Vorhaben besprechen

RECHTLICHES

DATENSCHUTZ.

Welche Daten beim Besuch dieser Website verarbeitet werden, wofür, auf welcher Grundlage – und welche Rechte Sie haben.

01Verantwortlicher

TOMORIS GmbH
Saturnstraße 1
4614 Marchtrenk
Österreich

E-Mail: contact@tomoris.com
Telefon: +43 7243 53091

02Zweck und Geltungsbereich

Diese Datenschutzerklärung beschreibt die Verarbeitung beim Besuch dieser Website, bei der Auswahl externer Links, bei einer Kontaktaufnahme per E-Mail oder über das Websiteformular sowie bei der Anforderung eines Downloads. Die Website erläutert beim Formular, ob die direkte Übermittlung aktiviert ist.

Schriften und Bilder werden mit der Website ausgeliefert. Google Analytics wird auf unserer Produktionswebsite erst geladen, wenn Sie der Statistik zustimmen. Für die zusätzliche Anzeigenmessung ist eine gesonderte Auswahl vorgesehen. Die folgenden Abschnitte erläutern die Zwecke und Ihre Wahlmöglichkeiten.

03Hosting und Auslieferung

Die Website wird als Next.js-/Node.js-Anwendung mit ihren statischen Dateien über die bestehende Hostinger-Anwendung ausgeliefert. Beim Abruf können technisch erforderliche Server- und Zugriffsprotokolle entstehen, etwa zu Zeitpunkt, angeforderter Ressource, Übertragungsstatus und Verbindung (einschließlich IP-Adresse).

Server und Verarbeitung dieser Protokolle liegen in der EU. Hostinger verarbeitet sie als Auftragsverarbeiter und bewahrt sie nach eigenen Angaben so lange auf, wie es für den Betrieb erforderlich ist; eine konkrete Frist nennt Hostinger dafür nicht.

04Kontaktaufnahme

Das Formular verarbeitet Thema, Name, E-Mail-Adresse und Nachricht sowie optional Unternehmen und Telefonnummer, um die Anfrage an TOMORIS zu übergeben und beantworten zu können. Bei der Anmeldung zum Ambassador Programm kommen Ihr Bezug zu TOMORIS und Ihre Interessen hinzu; sie werden der Nachricht vorangestellt.

Der direkte Websiteversand ist in der aktiven Laufzeitkonfiguration eingeschaltet. Nach erfolgreicher Validierung und Missbrauchsprüfung wird eine Nur-Text-Nachricht über das technische Versandpostfach website@tomoris.com an den fest konfigurierten produktiven Empfänger contact@tomoris.com übergeben.

Die Besucheradresse wird ausschließlich als Reply-To verwendet. Sie kann weder Absender noch Empfänger, Cc oder Bcc bestimmen. Der Anwendungscode legt Nachricht und Kontaktdaten nicht in einer eigenen Datenbank oder Datei ab und schreibt sie nicht in Anwendungslogs. Nach der Übergabe erfolgt die weitere Bearbeitung im TOMORIS-Microsoft-365-Postfach.

Die Angabe Ihrer Daten ist freiwillig. Ohne Name, E-Mail-Adresse und Nachricht können wir Ihre Anfrage über das Formular jedoch nicht bearbeiten; Sie können uns alternativ telefonisch erreichen.

05Downloads per E-Mail

Die PDFs auf den Download-Seiten schicken wir Ihnen per E-Mail zu. Dafür verarbeiten wir die E-Mail-Adresse, die Sie im Formular eingeben, zusammen mit dem gewählten Dokument und der Seitensprache. Zweck ist allein der Versand des angeforderten PDFs. Pflichtangabe ist nur die E-Mail-Adresse.

Nach erfolgreicher Validierung und Missbrauchsprüfung übergibt die Website die Nachricht mit dem PDF als Anhang über das technische Versandpostfach website@tomoris.com an Microsoft Graph und Exchange Online. Empfänger Ihrer Adresse ist damit Microsoft, das die Nachricht zustellt. Ist der Direktversand deaktiviert, nimmt das Formular keine Adresse an.

