Wishlist.de LogoWishlist.de

Datenschutzerklärung

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

Wishlist.de ist ein Dienst zur Koordination von Gruppengeschenken. Wir legen besonderen Wert auf Datensparsamkeit. Neben den für den Betrieb des Dienstes notwendigen Daten erheben wir cookiefreie Reichweiten- und Nutzungsstatistiken, um zu verstehen, welche Seiten genutzt werden und über welche Kanäle Besucher zu uns finden (siehe Abschnitte 12b und 12c).

2. Verantwortliche Stelle

Die verantwortliche Stelle für die Datenverarbeitung auf dieser Website ist:

Cagatay Ulukan
Cvelop (Einzelunternehmen)
Ammerswilerstrasse 35C
5600 Lenzburg
Schweiz

E-Mail: kontakt@wishlist.de

Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

3. Rechtsgrundlagen der Datenverarbeitung

Wir verarbeiten Ihre personenbezogenen Daten auf Grundlage folgender Rechtsgrundlagen gemäß Art. 6 DSGVO:

  • Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Die Verarbeitung ist für die Erfüllung eines Vertrags erforderlich, z.B. für die Bereitstellung Ihres Benutzerkontos und der Wunschlisten-Funktionen.
  • Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Soweit Sie uns eine Einwilligung erteilt haben, z.B. für den Erhalt von E-Mail-Benachrichtigungen.
  • Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Die Verarbeitung ist zur Wahrung unserer berechtigten Interessen erforderlich, z.B. für die Sicherheit der Website und die Betrugsprävention.

4. Datenerfassung auf dieser Website

Welche Daten werden erfasst?

Für den Betrieb unseres Dienstes erfassen wir:

  • E-Mail-Adresse (bei Registrierung)
  • Name (optional, für Anzeige)
  • Profilbild (optional)
  • Wunschlisten und Einträge, die Sie erstellen
  • Reservierungen, die Sie vornehmen
  • Nachrichten im Gruppen-Chat
  • Name, E-Mail-Adresse und Nachricht, wenn Sie als Gast reservieren, beitragen oder im Gruppen-Chat schreiben
  • die E-Mail-Adresse einer Person, die Sie zur Mitverwaltung einladen

Hinzu kommen cookiefreie Reichweiten- und Nutzungsstatistiken, die wir in den Abschnitten 12b und 12c beschreiben.

Was wir NICHT erfassen

  • Keine Bankdaten oder Kreditkartennummern (Zahlungsdaten verarbeiten ausschließlich Stripe bzw. PayPal, siehe Abschnitte 10 und 10a)
  • Keine Lieferadressen
  • Keine Tracking-Cookies für Werbezwecke
  • Keine Weitergabe an Werbetreibende

Speicherdauer

Ihre Daten werden gespeichert, solange Ihr Konto aktiv ist.

Beginnen Sie einen Beitrag und bestätigen ihn nicht innerhalb von 72 Stunden, löschen wir Name, E-Mail-Adresse, Nachricht und die Verknüpfung mit einem Konto. Den übrigen Eintrag und eine pseudonyme Kennung Ihres Browsers, mit der er den Stand noch einmal abfragen kann, löschen wir spätestens sieben Tage danach vollständig.

Angaben, die Sie als Gast machen (Name, E-Mail-Adresse, Nachricht), speichern wir, solange die Wunschliste besteht; 30 Tage nach ihrer Löschung werden sie anonymisiert.

Löschung Ihres Kontos

Die Löschung Ihres Kontos stoßen Sie selbst in den Profileinstellungen an. Sie wirkt nicht sofort: Ihr Konto und Ihre Wunschlisten werden zunächst ausgeblendet, und Sie können die Löschung in dieser Zeit zurücknehmen — melden Sie sich erneut an und bestätigen Sie dies in dem Hinweis auf Ihrer Übersicht. Die Frist beträgt 30 Tage, wenn Sie zu diesem Zeitpunkt mindestens eine eigene, noch nicht gelöschte Wunschliste haben, sonst 7 Tage.

Danach entfernt ein nächtlicher Prozess Ihre personenbezogenen Daten: Name und E-Mail-Adresse werden durch anonyme Platzhalter ersetzt, Ihr Profilbild und die gespeicherte Kampagnen-Zuordnung werden gelöscht, und Ihr Zugang wird aufgehoben. Ihre Nachrichten und Reservierungen bleiben anonymisiert bestehen, damit die Listen, auf denen sie stehen, vollständig bleiben.

Ihre eigenen Wunschlisten und deren Einträge werden nicht vollständig entfernt: Bilder werden gelöscht, und Titel (außer bei Creator-Profilen) sowie Empfängername werden anonymisiert. Die Zeilen selbst bleiben bestehen, damit Reservierungen und Beiträge anderer Personen nicht ins Leere laufen.

Die Begründung, die Sie beim Löschen angeben, werten wir aus, um Wishlist.de zu verbessern (Art. 6 Abs. 1 lit. f DSGVO); nach der Anonymisierung bleibt nur die Auswertung ohne Namen und E-Mail-Adresse.

