Datenschutzerklärung

Diese Erklärung informiert über die Verarbeitung personenbezogener Daten bei der Nutzung von „WER KENNT MICH?“ (nachfolgend „der Dienst“) nach der Datenschutz-Grundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG) und dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Der Dienst ist bewusst datensparsam gebaut: keine Nutzerkonten, keine Passwörter, keine Tracking-Cookies, keine Werbe- oder Analyse-Dienste.

1. Verantwortlicher

Verantwortlich im Sinne des Art. 4 Nr. 7 DSGVO:
Tristan Lomas (HarzSwipe)
Wernigeröder Straße 14, 38855 Benzingerode, Deutschland
E-Mail: kontakt@harzswipe.de

Ein Datenschutzbeauftragter ist gesetzlich nicht bestellt, da die Voraussetzungen des Art. 37 DSGVO / § 38 BDSG nicht vorliegen.

2. Hosting (Vercel)

Der Dienst wird bei der Vercel Inc. (340 S Lemon Ave #4133, Walnut, CA 91789, USA) gehostet. Vercel stellt Server-Infrastruktur und ein Content-Delivery-Netzwerk bereit und verarbeitet dabei in unserem Auftrag technische Zugriffsdaten (siehe Ziffer 5). Vercel ist Auftragsverarbeiter; Grundlage ist ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO). Da es sich um einen Anbieter mit Sitz in den USA handelt, kann eine Übermittlung in ein Drittland stattfinden (siehe Ziffer 12). Rechtsgrundlage für den Betrieb ist unser berechtigtes Interesse an einer sicheren und effizienten Bereitstellung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO).

3. Domain und DNS (IONOS)

Der Dienst ist unter werkenntmich.harzswipe.de erreichbar. Die Domain harzswipe.de wird über die IONOS SE (Elgendorfer Straße 57, 56410 Montabaur, Deutschland) registriert und verwaltet; IONOS betreibt die DNS-Server der Domain. Bei der Namensauflösung (DNS) können dabei technische Anfragedaten, insbesondere die anfragende IP-Adresse, bei IONOS verarbeitet werden. IONOS hat seinen Sitz in Deutschland (EU). Die Auslieferung der eigentlichen Inhalte erfolgt über Vercel (siehe Ziffer 2).

4. Datenbank (Supabase)

Von Nutzern erstellte Inhalte und Warteliste-Daten werden in einer PostgreSQL-Datenbank bei Supabase (Supabase Inc., USA) gespeichert. Der von uns genutzte Datenbank-Server befindet sich in der Region Frankfurt am Main (EU); die Daten werden dort gespeichert. Ein Zugriff der US-Muttergesellschaft (z. B. für Support) ist nicht ausgeschlossen (siehe Ziffer 12). Supabase ist Auftragsverarbeiter (Art. 28 DSGVO). Der Zugriff auf die Datenbank erfolgt ausschließlich serverseitig; der Browser der Nutzer kommuniziert nicht direkt mit Supabase.

5. Zugriffsdaten / Server-Logs

Beim Aufruf des Dienstes werden durch die Hosting-Infrastruktur automatisch technische Daten verarbeitet, insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene URL, übertragene Datenmenge, Referrer sowie Browser- und Betriebssystem-Informationen (User-Agent). Diese Verarbeitung ist für die Auslieferung und Sicherheit des Dienstes technisch erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb, Abwehr von Missbrauch). Wir selbst legen keine dauerhaften eigenen Server-Logs an; maßgeblich ist die Speicherdauer der Hosting-Plattform (siehe Ziffer 11).

6. Speicherung auf dem Endgerät (TDDDG)

Der Dienst setzt keine Cookies und keine Tracking-Technologien ein. Es wird ausschließlich der lokale Speicher deines Browsers („localStorage“) genutzt, und zwar für zwei technisch notwendige Funktionen:

• Quiz-Entwurf (Schlüssel wkm:draft:v1): speichert dein noch nicht veröffentlichtes Quiz, damit es beim Neuladen nicht verloren geht. Verbleibt auf deinem Gerät, bis das Quiz erstellt oder der Entwurf verworfen wird.
• Warteliste-Code (Schlüssel wkm:waitlist:v1): speichert deinen zufälligen Referral-Code, damit dir deine Warteliste-Seite angezeigt werden kann. Enthält keine personenbezogenen Daten außer diesem Zufallscode.

