Datenschutzerklärung / Privacy Policy
Zur deutschen Version | Jump to English Version
Datenschutzerklärung
Stand: 16. Oktober 2026
Diese Datenschutzerklärung wird in deutscher und englischer Sprache bereitgestellt. Bei Auslegungswidersprüchen ist die deutsche Fassung verbindlich.
§ 1 Verantwortlicher
Verantwortlicher im Sinne von Art. 4 Nr. 7 Datenschutz-Grundverordnung (DSGVO) und § 5 Digitale-Dienste-Gesetz (DDG) ist:
Patrick Schlesinger
Parkstraße 19, 80339 München, Deutschland
E-Mail: 1@reportedip.com
§ 2 Datenschutzbeauftragter
Ein Datenschutzbeauftragter ist nach Art. 37 DSGVO sowie § 38 BDSG nicht zwingend zu bestellen. Anfragen zum Datenschutz richten Sie bitte unmittelbar an 1@reportedip.com.
§ 3 Allgemeine Hinweise zur Datenverarbeitung
(1) Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Plattform sowie unserer Inhalte und Leistungen erforderlich ist. Eine Verarbeitung erfolgt regelmäßig nur nach Einwilligung des Nutzers (Art. 6 Abs. 1 lit. a DSGVO), zur Vertragserfüllung (lit. b), zur Erfüllung rechtlicher Verpflichtungen (lit. c) oder auf Grundlage berechtigter Interessen (lit. f).
(2) Personenbezogene Daten werden nur so lange gespeichert, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.
§ 4 Erhebung und Verarbeitung beim Besuch der Website
Beim Aufruf von reportedip.com erfasst unser Hosting-Provider Hetzner automatisch Informationen über
a) IP-Adresse des aufrufenden Geräts,
b) Datum und Uhrzeit des Zugriffs,
c) angefragte URL und HTTP-Status,
d) übertragene Datenmenge,
e) Referrer-URL (sofern vom Browser übertragen),
f) User-Agent-String (sofern vom Browser übertragen).
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse ist der sichere Betrieb der Website, die Abwehr missbräuchlicher Zugriffe (DDoS-Schutz) und die Fehlerdiagnose. Die Daten werden 14 Tage nach dem Zugriff gelöscht oder anonymisiert.
Die Website reportedip.com wird direkt von unserem Server bei Hetzner ausgeliefert. Nur Anfragen an die API-Adresse reportedip.de laufen zusätzlich über den CDN- und DDoS-Schutzdienst Cloudflare, der dabei dieselben Angaben verarbeitet.
§ 5 Registrierung und Account-Verwaltung
(1) Bei der Registrierung erheben wir die folgenden Pflichtangaben: E-Mail-Adresse, gewähltes Passwort (gehasht), Anzeigename. Optional erfasst werden Vor- und Nachname sowie eine Rechnungsadresse, soweit der Nutzer ein kostenpflichtiges Tier abschließt.
(2) Die Registrierung erfolgt im Double-Opt-In-Verfahren: Nach Absenden des Formulars erhalten Sie eine Bestätigungs-E-Mail. Erst durch Klick auf den Bestätigungslink wird der Account aktiviert.
(3) Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung und Vertragserfüllung).
(4) Die Registrierungsdaten werden bis zur Löschung des Accounts gespeichert. Auf Wunsch des Nutzers wird der Account vollständig gelöscht; nicht von der Löschung betroffen sind Daten, die wir aufgrund gesetzlicher Pflichten (insbesondere § 147 AO, § 257 HGB — 10-jährige steuerrechtliche Aufbewahrung von Rechnungen) weiterhin vorhalten müssen.
§ 6 Bezahlung über Stripe
(1) Zahlungen für Subscriptions und Bundle-Käufe werden über Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland abgewickelt. Stripe ist im Europäischen Wirtschaftsraum lizenziertes Zahlungsinstitut.
(2) Im Rahmen des Stripe-Checkouts werden folgende Daten an Stripe übermittelt: Name, E-Mail-Adresse, Rechnungsadresse, ggf. USt-IdNr (B2B), Zahlungsmittel-Daten (Kreditkarte, SEPA-Mandat). Stripe ist eigenständig Verantwortlicher für diese Daten.
(3) Wir empfangen von Stripe pseudonymisierte Bestätigungsdaten (Customer-ID, Subscription-ID, Rechnungs- und Steuerinformationen). Vollständige Karten- oder Kontodaten werden von uns weder gespeichert noch verarbeitet.
(4) Mit Stripe besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Stripe-Datenschutzerklärung: https://stripe.com/de/privacy.
(5) Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
§ 7 Nutzung der REST-API und IP-Reports
(1) Bei Nutzung der REST-API protokollieren wir den verwendeten API-Schlüssel, den Zeitstempel des Aufrufs sowie den angefragten Endpoint zur Erfüllung der Tier-bezogenen Tageskontingente und zur Missbrauchs-Detektion (Art. 6 Abs. 1 lit. b und f DSGVO). API-Logs werden 90 Tage gespeichert.
(2) Bei einem IP-Report werden die gemeldete IP-Adresse, die gewählte Bedrohungskategorie, der Zeitstempel und (optional) ein Kommentar gespeichert. Bei der Verarbeitung gemeldeter IP-Adressen handelt es sich um eine Verarbeitung personenbezogener Daten Dritter im Sinne des EuGH-Urteils Breyer (C-582/14).