5. Server-Log-Dateien

Der Provider der Seiten erhebt und speichert automatisch Informationen in sogenannten Server-Log-Dateien, die Ihr Browser automatisch übermittelt. Dies sind:

  • Browsertyp und Browserversion
  • Verwendetes Betriebssystem
  • Referrer URL
  • IP-Adresse
  • Uhrzeit der Serveranfrage

Eine Zusammenführung dieser Server-Log-Dateien mit anderen Datenquellen wird nicht vorgenommen. Die Daten werden nach 7 Tagen automatisch gelöscht.

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der Sicherheit und Stabilität unserer Website.

6. SSL/TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von "http://" auf "https://" wechselt und an dem Schloss-Symbol in Ihrer Browserzeile.

7. Authentifizierung

Wir bieten verschiedene Anmeldemethoden an:

E-Mail und Passwort

Bei der Registrierung mit E-Mail und Passwort speichern wir Ihre E-Mail-Adresse und ein verschlüsseltes Passwort (Hash). Das Passwort wird niemals im Klartext gespeichert.

Google-Login (OAuth)

Bei der Nutzung von Google-Login erhalten wir Ihre E-Mail-Adresse, Ihren Namen und Ihr Profilbild von Google. Wir haben keinen Zugriff auf Ihr Google-Passwort oder andere Google-Daten.

Weitere Informationen: Google Datenschutzerklärung

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Apple-Login (Mit Apple anmelden)

Bei der Nutzung von Apple-Login erhalten wir von Apple Distribution International Ltd. (Cork, Irland) eine eindeutige Apple-Nutzerkennung und Ihre E-Mail-Adresse. Bei der ersten Anmeldung übermittelt Apple außerdem Ihren Namen – so, wie Sie ihn im Anmeldefenster von Apple bestätigen oder ändern; bei späteren Anmeldungen sendet Apple ihn nicht erneut. Fehlt der Name, fragen wir Sie nach der Anmeldung selbst nach einem Anzeigenamen. Haben Sie bei Apple „E-Mail-Adresse verbergen“ gewählt, erhalten wir statt Ihrer Adresse eine von Apple erzeugte Weiterleitungsadresse (…@privaterelay.appleid.com); Apple leitet unsere E-Mails an Sie weiter. Ein Profilbild erhalten wir nicht. Wir haben keinen Zugriff auf Ihr Apple-Passwort oder andere Daten Ihres Apple-Accounts. Wir verwenden diese Daten, um Ihr Konto anzulegen, Sie anzumelden und Ihnen kontobezogene E-Mails zu senden; den Namen zeigen wir als Ihren Anzeigenamen an, den Sie im Profil jederzeit ändern können.

Weitere Informationen: Apple Datenschutzrichtlinie

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

8. Cookies

Wir verwenden ausschließlich technisch notwendige Cookies:

  • Anmelde-Cookies: Für die Anmeldung und Authentifizierung (Ablauf: nach bis zu 400 Tagen)
  • Sprach-Cookie: Wird nur gesetzt, wenn Sie die Sprache bewusst umschalten, und merkt sich Ihre Wahl (Ablauf: ein Jahr). Kein Tracking.
  • Einladungs-Cookie: Öffnen Sie eine Einladung zur Mitverwaltung einer Wunschliste und müssen sich dafür erst anmelden, merkt sich dieses Cookie die Einladung bis nach der Anmeldung (Ablauf: 24 Stunden; danach oder nach der Annahme wird es gelöscht).
  • Reservierungs-Cookie: Reservieren Sie einen Wunsch, merkt sich dieses Cookie eine zufällige Kennung, damit Sie die Reservierung auf diesem Gerät auch ohne den Link aus der E-Mail stornieren oder eine Zahlung melden können (Ablauf: 90 Tage; jede weitere Reservierung auf diesem Gerät beginnt die Frist neu).
  • Altersbestätigung: Merkt sich Ihre Bestätigung auf Profilen ab 18 Jahren (Ablauf: 24 Stunden)

Wir verwenden KEINE:

  • Tracking-Cookies
  • Werbe-Cookies
  • Analytics-Cookies von Drittanbietern

Für unsere Reichweiten- und Nutzungsstatistiken setzen wir bewusst Verfahren ein, die ohne Cookies auskommen. Dabei werden keine Informationen auf Ihrem Endgerät gespeichert oder ausgelesen. Welche Daten dabei verarbeitet werden, beschreiben wir in den Abschnitten 12b und 12c.

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der technischen Funktionsfähigkeit der Website.

9. Hosting und Infrastruktur

Datenbank und Authentifizierung

Für unsere Datenbank und die Benutzeranmeldung nutzen wir einen Dienstleister mit Sitz in den USA.

  • Server-Standort: Frankfurt, Deutschland (EU)
  • Verarbeitete Daten: Alle Nutzerdaten, Wunschlisten, Reservierungen
  • Anmeldeprotokoll: Zum Schutz Ihres Kontos protokolliert der Dienstleister Anmeldungen (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Wir löschen diese Einträge nach 90 Tagen, bei Löschung Ihres Kontos zusammen mit den übrigen Kontodaten.

