Analyse: Rechtstexte (Entwuerfe, anwaltlich zu pruefen)

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

docs/rechtliches/abo-bedingungen-ergaenzung-analyse.md

@@ -0,0 +1,64 @@
+# Ergänzung der Abo-Bedingungen: Website-Analyse (Vorschlag)
+
+> **Entwurf – vor Verwendung anwaltlich prüfen lassen.** `public/abo-bedingungen.html` wird NICHT geändert; Nutzer lädt die neue Fassung in WOMS „Rechtliches“ hoch.
+
+Bezug: aktuelle Abo-Bedingungen (Aufbau § 1 bis § 16, Leistungsbeschreibung B = Wartungs-Abo, Anlagen 1 bis 3). Die Paragraphenfolge bleibt unverändert, es entstehen keine neuen Verweise in anderen §§.
+
+## 1. Wartungs-Abo, Nr. 1 „Umfang“: neuer Spiegelstrich (nach „Servicezeiten und Reaktion“)
+
+```diff
+   tägliche Datensicherung (§ 3 Abs. 5)
+   1 Stunde Arbeitszeit je bezahltem Monat; nicht genutzte Zeit bleibt 12 Monate verfügbar (§ 4)
+   Servicezeiten und Reaktion (§ 3 Abs. 6)
++  Website-Analyse für öffentliche Websites auf Wunsch des Kunden (Leistungsbeschreibung „Website-Analyse“, § 3 Abs. 8)
+```
+
+## 2. § 3 Leistungen: neuer Absatz (8) nach Absatz (7)
+
+```diff
++ (8) Website-Analyse
++ Im Wartungs-Abo kann der Kunde im Kundenportal für seine öffentliche, bei uns gehostete Website eine
++ Reichweitenmessung mit Cookie-Banner einschalten. Umfang, Voraussetzungen, Pflichten des Kunden und Ende
++ der Leistung ergeben sich aus der Leistungsbeschreibung „Website-Analyse“. Die Website-Analyse ist im
++ Hosting-Abo nicht enthalten. Wir schulden dafür keine bestimmte Verfügbarkeit; ein Ausfall der Analyse
++ beeinträchtigt die Website nicht. Sie endet mit dem Ausschalten durch den Kunden oder mit dem Ende des
++ Wartungs-Abos; die Daten löschen wir 60 Tage danach.
+```
+
+## 3. § 6 Pflichten des Kunden: neuer Absatz nach dem Absatz zu Impressum und Datenschutzerklärung
+
+```diff
+  Für Impressum, Datenschutzerklärung und Inhalte seiner Website ist der Kunde verantwortlich. Die Angaben zum Hosting, ... stehen in den Anlagen 1 bis 3.
++ Schaltet der Kunde die Website-Analyse ein, ist er für die Messung auf seiner Website Verantwortlicher. Er
++ entfernt oder umgeht das Cookie-Banner nicht, bindet ohne Abstimmung mit uns keine weiteren Mess- oder
++ Tracking-Werkzeuge ein und ergänzt seine Datenschutzerklärung um einen Hinweis auf die von uns erzeugte
++ Zusatzseite „/datenschutz-analyse.html“.
+```
+
+## 4. § 11 Vertragsende: neuer Satz am Ende
+
+```diff
++ Mit dem Vertragsende endet auch die Website-Analyse; wir entfernen Skript und Banner beim nächsten
++ Veröffentlichen der Website und löschen die Messdaten 60 Tage nach Abschaltung.
+```
+
+## 5. § 14 Datenschutz, Absatz (2): Ergänzung
+
+```diff
+- Soweit wir im Rahmen eines Abos personenbezogene Daten im Auftrag des Kunden verarbeiten, etwa E-Mails in seinen Postfächern, Eingaben in Kontaktformulare oder Server-Protokolle seiner Website, gilt der Auftragsverarbeitungsvertrag in Anlage 1.
++ Soweit wir im Rahmen eines Abos personenbezogene Daten im Auftrag des Kunden verarbeiten, etwa E-Mails in seinen Postfächern, Eingaben in Kontaktformulare oder Server-Protokolle seiner Website, gilt der Auftragsverarbeitungsvertrag in Anlage 1. Für die Website-Analyse gilt zusätzlich der Auftragsverarbeitungsvertrag Website-Analyse, dem der Kunde beim Einschalten im Kundenportal zustimmt.
+```
+
+## 6. Anlage 3 Unterauftragsverarbeiter: neue Zeile
+
+```diff
+  Hetzner Online GmbH ... | E-Mail-Postfächer (Webhosting) | Deutschland (Rechenzentrum Nürnberg)
++ Hetzner Online GmbH ... | Server für die Website-Analyse (Messdienst, nur bei eingeschalteter Funktion) | Deutschland (Rechenzentrum Falkenstein)
+```
+
+## 7. Fassung und Datum
+
+Neue Fassung der Abo-Bedingungen mit neuem Stand-Datum hochladen; § 15 (Änderungen dieser Bedingungen) regelt die Mitteilung. Die Website-Analyse ist eine zusätzliche Leistung ohne Aufpreis, erhöht Preise nicht und greift nicht in bestehende Leistungen ein.
+
+<!-- Prüfpunkt Anwalt P10: Wirksame Einbeziehung der geänderten Fassung bei Bestandskunden (§ 15, § 308 Nr. 5 / § 307 BGB); Wettbewerbs-/Transparenzfragen zur kostenlosen Zusatzleistung. -->
+<!-- Prüfpunkt Anwalt P14: Verweis Wartungs-Abo (Leistungsbeschreibung B) und Hosting-Abo-Ausschluss konsistent mit § 9 Wechsel. -->

