Datenschutzerklärung

Fassung 1.5, gültig ab 3. November 2026. Was wir über Sie speichern, warum und wie lange.

Verantwortliche

Sanni Pauliina Härkönen, Einzelunternehmerin nach finnischem Recht, finnische Unternehmens-ID (Y-tunnus) 3518859-2, Heikinpohjantie 23 as. 4, 57100 Savonlinna, Finnland. Kontakt in allen Datenschutzfragen: support@getsigila.com oder das Kontaktformular. Eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten haben wir nicht benannt.

Wir handeln in drei Rollen (die Rollen auf einer Seite, Englisch und Finnisch):

• Unsere Kundschaft, Besucher und Kontakte: Konto, Abrechnung, Support, Protokolle, Besucherstatistik und die Kontakte von Organisationen. Hier sind wir Verantwortliche; diese Erklärung beschreibt es.
• Seiten, die eine Kundin oder ein Kunde prüfen lässt, kostenpflichtig oder kostenlos: Verantwortlich für personenbezogene Daten auf diesen Seiten ist die Kundschaft, und wir sind Auftragsverarbeiterin nach dem Auftragsverarbeitungsvertrag. Siehe „Geprüfte Websites“ unten.
• Unsere eigenen Forschungsscans öffentlicher Websites: Hier sind wir Verantwortliche. Siehe „Forschungsscans“ unten.

Zu den Rechtsgrundlagen

Wo hier „Vertrag“ steht, ist der Fall gemeint, dass Sie selbst unsere Kundin oder unser Kunde sind, etwa als Einzelunternehmer. Ist Ihre Organisation die Kundin und Sie deren Ansprechperson, stützen wir uns auf unser berechtigtes Interesse, den Vertrag mit Ihrer Organisation zu erfüllen (Art. 6 Abs. 1 lit. f DSGVO).

