Datenschutzerklärung

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

Wishlist.de ist ein Dienst zur Koordination von Gruppengeschenken. Wir legen besonderen Wert auf Datensparsamkeit. Neben den für den Betrieb des Dienstes notwendigen Daten erheben wir cookiefreie Reichweiten- und Nutzungsstatistiken, um zu verstehen, welche Seiten genutzt werden und über welche Kanäle Besucher zu uns finden (siehe Abschnitte 12b und 12c).

2. Verantwortliche Stelle

Die verantwortliche Stelle für die Datenverarbeitung auf dieser Website ist:

Cagatay Ulukan
Cvelop (Einzelunternehmen)
Ammerswilerstrasse 35C
5600 Lenzburg
Schweiz

E-Mail: kontakt@wishlist.de

Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

3. Rechtsgrundlagen der Datenverarbeitung

Wir verarbeiten Ihre personenbezogenen Daten auf Grundlage folgender Rechtsgrundlagen gemäß Art. 6 DSGVO:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Die Verarbeitung ist für die Erfüllung eines Vertrags erforderlich, z.B. für die Bereitstellung Ihres Benutzerkontos und der Wunschlisten-Funktionen.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Soweit Sie uns eine Einwilligung erteilt haben, z.B. für den Erhalt von E-Mail-Benachrichtigungen.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Die Verarbeitung ist zur Wahrung unserer berechtigten Interessen erforderlich, z.B. für die Sicherheit der Website und die Betrugsprävention.

4. Datenerfassung auf dieser Website

Welche Daten werden erfasst?

Für den Betrieb unseres Dienstes erfassen wir:

• E-Mail-Adresse (bei Registrierung)
• Name (optional, für Anzeige)
• Profilbild (optional)
• Wunschlisten und Einträge, die Sie erstellen
• Reservierungen, die Sie vornehmen
• Nachrichten im Gruppen-Chat

Hinzu kommen cookiefreie Reichweiten- und Nutzungsstatistiken, die wir in den Abschnitten 12b und 12c beschreiben.

Was wir NICHT erfassen

• Keine Bankdaten oder Kreditkartennummern (Zahlungsdaten werden ausschließlich von Stripe verarbeitet, siehe Abschnitt 10)
• Keine Lieferadressen
• Keine Tracking-Cookies für Werbezwecke
• Keine Weitergabe an Werbetreibende

Speicherdauer

Ihre Daten werden gespeichert, solange Ihr Konto aktiv ist. Inaktive Wunschlisten werden nach 24 Monaten automatisch gelöscht (mit 30-tägiger Vorwarnung per E-Mail). Sie können Ihr Konto und alle zugehörigen Daten jederzeit in den Profileinstellungen löschen.

5. Server-Log-Dateien

Der Provider der Seiten erhebt und speichert automatisch Informationen in sogenannten Server-Log-Dateien, die Ihr Browser automatisch übermittelt. Dies sind:

• Browsertyp und Browserversion
• Verwendetes Betriebssystem
• Referrer URL
• Hostname des zugreifenden Rechners
• IP-Adresse (anonymisiert)
• Uhrzeit der Serveranfrage

Diese Daten sind nicht bestimmten Personen zuordenbar. Eine Zusammenführung dieser Server-Log-Dateien mit anderen Datenquellen wird nicht vorgenommen. Die Daten werden nach 7 Tagen automatisch gelöscht.

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der Sicherheit und Stabilität unserer Website.

6. SSL/TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von "http://" auf "https://" wechselt und an dem Schloss-Symbol in Ihrer Browserzeile.

7. Authentifizierung

Wir bieten verschiedene Anmeldemethoden an:

E-Mail und Passwort

Bei der Registrierung mit E-Mail und Passwort speichern wir Ihre E-Mail-Adresse und ein verschlüsseltes Passwort (Hash). Das Passwort wird niemals im Klartext gespeichert.

Google-Login (OAuth)

Bei der Nutzung von Google-Login erhalten wir nur Ihre E-Mail-Adresse, Ihren Namen und Ihr Profilbild von Google. Wir haben keinen Zugriff auf Ihr Google-Passwort oder andere Google-Daten.

