Datenschutzerklärung

Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist Smart Soft Solution OÜ, Laeva 7, 10151 Tallinn, Estland (Registrikood 17531612). Weitere Angaben findest du im Impressum.

Bei Fragen zum Datenschutz erreichst du uns unter privacy@recogift.com oder über die im Impressum genannten Kontaktdaten. Einen Datenschutzbeauftragten haben wir nicht bestellt, da hierfür die gesetzlichen Voraussetzungen nicht vorliegen.

Erhobene Daten

Wenn du Recogift nutzt, verarbeiten wir folgende Datenkategorien:

• Server‑Logs: IP‑Adresse, Zeitstempel, Browser‑ und Gerätetyp sowie aufgerufene Seiten – erfasst über Azure Application Insights und für bis zu 90 Tage gespeichert.
• Geschenkplan-Daten: Deine kategorialen Fragebogenantworten (Beziehung zur beschenkten Person, Anlass, Budget, Interessen und Einschränkungen) werden an unseren Server gesendet, um Empfehlungen zu erstellen. Der resultierende Plan wird als pseudonymisiertes JSON ohne direkte Kennungen gespeichert, sofern du ihn nicht in einem angemeldeten Konto speicherst.
• Klickprotokolle: Bei Weiterleitungen zu Katalogprodukten speichern wir Produktkennung und Zeitstempel sowie HMAC-SHA-256-Werte, die zur Betrugsprävention aus IP-Adresse und User-Agent abgeleitet werden. Bei Angebotsweiterleitungen speichern wir stattdessen Zeitstempel, Klickreferenz, Angebots- und Berichtsbezug, Affiliate-Netzwerk, Markt und Platzierung, jedoch keine IP-Adresse, keinen User-Agent und keine Kontokennung.
• Lokaler Browserspeicher: Fragebogenfortschritt, Merklisten, Einwilligungsentscheidungen und optionale Komforteinstellungen werden in localStorage gespeichert. Wenn du dich anmeldest, speichert Supabase außerdem die notwendige Recogift-Anmeldesitzung einschließlich Zugriffs- und Aktualisierungstoken in diesem Browser.
• Kommunikation: Wenn du uns eine E‑Mail sendest, verarbeiten wir die darin enthaltenen Daten ausschließlich zur Beantwortung deiner Anfrage.
• Kontodaten (nur bei Registrierung): Wenn du ein optionales Nutzerkonto anlegst, verarbeiten wir deine E-Mail-Adresse, optionale Profilangaben (Anzeigename, Land, Spracheinstellung) und deine Einstellung zum Erhalt von Marketing-E-Mails. Die Registrierung ist freiwillig – der Geschenkefinder funktioniert auch ohne Konto.
• Herkunftsdaten: Wenn du über einen Geschenk-Guide oder eine Kampagne kommst, können wir Guide-Kennung, verweisenden Host, Einstiegspfad sowie UTM-Quelle, -Medium und -Kampagne an den von dir abgesendeten Bericht anhängen. Wir verwenden diese Daten nicht für websiteübergreifendes Tracking.
• Fehlerdiagnosedaten: In der Produktion kann Sentry Fehlermeldungen und Stacktraces, die Seiten-URL ohne Abfragezeichenfolge sowie Browser-, Geräte- und Verbindungsmetadaten erhalten. Die standardmäßige Erfassung personenbezogener Daten, Performance-Tracing und Sitzungsaufzeichnungen sind deaktiviert.
• Reichweitenmessungsdaten: Wenn die Reichweitenmessung mit Umami aktiviert ist, verarbeiten wir normalisierte Seitenpfade, normalisierte Referrer- und Kampagnenparameter, Browser, Betriebssystem, Gerätetyp, Bildschirmauflösung, Spracheinstellung, ungefähren Standort, Ereignisnamen und ausgewählte Ereigniseigenschaften. Freigabe-, Berichts- und Kontokennungen sowie Fragebogenantworten werden nicht übermittelt.
• Produktinteressen-Kennungen: Bei Merk-, Vergleichs- und Angebotsklick-Ereignissen übermitteln wir die stabile Katalog- oder Angebotskennung. Produkttitel, Händler-URLs und Weiterleitungssignaturen werden nicht übermittelt.

