Datenschutzerklärung

Dieser Entwurf führt die Daten auf, die Sonar nach dem heutigen Stand des Produkts verarbeitet. Er wird vervollständigt und anwaltlich geprüft, bevor er in Kraft tritt.

Entwurf, rechtliche Prüfung ausstehend

Dieses Dokument ist ein Arbeitsentwurf. Es wurde nicht anwaltlich geprüft, ist noch nicht in Kraft und wird sich ändern. Es beschreibt das Produkt so, wie es heute gebaut ist.

Wer verantwortlich ist

Sonar ist derzeit ein Dienst nur auf Einladung, betrieben von dem Team, das ihn unter usesonarnow.com betreibt; dieses Team ist für die hier beschriebenen personenbezogenen Daten verantwortlich. Die juristische Person und ein eigener Datenschutzkontakt werden auf dieser Seite genannt, bevor Sonar öffentlich angeboten wird. Bis dahin richten Sie Datenschutzanfragen an die Person, die Sie eingeladen hat; sie erreicht das Team direkt.

Konto- und Workspace-Daten

Wenn Sie sich anmelden, verarbeiten wir Ihre E-Mail-Adresse und den einmaligen Anmeldelink, den unser Authentifizierungsanbieter an sie sendet. Bei Inhabern und Operatoren verarbeiten wir zusätzlich die Einrichtung des zweiten Faktors (TOTP). Wir speichern den Namen Ihres Workspace, Ihre Mitgliedschaft und Rolle, die von Ihnen hinzugefügten Unternehmen und Website-Hosts sowie das von Ihnen ausgefüllte Unternehmensprofil, etwa Märkte, Sprachen und Wettbewerber.

Website- und Suchdaten

Crawl-Ergebnisse: Der Crawler von Sonar, der sich als SonarBot ausweist, ruft öffentliche Seiten der von Ihnen verbundenen Websites ab und speichert die daraus abgeleiteten Prüfungen, Scores und Seitenmerkmale.
Google-Konto (optional): für die Websites, die Sie auswählen, tägliche Search-Console-Leistungsdaten (Suchanfragen, Seiten, Klicks, Impressionen und durchschnittliche Position), Google-Analytics-4-Berichte, Business-Profile-Standorte und Merchant-Center-Produkte. Der Zugriff ist nur lesend, außer dass Sonar auf Ihren Wunsch eine Search-Console-Bestätigung für Ihre Domain hinzufügt. Die Zugriffstoken werden verschlüsselt gespeichert.
Bing AI Performance: die Zeilen der von Ihnen hochgeladenen CSV-Dateien, zusammen mit der ID des Nutzers, der sie hochgeladen hat.
Edge-Traffic-Zählung: Wenn Sie den Sonar-Edge-Worker installieren, zählt er pro Tag Besuche bekannter KI-Crawler und Verweise von bekannten KI-Assistenten, mit maskierten Seitenpfaden. Wenn Sie die Conversion-Zählung einschalten, zählt er außerdem Conversions von Besuchern, die über einen KI-Assistenten kamen, als Tagessummen je Landingpage, mithilfe eines Attributions-Tokens in Ihren internen Links. Er speichert keine IP-Adressen von Besuchern, keine vollständigen User-Agents, Query-Strings, vollständigen Referrer oder Bestellnummern, und Besuche, die nicht von einem KI-Crawler oder KI-Assistenten stammen, hinterlassen keinen Eintrag.
WordPress-Plugin: Sein Crawler-Protokoll speichert keine IP-Adressen, vollständigen User Agents oder Cookies. Eine optionale Reverse-DNS-Prüfung bewahrt einen gesalzenen Hash der IP-Adresse 24 Stunden lang auf, und Protokollzeilen werden 30 Tage lang aufbewahrt.
Outreach über ein Postfach (optional): Wenn Sie ein Gmail- oder Microsoft-365-Postfach verbinden, sendet Sonar daraus Outreach-E-Mails mit reiner Sendeberechtigung und kann es nicht lesen. Antworten gehen an eine Antwortadresse von Sonar, werden eingeordnet (zum Beispiel als Abmeldung) und an Sie weitergeleitet. Dafür speichert Sonar die kontaktierten Personen (Namen und geschäftliche E-Mail-Adressen, die auf öffentlichen Webseiten veröffentlicht sind), die gesendeten Nachrichten, eine kurze Einordnung jeder Antwort (nicht deren Text) sowie eine dauerhafte Sperrliste.
Veröffentlichungs- und Hosting-Verbindungen (optional): die Vercel-Integration, GitHub, Shopify, Webflow und andere CMS- oder DNS-Anbieter, die Sie verbinden, um die Einrichtung Ihrer Website zu lesen und freigegebene Änderungen umzusetzen; sowie Log-Drains von Vercel oder Netlify, die Einträge über Crawler-Besuche senden. Einzelne Crawler-Besuche, die die IP-Adresse des Crawlers enthalten können, werden bis zu 400 Tage gespeichert; Tagessummen bleiben erhalten.

Suchanfragen, Seitentexte und Outreach-Kontakte können personenbezogene Daten anderer Personen enthalten. Für diese Daten entscheiden Sie, was verarbeitet wird, und Sonar verarbeitet sie in Ihrem Auftrag nur, um Ihnen den Dienst bereitzustellen.

Zugangsdaten für Verbindungen

Zugangsdaten, die Sie Sonar geben, damit es auf Ihrer Website handeln kann, etwa ein WordPress-Anwendungspasswort, werden mit AES-GCM verschlüsselt, mit einem eigenen Datenschlüssel pro Workspace. Dieser Schlüssel wird von einem Hauptschlüssel umhüllt, der im Secret-Speicher von Cloudflare liegt, nie in der Datenbank, und der Hauptschlüssel ist nicht Teil der Backups.

Daten aus Google-APIs

Die Nutzung und Weitergabe von Informationen, die Sonar über Google-APIs erhält, entspricht der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen. Daten aus Ihrem Google-Konto werden nur für die Funktionen genutzt, die Sie aktiviert haben. Sie werden nicht verkauft, nicht für Werbung und nicht zum Training allgemeiner KI-Modelle verwendet, und Personen bei Sonar lesen sie nur mit Ihrer Erlaubnis, aus Sicherheitsgründen oder wenn das Gesetz es verlangt.

Freigaben und Audit-Trail

Sonar protokolliert, wer jede Änderung freigegeben, abgelehnt oder per Rollback zurückgenommen hat und warum. Das Audit-Log ist nur erweiterbar: Seine Einträge können weder bearbeitet noch gelöscht werden, und es bleibt erhalten, wenn ein Workspace geschlossen wird (siehe unten).

Kostenloser Scan und Berichtsanfragen

Der kostenlose Scan speichert den gescannten Host, den Tag und die von Ihnen verwendete Sprache zusammen mit dem indikativen Bericht. Er ist mit keiner Person verknüpft. Ihre IP-Adresse wird nur als Einweg-Hash verwendet, um zu begrenzen, wie viele Scans ein Netzwerk starten kann, und wird nicht gespeichert.

Wenn Sie sich einen Bericht per E-Mail schicken lassen, speichern wir Ihre E-Mail-Adresse, den gescannten Host, Ihre Sprache, den Zeitpunkt Ihrer Einwilligung und die Version des Einwilligungstexts, den Sie gesehen haben. Wir nutzen sie nur, um Ihnen diesen Bericht und gelegentlich Neuigkeiten über Sonar zu senden. Sie können jederzeit über den Kontakt unter „Wer verantwortlich ist“ die Löschung verlangen.

Cookies und Browserspeicher

Sonar setzt vier eigene Cookies, alle mit SameSite=Lax und unter https mit Secure. Nach der Anmeldung: sonar_session enthält Ihr Anmelde-Token für eine Stunde, sonar_refresh erneuert es für bis zu 30 Tage, und sonar_ws merkt sich 30 Tage lang den gewählten Workspace; alle drei sind HttpOnly. sonar_lang merkt sich die Sprache der Oberfläche für ein Jahr und wird auch für nicht angemeldete Besucher gesetzt, wenn eine Seite in einer gewählten Sprache geöffnet wird. Ihre Theme-Auswahl wird im lokalen Speicher Ihres Browsers abgelegt. Sonar verwendet keine Analyse-, Werbe- oder Tracking-Cookies oder -Skripte. Die Schriften der Website werden von Google Fonts geladen; Ihr Browser sendet dabei seine IP-Adresse an Google.

Dienstleister

Supabase: Datenbank, Anmeldelinks und Prüfungen des zweiten Faktors, gehostet in der Region ap-south-1 (Mumbai, Indien). Aufrufe der Bing Webmaster API werden über eine Supabase-Funktion weitergeleitet.
Cloudflare: Hosting dieser Website und des Sonar-Backends (Workers und Workflows), Dateispeicher und Backups (R2), Ratenbegrenzung, Browser-Rendering für Crawls, Text-Embeddings (Workers AI), benutzerdefinierte Hostnamen für den optionalen Edge-Worker, DNS-Abfragen und das AI Gateway, über das jeder Aufruf eines KI-Anbieters läuft. Das AI Gateway protokolliert Prompts und Antworten.
OpenAI, Google (Gemini), Perplexity und Anthropic (Claude, über OpenRouter): beantworten die Kategorie- und Marken-Prompts, die messen, wie oft KI-Assistenten Ihre Website zitieren. Diese Prompts können Ihr Unternehmen und seine Kategorie nennen.
Google (Gemini) und OpenRouter (Modelle von OpenAI und Anthropic): entwerfen Inhalte und prüfen ihre Qualität. Eine Anfrage kann Adresse, Titel und Haupttext einer Seite, Ihren Markennamen, von Ihnen angegebene Fakten, Wettbewerber und Quellauszüge enthalten.
Die APIs von Google Search Console, Google Analytics, Business Profile, Merchant Center, YouTube Data, PageSpeed Insights und Chrome UX Report, die Bing Webmaster API und IndexNow: um Such- und Leistungsdaten Ihrer Websites zu lesen und Suchmaschinen über geänderte Seiten zu informieren.
DataForSEO und Bright Data: Suchergebnisse, AI Overviews und Antworten im AI Mode, Keyword-Volumen und Backlink-Daten für die Suchanfragen und Domains, die Sonar für Ihre Websites verfolgt. Die Anfragen enthalten Keywords, Domains und Märkte, keine Daten über Sie.
Google (Gmail) und Microsoft (Microsoft 365): nur wenn Sie ein Postfach für Outreach verbinden, mit reiner Sendeberechtigung. Resend: stellt E-Mails zu, die Sonar selbst sendet, etwa Betriebswarnungen, und empfängt Antworten auf Outreach-E-Mails, um sie an Sie weiterzuleiten.
Vercel, Netlify, GitHub, Shopify, Webflow und andere Veröffentlichungs-, Hosting- oder DNS-Anbieter: nur die, die Sie verbinden, um die Einrichtung Ihrer Website zu lesen, Log-Drains zu empfangen und freigegebene Änderungen umzusetzen. Vercel kann diese Website auch hosten; derzeit leitet es nur auf diese Adresse weiter.
Slack und Microsoft Teams: nur wenn ein Workspace-Inhaber einen Webhook hinzufügt; Sonar sendet dann die Benachrichtigungen dieses Workspace dorthin.
Google Fonts: liefert die Schriften dieser Website; Ihr Browser ruft sie direkt bei Google ab.
Telegram: nur für Betriebsnachrichten an das Sonar-Team.

Wie lange wir Daten aufbewahren

Datenbank-Backups werden wöchentlich exportiert, ergänzt um tägliche inkrementelle Exporte, und nach 90 Tagen gelöscht. Cloudflare speichert den Verlauf der Workflow-Läufe 7 Tage lang, Fehlerprotokolle werden bis zu 30 Tage aufbewahrt. Ein wöchentlicher Job löscht Betriebsereignisse nach 180 Tagen, einzelne Crawler-Besuche nach 400 Tagen, Ranking-Daten nach 730 Tagen, rohe Edge-Traffic-Dateien und alte Scan-Dokumente nach 90 Tagen und als Nachweis gespeicherte Seiten-Snapshots nach 400 Tagen. Scores, Messungen von KI-Antworten, Kostendaten und das Audit-Protokoll bleiben erhalten, solange Ihr Workspace besteht; das Audit-Protokoll länger, wie unten beschrieben. Berichtsanfragen aus dem kostenlosen Scan bleiben gespeichert, bis Sie ihre Löschung verlangen.

Eine Website trennen und einen Workspace schließen

Wenn Sie eine Website trennen, stoppt Sonar die gesamte Automatisierung für sie und löscht sofort die Zugangsdaten, die es für diese Website gespeichert hat. Der Messverlauf der Website und der Audit-Trail bleiben erhalten, solange Ihr Workspace besteht.

Wenn der Inhaber einen Workspace schließt, stoppt die gesamte Automatisierung, alle gespeicherten Zugangsdaten werden sofort gelöscht, und Sonar exportiert die Workspace-Daten als JSON-Datei, die der Inhaber herunterladen kann. 30 Tage später werden die Workspace-Daten und der Export gelöscht. Kopien in Datenbank-Backups verfallen mit den Backups selbst.

Das Audit-Protokoll zu Freigaben, Änderungen und Kontoaktionen wird beim Schließen eines Workspace nicht gelöscht: Es wird mindestens vier Jahre als Nachweis aufbewahrt, um gesetzliche und buchhalterische Aufbewahrungspflichten zu erfüllen.

Wo Daten verarbeitet werden

Die Datenbank wird in Indien gehostet (Supabase-Region ap-south-1). Cloudflare und die oben genannten Anbieter verarbeiten Daten in ihren eigenen Netzen, die außerhalb Ihres Landes liegen können. Eine Datenhaltung in der EU ist derzeit nicht möglich. Die Garantien für diese Übermittlungen werden hier nach der rechtlichen Prüfung beschrieben.

Ihre Wahlmöglichkeiten und Rechte

Sie können über den Kontakt unter „Wer verantwortlich ist“ eine Kopie Ihrer Daten, eine Berichtigung oder die Löschung verlangen. Ein Workspace-Inhaber kann die Workspace-Daten außerdem in den Einstellungen exportieren und den Workspace schließen. Wir antworten innerhalb der Frist, die das für Sie geltende Recht vorschreibt.

Änderungen dieser Datenschutzerklärung

Wir veröffentlichen Änderungen auf dieser Seite und informieren angemeldete Nutzer über wesentliche Änderungen, bevor sie in Kraft treten.