Ohne Häkchen speichert TOMORIS Ihre Adresse nicht und gibt sie nicht weiter: Der Anwendungscode legt sie nicht in einer eigenen Datenbank oder Datei ab, schreibt sie nicht in Anwendungslogs und legt keine Kopie der Nachricht im Versandpostfach ab. Zur Begrenzung von Anfragen hält der Server bis zu zwei Stunden einen nicht umkehrbaren Prüfwert der Adresse im Arbeitsspeicher; er ist nur dem laufenden Prozess bekannt und endet spätestens mit dessen Neustart. Microsoft führt zur Zustellung technische Nachrichtenprotokolle mit Absender, Empfänger und Betreff, die nach Angaben von Microsoft 90 Tage vorgehalten werden. Kann die Nachricht nicht zugestellt werden, geht die automatische Unzustellbarkeitsmeldung mit Ihrer Adresse an das Versandpostfach. Dort wird sie nach 30 Tagen automatisch gelöscht.

Das Häkchen für die Kontaktaufnahme ist freiwillig und nicht vorbelegt; der Download hängt nicht davon ab. Setzen Sie es, geht zusätzlich eine interne Nachricht mit Ihrer Adresse und dem gewählten Download an contact@tomoris.com, damit wir Sie zu diesem Thema kontaktieren können. Sie können diese Einwilligung jederzeit über contact@tomoris.com widerrufen.

Anforderungen über dieses Formular melden wir weder an TOMORIS Commerce noch an Google Ads.

06Toolbox: kostenlose Prüfwerkzeuge

Mit den serverseitigen Prüfwerkzeugen der TOMORIS Toolbox, etwa dem Security-Header-Check, geben Sie eine Domain oder Web-Adresse ein. Unser Webserver ruft die angegebene Website daraufhin ab, je nach Werkzeug die eingegebene Seite, ihre Weiterleitungen mit und ohne www, ihre robots.txt und eine Sitemap, beziehungsweise fragt ihre öffentlichen DNS-Einträge ab und erstellt daraus den Bericht. Die geprüfte Website erhält dabei eine Anfrage unseres Servers, nicht Ihre IP-Adresse.

Beim DNS-Sicherheits-Check fragt unser Webserver für die DNSSEC-Prüfung die DS- und DNSKEY-Einträge der eingegebenen Domain beim öffentlichen DNS-Resolver von Cloudflare ab (DNS over HTTPS). Cloudflare erhält dabei den Domainnamen und die IP-Adresse unseres Servers, nicht Ihre IP-Adresse; nach eigenen Angaben speichert Cloudflare für seinen öffentlichen Resolver die anfragende IP-Adresse nicht dauerhaft und löscht die Resolver-Protokolle innerhalb von 25 Stunden. Die übrigen DNS-Abfragen stellt unser Webserver über den Resolver seines Hostinganbieters. Beim Cookie-Check setzt die geprüfte Website ihre Cookies gegenüber unserem Webserver, nicht in Ihrem Browser; wir werten nur Namen und Attribute aus und übernehmen die Werte weder in den Bericht noch in den Zwischenspeicher.

Beim Microsoft-365-Domain-Check ruft unser Webserver zusätzlich bei Microsoft unter login.microsoftonline.com einmal die öffentlichen Anmelde-Metadaten (OpenID Connect) zur eingegebenen Domain ab, um festzustellen, ob Microsoft der Domain einen Microsoft-Entra-Tenant zuordnet. Microsoft erhält dabei den Domainnamen und die IP-Adresse unseres Servers, nicht Ihre IP-Adresse; Benutzerkonten fragen wir nicht ab.

Beim Zertifikats-Transparenz-Check fragt unser Webserver bei crt.sh, einer von Sectigo betriebenen Suche über die öffentlichen Certificate-Transparency-Logs, die Zertifikate zur eingegebenen Domain und ihren Subdomains ab. Sectigo erhält dabei den Domainnamen und die IP-Adresse unseres Servers, nicht Ihre IP-Adresse. Die Antwort von crt.sh halten wir bis zu einer Stunde im Arbeitsspeicher des Webservers, damit wiederholte Prüfungen derselben Domain crt.sh nicht erneut belasten. Beim Doppelgänger-Domain-Check fragt unser Webserver für bis zu 40 aus der Eingabe abgeleitete Schreibvarianten der Domain öffentliche DNS-Einträge über den Resolver seines Hostinganbieters ab; die Websites dieser Domains ruft er nicht auf. Für die Liste der Microsoft-365-Endpunkte ruft unser Webserver höchstens stündlich bei Microsoft unter endpoints.office.com die veröffentlichten Adressen von Microsoft 365 ab. Dabei werden weder Eingaben noch Daten von Ihnen übermittelt; Microsoft erhält nur die IP-Adresse unseres Servers und eine feste Kennung des Abrufs.

