Datenschutzerklärung

Diese Erklärung beschreibt, welche Daten bei der Nutzung der Webanwendung „Reverse“ verarbeitet werden. Sie beruht auf dem tatsächlich implementierten Funktionsumfang (Stand: Oktober 2026).

Entwurf: Mit „Vom Betreiber zu bestätigen“ gekennzeichnete Angaben hängen von den konkreten Hosting- und Vertragsbedingungen ab und müssen vor der Veröffentlichung geprüft, ergänzt und danach diese Hinweise entfernt werden. Eine rechtliche Prüfung wird empfohlen.

1. Verantwortlicher

2. Überblick: Zweck und Funktionsweise von Reverse

Reverse erklärt Quellcode in verständlicher Sprache (Startseite „Code verstehen“) und bietet für Fortgeschrittene zusätzlich Werkzeuge zum technischen Untersuchen von Webseiten („Website-Werkzeuge“). Es analysiert HTML-, CSS- und JavaScript-Code, stellt Seiten in einer isolierten Vorschau dar, ermöglicht das Inspizieren und Bearbeiten von Elementen, das Extrahieren von Komponenten sowie die Verwaltung lokaler Projekte. Reverse ist eine statische Webanwendung: Die gesamte Analyse findet in Ihrem Browser statt. Reverse besitzt kein eigenes Backend, keine Benutzerkonten und kein Kontaktformular. Ein optionaler „lokaler Connector“ ist ein separates Programm, das Sie bei Bedarf selbst auf Ihrem eigenen Rechner starten (Abschnitt 8); er ist kein Server des Verantwortlichen.

Der Verantwortliche erhält über Reverse weder Ihre importierten Dateien noch eingefügten Quellcode, analysierte URLs, Analyseergebnisse oder gespeicherte Projekte.

3. Hosting und Server-Logfiles

Die Dateien der Anwendung werden bereitgestellt durch:

Beim Aufruf von Reverse überträgt Ihr Browser technisch erforderliche Verbindungsdaten an den Webserver. Dazu können insbesondere gehören: IP-Adresse, Datum und Uhrzeit der Anfrage, angeforderte Datei/URL und Antwortstatus, übertragene Datenmenge, Browser- und Betriebssysteminformationen (User-Agent) sowie gegebenenfalls die verweisende Seite (Referrer). Reverse selbst setzt für eigene Seiten die Referrer-Richtlinie „no-referrer“.

Zweck ist die Auslieferung der Anwendung sowie die Gewährleistung von Betrieb und Sicherheit des Servers. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in einer sicheren und funktionsfähigen Bereitstellung.

Vom Betreiber zu bestätigen: (a) ob und welche Server-Logdaten beim gebuchten netcup-Produkt tatsächlich protokolliert werden, (b) deren Speicherdauer bzw. Löschfrist, (c) ob ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO mit netcup abgeschlossen wurde, (d) weitere Empfänger bzw. Unterauftragnehmer und (e) ob Übermittlungen in Drittländer stattfinden. Erst nach Bestätigung diese Angaben hier konkret eintragen; eine Speicherdauer wurde bewusst nicht angegeben.