Webhosting

Unsere Webseite betreiben wir bei einem Hosting-Anbieter in Deutschland.

  • Server-Standort: Deutschland

Weitere Dienstleister

Abruf von Webseiten: Seiten, deren Adresse Sie eingeben oder importieren, rufen wir über einen Dienstleister in den USA ab.

Wartung: Für Wartung und Fehlersuche nutzen wir einen KI-Dienst (USA).

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

10. Zahlungsabwicklung (Stripe Connect)

Wir nutzen Stripe für Zahlungen, Analysen und andere Geschäftsdienste. Stripe erhebt und verarbeitet personenbezogene Daten. Weitere Informationen finden Sie in der Datenschutzerklärung von Stripe.

Stripe agiert bei der Verarbeitung von Zahlungsdaten als eigenständiger Verantwortlicher im Sinne der DSGVO, nicht als Auftragsverarbeiter von Wishlist.de. Wishlist.de speichert keine Zahlungsdaten (Kreditkartennummern, Kontodaten) — diese werden ausschließlich von Stripe verarbeitet und gespeichert.

Anbieter

  • Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland
  • PCI DSS Level 1 zertifiziert (höchste Sicherheitsstufe der Zahlungsindustrie)

Daten bei Zahlungen (Schenker)

Wenn Sie als Schenker eine Zahlung über Stripe tätigen, werden folgende Daten von Stripe als eigenständigem Verantwortlichen verarbeitet:

  • Zahlungsmethode (Kreditkarte, SEPA, Apple Pay, Google Pay etc.)
  • Transaktionsbetrag und Währung
  • Name (sofern von der Zahlungsmethode übermittelt)
  • E-Mail-Adresse (für Zahlungsbestätigung)
  • IP-Adresse und Geräteinformationen (für Betrugsprävention)

Wishlist.de übermittelt Stripe dafür Ihren Namen, Ihre E-Mail-Adresse, den Betrag und die Bezeichnung von Wunsch und Wunschliste – bei einer monatlichen Unterstützung auch Ihre Nachricht – und erhält eine Bestätigung über den Zahlungsstatus, den Betrag sowie eine Transaktions-ID. Wir haben keinen Zugriff auf Kreditkartennummern oder Bankdaten.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) — die Zahlungsabwicklung ist für die Erbringung des Dienstes erforderlich, wenn der Wunschlisten-Besitzer Kartenzahlung aktiviert hat.

Stripe Connect für Wunschlisten-Ersteller (Connected Accounts)

Wunschlisten-Ersteller, die Kartenzahlung aktivieren, erstellen ein eigenes Stripe-Konto (Stripe Standard Connect Account). Dabei werden von Stripe als eigenständigem Verantwortlichen zusätzliche Daten im Rahmen gesetzlicher Anforderungen (KYC/Geldwäscheprävention) erhoben:

  • Persönliche Identifikationsdaten (Name, Geburtsdatum, Adresse)
  • Bankverbindung für Auszahlungen
  • Steuerliche Informationen

Wishlist.de hat keinen Zugriff auf diese bei Stripe gespeicherten Daten. Unser Zahlungsdienstleister kann Informationen von Auskunfteien einholen, um die Identität von Wunschlisten-Erstellern zu verifizieren. Diese Informationen werden gemäß der Stripe-Datenschutzerklärung verwendet.

Wishlist.de übermittelt an Stripe: E-Mail-Adresse und Benutzer-ID des Wunschlisten-Erstellers sowie transaktionsbezogene Daten (Beträge, Artikel-Referenzen). Die Weitergabe dieser Daten an Stripe erfolgt auf Grundlage der Einwilligung des Wunschlisten-Erstellers bei Aktivierung der Kartenzahlung.

Von deinem verbundenen Stripe-Konto speichern wir dessen Land und Auszahlungswährung – damit wir Zahlungen in der passenden Währung anbieten und unsere Auswertungen führen können.

Speicherdauer

Transaktionsdaten (Betrag, Status, Transaktions-ID) werden in unserer Datenbank gespeichert, solange die zugehörige Wunschliste existiert. Stripe speichert Zahlungsdaten gemäß eigener Richtlinien und gesetzlicher Aufbewahrungsfristen. Personenbezogene Daten können an Drittländer übermittelt werden — es gilt die Datenschutzerklärung von Stripe.

Weitere Informationen: Stripe Datenschutzerklärung | Stripe Connected Account Agreement | Stripe-Nutzungsbedingungen | Stripe Acquirer Disclosure

10a. Zahlungen über PayPal

Hat der Besitzer einer Wunschliste PayPal gewählt, speichern wir seinen PayPal.me-Namen und zeigen ihn Gästen mit einem Link zu PayPal. Die Zahlung läuft direkt zwischen Ihnen und PayPal; wir erhalten von PayPal keine Daten. Für die Zahlung gilt die Datenschutzerklärung von PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg).