Was wir verarbeiten und warum

• Webadressen, die Sie prüfen lassen, und die Ergebnisse (Screenshots der öffentlichen Seiten, der HTML-Code fehlerhafter Elemente, technische Angaben zum Laden der Seite). Zweck: Erbringung des Dienstes. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO), auch bei kostenlosen Scans, bei denen Sie ein Ergebnis anfordern und wir es liefern. Personenbezogene Daten Dritter, die auf einer geprüften Seite zu sehen sind, behandelt der Abschnitt „Geprüfte Websites“.
• Ihre E-Mail-Adresse und Ihr Konto: Ihre E-Mail-Adresse, der Name Ihrer Organisation und deren Umsatzsteuer-Identifikationsnummer, falls Sie sie angeben, die Fassung der Bedingungen, die Sie akzeptiert haben, und wann, Kunden- und Abo-Kennungen bei Stripe sowie Anmelde-Token (nur als Hash gespeichert). Bei einer Bestellung auf Rechnung: Name der Ansprechperson, Unternehmenskennung, E-Rechnungsadresse und Referenz des Bestellers. Zweck: Ihr Konto, Anmeldelinks, Wochenberichte, Rechnungen. Rechtsgrundlage: Vertrag; für Rechnungen und Buchhaltung unsere gesetzliche Pflicht nach dem finnischen Buchführungsgesetz.
• Zahlungsdaten verarbeitet Stripe; Ihre vollständige Kartennummer sehen wir nie. Stripe handelt teils als unser Auftragsverarbeiter und teils als eigene Verantwortliche, etwa zur Betrugsabwehr und für eigene gesetzliche Pflichten (stripe.com/privacy).
• Serverprotokolle mit IP-Adressen, aufgerufenen Seiten, Uhrzeit und Antwortcode, 30 Tage lang gespeichert für Sicherheit und Fehlersuche. Rechtsgrundlage: unser berechtigtes Interesse an einem sicheren Dienst.
• Besucherstatistik. Wenn Sie eine Seite auf getsigila.com öffnen, speichern wir das Datum, die Seite, die verweisende Website (nur ihre Domain), Kampagnen-Kennzeichen im Link (utm_source, utm_campaign, utm_content) und ob Sie einen Computer, ein Handy oder ein Tablet nutzen. Wir setzen dafür kein Cookie. Um Besucher pro Tag zu zählen, werden Ihre IP-Adresse und die Kennung Ihres Browsers einmal, im Moment des Besuchs, mit einem täglich wechselnden Schlüssel zu einem Code verrechnet; der Schlüssel wird danach gelöscht. Die Adresse selbst wird nicht gespeichert, und ohne den Schlüssel lässt sich der Code weder Ihnen noch Ihren Besuchen an anderen Tagen zuordnen. Zweck: zu wissen, über welche Kanäle Besucher kommen. Rechtsgrundlage: berechtigtes Interesse.
• Kampagnen-Kennzeichen aus dem Link, über den Sie gekommen sind, speichern wir mit Ihrem kostenlosen Scan und, wenn Sie ein Abo abschließen, mit Ihrem Abo, damit wir sehen, welche Kampagnen zu Abos führen. Rechtsgrundlage: berechtigtes Interesse.
• Die E-Mail-Adresse, an die Sie sich ein kostenloses Ergebnis schicken lassen: Wir senden eine E-Mail mit dem Link zu diesem Ergebnis. Gespeichert wird nur ein mit geheimem Schlüssel aus der Adresse berechneter Einweg-Code, allein um wiederholte Sendungen zu verhindern; er wird nach 30 Tagen mit dem Ergebnis gelöscht, und wir nutzen ihn nicht, um Ihre Adresse wiederherzustellen oder nachzuschlagen. Keine Liste, keine weiteren E-Mails. Rechtsgrundlage: Ausführung Ihrer Anfrage (Art. 6 Abs. 1 lit. b DSGVO); für den Code unser berechtigtes Interesse, Missbrauch zu verhindern.
• Nachrichten über das Kontaktformular: Ihre E-Mail-Adresse, die Nachricht und, falls Sie sie angeben, die Seite oder das Ergebnis, um das es geht. Sie gehen per E-Mail an unser Support-Postfach und bleiben dort 12 Monate nach Abschluss der Sache; danach werden sie gelöscht. Nachrichten zur Abrechnung bewahren wir mit der Buchhaltung auf, wo das Gesetz es verlangt. Rechtsgrundlage: Vertrag, wenn Sie zu Ihrem Abo schreiben; sonst unser berechtigtes Interesse, Anfragen zu beantworten.
• Kontakte von Organisationen für Forschung und Nachrichten. Für unsere Forschung ermitteln wir die Kontaktadresse, die eine Organisation selbst für Fragen der Barrierefreiheit veröffentlicht, meist in ihrer Erklärung zur Barrierefreiheit, und speichern die Organisation, die Adresse, Name und Funktion, falls die Seite sie nennt, die Seite, auf der wir sie gefunden haben, und den Wortlaut dort. Wir können dieser Adresse einzeln über die Befunde auf der eigenen Website der Organisation und über unsere Forschung schreiben. Jede Nachricht sagt, wo wir die Adresse gefunden haben, und eine Antwort mit dem Wort „stop“ beendet alle Nachrichten. Antworten, die wir erhalten, speichern wir mit dem Gespräch. Zweck: eine Organisation über die Barrierefreiheit ihrer eigenen Website zu informieren. Rechtsgrundlage: unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO); Sie können jederzeit widersprechen. Quelle: die öffentliche Website der Organisation. Empfängern in Deutschland schreiben wir nur mit vorheriger Einwilligung oder per Brief.
• Ergebnisanfragen und die Crash-Test-Befunde per E-Mail. Wenn Sie auf unserer Befunde-Seite das Ergebnis Ihres Shops anfordern, speichern wir die Adresse des Shops, Ihre E-Mail-Adresse mit der Domain des Shops, die Sprache, Kampagnen-Kennzeichen im Link und wann der zugesandte Link geöffnet wurde, und wir senden eine E-Mail mit diesem Link. Rechtsgrundlage: Ausführung Ihrer Anfrage (Art. 6 Abs. 1 lit. b DSGVO). Wenn Sie die Crash-Test-Befunde per E-Mail bestellen, speichern wir Ihre E-Mail-Adresse, die Sprache, Kampagnen-Kennzeichen und wann Sie sich angemeldet und bestätigt haben. Wir senden sie erst nach Ihrer Bestätigung, höchstens einmal pro Woche, und jede E-Mail hat einen Link, der Sie sofort abmeldet und Ihre Adresse löscht. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit widerrufen können.

Auftragsverarbeiter, weitere Empfänger und Übermittlungen

Hosting und Datensicherung: UpCloud (Finnland). Zahlungen: Stripe (Irland; Konzerngesellschaften in den USA). Versand und Empfang von E-Mails: Resend (USA). Domain-Namensdienst und Weiterleitung von E-Mails an unsere Support- und Berichtsadressen: Cloudflare (USA). Support-Postfach: Help Scout (USA). Buchhaltung: UKKO Yrittäjyyspalvelut Oy, UKKO.fi (Finnland). Sigila Crash Test, nur wenn Sie ihn starten: Google (Gemini API, USA) erhält Bilder und Text der besuchten Seiten, um die Schritte der KI-Persona zu entscheiden; sie werden nicht zum Training von Googles Modellen verwendet. An Behörden geben wir Daten nur weiter, wo das Gesetz es verlangt, etwa an die finnische Steuerverwaltung.

Übermittlungen außerhalb der EU und des EWR stützen sich auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework, soweit der Anbieter danach zertifiziert ist, und sonst auf die EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag des Anbieters. Eine Kopie der Garantie erhalten Sie auf Anfrage.

Besucherstatistik und Kampagnen-Kennzeichen bleiben auf unserem eigenen Server. Wir verkaufen Ihre Daten nicht, geben sie nicht für Werbung weiter und nutzen keine Werbepixel. Geht das Geschäft von Sigila auf ein Unternehmen über, das es fortführt, gehen die Kundendaten mit; Kundinnen und Kunden informieren wir vorher.

Cookies

Sigila setzt ein einziges Cookie, sigila_session, und zwar erst nach der Anmeldung, damit Sie 30 Tage angemeldet bleiben. Es ist für die Anmeldung unbedingt erforderlich, deshalb fragen wir keine Einwilligung ab (§ 25 Abs. 2 Nr. 2 TDDDG). Keine Analyse- oder Werbe-Cookies; die Besucherstatistik speichert nichts in Ihrem Browser.

Speicherdauer

Kostenlose Scan-Ergebnisse und der Code einer Adresse, an die ein Ergebnis ging: 30 Tage. Serverprotokolle: 30 Tage. Unsere eigenen Forschungsscans öffentlicher Websites: die Befunde 24 Monate, Screenshots nur vom jeweils letzten Scan einer Website. Abo-Daten und Berichte: solange das Abo läuft und 90 Tage nach seinem Ende, danach werden sie gelöscht. Support-Nachrichten: 12 Monate nach Abschluss der Sache. Rechnungen und andere Buchhaltungsunterlagen: sechs Jahre ab Ende des Jahres, in dem das Geschäftsjahr endete (finnisches Buchführungsgesetz). Besucherstatistik: 24 Monate. Forschungskontakte und die mit ihnen gewechselten Nachrichten: 12 Monate nach der letzten Nachricht; eine Adresse, die uns gebeten hat aufzuhören, bleibt auf einer Sperrliste, damit wir ihr nie wieder schreiben. Ergebnisanfragen: 12 Monate. Die Crash-Test-Befunde per E-Mail: bis Sie sich abmelden; eine Anmeldung, die nicht innerhalb von 30 Tagen bestätigt wird, wird gelöscht.

Ihre Rechte

Sie können Auskunft über Ihre Daten verlangen, sie berichtigen oder löschen lassen, ihre Verarbeitung einschränken lassen und die Daten, die Sie uns gegeben haben, in maschinenlesbarer Form erhalten, über das Kontaktformular oder per E-Mail an support@getsigila.com. Wir antworten innerhalb eines Monats.

Widerspruchsrecht: Wo wir uns auf berechtigtes Interesse stützen (Serverprotokolle, Besucherstatistik, Kampagnen-Kennzeichen, Ansprechpersonen, Support-Nachrichten, Forschungsscans und Forschungskontakte), können Sie jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen. Wir hören dann auf, außer wir haben zwingende Gründe, weiterzumachen.

Für ein Abo und für den Versand eines Ergebnisses brauchen wir eine E-Mail-Adresse; ohne sie können wir beides nicht anbieten. Wir treffen keine automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für Sie und betreiben kein Profiling.

Sie können sich bei der finnischen Datenschutzbehörde (Tietosuojavaltuutetun toimisto, tietosuoja.fi) oder bei der Datenschutzaufsicht Ihres eigenen EU-Landes beschweren, in Deutschland etwa bei der Aufsichtsbehörde Ihres Bundeslandes.

Geprüfte Websites

Scans laden nur öffentliche Seiten, so wie ein Browser; es wird niemand angemeldet und keine Besucherdaten der geprüften Website erhoben. Der Scanner schickt nichts ab. Eine Persona des Crash-Tests darf in einem Onlineshop die Suche und den Warenkorb der Website nutzen und die Kasse bis zum Zahlungsschritt ausfüllen, ausschließlich mit den Testdaten von Sigila, nie mit Daten einer echten Person. Scans kommen von der Adresse 94.237.112.217; siehe über den Scanner (Englisch). Geprüfte Seiten werden nur verarbeitet, um den Bericht zu erstellen, und für nichts anderes; Screenshots werden weder veröffentlicht noch weiterverwendet.