docs/rechtliches/avv-website-analyse.md

@@ -0,0 +1,132 @@
+# Auftragsverarbeitungsvertrag Website-Analyse (Art. 28 DSGVO)
+
+> **Entwurf – vor Verwendung anwaltlich prüfen lassen.** Dieser Text ist keine Rechtsberatung. Stellen mit „Prüfpunkt Anwalt“ sind offen.
+
+**Fassung 2026-10-01**
+
+zwischen dem Kunden als Verantwortlichem („Kunde“) und der WEBklar GbR, Am Schwimmbad 10, 67722 Winnweiler, vertreten durch die Gesellschafter Kenso Grimm und Justin Klein, als Auftragsverarbeiter („WEBklar“).
+
+Dieser Vertrag ergänzt den Auftragsverarbeitungsvertrag in Anlage 1 der Abo-Bedingungen. Er wird vereinbart, wenn der Kunde im Kundenportal die Funktion „Website-Analyse“ einschaltet und dabei die Zustimmung zu dieser Fassung bestätigt (Haken im Portal; das Portal speichert Fassung, Zeitpunkt und Person). Schaltet ein Mitarbeiter von WEBklar die Funktion auf Wunsch des Kunden ein, bestätigt der Kunde diese Fassung vorher in Textform; WEBklar protokolliert das.
+
+<!-- Prüfpunkt Anwalt P11: Wirksamer Abschluss durch Portal-Haken (Textform, Art. 28 Abs. 9 DSGVO) und mündliche Bestätigung durch Mitarbeiter; Nachweis der Fassung. -->
+<!-- Prüfpunkt Anwalt P6: Rollenverteilung. Kunde = Verantwortlicher, WEBklar = Auftragsverarbeiter; keine gemeinsame Verantwortlichkeit (Art. 26), weil WEBklar die Daten nur für den Kunden verwendet. Prüfen, ob die Auswertung in Aggregaten für WEBklar-Produktverbesserung ausgeschlossen bleiben soll (Ja, siehe Nr. 3). -->
+
+## 1. Gegenstand und Dauer
+
+(1) WEBklar betreibt für die öffentliche Website des Kunden eine Reichweitenmessung („Website-Analyse“) und verarbeitet dabei personenbezogene Daten der Besucher der Website im Auftrag des Kunden. Die Leistung ist in der Leistungsbeschreibung „Website-Analyse“ beschrieben.
+
+(2) Der Vertrag beginnt mit dem Einschalten der Funktion und gilt, solange die Funktion eingeschaltet ist. Er endet mit dem Ausschalten, spätestens mit dem Ende des Wartungs-Abos, und gilt darüber hinaus, bis alle Daten nach Nummer 9 gelöscht sind.
+
+## 2. Art und Zweck der Verarbeitung
+
+(1) Art: Erheben über ein Skript, das WEBklar in die Website des Kunden einfügt, Übermitteln an den Messdienst von WEBklar, Speichern, Verdichten zu Tageswerten, Auswerten im Kundenportal (Kennzahlen, Heatmap) und Löschen.
+
+(2) Zweck: Der Kunde soll erkennen, wie seine Website genutzt wird, um sie zu verbessern. Andere Zwecke verfolgt WEBklar mit diesen Daten nicht. Es findet kein Profiling, keine Werbung und keine Zusammenführung mit anderen Daten statt.
+
+## 3. Datenarten und Betroffene
+
+(1) Datenarten ohne Einwilligung des Besuchers: Seitenaufruf mit Pfad (ohne Suchparameter), Domainname der verweisenden Website, Land (abgeleitet aus der IP-Adresse; die IP-Adresse wird nur im Moment der Abfrage verwendet und nicht gespeichert), Geräteklasse (Handy, Tablet, Computer), anonyme Zähler zur Anzeige, Annahme und Ablehnung des Banners.
+
+(2) Zusätzlich nach Annehmen des Banners durch den Besucher: eine täglich wechselnde pseudonyme Besucher-Kennung (nicht über mehrere Tage verknüpfbar), Verweildauer und Scrolltiefe je Seite, Klickpositionen mit vereinfachtem Elementpfad (Heatmap, keine Formulareingaben), Art des Kontakt-Klicks (Telefon, E-Mail, WhatsApp, Link auf eine andere Website mit Domainname).
+
+(3) Nicht erhoben werden: IP-Adressen, Browser-Kennzeichen (User-Agent), Cookies, Formularinhalte, Seiteninhalte, Mausbewegungen oder Sitzungsaufzeichnungen. Besondere Kategorien nach Art. 9 DSGVO werden nicht gezielt verarbeitet.
+
+(4) Betroffene: Besucher der Website des Kunden.
+
+(5) WEBklar verwendet die Daten ausschließlich für den Kunden und gibt sie nicht an Dritte weiter, außer an Unterauftragsverarbeiter nach Nummer 7.
+
+<!-- Prüfpunkt Anwalt P2: Einordnung der Tages-Kennung (pseudonym oder faktisch anonym, EuGH C-413/23 P) und der Klickpositionen; Konsequenzen für Betroffenenrechte (Nr. 8). -->
+
+## 4. Weisungen
+
+(1) WEBklar verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, es sei denn, eine gesetzliche Pflicht verlangt etwas anderes. In diesem Fall teilt WEBklar dem Kunden die Pflicht vorher mit, soweit das Gesetz es erlaubt.
+