Weitere Informationen: Google Datenschutzerklärung

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

8. Cookies

Wir verwenden ausschließlich technisch notwendige Cookies:

• Session-Cookie: Für die Anmeldung und Authentifizierung (Ablauf: Ende der Browsersitzung)
• CSRF-Token: Zum Schutz vor Cross-Site-Request-Forgery-Angriffen

Wir verwenden KEINE:

• Tracking-Cookies
• Werbe-Cookies
• Analytics-Cookies von Drittanbietern

Für unsere Reichweiten- und Nutzungsstatistiken setzen wir bewusst Verfahren ein, die ohne Cookies auskommen. Dabei werden keine Informationen auf Ihrem Endgerät gespeichert oder ausgelesen. Welche Daten dabei verarbeitet werden, beschreiben wir in den Abschnitten 12b und 12c.

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der technischen Funktionsfähigkeit der Website.

9. Hosting und Infrastruktur

Supabase (Datenbank & Authentifizierung)

Wir nutzen Supabase für unsere Datenbank und Benutzerauthentifizierung.

• Anbieter: Supabase Inc., USA
• Server-Standort: Frankfurt, Deutschland (EU)
• Verarbeitete Daten: Alle Nutzerdaten, Wunschlisten, Reservierungen

Weitere Informationen: Supabase Privacy Policy

Hetzner (Webhosting)

Unsere Webseite wird bei Hetzner Online GmbH gehostet.

• Anbieter: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland
• Server-Standort: Deutschland

Weitere Informationen: Hetzner Datenschutzerklärung

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

10. Zahlungsabwicklung (Stripe Connect)

Wir nutzen Stripe für Zahlungen, Analysen und andere Geschäftsdienste. Stripe erhebt und verarbeitet personenbezogene Daten. Weitere Informationen finden Sie in der Datenschutzerklärung von Stripe.

Stripe agiert bei der Verarbeitung von Zahlungsdaten als eigenständiger Verantwortlicher im Sinne der DSGVO, nicht als Auftragsverarbeiter von Wishlist.de. Wishlist.de speichert keine Zahlungsdaten (Kreditkartennummern, Kontodaten) — diese werden ausschließlich von Stripe verarbeitet und gespeichert.

Anbieter

• Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland
• PCI DSS Level 1 zertifiziert (höchste Sicherheitsstufe der Zahlungsindustrie)

Datenerhebung durch Stripe.js (Betrugsprävention)

Wichtig: Auf Seiten, die Zahlungsfunktionen enthalten, wird das Stripe.js-SDK geladen. Stripe erhebt dabei bereits vor einer Zahlungsaktion Daten zur Betrugsprävention (Stripe Radar). Dies umfasst:

• IP-Adresse
• Browsertyp und -version, installierte Plug-ins, Spracheinstellungen
• Bildschirmauflösung und Geräteinformationen
• Auf der Website verbrachte Zeit, besuchte Seiten, angeklickte Links
• Mausaktivitätsindikatoren (zur Erkennung automatisierter Zugriffe)
• Daten, die in Bezahlformulare eingegeben werden — auch wenn die Transaktion nicht abgeschlossen wird

Diese Signale werden periodisch an Stripe (m.stripe.com) übermittelt. Sie dienen ausschließlich der Betrugsprävention und werden laut Stripe nicht für Werbezwecke verwendet, verkauft oder an Werbetreibende weitergegeben.

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der Verhinderung von Zahlungsbetrug und dem Schutz aller Beteiligten.

Daten bei Zahlungen (Schenker)

Wenn Sie als Schenker eine Zahlung über Stripe tätigen, werden folgende Daten von Stripe als eigenständigem Verantwortlichen verarbeitet:

• Zahlungsmethode (Kreditkarte, SEPA, Apple Pay, Google Pay etc.)
• Transaktionsbetrag und Währung
• Name (sofern von der Zahlungsmethode übermittelt)
• E-Mail-Adresse (für Zahlungsbestätigung)
• IP-Adresse und Geräteinformationen (für Betrugsprävention)

Diese Daten werden direkt an Stripe übermittelt. Wishlist.de erhält lediglich eine Bestätigung über den Zahlungsstatus (erfolgreich/fehlgeschlagen), den Betrag sowie eine Transaktions-ID. Wir haben keinen Zugriff auf Kreditkartennummern oder Bankdaten.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) — die Zahlungsabwicklung ist für die Erbringung des Dienstes erforderlich, wenn der Wunschlisten-Besitzer Kartenzahlung aktiviert hat.

