Rechtliches

Datenschutzerklärung

Zuletzt aktualisiert: 21. Mai 2026

Diese Datenschutzerklärung beschreibt, wie Superstellar LLC, betrieben als Serge, personenbezogene Daten erhebt, verwendet, offenlegt und schützt, wenn Sie serge.ai besuchen oder unsere Plattform nutzen. Sie gilt weltweit für alle Nutzer. Bei Unklarheiten kontaktieren Sie uns unter privacy@serge.ai.

Wer wir sind

Serge wird von Superstellar LLC betrieben („wir“, „uns“, „unser“), mit Sitz in der Baarerstrasse 52, 6300 Zug, Schweiz, eingetragen im Handelsregister des Kantons Zug.
Verantwortlicher — Für Ihre Kontoinformationen und Ihre direkte Nutzung von www.serge.ai (einschließlich Scanner, Workspace-Dashboard und Investigate-Mode) ist Superstellar LLC der Verantwortliche im Sinne des Datenschutzrechts.
Auftragsverarbeiter — Wenn ein Kunde das Serge-Tracking-Snippet auf einer Kunden-eigenen Site installiert, ist der Kunde der Verantwortliche für die daraus resultierenden Besucherdaten und Superstellar handelt als Auftragsverarbeiter im Auftrag des Kunden. Eine Auftragsverarbeitungsvereinbarung (Customer DPA), die mit Art. 28 DSGVO und dem Schweizer Bundesgesetz über den Datenschutz (revDSG) konform ist, ist auf Anfrage an legal@serge.ai erhältlich.
Für alle Datenschutzanfragen kontaktieren Sie uns unter privacy@serge.ai.

Welche Daten wir erheben

Scan-Daten — Wenn Sie eine Domain scannen, durchsuchen wir öffentlich verfügbare Ressourcen (Startseite, robots.txt, sitemap.xml, llms.txt, OpenAPI-Spezifikationen, strukturierte Daten auf der Seite) und speichern die resultierenden Prüfergebnisse, Scores und die Domain.
Kontodaten — Wenn Sie sich für ein Serge-Konto registrieren (über Auth0), erhalten wir Ihre E-Mail-Adresse, Ihren Namen und etwaige weitere OAuth-Claims, die Sie über Ihren gewählten Identitäts-Provider autorisieren. Wir verwenden diese, um das Konto an einen Workspace zu binden.
Workspace-Daten — Workspaces enthalten die von Ihnen registrierten Sites, Snippet-Site-IDs, eingeladene Mitglieder, den Abrechnungsstatus und die Workspace-spezifische Konfiguration. Wir verarbeiten diese, um den Dienst zu betreiben.
Snippet-Ereignisdaten — Wenn Sie das Serge-Tracking-Snippet (serge.js) auf einer Kunden-eigenen Site installieren, sendet das Snippet Agenten-Erkennungs-Ereignisse an unsere Ingest-API. Das Snippet ist so konzipiert, dass es standardmäßig frei von personenbezogenen Daten ist: Es setzt keine Cookies, übermittelt keine Formularwerte, erhebt keine für Cross-Site-Tracking verwendbaren Gerätekennungen und verarbeitet rohe Verhaltenssignale clientseitig, wobei nur die resultierenden Klassifizierungswerte an den Server gesendet werden.
Replay-Sitzungsdaten — Wenn Sie über den Investigate-Mode ein aktives Replay unter Ihrer Anweisung gegen eine URL auslösen, erfassen wir für diese einzelne Sitzung die Argumentation des Agenten, die Navigationsschritte, DOM-Snapshots, Screenshots, Accessibility-Tree-Snapshots und Netzwerk-Metadaten. Replays erfassen keine Daten aus anderen Sitzungen als der von Ihnen initiierten.
E-Mail-Adressen — Wenn Sie einen vollständigen Scan-Bericht anfordern oder sich für ein Serge-Konto registrieren, erfassen wir Ihre E-Mail-Adresse. Dies ist eine personenbezogene Information.
Abrechnungsdaten — Wenn Sie ein bezahltes Abo abschließen, verarbeitet Stripe Ihr Zahlungsmittel; wir erhalten nur die für den Betrieb der Abrechnung notwendigen Metadaten (Kunden-ID, Abonnementstatus, Rechnungsdaten). Wir erhalten oder speichern niemals vollständige Kreditkartennummern.
Technische Daten und Nutzungsdaten — IP-Adressen für Rate-Limiting (nicht dauerhaft gespeichert), Browser- und Geräteinformationen sowie Fehlerdaten zum Debugging über Sentry (mit personenbezogenen Daten, die vor der Übertragung entfernt werden).
Kundenveranlasste Verarbeitung — Wenn ein Kunde eine Domain oder URL als Scan-Ziel oder als Replay-Ziel über den Investigate Mode übermittelt, beauftragt der Kunde uns, öffentlich verfügbare Ressourcen dieses Ziels zu crawlen. Etwaige in diesen Ressourcen beiläufig enthaltene personenbezogene Daten (Besucher-Reviews, Argumentation des Agenten unter Zitierung von Inhalten der Zielseite, Inhalte Dritter) werden auf Weisung des Kunden verarbeitet; der Kunde bleibt der Verantwortliche für jede weitere Verwendung dieser Daten und ist gemäß unserer Acceptable Use Policy für die Rechtmäßigkeit der Übermittlung des Ziels verantwortlich.
Snippet-URL-Hygiene — Der Kunde ist dafür verantwortlich, dass auf Seiten, auf denen er das Serge-Tracking-Snippet installiert, keine personenbezogenen Daten in URL-Pfaden oder Query-Parametern offengelegt werden, und dafür, sensible Parameter zu entfernen, bevor Snippet-Ereignisse ausgelöst werden. Der Kunde bleibt der Verantwortliche der personenbezogenen Daten seiner Besucher und ist für die rechtmäßige Erhebung verantwortlich, einschließlich etwaiger auf seiner Site erforderlicher Cookie- bzw. Einwilligungs-Hinweise.

