Rechtliches

Datenschutzerklärung

Stand: 21. Oktober 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

MOUNTEN
Inhaber: Marvin Terwege
Hubertusstraße 2
46395 Bocholt
Deutschland
E-Mail: info@rabattrallye.de
Kontaktformular: rabattrallye.de/kontakt

Rabattrallye ist ein Angebot von MOUNTEN, Inh. Marvin Terwege.

Ein Datenschutzbeauftragter ist gesetzlich nicht zu benennen. Für alle Anliegen zum Datenschutz erreichen Sie uns über die oben genannten Wege.

2. Überblick

Diese Datenschutzerklärung gilt für unsere Website rabattrallye.de und für unsere App „Rabattrallye Deals“ für iOS und „Rabattrallye“ für Android. Wir verarbeiten personenbezogene Daten nur, soweit es für unsere Leistungen nötig ist, und nur auf einer der folgenden Rechtsgrundlagen: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), Vertrag oder vorvertragliche Maßnahmen (lit. b), rechtliche Pflicht (lit. c) oder berechtigtes Interesse (lit. f). Bei jeder Verarbeitung nennen wir die Grundlage.

Wir setzen keine Werbe- oder Tracking-Dienste ein, erstellen keine Werbeprofile und verkaufen keine Daten. Die Reichweitenmessung für Händler:innen (Ziffer 12) zählt Aufrufe ohne Profilbildung.

3. Hosting, Speicher und Sicherungskopien

Website, Schnittstelle (API) und Datenbank betreiben wir auf einem Server der Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern, im Rechenzentrum Frankfurt am Main (Deutschland). Hochgeladene Bilder, die verschlüsselten Nachweise aus der Händler-Verifizierung und unsere Sicherungskopien liegen im Objektspeicher der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Rechenzentrum Falkenstein, Deutschland). Bilder liefert unser Server aus; Ihr Gerät verbindet sich dafür nicht mit Hetzner. Beide Anbieter verarbeiten die Daten in unserem Auftrag (Art. 28 DSGVO). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (sicherer und verfügbarer Betrieb).

Wir sichern die Datenbank täglich. Die Sicherungen werden auf unserem Server verschlüsselt, bevor sie zu Hetzner übertragen werden; die Schlüssel liegen nur bei uns. Wir bewahren sie 14 Tage auf dem Server und 30 Tage im externen Speicher auf. Gelöschte Bilder halten wir dort ebenfalls 30 Tage vor, um versehentliche Löschungen rückgängig machen zu können. Danach werden sie endgültig gelöscht. Zusätzlich sichert Hostinger den gesamten Server wöchentlich und bewahrt jeweils die letzten zwei Sicherungen getrennt vom Server in einem Rechenzentrum in Frankreich auf; ältere werden automatisch ersetzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Wiederherstellbarkeit unserer Systeme).

4. Server-Logfiles und Anwendungsprotokolle

Bei jedem Aufruf der Website und jeder Anfrage der App an unsere API speichert unser Webserver: IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse einschließlich ihrer Parameter (bei der Umkreissuche also auch die Koordinaten, Ziffer 8), Statuscode, Datenmenge, Antwortzeit und die Kennung Ihres Browsers bzw. der App. Die Daten sind nötig, um Inhalte auszuliefern und Störungen und Angriffe zu erkennen. Wir löschen sie nach 14 Tagen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Unsere Anwendung protokolliert technische Ereignisse (zum Beispiel, dass eine E-Mail versendet wurde) ohne vollständige E-Mail-Adressen. Diese Protokolle werden fortlaufend überschrieben, in der Regel innerhalb weniger Tage. Zum Schutz vor Missbrauch zählen wir Anfragen an sensible Funktionen (Anmeldung, Registrierung, Passwort, Codes per SMS, Formulare, Uploads) je IP-Adresse, Konto, E-Mail-Adresse oder Telefonnummer in pseudonymisierter Form; diese Zähler verfallen nach spätestens 24 Stunden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

5. Cookies und Speicher im Browser (Website)

Wir setzen nur Cookies und Speichereinträge, die für die von Ihnen genutzten Funktionen unbedingt erforderlich sind (§ 25 Abs. 2 TDDDG); einwilligungspflichtig ist allein die Kartenanzeige (Ziffer 9).