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

PayPal Datenschutzerklärung

11. E-Mail-Benachrichtigungen

Wir versenden E-Mail-Benachrichtigungen über einen E-Mail-Versanddienst mit Sitz in den USA.

  • Verarbeitete Daten: E-Mail-Adresse, Name, Inhalt der E-Mail

Wir versenden unter anderem:

  • Willkommens-E-Mail nach der Registrierung
  • Benachrichtigungen über neue Reservierungen
  • Bestätigungen und Hinweise an Gäste, die eine E-Mail-Adresse angegeben haben
  • Zahlungsbestätigungen und -benachrichtigungen (bei Stripe-Zahlungen)
  • Erstattungs- und Streitfall-Benachrichtigungen
  • Einladungen zur Mitorganisation von Wunschlisten
  • Passwort-Zurücksetzen-E-Mails
  • Hinweise zur Einrichtung Ihrer Wunschliste

Benachrichtigungen an Ihr Konto können Sie jederzeit in Ihren Profileinstellungen deaktivieren oder den Abmeldelink in der E-Mail nutzen.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Kontakt

Schreiben Sie uns per E-Mail oder über das Kontaktformular, verarbeiten wir Ihre Angaben, um Ihre Anfrage zu beantworten (Art. 6 Abs. 1 lit. b bzw. f DSGVO), und bewahren sie bis zu zwei Jahre nach Erledigung der Anfrage auf. Unser E-Mail-Postfach liegt bei einem externen E-Mail-Anbieter.

11a. App für iPhone und Android

Unsere App für iPhone und Android zeigt die Inhalte dieser Website; für sie gilt diese Datenschutzerklärung. Zusätzlich gilt Folgendes.

Strichcode-Scanner

Scannen Sie in der App einen Strichcode, wird das Kamerabild nur auf Ihrem Gerät ausgewertet und weder gespeichert noch übertragen. Wir erhalten nur die Nummer des Strichcodes und nutzen sie, um das Produkt für Ihren Wunsch zu finden. An Produktsuchdienste geben wir dabei nur diese Nummer weiter, keine Angaben zu Ihrer Person.

Auf Android-Geräten übermittelt die Erkennungssoftware dabei technische Angaben zu Gerät und App an ihren Anbieter (Sitz in den USA, siehe Abschnitt 15).

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Kontolöschung bei Anmeldung mit Apple

Löschen Sie Ihr Konto in der iPhone-App und bestätigen dies mit Apple, teilen wir Apple mit, dass Wishlist.de Ihre Anmeldung mit Apple nicht mehr nutzt. Die dafür nötigen Anmeldedaten von Apple verarbeiten wir nur während dieses Vorgangs; wir speichern sie nicht.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

12. Bot-Schutz (Cloudflare Turnstile)

Zum Schutz vor automatisierten Anfragen (Bots) und Spam nutzen wir Cloudflare Turnstile auf bestimmten Formularen (z.B. Kontaktformular, Registrierung).

  • Anbieter: Cloudflare Inc., 101 Townsend St, San Francisco, CA 94107, USA
  • Verarbeitete Daten: IP-Adresse, Browser-Informationen, Interaktionsdaten

Cloudflare Turnstile ist eine datenschutzfreundliche Alternative zu herkömmlichen CAPTCHAs und erfordert keine Benutzerinteraktion.

Weitere Informationen: Cloudflare Privacy Policy

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) am Schutz vor Missbrauch.

12a. Fehlerüberwachung

Zur Sicherstellung eines stabilen Betriebs und zur Behebung technischer Fehler nutzen wir einen Dienst zur Fehlerüberwachung mit Sitz in den USA. Er erhält automatisch Fehlermeldungen und technische Informationen, wenn ein Fehler auftritt.

  • Datenresidenz: Server in der EU (Frankfurt)
  • Verarbeitete Daten: Browser- und Geräteinformationen, Betriebssystem, URL der aufgerufenen Seite, technische Fehlerdetails

Personenbezogene Daten wie E-Mail-Adresse, Name, Empfängernamen, Kartenbotschaften und PayPal-Handles werden vor der Übertragung automatisch entfernt. IP-Adressen werden ebenfalls vor dem Versand entfernt. Der Dienst setzt keine Tracking-Cookies.

Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO. Die Übermittlung erfolgt ausschließlich an seine Server in der EU.

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) am stabilen und sicheren Betrieb unseres Dienstes.

12b. Reichweitenmessung

Um zu verstehen, wie oft unsere Seiten aufgerufen werden und über welche Kanäle Besucher zu uns finden, nutzen wir einen Dienst zur Reichweitenmessung. Dazu wird auf unseren Seiten ein kleines Statistik-Skript geladen.

  • Anbieter: Dienstleister mit Sitz in Singapur
  • Verarbeitete Daten: Adresse der aufgerufenen Seite (auch Kampagnen-Angaben darin), Referrer (die zuvor besuchte Seite), technische Browser- und Geräteangaben sowie Ihre IP-Adresse, die beim Laden des Skripts technisch bedingt an den Anbieter übertragen wird
  • Zweck: aggregierte Zugriffsstatistiken (Seitenaufrufe, Besucherzahlen, Herkunftskanäle)

Der Dienst arbeitet ohne Cookies: Es werden keine Informationen auf Ihrem Endgerät gespeichert oder ausgelesen, und es wird kein seitenübergreifendes Nutzerprofil gebildet. Wir erhalten ausschließlich aggregierte Statistiken, keine Auswertungen zu einzelnen Personen.

Nicht geladen wird das Skript auf Seiten, deren Adresse einen geheimen Zugangs-Token enthält — etwa zum Stornieren einer Reservierung, zum Melden einer Zahlung, zum Abmelden von E-Mails oder auf den Stream-Overlays. Auf Seiten, deren Adresse eine E-Mail-Adresse enthält (etwa bei der Eingabe des Bestätigungscodes), wird das Skript geladen; der Anbieter erhält dort aber nur die Adresse der Seite ohne die E-Mail-Adresse, und die nächste Seite erfährt als Referrer nur „wishlist.de“. Alle übrigen Seiten werden gemessen — auch Wunschlisten, die über einen Freigabe-Link aufgerufen werden.

Der Anbieter hat seinen Sitz in Singapur und speichert Daten in den USA (siehe Abschnitt 15).

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der Messung und Verbesserung der Reichweite unseres Angebots. Nach überwiegender Rechtsauffassung ist für eine cookielose Reichweitenmessung, bei der keine Informationen auf dem Endgerät gespeichert oder ausgelesen werden, keine Einwilligung nach § 25 Abs. 1 TDDDG erforderlich. Sie können dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO, siehe Abschnitt 16).

12c. Eigene Nutzungsstatistik (ohne Cookies)

Zusätzlich führen wir eine eigene Nutzungsstatistik, die ausschließlich in unserer eigenen Datenbank gespeichert wird. Sie hilft uns zu erkennen, welche Seiten genutzt werden, an welchen Stellen Nutzer abbrechen und über welche Kanäle sie zu uns finden.

Bei einem Seitenaufruf speichern wir:

  • Pfad und Titel der aufgerufenen Seite
  • die Herkunftsseite (Referrer) sowie deren gröbere Einordnung (z.B. "google", "whatsapp", "direkt")
  • Kampagnen-Angaben aus der Adresszeile, sofern vorhanden — bei unseren Anzeigen, welche Anzeige es war und zu welchem von uns gebuchten Suchbegriff sie erschien (nicht, was Sie selbst gesucht haben)
  • Gerätetyp (Desktop/Mobil/Tablet), Browser sowie die vom Browser übermittelte Kennung
  • eine grobe Länderangabe, die aus der Spracheinstellung des Browsers abgeleitet wird — nicht aus der IP-Adresse
  • Ihre IP-Adresse ausschließlich als Hashwert, nicht im Klartext; der Hash wechselt täglich
  • eine Besucherkennung, die aus technischen Browserangaben und dem Datum berechnet wird und daher ebenfalls täglich wechselt
  • ob die Seite als installierte App geöffnet wurde

Neben Seitenaufrufen erfassen wir einzelne Interaktionen, die uns zeigen, ob ein Angebot tatsächlich genutzt wird. Auf der Seite "Wunschzettel-Vorlage" sind das zwei Ereignisse:

  • Klick auf eine Vorlage zum Herunterladen — gespeichert wird ausschließlich, welche der vier Vorlagen angeklickt wurde (z.B. "neutral"). Ob die Datei anschließend gespeichert oder gedruckt wurde, erfahren wir nicht.
  • Klick auf den Hinweis "Wunschliste online anlegen" — gespeichert wird ausschließlich, an welcher der drei Stellen der Seite geklickt wurde (oben, in der Mitte, am Ende).

Weitere Angaben zu diesen Ereignissen speichern wir nicht: kein Freitext, keine Eingaben, keine Verknüpfung mit einem Konto. Dazu kommen dieselben technischen Felder wie oben (Pfad der Seite, Herkunftsseite, Gerätetyp, Browser, grobe Länderangabe, gehashte IP-Adresse, täglich wechselnde Besucherkennung). Zweck: erkennen, welche Vorlagen gefragt sind und ob die Seite Besucher zu einer digitalen Wunschliste führt. Speicherdauer: wie bei allen Ereignissen dieser Statistik 90 Tage.

Außerdem erfassen wir Aufrufe von Wunschlisten, Klicks auf Shop-Links und Schritte bei der Registrierung und beim Anlegen einer Wunschliste.

Dabei gilt:

  • Es werden keine Cookies gesetzt und keine Informationen auf Ihrem Endgerät gespeichert oder ausgelesen.
  • Diese Statistik enthält weder Ihre E-Mail-Adresse noch Ihre Nutzer-ID.
  • Die Daten verbleiben in unserer Datenbank in Frankfurt (siehe Abschnitt 9) und werden nicht an Dritte weitergegeben.
  • Aufrufe von Administrationsseiten sowie erkannte Bots werden nicht gespeichert.

