Datenschutzerklärung

Das Wichtigste in Kürze

• Kein Konto, kein Passwort. Was du gestaltest, ist über private Links erreichbar. Wer einen Link kennt, kann den Gruß bzw. Kalender sehen – teile ihn nur mit den richtigen Menschen.
• Nur das Nötige. Wir speichern, was du für deinen Gruß oder Kalender eingibst, und nutzen es nur dafür. Wir verkaufen keine Daten und zeigen in Grüßen keine Werbung.
• Automatisch gelöscht. Grüße 6 Monate nach dem Veröffentlichen (mit Geschenk-Moment 12 Monate ab dem Kauf), Adventskalender Ende Februar nach dem Advent – mit allen Fotos.
• Statistik und Werbung nur mit Einwilligung – und nie auf privaten Seiten wie einem Gruß oder Kalender. Derzeit setzen wir gar keine solchen Dienste ein.

Verantwortlicher

Verantwortlich für die Datenverarbeitung auf giftquest.de ist:

Einen Datenschutzbeauftragten müssen wir nicht benennen. Bei Fragen zum Datenschutz schreib uns einfach an service@giftquest.de.

Deine Rechte

Du hast jederzeit das Recht auf

• Auskunft über deine bei uns gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO) – schick uns dafür den privaten Link zu deinem Gruß oder Kalender, dann löschen wir ihn samt Fotos,
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO), z. B. über die Cookie-Einstellungen.

Schreib uns für all das formlos an service@giftquest.de. Weil es bei GiftQuest kein Konto gibt, erkennen wir deine Daten am privaten Link (Bearbeitungslink) – bitte gib ihn mit an.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), etwa an deinem Wohnort oder bei der für uns zuständigen Behörde: LfD Niedersachsen (Landesbeauftragte/r für den Datenschutz Niedersachsen), Prinzenstraße 5, 30159 Hannover.

Hosting und Server-Protokolle

GiftQuest läuft bei Railway Corporation, 548 Market St PMB 68956, San Francisco, CA 94104, USA. Wir nutzen ein Rechenzentrum in der EU (Amsterdam, Niederlande). Railway verarbeitet die Daten als unser Auftragsverarbeiter (Art. 28 DSGVO). Da Railway ein US-Unternehmen ist, ist ein Zugriff aus den USA nicht ausgeschlossen; dafür haben wir mit Railway EU-Standardvertragsklauseln vereinbart (Art. 46 Abs. 2 lit. c DSGVO).

Bei jedem Aufruf werden technisch notwendige Verbindungsdaten verarbeitet: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Browser und Betriebssystem. Sie werden in Server-Protokollen je nach Tarif 7 bis höchstens 30 Tage gespeichert und dienen dem Betrieb, der Fehlersuche und der Abwehr von Angriffen.

Gegen Missbrauch (z. B. massenhaftes Absenden) zählen wir Anfragen pro IP-Adresse – nur im Arbeitsspeicher und höchstens eine Stunde lang.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Grüße gestalten und teilen

Entwurf: Solange du gestaltest, bleibt alles auf deinem Gerät (im Browser-Speicher, siehe Cookies und Speicher). Erst beim Veröffentlichen geht der Gruß an unseren Server.

Beim Veröffentlichen speichern wir: die Namen von Empfänger und Absender, deinen Text, die gewählte Gestaltung, bis zu drei Fotos, deine Unterschrift (als Strichdaten), die Überraschung zum Freirubbeln samt eventuellem Gutscheincode und Anhang (Bild oder PDF, etwa ein gekaufter Gutschein oder ein Ticket) und einen optionalen Freischaltzeitpunkt. Fotos und Bild-Anhänge rechnen wir neu und entfernen dabei alle Metadaten – etwa Aufnahmeort (GPS) und Kameradaten. PDF-Anhänge speichern wir unverändert; sie sind nur über die Überraschung eines bezahlten Grußes abrufbar.