Diese Speicherung ist unbedingt erforderlich, um die von dir ausdrücklich gewünschten Funktionen bereitzustellen; eine Einwilligung ist daher nach § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich. Du kannst diese Daten jederzeit über die Einstellungen deines Browsers löschen. Da keine einwilligungsbedürftigen Technologien zum Einsatz kommen, gibt es bewusst keinen Cookie-Banner.

7. Quiz erstellen und spielen

Quiz-Erstellung

Beim Erstellen eines Quiz verarbeiten wir den von dir eingegebenen Namen sowie deine Fragen und Antworten. Diese Inhalte sind bewusst öffentlich: Wer den Link kennt, kann das Quiz spielen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von dir gewünschten Funktion). Die Zuordnung erfolgt über einen zufälligen, nicht fortlaufenden Link („Slug“).

Quiz spielen

Beim Spielen werden deine Antworten serverseitig ausgewertet, um dein Ergebnis zu berechnen. Wir speichern dazu lediglich einen anonymen Zählwert (erreichte Punktzahl und Gesamtzahl der Fragen) ohne jede Kennung des Spielers. Es werden keine personenbezogenen Daten der spielenden Person gespeichert. Die anonyme Statistik dient der technischen Verwaltung und Auswertung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO).

Hinweis: Du entscheidest selbst, welche Informationen du in einem Quiz preisgibst. Bitte gib keine besonders sensiblen Daten und keine personenbezogenen Daten anderer Personen ohne deren Einwilligung ein (siehe auch unsere Nutzungsbedingungen).

8. Warteliste und Referral-System

Wenn du dich für den Early Access einträgst, verarbeiten wir: Name, E-Mail-Adresse, einen zufällig erzeugten Referral-Code, die Referral-Beziehung (welcher Code dich eingeladen hat), die Anzahl deiner erfolgreichen Einladungen sowie den Zeitpunkt der Anmeldung. Die Warteliste-Position wird ausschließlich serverseitig berechnet und nicht gesondert gespeichert.

Zwecke und Rechtsgrundlagen:

• Verwaltung der Early-Access-Warteliste und spätere Kontaktaufnahme zur Freischaltung – Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche bzw. vertragsähnliche Maßnahme auf deine Anfrage).
• Referral-System (Vergabe des Codes, Zuordnung von Einladungen, Ranking) – Art. 6 Abs. 1 lit. b DSGVO als Teil der gewünschten Funktion.
• Missbrauchsprävention (z. B. Verhinderung von Selbst-Empfehlungen und Mehrfachanmeldungen) – Art. 6 Abs. 1 lit. f DSGVO.

Der Referral-Link enthält ausschließlich den zufälligen Code (z. B. /join?ref=X7K92) und keine personenbezogenen Datenwie Name oder E-Mail.

Bestätigung im Double-Opt-in-Verfahren

Nach deiner Eintragung senden wir dir eine Bestätigungs-E-Mail mit einem Bestätigungslink. Deine Anmeldung wird erst wirksam – und ein Referral wird erst gutgeschrieben – wenn du diesen Link anklickst. Diese Verifizierung deiner E-Mail-Adresse schützt vor Missbrauch und fremden Eintragungen (Art. 6 Abs. 1 lit. b und lit. f DSGVO). Bestätigst du nicht, wird dein vorläufiger Eintrag automatisch nach 7 Tagen gelöscht.

Für den Versand dieser transaktionalen E-Mail nutzen wir Brevo (E-Mail-Dienstleister mit Sitz in der EU). Brevo verarbeitet dabei deine E-Mail-Adresse und deinen Namen ausschließlich zum Versand in unserem Auftrag (Auftragsverarbeitung, Art. 28 DSGVO). Ein Versand werblicher Newsletter findet derzeit nicht statt; sollte dies künftig erfolgen, nur auf Grundlage einer gesonderten Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) mit jederzeitiger Widerrufsmöglichkeit.