Cookie rr_refresh: hält Sie angemeldet (Sitzungsschlüssel, nur vom Server lesbar, 30 Tage, bei jeder Nutzung erneuert, beim Abmelden gelöscht).
Cookies rr_mreg_flow und rr_mreg_done: steuern die Händler-Registrierung (nur vom Server lesbar, 24 bzw. 3 Stunden, nach Abschluss gelöscht).
Lokaler Speicher: Zugangs-Token und Kontodaten nach der Anmeldung (token, user, beim Abmelden gelöscht), Ihre Auswahl im Banner „Datenschutz-Einstellungen“ (rr_consent), der gewählte Standort und Umkreis (rabattrallye.web.userLocation, rabattrallye.web.dealsRadiusKm). Diese Einträge bleiben, bis Sie sie in Ihrem Browser löschen.
Sitzungsspeicher (wird beim Schließen des Tabs gelöscht): Schutzwerte bei der Anmeldung mit Google und der Händler-Registrierung, der Stand des Händler-Rundgangs, ob Sie den Hinweis auf die App geschlossen haben.

Ihre Entscheidung über die Kartenanzeige können Sie jederzeit über „Cookie-Einstellungen“ im Seitenfuß ändern.

6. Nutzerkonto, Anmeldung und Sitzungen

Für das Einlösen, Reservieren, Bewerten und für Händlerfunktionen brauchen Sie ein Konto. Wir verarbeiten E-Mail-Adresse, Passwort (nur als Hash), Name und Ihre Einstellungen; bei Händler:innen zusätzlich Unternehmensdaten (Firma, Anschrift, Telefon, Ansprechpartner, Bilder, Öffnungszeiten), die zum Teil öffentlich angezeigt werden. Wir speichern, wann Sie den AGB und gegebenenfalls dem Newsletter zugestimmt haben. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Für jede Anmeldung auf einem Gerät legen wir eine Sitzung an. Dazu speichern wir einen verschlüsselten Sitzungsschlüssel, die IP-Adresse und die Kennung des Browsers bzw. der App, um Ihnen und uns ungewöhnliche Anmeldungen erkennbar zu machen. Eine Sitzung gilt 30 Tage; abgelaufene Sitzungen löschen wir automatisch. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Sicherheit der Konten).

Sie können Ihr Konto jederzeit deaktivieren oder löschen. Ein deaktiviertes Konto lässt sich 30 Tage lang durch Anmelden wieder aktivieren; danach löschen wir es wie bei einer Löschung durch Sie. Das Löschdatum teilen wir Ihnen per E-Mail mit und erinnern Sie vorher. Ein Premium-Abo über die Website endet mit der Löschung; ein Abo über Apple oder Google kündigen Sie im jeweiligen Store.

7. E-Mails, Newsletter und Kontakt

Wir versenden E-Mails zur Bestätigung Ihrer Adresse, zum Zurücksetzen des Passworts, zu Käufen (Bestellbestätigung mit AGB und Widerrufsbelehrung), Kündigungen, Reservierungen und Ihrem Konto. Versand über den E-Mail-Dienst von Hostinger. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, bei Kaufbelegen zusätzlich lit. c.

Newsletter. Neuigkeiten und Angebote, etwa Aktionen für Händler:innen, schicken wir nur mit Ihrer Einwilligung, die Sie bei der Registrierung oder in den Einstellungen geben (Art. 6 Abs. 1 lit. a DSGVO). Wir speichern den Zeitpunkt der Einwilligung. Sie können sie jederzeit in den Einstellungen oder über den Abmeldelink in jeder solchen E-Mail widerrufen.