Stripe Connect für Wunschlisten-Ersteller (Connected Accounts)

Wunschlisten-Ersteller, die Kartenzahlung aktivieren, erstellen ein eigenes Stripe-Konto (Stripe Standard Connect Account). Dabei werden von Stripe als eigenständigem Verantwortlichen zusätzliche Daten im Rahmen gesetzlicher Anforderungen (KYC/Geldwäscheprävention) erhoben:

• Persönliche Identifikationsdaten (Name, Geburtsdatum, Adresse)
• Bankverbindung für Auszahlungen
• Steuerliche Informationen

Wishlist.de hat keinen Zugriff auf diese bei Stripe gespeicherten Daten. Unser Zahlungsdienstleister kann Informationen von Auskunfteien einholen, um die Identität von Wunschlisten-Erstellern zu verifizieren. Diese Informationen werden gemäß der Stripe-Datenschutzerklärung verwendet.

Wishlist.de übermittelt an Stripe: E-Mail-Adresse und Benutzer-ID des Wunschlisten-Erstellers sowie transaktionsbezogene Daten (Beträge, Artikel-Referenzen). Die Weitergabe dieser Daten an Stripe erfolgt auf Grundlage der Einwilligung des Wunschlisten-Erstellers bei Aktivierung der Kartenzahlung.

Speicherdauer

Transaktionsdaten (Betrag, Status, Transaktions-ID) werden in unserer Datenbank gespeichert, solange die zugehörige Wunschliste existiert. Stripe speichert Zahlungsdaten gemäß eigener Richtlinien und gesetzlicher Aufbewahrungsfristen. Personenbezogene Daten können an Drittländer übermittelt werden — es gilt die Datenschutzerklärung von Stripe.

Gebühren

Bei Kartenzahlungen fällt eine Plattformgebühr von 3% des Transaktionsbetrags an. Zusätzlich erhebt Stripe eigene Bearbeitungsgebühren (ca. 1,5% + 0,25 EUR für EU-Karten). Die Gebühren werden dem Wunschlisten-Ersteller vor der Aktivierung transparent dargestellt.

Weitere Informationen: Stripe Datenschutzerklärung | Stripe Connected Account Agreement | Stripe-Nutzungsbedingungen | Stripe Acquirer Disclosure

11. E-Mail-Benachrichtigungen

Wir versenden E-Mail-Benachrichtigungen über den Dienst Resend.

• Anbieter: Resend Inc., USA
• Verarbeitete Daten: E-Mail-Adresse, Name

Folgende E-Mails werden versendet:

• Willkommens-E-Mail nach der Registrierung
• Benachrichtigungen über neue Reservierungen
• Zahlungsbestätigungen und -benachrichtigungen (bei Stripe-Zahlungen)
• Erstattungs- und Streitfall-Benachrichtigungen
• Einladungen zur Mitorganisation von Wunschlisten
• Passwort-Zurücksetzen-E-Mails

Sie können diese Benachrichtigungen jederzeit in Ihren Profileinstellungen deaktivieren oder den Abmeldelink in jeder E-Mail nutzen.

Weitere Informationen: Resend Privacy Policy

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) und Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

12. Bot-Schutz (Cloudflare Turnstile)

Zum Schutz vor automatisierten Anfragen (Bots) und Spam nutzen wir Cloudflare Turnstile auf bestimmten Formularen (z.B. Kontaktformular, Registrierung).

• Anbieter: Cloudflare Inc., 101 Townsend St, San Francisco, CA 94107, USA
• Verarbeitete Daten: IP-Adresse, Browser-Informationen, Interaktionsdaten

Cloudflare Turnstile ist eine datenschutzfreundliche Alternative zu herkömmlichen CAPTCHAs und erfordert keine Benutzerinteraktion.

Weitere Informationen: Cloudflare Privacy Policy

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) am Schutz vor Missbrauch.

12a. Fehlerüberwachung (Sentry)

Zur Sicherstellung eines stabilen Betriebs und zur Behebung technischer Fehler nutzen wir Sentry. Sentry erhält automatisch Fehlermeldungen und technische Informationen, wenn ein Fehler auftritt.