4. Lokale Verarbeitung und Dateiimporte

• Einlesen ausgewählter Dateien: HTML-, CSS-, JavaScript- und Projekt-JSON-Dateien, die Sie auswählen oder per Drag & Drop übergeben, werden mit Browser-Funktionen (File API) lokal gelesen. Ein Upload an einen Server findet nicht statt.
• Eingefügter Quellcode wird ebenfalls nur lokal verarbeitet.
• Artefakte für die Evidenzanalyse: Weitere Dateien und Ordner (z. B. Quellcode, JSON, Source Maps, Netzwerkaufzeichnungen im HAR-Format, Binärdateien) werden ebenfalls lokal gelesen, klassifiziert und mit einer Prüfsumme (SHA-256) versehen. Sie werden nicht ausgeführt und nicht hochgeladen; darin enthaltene oder aufgezeichnete Adressen werden nicht abgerufen.
• Verarbeitung im Arbeitsspeicher: Analyse (HTML, CSS, JavaScript), Komponentenerkennung und Erklärungen erfolgen im Arbeitsspeicher Ihres Browsers. JavaScript-Code wird dabei nur statisch gelesen, nicht ausgeführt.
• Startseite „Code verstehen“: Eingefügter Code und ausgewählte Dateien werden nur im Arbeitsspeicher Ihres Browsers gelesen und erklärt. Sie werden weder hochgeladen noch ausgeführt und auch nicht im Browser gespeichert; nach dem Schließen oder Neuladen der Seite sind sie verworfen. Dauerhaft bleibt eine Erklärung nur erhalten, wenn Sie „Speichern“ wählen – dann lädt Ihr Browser eine Datei mit Ihrem Code herunter, die Sie später wieder öffnen können. Die Antworten unter „Frag weiter“ entstehen regelbasiert aus der Analyse; es wird keine KI verwendet.
• Code-Erklärung in den Website-Werkzeugen („Code verstehen“-Tab): Der Erklärmodus liest den im Projekt vorhandenen Quellcode (Skripte, Stylesheets, HTML, importierte Artefakte) und erzeugt daraus Erklärungen, Abläufe, Risiko- und Verbesserungshinweise. Das geschieht ausschließlich im Arbeitsspeicher Ihres Browsers; der Code wird nicht ausgeführt und nicht übertragen. Mögliche Zugangsdaten werden in Erklärungen und im Export musterbasiert ersetzt; diese Erkennung ist nicht vollständig. Ein Verbesserungsentwurf verändert die Quelle im Projekt nur, wenn Sie ihn ausdrücklich übernehmen; dauerhaft gespeichert wird er erst mit „Projekt speichern“.
• Vorschau: Importierte Inhalte werden in einem isolierten, eingebetteten Rahmen (iframe-Sandbox) dargestellt. Skripte der importierten Seite sind standardmäßig blockiert; sie laufen nur, wenn Sie „Skripte ausführen“ aktivieren, und auch dann ohne Zugriff auf Reverse oder dessen Speicher.
• Dauerhafte Speicherung erfolgt nur, wenn Sie „Projekt speichern“ wählen (siehe Abschnitt 5).
• Export: Exportdateien werden lokal erzeugt und über die Download-Funktion Ihres Browsers gespeichert.

Bitte beachten Sie, dass importierte Inhalte personenbezogene Daten Dritter oder urheberrechtlich geschützte Inhalte enthalten können. Für deren Verwendung sind Sie selbst verantwortlich.

5. Speicherung und Zugriff auf Informationen in Ihrem Endgerät (Cookies, Browser-Speicher)

Reverse verwendet keine Cookies, kein SessionStorage, keine Cache-API und keinen Service Worker. Folgende Browser-Speicher werden genutzt:

Diese Daten verbleiben auf Ihrem Gerät und werden nicht an den Verantwortlichen oder Dritte übertragen. Die Speicherung erfolgt unverschlüsselt im Profil Ihres Browsers; Personen mit Zugriff auf dieses Profil können die Daten einsehen. Das gilt auch für Zugangsdaten oder Tokens, die in importierten Dateien enthalten sein können: Reverse erkennt solche Werte musterbasiert und redigiert sie in Berichten und Exporten, nicht aber im gespeicherten Projekt. Die Erkennung ist nicht vollständig. Entfernen Sie Artefakte mit vertraulichem Inhalt, bevor Sie ein Projekt speichern oder weitergeben, oder nutzen Sie den Export „Projekt als JSON (redigiert)“.

Das Speichern und Auslesen dieser Informationen erfolgt ausschließlich, um die von Ihnen ausdrücklich gewünschten Funktionen (Projekte speichern und wieder öffnen, gewählte Darstellung und Connector-Adresse beibehalten) bereitzustellen. Nach unserer Einschätzung ist dies im Sinne von § 25 Abs. 2 Nr. 2 TDDDG unbedingt erforderlich, sodass keine Einwilligung eingeholt wird; es findet keine Auswertung zu Analyse- oder Werbezwecken statt.