Kontaktformular und Anfragen per E-Mail. Wir verarbeiten Name, E-Mail-Adresse, Thema und Nachricht, bei angemeldeten Nutzer:innen zusätzlich die Kennung des Kontos, um Ihr Anliegen zu beantworten. Die Nachricht wird an unser Postfach weitergeleitet und nicht in der Datenbank gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit es um einen Vertrag geht, sonst lit. f (Beantwortung von Anfragen). Wir löschen die Nachricht, wenn Ihr Anliegen erledigt ist und keine Aufbewahrungspflicht besteht.

Kündigung über „Verträge hier kündigen“. Wir speichern Ihre Kündigungserklärung: Name, E-Mail-Adresse, Vertrag, Art der Kündigung, bei einer außerordentlichen Kündigung den Grund, das gewünschte Ende, Datum und Uhrzeit des Eingangs, bei Anmeldung die Kennung Ihres Kontos, sowie ob und wann wir die Kündigung ausgeführt und die Bestätigung versendet haben. Eine Kopie geht an unser Postfach. Zweck: die Kündigung ausführen, sie Ihnen bestätigen (§ 312k BGB) und ihren Eingang bei späteren Fragen zur Abrechnung belegen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für die Bestätigung und die Aufbewahrung lit. c (§ 312k BGB, § 147 AO), für den Nachweis lit. f. Wir bewahren die Angaben sechs Jahre auf, gerechnet ab dem Ende des Kalenderjahres, in dem die Kündigung eingegangen ist, und löschen sie danach. Löschen Sie Ihr Konto, bleibt die Kündigung bis dahin ohne Verknüpfung zum Konto erhalten.

8. Standort und Umkreissuche

Deals in Ihrer Nähe finden wir über Ihren Standort. Auf der Website fragt Ihr Browser dafür um Erlaubnis; ohne sie geben Sie einen Ort ein oder sehen Deals für Bocholt. In der App fragt das Betriebssystem, nur für die Nutzung der App, nie im Hintergrund. Die Koordinaten und der Umkreis werden mit jeder Suche an unsere API übermittelt und dort nicht in der Datenbank gespeichert; als Teil der aufgerufenen Adresse erscheinen sie im Webserver-Log (14 Tage, Ziffer 4). Auf Ihrem Gerät merken wir uns den zuletzt gewählten Standort. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Erlaubnis im Browser bzw. Systemdialog, jederzeit widerrufbar) und lit. b.

Geben Sie einen Ort ein, den wir nicht kennen, sucht unser Server ihn bei Google Places (Postleitzahl und Ort, ohne Ihre IP-Adresse).

Neue Deals in der Nähe (App, optional). Schalten Sie diese Mitteilungen ein, speichern wir Ihren Standort und den gewählten Umkreis auf unserem Server und aktualisieren ihn beim Einschalten und bei jedem Öffnen der App. Wird ein Deal in Ihrem Umkreis veröffentlicht, schicken wir Ihnen eine Mitteilung. Schalten Sie die Funktion oder Mitteilungen aus, löschen wir den Standort. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

9. Karten auf der Website (nur mit Einwilligung)

Die Karte laden wir erst, wenn Sie der Kategorie „Externe Medien“ zugestimmt haben (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Dann überträgt Ihr Browser Ihre IP-Adresse an Google (Google Maps und Schriften von Google; Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Übermittlung in die USA möglich) bzw. als Ausweichlösung an die OpenStreetMap Foundation (St John's Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich). Die Einwilligung können Sie über „Cookie-Einstellungen“ jederzeit widerrufen. Weitere Informationen: Datenschutzerklärung von Google, Datenschutzhinweise der OSMF.

10. Käufe auf der Website (Stripe)

Premium, den Premium-Gutschein und den Deal-Boost können Sie auf der Website kaufen. Die Zahlung wickelt Stripe ab (Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland). Sie geben Ihre Zahlungsdaten direkt bei Stripe ein; wir erhalten sie nicht. Stripe übermittelt uns eine Kunden- und gegebenenfalls Abo-Kennung, den Zahlungsstatus, die Laufzeit und die E-Mail-Adresse aus dem Bezahlvorgang. Ihre Zustimmung zu den AGB und zum sofortigen Beginn speichern wir mit Zeitpunkt und Textfassung beim Kauf in Stripe. Beim Gutschein speichern wir die E-Mail-Adresse der Käufer:in, um den Code zu senden; wir löschen sie 180 Tage nach der Einlösung des Codes, bei nicht eingelösten Codes 180 Tage nach Ablauf der Gültigkeit.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für Belege und Rechnungen lit. c (handels- und steuerrechtliche Aufbewahrung, in der Regel acht bis zehn Jahre). Stripe verarbeitet Daten zum Teil als eigener Verantwortlicher, etwa zur Betrugsprävention und zur Erfüllung von Finanzvorschriften; dabei kann eine Übermittlung an Stripe, Inc. (USA) stattfinden. Weitere Informationen: Datenschutzerklärung von Stripe. Käufe in der App beschreibt Ziffer 16.4.

11. Deals einlösen, Reservierungen und Bewertungen

Einlösen. Wir speichern, welches Konto welchen Deal wann eingelöst hat und ob die Händler:in die Einlösung bestätigt hat. Die Händler:in sieht bei der Einlösung den Code, nicht Ihre Kontodaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Reservierungen. Fragen Sie eine Reservierung an, geben wir Ihren Namen, Ihre Telefonnummer, Ihre Notiz, Datum, Uhrzeit und Personenzahl an die Händler:in weiter, damit sie die Anfrage beantworten kann. Benachrichtigungen per E-Mail und Mitteilung enthalten diese Kontaktdaten nicht. 30 Tage nach dem Termin bzw. dem Abschluss der Anfrage löschen wir Name, Telefonnummer und Notizen; bei einer Kontolöschung sofort. Meldet eine Händler:in, dass Sie zu einer bestätigten Reservierung ohne Absage nicht erschienen sind, speichern wir das. Nach der dritten Meldung innerhalb von 180 Tagen können Sie keine Reservierungen mehr anfragen; das geschieht automatisch. Halten Sie eine Meldung für unberechtigt, wenden Sie sich an uns; wir prüfen den Fall persönlich und heben die Sperre auf, wenn sie nicht gerechtfertigt ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für die Sperre lit. f (Schutz der Händler:innen vor wiederholtem Nichterscheinen).

Bewertungen. Nach einer bestätigten Einlösung können Sie Deal und Händler:in mit Sternen bewerten. Wir speichern Ihre Bewertung mit Ihrem Konto; öffentlich erscheinen nur Anzahl und Durchschnitt, nie einzelne Bewertungen oder Namen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

12. Reichweitenmessung für Händler:innen

Händler:innen sehen, wie oft ihre Deals und ihr Profil angesehen und wie oft Route, Anruf oder Website angetippt wurden. Damit ein Besuch am selben Tag nicht doppelt zählt, bilden wir aus Tag, IP-Adresse und Browserkennung (angemeldet: aus Tag und Konto) mit einem geheimen Schlüssel eine pseudonyme Kennung und halten sie 36 Stunden in einem Zwischenspeicher. Dauerhaft speichern wir nur Tagessummen ohne Bezug zu einzelnen Personen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse und das der Händler:innen ist, die Wirkung ihrer Angebote zu sehen. Sie können dem jederzeit widersprechen (Ziffer 20).

13. Händler:innen

Geschäftssuche. Bei der Registrierung können Sie Ihr Geschäft suchen. Ihre Eingabe sendet unser Server an Google Places (Google Ireland Limited; Übermittlung in die USA möglich) und übernimmt Name, Anschrift, Telefon und Website des Treffers.

Verifizierung. Bevor Ihre Deals öffentlich werden, prüft unser Team Ihr Geschäft. Dazu bestätigen Sie die Handynummer der Kontaktperson mit einem Code, den wir per SMS über Twilio senden (Twilio Ireland Limited, 25-28 North Wall Quay, Dublin 1, Irland; Übermittlung in die USA möglich). Twilio erhält dafür die Nummer. Codes per SMS senden wir derzeit nur an deutsche und niederländische Handynummern. Wir speichern die Handynummer der Kontaktperson und die zuletzt bestätigte Nummer vollständig, dazu ein Protokoll, wann ein Code angefordert, gesendet oder bestätigt wurde und mit welchem Ergebnis; im Protokoll steht die Nummer nur gekürzt. Haben Sie bei der Registrierung einen Eintrag aus Google Places gewählt, gleicht unser Server Name, Anschrift, Telefonnummer und Website mit diesem Eintrag ab; wir speichern die Kennung des Eintrags und das Ergebnis des Abgleichs, nicht die Daten des Eintrags. Für die Prüfung und bei der Entscheidung ruft unser Team den Eintrag erneut bei Google ab. Außerdem prüfen wir, ob die Domain Ihrer E-Mail-Adresse zur Website passt und ob Anschrift, Name oder Handynummer schon bei einem anderen Händlerkonto hinterlegt sind. Über die Freischaltung entscheidet immer ein Mensch aus unserem Team; wir halten fest, wer entschieden hat, auf welcher Grundlage und mit welchem Ergebnis des Abgleichs. Bei Bedarf bitten wir um einen Gewerbenachweis; er wird verschlüsselt gespeichert, nur von unserem Team eingesehen und 90 Tage nach der Prüfung gelöscht, bei einer Kontolöschung sofort. Prüfergebnisse und Protokoll der Verifizierung speichern wir, solange Ihr Händlerkonto besteht. Besteht der begründete Verdacht, dass ein Geschäft ohne Berechtigung registriert wurde, können wir die Inhaberin oder den Inhaber des betroffenen Geschäfts und zuständige Behörden informieren und ihnen die dafür nötigen Angaben übermitteln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Schutz vor gefälschten Geschäften).

Beleg nach einer Kontolöschung. Wird ein Händlerkonto gelöscht, dessen Verifizierung wir abgelehnt haben, das wir gesperrt haben oder bei dem unsere Prüfung Hinweise auf eine Registrierung ohne Berechtigung ergeben hat, bewahren wir einen kleinen Beleg ein Jahr lang auf: Firma, Anschrift, Kennung des Google-Eintrags, die angegebenen Telefonnummern und die E-Mail-Adresse des Kontos. Er dient allein dazu, eine erneute Registrierung desselben Geschäfts ohne Berechtigung zu erkennen und Betrugsfälle aufzuklären, auch gegenüber der Inhaberin oder dem Inhaber des Geschäfts und Behörden. Danach löschen wir ihn. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz betroffener Geschäfte und unserer Plattform vor gefälschten Händlerkonten); dass wir diese Angaben nicht sofort löschen, stützt sich auf Art. 17 Abs. 3 lit. e DSGVO (Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen).

Lage Ihres Geschäfts. Die Koordinaten Ihres Geschäfts ermittelt unser Server bei der Registrierung und bei jeder Änderung der Anschrift aus der Adresse beim Dienst Nominatim der OpenStreetMap Foundation (Vereinigtes Königreich); fehlen sie, geschieht das beim Anlegen eines Deals. Nominatim erhält dabei nur die Adresse, nicht Ihre IP-Adresse oder Daten Ihres Geräts. Ältere Versionen unserer App (bis 1.0.1) fragen Nominatim noch direkt vom Gerät aus; dann erhält Nominatim zusätzlich Ihre IP-Adresse und die Kennung der App. Mit dem Update auf die aktuelle Version entfällt das. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Rundgang. Wir speichern, ob Sie den Rundgang durch das Händlerportal begonnen, beendet oder übersprungen haben, damit er nicht erneut startet.