Eingabe und Ergebnis speichern wir nicht dauerhaft: Das Ergebnis halten wir fünf Minuten im Arbeitsspeicher des Webservers bereit, damit eine wiederholte Prüfung derselben Adresse die Zielwebsite nicht erneut belastet; spätestens nach sechs Minuten ist es gelöscht. Für die Begrenzung auf zwölf Prüfungen pro Minute halten wir einen gesalzenen Hashwert Ihrer IP-Adresse im Arbeitsspeicher; er wird spätestens nach zwei Minuten gelöscht. Nach einem Neustart des Webservers ist beides weg. Werkzeuge, die vollständig in Ihrem Browser laufen, übermitteln Ihre Eingaben nicht an uns; das steht jeweils beim Werkzeug.

Starten Sie den Website-Sicherheitscheck über das Eingabefeld der Startseite oder öffnen Sie aus einem Bericht heraus ein anderes Werkzeug für dieselbe Domain, legt Ihr Browser die Domain für den Wechsel zur Werkzeugseite kurz im Session Storage dieses Browser-Tabs ab (tomoris-toolbox-handoff); die Werkzeugseite liest den Eintrag beim Laden aus und löscht ihn sofort. Ohne JavaScript oder wenn Sie einen Verweis in einem neuen Tab öffnen, steht die Domain stattdessen in der Adresse der Werkzeugseite (?domain=).

Vor jeder serverseitigen Prüfung schützt Cloudflare Turnstile die Toolbox vor automatisiertem Missbrauch, wie im folgenden Abschnitt beschrieben.

07Cloudflare Turnstile

Bei aktiviertem Direktversand schützt Cloudflare Turnstile das Formular vor automatisiertem Missbrauch, ebenso die serverseitigen Prüfwerkzeuge der Toolbox. Das im Browser erzeugte Token wird serverseitig über Siteverify geprüft; Erfolg, erwarteter Hostname und die Aktion contact (Formular), download (Download-Formular) beziehungsweise toolbox (Prüfwerkzeuge) müssen übereinstimmen. Dabei verarbeitet Cloudflare Browser- und Verbindungssignale für die Sicherheitsprüfung: IP-Adresse, TLS-Fingerprint, User-Agent und die aufrufende Website, nicht aber Formularinhalte. Das Prüftoken gilt fünf Minuten und kann nur einmal geprüft werden. Cloudflare nennt für diese Signale keine Speicherdauer und nutzt sie nach eigenen Angaben zusätzlich als eigener Verantwortlicher, um die Bot-Erkennung zu verbessern.

Der TOMORIS-Anwendungscode übermittelt den Formulartext nicht als Turnstile-Inhalt. Das Vorschau-Widget und das eigenständige Produktionswidget für tomoris.com verwenden getrennte Schlüssel. Solange der Direktversand deaktiviert ist, wird Turnstile im Formular nicht geladen; in der Toolbox lädt es nur auf den Seiten serverseitiger Prüfwerkzeuge, auf den Download-Seiten erst, wenn Sie das Formular verwenden.

08KI-Assistent

Auf der Seite KI-Assistent und im Fenster des KI-Assistenten, das Sie auf jeder Seite über das Symbol am Bildschirmrand öffnen, können Sie Fragen zu den Inhalten dieser Website stellen. Das Fenster lädt den Assistenten und Cloudflare Turnstile erst, wenn Sie es öffnen. Unser Webserver sucht dazu passende Abschnitte aus den öffentlichen Seiten dieser Website und übermittelt Ihre Frage zusammen mit diesen Abschnitten an Anthropic, den Anbieter des KI-Modells Claude. Für Rückfragen gehen die letzten bis zu drei Fragen und Antworten dieses Gesprächs mit. Anthropic erzeugt daraus die Antwort, die Ihnen angezeigt wird. Die Anfrage stellt unser Server; Ihre IP-Adresse übermitteln wir dabei nicht an Anthropic.

