Datenschutzerklärung

Stand: August 2026

1. Datenschutz auf einen Blick

testr ist ein Werkzeug für manuelle Testpläne. Wir verarbeiten dabei zwei verschiedene Arten von Daten, und die Rollen sind dabei unterschiedlich verteilt:

• Deine Kontodaten — die Daten, die entstehen, weil du testr nutzt. Dafür sind wir Verantwortlicher im Sinne der DSGVO.
• Die Daten deiner Tester — Namen, E-Mail-Adressen und Testergebnisse der Personen, die du zu deinen Projekten einlädst. Dafür bist du Verantwortlicher; wir verarbeiten sie ausschließlich in deinem Auftrag (siehe Abschnitt 6).

Wir setzen keine Werbenetzwerke, keine Analyse- oder Tracking-Dienste, keine Social-Media- Plugins und keine Newsletter-Systeme ein. Es findet keine Profilbildung und keine automatisierte Entscheidungsfindung statt. Daten werden nicht an Dritte verkauft.

2. Verantwortliche Stelle

Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.

Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags, siehe AGB), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, störungsfreien Betrieb), Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten bei Zahlungen) und, soweit eine Einwilligung erteilt wurde, Art. 6 Abs. 1 lit. a DSGVO. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

SSL-/TLS-Verschlüsselung

Diese Seite und alle Schnittstellen des Dienstes werden ausschließlich verschlüsselt ausgeliefert (erkennbar an https:// in der Adresszeile). Übertragene Daten können dadurch von Dritten nicht mitgelesen werden.

3. Hosting

testr wird auf einem Server in einem Rechenzentrum innerhalb der Europäischen Union betrieben. Sämtliche Anwendungsdaten — Konten, Projekte, Kataloge, Testergebnisse und Bildbelege — liegen auf diesem Server. Ein Content Delivery Network wird nicht eingesetzt; auch Schriften, Symbole und Skripte werden vom eigenen Server ausgeliefert und nicht von fremden Hosts nachgeladen.

4. Zugriffsdaten der Website

Beim Aufruf einer Seite überträgt dein Browser technisch notwendige Angaben, die der Server in Protokolldateien festhält:

• aufgerufene Adresse, Datum und Uhrzeit der Anfrage
• übertragene Datenmenge und HTTP-Statuscode
• Browsertyp und -version, Betriebssystem
• verweisende Seite (Referrer), soweit übermittelt
• IP-Adresse

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren Betrieb und in der Abwehr von Angriffen. Eine Zusammenführung dieser Daten mit anderen Datenquellen findet nicht statt. Die Protokolle werden nach spätestens 30 Tagen gelöscht, sofern sie nicht zur Aufklärung eines konkreten Missbrauchsfalls benötigt werden.

Zur Abwehr automatisierter Angriffe speichern wir bei auffälligen Anfragen die IP-Adresse befristet in einer Sperrliste. Auf der öffentlichen Bewerbungsseite eines Projekts wird zusätzlich je IP-Adresse, Stunde und Projekt gezählt, wie viele Bewerbungen eingehen, um Massen­einträge zu unterbinden.

Kontaktaufnahme

Schreibst du uns per E-Mail, verarbeiten wir deine Angaben zur Bearbeitung der Anfrage und für den Fall von Anschlussfragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Die Nachrichten verbleiben bei uns, bis der Zweck entfällt und keine gesetzlichen Aufbewahrungsfristen entgegenstehen.

5. Konto und Anmeldung

Für die Nutzung von testr ist ein Konto erforderlich. Dabei verarbeiten wir:

• E-Mail-Adresse und, sofern angegeben, Name
• das Passwort — ausschließlich als nicht rückrechenbarer Hashwert, niemals im Klartext
• eine Sitzungskennung, mit der die Anwendung dich bei jedem Aufruf wiedererkennt
• den gebuchten Tarif und den Bestätigungsstand des Kontos
• Zeitpunkte von Anlage und letzter Änderung
• befristete Kennungen für die Bestätigungs-E-Mail und das Zurücksetzen des Passworts

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Das Konto gilt nur für testr. Andere Anwendungen des Anbieters führen getrennte Konten mit eigenen Datensätzen, auch bei gleicher E-Mail-Adresse; ein Abgleich zwischen ihnen findet nicht statt.

6. Testpläne, Tester und Bewerbungen

Legst du ein Projekt an, entstehen auf dem Server folgende Inhalte:

• Projektname und -beschreibung, der Fragenkatalog mit Bereichen, Gruppen und Prüfpunkten
• je Tester Name, E-Mail-Adresse, ein Zugangs-Token, der Status sowie die zugewiesenen Bereiche
• je Testbogen die Antworten, Kommentare, die vom Tester eingetragene Geräte- und Versionsangabe sowie optional beigefügte Bildbelege
• bei freigeschalteter Bewerbungsseite die offenen Bewerbungen mit Name, E-Mail-Adresse und Anmerkung

Für diese Daten bist du als Kontoinhaber der Verantwortliche; wir verarbeiten sie ausschließlich weisungsgebunden in deinem Auftrag (Art. 28 DSGVO). Einen Vertrag zur Auftragsverarbeitung stellen wir auf Anfrage bereit. Du entscheidest, wen du einlädst, welche Daten dabei entstehen und wann sie gelöscht werden; wir greifen inhaltlich nicht darauf zu, außer soweit es für Betrieb, Sicherung und Fehlerbehebung notwendig ist.