Zwecke und Rechtsgrundlagen

Wir verarbeiten deine Daten, um den Geschenkefinder bereitzustellen und Empfehlungen durch automatisiertes Matching und Scoring zu erstellen (Art. 6 Abs. 1 lit. b DSGVO — Leistung auf deine Anfrage), um Sicherheit und Stabilität einschließlich der Fehlerdiagnose zu gewährleisten (Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen), um auszuwerten, welche Guides und Kampagnen zu abgeschlossenen Berichten führen (Art. 6 Abs. 1 lit. f DSGVO), und um Anfragen zu beantworten (Art. 6 Abs. 1 lit. b oder f DSGVO). Das Matching entfaltet keine rechtlichen oder ähnlich erheblichen Wirkungen. Wir nutzen deine Daten nicht für verhaltensbasierte Werbung und verkaufen sie nicht an Dritte.

Legst du ein Nutzerkonto an, verarbeiten wir deine Kontodaten zur Bereitstellung und Verwaltung des Kontos (Art. 6 Abs. 1 lit. b DSGVO). Derzeit versenden wir keine Marketing-E-Mails. Falls du dem Erhalt von Marketing-E-Mails zustimmst, wird diese Einwilligung gespeichert; sollten wir künftig Marketing-E-Mails versenden, geschieht dies ausschließlich auf Grundlage deiner ausdrücklichen und jederzeit widerruflichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), und jede E-Mail enthält einen Abmeldelink.

Lokaler Browserspeicher

Der Geschenkefinder speichert den Fragebogenfortschritt (gc_phase1_wizard_state_v1), deine Merkliste (recogift_saved_ideas_v1) und den Einwilligungsnachweis (recogift_consent_v2) in localStorage. Wenn du dich anmeldest, bleibt die technisch notwendige Anmeldesitzung (recogift.auth.session) einschließlich Zugriffs- und Aktualisierungstoken gespeichert, bis du dich abmeldest, die Sitzung beendet wird oder du die Website-Daten löschst. Nur mit deiner Einwilligung „Komfort & Erinnerung“ speichern wir zusätzlich letzte Empfehlungen und die bevorzugte Vergleichsansicht. Fragebogendaten werden beim Absenden übertragen; Sitzungsdaten werden zur Anmeldung mit Supabase ausgetauscht. Widersprichst du der Reichweitenmessung, speichern wir dies als umami.disabled; einen früheren Widerspruch unter plausible_ignore lesen wir weiterhin (siehe Abschnitt zur Reichweitenmessung). Optionale Einwilligungen kannst du über „Datenschutz-Einstellungen“ im Footer widerrufen.

Affiliate-Links und Werbekennzeichnung

Einige Produktlinks in unseren Empfehlungen können Affiliate-Links sein. Kaufst du nach einem Klick beim Händler, kann Recogift eine kleine Provision erhalten — ohne Mehrkosten für dich. Provisionen beeinflussen die Produktauswahl nicht; das Scoring richtet sich ausschließlich nach der Passung zu deinen Antworten. Kommerzielle Links werden sichtbar gekennzeichnet und verwenden das Attribut rel="sponsored".

Affiliate-Netzwerke

Recogift nimmt als Publisher am Affiliate-Netzwerk der AWIN AG, Otto-Ostrowski-Straße 1A, 10249 Berlin, Deutschland, teil. Entsprechend gekennzeichnete Produktlinks enthalten eine AWIN-Affiliate-Kennung und führen über eine AWIN-Domain zum Händler. Für die Verarbeitung innerhalb einer AWIN-Kampagne handeln Smart Soft Solution OÜ und AWIN nach dem AWIN-Datenschutzanhang als gemeinsam Verantwortliche (Art. 26 DSGVO). Die Verteilung der Datenschutzpflichten, insbesondere für Betroffenenanfragen und Datenschutzverletzungen, ist in diesem Anhang geregelt; du kannst deine Rechte gegenüber beiden Parteien geltend machen.

Was passiert beim Klick auf einen Affiliate-Link?