Bitte geben Sie im Assistenten keine personenbezogenen oder vertraulichen Daten ein. Was Sie eingeben, verarbeiten wir nur, um Ihre Frage zu beantworten. Der Anwendungscode speichert Fragen und Antworten nicht und schreibt sie nicht in Anwendungsprotokolle; er zählt nur, wie viele Fragen beantwortet, nicht beantwortet oder abgewiesen wurden. Für die Begrenzung auf sechs Fragen pro Minute halten wir wie bei der Toolbox einen gesalzenen Hashwert Ihrer IP-Adresse im Arbeitsspeicher; er wird spätestens nach zwei Minuten gelöscht. Vor jeder Frage schützt Cloudflare Turnstile den Assistenten vor automatisiertem Missbrauch (Aktion assistant), wie im Abschnitt Cloudflare Turnstile beschrieben.

Anthropic verarbeitet die übermittelten Inhalte als unser Auftragsverarbeiter nach den Commercial Terms und dem Data Processing Addendum von Anthropic. Vertragspartner für Kunden im EWR ist danach Anthropic Ireland, Limited, Irland. Die Verarbeitung erfolgt auch in den USA durch Anthropic, PBC; die Übermittlung stützt sich auf die Standardvertragsklauseln der EU-Kommission, die das Data Processing Addendum einbezieht. Nach den Commercial Terms trainiert Anthropic mit diesen Inhalten keine Modelle. Nach eigenen Angaben löscht Anthropic Ein- und Ausgaben der API innerhalb von 30 Tagen; Inhalte, die automatische Prüfungen als möglichen Verstoß gegen die Nutzungsrichtlinien markieren, kann Anthropic bis zu zwei Jahre aufbewahren. Weitere Informationen finden Sie in den Commercial Terms, im Data Processing Addendum und in der Liste der Unterauftragsverarbeiter von Anthropic.

Der Gesprächsverlauf bleibt in Ihrem Browser: Ihr Browser legt ihn im Session Storage dieses Tabs ab (tomoris-assistant-verlauf), damit Rückfragen verstanden werden. Mit dem Schließen des Tabs oder über „Verlauf löschen“ ist er weg. Wohin Sie das Symbol geschoben haben und ob das Fenster offen ist, legt Ihr Browser ebenfalls dort ab (tomoris-assistant-fenster), ohne Inhalte, damit beides beim Seitenwechsel bleibt. Wählen Sie „An TOMORIS übergeben“, legt Ihr Browser die Zusammenfassung Ihres Anliegens kurz im Session Storage ab (tomoris-assistant-handoff); das Kontaktformular übernimmt sie in das Nachrichtenfeld und löscht den Eintrag sofort. An TOMORIS gesendet wird sie erst, wenn Sie das Formular selbst absenden; dann gilt der Abschnitt Kontaktaufnahme. Wählen Sie „15-Minuten-Termin buchen“, öffnet sich die Buchungsseite von NEXT Booking (booking.tomoris.com) in einem neuen Tab. In der Adresse stehen dabei nur das Thema aus einer festen Liste und die Herkunft „ki-assistent“, nicht Ihre Frage und nicht die Zusammenfassung; im Browser wird dafür nichts abgelegt. Für die Buchung selbst gilt die Datenschutzerklärung von NEXT Booking.

Rechtsgrundlage ist unser berechtigtes Interesse, Fragen zu unseren Inhalten schnell zu beantworten und den Dienst vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO); bezieht sich Ihre Frage auf eine Leistung von TOMORIS, zusätzlich die Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO). Die Ablage von Verlauf und Fensterlage im Browser ist für den von Ihnen ausdrücklich gewünschten Dienst erforderlich (§ 165 Abs. 3 TKG 2021). Die Nutzung ist freiwillig; alle Inhalte finden Sie auch ohne Assistenten auf den verlinkten Seiten.

Die Antworten erzeugt ein KI-Modell. Sie können Fehler enthalten und ersetzen keine Beratung; maßgeblich sind die verlinkten Seiten. Der Assistent trifft keine Entscheidungen mit rechtlicher Wirkung für Sie.

09Microsoft 365

Bei aktiviertem Direktversand authentifiziert sich die Website serverseitig über eine dedizierte Single-Tenant-Entra-App mit Client Credentials. Microsoft Graph nimmt die Nachricht technisch an und übergibt sie über Exchange Online an Microsoft 365.