(3) Rechtsgrundlage für die Verarbeitung gemeldeter IP-Adressen ist Art. 6 Abs. 1 lit. f DSGVO. Berechtigte Interessen sind der Aufbau einer kollektiven Bedrohungserkennung, die Abwehr von Angriffen, die Aufklärung von Sicherheitsvorfällen und die Bereitstellung der dynamischen Blacklist für die Community. Eine Identifizierung des Inhabers der gemeldeten IP-Adresse durch uns findet nicht statt; eine Re-Identifizierung wäre nur mit dem unverhältnismäßigen Aufwand der Anrufung der zuständigen Telekommunikations-Dienstleister möglich, den wir nicht unternehmen.
(4) Reputationsdaten zu gemeldeten IP-Adressen werden in pseudonymisierter Form dauerhaft in der Sicherheitsdatenbank gespeichert; ältere Reports werden nach 12 Monaten anonymisiert (Hash-Trimming, Entfernung des konkreten Reporter-Bezugs).
§ 7a Kostenlose Online-Tools
(1) Bei Nutzung unserer kostenlosen Tools (etwa DNS Checker, DNSBL Checker oder E-Mail-Security-Check) verarbeiten wir die eingegebene Domain, IP-Adresse oder AS-Nummer, um die Abfrage auszuführen. Ergebnisse des DNS Checkers werden 90 Sekunden zwischengespeichert.
(2) Zu jeder Abfrage speichern wir die Eingabe, das Ergebnis und die IP-Adresse des aufrufenden Geräts zur Missbrauchsabwehr. Diese Einträge werden nach 30 Tagen gelöscht. Für die tägliche Abfragegrenze zählen wir die Abfragen je Besucher; der Zähler verfällt nach einem Tag.
(3) Für die Nutzungsstatistik speichern wir zu jeder Abfrage zusätzlich das Tool, die Eingabe, das Ergebnis (erfolgreich, Fehler, Limit erreicht), die Dauer sowie einen pseudonymen Hashwert der IP-Adresse, bei angemeldeten Nutzern der User-ID. Die IP-Adresse selbst wird in dieser Statistik nicht gespeichert. Diese Einträge werden nach einem Jahr gelöscht. Die Seite „What the Internet Knows About You“ speichert keine Eingabe.
(4) Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse ist die Abwehr von Missbrauch und die statistische Auswertung der Nutzung.
§ 8 Honeypot-Tier und automatisierte Reports
Honeypot-Operatoren übermitteln IP-Reports automatisiert. Diese Reports unterliegen denselben Rechtsgrundlagen und Aufbewahrungsfristen wie manuelle Reports nach § 7. Honeypot-Reports erhalten in der Confidence-Score-Berechnung ein erhöhtes Gewicht, weil sie aus speziell präparierten Systemen stammen, die keinen legitimen Verkehr empfangen.
§ 9 Hive-Plugin (Community Network)
(1) Wenn Site-Betreiber das Open-Source-Plugin reportedIP Hive im Modus „Community Network” auf eigenen WordPress-Sites einsetzen, übermittelt das Plugin folgende Daten an unsere REST-API:
a) IP-Adresse eines Angreifers,
b) Bedrohungskategorie,
c) Zeitstempel,
d) optional: Kommentar / Vorfallsbeschreibung,
e) API-Schlüssel des Site-Betreibers (im HTTP-Header X-Key).
(2) Im Modus „Local Shield” findet keine Datenübertragung an reportedip.com statt.
(3) Bei Nutzung der Mail- und SMS-Relay-Funktion (ab Tier Professional) werden zusätzlich übertragen:
a) Mail-Relay: Empfänger-E-Mail-Adresse, Betreff, Body-Text, Site-URL, optional Reply-To-Adresse,
b) SMS-Relay: Empfänger-Telefonnummer (im E.164-Format; der Versand erfolgt grundsätzlich weltweit, der Anbieter behält sich Einschränkungen für einzelne Länder vor (siehe Nutzungsbedingungen § 9)), Template-Code (z. B. 2fa_login), Template-Variablen (sechs- bis achtstelliger Code, Gültigkeitsdauer, Sprache), Site-URL.
(4) Beim Einsatz der Relay-Funktion sind wir Auftragsverarbeiter im Sinne des Art. 28 DSGVO; Verantwortlicher bleibt der Site-Betreiber. Ein Auftragsverarbeitungsvertrag wird im Customer Portal als PDF zum Download bereitgestellt. (5) Installationskennung (Domain-Telemetrie): Im Modus „Community Network“ übermittelt das Plugin mit jeder API-Anfrage zusätzlich Angaben zur Installation des Site-Betreibers selbst — die Website-Adresse (Site-URL) sowie die eingesetzte Plugin- und WordPress-Version (im User-Agent und im HTTP-Header X-Rip-Site). Wir speichern je API-Schlüssel die gemeldeten Domains mit Erst- und Letztkontakt sowie den Versionsständen, um die im jeweiligen Tarif enthaltene Domain-Anzahl abzubilden, Missbrauch zu verhindern und Support leisten zu können (Art. 6 Abs. 1 lit. b DSGVO). Diese Angaben betreffen die Installation des Site-Betreibers, nicht dessen Besucher. Einträge zu Domains, die sich 60 Tage nicht melden, geben ihren Lizenz-Slot automatisch frei; sämtliche Registry-Einträge werden bei Löschung des zugehörigen Accounts entfernt.