Wie wir Ihre Daten verwenden

Diensterbringung — Wir verwenden Scan-Daten, um Serge-Scores, Befunde und Behebungsempfehlungen bereitzustellen; Snippet-Ereignisdaten zur Versorgung Ihres Workspace-Dashboards; und Replay-Sitzungs-Artefakte, um das von Ihnen ausgelöste Replay darzustellen. Rechtsgrundlage: Erfüllung unseres Vertrags mit Ihnen (DSGVO Art. 6 Abs. 1 lit. b).
Kommunikation — Wir senden den vollständigen Scan-Bericht an die von Ihnen angegebene E-Mail-Adresse, transaktionale Konto-Mitteilungen (Trial-Ablauf, Rechnungsbestätigungen, Änderungen bei Auftragsverarbeitern) sowie weitere mit Ihrem Abonnement verbundene Mitteilungen. Wir senden keine Marketing-E-Mails, sofern Sie sich nicht separat anmelden. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b).
Abrechnung — Stripe verarbeitet Ihr Zahlungsmittel und stellt Rechnungen aus; wir verarbeiten die für den Betrieb des Abonnements notwendigen Mindest-Metadaten. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b) und rechtliche Verpflichtung zur Aufbewahrung von Buchhaltungsunterlagen (Art. 6 Abs. 1 lit. c).
Sicherheit und Missbrauchsverhinderung — Wir verwenden IP-basiertes Rate-Limiting, Audit-Logging und Replay-Sicherheitsprüfungen zum Schutz der Plattform, Ihrer Daten und der Drittseiten, die wir in Ihrem Auftrag crawlen. Rechtsgrundlage: berechtigtes Interesse an der Plattformsicherheit (Art. 6 Abs. 1 lit. f).
Produktverbesserung — Wir verwenden anonymisierte, aggregierte Nutzungsanalysen, um zu verstehen, wie Menschen Serge nutzen, und um das Produkt zu verbessern. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f), abgewogen gegen Ihre Privatsphäre durch strikte Anonymisierung.
Rechtliche Compliance — Wir können Daten verarbeiten, um geltende Gesetze einzuhalten, auf rechtmäßige Anfragen von Behörden zu reagieren oder Rechtsansprüche zu begründen, geltend zu machen oder zu verteidigen. Rechtsgrundlage: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) oder berechtigtes Interesse (Art. 6 Abs. 1 lit. f).