Wenn du einem Produktlink folgst, leitet Recogift dich zunächst über den eigenen Server weiter. Bei Katalogprodukt-Links speichern wir Produktkennung und Zeitstempel sowie HMAC-SHA-256-Werte, die aus IP-Adresse und User-Agent abgeleitet werden. Bei Angebotslinks speichern wir stattdessen eine Klickreferenz und den zugehörigen Angebots-, Berichts-, Produkt-, Netzwerk-, Markt- und Platzierungsbezug, jedoch keine IP-Adresse, keinen User-Agent und keine Kontokennung. Recogift setzt bei dieser Weiterleitung kein Cookie. Nach Aktivierung eines gekennzeichneten AWIN-Links führt die anschließende Weiterleitung über AWIN zum Händler. AWIN kann dabei Tracking-Domain-Cookies und vergleichbare Technologien einschließlich Device-Fingerprinting einsetzen und pseudonyme technische Daten verarbeiten, etwa Klickzeitpunkt, Land, Publisher-, Advertiser-, Kampagnen- und Produktkennungen, Klick- bzw. Netzwerkreferenz, Referrer, gekürzte oder gehashte IP-Adresse und Gerätemerkmale. Der Händler kann AWIN anschließend begrenzte Transaktionsdaten wie Bestellwert, Gutscheinverwendung, Produkttyp und Vertriebskanal melden.

Rechtsgrundlage und Widerspruchsrecht

Die eigene Recogift-Weiterleitung speichert oder liest keine Informationen auf deinem Gerät. Das serverseitige Klickprotokoll und die Klickreferenz verarbeiten wir auf Grundlage unserer berechtigten Interessen an Klickvalidierung, Zuordnung und Betrugsprävention (Art. 6 Abs. 1 lit. f DSGVO). HMAC-abgeleitete Klickwerte werden nach 90 Tagen gelöscht; Klickreferenzen mit den zugehörigen Angebots- und Berichtskennungen nach spätestens 400 Tagen. Du kannst dieser Verarbeitung gemäß Art. 21 DSGVO jederzeit über die im Impressum genannte Adresse widersprechen. Recogift bindet keine AWIN-Skripte ein und setzt selbst kein Tracking-Cookie. Ein Speichern oder Auslesen von Informationen auf deinem Gerät kann erst auf der AWIN-Domain erfolgen, nachdem du einen gekennzeichneten Link aktiv angeklickt hast; hierfür ist AWIN verantwortlich. AWIN stützt die Verarbeitung pseudonymer Trackingdaten auf berechtigte Interessen. Du kannst das AWIN-Tracking jederzeit über den unten verlinkten Opt-out deaktivieren. AWIN bewahrt Trackingdaten nach eigenen Angaben grundsätzlich 36 Monate auf. Datenschutzrechte gegenüber AWIN kannst du unter global-privacy@awin.com geltend machen.

Weitere Informationen und die Möglichkeit, AWIN-Tracking zu deaktivieren: Datenschutzerklärung von AWIN · AWIN-Tracking deaktivieren

Hosting und Auftragsverarbeitung

Für Website, API, Datenbank, Authentifizierung, geschäftliche E-Mail-Kommunikation, produktive Fehlerdiagnose und Reichweitenmessung setzen wir sorgfältig ausgewählte Auftragsverarbeiter mit Auftragsverarbeitungsverträgen ein (Art. 28 DSGVO). Ein Teil der primären Infrastruktur ist im EWR konfiguriert:

• Microsoft Azure – Hosting von API und Hintergrunddiensten sowie Betriebstelemetrie (Azure Application Insights) in der Region Deutschland (Frankfurt).
• Supabase (Supabase, Inc.) – Datenbank (unser primärer Datenspeicher), Authentifizierung und Kontoverwaltung in der Region EU-Zentral (Frankfurt); betrieben auf der Infrastruktur des Unterauftragsverarbeiters Amazon Web Services (AWS, Region eu-central-1, Frankfurt).
• Cloudflare (Cloudflare, Inc.) – Auslieferung der Website (statisches Hosting/CDN) über ein globales Netzwerk. Dabei können technische Verbindungs- und Protokolldaten auch außerhalb des EWR verarbeitet werden.
• Sentry (Functional Software, Inc., USA) — produktive Fehlerdiagnose über Sentrys EU-Ingest-Infrastruktur in Deutschland; Fehlerereignisse werden 90 Tage gespeichert.
• Zoho Mail – Bereitstellung unserer geschäftlichen E-Mail-Postfächer und Verarbeitung von Kontaktanfragen. Die Dienstedaten werden im Zoho-EU-Rechenzentrum gespeichert.
• Umami Software, Inc., 28 Geary St, Suite 650 #243, San Francisco, California, United States – cookielose, datenschutzfreundliche Reichweitenmessung; Verarbeitung in der EU-Datenregion des Anbieters.