• Anbieter: Functional Software, Inc. (Sentry), 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA
• Datenresidenz: Server in der EU (Frankfurt) – eu.sentry.io
• Verarbeitete Daten: Browser- und Geräteinformationen, Betriebssystem, URL der aufgerufenen Seite, Stack Traces, anonymisierte Benutzer-ID

Personenbezogene Daten wie E-Mail-Adresse, Name, Empfängernamen, Kartenbotschaften und PayPal-Handles werden vor der Übertragung an Sentry automatisch entfernt. IP-Adressen werden ebenfalls vor dem Versand entfernt. Sentry setzt keine Tracking-Cookies.

Mit Sentry besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO. Die Übermittlung erfolgt ausschließlich an die EU-Server von Sentry.

Weitere Informationen: Sentry Privacy Policy

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) am stabilen und sicheren Betrieb unseres Dienstes.

12b. Reichweitenmessung (Ahrefs Web Analytics)

Um zu verstehen, wie oft unsere Seiten aufgerufen werden und über welche Kanäle Besucher zu uns finden, nutzen wir Ahrefs Web Analytics. Dazu wird auf unseren Seiten ein kleines Statistik-Skript geladen.

• Anbieter: Ahrefs Pte. Ltd., 16 Raffles Quay, #33-03 Hong Leong Building, Singapur 048581
• Verarbeitete Daten: Adresse der aufgerufenen Seite (diese kann Kampagnen-Parameter wie utm_source enthalten), Referrer (die zuvor besuchte Seite), technische Browser- und Geräteangaben sowie Ihre IP-Adresse, die beim Laden des Skripts technisch bedingt an Ahrefs übertragen wird
• Zweck: aggregierte Zugriffsstatistiken (Seitenaufrufe, Besucherzahlen, Herkunftskanäle)

Ahrefs Web Analytics arbeitet ohne Cookies: Es werden keine Informationen auf Ihrem Endgerät gespeichert oder ausgelesen, und es wird kein seitenübergreifendes Nutzerprofil gebildet. Wir erhalten ausschließlich aggregierte Statistiken, keine Auswertungen zu einzelnen Personen.

Nicht geladen wird das Skript auf den Seiten zum Melden einer Zahlung (/zahlung-melden), zum Stornieren einer Reservierung (/stornieren) und auf den Stream-Overlays (/overlay), da deren Adressen einen geheimen Zugangs-Token enthalten. Alle übrigen Seiten werden gemessen — auch Wunschlisten, die über einen Freigabe-Link aufgerufen werden.

Ahrefs hat seinen Sitz in Singapur und speichert Daten in den USA (siehe Abschnitt 15).

Weitere Informationen: Ahrefs Datenschutzerklärung

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der Messung und Verbesserung der Reichweite unseres Angebots. Nach überwiegender Rechtsauffassung ist für eine cookielose Reichweitenmessung, bei der keine Informationen auf dem Endgerät gespeichert oder ausgelesen werden, keine Einwilligung nach § 25 Abs. 1 TDDDG erforderlich. Sie können dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO, siehe Abschnitt 16).

12c. Eigene Nutzungsstatistik (ohne Cookies)

Zusätzlich führen wir eine eigene Nutzungsstatistik, die ausschließlich in unserer eigenen Datenbank gespeichert wird. Sie hilft uns zu erkennen, welche Seiten genutzt werden, an welchen Stellen Nutzer abbrechen und über welche Kanäle sie zu uns finden.

Bei einem Seitenaufruf speichern wir:

• Pfad und Titel der aufgerufenen Seite
• die Herkunftsseite (Referrer) sowie deren gröbere Einordnung (z.B. "google", "whatsapp", "direkt")
• Kampagnen-Parameter aus der Adresszeile (utm_source, utm_medium, utm_campaign), sofern vorhanden
• Gerätetyp (Desktop/Mobil/Tablet), Browser sowie die vom Browser übermittelte Kennung (User-Agent)
• eine grobe Länderangabe, die aus der Spracheinstellung des Browsers abgeleitet wird — nicht aus der IP-Adresse
• Ihre IP-Adresse ausschließlich als Hashwert, nicht im Klartext; der Hash wechselt täglich
• eine Besucherkennung, die aus technischen Browserangaben und dem Datum berechnet wird und daher ebenfalls täglich wechselt
• ob die Seite als installierte App (PWA) geöffnet wurde

Dabei gilt:

• Es werden keine Cookies gesetzt und keine Informationen auf Ihrem Endgerät gespeichert oder ausgelesen.
• Diese Statistik wird nicht mit Ihrem Benutzerkonto verknüpft — sie enthält weder Ihre E-Mail-Adresse noch Ihre Nutzer-ID.
• Die Daten verbleiben in unserer Datenbank in Frankfurt (siehe Abschnitt 9) und werden nicht an Dritte weitergegeben.
• Aufrufe von Administrationsseiten sowie erkannte Bots werden nicht gespeichert.

Speicherdauer: Die einzelnen Ereignisse werden nach 90 Tagen automatisch gelöscht. Darüber hinaus bewahren wir lediglich aggregierte Tageswerte ohne Personenbezug auf (z.B. die Anzahl der Seitenaufrufe pro Tag).

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der bedarfsgerechten Gestaltung und Verbesserung unseres Angebots. Nach überwiegender Rechtsauffassung ist für eine cookielose Nutzungsstatistik, bei der keine Informationen auf dem Endgerät gespeichert oder ausgelesen werden, keine Einwilligung nach § 25 Abs. 1 TDDDG erforderlich. Sie können dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO, siehe Abschnitt 16).

12d. Werbe-Erfolgsmessung (ohne Cookies)

Kommen Sie über eine Werbeanzeige zu uns, enthält der Link eine Kampagnen-Kennung (z.B. "Google-Anzeige: wunschliste erstellen"). Registrieren Sie sich während dieses Besuchs, speichern wir diese Kennung zu Ihrem Konto. Sie sagt aus, über welche Kampagne Sie uns gefunden haben — nicht, wer Sie im Netz sind.

• Verarbeitete Daten: die in der Adresszeile enthaltenen Kampagnen-Parameter (utm_source, utm_medium, utm_campaign und vergleichbare Kampagnen-Kennungen) sowie die Adresse der Seite, über die Sie uns erreicht haben (z.B. /wunschliste-erstellen), und der Zeitpunkt der Registrierung
• Zweck: auswerten, welche Werbemaßnahmen zu Registrierungen führen
• Speicherort: unsere Datenbank in Frankfurt (siehe Abschnitt 9)

Dabei werden keine Cookies gesetzt und es findet kein seitenübergreifendes Tracking statt. Über die in den Abschnitten 12a und 12b beschriebenen Dienste hinaus geben wir diese Daten nicht an Dritte weiter.

Speicherdauer: Die Kampagnen-Kennung wird gemeinsam mit Ihrem Konto gelöscht bzw. anonymisiert.

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der wirtschaftlichen Bewertung unserer Werbemaßnahmen. Sie können dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO, siehe Abschnitt 16).

13. Bildgenerierung

Für die Erstellung von Share-Bildern und Grußkarten nutzen wir Google Gemini. Die Verarbeitung erfolgt nur auf Ihre aktive Anforderung hin (z.B. Klick auf "Bild erstellen").

• Anbieter: Google LLC, USA
• Verarbeitete Daten: Wunschlisten-Titel, Empfängername

Es werden keine persönlichen Daten wie E-Mail-Adressen übermittelt.

Weitere Informationen: Google Datenschutzerklärung

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

14. Affiliate-Links

Einige der auf Wunschlisten verlinkten Produkte können sogenannte Affiliate-Links enthalten. Wenn Sie über diese Links einkaufen, erhalten wir eine kleine Provision vom Händler, ohne dass sich der Preis für Sie ändert. Dies hilft uns, Wishlist.de kostenlos anzubieten.

Amazon PartnerNet

Wir nehmen am Amazon EU-Partnerprogramm teil. Links zu Produkten auf Amazon.de werden automatisch mit unserem Partner-Tag versehen (Store-ID: wishlist047-21).

• Anbieter: Amazon Europe Core S.à r.l., Luxemburg
• Cookie-Dauer: 24 Stunden (89 Tage bei Warenkorb-Hinzufügung)
• Verarbeitete Daten: Klickdaten, Kaufdaten (anonymisiert an uns)

Amazon erhält Informationen darüber, dass Sie über Wishlist.de auf Amazon.de gelangt sind. Eine Verknüpfung mit anderen Amazon-Daten erfolgt nach unserem Kenntnisstand nicht.