Vom Betreiber zu prüfen: Die Einordnung insbesondere des automatischen Wiederöffnens des zuletzt genutzten Projekts (reverse.lastProject) und der Theme-/Sidebar-/Connector-Einstellungen als „unbedingt erforderlich“ sollte rechtlich bestätigt werden.

6. Analyse externer URLs

Wenn Sie eine URL eingeben und „Analysieren“ wählen, ruft Ihr Browser die Adresse direkt ab. Die Anfrage läuft nicht über Server des Verantwortlichen. Der Betreiber der abgerufenen Website erhält dabei die üblichen Verbindungsdaten (insbesondere Ihre IP-Adresse, Zeitpunkt und User-Agent). Reverse sendet bei diesem Abruf keine Cookies oder Anmeldedaten mit und unterdrückt den Referrer.

Viele Websites erlauben einen solchen Abruf aus Sicherheitsgründen nicht (CORS / Same-Origin-Policy). Reverse umgeht diese Schutzmaßnahmen nicht; in diesem Fall wird kein Inhalt geladen. Für die Verarbeitung durch die aufgerufene Website gilt deren Datenschutzerklärung. Die eingegebene URL und – sofern gespeichert – der abgerufene Quelltext verbleiben lokal (Abschnitte 4 und 5).

Über die Schaltfläche „Seite in neuem Tab öffnen“ (bei einem fehlgeschlagenen Abruf) öffnet Ihr Browser die Adresse wie einen normalen Link.

7. Externe Ressourcen in der Vorschau, Asset-Prüfung und Abrufe auf Anforderung

Importierte Webseiten verweisen häufig auf Bilder, Schriften, Stylesheets oder Skripte auf fremden Servern. Reverse lädt diese standardmäßig nicht (technisch durch eine Content-Security-Policy in der Vorschau unterbunden).

• „Externe Ressourcen“ aktivieren: Ihr Browser lädt die in der importierten Seite referenzierten Ressourcen direkt von den jeweiligen Servern. Deren Betreiber erhalten dabei Verbindungsdaten wie Ihre IP-Adresse und Ihren User-Agent. Welche Server das sind, hängt allein von der importierten Seite ab und ist dem Verantwortlichen nicht bekannt.
• „Skripte ausführen“ aktivieren: Skripte der importierten Seite laufen isoliert in der Vorschau. Sind zusätzlich externe Ressourcen erlaubt, können diese Skripte eigene Netzwerkanfragen an beliebige Server stellen. Ohne freigegebene externe Ressourcen sind Netzwerkverbindungen der Skripte blockiert.
• „Prüfen“ und „Vorschau laden“ im Asset-Explorer sowie „Abruf versuchen“ bei externen Stylesheets/Skripten senden auf Ihren Klick hin eine Anfrage Ihres Browsers an den jeweiligen Server (ohne Cookies und ohne Referrer).

Rechtsgrundlage für diese von Ihnen ausgelösten Abrufe ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse besteht darin, Ihnen die gewünschte technische Analyse zu ermöglichen. Sie können die Funktionen jederzeit deaktivieren bzw. nicht verwenden.

8. Evidenzanalyse und optionaler lokaler Connector

Die Evidenzanalyse (Tab „Evidenz“) wertet ausschließlich bereits vorhandene Daten aus – den Quelltext, eingelesene Dateien, importierte Artefakte und Meldungen der isolierten Vorschau. Sie stellt selbst keine Netzwerkanfragen.

Optional können Sie den lokalen Connector (connector/rea_connector.py) auf Ihrem eigenen Rechner starten. Er ermöglicht es Reverse, ausgewählte lokale Analysewerkzeuge (z. B. die quelloffene REA-CLI) auf Dateien in von Ihnen freigegebenen Ordnern auszuführen.