Speicherdauer: Die einzelnen Ereignisse werden nach 90 Tagen automatisch gelöscht. Darüber hinaus bewahren wir lediglich aggregierte Tageswerte ohne Personenbezug auf (z.B. die Anzahl der Seitenaufrufe pro Tag).

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der bedarfsgerechten Gestaltung und Verbesserung unseres Angebots. Nach überwiegender Rechtsauffassung ist für eine cookielose Nutzungsstatistik, bei der keine Informationen auf dem Endgerät gespeichert oder ausgelesen werden, keine Einwilligung nach § 25 Abs. 1 TDDDG erforderlich. Sie können dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO, siehe Abschnitt 16).

12d. Werbe-Erfolgsmessung (ohne Cookies)

Kommen Sie über eine Werbeanzeige zu uns, enthält der Link eine Kampagnen-Kennung (z.B. "Google-Anzeige: wunschliste erstellen"). Registrieren Sie sich während dieses Besuchs, speichern wir diese Kennung zu Ihrem Konto. Sie sagt aus, über welche Kampagne Sie uns gefunden haben — nicht, wer Sie im Netz sind.

  • Verarbeitete Daten: die Kampagnen-Kennungen aus der Adresszeile sowie die Adresse der Seite, über die Sie uns erreicht haben, und der Zeitpunkt der Registrierung
  • Zweck: auswerten, welche Werbemaßnahmen zu Registrierungen führen
  • Speicherort: unsere Datenbank in Frankfurt (siehe Abschnitt 9)

Dabei werden keine Cookies gesetzt und es findet kein seitenübergreifendes Tracking statt. Über die in den Abschnitten 12a und 12b beschriebenen Dienste hinaus geben wir diese Daten nicht an Dritte weiter.

Speicherdauer: Die Kampagnen-Kennung wird gemeinsam mit Ihrem Konto gelöscht bzw. anonymisiert.

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der wirtschaftlichen Bewertung unserer Werbemaßnahmen. Sie können dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO, siehe Abschnitt 16).

12e. Technisches Protokoll

Zur Fehlersuche protokollieren wir einzelne Vorgänge, bei kontobezogenen Vorgängen mit Ihrer Nutzer-ID. Die Einträge löschen wir nach 180 Tagen.

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

13. KI-Funktionen

Für einzelne Funktionen nutzen wir KI-Modelle eines Anbieters mit Sitz in den USA: Bilder und Banner, das Erkennen von Produktdaten aus Shop-Links, die Einordnung von Wünschen, Schlagworte für öffentliche Listen, Übersetzungen, die Auswertung der Begründung bei einer Kontolöschung und die Prüfung von Inhalten (Abschnitt 17a), auch von Foto und Text eines Dankeschöns vor der Veröffentlichung. Übermittelt werden die Inhalte, die die jeweilige Funktion braucht.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); für Funktionen im Hintergrund, das Dankeschön und die Löschbegründung berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

13a. Personalisierte Teil-Videos mit Sprachausgabe

Wenn Sie ein personalisiertes Teil-Video erstellen – zum Start das Weihnachtsmann-Video –, erzeugen wir die gesprochene Fassung des eingegebenen Vornamens über einen Dienst für Sprachausgabe. Die Verarbeitung erfolgt nur auf Ihre aktive Anforderung hin, also erst, wenn Sie das Erstellen eines Videos selbst auslösen. Nutzen Sie die Funktion nicht, werden keine Daten an diesen Dienst übermittelt.

  • Anbieter: Dienstleister mit Sitz in den USA
  • Verarbeitete Daten: der von Ihnen eingegebene Vorname der beschenkten Person – oder, wenn Sie das Feld ausgefüllt haben, die von Ihnen eingegebene Aussprache –, eingesetzt in einen festen deutschen Satz

Weitere Daten werden nicht übermittelt: keine E-Mail-Adresse, kein Nachname, keine Inhalte Ihrer Wunschliste und keine Daten Ihrer Gäste. Der Vorname wird bei uns nicht in Protokolldateien und nicht in Fehlermeldungen geschrieben.

Speicherdauer: Das erzeugte Video, der dafür gespeicherte Vorname und die eingegebene Aussprache werden am 15. Januar gelöscht. Löschen Sie die Wunschliste vorher, werden Video, Name und Aussprache innerhalb von 48 Stunden entfernt – auch wenn Sie die Liste später wiederherstellen.

Die Zwischendateien, die beim Erstellen auf unserem Server entstehen – die Tonspur, die Untertiteldatei und die Bilder der Endkarte, auf denen der Vorname steht –, werden unmittelbar nach dem Erstellen gelöscht; bleibt nach einem Abbruch etwas liegen, entfernt es in der Regel der nächste tägliche Bereinigungslauf, spätestens innerhalb von 48 Stunden.

Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

14. Affiliate-Links

Einige der auf Wunschlisten verlinkten Produkte können sogenannte Affiliate-Links enthalten. Wenn Sie über diese Links einkaufen, erhalten wir eine kleine Provision vom Händler, ohne dass sich der Preis für Sie ändert. Dies hilft uns, Wishlist.de kostenlos anzubieten.