Weitere Informationen: Amazon PartnerNet Richtlinien | Amazon Datenschutzerklärung

Awin (Affiliate-Netzwerk)

Für bestimmte Shops (z.B. Thalia, OTTO, baby-walz, babymarkt) nutzen wir das Affiliate-Netzwerk Awin.

• Anbieter: Awin AG, Eichhornstraße 3, 10785 Berlin, Deutschland
• Cookie-Dauer: 30 Tage (shopabhängig)
• Verarbeitete Daten: Klickdaten, Kaufdaten (anonymisiert an uns)

Weitere Informationen: Awin Datenschutzerklärung

Rakuten Advertising (Affiliate-Netzwerk)

Für bestimmte Shops (z.B. LEGO) nutzen wir das Affiliate-Netzwerk Rakuten Advertising. Beim Klick auf einen solchen Shop-Link werden Sie kurz über einen Server von Rakuten (click.linksynergy.com) zum Shop weitergeleitet.

• Anbieter: Rakuten Marketing Europe Limited (Rakuten Advertising), London, Vereinigtes Königreich
• Verarbeitete Daten: IP-Adresse, Zeitpunkt, Referrer- und Ziel-URL, Browser- und Geräteinformationen sowie pseudonyme Klick-Kennungen; bei zugeordneten Käufen zusätzlich Bestellwert und Provision (an uns nur aggregiert)
• Speicherdauer: je nach Shop und eingesetzter Technik zwischen 30 Tagen und 730 Tagen

Weitere Informationen: Rakuten Advertising Datenschutzerklärung

Hinweis zur Datenübertragung: Daten von Nutzern im EWR werden von Rakuten Marketing Europe Limited im Vereinigten Königreich erhoben. Näheres dazu in Abschnitt 15.

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der Finanzierung des kostenfreien Dienstes. Die Verlinkung liegt im Interesse der Nutzer, da sie ohnehin auf die Produktseiten gelangen möchten.

15. Internationale Datenübertragung

Unsere Hauptdatenbank (Supabase) befindet sich in Frankfurt, Deutschland, innerhalb der EU. Die Zahlungsabwicklung erfolgt über Stripe Payments Europe, Ltd. mit Sitz in Irland (EU).

Einige Dienstleister haben ihren Sitz in den USA. Die Datenübertragung erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission für das EU-US Data Privacy Framework (Art. 45 Abs. 1 DSGVO, Beschluss vom 10. Juli 2023):

• Google LLC — DPF-zertifiziert (Bildgenerierung, OAuth)
• Cloudflare Inc. — DPF-zertifiziert (Bot-Schutz)
• Resend Inc. (Plus Five Five, Inc.) — DPF-zertifiziert (EU-U.S. DPF, UK Extension, Swiss-U.S. DPF); zusätzlich durch EU-Standardvertragsklauseln abgesichert

Rakuten Advertising: Daten von Nutzern im EWR werden von Rakuten Marketing Europe Limited im Vereinigten Königreich erhoben — und nur dann, wenn Sie aktiv auf einen entsprechend gekennzeichneten Shop-Link klicken (siehe Abschnitt 14). Die Übermittlung in das Vereinigte Königreich stützt sich auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Konzerninterne Weiterübermittlungen, etwa in die USA, erfolgen auf Grundlage der Binding Corporate Rules der Rakuten-Gruppe (Art. 47 DSGVO).

Ergänzend setzen wir bei allen US-Dienstleistern auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) als zusätzliche Absicherung.

Für die Reichweitenmessung (Abschnitt 12b) setzen wir Ahrefs Pte. Ltd. mit Sitz in Singapur ein; die Daten werden dort bzw. in den USA verarbeitet. Für Singapur besteht kein Angemessenheitsbeschluss der EU-Kommission. Die Übermittlung erfolgt daher auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil des Auftragsverarbeitungs-Zusatzes (Data Processing Addendum) von Ahrefs sind.