(6) Update-Prüfung: Das kostenlose Plugin reportedIP Hive wird über das Plugin-Verzeichnis von WordPress.org verteilt. Die Suche nach Updates und deren Installation führt WordPress selbst gegenüber WordPress.org durch; wir erhalten dabei keine Daten. Das kostenpflichtige Add-on ReportedIP Hive Pro fragt etwa alle 12 Stunden bei reportedip.com nach Updates. Dabei werden der API-Schlüssel des Site-Betreibers (Community Access Key, im HTTP-Header X-Key), die installierte Version des Add-ons, die PHP- und WordPress-Version, die Spracheinstellung, die Website-Adresse (im User-Agent) sowie die IP-Adresse des Servers übertragen. Wir nutzen diese Angaben, um die Berechtigung für den Download zu prüfen und das passende Update bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO).
§ 9a ReportedIP Agent (Server-Agent)
(1) Der ReportedIP Agent ist ein Programm, das Kunden auf ihren eigenen Linux-Servern installieren und betreiben. Das Auswerten der Logdateien, das Erkennen von Angriffen und das Blocken finden ausschließlich auf dem Server des Kunden statt. Logdateien, einzelne Logzeilen, Anfrageinhalte, aufgerufene URLs, Benutzernamen und die User-Agents angreifender Systeme werden nicht an reportedip.com übertragen.
(2) Mit jeder Anfrage an unsere REST-API übermittelt der Agent:
a) den API-Schlüssel des Kunden (HTTP-Header X-Key),
b) Name und Version des Programms (User-Agent, etwa reportedip-agent/0.3.9),
c) eine Installationskennung (HTTP-Header X-Rip-Host). Das ist eine bei der Einrichtung erzeugte Zufallskennung im Format UUID Version 4. Sie wird aus Zufallszahlen gebildet, in einer Datei auf dem Server des Kunden abgelegt und enthält keine Angaben zur Hardware, zur Netzadresse oder zum Namen des Servers,
d) ab Version 0.3.9 den Hostnamen des Servers (HTTP-Header X-Rip-Hostname), gefiltert auf die Zeichen A-Za-z0-9._- und gekürzt auf 191 Zeichen,
e) ab Version 0.3.9 ein Zugriffstoken für den Abruf der Blacklist (HTTP-Header X-Rip-Token), das an die Installationskennung gebunden ist.
Hostname und Zugriffstoken werden ausschließlich zusammen mit der Installationskennung gesendet, nie ohne sie. Die Prüfung auf neue Programmversionen überträgt lediglich den API-Schlüssel und die eigene Versionsnummer, weder Installationskennung noch Hostnamen.
(3) Meldet der Agent eine Adresse, so enthält der Report die gemeldete IP-Adresse, die Kennungen der ausgewählten Bedrohungskategorien und einen kurzen Satz, den der Agent aus einer festen Vorlage bildet (etwa sshd: 6 failed logins in 10 min). Bei den optionalen Quellen fail2ban und Imunify360 enthält dieser Satz zusätzlich den Namen des auslösenden Jails beziehungsweise der auslösenden Regel. Dieser Name stammt aus der Logzeile der jeweiligen Software; er wird auf Buchstaben, Ziffern, Punkt, Bindestrich und Unterstrich gefiltert und auf 32 Zeichen begrenzt. Weitere Inhalte aus Logzeilen werden nicht übertragen. Für die Verarbeitung der gemeldeten IP-Adresse selbst gilt § 7.
(4) Zu jedem Agenten führen wir einen Eintrag in einer Server-Registry. Gespeichert werden: das Kundenkonto, die Kennung des verwendeten API-Schlüssels, die Installationskennung, eine vom Kunden frei wählbare Bezeichnung (höchstens 64 Zeichen), der gemeldete Hostname, die Version des Agenten, Zeitpunkt des ersten und des letzten Kontakts, der Status des Eintrags, der Lizenzzustand mit dem Zeitpunkt der Lizenzzuteilung, der Zeitpunkt einer Freigabe samt auslösender Stelle, der Zeitpunkt, zu dem wir den Kontoinhaber zuletzt über das Ausbleiben dieses Agenten benachrichtigt haben, sowie ein Prüfwert (SHA-256) des Zugriffstokens. Das Zugriffstoken selbst wird nicht im Klartext gespeichert.
(5) Zweck dieser Speicherung ist es, die im jeweiligen Tarif enthaltene Anzahl von Serverlizenzen abzubilden, Missbrauch zu verhindern und Support leisten zu können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, hinsichtlich der Missbrauchsvermeidung Art. 6 Abs. 1 lit. f DSGVO. Die Angaben betreffen die Installation des Kunden, nicht dessen Besucher oder Nutzer.
(6) Der Hostname ist eine reine Anzeigeinformation, damit der Kunde seine Server in der Übersicht wiedererkennt, statt Zufallskennungen vergleichen zu müssen. Identität eines Servers ist allein die Installationskennung: das Umbenennen einer Maschine verschiebt keine Lizenz. Bis einschließlich Version 0.3.8 hat der Agent den Hostnamen nicht übertragen, ab Version 0.3.9 überträgt er ihn.
