Rechtsunterlagen im Überblick

Dieses Dokument wird in mehreren Sprachen veröffentlicht. Bei Abweichungen zwischen den Sprachfassungen ist die polnische Fassung verbindlich.

Stand: 22. Oktober 2026

Diese Seite ist für Rechtsabteilungen, Datenschutzbeauftragte und Einkäufer, die formexposed prüfen, bevor ihr Unternehmen es einsetzt. Alle Unterlagen sind öffentlich, in allen Amtssprachen der Europäischen Union (verbindlich ist die polnische Fassung), und keine verlangt eine Anmeldung. Sie können diese Seite weiterleiten; wer sie bekommt, kann sofort anfangen zu lesen.

Diese Seite fasst zusammen und begründet keine eigenen Rechte oder Pflichten. Maßgeblich sind die verlinkten Dokumente in der Rangfolge, die die AGB festlegen; weicht eine Kurzantwort hier von ihnen ab, gelten sie.

1. Die Dokumente

Was unser Crawler auf fremden Websites tut, beschreibt /bot; über /opt-out kann jeder Betreiber seine Domain ausschließen.

2. Wer wir sind und welche Rolle wir haben

Anbieter ist LW IT Solutions Company Lukas Wójcik, ein Einzelunternehmen mit Sitz in Łódź, Polen (NIP 7252266190). Einen Datenschutzbeauftragten haben wir nicht benannt, weil wir nach unserer Prüfung dazu nicht verpflichtet sind (Art. 37 Abs. 1 DSGVO); Datenschutzfragen beantwortet der Inhaber unter contact@lukaswojcik.com. Zuständige Aufsichtsbehörde ist der Präsident des Amtes für den Schutz personenbezogener Daten (UODO) in Warschau.

Für die meisten Daten sind wir selbst Verantwortlicher: Ihr Konto, die Abrechnung, die Sicherheit des Dienstes, die Prüfungen ohne Konto. Das beschreibt die Datenschutzerklärung. Auftragsverarbeiter sind wir dort, wo Sie Daten Dritter einbringen: vor allem bei der Zustellungsprüfung, bei der Kopien der Formular-Mails Ihrer Besucher in unser Kontrollpostfach gehen, beim Kundenportal und Monatsbericht für die Kunden einer Agentur, bei Alarmzielen und bei Daten, die auf Bildschirmfotos Ihrer Domains zu sehen sind, sobald Sie die Verfügungsbefugnis für die Domain nachgewiesen haben; vorher prüfen wir die Domain nur passiv und in eigener Verantwortung. Die genaue Aufteilung je Funktion steht im Auftragsverarbeitungsvertrag.

Das WordPress-Plugin und die TYPO3-Erweiterung übermitteln uns nur Tageszahlen, Versionen (beim WordPress-Plugin das Plugin-Inventar) und Einstellungs-Merkmale, beim Schwarmschutz des WordPress-Plugins, der ab Werk eingeschaltet ist, außerdem die Domains von Links aus gestoppten Nachrichten. Darüber hinaus übermitteln sie keine Formularinhalte und nie Namen, Adressen oder IP-Adressen Ihrer Besucher. Was sie lokal speichern, etwa die Quarantäne, bleibt auf Ihrer Website; dafür sind allein Sie verantwortlich.

3. Wie der Auftragsverarbeitungsvertrag zustande kommt

Es gibt kein PDF zum Unterschreiben und Zurückschicken. Der Auftragsverarbeitungsvertrag wird bei der Registrierung geschlossen, zusammen mit den AGB und für jeden Kunden, auch wenn er keine Funktion nutzt, bei der wir im Auftrag verarbeiten. Art. 28 Abs. 9 DSGVO lässt dafür die elektronische Form zu.

Bei der Registrierung setzen Sie ein Häkchen unter einem Satz, in dem AGB, Auftragsverarbeitungsvertrag und Datenschutzerklärung verlinkt sind. Wir halten fest:

• welcher Text: den vollständigen Wortlaut jedes Dokuments, so wie er angezeigt wurde, mit einem Hash. Auch Jahre später lässt sich zeigen, welcher Wortlaut galt, nicht nur, an welchem Tag zugestimmt wurde;
• wann und von wo: Zeitpunkt, IP-Adresse und Browserkennung.

Fehlt eines der Dokumente, ist die Registrierung geschlossen. Welcher Fassung Sie zugestimmt haben, steht in Ihrem Datenexport. Den Nachweis bewahren wir auf, solange das Konto besteht; nach der Löschung des Kontos löschen wir ihn, sobald die Zustimmung vier Jahre zurückliegt.

Braucht Ihr Unternehmen für die eigene Akte eine Bestätigung, schreiben Sie uns; wir bestätigen Ihnen per E-Mail, welcher Fassung Ihr Konto wann zugestimmt hat.