9. Missbrauchsschutz / Rate-Limiting

Zum Schutz vor Spam und automatisierten Massenanfragen begrenzen wir die Anzahl bestimmter Anfragen pro Zeiteinheit. Dazu wird die IP-Adresse kurzzeitig und ausschließlich im Arbeitsspeicher verarbeitet und spätestens nach Ablauf des jeweiligen Zeitfensters (höchstens eine Stunde) wieder verworfen. Eine dauerhafte Speicherung findet nicht statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

10. Meldungen über Inhalte

Über unser Meldeformular kannst du Inhalte melden. Dabei verarbeiten wir die von dir angegebene Kategorie, deine Beschreibung und – nur wenn du sie freiwillig angibst – eine Kontaktadresse für Rückfragen. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. c DSGVO (Erfüllung der Pflichten aus Art. 16 DSA) sowie Art. 6 Abs. 1 lit. f DSGVO (Prüfung und Bearbeitung der Meldung).

11. Speicherdauer

• Warteliste-Daten (Name, E-Mail, Referral-Daten): werden spätestens 3 Monate nach deiner Anmeldung gelöscht, sofern bis dahin kein Early-Access-Zugang freigeschaltet wurde. Unabhängig davon kannst du jederzeit selbst die Löschung veranlassen (siehe Ziffer 13).
• Quiz-Daten: gespeichert, solange das Quiz genutzt wird bzw. bis zu deiner Löschanfrage. Nicht gespielte, offensichtlich verwaiste Quizze (ohne jeden Spielabruf) werden automatisch nach 3 Monaten gelöscht.
• Anonyme Spielergebnisse: keine personenbezogenen Daten; Speicherung zu statistischen Zwecken.
• Meldungen: für die Dauer der Bearbeitung und darüber hinaus, soweit dies zur Rechtsverteidigung oder zur Erfüllung gesetzlicher Pflichten erforderlich ist.
• Server-Logs: gemäß der Konfiguration und Aufbewahrung der Hosting-Plattform (kurzfristig); eigene dauerhafte Logs führen wir nicht.
• Rate-Limiting-Daten: flüchtig, höchstens eine Stunde (siehe Ziffer 9).

12. Drittlandübermittlung

Unsere Auftragsverarbeiter Vercel und Supabase haben ihren Sitz bzw. eine Muttergesellschaft in den USA. Soweit dabei personenbezogene Daten in ein Drittland übermittelt werden, erfolgt dies auf Grundlage der EU-Standardvertragsklauseln (Art. 46 DSGVO) und – soweit anwendbar – einer Zertifizierung nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss gemäß Art. 45 DSGVO). Bei Supabase werden die Daten im Ruhezustand in der EU (Frankfurt) gespeichert.

13. Deine Rechte

Dir stehen nach der DSGVO folgende Rechte zu:

• Auskunft über deine verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO),
• Beschwerde bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO).

Zur Ausübung deiner Rechte genügt eine formlose Nachricht an die oben genannte E-Mail-Adresse. Deine Warteliste-Daten kannst du außerdem selbst über die Warteliste-Seite löschen (Bestätigung mit deiner E-Mail-Adresse).

14. Zuständige Aufsichtsbehörde

Für den Verantwortlichen ist grundsätzlich der Landesbeauftragte für den Datenschutz Sachsen-Anhalt (Sitz in Magdeburg) zuständig. Die aktuellen Kontaktdaten der Behörde sind vor Veröffentlichung zu prüfen [Postanschrift/Kontakt der Aufsichtsbehörde prüfen und eintragen]. Du kannst dich unabhängig davon auch an die Aufsichtsbehörde deines üblichen Aufenthaltsorts wenden.

15. Minderjährige

Der Dienst richtet sich an Personen ab 16 Jahren. Personen unter 16 Jahren sollten den Dienst nur mit Zustimmung der Erziehungsberechtigten nutzen. Wir erheben bewusst keine Daten, die zur Alterskontrolle über das Erforderliche hinausgehen.

16. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Die Warteliste-Position wird lediglich nach einer nachvollziehbaren, rein rechnerischen Regel (Anmeldereihenfolge und Anzahl erfolgreicher Einladungen) bestimmt.

17. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die tatsächliche Datenverarbeitung ändert – etwa bei der Einführung neuer Funktionen oder Dienste. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung.