Sicherheit & Datenschutz

Die hochgeladene Datei wird von deterministischer, regelbasierter Logik ausgewertet, die lokal auf dem Server läuft - keine KI ist an der eigentlichen Analyse beteiligt. Solutions folgen einem klar definierten Aufbau mit wenig bis keinem Interpretationsspielraum - genau die Art von Aufgabe, bei der KI keinen Mehrwert bringt: feste Regeln liefern ein präziseres, reproduzierbares Ergebnis. Ihre Solution-Inhalte gehen nie an OpenAI, Anthropic oder einen anderen API-Dienst.

• Die hochgeladene .zip-Datei und die daraus entpackten Solution-Dateien werden unmittelbar nach der Analyse gelöscht - sie liegen nur für die Dauer der Verarbeitung (typischerweise Sekunden) auf dem Server.
• Die generierten Reports (PDF/Word/Excel) sowie aggregierte Kennzahlen (Anzahl Felder/Entitäten etc.) bleiben befristet gespeichert (Standard: 7 Tage ab dem Upload), damit der Report nach der Zahlung heruntergeladen werden kann. Kaufen Sie einen Report, beginnt diese Frist ab dem Kaufdatum neu - Sie haben also stets die volle Frist, um das Bezahlte herunterzuladen. Danach erfolgt die automatische Löschung.
• Nur bei expliziter Zustimmung (eine Checkbox beim Upload, nicht voreingestellt): Ein anonymisierter Log-Eintrag mit technischen Auffälligkeiten (z. B. neue XML-Strukturmuster, Warnungen, Häufigkeit ausgelöster Regeln) zur Produktverbesserung wird abgespeichert. Dabei werden nie Daten wie Solution-Name, Publisher-Name oder Inhalte von Feldern / Entitäten / Beschreibungen abgelegt.
• Pipeline-Abo: Nur wenn Sie beim Abschluss das Häkchen setzen (es ist voreingestellt aus), speichern wir aus den Läufen Ihres Abos einen anonymisierten Log-Eintrag mit technischen Auffälligkeiten (z. B. neue XML-Strukturmuster, Warnungen, Häufigkeit ausgelöster Regeln) zur Produktverbesserung, wie beim Upload auf der Website. Dabei werden nie Daten wie Solution-Name, Publisher-Name oder Inhalte von Feldern, Entitäten oder Beschreibungen abgelegt, und der Eintrag hat keinen Bezug zu Ihrem Konto. Gelöscht wird nach 30 Tagen. Ändern können Sie Ihre Wahl jederzeit per Mail an consulting@d365audit.de.
• Fit-Check: Das Ergebnis rechnet Ihr Browser. Wenn Sie es auf der Seite nicht abwählen, erhalten wir die angekreuzten Antworten und das Ergebnis anonym - ohne IP-Adresse, ohne Cookie, ohne Uhrzeit, ohne Ihre Freitexte, Zahlen nur als grobe Spanne. Schicken Sie danach eine Kontaktanfrage, steht darin, dass sie aus dem Fit-Check kam. Die Einträge werden nach zwölf Monaten gelöscht.
• Für die Auswertung unserer Werbung und Verweise zählen wir je Tag, über welchen Kanal Besucher kamen (zum Beispiel Suche, Anzeige, LinkedIn) und von welcher Website, gekürzt auf die Herkunftsdomain. Gespeichert werden nur Tag, Kanal bzw. Domain und Anzahl, ohne Cookie, ohne IP-Adresse und ohne Bezug zu einer Person.
• Zum Schutz vor Missbrauch zählt der Server Anfragen je IP-Adresse. Diese Zähler werden spätestens nach zwei Tagen gelöscht.
• Zum Schutz unserer Mail-Domain vor Fälschungen werten wir die DMARC-Sammelberichte der empfangenden Mailanbieter aus. Gespeichert werden je Bericht der meldende Anbieter, der Zeitraum und unsere veröffentlichte Richtlinie sowie die IP-Adressen und Servernamen der Mailserver, die unter d365audit.de gesendet haben, mit Anzahl und Prüfergebnis – keine Inhalte, Betreffs oder Empfängeradressen. Die Daten werden nach 90 Tagen gelöscht (Art. 6 Abs. 1 lit. f DSGVO).
• Lösungsvergleich: Damit Sie eine zweite Version vergleichen und den Vergleich erneut öffnen oder als PDF und Excel herunterladen können, speichern wir zur Analyse für beide Versionen den Namen, die Version und den Herausgeber, die Namen und Beschriftungen ihrer Komponenten und der benötigten fremden Lösungen, deren technische Eigenschaften (zum Beispiel Datentyp, Pflichtfeld, Spalten einer Ansicht, Rechte einer Rolle, Ziele der Navigation, Namen von Skriptfunktionen und Flow-Schritten) und welche Prüfregeln wo angeschlagen haben. Beschreibungen und andere Freitexte nur als Fingerabdruck, Werte in Filtern nur, wenn sie Zahlen oder Ja/Nein sind, sonst ebenfalls als Fingerabdruck. Keinen Code und keine Datensätze. Von der zweiten Version nur die zuletzt verglichene. Das Ergebnis des Vergleichs, PDF und Excel speichern wir nicht, sie entstehen bei jedem Aufruf neu. Alles wird zusammen mit der Analyse gelöscht, die hochgeladenen Dateien direkt nach der Analyse.
• Lösungsvergleich, Nutzung: Für jeden Vergleich speichern wir den Tag, die ungefähre Zahl der Komponenten beider Versionen (nur grobe Größenklassen), wie viel Prozent ihrer Komponenten beide gemeinsam haben (auf Zehner abgerundet), ob der Vergleich auffällig ist und ob die erste Analyse gekauft wurde, ohne Namen, ohne Bezug zur Analyse und ohne Bezug zu Ihrer Person. Damit sehen wir, wie der kostenlose Vergleich genutzt wird (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Gelöscht wird nach 90 Tagen.
• Zahlungsdaten werden ausschließlich von Stripe verarbeitet (Stripe Checkout), nicht von uns.
• E-Mails nach dem Kauf: Ihre Mailadresse nutzen wir für den Versand des Reports. Lassen Sie den vorausgewählten Haken stehen, schicken wir etwa einen Tag vor der Löschung eine Erinnerung (Teil des Vertrags, Art. 6 Abs. 1 lit. b DSGVO). Nur wenn Sie den zweiten Haken selbst setzen, fragen wir Sie einmal nach Ihrer Meinung, etwa zwei Tage nach dem Kauf (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO). Widerrufen können Sie jederzeit über den Link in der Report-Mail oder per Mail an consulting@d365audit.de. Ihre Mailadresse wird zusammen mit dem Report gelöscht. Antworten auf die Feedback-Frage speichern wir zwölf Monate, ohne Ihre Mailadresse und ohne Verknüpfung zu Ihrem Kauf.
• Pipeline-Abo: Kündigen Sie im Kundenportal von Stripe und geben dort einen Grund an, speichern wir den gewählten Grund zusammen mit dem Tag der Kündigung, dem Paket, der Laufzeit in Monaten und der Art des Endes (zum Periodenende oder sofort, durch Sie oder wegen einer fehlgeschlagenen Zahlung), ohne Ihre Mailadresse, ohne Ihren Namen und ohne Verknüpfung zu Ihrem Konto. Einen Kommentar, den Sie dort schreiben, speichern wir nicht, nur dass es einen gab. Damit sehen wir, was wir verbessern sollten (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Gelöscht wird nach zwölf Monaten.
• Pipeline-Abo: Für jeden abgeschlossenen Monat speichern wir, wie viele Überprüfungen Ihres Kontingents genutzt wurden, zusammen mit Monat, Paket, Preis, dem wievielten Monat des Abos, an wie vielen Tagen es in dem Monat lief und ob es in dem Monat endete, ohne Ihre Mailadresse, ohne Ihren Namen und ohne Verknüpfung zu Ihrem Konto. Damit sehen wir, welche Pakete zu unseren Kunden passen (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Gelöscht wird nach 36 Monaten.
• Pipeline-Testzugang: Fordern Sie einen Testzugang an, nutzen wir Ihre Mailadresse, um Ihnen den Link zu schicken. Erst wenn Sie ihn öffnen, legen wir das Testkonto mit Ihrer Mailadresse an; es wird 30 Tage nach der letzten Prüfung gelöscht, spätestens nach 90 Tagen. Damit es je Firma und je Publisher nur einen Test gibt, speichern wir außerdem einen Fingerabdruck der Domain Ihrer Mailadresse und des Publishers der ersten geprüften Lösung, nicht im Klartext und ohne Verknüpfung zu Ihrem Konto (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Gelöscht wird er nach 24 Monaten.
• Kontaktformular-Anfragen (Name, E-Mail, Nachricht) werden per E-Mail an consulting@d365audit.de weitergeleitet.

EU (Region Frankfurt). Hochgeladene Lösungen verlassen den Server in Frankfurt nicht, Reports nur als Ihr Download oder per Mail an Sie. Für die Zahlungsabwicklung über Stripe, die Auslieferung mit Cloudflare und (nur mit Einwilligung) die Analyse mit Google Analytics gelten deren Datenschutzbedingungen.

Die Datenübertragung erfolgt stets verschlüsselt über HTTPS/TLS.

Wir setzen Google Analytics (GA4) mit IP-Anonymisierung sowie Google Ads zur Messung von Werbe-Conversions ein - allerdings ausschließlich, wenn Sie im Cookie-Banner ausdrücklich zustimmen. Lehnen Sie ab oder ignorieren Sie den Banner, wird kein Google-Skript geladen und kein Analyse-Cookie gesetzt. Ein technisch notwendiges Cookie speichert lediglich Ihre Entscheidung. Marketing-Cookies werden nicht eingesetzt.

Beides zusammen ergibt das vollständige Bild – wir ersetzen den Solution Checker nicht, wir beantworten eine andere Frage. Der Checker fragt: „Ist der Code sauber?“ Wir fragen: „Kann ein neues Team diese Lösung übernehmen, warten und migrieren?“

Kurz gesagt: Der Solution Checker prüft die Qualität des Codes. Wir bewerten den Zustand der Lösung als Ganzes – und liefern das Dokument, mit dem Sie darüber entscheiden können.

Apps auf Basis von Microsoft Dataverse (Sales, Customer Service, Field Service, ähnliche Customer-Engagement-Apps und auch Power Apps). Business Central wird nicht abgedeckt, denn es nutzt ein grundlegend anderes Erweiterungsmodell (AL/.app) ohne vergleichbaren Solution-Export.

Das Format des Lösungs-Exports (customizations.xml) ist unabhängig vom Hosting-Modell gleich. Unser Assessment funktioniert in beiden Fällen.

Keine. Siehe oben. Wir verbinden uns nie mit Ihrer Umgebung, sondern verwenden lediglich das Lösungspaket mit Ihren Anpassungen. Ihre sensiblen Kundendaten können niemals zu uns gelangen.

Zu einem Partnerpaket speichern wir die beim Kauf angegebene E-Mail-Adresse, das Paket, die Voucher, das Kaufdatum und den bezahlten Betrag. Das brauchen wir, um die Voucher zu verschicken und erneut zuzustellen, falls eine Mail verloren geht. Zahlungsdaten, Rechnungsanschrift und USt-ID verarbeitet Stripe, das auch die Rechnung ausstellt. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Wer einen Voucher einlöst, lädt hoch und kauft wie jeder andere Kunde; der Partner sieht diese Analyse nie, und wir teilen ihm nicht mit, wer einen Voucher eingelöst hat.

Bestellung und Voucher werden 30 Tage nach Ablauf der Voucher gelöscht, also etwa 25 Monate nach dem Kauf. Rechnungen bleiben für die gesetzliche Aufbewahrungsfrist bei Stripe.

Das Referenzprogramm ist vollständig freiwillig: Sie erhalten den Report kostenlos und erlauben uns im Gegenzug, Ihr Unternehmen als Referenz zu nennen. Mit der Analyse selbst hat es nichts zu tun.

Was gespeichert wird: Firmenname und Anschrift, der Name Ihres Ansprechpartners, die Firmen-Website, die von Ihnen angegebene geschäftliche E-Mail-Adresse und das hochgeladene Logo. Mehr nicht. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Was veröffentlicht wird: ausschließlich Ihr Firmenlogo, verlinkt auf Ihre Website. Niemals Ihr Name, Ihre E-Mail-Adresse oder Inhalte aus Ihrer Analyse.

Warum eine geschäftliche E-Mail-Adresse: Die Adresse muss zur Domain der angegebenen Firmen-Website gehören, und wir schicken einen Bestätigungslink dorthin. So prüfen wir, dass eine Referenz tatsächlich aus dem Unternehmen selbst kommt.

Widerruf: Sie können jederzeit mit einem Klick auf den Link in der Bestätigungsmail widerrufen, ohne Angabe von Gründen und ohne Kontakt zu uns. Wir entfernen das Logo dann von der Website. Der bereits ausgelieferte Report verbleibt bei Ihnen.

Wie lange die Daten gespeichert bleiben: solange die Referenz aktiv ist. Nach einem Widerruf wird die Logo-Datei sofort gelöscht; der verbleibende Eintrag wird nach 90 Tagen anonymisiert, damit wir weiterhin belegen können, dass und wann widerrufen wurde. Archivierte Referenzen anonymisieren wir 90 Tage nach der Archivierung; erhalten bleibt nur die Domain. Eine nie bestätigte Anmeldung wird nach 30 Tagen vollständig gelöscht, samt hochgeladenem Logo.

Das Logo ist bis zur Veröffentlichung auf der Seite nicht öffentlich abrufbar, sondern wird nur intern gespeichert. Nach einem Widerruf werden die Daten gelöscht.

Bitte schicken Sie sie per E-Mail an consulting@d365audit.de, mit den Schritten, mit denen sie sich nachvollziehen lässt.

Bitte keine Tests, die den Betrieb stören oder fremde Daten berühren, und bitte geben Sie uns Zeit zur Behebung, bevor Sie etwas veröffentlichen. Wir bestätigen den Eingang und melden uns, sobald wir die Meldung geprüft haben.

Wir betreiben kein bezahltes Bug-Bounty-Programm. Wir prüfen jede Meldung und nennen auf Wunsch gern, wer eine berechtigte Lücke gefunden hat.

Kontaktangaben zum maschinellen Auslesen: /.well-known/security.txt (RFC 9116)