Zweck und Rechtsgrundlage: Wir stellen den Gruß über einen privaten Link bereit – das ist unsere Leistung dir gegenüber (Art. 6 Abs. 1 lit. b DSGVO). Die Namen und Inhalte, die du über andere Menschen eingibst (z. B. den Namen des Empfängers oder Fotos), verarbeiten wir auf Grundlage des berechtigten Interesses, einen persönlichen Gruß zuzustellen (Art. 6 Abs. 1 lit. f DSGVO). Bitte lade nur Fotos hoch, die du teilen darfst.

Meine Grüße: Deine Bearbeitungslinks merkt sich dein Gerät. Auf der Seite „Meine Grüße“ fragt es bei uns den aktuellen Stand ab (Name des Empfängers, Dankeschöns). Wir speichern dabei nichts zusätzlich.

Speicherdauer: Wir löschen den Gruß mit allen Fotos, Ereignissen und Dankeschöns automatisch 6 Monate nach dem Veröffentlichen – bei gekauften Grüßen am Ende der beim Kauf genannten Laufzeit – oder früher auf deinen Wunsch.

Adventskalender

Für Gestalter: Wir speichern die Einstellungen des Kalenders (Motiv, Puzzle-Bild, Namen von Empfänger und Absender), die Inhalte der Türchen (Botschaften, Fotos, Gutscheine samt Codes, Links) und eine optionale E-Mail-Adresse. Rechtsgrundlage ist der Vertrag mit dir (Art. 6 Abs. 1 lit. b DSGVO).

Für Mitwirkende: Wer über den Mitmach-Link ein Türchen füllt, gibt einen Namen an. Ein Cookie erkennt dich danach wieder, damit nur du deine Türchen bearbeiten kannst. Deinen Namen und deine Inhalte sehen der Gestalter des Kalenders und – ab dem jeweiligen Tag – der Empfänger. Rechtsgrundlage ist unser berechtigtes Interesse und das des Gestalters an einem gemeinsamen Kalender (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer: Kalender werden mit allen Inhalten, Fotos und Mitwirkenden Ende Februar nach dem Advent automatisch gelöscht – oder früher auf Wunsch des Gestalters.

Wenn du einen Gruß oder Kalender öffnest

Hat dir jemand einen Gruß oder Kalender geschickt, haben wir deinen Namen und die Inhalte von der Person bekommen, die ihn gestaltet hat. Beim Öffnen speichern wir nur, dass und wann der Gruß geöffnet und die Überraschung freigerubbelt wurde – bei Kalendern, welche Türchen geöffnet, welche Puzzleteile gelegt und welche Gutscheine eingelöst wurden. Keine IP-Adresse, kein Gerät, kein Standort.

Diese Angaben sieht der Absender in seiner Übersicht – damit er weiß, dass sein Gruß angekommen ist. Sagst du „Danke“, speichern wir deine Nachricht und zeigen sie dem Absender; auf Wunsch benachrichtigen wir ihn per E-Mail.

Rechtsgrundlage ist das berechtigte Interesse des Absenders und unseres, den Gruß zuzustellen und das Erlebnis zu ermöglichen (Art. 6 Abs. 1 lit. f DSGVO). Gelöscht wird alles zusammen mit dem Gruß bzw. Kalender.

E-Mails

E-Mail-Adressen sind bei GiftQuest immer freiwillig. Wir nutzen sie nur für den jeweiligen Zweck – nie für Werbung oder einen Newsletter:

• Deine Adresse: für deinen Bearbeitungslink und für Hinweise, wenn sich jemand bedankt oder einen Gutschein einlöst.
• Adresse eines Empfängers: Planst du eine Zustellung per E-Mail, schicken wir den Link einmalig zum gewählten Zeitpunkt in deinem Auftrag. Bitte trag nur Adressen von Menschen ein, die den Gruß bekommen sollen.

Rechtsgrundlage ist der Vertrag mit dir (Art. 6 Abs. 1 lit. b DSGVO), für Adressen von Empfängern unser und dein berechtigtes Interesse an der Zustellung (Art. 6 Abs. 1 lit. f DSGVO). Die Adressen werden zusammen mit dem Gruß bzw. Kalender gelöscht.

Unsere E-Mails verschicken wir über die IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland, als Auftragsverarbeiter (Art. 28 DSGVO).