+(2) Die Weisungen ergeben sich aus diesem Vertrag, der Leistungsbeschreibung und den Einstellungen des Kunden im Kundenportal (Einschalten, Ausschalten, Akzentfarbe des Banners). Weitere Weisungen erteilt der Kunde in Textform, etwa im Chat des Kundenportals. Hält WEBklar eine Weisung für rechtswidrig, weist es den Kunden unverzüglich darauf hin und darf die Ausführung aussetzen.
+
+## 5. Vertraulichkeit
+
+WEBklar setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.
+
+## 6. Technische und organisatorische Maßnahmen
+
+(1) WEBklar trifft die Maßnahmen nach Art. 32 DSGVO, die in der Anlage zu diesem Vertrag beschrieben sind. WEBklar darf sie an den Stand der Technik anpassen, sofern das Schutzniveau nicht sinkt.
+
+(2) Die Maßnahmen der Anlage 2 zu den Abo-Bedingungen gelten ergänzend.
+
+## 7. Unterauftragsverarbeiter
+
+(1) Der Kunde genehmigt den Einsatz der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, für den Betrieb des Servers, auf dem der Messdienst läuft, und für die Datensicherung. Ort der Verarbeitung ist ein Rechenzentrum in Deutschland (Falkenstein). Die Daten werden nicht in Drittländer übermittelt.
+
+(2) Will WEBklar einen Unterauftragsverarbeiter hinzuziehen oder ersetzen, teilt es das dem Kunden mindestens vier Wochen vorher in Textform mit. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Einigen sich die Parteien nicht, kann der Kunde die Website-Analyse zu dem Zeitpunkt beenden, zu dem der neue Unterauftragsverarbeiter eingesetzt werden soll.
+
+(3) WEBklar verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die sich aus diesem Vertrag ergeben.
+
+(4) Die Länderzuordnung nutzt eine lokal gespeicherte Datenbank („DB-IP Lite Country“, Lizenz CC BY 4.0). Dabei werden keine Daten an den Anbieter der Datenbank übermittelt; er ist kein Unterauftragsverarbeiter.
+
+<!-- Prüfpunkt Anwalt P13: Gültiger Auftragsverarbeitungsvertrag mit Hetzner besteht (laut Datenschutzerklärung ja); Standort Falkenstein bestätigen. P12: Einordnung DB-IP als Datenbank-Lizenz ohne Datenübermittlung. -->
+
+## 8. Unterstützung des Kunden, Betroffenenrechte
+
+(1) WEBklar leitet Anfragen betroffener Personen, die an WEBklar gerichtet sind, unverzüglich an den Kunden weiter und unterstützt ihn bei der Beantwortung, soweit das mit den eingesetzten Systemen möglich ist.
+
+(2) Die gespeicherten Daten enthalten keine IP-Adresse, keinen Namen und keine Kennung, die über einen Tag hinaus gilt. WEBklar kann einzelne Besucher daher in der Regel nicht identifizieren und Auskunfts-, Berichtigungs- oder Löschverlangen zu einzelnen Besuchen nicht umsetzen, solange die betroffene Person keine zusätzlichen Angaben bereitstellt (Art. 11 DSGVO). Der Kunde weist Betroffene darauf in seiner Datenschutzerklärung hin.
+
+(3) WEBklar unterstützt den Kunden bei seinen Pflichten aus Art. 32 bis 36 DSGVO.
+
+(4) Verletzungen des Schutzes personenbezogener Daten meldet WEBklar dem Kunden unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Informationen, die zu diesem Zeitpunkt vorliegen.
+
+(5) Der Kunde ist dafür verantwortlich, dass die Besucher seiner Website informiert werden (Art. 13 DSGVO). WEBklar stellt dafür die Zusatzseite „/datenschutz-analyse.html“ bereit. Der Kunde ergänzt seine eigene Datenschutzerklärung um einen Hinweis darauf.
+
+<!-- Prüfpunkt Anwalt P18: Betroffenenrechte bei nicht identifizierbaren Daten (Art. 11, Art. 12 Abs. 2); Formulierung von Absatz 2. P15: Reicht die Zusatzseite für Art. 13, wenn der Kunde seine Datenschutzerklärung nicht anpasst? -->
+
+## 9. Löschung und Rückgabe
+
+(1) Einzelne Ereignisse und Klickpositionen löscht WEBklar automatisch nach 30 Tagen. Zusammengefasste Tageswerte ohne Besucher-Kennung bleiben bis zum Ende der Website-Analyse (Ausschalten oder Ende des Wartungs-Abos) und weitere 60 Tage gespeichert; danach löscht WEBklar alle Daten der Website. Eine Kopie der Tageswerte stellt WEBklar dem Kunden auf Verlangen in Textform innerhalb dieser Frist zur Verfügung.
+
+(2) Sicherungskopien werden im Rahmen der regulären Rotation überschrieben.
+
+(3) Gesetzliche Aufbewahrungspflichten bleiben unberührt.
+
+<!-- Prüfpunkt Anwalt P9: Aufbewahrung der Tageswerte bis Abo-Ende + 60 Tage (Erforderlichkeit, Art. 28 Abs. 3 lit. g DSGVO: Löschung "nach Abschluss der Erbringung"); ggf. kürzer, falls Tageswerte nicht als personenbezogen gelten. P8: Sicherungen (siehe Anlage). -->
+
+## 10. Nachweise und Kontrollen
+