Datenweitergabe und Auftragsverarbeiter

Wir verkaufen Ihre personenbezogenen Daten nicht. Wir geben Ihre Daten nicht für Werbung oder kontextübergreifendes Verhaltens-Targeting weiter. Wir geben Daten ausschließlich an Auftragsverarbeiter weiter, ausschließlich zum Zweck des Betriebs und der Wartung des Serge-Dienstes.
Die aktuelle Liste der Auftragsverarbeiter, die Kundendaten in unserem Auftrag verarbeiten — einschließlich der Rolle, des Standorts und der Zertifizierungen — ist unter https://www.serge.ai/subprocessors veröffentlicht. Zum Zeitpunkt dieser Fassung umfasst sie Vercel (Anwendungs-Hosting), Neon (PostgreSQL-Datenbank), Auth0 / Okta (Authentifizierung), Anthropic (LLM-API für Replay-Argumentation und Content-Moderation), Browserbase (verwaltete Headless-Browser für Replays), Fly.io (Replay-Worker-Compute), Stripe (Abrechnung), Upstash (Rate-Limiting und ephemere Zwischenspeicherung), Sentry (Fehler-Monitoring) sowie Resend (transaktionale E-Mails).
Jeder Auftragsverarbeiter verarbeitet die für seine Funktion erforderlichen Mindestdaten und ist durch einen seiner Rolle angemessenen Auftragsverarbeitungsvertrag gebunden.
Wir werden aktive Kunden mindestens 30 Tage vor der Beauftragung eines neuen Auftragsverarbeiters, der personenbezogene Daten verarbeitet, benachrichtigen, sodass Sie vor Beginn der Verarbeitung die Möglichkeit haben, Widerspruch einzulegen.
Widerspruchsrecht — Wenn Sie einem neuen Auftragsverarbeiter, der Ihre personenbezogenen Daten verarbeitet, widersprechen, teilen Sie uns dies innerhalb der 30-tägigen Frist unter privacy@serge.ai mit. Wir suchen mit Ihnen in gutem Glauben nach Alternativen. Können wir Ihrem Widerspruch nicht entsprechen, können Sie Ihr kostenpflichtiges Abonnement zum Ende der laufenden Abrechnungsperiode kündigen und erhalten eine anteilige Rückerstattung etwaiger vorausbezahlter Gebühren für den Rest dieser Periode.
Geschäftsübertragungen — Im Falle einer Fusion, Übernahme, Umstrukturierung, eines Verkaufs von wesentlich allen unserer Vermögenswerte oder einer Insolvenz können personenbezogene Daten an die Rechtsnachfolgerin oder erwerbende Einheit übertragen werden, vorbehaltlich dieser Datenschutzerklärung oder einer gleichwertigen aktualisierten Erklärung. Soweit gesetzlich vorgeschrieben, werden wir betroffene Nutzer im Voraus informieren; diese behalten die in dieser Erklärung beschriebenen Rechte.

Internationale Datenübermittlung

Hosting und Verarbeitung — Der Dienst wird primär auf Infrastruktur in den Vereinigten Staaten betrieben. Auftragsverarbeiter operieren aus den Vereinigten Staaten, der Europäischen Union, dem Vereinigten Königreich und anderen Rechtsräumen; die aktuelle Liste mit Standort und Zertifizierungen jedes Auftragsverarbeiters ist unter https://www.serge.ai/subprocessors veröffentlicht.
Übermittlungen aus EU/EWR — Soweit ein Auftragsverarbeiter unter dem EU-US Data Privacy Framework (DPF), angenommen durch Beschluss (EU) 2023/1795, zertifiziert ist, stützen wir uns auf dessen DPF-Zertifizierung als primären Übermittlungsmechanismus. Für nicht DPF-zertifizierte Auftragsverarbeiter oder Übermittlungen in andere Drittländer stützen wir uns auf die Standardvertragsklauseln der Europäischen Kommission (SCCs, Beschluss (EU) 2021/914).
Übermittlungen aus dem Vereinigten Königreich — Für Übermittlungen aus dem Vereinigten Königreich stützen wir uns auf die UK-Erweiterung des EU-US Data Privacy Framework bei DPF-zertifizierten Auftragsverarbeitern und ansonsten auf den UK International Data Transfer Addendum zu den EU-SCCs (ICO IDTA).
Übermittlungen aus der Schweiz — Für Übermittlungen aus der Schweiz stützen wir uns auf das Swiss-US Data Privacy Framework bei DPF-zertifizierten Auftragsverarbeitern und ansonsten auf die vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) genehmigten Standardvertragsklauseln.
Ergänzende Schutzmaßnahmen — Zusätzlich zu den vorstehenden rechtlichen Übermittlungsmechanismen wenden wir der zu übermittelnden Daten angemessene technische und organisatorische Maßnahmen an, einschließlich Verschlüsselung in der Übertragung (TLS 1.2 oder höher) und im Ruhezustand, rollenbasierter Zugangskontrollen, Audit-Logging sowie Auftragsverarbeitungsverträgen, die die Pflichten nach Art. 28 DSGVO an jeden Auftragsverarbeiter weiterreichen.
Transfer-Folgenabschätzung — In Übereinstimmung mit dem Schrems-II-Urteil (EuGH C-311/18) prüfen wir laufend, ob der Rechtsrahmen jedes Bestimmungslandes ein im Wesentlichen gleichwertiges Schutzniveau wie die DSGVO und das schweizerische revDSG bietet. Wo ein verbleibendes Risiko nicht hinreichend gemindert werden kann, vermeiden wir die Übermittlung oder treffen zusätzliche vertragliche oder technische Schutzmaßnahmen. Eine Zusammenfassung unserer Transfer-Folgenabschätzung ist auf Anfrage an privacy@serge.ai erhältlich.
Kopien der anwendbaren Übermittlungsmechanismen sind auf Anfrage unter privacy@serge.ai erhältlich.

Datenspeicherung

Scan-Ergebnisse — Scan-Scores, Befunde und die übermittelte Domain werden zu Benchmark-Zwecken unbegrenzt aufbewahrt. Scans werden mit Domains, nicht mit Einzelpersonen verknüpft. Sie können die Löschung von Scans, die Sie ausgelöst haben, jederzeit unter privacy@serge.ai beantragen.
Konto- und Workspace-Daten — Werden so lange aufbewahrt, wie Ihr Konto aktiv ist, sowie für bis zu 90 Tage nach Löschung, um Wiederherstellung und Audit zu ermöglichen.
Snippet-Ereignisdaten — Analyse-Ereignisse werden in kostenlosen Workspaces 24 Stunden, in Pro 12 Monate und mit aktivierter PAYG-Erweiterung „Verlängerte Aufbewahrung“ bis zu 24 Monate aufbewahrt.
Replay-Sitzungsdaten — Replay-Artefakte (Screenshots, DOM-Snapshots, Accessibility-Tree-Snapshots, Agent-Argumentation, Netzwerk-Metadaten) werden in Pro 90 Tage und mit aktivierter PAYG-Erweiterung „Verlängerte Aufbewahrung“ bis zu 180 Tage aufbewahrt.
E-Mail-Adressen — Werden für die Berichtszustellung und Konto-Nachverfolgung aufbewahrt. Sie können jederzeit die Löschung beantragen, indem Sie privacy@serge.ai kontaktieren.
Abrechnungsunterlagen — Bei Stripe gespeicherte Abrechnungsdaten werden gemäß Stripes eigener Richtlinie und unseren gesetzlichen Aufbewahrungspflichten für Buchhaltungsunterlagen aufbewahrt (Schweizer OR Art. 957a — in der Regel 10 Jahre).
Audit- und Missbrauchsprotokolle — Replay-Sicherheits-Ereignisse und Plattform-Audit-Protokolle werden gemäß unserer Acceptable Use Policy bis zu 12 Monate aufbewahrt.
Fehlerverfolgungsdaten — Werden 90 Tage über Sentry aufbewahrt.