Werbevideo-Aktion. Sagen Sie im Händlerportal zu, speichern wir Ihre Zusage, den Bearbeitungsstand und später den Link zum Video. Unser Team erhält eine E-Mail mit Firma, Anschrift, Ansprechpartner, Telefon und E-Mail-Adresse, um die Produktion mit Ihnen abzustimmen. Das fertige Video veröffentlichen wir auf unseren Social-Media-Kanälen. Einzelheiten regeln die Teilnahmebedingungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Daten, die Händler:innen über Kund:innen erhalten (etwa bei Reservierungen), verarbeiten sie als eigene Verantwortliche und nur für den jeweiligen Zweck.

14. Anmeldung mit Google oder Apple

Google (Website und App). Auf Ihren Klick werden Sie zu Google weitergeleitet bzw. sehen den Dialog von Google. Wir erhalten Ihre Google-Konto-ID, E-Mail-Adresse, deren Bestätigungsstatus sowie Vor- und Nachname und speichern die Konto-ID, um Sie wiederzuerkennen. Anbieter: Google Ireland Limited; Übermittlung in die USA möglich.

Apple (App). Wir erhalten eine Nutzerkennung, Ihre E-Mail-Adresse (auf Wunsch eine Weiterleitungsadresse von Apple) und bei der ersten Anmeldung, wenn Sie es freigeben, Ihren Namen. Wir speichern die Kennung sowie ein verschlüsseltes Token, das nur dazu dient, die Verknüpfung bei einer Kontolöschung auch bei Apple aufzuheben. Anbieter: Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland; Übermittlung an Apple Inc. (USA) möglich. Rechtsgrundlage für beides: Art. 6 Abs. 1 lit. b DSGVO.

15. Schutz vor Missbrauch

reCAPTCHA. Beim Absenden der Registrierung, der Passwort-Anfrage und des Meldeformulars für Geschäftsinhaber:innen laden wir Google reCAPTCHA Enterprise (Google Ireland Limited; Übermittlung in die USA möglich). reCAPTCHA wertet dabei Merkmale Ihres Geräts und Browsers sowie Ihre IP-Adresse aus, um automatisierte Anfragen zu erkennen, und übermittelt das Ergebnis an unseren Server. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor massenhaft angelegten Konten und Missbrauch der Formulare).

Meldungen. Melden Sie einen Deal, eine Händler:in oder eine unberechtigte Registrierung, verarbeiten wir Ihre Meldung, bei angemeldeten Nutzer:innen die Kennung des Kontos und die angegebene E-Mail-Adresse, um den Fall zu prüfen und Sie gegebenenfalls zu kontaktieren. Unser Team erhält die Meldung per E-Mail. Wir löschen Meldungen zwölf Monate nach ihrer Erledigung; löschen Sie Ihr Konto, entfernen wir Ihre Kennung und E-Mail-Adresse aus Ihren Meldungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit der Plattform). Betrifft eine Meldung eine Händler:in, verarbeiten wir die gemeldeten Angaben auch ohne deren Mitwirkung (Art. 14 DSGVO); die Händler:in kann sich jederzeit an uns wenden.

16. Die App „Rabattrallye Deals“ (iOS) und „Rabattrallye“ (Android)

Die App spricht mit unserer API (Ziffer 3 und 4); Konto, Anmeldung, E-Mails, Standort, Reservierungen und Bewertungen funktionieren wie oben beschrieben. Alle Berechtigungen (Standort, Mitteilungen, Kamera, Fotos, Face ID bzw. Fingerabdruck) sind freiwillig und in den Einstellungen Ihres Geräts jederzeit widerrufbar.

16.1 Speicher auf dem Gerät

Zugangs- und Sitzungsschlüssel sowie Basisdaten Ihres Kontos liegen im geschützten Schlüsselspeicher des Geräts und werden beim Abmelden gelöscht. Dazu kommen Ihre Einstellungen in der App, etwa der zuletzt gewählte Standort und ob Sie die Einführung gesehen haben. Die App setzt keine Cookies.