+WEBklar stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer. Sie finden nach Anmeldung mit angemessener Frist (in der Regel 14 Tage) zu den Servicezeiten statt, ohne den Betrieb unzumutbar zu stören. Für das Rechenzentrum genügen in der Regel die Nachweise des Betreibers. Für mehr als eine Vor-Ort-Kontrolle pro Jahr kann WEBklar eine angemessene Vergütung verlangen.
+
+## 11. Pflichten des Kunden
+
+Der Kunde ist Verantwortlicher für die Verarbeitung. Er sorgt dafür, dass das Banner nicht entfernt oder verdeckt wird, dass keine weiteren Messwerkzeuge ohne Abstimmung eingebunden werden, und dass seine Datenschutzerklärung auf die Zusatzseite hinweist (Leistungsbeschreibung „Website-Analyse“).
+
+## 12. Haftung und Schlussbestimmungen
+
+(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der Abo-Bedingungen.
+
+(2) Bei Widersprüchen geht dieser Vertrag in Datenschutzfragen den Abo-Bedingungen und der Leistungsbeschreibung vor.
+
+(3) Änderungen dieses Vertrags richten sich nach § 15 der Abo-Bedingungen; eine neue Fassung wird erst wirksam, wenn der Kunde sie im Portal bestätigt hat.
+
+(4) Es gilt deutsches Recht.
+
+<!-- Prüfpunkt Anwalt P10: Haftungsverweis auf Abo-Bedingungen und Änderungsmechanismus (AGB-Kontrolle). -->
+
+## Anlage: Technische und organisatorische Maßnahmen der Website-Analyse (Art. 32 DSGVO)
+
+| Bereich | Maßnahmen |
+|---|---|
+| Übertragung | Skript und Messdaten werden nur über TLS (HTTPS) übertragen. |
+| Keine Cookies | Es werden keine Cookies gesetzt. Auf dem Gerät des Besuchers wird nur die Banner-Auswahl im lokalen Speicher (Eintrag „wk-consent“) gespeichert; sie gilt sechs Monate. |
+| Datenminimierung | IP-Adresse und Browser-Kennzeichen werden nicht gespeichert und nicht protokolliert; sie werden nur im Moment der Abfrage für Land, Geräteklasse und Bot-Erkennung verwendet. Pfade ohne Suchparameter, Elementpfade ohne Kennungen und Klassennamen. Keine Formulareingaben. |
+| Pseudonymisierung | Die Besucher-Kennung (nur nach Einwilligung) ist ein gekürzter Hash mit Tagessalz. Das Salz liegt nur im Arbeitsspeicher und wird täglich um 00:00 Uhr (Europe/Berlin) neu erzeugt; ältere Kennungen sind danach nicht mehr verknüpfbar. |
+| Einwilligung | Ohne „Annehmen“ sendet das Skript nur Seitenaufruf und Banner-Zähler. „Global Privacy Control“ und „Do Not Track“ gelten als Ablehnen. |
+| Zugriffskontrolle | Die Verwaltungsschnittstelle des Messdienstes (Auswertung, Website-Verwaltung) läuft auf einem getrennten, internen Port, der nicht öffentlich erreichbar ist, und ist durch ein Zugriffstoken geschützt. Zugriff nur über das Kundenportal und die Verwaltung von WEBklar. Im Portal sieht jeder Kunde nur die Daten seiner eigenen Website. |
+| Eingangsprüfung | Messdaten werden nur angenommen, wenn die Website registriert ist und Origin bzw. Referer zu ihren Domains passen; Bots werden verworfen; Größen- und Mengenbegrenzung je Website und Anfrager (nur im Arbeitsspeicher). |
+| Heatmap-Zugriff | Die Heatmap wird über einen signierten Link abgerufen, der 30 Minuten gültig ist. |
+| Löschung | Täglicher automatischer Job (02:30 Uhr, Europe/Berlin): Rohdaten und Klicks nach 30 Tagen; Websites, die seit mehr als 60 Tagen abgeschaltet sind, werden vollständig gelöscht. |
+| Trennung | Daten sind je Website getrennt (Website-Schlüssel); eigener Container und eigenes Datenverzeichnis des Messdienstes; kein Zugriff auf andere Kundendaten. |
+| Rechenzentrum | Hetzner Online GmbH, Falkenstein (Deutschland), ISO/IEC 27001. |
+| Protokolle des Reverse-Proxys | Das Zugriffsprotokoll für die Messdienst-Adresse wird ohne Client-IP geführt. **[Prüfpunkt P7: Einstellung beim Livegang verifizieren.]** |
+| Datensicherung | Die tägliche Serversicherung (7 Tage) erfasst voraussichtlich auch das Datenverzeichnis des Messdienstes. **[Prüfpunkt P8: ob das Verzeichnis in der Sicherung enthalten ist und wie lange dort gelöschte Daten verbleiben, ist noch zu klären.]** |
+| Organisation | Verpflichtung aller Beteiligten auf Vertraulichkeit, Ablauf für Datenschutzverletzungen (Nr. 8 Abs. 4), Überprüfung der Maßnahmen mindestens einmal im Jahr. |
+
+<!-- Prüfpunkt Anwalt P7 und P8: siehe Tabelle (Reverse-Proxy-Protokoll, Sicherung). -->
+<!-- Prüfpunkt Anwalt P4: Einwilligungsnachweis ist nur technisch (ohne Annehmen sendet das Skript nachweislich nichts Weiteres); es gibt kein Einwilligungsprotokoll je Besucher. Reicht das für Art. 7 Abs. 1 DSGVO? -->