Die Daten jedes Kontos liegen in einem eigenen Verzeichnis auf dem Server. Die Dateien mit Namen und E-Mail-Adressen der Tester sind über das Web nicht direkt abrufbar; sie liest ausschließlich der Server, und die Berechtigung wird bei jedem einzelnen Aufruf geprüft.

Der Zugang eines Testers besteht aus Projektkennung und Token, die hinter dem Rautezeichen der Adresse stehen. Dieser Teil einer Adresse wird vom Browser nicht an den Server gesendet und erscheint daher weder in Protokolldateien noch im Referrer.

Eine Bewerbung über die öffentliche Bewerbungsseite wird erst nach Bestätigung der E-Mail-Adresse wirksam; nicht bestätigte Bewerbungen werden nach sieben Tagen automatisch gelöscht.

7. E-Mail-Versand

Der Dienst versendet E-Mails ausschließlich anlassbezogen: Bestätigung der Registrierung, Zurücksetzen des Passworts, Einladung eines Testers, Bestätigung und Freigabe einer Bewerbung. Der Versand erfolgt über den Mailserver des Anbieters. Einen Werbe- oder Newsletter-Versand gibt es nicht.

8. Zahlungsdienstleister

Beim Kauf eines kostenpflichtigen Tarifs wird die Zahlung über einen der folgenden Anbieter abgewickelt — welchen, wählst du im Bezahlvorgang:

• Stripe — Stripe Payments Europe Ltd., Dublin, Irland
• PayPal — PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg
• SumUp — SumUp Limited, Dublin, Irland

Die Eingabe der Zahlungsdaten erfolgt beim jeweiligen Anbieter; vollständige Kartendaten erreichen unseren Server nicht. Übermittelt werden der zu zahlende Betrag, die Tarifstufe und eine Vorgangskennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO für die handels- und steuerrechtliche Aufbewahrung. Es gelten zusätzlich die Datenschutzhinweise des jeweiligen Anbieters. Erfolgt der Kauf über eine Vertriebsplattform (z. B. Apple App Store), gelten deren Hinweise.

9. Speicherung im Browser

Der Dienst legt Daten im lokalen Speicher deines Browsers ab. Diese Angaben verbleiben auf deinem Gerät und werden nicht an uns übertragen:

• die Sitzung der Verwaltung (Kontokennung, Sitzungskennung, Anzeigename)
• zuletzt gewähltes Projekt und aufgeklappte Tabellenzeilen
• gewählte Sprache und die Einstellung hell/dunkel
• bei Testern der noch nicht übertragene Bearbeitungsstand eines Testbogens — er geht automatisch an den Server, sobald wieder eine Verbindung besteht

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Speicherung ist für den Betrieb erforderlich. Ein Abmelden sowie das Löschen der Browserdaten entfernt diese Einträge. Cookies zu Werbe- oder Analysezwecken setzen wir nicht; die Marketing-Startseite setzt lediglich das technisch notwendige Sitzungs-Cookie des Webservers.

10. Push-Nachrichten in der App

Nutzt du testr als App für iOS und stimmst Mitteilungen zu, erzeugt das Betriebssystem über Firebase Cloud Messaging (Google Ireland Limited) eine Gerätekennung, die wir deinem Konto zuordnen, um dir Hinweise zu deinen Projekten zusenden zu können. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, erteilt durch die Zustimmung zu Mitteilungen im Betriebssystem. Du kannst sie jederzeit in den Systemeinstellungen deines Geräts widerrufen; die gespeicherte Gerätekennung wird dann nicht mehr verwendet und bei Kontolöschung entfernt. Im Browser gibt es keine Push-Nachrichten.

11. Speicherdauer und Löschung

• Kontodaten — bis zur Löschung des Kontos durch dich.
• Projekte, Kataloge, Tester und Ergebnisse — bis du sie oder dein Konto löschst. Wir löschen sie nicht von uns aus.
• Nicht bestätigte Bewerbungen — automatisch nach sieben Tagen.
• Zugriffsprotokolle — spätestens nach 30 Tagen.
• Zahlungsbelege — nach den gesetzlichen Aufbewahrungsfristen, in der Regel sechs bis zehn Jahre.

Über die Gefahrenzone im Bereich Konto der Verwaltung löschst du dein Konto selbst. Sämtliche Projekte, Kataloge, Testerdaten, Antworten und Bildbelege werden dabei vom Server entfernt und das Konto deaktiviert. Der Vorgang ist nicht umkehrbar — ein Export als JSON-Datei sollte zuvor erstellt werden. Konten bei anderen Anwendungen des Anbieters bleiben unberührt und sind dort gesondert zu löschen.

12. Deine Rechte

Du hast jederzeit das Recht auf unentgeltliche Auskunft über deine gespeicherten personenbezogenen Daten, deren Herkunft und Empfänger sowie den Zweck der Verarbeitung (Art. 15 DSGVO), auf Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie auf Widerspruch gegen eine Verarbeitung auf Grundlage eines berechtigten Interesses (Art. 21). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Wende dich dafür an [email protected]. Bist du Tester in einem Projekt, richte dein Anliegen bitte zuerst an den Kontoinhaber, der dich eingeladen hat — er ist für diese Daten verantwortlich; wir leiten Anfragen andernfalls an ihn weiter.

Unbeschadet anderer Rechtsbehelfe steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, insbesondere im Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

13. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils an dieser Stelle veröffentlichte Fassung. Bei wesentlichen Änderungen informieren wir Kontoinhaber zusätzlich in der Anwendung oder per E-Mail.