(7) Meldet sich ein Agent 60 Tage nicht, gibt sein Eintrag den Lizenz-Slot automatisch frei; dabei werden der Lizenzzustand zurückgesetzt und der Prüfwert des Zugriffstokens gelöscht. Der Kunde kann jeden Server im Customer Portal umbenennen. Er kann ihn außerdem ersetzen oder freigeben; beides gibt den Lizenz-Slot mit derselben Wirkung frei. Der Registry-Eintrag selbst bleibt danach als Verlaufseintrag mit Installationskennung, Bezeichnung, Hostnamen und Kontaktzeitpunkten bestehen; für seine Löschung gilt § 14. Freigabe, Ersetzung und Wiederaktivierung eines Eintrags halten wir mit Zeitpunkt, Installationskennung und auslösender Stelle im Audit-Log fest (Aufbewahrung nach § 13).
(8) Hört ein Agent auf, sich zu melden, benachrichtigen wir den Kontoinhaber per E-Mail. Die Nachricht nennt die betroffenen Server mit der vom Kunden gesetzten Bezeichnung, andernfalls mit dem gemeldeten Hostnamen und, wenn beides fehlt, mit den ersten acht Zeichen der Installationskennung. Die vollständige Installationskennung steht in keiner dieser E-Mails. Meldet sich ein Server wieder, folgt eine Entwarnung.
(9) Bestimmte Adressen meldet und blockt der Agent nie: private Adressbereiche nach RFC 1918, Loopback- und Link-Local-Adressen, weitere reservierte Bereiche, die eigenen Adressen aller Netzwerkschnittstellen des Servers und dessen Standard-Gateways, die IP-Adresse der SSH-Sitzung, aus der die Installation ausgeführt wurde, sowie alle Adressen, die der Kunde in seine Whitelist einträgt. Diese Prüfung läuft auf dem Server des Kunden und wird unmittelbar vor dem Absenden eines Reports wiederholt.
(10) Die API-Aufrufe des Agenten protokollieren wir wie alle anderen API-Aufrufe (§ 7 Abs. 1).
§ 10 Subprozessoren / Sub-Auftragsverarbeiter
Wir bedienen uns folgender Subprozessoren:
| Anbieter | Sitz | Zweck | Datenkategorien |
|---|---|---|---|
| Stripe Payments Europe Ltd. | Irland | Zahlungen, Rechnungen, Steuern, Customer Portal | Name, E-Mail, Adresse, USt-IdNr, Zahlungsdaten |
| Avernis (api.avernis.com) | Deutschland | SMS-Versand (im Auftrag des Site-Betreibers via Relay) | Telefonnummer, Template-Inhalt |
| sevDesk GmbH | Deutschland | Buchhaltung, Rechnungs-Synchronisation | Rechnungs- und Belegdaten |
| Hetzner Online GmbH | Deutschland | Hosting, E-Mail-Versand über eigene Mailserver | Server-Logs (IP, Zeit, URL), E-Mails (Empfänger, Betreff, Body) |
| Cloudflare, Inc. | USA / Deutschland (EU-Edge) | CDN, DDoS-Schutz der API-Adresse reportedip.de | IP, User-Agent, HTTP-Header |
| GitHub, Inc. (Microsoft) | USA | Quellcode-Spiegel des Plugins; Update-Auslieferung nur für Plugin-Versionen vor 3.0.0 | Anonyme Update-Anfragen dieser Plugin-Versionen |
| MaxMind, Inc. | USA (lokale GeoLite2-Datenbank) | IP-Geolokalisierung — kein Datentransfer pro Lookup, Daten verlassen die EU nicht | – |
| Anthropic PBC (optional, nur bei aktivem Support-AI-Tool) | USA | Support-Chatbot (sofern aktiviert; Standard: deaktiviert) | Chat-Texte |
Mit jedem Subprozessor besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Die jeweiligen Auftragsverarbeitungsverträge können auf Anfrage zur Verfügung gestellt werden.
E-Mails (etwa zur Registrierung, Benachrichtigungen und Mail-Relay) versenden wir über eigene Mailserver in Deutschland. Ein externer E-Mail-Dienstleister ist nicht eingebunden.
§ 11 Drittlandtransfer
(1) Die meisten unserer Subprozessoren haben ihren Sitz im Europäischen Wirtschaftsraum (EWR). Bei Cloudflare, GitHub, MaxMind und Anthropic findet ein Datentransfer in die USA statt.
(2) Für diese Transfers stützen wir uns auf
a) den EU-US Data Privacy Framework (DPF), soweit der jeweilige Anbieter zertifiziert ist,
b) hilfsweise auf die Standardvertragsklauseln der EU-Kommission (Beschluss 2021/914) ergänzt um zusätzliche technische und organisatorische Maßnahmen,
c) Cloudflare leitet Anfragen aus Europa über EU-Edge-Knoten ab; eine Verarbeitung in den USA erfolgt nur in Ausnahmefällen.
(3) Eine MaxMind-Drittlandübermittlung pro IP-Lookup erfolgt nicht — wir nutzen die GeoLite2-Datenbank ausschließlich lokal auf unseren EU-Servern.
§ 12 Cookies
(1) Wir setzen nur Cookies ein, die für die Anmeldung und für von Ihnen gewählte Einstellungen erforderlich sind:
a) Anmelde-Cookies von WordPress (wordpress_logged_in_*, wordpress_sec_*) für den Kundenbereich, gültig für die Dauer der Sitzung, bei dauerhafter Anmeldung bis zu 14 Tage,
b) pll_language für die gewählte Sprache (1 Jahr),
c) us_color_scheme_switch_is_on für das gewählte Farbschema, nur wenn Sie den Umschalter nutzen (30 Tage).
Für diese Cookies ist nach § 25 Abs. 2 TDDDG keine Einwilligung erforderlich; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
(2) Beim Aufruf über einen Empfehlungslink setzen wir zusätzlich das Cookie rip_ref (60 Tage). Einzelheiten stehen im Abschnitt Empfehlungs- und Partnerprogramm.
(3) Cookies oder vergleichbare Techniken für Statistik, Reichweitenmessung oder Marketing setzen wir nicht ein.
§ 13 Aufbewahrungsfristen
| Datenkategorie | Aufbewahrung |
|---|---|
| Server-Logs (Hetzner / Cloudflare) | 14 Tage |
| API-Logs | 90 Tage |
| Abfragen der kostenlosen Tools mit IP-Adresse | 30 Tage |
| Nutzungsstatistik der kostenlosen Tools (pseudonymisiert) | 1 Jahr |
| Stripe-Event-Log (Webhook-Payloads) | 90 Tage |
| Audit-Log (Plugin-Aktionen) | 365 Tage |
| Mail- und SMS-Relay-Logs | 30 Tage |
| Mail- und SMS-Relay-Queue | 90 Tage |
| Account-Daten | bis Account-Löschung |
| Rechnungen (UStG / AO) | 10 Jahre |
| Reputationsdaten gemeldeter IPs | dauerhaft pseudonymisiert (12 Monate Reporter-Bezug, danach anonymisiert) |
| Trusted-Device-Tokens (2FA) | 30 Tage ab letzter Nutzung |
| Server-Registry (Agent-Installationen) | Lizenz-Slot nach 60 Tagen ohne Kontakt automatisch frei; Eintrag bleibt als Verlaufseintrag (§ 9a Abs. 7) |
§ 14 Betroffenenrechte
(1) Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:
a) Recht auf Auskunft (Art. 15 DSGVO),
b) Recht auf Berichtigung (Art. 16 DSGVO),
c) Recht auf Löschung (Art. 17 DSGVO),
d) Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO),
e) Recht auf Datenübertragbarkeit (Art. 20 DSGVO),
f) Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO),
g) Recht auf Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO).
(2) Auskunfts- und Löschungsanfragen können Sie über das Dashboard (/dashboard/, Reiter „Account”) als Self-Service auslösen oder formlos per E-Mail an 1@reportedip.com richten. Wir beantworten Anfragen unverzüglich, spätestens binnen eines Monats nach Eingang.
(3) Beschwerderecht. Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten durch uns zu beschweren. Zuständig für uns ist:
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach, Deutschland
Telefon: +49 981 180093-0
E-Mail: poststelle@lda.bayern.de
Web: https://www.lda.bayern.de
§ 15 Sicherheit der Verarbeitung
Wir treffen geeignete technische und organisatorische Maßnahmen (TOM) im Sinne des Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Hierzu gehören insbesondere:
a) Verschlüsselung der Übertragung (TLS 1.2+ / HTTPS), Verschlüsselung sensibler Datenfelder bei der Speicherung,
b) Zugriffskontrolle durch Rollen- und Rechte-Management, Hash-basierte Passwortspeicherung (bcrypt),
c) Zwei-Faktor-Authentifizierung für Admin-Konten,
d) Backups mit verschlüsselter Off-Site-Replikation,
e) Logging sicherheitsrelevanter Ereignisse, regelmäßige Auswertung,
f) Trennung von Produktiv-, Staging- und Entwicklungsumgebungen,
g) Subprozessor-Audits nach Art. 28 Abs. 3 lit. h DSGVO.
Eine ausführliche Liste der TOM stellen wir Subscription-Inhabern auf Anfrage zur Verfügung.
§ 16 Änderungen dieser Datenschutzerklärung
Diese Datenschutzerklärung wird aktualisiert, wenn sich die Verarbeitungstätigkeit oder rechtliche Vorgaben ändern. Substanzielle Änderungen kündigen wir Subscription-Inhabern per E-Mail an. Die jeweils aktuelle Fassung ist auf dieser Seite abrufbar.
Hinweise und Kontakt
Verantwortlicher: Patrick Schlesinger, Parkstraße 19, 80339 München, Deutschland
E-Mail: 1@reportedip.com
Aufsichtsbehörde: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach
Diese Fassung gilt seit: 16. Oktober 2026
Privacy Policy
Effective: 16 October 2026
This Privacy Policy is provided in German and English. In the event of conflicting interpretations, the German version shall prevail.
§ 1 Controller
The controller within the meaning of Art. 4 No. 7 of the General Data Protection Regulation (GDPR) and § 5 of the German Digital Services Act (DDG) is:
Patrick Schlesinger
Parkstraße 19, 80339 Munich, Germany
Email: 1@reportedip.com
§ 2 Data Protection Officer
The appointment of a data protection officer is not mandatory under Art. 37 GDPR or § 38 BDSG. Please send data protection enquiries directly to 1@reportedip.com.
§ 3 General Information on Data Processing
(1) We process personal data only insofar as this is necessary for providing a functional platform as well as our content and services. Processing typically takes place on the basis of consent of the user (Art. 6 (1) (a) GDPR), for performance of a contract (b), to comply with legal obligations (c), or on the basis of legitimate interests (f).
(2) Personal data is stored only for as long as it is necessary for the relevant purposes or for as long as legal retention obligations apply.