Sicherheitsmaßnahmen

Verschlüsselung — Alle Daten während der Übertragung sind durch TLS 1.2 oder höher geschützt. Datenbankspeicher ist im Ruhezustand über Neons verwaltete Verschlüsselung verschlüsselt.
Anwendungssicherheit — Sicherheitsheader (Content Security Policy, Strict-Transport-Security, X-Frame-Options, X-Content-Type-Options) werden bei allen Antworten durchgesetzt. Serverseitige Eingabevalidierung wird an jedem Boundary mit Zod-Schemas angewendet. Rate-Limiting wird pro Endpunkt durchgesetzt.

Sicherheitsvorfälle und Meldung von Datenpannen

Incident Response — Wir unterhalten einen Prozess zur Erkennung, Eindämmung, Untersuchung und Behebung von Sicherheitsvorfällen mit Bezug zu personenbezogenen Daten.
Meldung an Aufsichtsbehörden — Bei einer Verletzung des Schutzes personenbezogener Daten, die voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt, melden wir den Vorfall unverzüglich und möglichst innerhalb von 72 Stunden nach Kenntniserlangung der zuständigen Aufsichtsbehörde gemäß Art. 33 DSGVO, Art. 33 UK GDPR und Art. 24 schweizerisches revDSG.
Meldung an betroffene Personen — Soweit eine Datenpanne voraussichtlich zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen führt, informieren wir die betroffenen Personen unverzüglich (Art. 34 DSGVO).
Meldung an Kunden als Verantwortliche — Soweit Superstellar im Auftrag eines Kunden als Auftragsverarbeiter handelt und eine Datenpanne kundenkontrollierte Daten betrifft, benachrichtigen wir den Kunden unverzüglich, damit dieser seinen eigenen Meldepflichten nachkommen kann.

Ihre Datenschutzrechte

Je nach Ihrer Rechtsordnung können Ihnen einige oder alle der folgenden Rechte bezüglich Ihrer personenbezogenen Daten zustehen. Wir gewähren diese Rechte allen Nutzern unabhängig von ihrem Standort, soweit das geltende Recht dies zulässt.
Auskunftsrecht — Sie können bestätigen lassen, ob wir Ihre personenbezogenen Daten verarbeiten, und eine Kopie dieser Daten in einem strukturierten, gängigen Format erhalten.
Recht auf Berichtigung — Sie können die Korrektur unrichtiger personenbezogener Daten verlangen.
Recht auf Löschung — Sie können die Löschung Ihrer personenbezogenen Daten verlangen.
Recht auf Einschränkung der Verarbeitung — Sie können verlangen, dass wir die Verwendung Ihrer Daten einschränken, während ein Streit oder eine Anfrage geklärt wird.
Recht auf Datenübertragbarkeit — Sie können Ihre Daten in einem maschinenlesbaren Format (JSON) zur Übertragung an einen anderen Dienst anfordern.
Widerspruchsrecht — Sie können der Verarbeitung auf Grundlage unseres berechtigten Interesses widersprechen.
Um eines dieser Rechte auszuüben, senden Sie Ihre Anfrage per E-Mail an privacy@serge.ai. Wir antworten innerhalb von 30 Tagen.
Wenn Sie der Ansicht sind, dass wir Ihr Anliegen nicht angemessen behandelt haben, haben Sie das Recht, eine Beschwerde bei Ihrer lokalen Datenschutzaufsichtsbehörde einzureichen.

Zusätzliche Rechte für Einwohner Kaliforniens

Wenn Sie in Kalifornien wohnen, gewähren Ihnen der California Consumer Privacy Act (CCPA) und der California Privacy Rights Act (CPRA) zusätzliche Rechte bezüglich Ihrer personenbezogenen Daten.
Wir verkaufen keine personenbezogenen Daten im Sinne des CCPA/CPRA. Wir geben keine personenbezogenen Daten für kontextübergreifende Verhaltenswerbung weiter.
Um Ihre kalifornischen Datenschutzrechte auszuüben, senden Sie eine E-Mail an privacy@serge.ai.