Exchange Online Application RBAC begrenzt Application Mail.Send auf das Versandpostfach website@tomoris.com. Ein positiver Test für dieses Postfach und ein negativer Test für ein nicht freigegebenes Postfach wurden bestätigt. Die App besitzt keine tenantweite zusätzliche Mail.Send-Berechtigung sowie keine Mail.Read-, Mail.ReadWrite-, Kalender- oder Kontaktrechte.

10Speicherung im Browser

Die Website speichert Ihre ausdrücklich gewählten Einstellungen im Local Storage Ihres Browsers:

  • tomoris-theme: helle oder dunkle Darstellung
  • tomoris-sound: Klänge an oder aus
  • tomoris-consent-v1: Ihre Auswahl für Statistik und Anzeigenmessung mit einer Gültigkeit von 180 Tagen

Kommen Sie über eine Google-Anzeige und haben der Anzeigenmessung nicht zugestimmt, hält der Sitzungsspeicher des Tabs zusätzlich tomoris-click mit der Klick-Kennung, bis Sie den Tab schließen.

Diese Einstellungswerte bleiben auf Ihrem Gerät und stellen Ihre Wahl beim nächsten Besuch wieder her. Darstellung und Sound bleiben gespeichert, bis Sie die Website-Daten löschen; nach Ablauf der Einwilligungsauswahl fragen wir erneut. Sie können die Einwilligung jederzeit über „Datenschutzeinstellungen“ im Footer ändern oder widerrufen.

11Nutzungsstatistik

Diese Website erfasst die Nutzung anonym mit NEXT.Analytics, einer von TOMORIS selbst entwickelten und betriebenen Statistik. Es werden keine Cookies gesetzt, keine Informationen auf Ihrem Gerät gespeichert und keine Benutzerkonten erfasst. Erfasst werden die aufgerufene Seite, die verweisende Seite, Gerätetyp und Browser sowie bestimmte Aktionen (z. B. das Absenden eines Formulars oder Downloads). Die IP-Adresse wird nur kurzzeitig zur Bildung einer täglich wechselnden, nicht rückführbaren Kennung verwendet und nicht gespeichert. Eine Auswertung einzelner Personen ist nicht möglich. Zweck ist die Verbesserung unserer Website.

12Statistik und Anzeigenmessung

Wir nutzen Google Analytics 4 und Google Ads von Google Ireland Limited, Irland, um Besuche, aufgerufene Seiten und Interaktionen auf tomoris.com auszuwerten und zu messen, welche unserer Anzeigen zu einer Anfrage führen. Wir verwenden dafür den erweiterten Einwilligungsmodus von Google (Consent Mode v2 „advanced“).

Ohne Ihre Einwilligung setzen wir keine Analyse- oder Werbecookies. Das Google-Skript wird trotzdem geladen und sendet cookielose Signale ohne Cookie-Kennung: technische Browser- und Geräteinformationen, die aufgerufene Seite ohne Formularinhalte und den Hinweis, dass keine Einwilligung vorliegt. Google verwendet diese Signale nach eigenen Angaben nur zusammengefasst, um fehlende Messwerte zu schätzen, und nicht, um Sie wiederzuerkennen. Bei der Verbindung fällt die IP-Adresse an; Google erklärt, dass bei Zugriffen aus der EU, der Schweiz oder dem Vereinigten Königreich einzelne IP-Adressen nicht protokolliert oder gespeichert werden.

Mit „Statistik“ erlauben Sie Google-Analytics-Cookies wie _ga und _ga_…. Mit „Anzeigenmessung“ erlauben Sie zusätzlich Google-Ads-Cookies wie _gcl_aw sowie unser Cookie tm_click, das die Klick-Kennung einer Google-Anzeige 90 Tage für die Domains von TOMORIS aufbewahrt. Google Signals und personalisierte Werbung sind in unserer Einbindung ausgeschaltet.

Klick-Kennung und Anfrage: Kommen Sie über eine Google-Anzeige, enthält die Adresse eine Klick-Kennung (gclid, gbraid oder wbraid). Ohne Einwilligung zur Anzeigenmessung bleibt sie nur bis zum Schließen des Browser-Tabs im Sitzungsspeicher. Senden Sie das Kontaktformular ab, übermitteln wir die Klick-Kennung mit Ihrer Anfrage an unseren Server und an TOMORIS Commerce, unser System für Bestellungen. TOMORIS Commerce meldet erfolgreiche Anfragen einmal täglich an Google Ads: Klick-Kennung, Zeitpunkt, Art und Wert der Anfrage sowie Ihren Einwilligungsstand. Ihre E-Mail-Adresse geht nur mit Einwilligung zur Anzeigenmessung und nur als SHA-256-Prüfwert mit. Name, Telefonnummer, Unternehmen und Nachricht übermitteln wir nie an Google.

