmessung erfolgt ausschließlich einwilligungsbasiert (siehe Ziffer 6a).

4. Hosting

Wir hosten LinQovery bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Die Server befinden sich innerhalb der Europäischen Union. Beim Zugriff erfasst der Hoster technisch notwendige Server-Logfiles (u. a. IP-Adresse, aufgerufene URL, Datum/Uhrzeit, Browser), um die Auslieferung und die Sicherheit des Betriebs zu gewährleisten.

5. Empfänger und eingesetzte Dienste

Zur Erbringung einzelner Funktionen geben wir – soweit erforderlich – bestimmte Daten an folgende Dienste weiter:

• Anthropic (Claude API) – für die optionale KI-Anreicherung (Kategorien, Beschreibungen) werden URL, Titel und der abgerufene Seiteninhalt des jeweiligen Lesezeichens an Anthropic, PBC (USA) übermittelt. Bei zusätzlich aktivierter Profilierung (siehe unten) wird außerdem eine Liste der Titel und Domains deiner Lesezeichen an Anthropic übermittelt, um daraus ein Interessenprofil abzuleiten. Es handelt sich jeweils um eine Übermittlung in ein Drittland (USA), abgesichert über Standardvertragsklauseln.
• Brave Search API – für treffsichere KI-Beschreibungen wird die Domain des jeweiligen Lesezeichens (z. B. „taz.de") als Suchanfrage an Brave Software, Inc. (USA) übermittelt, um kurze Informationen über die Quelle einzuholen. Übermittlung in ein Drittland (USA), abgesichert über Standardvertragsklauseln. Erfolgt nur bei aktivierter KI-Anreicherung. Künftig wird Brave Search zusätzlich als Reputationsquelle des einwilligungsbasierten Sicherheits-Checks genutzt (Abfrage der Domain, nie des vollständigen Pfads).
• urlscan.io — dieser Dienst ist derzeit nicht aktiv (Teil des einwilligungsbasierten Sicherheits-Checks) – beim Sicherheits-Scan wird die zu prüfende URL an den Prüfdienst urlscan.io (urlscan GmbH, Deutschland) übermittelt. Die Übermittlung erfolgt nicht-öffentlich („unlisted"), d. h. eingereichte Prüfungen erscheinen nicht in einer öffentlichen Suche. Vor der Übermittlung prüfen wir zudem, ob bereits ein aktuelles öffentliches Prüfergebnis zu der Adresse vorliegt, und verwenden in dem Fall dieses wieder, statt die Adresse erneut einzureichen. URLs mit erkennbar vertraulichen Bestandteilen werden grundsätzlich nicht übermittelt.
• Google Web Risk – zur Prüfung von URLs auf Schadsoftware und Phishing (Google Ireland Ltd. / Google LLC), als Teil des einwilligungsbasierten Sicherheits-Checks. Die Einwilligung „Sicherheits-Check" in den Einstellungen umfasst alle vier Signalquellen gemeinsam (Google Web Risk, Brave Search, urlscan.io sowie eine eigene technische Prüfung der Seite durch LinQovery, z. B. Verschlüsselung und Sicherheits-Header); ein Widerruf wirkt sofort. Leitet eine gespeicherte Adresse weiter, folgt LinQovery der Weiterleitungskette und bezieht auch deren Zwischen- und Zielseiten in die Bewertung ein (technischer Abruf je Station, es zählt jeweils die ungünstigste Einstufung). URLs mit erkennbar vertraulichen Bestandteilen (z. B. Zugangs-Token in der Adresse) werden grundsätzlich an keinen externen Prüfdienst übermittelt.
• DNS-Reputationsprüfung (Teil des einwilligungsbasierten Sicherheits-Checks) – beim Sicherheits-Scan wird die Domain jeder Station der Weiterleitungskette (nur die Domain bzw. deren IP-Adresse als DNS-Anfrage – kein Pfad, keine Adress-Bestandteile) gegen DNS-basierte Reputationsdienste abgeglichen. Eingesetzte Dienste:
  • Quad9 (Quad9 Foundation, Schweiz) – Abgleich der Domain gegen den Bedrohungs-Filter (Differenz-Auflösung).
  • SURBL — derzeit nicht aktiv – Abgleich der Domain gegen Spam-/Phishing-/Malware-Listen.
  • Spamhaus DBL (Spamhaus Technology Ltd.) — derzeit nicht aktiv – Domain-Blocklist-Abgleich.
  • DNS-Blocklist (DNSBL) — derzeit nicht aktiv – Abgleich der zur Domain gehörenden IP-Adresse.
• ClamAV (lokaler Virenscan) (Teil des einwilligungsbasierten Sicherheits-Checks) – beim Sicherheits-Scan wird der abrufbare Datei-Inhalt der Weiterleitungskette geladen und ausschließlich lokal mit dem quelloffenen Virenscanner ClamAV auf bekannte Schadsoftware geprüft. Es handelt sich um eine rein interne Verarbeitung auf unserem Server; es werden hierfür keine Inhalte an Dritte übermittelt.
• OSINT-Bedrohungs-Feeds (lokaler Abgleich) (Teil des einwilligungsbasierten Sicherheits-Checks) – wir laden regelmäßig öffentlich kuratierte Listen bekannter bösartiger Adressen herunter und gleichen die Domains/URLs deiner Lesezeichen-Weiterleitungskette ausschließlich lokal dagegen ab. Es werden hierfür keine Adressen oder Inhalte an Dritte übermittelt; nur die Listen werden bezogen. Eingesetzte Quellen:
  • abuse.ch URLhaus – Liste bekannter Malware-Distributions-URLs.
  • abuse.ch ThreatFox – Liste bekannter Bedrohungs-Indikatoren (Domains/URLs).
  • OpenPhish – Liste bekannter Phishing-URLs.
• Automatisierte Sandbox-Analyse (Teil des einwilligungsbasierten Sicherheits-Checks) – ergibt der Sicherheits-Check zu einer gespeicherten Adresse einen Verdacht, wird die betreffende Zielseite zusätzlich in einer isolierten Analyseumgebung auf unserer eigenen Infrastruktur automatisiert aufgerufen und ihr Verhalten ausgewertet (dynamische Prüfung auf Schadverhalten). Dies geschieht ausschließlich für bereits als verdächtig eingestufte Adressen, nicht für jedes Lesezeichen. Der Abruf der Zielseite erfolgt über einen separaten Netzzugang (VPN); die Auswertung ist eine rein interne Verarbeitung – es werden hierfür keine Inhalte oder Kennungen deines Kontos an Dritte übermittelt.
• Stripe – zur Zahlungsabwicklung, sobald kostenpflichtige Tarife verfügbar sind (Stripe Payments Europe / Stripe, Inc., USA).
• E-Mail-Versand – transaktionale E-Mails (z. B. Bestätigung, Passwort-Reset, Monitoring-Hinweise) werden über unseren SMTP-Dienstleister versendet.
• hCaptcha – Schutz vor automatisierten Anmeldungen und Spam-Registrierungen (Intuition Machines, Inc., USA). Wird nur bei Verdacht (z. B. wiederholten Versuchen) eingeblendet; dabei werden technische Daten (u. a. IP-Adresse sowie Browser-/Geräteinformationen) an hCaptcha übermittelt. Rechtsgrundlage ist unser berechtigtes Interesse an der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