Cloudflare, Supabase, Sentry und Umami sind in den USA ansässig oder haben US-Muttergesellschaften. Zoho Mail speichert Dienstedaten im EU-Rechenzentrum; für technischen Support kann in seltenen Fällen ein Zugriff aus Indien erfolgen. Soweit personenbezogene Daten in ein Drittland übermittelt werden oder von dort aus zugänglich sind, stützen wir uns auf den Auftragsverarbeitungsvertrag und eine anwendbare Garantie nach Kapitel V DSGVO, insbesondere erforderlichenfalls EU-Standardvertragsklauseln. Bei Änderungen aktualisieren wir diese Angaben.

Cookies, Browserspeicher und Reichweitenmessung

Beim bloßen Besuch von Recogift werden keine AWIN-Tracking-Cookies gesetzt. Nach Art. 5 Abs. 3 der ePrivacy-Richtlinie und den anwendbaren nationalen Umsetzungen ist keine Einwilligung für Browserspeicher erforderlich, der zur Bereitstellung einer von dir angeforderten Funktion unbedingt notwendig ist. Dazu gehören Fragebogenfortschritt, Merkliste, Einwilligungsnachweis und bei Anmeldung die Authentifizierungssitzung. Die zugehörige Verarbeitung personenbezogener Daten stützt sich wie oben beschrieben auf Art. 6 Abs. 1 lit. b oder f DSGVO. Optionale Speicherungen für „Komfort & Erinnerung“ erfolgen nur mit deiner jederzeit über „Datenschutz-Einstellungen“ widerruflichen Einwilligung (Art. 7 Abs. 3 DSGVO). Wenn du einen gekennzeichneten AWIN-Affiliate-Link anklickst, kann AWIN auf seiner eigenen Domain Tracking-Informationen auf deinem Gerät speichern oder auslesen. Einzelheiten stehen in Abschnitt 05.

Reichweitenmessung mit Umami: Wenn aktiviert, erhält Umami (Umami Software, Inc., San Francisco, USA; Verarbeitung in der EU-Datenregion) datenschutzgerecht normalisierte Seitenpfade und Referrer, Kampagnenwerte, Ereignisnamen und ausgewählte Eigenschaften sowie Angaben zu Browser, Betriebssystem, Gerätetyp, Bildschirmauflösung, Spracheinstellung und ungefährem Standort. Umami setzt keine Analytics-Cookies und erstellt kein geräteübergreifendes Profil. Deine IP-Adresse wird dabei nur vorübergehend verarbeitet — zur Ableitung des ungefähren Standorts und als Eingangswert für eine Sitzungskennung — und nicht gespeichert; diese Sitzungskennung ist ein Hashwert aus technischen Angaben (u. a. Website-Kennung, IP-Adresse und User-Agent) und einem serverseitigen Zufallswert, der monatlich wechselt. Wir messen Seitenaufrufe, den Start und das Absenden des Fragebogens sowie Fehler, Merken, Vergleiche, das Aufklappen von Bereichen, erfolgreiche Freigaben und Angebotsklicks. Freigabe-, Berichts- und Kontokennungen sowie Fragebogenantworten werden nicht übermittelt; auch Freigabekennungen im Referrer werden vor der Übermittlung entfernt. Rechtsgrundlage ist unser berechtigtes Interesse an einer datenschutzfreundlichen Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO). Da der Anbieter in den USA ansässig ist, stützen wir eine etwaige Übermittlung in ein Drittland auf den Auftragsverarbeitungsvertrag einschließlich der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Du kannst jederzeit widersprechen, indem du unter "Datenschutz-Einstellungen" im Footer "Anonyme Nutzungsanalyse" ausschaltest. Dadurch wird umami.disabled=1 ausschließlich zur Speicherung deiner Wahl für diesen Browser und diese Domain gesetzt; das Löschen der Browserdaten setzt die Auswahl zurück. Einen früher unter dem Schlüssel plausible_ignore gespeicherten Widerspruch (aus der zuvor eingesetzten Reichweitenmessung) lesen und beachten wir weiterhin; er wird entfernt, sobald du die Nutzungsanalyse wieder einschaltest.

Deine Rechte

Nach der DSGVO stehen dir folgende Rechte bezüglich deiner personenbezogenen Daten zu. Zur Geltendmachung wende dich bitte an die im Impressum angegebene E‑Mail‑Adresse:

• Auskunftsrecht (Art. 15 DSGVO) – du kannst eine Kopie der bei uns gespeicherten personenbezogenen Daten anfordern.
• Recht auf Berichtigung (Art. 16 DSGVO) – du kannst die Korrektur unrichtiger Daten verlangen.
• Recht auf Löschung (Art. 17 DSGVO) – du kannst die Löschung deiner Daten verlangen, soweit keine vorrangige Rechtsgrundlage entgegensteht.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO) – du kannst deine Daten in einem strukturierten, maschinenlesbaren Format anfordern.
• Widerspruchsrecht (Art. 21 DSGVO) gegen Verarbeitungen auf Grundlage berechtigter Interessen sowie Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Zuständige Aufsichtsbehörde ist die estnische Datenschutzaufsicht (Andmekaitse Inspektsioon, aki.ee); du kannst dich auch an die Aufsichtsbehörde deines Wohnsitzstaates wenden.
• Recht auf Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO) – du kannst erteilte Einwilligungen, z. B. „Komfort & Erinnerung“, jederzeit über den Footer-Link „Datenschutz-Einstellungen“ widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Speicherdauer

Serverprotokolle (Betriebstelemetrie über Azure Application Insights) werden für bis zu 90 Tage gespeichert. Geschenkplan-Daten werden bis zu 30 Tage gespeichert; an einen Bericht angehängte Herkunftsdaten folgen dessen Aufbewahrungsfrist. Geteilte Berichte und Merklisten verfallen nach 90 Tagen. HMAC-abgeleitete Klickwerte werden 90 Tage und Klickreferenzen mit Angebots- und Berichtskennungen bis zu 400 Tage gespeichert. Sentry-Fehlerereignisse werden 90 Tage gespeichert. Kontaktanfragen und die zugehörige Korrespondenz löschen wir nach Abschluss der Anfrage, spätestens 12 Monate nach dem letzten Kontakt, sofern keine gesetzlichen Aufbewahrungspflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen eine längere Speicherung erfordern. In einem angemeldeten Konto gespeicherte Berichte und Kontodaten bleiben bis zu ihrer Löschung oder der Kontolöschung erhalten. Die Anmeldesitzung bleibt bis zur Abmeldung, Sitzungsbeendigung oder Löschung der Website-Daten im Browser; sonstige lokale Daten bis zu ihrer Löschung.

Die Aufbewahrungsdauer für Analysedaten richtet sich nach unserem Umami-Tarif und beträgt derzeit sechs Monate. Wir prüfen die Erforderlichkeit mindestens jährlich und löschen die Website-Statistiken oder das Konto, sobald sie nicht mehr benötigt werden.

Sicherheit

Wir verwenden TLS-Verschlüsselung für die Datenübertragung und Zugriffskontrollen für Produktionssysteme. Wir erheben keine Zahlungsdaten. Recogift speichert selbst keine Passwörter; die Anmeldung wird von Supabase verarbeitet. Anonyme Pläne werden ohne direkte Kennungen gespeichert. Sentry ist ohne standardmäßige PII-Erfassung, Abfragezeichenfolgen, Performance-Tracing oder Sitzungsaufzeichnung konfiguriert.

Änderungen dieser Datenschutzerklärung

Wir aktualisieren diese Datenschutzerklärung, wenn sich unsere Dienste wesentlich ändern. Das Datum oben auf dieser Seite wird dann angepasst. Maßgeblich ist stets die zum Zeitpunkt der Verarbeitung geltende Fassung; bei wesentlichen Änderungen, die deine Rechte als betroffene Person berühren, holen wir – soweit erforderlich – eine erneute Einwilligung ein. Aus der reinen Weiternutzung des Dienstes leiten wir keine Zustimmung zu nachteiligen Änderungen ab.