Kampagnenangaben: Fragen Sie über eine unserer Landingpages für Anzeigen an (Adressen unter /lp/), nennt Ihre Anfrage die Landingpage und die Kampagnenangaben aus der Adresse (utm_source, utm_medium, utm_campaign, utm_term, utm_content). Diese Angaben legt Ihr Browser bis zum Schließen des Tabs im Sitzungsspeicher ab; sie gehen nur mit Ihrer Anfrage an unser Postfach, damit wir sehen, welche Anzeige Sie zu uns geführt hat, nicht an TOMORIS Commerce. Nach einer angenommenen Anfrage merkt sich Ihr Browser im Sitzungsspeicher kurz deren Kennung, damit die Danke-Seite die Anfrage genau einmal als Ereignis meldet; danach wird der Eintrag gelöscht.

Gemessene Ereignisse: übermittelte Anfrage mit einem festen Wert je Leistungsbereich, abgeschlossener Website- oder NIS2-Check, Klicks auf Telefon, E-Mail und Terminbuchung. Formularinhalte und Prüfergebnisse sind nie Teil eines Ereignisses. Eine Anfrage zählt erst, wenn unser Server die Übernahme bestätigt hat.

Über „Datenschutzeinstellungen“ im Footer können Sie Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; die Website entfernt dann zugängliche Google-Messcookies und tm_click. Bereits rechtmäßig verarbeitete Daten werden durch den Widerruf nicht rückwirkend gelöscht.

Google kann Daten auch außerhalb der EU beziehungsweise des EWR verarbeiten und stützt Übermittlungen in die USA auf das EU-US Data Privacy Framework. Informationen zum Anbieter finden Sie in der Google-Datenschutzerklärung, in den Hinweisen zu Google Analytics und Datenschutz in der EU und in der Erklärung zum Einwilligungsmodus.

14Rechtsgrundlagen

  • Bereitstellung der Website und Server-Protokolle: berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).
  • Kontaktanfragen: Durchführung vorvertraglicher Maßnahmen, wenn sich Ihre Anfrage auf eine Leistung bezieht (Art. 6 Abs. 1 lit. b DSGVO), sonst berechtigtes Interesse an der Beantwortung (Art. 6 Abs. 1 lit. f DSGVO).
  • Versand eines angeforderten Downloads: Erfüllung Ihrer Anforderung (Art. 6 Abs. 1 lit. b DSGVO).
  • Kontaktaufnahme nach dem Häkchen im Download-Formular: Ihre freiwillige Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit widerrufbar.
  • Prüfwerkzeuge der Toolbox: berechtigtes Interesse an der Bereitstellung kostenloser Prüfwerkzeuge und an ihrem Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).
  • Missbrauchsschutz mit Cloudflare Turnstile: berechtigtes Interesse am Schutz des Formulars und der Prüfwerkzeuge (Art. 6 Abs. 1 lit. f DSGVO).
  • Nutzungsstatistik mit NEXT.Analytics: berechtigtes Interesse an der Verbesserung der eigenen Website; die IP-Adresse dient nur kurz der Bildung des täglich wechselnden Kennwerts (Art. 6 Abs. 1 lit. f DSGVO).
  • Statistik und Anzeigenmessung mit Cookies: Ihre freiwillige Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021), jederzeit über „Datenschutzeinstellungen“ widerrufbar.
  • Cookielose Signale und Meldung erfolgreicher Anfragen mit Klick-Kennung an Google Ads: berechtigtes Interesse an der Messung, ob unsere Werbung wirkt (Art. 6 Abs. 1 lit. f DSGVO). Google erhält dabei Ihren Einwilligungsstand und nutzt die Daten ohne Einwilligung nicht für Werbung. Sie können dieser Verarbeitung jederzeit widersprechen.
  • Speicherung Ihrer Einstellungen im Browser: erforderlich, um eine von Ihnen ausdrücklich gewählte Einstellung und Einwilligungsauswahl bereitzustellen (§ 165 Abs. 3 TKG 2021).