• Reverse verbindet sich nur nach Ihrer Eingabe von Adresse und Zugriffstoken und nur mit lokalen Adressen (127.0.0.1, localhost, ::1). Übertragen werden die Werkzeugauswahl und der relative Pfad der gewählten Datei; die Ergebnisse werden redigiert als Artefakt im Projekt abgelegt.
• Der Connector verarbeitet die Dateien auf Ihrem Rechner mit Ihren Benutzerrechten. Daten werden dabei nicht an den Verantwortlichen übermittelt.
• Externe Werkzeuge unterliegen ihren eigenen Lizenz- und Datenschutzbedingungen. Wenn Sie den Connector mit --allow-npx starten oder REA per npm installieren, lädt npm das Paket von der npm-Registry (Anbieter: GitHub, Inc./npm, Inc.); dabei werden die üblichen Verbindungsdaten an die Registry übertragen. Ob und welche Netzwerkzugriffe ein externes Werkzeug selbst durchführt, richtet sich nach dessen Dokumentation.

9. Externe Bibliotheken, Schriftarten und Tracking

Reverse bindet in seine eigenen Seiten keine externen Bibliotheken, CDNs, Webfonts, Icon-Dienste, Analyse- oder Tracking-Werkzeuge ein. Alle Skripte, Stylesheets, Icons und Bilder werden vom selben Server wie die Anwendung geladen. Code-Editor, ZIP-Export und Analysefunktionen sind eigene Implementierungen. Ausnahmen sind quelloffene Parser, die als Dateien auf demselben Server liegen und ebenfalls nur von dort geladen werden: Acorn (JavaScript, MIT), Sucrase (TypeScript/JSX, MIT) sowie web-tree-sitter mit vorgebauten Grammatiken aus „tree-sitter-wasms“ (Python, Java, C, C++, C#, PHP, Go, Rust, Kotlin, Swift, Bash; MIT bzw. gemeinfrei). Die Grammatik-Dateien werden erst geladen, wenn Sie Code in der jeweiligen Sprache erklären lassen. Dabei werden keine Daten an Dritte übermittelt; Ihr Code verlässt den Browser nicht.

10. KI-Funktionen

Reverse enthält derzeit keine aktivierte KI-Integration. Es werden keine Inhalte an KI-Anbieter übermittelt; alle Erklärungen werden lokal und regelbasiert erzeugt. Im Code ist lediglich eine deaktivierte Schnittstelle für eine spätere Anbindung über einen eigenen Server vorbereitet. Im Modus „Code verstehen“ weist das Feld „Rückfrage“ darauf hin, sendet aber nichts. Auch nach einer späteren Aktivierung würden Inhalte nur nach Ihrem ausdrücklichen Klick und einer Bestätigung übertragen; der Dialog nennt dann den Dienst, die betroffenen Codezeilen und den Umfang. Vor einer Aktivierung wird diese Datenschutzerklärung um Angaben zu Anbieter, übertragenen Inhalten, Zweck, Rechtsgrundlage, Speicherdauer und etwaigen Drittlandübermittlungen ergänzt.

11. Kontaktaufnahme per E-Mail oder Telefon

Wenn Sie uns per E-Mail (info@digitisaak.de) oder Telefon (05232 9735241) kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Daten (z. B. Name, E-Mail-Adresse oder Telefonnummer, Inhalt der Anfrage, Zeitpunkt) zur Bearbeitung Ihres Anliegens.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage mit einem Vertrag oder vorvertraglichen Maßnahmen zusammenhängt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Die Daten werden gelöscht, sobald sie für die Bearbeitung nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten (z. B. handels- oder steuerrechtliche) entgegenstehen. Bitte beachten Sie, dass unverschlüsselte E-Mails auf dem Transportweg von Dritten eingesehen werden könnten.