Kein Personenbezug bei externen Prüf- und KI-Diensten: An Anthropic, Brave Search, Google und urlscan.io werden ausschließlich aufgabenbezogene Inhalte übermittelt (z. B. die zu prüfende bzw. anzureichernde URL, der Seitentitel oder der abgerufene Seiteninhalt) – niemals deine Identität (kein Name, keine E-Mail-Adresse, keine Nutzer- oder Konto-Kennung). Diese Anbieter erhalten keinen Zugriff auf dein Nutzerkonto oder deine sonstigen bei uns gespeicherten Daten und können die übermittelten Inhalte keiner bestimmten Person zuordnen.

Aufruf von Lesezeichen-Seiten über einen VPN-Ausgang: Wenn LinQovery die Seite eines Lesezeichens automatisiert abruft (z. B. für die Erreichbarkeitsprüfung, den Sicherheits-Check, das Auslesen von Favicons oder die inhaltliche Einordnung), erfolgt dieser Abruf technisch über einen abgesicherten VPN-Ausgang (Dienstleister Mullvad VPN, Schweden) und nicht direkt über unsere Serveradresse. Damit tritt unsere Infrastruktur gegenüber der aufgerufenen Seite nicht in Erscheinung. Dabei werden keine Konto- oder Nutzerdaten übermittelt; der VPN-Anbieter dient ausschließlich als technischer Durchleitungsweg der Verbindung.