Link-Vorschau, QR-Code und Druckkarten

Teilst du einen Link, etwa per WhatsApp, ruft der Messenger bei uns ein Vorschaubild ab. Es zeigt den Vornamen des Empfängers und den Absender, nie Text, Fotos oder die Überraschung. Für diesen Abruf gelten die Datenschutzhinweise des jeweiligen Messengers.

QR-Codes und Druckkarten (PDF) erzeugen wir beim Abruf aus dem Link und speichern sie nicht.

Bezahlung über Stripe

Kaufst du bei GiftQuest etwas, wirst du zur Bezahlseite der Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland, weitergeleitet. Stripe verarbeitet dort Name, E-Mail-Adresse, ggf. Rechnungsanschrift, Zahlungsdaten sowie Geräte- und Verbindungsdaten zur Betrugsvorbeugung. Kartennummern sehen wir nie; wir erhalten nur Betrag, Zeitpunkt, Zahlungsart, die Bestätigung der Zahlung und die Angaben für den Beleg.

Rechtsgrundlagen sind der Vertrag (Art. 6 Abs. 1 lit. b DSGVO) und gesetzliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO). Für Betrugsvorbeugung und gesetzliche Pflichten ist Stripe selbst verantwortlich. Stripe kann Daten an die Stripe, Inc. in den USA übermitteln, die nach dem EU-US Data Privacy Framework zertifiziert ist. Wählst du z. B. Apple Pay, Google Pay, PayPal oder Klarna, gelten zusätzlich deren Datenschutzhinweise. Mehr: stripe.com/de/privacy.

Belege und Buchungsdaten bewahren wir so lange auf, wie Handels- und Steuerrecht es verlangen (in der Regel 8 bzw. 10 Jahre, § 147 AO, § 257 HGB).

Kontakt und Widerruf

Schreibst du uns eine E-Mail, verarbeiten wir deine Adresse und deine Nachricht, um dein Anliegen zu beantworten (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Wir löschen sie, sobald alles erledigt ist, es sei denn, gesetzliche Aufbewahrungsfristen gelten.

Nutzt du unsere Funktion „Vertrag widerrufen“, speichern wir Name, E-Mail-Adresse, die Angaben zum Vertrag, deine Nachricht sowie Datum und Uhrzeit des Eingangs und schicken dir eine Eingangsbestätigung. Das ist gesetzlich vorgeschrieben (Art. 6 Abs. 1 lit. c DSGVO, § 356a BGB). Die Angaben bewahren wir drei Jahre als Nachweis auf.

Cookies und Speicher auf deinem Gerät

Wir speichern auf deinem Gerät nur, was für die Funktionen nötig ist, die du ausdrücklich nutzt (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO):

Den Browser-Speicher kannst du jederzeit in den Einstellungen deines Browsers löschen. Dann sind Entwürfe und die Liste „Meine Grüße“ auf diesem Gerät weg – die Grüße selbst bleiben über ihre Links erreichbar.

Statistik und Werbung (nur mit Einwilligung)

Derzeit setzen wir keine Statistik- oder Werbedienste ein. Wenn sich das ändert, fragen wir dich vorher um Einwilligung und ergänzen diese Erklärung.

Schriften, Inhalte Dritter, Links

Schriften, Bilder und Filme liefern wir selbst aus – beim Aufruf von GiftQuest wird keine Verbindung zu Google Fonts oder anderen Schrift- und Inhaltsanbietern aufgebaut.

Grüße und Kalender können Links zu anderen Websites enthalten, die ihre Gestalter eingefügt haben. Öffnest du einen solchen Link, gelten die Datenschutzhinweise der jeweiligen Website.

Sicherheit

Alle Verbindungen sind per HTTPS verschlüsselt. Private Links sind lange Zufallsschlüssel; Bearbeitungslinks speichern wir nur als Prüfsumme (Hash). Private Seiten sind für Suchmaschinen gesperrt und geben ihre Adresse nicht an andere Websites weiter.

Speicherdauer im Überblick

Sonstiges

Du musst uns keine Daten geben – ohne Namen, Text oder Fotos können wir allerdings keinen Gruß gestalten. Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

Wir passen diese Erklärung an, wenn sich GiftQuest oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.