4. Was bei einer Änderung passiert

Änderungen der AGB und des Auftragsverarbeitungsvertrags nehmen wir nur aus den dort abschließend genannten Gründen vor und kündigen sie mindestens 30 Tage vorher per E-Mail an, mit Inhalt, Grund und Zeitpunkt; ohne diese Frist ändern wir nur in den Fällen, die beide Dokumente dafür nennen, etwa bei Änderungen allein zu Ihrem Vorteil oder auf behördliche Anordnung. Schweigen gilt nicht als Zustimmung; berührt eine Änderung Ihre Rechte oder Pflichten, holen wir Ihre Zustimmung gesondert ein, und ohne sie gelten für Sie die bisherigen Bedingungen weiter. Widersprechen Sie einer angekündigten Änderung, endet der Vertrag über einen bezahlten Tarif zum Ende der laufenden Abrechnungsperiode, im kostenlosen Tarif zum Wirksamwerden der Änderung; bis dahin gelten die bisherigen Bedingungen. Neue oder ersetzte Unterauftragsverarbeiter kündigen wir ebenfalls 30 Tage vorher an; einem Widerspruch folgt, wenn wir keine Lösung finden, ein Kündigungsrecht mit anteiliger Erstattung im Voraus gezahlter Entgelte. Alle Änderungen stehen auf der Seite Änderungen der Vertragsunterlagen.

5. Wo die Daten liegen

formexposed läuft auf eigenen Servern in Polen: einem Webserver mit der Datenbank und einem Server für die Prüfungen, auf dem auch das Sprachmodell läuft, im selben internen Netz. Ein Hosting- oder Cloud-Anbieter ist nicht eingebunden, und kein Text, kein Code und kein Bildschirmfoto geht an einen KI-Anbieter.

Personenbezogene Daten erhalten außerdem nur diese Empfänger:

• Namecheap, Inc. (Private Email), Phoenix, Arizona, USA für den Versand von E-Mails und das Postfach der Zustellungsprüfung; Verarbeitungsort und Grundlage einer Übermittlung sind noch zu prüfen;
• Namecheap, Inc. (USA) als Registrar und DNS-Anbieter, bis zur Einrichtung des Postfachs auch für die Weiterleitung allgemeiner Mails an Adressen unserer Domain; Kontrollkopien der Zustellungsprüfung laufen nicht über diese Weiterleitung;
• Stripe (Stripe Payments Europe in Irland, Stripe, Inc. in den USA) für Zahlungen, für Teile davon in eigener Verantwortung;
• Google (reCAPTCHA) beim Absenden unserer eigenen Formulare, etwa bei Anmeldung, Registrierung und kostenlosem Check;
• die Chat- und Webhook-Dienste, die Sie selbst als Alarmkanal wählen (etwa Slack, Discord, Microsoft Teams, Google Chat, Telegram), mit dem Inhalt der Alarme; Telegram-Nachrichten verschicken wir über unseren eigenen Bot.

Für einzelne Prüfungen fragen wir außerdem Dienste ab, die keine Daten über Personen erhalten: öffentliche DNS-Blocklisten (SpamCop, PSBL, Mailspike, SURBL) mit Domains und IP-Adressen von Servern, Google Web Risk (nur, wenn eingerichtet) mit der Adresse der Startseite, die Zeitstempeldienste Certum und DigiCert mit einem Hashwert, das RDAP-Verzeichnis über die IANA und den Dienst rdap.org mit dem Domainnamen, wpvulnerability.net mit den Kennungen von Plugins (ohne Version) und Themes und der WordPress-Version und Statusseiten von Anbietern, an die nichts übermittelt wird.

Welche Grundlage für die Übermittlung in die USA oder andere Drittländer gilt und wo eine Vereinbarung noch aussteht, steht für jeden Empfänger in der Liste der Unterauftragsverarbeiter.

6. Typische Fragen und wo die Antwort steht

7. Was noch offen ist

Die Texte auf dieser Seite sind die geltenden Fassungen. Eine anwaltliche Prüfung steht noch aus; ergibt sie Änderungen, veröffentlichen wir neue Fassungen und nennen sie in der Übersicht der Änderungen. Offene Punkte nennen die Dokumente selbst, statt sie zu verschweigen, etwa den Vertrag mit dem Mail-Dienstleister in der Liste der Unterauftragsverarbeiter. Eine Liste, in der nur gute Nachrichten stehen, hat niemand geprüft.

Findet Ihre Rechtsabteilung eine Lücke oder fehlt ihr eine Angabe, schreiben Sie an contact@lukaswojcik.com. Wir antworten, und wenn die Lücke im Text liegt, schließen wir sie dort.