5a. Interessen-Profilierung & Empfehlungen

Mit deiner gesonderten, ausdrücklichen Einwilligung (unabhängig von der KI-Anreicherung, in den Einstellungen jederzeit erteil- und widerrufbar) leiten wir aus deinen Lesezeichen ein Interessenprofil ab. Zweck ist ausschließlich die Anzeige passender, nicht personalisierter Themen-Vorschläge im Bereich „Entdecken" sowie eine anonyme Aggregat-Statistik. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

• Es werden keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO (z. B. Gesundheit, religiöse/weltanschauliche oder politische Ansichten, sexuelle Orientierung, ethnische Herkunft, Gewerkschaftszugehörigkeit) abgeleitet.
• Lassen sich keine belastbaren Interessen erkennen, bleibt das Profil leer – es werden keine Annahmen erfunden.
• Dein Einzelprofil wird nicht an Dritte weitergegeben. Eine etwaige künftige Bereitstellung für Werbepartner erfolgt ausschließlich in Form anonymer, gruppierter Auswertungen (Mindestgruppengröße), die keinen Rückschluss auf einzelne Personen zulassen.
• Du kannst dein Profil in den Einstellungen einsehen; der Widerruf der Einwilligung löscht das Profil (Art. 7 Abs. 3, Art. 17 DSGVO). Gegen Profilierung zu Direktwerbezwecken kannst du jederzeit Widerspruch einlegen (Art. 21 Abs. 2 DSGVO).

6. Cookies & Cookie-Einwilligung

Technisch notwendige Cookies setzen wir immer ein, insbesondere das Sitzungs-Cookie für die Anmeldung und ein Cookie zum Schutz vor Cross-Site-Request-Forgery (CSRF); hierfür ist keine Einwilligung erforderlich (Art. 6 Abs. 1 lit. f DSGVO, § 25 Abs. 2 TDDDG).

Für alle nicht notwendigen Cookies (insbesondere die Reichweitenmessung, siehe Ziffer 6a) holen wir über einen Cookie-Einwilligungs-Banner deine vorherige, ausdrückliche Einwilligung ein (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Den Cookie-Banner stellt die CCM19 GmbH über cloud.ccm19.de bereit; dabei wird deine Consent-Entscheidung samt Zeitpunkt zu Nachweiszwecken gespeichert. Deine Auswahl kannst du jederzeit über den Banner bzw. den entsprechenden Link ändern oder widerrufen; der Widerruf wirkt für die Zukunft.

6a. Reichweitenmessung mit Matomo

Zur Analyse der Nutzung unserer Website setzen wir – nur nach deiner Einwilligung – das Open-Source-Webanalyse-Tool Matomo ein. Matomo wird von uns selbst gehostet (unter m.linqovery.com); es werden keine Daten an Dritte übertragen. Bei erteilter Einwilligung verarbeitet Matomo Nutzungsdaten (z. B. aufgerufene Seiten, ungefährer Standort, verwendetes Gerät/Browser, Verweildauer) und setzt Cookies (u. a. _pk_id, _pk_ses). Deine IP-Adresse wird anonymisiert (gekürzt) verarbeitet. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ohne Einwilligung findet keine Analyse statt und es werden keine Analyse-Cookies gesetzt. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft über den Cookie-Banner widerrufen.

7. Speicherdauer

Personenbezogene Daten werden gespeichert, solange dein Konto besteht bzw. solange der Zweck der Verarbeitung fortbesteht. Nach Löschung deines Kontos werden deine Daten gelöscht, sofern keine gesetzlichen Aufbewahrungsfristen (z. B. steuer- oder handelsrechtlich) entgegenstehen.

8. Deine Rechte

Dir stehen bezüglich deiner personenbezogenen Daten folgende Rechte zu:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Viele Rechte kannst du als Self-Service direkt ausüben — angemeldet unter Einstellungen → Meine Daten & Rechte:

• Auskunft & Datenübertragbarkeit (Art. 15/20): Inhaltspaket (Art. 20) als JSON sowie die vollständige Auskunft (Art. 15) als PDF oder JSON herunterladen.
• Berichtigung (Art. 16): Name/E-Mail im Profil, Lesezeichen in der Verwaltung; abgeleitete KI-Interessen einzeln entfernen und dauerhaft sperren.
• Einschränkung & Widerspruch (Art. 18/21): Einwilligungen jederzeit widerrufen; ein Anfrage-Formular leitet weitergehende Anliegen an unseren Datenschutz-Kontakt.
• Löschung (Art. 17): vollständige Konto-Löschung ebendort.

Zur Ausübung deiner Rechte genügt darüber hinaus eine Nachricht an unseren Datenschutz-Kontakt privacy@linqovery.com. Wir antworten unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung deiner personenbezogenen Daten zu beschweren.