§ 4 Collection on Visit of the Website
When you access reportedip.com, our hosting provider Hetzner automatically collects:
a) IP address of the requesting device,
b) date and time of access,
c) requested URL and HTTP status,
d) volume of data transferred,
e) referrer URL (if transmitted by the browser),
f) user-agent string (if transmitted by the browser).
The legal basis is Art. 6 (1) (f) GDPR; the legitimate interest is the secure operation of the website, defence against abusive access (DDoS protection), and error diagnosis. The data is deleted or anonymised 14 days after access.
The website reportedip.com is served directly from our server at Hetzner. Only requests to the API address reportedip.de additionally pass through the CDN and DDoS protection service Cloudflare, which processes the same information.
§ 5 Registration and Account Management
(1) On registration, we collect the following mandatory information: email address, chosen password (hashed), display name. Optionally, first and last name as well as a billing address are collected if the user concludes a paid tier.
(2) Registration takes place via double opt-in: after submitting the form, you receive a confirmation email; the account is activated only by clicking the confirmation link.
(3) The legal basis is Art. 6 (1) (b) GDPR (pre-contractual measures and performance of contract).
(4) Registration data is stored until deletion of the account. On request, the account is deleted in full; data we are required to retain under statutory obligations (in particular § 147 of the German Tax Code (AO) and § 257 of the German Commercial Code (HGB) — 10-year retention of invoices) is excluded from deletion.
§ 6 Payment via Stripe
(1) Payments for subscriptions and bundle purchases are processed through Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Ireland. Stripe is a payment institution licensed in the European Economic Area.
(2) Within the Stripe checkout, the following data is transmitted to Stripe: name, email, billing address, VAT-ID where applicable (B2B), payment-method data (credit card, SEPA mandate). Stripe is an independent controller for this data.
(3) We receive pseudonymised confirmation data from Stripe (customer ID, subscription ID, invoice and tax information). Full card or bank account data is neither stored nor processed by us.
(4) A data processing agreement under Art. 28 GDPR is in place with Stripe. Stripe Privacy Policy: https://stripe.com/privacy.
(5) The legal basis is Art. 6 (1) (b) GDPR (performance of contract).
§ 7 Use of the REST API and IP Reports
(1) When using the REST API, we log the API key used, the timestamp of the call, and the requested endpoint to enforce tier-related daily quotas and detect abuse (Art. 6 (1) (b) and (f) GDPR). API logs are retained for 90 days.
(2) On an IP report, we store the reported IP address, the chosen threat category, the timestamp, and (optionally) a comment. Processing of reported IP addresses constitutes processing of personal data of third parties within the meaning of the CJEU Breyer judgment (C-582/14).
(3) The legal basis for processing reported IP addresses is Art. 6 (1) (f) GDPR. Legitimate interests are the establishment of collective threat intelligence, defence against attacks, investigation of security incidents, and the provision of the dynamic blocklist for the community. We do not identify the holder of the reported IP address; re-identification would only be possible with the disproportionate effort of contacting the relevant telecommunications providers, which we do not undertake.
(4) Reputation data on reported IP addresses is stored permanently in the security database in pseudonymised form; older reports are anonymised after 12 months (hash trimming, removal of the concrete reporter reference).
§ 7a Free Online Tools
(1) When you use our free tools (such as DNS Checker, DNSBL Checker or Email Security Check), we process the domain, IP address or AS number you enter in order to run the query. DNS Checker results are cached for 90 seconds.
(2) For each query we store the input, the result and the IP address of the requesting device to prevent abuse. These entries are deleted after 30 days. To enforce the daily query limit we count queries per visitor; the counter expires after one day.
(3) For usage statistics we additionally store, per query, the tool, the input, the outcome (success, error, limit reached), the duration and a pseudonymous hash of the IP address, or of the user ID for logged-in users. The IP address itself is not stored in these statistics. These entries are deleted after one year. The page “What the Internet Knows About You” stores no input.
(4) The legal basis is Art. 6 (1) (f) GDPR; the legitimate interest is defence against abuse and the statistical evaluation of usage.
§ 8 Honeypot Tier and Automated Reports
Honeypot operators submit IP reports automatically. These reports are subject to the same legal bases and retention periods as manual reports under § 7. Honeypot reports receive an increased weight in the confidence-score calculation because they originate from specially prepared systems that do not receive legitimate traffic.
§ 9 Hive Plugin (Community Network)
(1) When site operators deploy the open-source plugin reportedIP Hive in “Community Network” mode on their own WordPress sites, the plugin transmits the following data to our REST API:
a) IP address of an attacker,
b) threat category,
c) timestamp,
d) optional: comment / incident description,
e) API key of the site operator (in HTTP header X-Key).
(2) In “Local Shield” mode, no data is transmitted to reportedip.com.
(3) When using the mail and SMS relay function (from Professional tier), additionally transmitted are:
a) Mail relay: recipient email, subject, body text, site URL, optionally reply-to address,
b) SMS relay: recipient phone number (in E.164 format; dispatch is generally worldwide, the Provider reserves the right to restrict individual countries (see Terms of Use § 9)), template code (e.g. 2fa_login), template variables (six- to eight-digit code, validity, language), site URL.
(4) When using the relay function, we are a processor within the meaning of Art. 28 GDPR; the controller remains the site operator. A data processing agreement is provided in the customer portal as a PDF download. (5) Installation identity (domain telemetry): In “Community Network” mode the plugin additionally transmits, with every API request, information about the site operator’s installation itself — the website address (site URL) plus the plugin and WordPress version in use (in the User-Agent and the X-Rip-Site HTTP header). Per API key we store the reported domains with first and last contact and version levels in order to reflect the number of domains included in the respective plan, to prevent abuse and to provide support (Art. 6(1)(b) GDPR). This information concerns the site operator’s installation identity (domain telemetry), not their visitors. Entries for domains that have not reported for 60 days release their licence slot automatically; all registry entries are removed when the associated account is deleted.
(6) Update checks: The free plugin reportedIP Hive is distributed through the WordPress.org plugin directory. WordPress itself checks WordPress.org for updates and installs them; we receive no data in the process. The paid add-on ReportedIP Hive Pro checks reportedip.com for updates approximately every 12 hours. In doing so, the site operator’s API key (Community Access Key, in the HTTP header X-Key), the installed version of the add-on, the PHP and WordPress version, the language setting, the website address (in the user agent) and the IP address of the server are transmitted. We use this information to verify the entitlement to the download and to provide the matching update (Art. 6 (1) (b) GDPR).
§ 9a ReportedIP Agent (Server Agent)
(1) The ReportedIP Agent is a program that customers install and run on their own Linux servers. Reading the log files, detecting attacks and blocking all happen on the customer’s server only. Log files, individual log lines, request bodies, requested URLs, user names and the user agents of attacking systems are not transmitted to reportedip.com.
(2) With every request to our REST API, the agent transmits:
a) the customer’s API key (HTTP header X-Key),
b) the name and version of the program (User-Agent, e.g. reportedip-agent/0.3.9),
c) an install identifier (HTTP header X-Rip-Host). This is a random identifier in UUID version 4 format, generated during setup. It is derived from random numbers, kept in a file on the customer’s server, and contains no information about the hardware, the network address or the name of the server,
d) from version 0.3.9, the hostname of the server (HTTP header X-Rip-Hostname), filtered to the characters A-Za-z0-9._- and truncated to 191 characters,
e) from version 0.3.9, an access token for retrieving the blocklist (HTTP header X-Rip-Token), bound to the install identifier.
The hostname and the access token are sent together with the install identifier only, never without it. The check for new program versions transmits the API key and the agent’s own version number only, neither the install identifier nor the hostname.
(3) When the agent reports an address, the report contains the reported IP address, the identifiers of the selected threat categories, and a short sentence the agent builds from a fixed template (for example sshd: 6 failed logins in 10 min). For the optional sources fail2ban and Imunify360, that sentence additionally contains the name of the triggering jail or rule. This name originates from the log line of the respective software; it is filtered to letters, digits, dot, hyphen and underscore and limited to 32 characters. No further content from log lines is transmitted. § 7 applies to the processing of the reported IP address itself.
(4) We keep one registry entry per agent. Stored are: the customer account, the identifier of the API key used, the install identifier, a label freely chosen by the customer (at most 64 characters), the reported hostname, the agent version, the time of first and last contact, the status of the entry, the licence state together with the time the licence was assigned, the time of a release together with the party that triggered it, the time at which we last notified the account holder that this agent had gone silent, and a hash (SHA-256) of the access token. The access token itself is not stored in clear text.
(5) The purpose of this storage is to reflect the number of server licences included in the respective plan, to prevent abuse and to provide support. The legal basis is Art. 6 (1) (b) GDPR, and Art. 6 (1) (f) GDPR as regards the prevention of abuse. This information concerns the customer’s installation, not their visitors or users.
(6) The hostname is display information only, so that customers recognise their servers in the list instead of comparing random identifiers. The identity of a server is the install identifier and nothing else: renaming a machine moves no licence. Up to and including version 0.3.8 the agent did not transmit the hostname; from version 0.3.9 it does.
(7) If an agent does not report for 60 days, its entry releases the licence slot automatically; the licence state is reset and the hash of the access token is deleted. Customers can rename any server in the customer portal. They can also replace or release it; both free the licence slot with the same effect. The registry entry itself remains afterwards as a history entry holding the install identifier, the label, the hostname and the contact timestamps; § 14 applies to its erasure. Release, replacement and reactivation of an entry are recorded in the audit log with timestamp, install identifier and the party that triggered it (retention under § 13).
(8) If an agent stops reporting, we notify the account holder by email. That message names the affected servers by the label the customer set, otherwise by the reported hostname and, where neither exists, by the first eight characters of the install identifier. The full install identifier appears in none of these emails. Once a server reports in again, an all-clear message follows.
(9) Certain addresses are never reported and never blocked by the agent: private address ranges under RFC 1918, loopback and link-local addresses, further reserved ranges, the server’s own addresses on all network interfaces and its default gateways, the IP address of the SSH session from which the installation was carried out, and every address the customer puts on their whitelist. This check runs on the customer’s server and is repeated immediately before a report is sent.
(10) API calls made by the agent are logged like all other API calls (§ 7 (1)).
§ 10 Subprocessors
We engage the following subprocessors:
| Provider | Location | Purpose | Data categories |
|---|---|---|---|
| Stripe Payments Europe Ltd. | Ireland | payments, invoices, tax, customer portal | name, email, address, VAT-ID, payment data |
| Avernis (api.avernis.com) | Germany | SMS dispatch (on behalf of site operator via relay) | phone number, template content |
| sevDesk GmbH | Germany | accounting, invoice synchronisation | invoice and document data |
| Hetzner Online GmbH | Germany | hosting, email dispatch via our own mail servers | server logs (IP, time, URL), emails (recipient, subject, body) |
| Cloudflare, Inc. | USA / Germany (EU edge) | CDN, DDoS protection of the API address reportedip.de | IP, user agent, HTTP headers |
| GitHub, Inc. (Microsoft) | USA | source code mirror of the plugin; update delivery only for plugin versions before 3.0.0 | anonymous update requests from these plugin versions |
| MaxMind, Inc. | USA (locally licensed GeoLite2 database) | IP geolocation — no per-lookup data transfer, data does not leave the EU | – |
| Anthropic PBC (optional, only with active support-AI tool) | USA | support chatbot (if enabled; default: disabled) | chat texts |
A data processing agreement under Art. 28 GDPR is in place with each subprocessor. The respective data processing agreements can be made available on request.
Emails (for example for registration, notifications and the mail relay) are sent via our own mail servers in Germany. No external email service provider is involved.
§ 11 Third-Country Transfer
(1) Most of our subprocessors are located within the European Economic Area (EEA). Data transfers to the USA take place with Cloudflare, GitHub, MaxMind, and Anthropic.
(2) For these transfers, we rely on
a) the EU-US Data Privacy Framework (DPF) where the relevant provider is certified,
b) supplementarily on the Standard Contractual Clauses of the EU Commission (Decision 2021/914) supplemented by additional technical and organisational measures,
c) Cloudflare routes requests originating from Europe via EU edge nodes; processing in the USA only takes place in exceptional cases.
(3) MaxMind third-country transfers per IP lookup do not occur — we use the GeoLite2 database exclusively locally on our EU servers.
§ 12 Cookies
(1) We only use cookies that are required for login and for settings you choose:
a) WordPress login cookies (wordpress_logged_in_*, wordpress_sec_*) for the customer area, valid for the session, or up to 14 days if you stay logged in,
b) pll_language for the selected language (1 year),
c) us_color_scheme_switch_is_on for the selected colour scheme, only if you use the switch (30 days).
For these cookies, no consent is required pursuant to § 25 (2) TDDDG; the legal basis is Art. 6 (1) (f) GDPR.
(2) When you arrive via a referral link, we additionally set the cookie rip_ref (60 days). Details are given in the section Referral and Partner Programme.
(3) We do not use cookies or similar technologies for statistics, audience measurement or marketing.
§ 13 Retention Periods
| Data category | Retention |
|---|---|
| Server logs (Hetzner / Cloudflare) | 14 days |
| API logs | 90 days |
| Free tool queries with IP address | 30 days |
| Free tool usage statistics (pseudonymised) | 1 year |
| Stripe event log (webhook payloads) | 90 days |
| Audit log (plugin actions) | 365 days |
| Mail and SMS relay logs | 30 days |
| Mail and SMS relay queue | 90 days |
| Account data | until account deletion |
| Invoices (UStG / AO) | 10 years |
| Reputation data on reported IPs | permanently pseudonymised (12 months reporter reference, then anonymised) |
| Trusted-device tokens (2FA) | 30 days from last use |
| Server registry (agent installations) | licence slot released automatically after 60 days without contact; entry remains as a history entry (§ 9a (7)) |
§ 14 Data Subject Rights
(1) You have the following rights against us regarding personal data concerning you:
a) right of access (Art. 15 GDPR),
b) right to rectification (Art. 16 GDPR),
c) right to erasure (Art. 17 GDPR),
d) right to restriction of processing (Art. 18 GDPR),
e) right to data portability (Art. 20 GDPR),
f) right to object to processing (Art. 21 GDPR),
g) right to revoke a granted consent (Art. 7 (3) GDPR).
(2) Access and erasure requests can be triggered as self-service via the dashboard (/dashboard/, “Account” tab) or addressed informally by email to 1@reportedip.com. We answer requests without undue delay, at the latest within one month of receipt.
(3) Right to lodge a complaint. You have the right to lodge a complaint with a data protection supervisory authority about the processing of your personal data by us. The competent authority for us is:
Bavarian State Office for Data Protection Supervision (BayLDA)
Promenade 18, 91522 Ansbach, Germany
Telephone: +49 981 180093-0
Email: poststelle@lda.bayern.de
Web: https://www.lda.bayern.de
§ 15 Security of Processing
We take appropriate technical and organisational measures (TOMs) within the meaning of Art. 32 GDPR to ensure a level of protection appropriate to the risk. These include in particular:
a) encryption of transmission (TLS 1.2+ / HTTPS), encryption of sensitive data fields at rest,
b) access control through role and permission management, hash-based password storage (bcrypt),
c) two-factor authentication for administrator accounts,
d) backups with encrypted off-site replication,
e) logging of security-relevant events, regular review,
f) separation of production, staging, and development environments,
g) subprocessor audits under Art. 28 (3) (h) GDPR.
A detailed list of TOMs is made available to subscription holders on request.
§ 16 Amendments to this Privacy Policy
This Privacy Policy is updated when processing activities or legal requirements change. Substantive changes are announced to subscription holders by email. The currently applicable version is available on this page.
Notices and Contact
Controller: Patrick Schlesinger, Parkstraße 19, 80339 Munich, Germany
Email: 1@reportedip.com
Supervisory Authority: Bavarian State Office for Data Protection Supervision (BayLDA), Promenade 18, 91522 Ansbach, Germany
This version applies as of: 16 October 2026