16.2 Mitteilungen

Schalten Sie Mitteilungen ein, registriert die App bei uns ein Push-Token, die Plattform, die App-Version und eine vom Betriebssystem vergebene Gerätekennung (iOS: Identifier for Vendor, Android: Android-ID). Welche Mitteilungen Sie erhalten, legen Sie in den Einstellungen fest. Zugestellt wird über Apple Push Notification service bzw. Firebase Cloud Messaging von Google; dabei erhalten Apple bzw. Google das Token und den Inhalt der Mitteilung. Wir protokollieren, ob eine Mitteilung zugestellt wurde. Beim Ausschalten oder Abmelden deaktivieren wir das Token, bei der Kontolöschung entfernen wir es. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

16.3 Karte in der App

Die Kartenansicht nutzt das Google Maps SDK (Google Ireland Limited; Übermittlung in die USA möglich); Google erhält Ihre IP-Adresse und den angezeigten Kartenausschnitt. Steht Google Maps nicht zur Verfügung, lädt die App eine Ausweichkarte: die Kartensoftware Leaflet von unpkg.com (Cloudflare, Inc., USA) und Kartenbilder von OpenStreetMap; beide erhalten dabei Ihre IP-Adresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Kartenanzeige als Teil der App).

16.4 Käufe in der App

In der App kaufen Sie Premium, Gutscheine und Boosts über den Apple App Store bzw. Google Play; Zahlungsdaten erhalten wir nicht. Damit der Kauf Ihrem Konto zugeordnet wird, übergibt die App eine pseudonyme Kennung Ihres Kontos an den Store. Von Apple bzw. Google erhalten und speichern wir Kauf- und Transaktionskennungen, Produkt, Kauf-, Ablauf- und gegebenenfalls Erstattungsdatum, den Abo-Status sowie die Benachrichtigungen der Stores über Verlängerungen, Kündigungen und Erstattungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Belege bewahren wir nach Art. 6 Abs. 1 lit. c DSGVO auf, nach einer Kontolöschung ohne Bezug zu Ihrer Person.

16.5 App-Sperre, Kamera und Fotos

Die App-Sperre mit Face ID, Fingerabdruck oder Gerätecode prüft allein Ihr Betriebssystem; biometrische Daten erhalten wir nicht. Händler:innen nutzen die Kamera nur zum Scannen von Einlöse-Codes (es werden keine Bilder gespeichert) und wählen Fotos für Deals und Profil aus, die wir hochladen und veröffentlichen.

16.6 Keine Analyse- und Werbedienste

Die App enthält keine Analyse-, Tracking-, Werbe- oder Absturzdienste von Drittanbietern und nutzt keine Werbekennungen. Apple und Google stellen uns mit Ihrer Zustimmung auf dem Gerät zusammengefasste Nutzungs- und Absturzstatistiken bereit, die wir keiner Person zuordnen können.

17. Empfänger und Übermittlung in Drittländer

Neben den oben genannten Händler:innen erhalten Daten nur diese Dienstleister:

Hostinger International Ltd. (Zypern; Server in Frankfurt am Main, Sicherungen in Frankreich): Server, Datenbank, E-Mail-Versand
Hetzner Online GmbH (Deutschland): Bilder, Nachweise, Sicherungskopien
Stripe Payments Europe Ltd. (Irland), Stripe, Inc. (USA): Zahlungen auf der Website
Google Ireland Limited (Irland), Google LLC (USA): Karten (Website mit Einwilligung, App), Places, Anmeldung mit Google, reCAPTCHA, Mitteilungen auf Android, Käufe über Google Play
Apple Distribution International Ltd. (Irland), Apple Inc. (USA): Anmeldung mit Apple, Mitteilungen auf iOS, Käufe im App Store
Twilio Ireland Limited (Irland), Twilio Inc. (USA): SMS zur Händler-Verifizierung
OpenStreetMap Foundation (Vereinigtes Königreich): Kartenbilder, Geocoding über unseren Server (Nominatim; App-Versionen bis 1.0.1 fragen direkt vom Gerät)
Cloudflare, Inc. (USA) über unpkg.com: Kartensoftware der Ausweichkarte in der App