Vom Betreiber zu bestätigen: verwendeter E-Mail-Anbieter (ggf. Auftragsverarbeitung) sowie interne Löschfristen für Korrespondenz.

12. Rechtsgrundlagen im Überblick

• Art. 6 Abs. 1 lit. f DSGVO – Bereitstellung der Website und Server-Logfiles; von Ihnen ausgelöste Abrufe externer Adressen; Kontaktanfragen ohne Vertragsbezug.
• Art. 6 Abs. 1 lit. b DSGVO – Kontaktanfragen mit Vertrags- oder vorvertraglichem Bezug.
• Art. 28 DSGVO – nur sofern mit dem Hosting- bzw. E-Mail-Anbieter tatsächlich ein Auftragsverarbeitungsvertrag besteht (siehe Hinweise oben).
• § 25 Abs. 2 Nr. 2 TDDDG – Speicherung und Auslesen der in Abschnitt 5 genannten Informationen im Browser zur Bereitstellung der ausdrücklich gewünschten Funktionen.

Die rein lokale Verarbeitung in Ihrem Browser (Abschnitt 4) erfolgt ohne Übermittlung an den Verantwortlichen; dieser hat darauf keinen Zugriff.

13. Ihre Rechte

Soweit wir personenbezogene Daten von Ihnen verarbeiten, haben Sie nach der DSGVO folgende Rechte:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit, soweit die Verarbeitung auf einem Vertrag oder einer Einwilligung beruht und automatisiert erfolgt (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO) – derzeit holt Reverse keine Einwilligungen ein
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

Lokal in Ihrem Browser gespeicherte Daten (Abschnitt 5) können Sie jederzeit selbst löschen – über die Projektübersicht in Reverse oder über die Einstellungen Ihres Browsers („Website-Daten löschen“). Auf diese Daten hat der Verantwortliche keinen Zugriff und kann sie daher weder beauskunften noch löschen.

14. Zuständige Aufsichtsbehörde

Vom Betreiber zu prüfen: Aktualität der Anschrift vor Veröffentlichung.

15. Datensicherheit

• Importierte Inhalte werden in einer isolierten Vorschau (iframe-Sandbox ohne gleiche Herkunft) dargestellt; sie haben keinen Zugriff auf Reverse, dessen Speicher oder Ihre gespeicherten Projekte. Formulare, Pop-ups und Seitennavigation sind dort gesperrt.
• Unbekannter JavaScript-Code wird in der Hauptanwendung nicht ausgeführt, sondern nur statisch analysiert. In der Vorschau werden Skripte erst nach Ihrer ausdrücklichen Aktivierung ausgeführt.
• Externe Ressourcen werden in der Vorschau standardmäßig blockiert.
• Importierte Artefakte werden nur gelesen, nie ausgeführt; Pfadangaben werden bereinigt. Mögliche Zugangsdaten werden in Berichten und Exporten redigiert (musterbasiert, nicht vollständig).
• Der optionale Connector ist nur lokal erreichbar, verlangt ein zufälliges Zugriffstoken, führt nur eine feste Werkzeugliste ohne Shell aus, beschränkt Zugriffe auf freigegebene Ordner und begrenzt Laufzeit und Ausgabegröße.
• Projekte werden lokal gespeichert; beim Import eines Projekts mit bereits vorhandener Kennung wird eine Kopie angelegt, statt vorhandene Daten zu überschreiben.
• Die Verbindung zur Website wird verschlüsselt (HTTPS) übertragen, sofern der Server entsprechend konfiguriert ist.

Vom Betreiber zu bestätigen: HTTPS-Bereitstellung (TLS-Zertifikat) beim Hosting.

Eine absolute Sicherheit kann bei der Übertragung und Speicherung von Daten nicht garantiert werden.

16. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung wird angepasst, sobald sich die Datenverarbeitung, die eingesetzten Dienste (z. B. eine KI-Anbindung, ein Backend oder weitere Connector-Werkzeuge) oder die rechtlichen Anforderungen ändern. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: Oktober 2026