Amazon PartnerNet

Wir nehmen am Amazon EU-Partnerprogramm teil. Links zu Produkten auf Amazon.de werden automatisch mit unserem Partner-Tag versehen (Store-ID: wishlist047-21).

  • Anbieter: Amazon Europe Core S.à r.l., Luxemburg
  • Cookie-Dauer: 24 Stunden (89 Tage bei Warenkorb-Hinzufügung)
  • Verarbeitete Daten: Klickdaten, Kaufdaten (anonymisiert an uns)

Amazon erhält Informationen darüber, dass Sie über Wishlist.de auf Amazon.de gelangt sind. Eine Verknüpfung mit anderen Amazon-Daten erfolgt nach unserem Kenntnisstand nicht.

Weitere Informationen: Amazon PartnerNet Richtlinien | Amazon Datenschutzerklärung

Awin (Affiliate-Netzwerk)

Für bestimmte Shops (z.B. Thalia, OTTO, baby-walz, babymarkt) nutzen wir das Affiliate-Netzwerk Awin.

  • Anbieter: Awin AG, Eichhornstraße 3, 10785 Berlin, Deutschland
  • Cookie-Dauer: 30 Tage (shopabhängig)
  • Verarbeitete Daten: Klickdaten, Kaufdaten (anonymisiert an uns)

Weitere Informationen: Awin Datenschutzerklärung

Rakuten Advertising (Affiliate-Netzwerk)

Für bestimmte Shops (z.B. LEGO) nutzen wir das Affiliate-Netzwerk Rakuten Advertising. Beim Klick auf einen solchen Shop-Link werden Sie kurz über einen Server von Rakuten (click.linksynergy.com) zum Shop weitergeleitet.

  • Anbieter: Rakuten Marketing Europe Limited (Rakuten Advertising), London, Vereinigtes Königreich
  • Verarbeitete Daten: IP-Adresse, Zeitpunkt, Referrer- und Ziel-URL, Browser- und Geräteinformationen sowie pseudonyme Klick-Kennungen; bei zugeordneten Käufen zusätzlich Bestellwert und Provision (an uns nur aggregiert)
  • Speicherdauer: je nach Shop und eingesetzter Technik zwischen 30 Tagen und 730 Tagen

Weitere Informationen: Rakuten Advertising Datenschutzerklärung

Hinweis zur Datenübertragung: Daten von Nutzern im EWR werden von Rakuten Marketing Europe Limited im Vereinigten Königreich erhoben. Näheres dazu in Abschnitt 15.

Daisycon (Affiliate-Netzwerk)

Für bestimmte Shops (z.B. Little Dutch) nutzen wir das Affiliate-Netzwerk Daisycon. Beim Klick auf einen solchen Shop-Link werden Sie kurz über einen Server von Daisycon (z.B. aff.little-dutch.com) zum Shop weitergeleitet.

  • Anbieter: Daisycon B.V., P.J. Oudweg 5, 1314 CH Almere, Niederlande
  • Verarbeitete Daten: IP-Adresse, Zeitpunkt, Referrer- und Ziel-URL, Browser- und Geräteinformationen sowie pseudonyme Klick-Kennungen; bei zugeordneten Käufen zusätzlich Bestellwert und Provision (an uns nur aggregiert)
  • Speicherdauer: bis zu 1 Jahr; ein Kauf wird bis zu 100 Tage nach dem Klick zugeordnet (shopabhängig)

Weitere Informationen: Daisycon Datenschutzerklärung

impact.com (Affiliate-Netzwerk)

Rakuten Advertising zieht seine Partnerprogramme schrittweise auf die Plattform impact.com um. Bei Shops, deren Programm dort läuft, werden Sie beim Klick auf einen Shop-Link kurz über einen Server von impact.com zum Shop weitergeleitet – auch dann, wenn der Link noch bei Rakuten (click.linksynergy.com) beginnt.

  • Anbieter: Impact Tech, Inc., 25 W Cota St, Santa Barbara, CA 93101, USA
  • Verarbeitete Daten: IP-Adresse, Zeitpunkt, Referrer- und Ziel-URL, Browser- und Geräteinformationen, ungefährer Standort sowie pseudonyme Klick-Kennungen (Cookies); bei zugeordneten Käufen zusätzlich Bestellwert und Provision (an uns nur aggregiert)
  • Speicherdauer: Klick-Cookies je nach Shop; personenbezogene Daten von Shop-Besuchern löscht oder anonymisiert impact.com nach eigenen Angaben nach 90 Tagen

Weitere Informationen: impact.com Datenschutzerklärung

Hinweis zur Datenübertragung: impact.com hat seinen Sitz in den USA. Näheres dazu in Abschnitt 15.

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der Finanzierung des kostenfreien Dienstes. Die Verlinkung liegt im Interesse der Nutzer, da sie ohnehin auf die Produktseiten gelangen möchten.

Produktbilder lädt Ihr Browser direkt von den Servern der Shops; diese erhalten dabei Ihre IP-Adresse. Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der Darstellung der Wünsche.