Ein Screenshot oder ein Stück HTML kann personenbezogene Daten enthalten, die die Website selbst veröffentlicht hat, etwa Namen oder Fotos von Mitarbeitenden. Wir verarbeiten sie nur als Teil der Seite, um zu zeigen, wo ein Barrierefreiheitsfehler liegt; wir suchen, indexieren oder identifizieren damit niemanden. Lässt eine Kundin oder ein Kunde eine Website prüfen, kostenpflichtig oder kostenlos, entscheidet sie oder er, was geprüft wird, und ist für diese Daten verantwortlich; wir verarbeiten sie nur, um den Bericht zu erstellen, als Auftragsverarbeiterin nach dem Auftragsverarbeitungsvertrag. Speicherdauer: kostenlose Scans 30 Tage, Scans von Abonnenten für die Dauer des Abos und 90 Tage danach. Zugriff: wir und wer den privaten Link zum Ergebnis hat. Wenn Sie auf einer Seite zu sehen sind, die eine Kundin oder ein Kunde prüfen ließ, wenden Sie sich an den Betreiber der Website; schreiben Sie uns, leiten wir Ihre Anfrage dorthin weiter.

Wer nicht möchte, dass die eigene Website geprüft wird, kann uns das über das Kontaktformular (Thema „Do not scan my site“) von einer Adresse der eigenen Domain mitteilen; wir sperren die Website und ihre Subdomains dann für alle Scans.

Forschungsscans

Aus eigener Initiative prüfen wir öffentliche Websites, etwa die Startseiten finnischer Gemeinden, und veröffentlichen zusammengefasste Statistiken. Hier sind wir Verantwortliche. Rechtsgrundlage: unser berechtigtes Interesse, das die Öffentlichkeit teilt, Informationen über die Barrierefreiheit öffentlicher Dienste zu gewinnen und zu veröffentlichen (Art. 6 Abs. 1 lit. f DSGVO); die Interessenabwägung haben wir dokumentiert. Wir laden nur öffentliche Seiten, beachten robots.txt, geben uns zu erkennen (über den Scanner, Englisch), suchen oder indexieren keine Personen und veröffentlichen weder personenbezogene Daten noch Screenshots. Jede Person, die auf einer geprüften Seite zu sehen ist, einzeln zu informieren, wäre unmöglich oder unverhältnismäßig (Art. 14 Abs. 5 lit. b DSGVO); stattdessen informieren diese Erklärung und die Scanner-Seite. Speicherdauer: Befunde 24 Monate, Screenshots nur vom jeweils letzten Scan einer Website. Kostenlose Scans und Scans der Kundschaft fließen nie in die Forschung ein.

Betreiber können ihre Website mit robots.txt oder auf Anfrage von Forschungsscans ausnehmen. Eine ausgenommene Website wird in Veröffentlichungen als „auf Wunsch des Betreibers nicht geprüft“ oder „nicht geprüft (robots.txt)“ gezählt, nie stillschweigend weggelassen. Ergebnisse einer namentlich genannten Website veröffentlichen wir nie ohne Erlaubnis ihrer Betreiber.

Änderungen dieser Erklärung

Wir aktualisieren diese Erklärung, wenn sich unsere Verarbeitung ändert. Fassung und Datum oben zeigen den aktuellen Stand; über wesentliche Änderungen informieren wir Abonnenten per E-Mail.

16. Oktober 2026: Kontakte von Organisationen für Forschung und Nachrichten sowie der Empfang von E-Mails ergänzt.

18. Oktober 2026: Angaben zu Bestellungen auf Rechnung ergänzt.

24. Oktober 2026 (Fassung 1.2): kostenlose Scans beruhen auf Vertrag; unsere Rolle als eigenständige Verantwortliche; Empfänger in Deutschland.

27. Oktober 2026 (Fassung 1.3): drei Rollen; Seiten, die eine Kundin oder ein Kunde prüfen lässt, verarbeiten wir als Auftragsverarbeiterin nach dem Auftragsverarbeitungsvertrag; Forschungsscans in einem eigenen Abschnitt.

27. Oktober 2026 (Fassung 1.4): keine inhaltliche Änderung dieser Erklärung; die Fassungsnummer folgt den AGB, die einen Abschnitt zur Verfügbarkeit erhalten haben.

3. November 2026 (Fassung 1.5): geprüfte Websites: was eine Persona des Crash-Tests in einem Onlineshop tut (Suche, Warenkorb und Kasse bis zum Zahlungsschritt mit den Testdaten von Sigila).

9. November 2026: Ergebnisanfragen und die Crash-Test-Befunde per E-Mail ergänzt.

Inhaltlich gleich mit der englischen Fassung (Privacy notice).