Bestimmungen für Einwohner der Schweiz

Für Einwohner der Schweiz verarbeiten wir personenbezogene Daten in Übereinstimmung mit dem Schweizer Bundesgesetz über den Datenschutz (revDSG).
Die zuständige Aufsichtsbehörde für Datenschutzangelegenheiten in der Schweiz ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), Feldeggweg 1, 3003 Bern, Schweiz.

Internationale Vertreter

Wir haben weder in der Europäischen Union nach Art. 27 DSGVO noch im Vereinigten Königreich nach Art. 27 UK GDPR noch in der Schweiz nach Art. 14 revDSG einen Vertreter benannt, weil unsere Verarbeitung personenbezogener Daten von Betroffenen in diesen Regionen nur gelegentlich erfolgt, keine umfangreiche Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO umfasst und voraussichtlich kein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt (Ausnahmevorschrift des Art. 27 Abs. 2 lit. a DSGVO und entsprechende Regelungen).
Betroffene Personen in der EU, im Vereinigten Königreich und in der Schweiz behalten alle in dieser Erklärung beschriebenen Rechte und können diese direkt bei uns unter privacy@serge.ai oder per Post an Superstellar LLC, Baarerstrasse 52, 6300 Zug, Schweiz, ausüben.
Sollte unsere Verarbeitung ein Ausmaß oder Risiko erreichen, das eine Vertreterbestellung erforderlich macht, werden wir einen Vertreter benennen und diese Erklärung entsprechend aktualisieren.

Cookies und ähnliche Technologien

Wir verwenden auf serge.ai keine Werbe-Cookies, Retargeting-Pixel, Social-Media-Tracking-Pixel oder Drittanbieter-Tracking-Cookies. Wir nehmen an keinem Werbenetzwerk teil.
Notwendige Cookies — Wenn Sie sich bei einem Serge-Konto anmelden, setzt unser Authentifizierungs-Provider (Auth0) ein auf www.serge.ai beschränktes Sitzungs-Cookie. Es ist HttpOnly, Secure und SameSite-Lax. Das Entfernen meldet Sie ab. Nach der ePrivacy-Richtlinie ist dieses Cookie zur Erbringung des von Ihnen angeforderten Dienstes zwingend erforderlich und bedarf keiner Einwilligung.
Analyse — Serge verwendet auf serge.ai keine Drittanbieter-Analysetools. Das Produkt selbst ist ein Analysetool für unsere Kund:innen; für unsere eigene interne Beobachtbarkeit lesen wir direkt aus operativen Datenbanktabellen (kein externes SDK, kein clientseitiger Tracker auf serge.ai).

Datenschutz für Kinder

Serge ist ein B2B-Dienst, der für die professionelle Nutzung durch Erwachsene konzipiert ist. Wir erfassen wissentlich keine personenbezogenen Daten von Personen unter 18 Jahren. Wenn Sie der Ansicht sind, dass ein Minderjähriger uns personenbezogene Daten zur Verfügung gestellt hat, kontaktieren Sie uns bitte unter privacy@serge.ai.

Änderungen dieser Richtlinie

Wir können diese Datenschutzerklärung aktualisieren, um Änderungen in unseren Praktiken, der Technologie, gesetzlichen Anforderungen oder aus anderen betrieblichen Gründen widerzuspiegeln.
Wesentliche Änderungen — Wir werden Sie mindestens 30 Tage vor Inkrafttreten der Änderungen per E-Mail und In-App-Benachrichtigung informieren.
Ihre fortgesetzte Nutzung von Serge nach Inkrafttreten der aktualisierten Richtlinie stellt die Annahme der Änderungen dar.

Kontakt und Aufsichtsbehörden

Datenschutzanfragen und Rechtsanträge — privacy@serge.ai
Allgemeine rechtliche Anfragen — legal@serge.ai
Postanschrift — Superstellar LLC, Baarerstrasse 52, 6300 Zug, Schweiz
Serge wird von Superstellar LLC betrieben, eingetragen im Handelsregister des Kantons Zug, Schweiz.