16. Ihre Rechte

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO): Sie können jederzeit Auskunft über Ihre bei uns gespeicherten Daten verlangen.
• Berichtigung (Art. 16 DSGVO): Sie können fehlerhafte Daten berichtigen lassen.
• Löschung (Art. 17 DSGVO):Sie können die Löschung Ihrer Daten verlangen ("Recht auf Vergessenwerden").
• Einschränkung (Art. 18 DSGVO): Sie können die Verarbeitung Ihrer Daten einschränken lassen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können Ihre Daten in einem gängigen Format anfordern.
• Widerspruch (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten widersprechen.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Sie können erteilte Einwilligungen jederzeit widerrufen.

Zur Ausübung dieser Rechte kontaktieren Sie uns unter: kontakt@wishlist.de

Sie können Ihr Konto und alle zugehörigen Daten auch selbstständig in den Profileinstellungen löschen.

17. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren.

Für die Schweiz

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Feldeggweg 1
3003 Bern
Schweiz
www.edoeb.admin.ch

Für Deutschland

Sie können sich an die für Ihren Wohnort zuständige Landesdatenschutzbehörde wenden. Eine Liste finden Sie unter: Datenschutzbehörden der Länder

17a. Inhaltsmoderation und Meldungen

Zur Einhaltung unserer Inhaltsrichtlinie und der Verordnung (EU) 2022/2065 (Digital Services Act, DSA) setzen wir Werkzeuge zur Inhaltsmoderation ein.

Inhalt melden (DSA Art. 16)

Über die Funktion "Inhalt melden" (auf jeder öffentlichen Wunschliste sowie unter /melden) können Nutzer Inhalte melden, die sie für rechtswidrig oder gegen unsere Richtlinien verstoßend halten.

• Verarbeitete Daten: gemeldete Wunschliste/Item, Kategorie, Beschreibung, optional E-Mail des Meldenden, IP-Adresse
• Zweck: Prüfung gemeldeter Inhalte, Spam-/Missbrauchserkennung, Rückmeldung an den Meldenden
• Speicherdauer: bis zur Bearbeitung sowie zu Beweiszwecken im Rahmen gesetzlicher Aufbewahrungsfristen
• Rechtsgrundlage: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO i.V.m. DSA Art. 16) und berechtigtes Interesse (lit. f) am Schutz vor Missbrauch

Automatisierte Vorprüfung

Öffentliche Wunschlisten (außer Creator-Profile) werden in einem nächtlichen Hintergrundprozess durch ein großes Sprachmodell (Google Gemini) auf Verstöße gegen unsere Inhaltsrichtlinie geprüft. Übermittelt werden Titel und Beschreibungen der Wunschliste sowie der enthaltenen Wünsche. Diese Felder werden von Nutzern frei eingegeben und können vereinzelt personenbezogene Daten enthalten (z.B. Vornamen oder Bezüge zur empfangenden Person). Konto-Identifikatoren wie E-Mail-Adresse, Profilbild oder Nutzer-ID werden nicht übermittelt. Die Vorprüfung trifft keine endgültige Entscheidung; markierte Inhalte werden manuell durch unser Team geprüft.

• Anbieter: Google LLC, USA
• Rechtsgrundlage: berechtigtes Interesse an Plattformsicherheit (Art. 6 Abs. 1 lit. f DSGVO) und rechtliche Verpflichtung zur Inhaltsmoderation (lit. c i.V.m. DSA)

Begründung von Entscheidungen (DSA Art. 17)

Schränken wir Ihre Inhalte ein (verbergen, löschen) oder sperren wir Ihr Konto, erhalten Sie eine Begründung per E-Mail mit Angaben zum Umfang der Maßnahme, den zugrunde liegenden Tatsachen, der Rechtsgrundlage bzw. der verletzten AGB-Klausel, dem Hinweis auf den Einsatz automatisierter Vorprüfung sowie dem Beschwerdeweg (innerhalb von 14 Tagen per E-Mail an support@wishlist.de).

18. Automatisierte Entscheidungsfindung

Wir setzen keine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DSGVO ein, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt.

Die von uns eingesetzten KI-Funktionen (Bildgenerierung, Produkterkennung, Inhaltsmoderation) dienen der Unterstützung; endgültige Entscheidungen — insbesondere restriktive Maßnahmen gegenüber Nutzerinhalten — werden stets manuell durch unser Team getroffen (siehe § 17a).

19. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder Änderungen unseres Dienstes anzupassen. Die aktuelle Version finden Sie stets auf dieser Seite.

Stand: August 2026