docs/rechtliches/leistungsbeschreibung-website-analyse.md

@@ -0,0 +1,75 @@
+# Leistungsbeschreibung Website-Analyse
+
+> **Entwurf – vor Verwendung anwaltlich prüfen lassen.** Dieser Text ist keine Rechtsberatung.
+
+**Fassung 2026-10-01** · Teil der Abo-Bedingungen (Wartungs-Abo)
+
+## 1. Leistung
+
+(1) Die Website-Analyse misst, wie die öffentliche Website des Kunden genutzt wird. Sie ist im Wartungs-Abo ohne Aufpreis enthalten und wird vom Kunden im Kundenportal eingeschaltet.
+
+(2) WEBklar fügt beim Veröffentlichen der Website ein Messskript und ein Cookie-Banner (Leiste unten, „Ablehnen“ und „Annehmen“ gleichwertig, einstellbare Akzentfarbe, Link „Cookie-Einstellungen“) ein und erzeugt eine Zusatzseite „/datenschutz-analyse.html“ mit den Datenschutzhinweisen zur Messung (Verantwortlicher: der Kunde).
+
+(3) Gemessen wird:
+- **ohne Einwilligung des Besuchers:** Seitenaufrufe mit Pfad (ohne Suchparameter), Domainname der verweisenden Website, Land (die IP-Adresse wird nur im Moment der Abfrage verwendet und nicht gespeichert), Geräteklasse sowie anonyme Banner-Zähler;
+- **nach „Annehmen“ zusätzlich:** eine täglich wechselnde pseudonyme Besucher-Kennung, Verweildauer, Scrolltiefe, Klickpositionen (Heatmap) und die Art von Kontakt-Klicks (Telefon, E-Mail, WhatsApp, Link auf eine andere Website).
+
+(4) Es werden keine Cookies gesetzt. Gespeichert wird auf dem Gerät des Besuchers nur dessen Banner-Auswahl im lokalen Speicher des Browsers (sechs Monate). Signale „Global Privacy Control“ und „Do Not Track“ gelten als Ablehnen.
+
+(5) Die Auswertung (Kennzahlen, Diagramme, Heatmap) steht im Kundenportal zur Verfügung. Die Daten liegen auf Servern der Hetzner Online GmbH in Deutschland; es erfolgt keine Übermittlung in Drittländer. Rohdaten und Klicks werden nach 30 Tagen gelöscht, Tageswerte bis zum Ende der Analyse und weitere 60 Tage.
+
+(6) Nicht enthalten sind Sitzungsaufzeichnungen, Auswertung von Formularinhalten, Messung von Ladezeiten und Fehlern, Kampagnen- und Trichteranalyse sowie ein Datenexport (außer nach Nr. 6 Abs. 2).
+
+## 2. Voraussetzungen
+
+(1) Ein aktives Wartungs-Abo. Im Hosting-Abo ist die Website-Analyse nicht enthalten.
+
+(2) Die Website ist öffentlich erreichbar und wird bei WEBklar gehostet (Adresse unter project.webklar.com oder eigene Domain, die auf den Server von WEBklar zeigt). Login-geschützte Vorschauseiten werden nicht gemessen.
+
+(3) Der Kunde stimmt beim Einschalten dem Auftragsverarbeitungsvertrag Website-Analyse in der aktuellen Fassung zu.
+
+## 3. Pflichten des Kunden
+
+(1) Der Kunde ist Verantwortlicher im Sinne der DSGVO für die Messung auf seiner Website.
+
+(2) Er entfernt, verdeckt oder umgeht das Banner nicht und verändert das Skript nicht. Er verändert den Banner-Text oder die Gestaltung nur nach Abstimmung mit WEBklar.
+
+(3) Er bindet ohne Abstimmung mit WEBklar keine weiteren Mess-, Tracking- oder Marketing-Werkzeuge ein (zum Beispiel Google Analytics, Meta Pixel), weil sie eine eigene Einwilligung und eine Anpassung des Banners erfordern können.
+
+(4) Er pflegt seine Datenschutzerklärung und ergänzt sie um einen Hinweis auf die Zusatzseite „/datenschutz-analyse.html“. Beim Einschalten legt WEBklar dafür ein Ticket an. Der Kunde prüft die Angaben zu Firma, Anschrift und E-Mail-Adresse, die auf der Zusatzseite erscheinen, und teilt Änderungen mit.
+
+(5) Er richtet die Website nicht gezielt an Kinder und verarbeitet über die Website keine besonderen Kategorien personenbezogener Daten in einer Weise, die die Messung berührt, ohne vorher mit WEBklar zu sprechen.
+
+(6) Er nutzt die Auswertung nur für eigene Zwecke und versucht nicht, einzelne Besucher zu identifizieren.
+
+<!-- Prüfpunkt Anwalt P19: Ausschluss von Websites mit Kinderzielgruppe; Datenschutz-Folgenabschätzung (laut Recherche meist nicht nötig). -->
+
+## 4. Verfügbarkeit
+
+(1) Für die Website-Analyse gilt keine Verfügbarkeitszusage. Ausfälle, Wartung oder Fehler der Messung können zu Lücken in den Daten führen; ein Anspruch auf nachträgliche Messung besteht nicht.
+
+(2) Ein Ausfall der Website-Analyse beeinträchtigt die Website des Kunden nicht. Die Website wird weiter ausgeliefert, nur ohne Messung.
+
+(3) Die Zahlen sind Näherungswerte. Besucher mit Blockern, deaktivierten Skripten oder abgelehnter Einwilligung werden nur eingeschränkt oder nicht erfasst. Zahlen zu Besuchern, Verweildauer, Klicks und Kontakt-Klicks stammen nur von Besuchern, die „Annehmen“ gewählt haben.
+
+<!-- Prüfpunkt Anwalt P10: Haftungsausschluss/Verfügbarkeit in AGB (§§ 307 ff. BGB), Zusammenspiel mit § 5 und § 13 der Abo-Bedingungen. -->
+
+## 5. Ende der Leistung
+
+(1) Der Kunde kann die Website-Analyse jederzeit im Kundenportal ausschalten. Mit Ende des Wartungs-Abos (auch bei Wechsel ins Hosting-Abo) endet die Website-Analyse automatisch.
+
+(2) Beim nächsten Veröffentlichen der Website entfernt WEBklar dann Skript, Banner und Zusatzseite. Bis dahin kann die Messung weiterlaufen. WEBklar informiert den Kunden per E-Mail über die Abschaltung.
+
+(3) Die gespeicherten Daten der Website löscht WEBklar 60 Tage nach der Abschaltung (Einzelheiten im Auftragsverarbeitungsvertrag). Der Kunde ergänzt seine Datenschutzerklärung nach der Abschaltung entsprechend.
+
+## 6. Hinweise
+
+(1) **Keine Rechtsberatung.** Die Zusatzseite und die Hinweise von WEBklar sind Muster und Unterstützung. Sie ersetzen keine Rechtsberatung. WEBklar schuldet keine Prüfung, ob die Website des Kunden insgesamt datenschutzkonform ist. Der Kunde lässt seine Datenschutzerklärung bei Bedarf rechtlich prüfen.
+
+(2) Auf Verlangen in Textform stellt WEBklar dem Kunden vor der Löschung eine Kopie der Tageswerte zur Verfügung.
+
+(3) Die Länderzuordnung nutzt die Datenbank „DB-IP Lite Country“ von DB-IP.com (CC BY 4.0).
+
+<!-- Prüfpunkt Anwalt P17: RDG – Abgrenzung der Mustertexte von Rechtsberatung; Haftung für Mustertext. -->
+<!-- Prüfpunkt Anwalt P1: Rechtliche Einordnung der Zählung ohne Einwilligung (§ 25 TDDDG, DSK-Lesart); Aussage in Nr. 1 Abs. 3 und Hinweis an den Kunden auf das Restrisiko. -->
+<!-- Prüfpunkt Anwalt P16: Die Leistungsbeschreibung beschreibt den Einwilligungsnachweis nur technisch; P4 siehe AVV. -->

public/datenschutz.html

@@ -44,7 +44,7 @@
 
   <div class="brand">WEBKLAR</div>
   <h1>Datenschutzerklärung</h1>
-  <p class="meta">Stand 30.09.2026</p>
+  <p class="meta">Stand 01.10.2026</p>
 
   <p>Hier erfahren Sie, welche personenbezogenen Daten wir verarbeiten, wenn Sie unsere Websites besuchen, unser Kundenportal nutzen oder mit uns einen Vertrag schließen, und welche Rechte Sie haben.</p>
 
@@ -65,7 +65,7 @@
   <p>Mit UptimeRobot haben wir einen Vertrag über die Auftragsverarbeitung geschlossen; er ist Teil der Nutzungsbedingungen von UptimeRobot. UptimeRobot verarbeitet diese Daten auch außerhalb der EU, insbesondere in den USA. Grundlage dafür sind die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Sie sind Teil des Auftragsverarbeitungsvertrags von UptimeRobot (uptimerobot.com/dpa); eine Kopie erhalten Sie auch bei uns. Rechtsgrundlage ist für die Websites unserer Abo-Kunden Art. 6 Abs. 1 lit. b DSGVO, weil die Überwachung zu den Leistungen des Abos gehört, im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt auch hier im sicheren und funktionsfähigen Betrieb. Die Adresse einer Website entfernen wir bei UptimeRobot, sobald wir die Website nicht mehr betreiben.</p>
 
   <h2>4. Cookies und Speicher im Browser</h2>
-  <p>Wir setzen keine Analyse-, Tracking- oder Marketing-Werkzeuge ein und binden keine Inhalte fremder Anbieter wie Schriftarten oder Karten ein. Alle Bestandteile unserer Seiten werden von unserem eigenen Server geladen.</p>
+  <p>Auf unseren eigenen Seiten (webklar.com und dem Kundenportal) setzen wir keine Analyse-, Tracking- oder Marketing-Werkzeuge ein und binden keine Inhalte fremder Anbieter wie Schriftarten oder Karten ein. Alle Bestandteile unserer Seiten werden von unserem eigenen Server geladen.</p>
   <table>
     <tr><th>Name</th><th>Zweck</th><th>Speicherdauer</th></tr>
     <tr><td>webklar_portal_session (Cookie)</td><td>hält Sie im Kundenportal angemeldet</td><td>7 Tage bzw. bis zur Abmeldung</td></tr>
@@ -90,6 +90,10 @@
   <p>Veröffentlichte Beiträge sind auf Ihrer Website öffentlich sichtbar, bis die von Ihnen gewählte Anzeigedauer endet oder Sie den Beitrag abnehmen. Die Besucher Ihrer Website sehen dabei nur den Inhalt der Beiträge, nicht Ihre Kundendaten. Sie können Beiträge und Fotos jederzeit im Kundenportal löschen. Was beim Aufruf der Pinnwand durch einen Besucher übertragen wird, steht in der Datenschutzerklärung Ihrer Website.</p>
   <p>Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag). Auf Ihren Wunsch oder wenn die Zusammenarbeit endet und wir die Funktion abschalten, ist die Pinnwand auf Ihrer Website nicht mehr erreichbar. Beiträge und Fotos löschen wir, wenn Sie sie selbst löschen, andernfalls nach den Fristen in Abschnitt 7.</p>
 
+  <h2 id="analyse">6b. Website-Analyse auf Websites unserer Kunden</h2>
+  <!-- Entwurf – vor Verwendung anwaltlich prüfen lassen (Prüfpunkt Anwalt P6: Rollenverteilung Auftragsverarbeiter) -->
+  <p>Kunden mit Wartungs-Abo können für ihre eigene Website eine Reichweitenmessung einschalten. Dabei verarbeiten wir die Daten der Besucher dieser Websites ausschließlich als Auftragsverarbeiter nach den Weisungen des jeweiligen Kunden, der dafür Verantwortlicher ist. Wir verwenden diese Daten nicht für eigene Zwecke. Diese Datenschutzerklärung gilt für unsere eigenen Seiten und das Kundenportal. Wer eine Kundenwebsite besucht, findet die Informationen zur Messung (Zwecke, Rechtsgrundlagen, Speicherdauer, Rechte) auf der Website des Kunden, in der Regel unter „/datenschutz-analyse.html“. Die Daten liegen auf unserem Server bei der Hetzner Online GmbH in Deutschland.</p>
+
   <h2>7. Abos und Zahlung über Stripe</h2>
   <p>Schließen Sie eines unserer Abos ab, verarbeiten wir Name, E-Mail-Adresse, Rechnungsanschrift, das gewählte Abo und den gebuchten Zusatzspeicher, Abo- und Zahlungsstatus sowie Ihre Rechnungen. Zahlungsdaten wie Kartennummer oder IBAN geben Sie direkt bei unserem Zahlungsdienstleister ein. Wir erhalten davon nur eingeschränkte Angaben, etwa die Art des Zahlungsmittels und die letzten vier Ziffern.</p>
   <p>Um Ihre Bestellungen nachweisen zu können, speichern wir bei jeder Bestellung Zeitpunkt, Version der Vertragsbedingungen, gegebenenfalls Ihre Angaben zum Leistungsbeginn sowie IP-Adresse und Browserkennung, im Kundenportal und als Angaben zum Abo bei Stripe. Das gilt für den Abschluss eines Abos, für den Wechsel vom Hosting-Abo ins Wartungs-Abo und für jede Bestellung von E-Mail-Zusatzspeicher. Außerdem halten wir Ihre Bestellungen und Änderungen als Vertragsereignisse mit Zeitpunkt und Status fest: Abschluss, Wechsel, Zusatzspeicher einschließlich Verringerungen, Kündigung und Widerruf. Bei Verringerungen, Kündigung und Widerruf speichern wir als Vertragsereignis nur Zeitpunkt und Status, keine IP-Adresse und Browserkennung. Den Stand Ihrer Bestellungen, etwa laufende Widerrufsfristen und die Einrichtung von Zusatzspeicher, sehen Sie im Kundenportal unter „Verträge“. Für uns sind die Vertragsereignisse zugleich die Aufgabenliste, um Änderungen am Zusatzspeicher umzusetzen. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b, c und f DSGVO. Unser berechtigtes Interesse ist der Nachweis des Vertragsschlusses und Ihrer Bestellungen. Diese Angaben löschen wir drei Jahre nach Ablauf des Jahres, in dem Ihr letztes Abo endet.</p>

runner/src/templates/datenschutz-analyse.html

@@ -5,40 +5,62 @@
 <meta name="viewport" content="width=device-width, initial-scale=1">
 <meta name="robots" content="noindex">
 <title>Datenschutz – Reichweitenmessung</title>
+<!-- Entwurf – vor Verwendung anwaltlich prüfen lassen. -->
+<!-- Prüfpunkt Anwalt P1: Zählung ohne Einwilligung (Seitenaufruf, Referrer-Domain, Land, Gerätegröße) – kein Zugriff auf Endgerät nach § 25 TDDDG? Das Skript liest Referrer und Fensterbreite aus; Einordnung nach DSK-Lesart ist offen. -->
+<!-- Prüfpunkt Anwalt P2: Tages-Kennung nach Einwilligung als pseudonym oder faktisch anonym einzuordnen? -->
+<!-- Prüfpunkt Anwalt P3: Rechtsgrundlage des anonymen Banner-Zählers (Anzeigen/Annehmen/Ablehnen). -->
+<!-- Prüfpunkt Anwalt P5: Speicherung der Banner-Wahl (auch der Ablehnung) im lokalen Speicher nach § 25 Abs. 2 Nr. 2 TDDDG; GPC/DNT wie Ablehnung. -->
+<!-- Prüfpunkt Anwalt P18: Betroffenenrechte bei nicht identifizierbaren Daten (Art. 11, Art. 12 Abs. 2 DSGVO) – Formulierung unter "Deine Rechte". -->
 <style>
   body{font-family:system-ui,-apple-system,Segoe UI,Roboto,sans-serif;line-height:1.6;color:#111;max-width:46rem;margin:0 auto;padding:1.5rem 1rem 4rem}
   h1{font-size:1.6rem}h2{font-size:1.15rem;margin-top:2rem}
-  .entwurf{background:#fff7d6;border:1px solid #e0c200;padding:.75rem 1rem;border-radius:6px}
+  .stand{color:#555;font-size:.9rem}
+  ul{padding-left:1.25rem}
   a{color:#0b57d0}
 </style>
 </head>
 <body>
 <h1>Datenschutz bei der Reichweitenmessung</h1>
-<p class="entwurf"><strong>Vorläufiger Entwurf:</strong> Dieser Text wird vor der Veröffentlichung noch redaktionell und rechtlich überarbeitet.</p>
+<p class="stand">Ergänzung zur Datenschutzerklärung dieser Website · Stand: 01.10.2026</p>
 
 <h2>Verantwortlicher</h2>
 <p>{{company}}<br>{{#address}}{{address}}<br>{{/address}}E-Mail: <a href="mailto:{{email}}">{{email}}</a></p>
 
-<h2>Zweck</h2>
-<p>Wir möchten verstehen, wie diese Website genutzt wird, um sie zu verbessern (zum Beispiel welche Seiten gelesen werden und wo Besucher hängen bleiben). Es gibt keine Werbung und kein Profiling.</p>
+<h2>Worum es geht</h2>
+<p>Wir möchten verstehen, wie diese Website genutzt wird, um sie zu verbessern: Welche Seiten werden gelesen, woher kommen die Besucher, wo bleiben sie hängen? Es gibt dabei keine Werbung, kein Profiling und keine Weitergabe an Werbenetzwerke. Wir setzen keine Cookies und binden keine Dienste von Google, Meta oder anderen Drittanbietern ein. Die Messung läuft auf Servern in Deutschland.</p>
 
-<h2>Was erfasst wird</h2>
-<p><strong>Ohne Deine Einwilligung</strong> wird nur gezählt, dass eine Seite aufgerufen wurde (Seitenpfad, Verweis-Website, Gerätegröße, grobes Land). Es werden keine Cookies gesetzt, keine IP-Adresse und kein Browser-Kennzeichen gespeichert. Eine tagesweise wechselnde, nicht zurückrechenbare Kennung dient nur dazu, Besuche zu zählen.</p>
-<p><strong>Mit Deiner Einwilligung</strong> (Klick auf „Annehmen“) erfassen wir zusätzlich Interaktionen wie Verweildauer, Scrolltiefe und Klickpositionen auf der Seite (ohne Eingaben in Formulare).</p>
+<h2>Wenn Du nichts oder „Ablehnen“ auswählst</h2>
+<p>Dann zählen wir nur, dass eine Seite aufgerufen wurde. Dabei werden gespeichert:</p>
+<ul>
+<li>der Seitenpfad (ohne Suchbegriffe oder Parameter hinter dem „?“),</li>
+<li>die Website, von der Du kommst (nur der Domainname, falls es nicht diese Website selbst ist),</li>
+<li>das Land, abgeleitet aus Deiner IP-Adresse,</li>
+<li>die Geräteklasse (Handy, Tablet oder Computer, nach Fensterbreite) und</li>
+<li>anonyme Zähler dafür, ob das Banner angezeigt, angenommen oder abgelehnt wurde.</li>
+</ul>
+<p>Deine IP-Adresse wird nur für den Augenblick der Abfrage verwendet, um das Land zu bestimmen. Sie wird nicht gespeichert, ebenso wenig Dein Browser-Kennzeichen (User-Agent). Es gibt keine Kennung, mit der wir Dich wiedererkennen könnten. Dasselbe gilt, wenn Dein Browser das Signal „Global Privacy Control“ oder „Do Not Track“ sendet: Wir behandeln das wie ein „Ablehnen“ und zeigen das Banner nicht an.</p>
+<p>Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, die Nutzung unserer Website in Zahlen zu kennen und das Banner korrekt zu betreiben. Auf Informationen in Deinem Endgerät greifen wir dafür nach unserer Einschätzung nicht im Sinne von § 25 TDDDG zu.</p>
 
-<h2>Rechtsgrundlagen</h2>
-<p>Zählung ohne Einwilligung: berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO. Erweiterte Messung: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG, soweit auf Informationen im Endgerät zugegriffen wird (Speicherung Deiner Wahl im lokalen Speicher des Browsers).</p>
-
-<h2>Empfänger</h2>
-<p>Die Messung wird von der WEBklar als Auftragsverarbeiter für uns betrieben. Die Daten liegen auf Servern der Hetzner Online GmbH in Deutschland. Eine Übermittlung in Drittländer findet nicht statt.</p>
+<h2>Wenn Du „Annehmen“ wählst</h2>
+<p>Dann messen wir zusätzlich:</p>
+<ul>
+<li>eine Besucher-Kennung, die täglich wechselt (aus IP-Adresse und Browser-Kennzeichen errechnet, nicht zurückrechenbar und nicht über mehrere Tage verknüpfbar; IP-Adresse und Browser-Kennzeichen selbst werden nicht gespeichert),</li>
+<li>wie lange Du auf einer Seite bleibst und wie weit Du scrollst,</li>
+<li>wo auf der Seite geklickt wird (Klickposition und die Art des angeklickten Elements, für eine „Heatmap“; keine Eingaben in Formulare) und</li>
+<li>ob Du auf Telefonnummer, E-Mail-Adresse, WhatsApp-Link oder einen Link zu einer anderen Website klickst.</li>
+</ul>
+<p>Rechtsgrundlage ist Deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Außerdem speichern wir Deine Auswahl in Deinem Browser (lokaler Speicher, Eintrag „wk-consent“), damit wir Dich nicht bei jedem Besuch erneut fragen müssen. Das ist ohne Einwilligung zulässig (§ 25 Abs. 2 Nr. 2 TDDDG). Die Auswahl gilt sechs Monate, danach fragen wir erneut.</p>
 
 <h2>Speicherdauer</h2>
-<p>Einzelne Ereignisse und Klicks werden nach 30 Tagen gelöscht, danach bleiben nur zusammengefasste Zahlen ohne Personenbezug. Deine Auswahl im Browser gilt sechs Monate.</p>
+<p>Einzelne Ereignisse und Klickpositionen löschen wir nach 30 Tagen. Danach bleiben nur zusammengefasste Tageswerte ohne Personenbezug, die wir bis zum Ende der Messung und weitere 60 Tage aufbewahren. Danach werden auch sie gelöscht.</p>
+
+<h2>Empfänger</h2>
+<p>Die Messung wird für uns von der WEBklar GbR, Am Schwimmbad 10, 67722 Winnweiler, als Auftragsverarbeiter betrieben. WEBklar darf die Daten nur auf unsere Weisung und für unsere Zwecke verwenden. Die Server stehen bei der Hetzner Online GmbH (Rechenzentrum in Deutschland), die als weiterer Auftragsverarbeiter eingesetzt wird. Eine Übermittlung in Länder außerhalb der EU bzw. des EWR findet nicht statt.</p>
 
 <h2>Widerruf</h2>
-<p>Du kannst Deine Entscheidung jederzeit ändern: Klicke dazu auf „Cookie-Einstellungen“ am Seitenende.</p>
+<p>Du kannst Deine Entscheidung jederzeit ändern oder Deine Einwilligung widerrufen: Klicke dazu auf „Cookie-Einstellungen“ (unten rechts auf jeder Seite) und wähle „Ablehnen“. Der Widerruf gilt ab dann für die Zukunft. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.</p>
 
 <h2>Deine Rechte</h2>
-<p>Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit sowie das Recht, Dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Wende Dich dazu an die oben genannte Adresse.</p>
+<p>Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit (Art. 15 bis 18 und 20 DSGVO). Du kannst der Verarbeitung nach Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus Deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Da wir Dich anhand der gespeicherten Daten nicht wiedererkennen können, können wir Auskunft, Berichtigung oder Löschung zu einzelnen Besuchen in der Regel nicht vornehmen, es sei denn, Du stellst uns zusätzliche Angaben bereit, mit denen wir Dich identifizieren können (Art. 11, Art. 12 Abs. 2 DSGVO). Du hast außerdem das Recht, Dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Wende Dich für Deine Anliegen an die oben genannte Adresse.</p>
 </body>
 </html>