Mit den Dienstleistern, die in unserem Auftrag arbeiten, bestehen Verträge nach Art. 28 DSGVO. Für die USA gilt der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit die Empfänger zertifiziert sind; sonst vereinbaren wir EU-Standardvertragsklauseln (Art. 46 DSGVO). Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss.

18. Speicherdauer im Überblick

Konto und Inhalte: bis zur Löschung; deaktivierte Konten höchstens 30 Tage
Sitzungen: 30 Tage ab der letzten Nutzung
Webserver-Logs: 14 Tage; Anwendungsprotokolle: wenige Tage
Zähler gegen Missbrauch: höchstens 24 Stunden; Besuchskennung der Reichweitenmessung: 36 Stunden
Kontaktdaten aus Reservierungen: 30 Tage nach Termin oder Abschluss
Gewerbenachweise: 90 Tage nach der Prüfung
Prüfergebnisse und Protokoll der Händler-Verifizierung: solange das Händlerkonto besteht
Beleg nach Löschung eines abgelehnten, gesperrten oder auffälligen Händlerkontos: ein Jahr
Meldungen: zwölf Monate nach Erledigung
Kündigungen über „Verträge hier kündigen“: sechs Jahre ab dem Ende des Kalenderjahres des Eingangs
E-Mail-Adresse von Gutschein-Käufer:innen: 180 Tage nach Einlösung bzw. Ablauf
Standort für „Neue Deals in der Nähe“: bis zum Ausschalten
Sicherungskopien: 14 Tage auf dem Server, 30 Tage im externen Speicher; Server-Sicherung bei Hostinger: die letzten zwei wöchentlichen (etwa zwei Wochen)
Belege und Rechnungen: gesetzliche Fristen (in der Regel acht bis zehn Jahre)

19. Pflicht zur Bereitstellung, automatisierte Entscheidungen

Für ein Konto, einen Kauf, eine Reservierung oder die Händler-Registrierung brauchen wir die jeweils als Pflicht markierten Angaben; ohne sie können wir die Leistung nicht erbringen. Eine gesetzliche Pflicht zur Angabe besteht nicht. Automatisiert entscheiden wir nur in einem Fall: bei der Reservierungssperre nach drei gemeldeten Nichterscheinen (Ziffer 11). Sie können verlangen, dass ein Mensch den Fall prüft, und Ihren Standpunkt darlegen. Über die Freischaltung von Händler:innen entscheidet immer unser Team (Ziffer 13).

20. Ihre Rechte

Sie haben das Recht auf:

Auskunft (Art. 15 DSGVO)
Berichtigung (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Einer Verarbeitung für Werbezwecke können Sie jederzeit ohne Begründung widersprechen.

Eine Kopie Ihrer Daten, die Deaktivierung und die Löschung Ihres Kontos können Sie selbst in den Konto-Einstellungen von Website und App veranlassen; für alles andere schreiben Sie uns. Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), etwa bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen oder der Behörde Ihres Wohnorts.

21. Datensicherheit

Die Übertragung zwischen Ihrem Gerät und unseren Servern ist verschlüsselt (TLS). Passwörter speichern wir nur als Hash, Sitzungsschlüssel nur als Prüfsumme, Gewerbenachweise und Sicherungskopien verschlüsselt. Zugriffe sind auf das nötige Maß beschränkt.

22. Änderungen

Ändern sich unsere Verarbeitungen, passen wir diese Erklärung an. Es gilt die auf dieser Seite veröffentlichte Fassung.