15Empfänger und Drittländer

Technisch beteiligt sind Hostinger für Hosting und Auslieferung, Cloudflare für Turnstile und als DNS-Resolver für die DNSSEC-Prüfung des DNS-Sicherheits-Checks sowie Microsoft Entra, Microsoft Graph und Exchange Online für Authentifizierung und Nachrichtenübergabe, Microsoft Entra zusätzlich für die Tenant-Abfrage des Microsoft-365-Domain-Checks, Microsoft mit dem Webdienst endpoints.office.com für die Liste der Microsoft-365-Endpunkte und Sectigo als Betreiber von crt.sh für den Zertifikats-Transparenz-Check. Google ist an Statistik und Anzeigenmessung beteiligt, ohne Einwilligung nur mit cookielosen Signalen. TOMORIS Commerce (betrieben von TOMORIS auf eigenen Servern) übernimmt Klick-Kennungen erfolgreicher Anfragen und meldet sie an Google Ads. TOMORIS bearbeitet die Anfrage im festgelegten Microsoft-365-Postfach. NEXT.Analytics wird von TOMORIS selbst auf eigenen Servern in Österreich betrieben; die Aufrufe laufen über das oben genannte Cloudflare. Unbestätigte Vertrags-, Unterauftragnehmer- oder Regionsdetails werden hier nicht als Tatsache ausgegeben.

Cloudflare und Microsoft sind Unternehmen mit Konzernsitz in den USA. Eine Verarbeitung außerhalb der EU beziehungsweise des EWR kann daher nicht ausgeschlossen werden. Die Anbieter stützen solche Übermittlungen nach eigenen Angaben auf das EU-US Data Privacy Framework beziehungsweise auf Standardvertragsklauseln der EU-Kommission. Auch bei Sectigo als Betreiber von crt.sh kann eine Verarbeitung außerhalb der EU beziehungsweise des EWR nicht ausgeschlossen werden. Zu Google beachten Sie zusätzlich die oben verlinkten Anbieterinformationen.

Für den KI-Assistenten ist zusätzlich Anthropic als Auftragsverarbeiter beteiligt (Anthropic Ireland, Limited, Irland, und Anthropic, PBC, USA). Die Übermittlung in die USA stützt sich auf Standardvertragsklauseln der EU-Kommission; Einzelheiten stehen im Abschnitt KI-Assistent.

16Speicherdauer

Der Websitecode führt keine eigene Kontaktdatenbank. Anfragen speichern wir im Microsoft-365-Postfach von TOMORIS und löschen sie, sobald sie erledigt sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Führt eine Anfrage zu einem Geschäftsfall, bewahren wir die Korrespondenz als Geschäftsbrief nach § 212 UGB sieben Jahre ab Ende des Kalenderjahres auf, in dem sie eingegangen ist.

Für Adressen aus dem Download-Formular gelten die Angaben im Abschnitt Downloads per E-Mail. Für Server-Protokolle bei Hostinger und die Turnstile-Signale bei Cloudflare gelten die Angaben in den Abschnitten zu Hosting und Cloudflare Turnstile, für Eingaben in Prüfwerkzeuge der Abschnitt zur Toolbox.

17Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung, auf Datenübertragbarkeit sowie das Recht, einer Verarbeitung auf Grundlage berechtigter Interessen zu widersprechen (Art. 15–21 DSGVO). Wenden Sie sich dafür an contact@tomoris.com.

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen das Datenschutzrecht verstößt, können Sie sich bei einer Aufsichtsbehörde beschweren. In Österreich ist das die Datenschutzbehörde (Barichgasse 40–42, 1030 Wien, dsb.gv.at).

Eine automatisierte Entscheidungsfindung einschließlich Profiling findet auf dieser Website nicht statt.

18Sicherheit und Aktualisierung

Die Formulare verwenden serverseitige Feld- und Origin-Prüfungen, ein Body-Limit, Timeouts und Turnstile. Das Kontaktformular sendet an fest konfigurierte Versandziele, das Download-Formular an die eingegebene Adresse, begrenzt je Absender und Empfänger. Zugangsdaten und Token bleiben serverseitig und werden nicht im Browser ausgegeben. Die Übertragung erfolgt verschlüsselt über HTTPS.

Diese Erklärung wird aktualisiert, wenn sich Angaben der Anbieter oder die tatsächlichen Datenflüsse ändern.

Stand dieser Erklärung: November 2026