15. Internationale Datenübertragung

Unsere Hauptdatenbank befindet sich in Frankfurt, Deutschland, innerhalb der EU. Die Zahlungsabwicklung erfolgt über Stripe Payments Europe, Ltd. mit Sitz in Irland (EU).

Einige Dienstleister haben ihren Sitz in den USA. Ist ein Anbieter unter dem EU-US Data Privacy Framework zertifiziert, stützt sich die Übermittlung auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 Abs. 1 DSGVO, Beschluss vom 10. Juli 2023), sonst auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO):

  • Google LLC — DPF-zertifiziert (Anmeldung mit Google)
  • Cloudflare Inc. — DPF-zertifiziert (Bot-Schutz)
  • E-Mail-Versand (Abschnitt 11) — DPF-zertifiziert
  • Datenbank und Anmeldung (Abschnitt 9)
  • Fehlerüberwachung (Abschnitt 12a)
  • Abruf von Webseiten (Abschnitt 9)
  • KI-Funktionen (Abschnitt 13)
  • KI-Dienst für Wartung (Abschnitt 9)
  • E-Mail-Postfach (Abschnitt 11)
  • Strichcode-Erkennung unter Android (Abschnitt 11a) — DPF-zertifiziert

Apple (Anmeldung mit Apple): Für Nutzer im EWR ist Apple Distribution International Ltd. mit Sitz in Irland (EU) verantwortlich. Apple kann Daten auch durch andere Unternehmen der Apple-Gruppe, etwa Apple Inc. in den USA, verarbeiten und speichern lassen; für solche Übermittlungen aus dem EWR stützt sich Apple nach eigenen Angaben auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Rakuten Advertising: Daten von Nutzern im EWR werden von Rakuten Marketing Europe Limited im Vereinigten Königreich erhoben — und nur dann, wenn Sie aktiv auf einen entsprechend gekennzeichneten Shop-Link klicken (siehe Abschnitt 14). Die Übermittlung in das Vereinigte Königreich stützt sich auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Konzerninterne Weiterübermittlungen, etwa in die USA, erfolgen auf Grundlage der Binding Corporate Rules der Rakuten-Gruppe (Art. 47 DSGVO).

impact.com: Impact Tech, Inc. hat seinen Sitz in den USA. Daten werden nur übermittelt, wenn Sie aktiv auf einen entsprechend gekennzeichneten Shop-Link klicken (siehe Abschnitt 14). impact.com stützt Übermittlungen aus dem EWR nach eigenen Angaben auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Sprachausgabe (Abschnitt 13a): Der Anbieter hat seinen Sitz in den USA; die Übermittlung erfolgt nur, wenn Sie die Funktion nutzen, und umfasst allein den eingegebenen Vornamen – oder, wenn Sie das Feld ausgefüllt haben, die eingegebene Aussprache –, eingesetzt in einen festen deutschen Satz. Sie stützt sich auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil des Auftragsverarbeitungsvertrags mit dem Anbieter sind.

Für die Reichweitenmessung (Abschnitt 12b) setzen wir einen Anbieter mit Sitz in Singapur ein; die Daten werden dort bzw. in den USA verarbeitet. Für Singapur besteht kein Angemessenheitsbeschluss der EU-Kommission. Die Übermittlung erfolgt daher auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil des Auftragsverarbeitungsvertrags mit dem Anbieter sind.

16. Ihre Rechte

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

  • Auskunft (Art. 15 DSGVO): Sie können jederzeit Auskunft über Ihre bei uns gespeicherten Daten verlangen.
  • Berichtigung (Art. 16 DSGVO): Sie können fehlerhafte Daten berichtigen lassen.
  • Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen ("Recht auf Vergessenwerden").
  • Einschränkung (Art. 18 DSGVO): Sie können die Verarbeitung Ihrer Daten einschränken lassen.
  • Datenübertragbarkeit (Art. 20 DSGVO): Sie können Ihre Daten in einem gängigen Format anfordern.
  • Widerspruch (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten widersprechen.
  • Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Sie können erteilte Einwilligungen jederzeit widerrufen.

Zur Ausübung dieser Rechte kontaktieren Sie uns unter: kontakt@wishlist.de

Sie können Ihr Konto auch selbstständig in den Profileinstellungen löschen. Abschnitt 4 beschreibt den Ablauf, die Frist und wie Sie die Löschung innerhalb dieser Frist zurücknehmen können.

17. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren.

Für die Schweiz

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Feldeggweg 1
3003 Bern
Schweiz
www.edoeb.admin.ch

Für Deutschland

Sie können sich an die für Ihren Wohnort zuständige Landesdatenschutzbehörde wenden. Eine Liste finden Sie unter: Datenschutzbehörden der Länder

17a. Inhaltsmoderation und Meldungen

Zur Einhaltung unserer Inhaltsrichtlinie und der Verordnung (EU) 2022/2065 (Digital Services Act, DSA) setzen wir Werkzeuge zur Inhaltsmoderation ein.

Inhalt melden (DSA Art. 16)

Über die Funktion "Inhalt melden" (auf jeder öffentlichen Wunschliste sowie unter /melden) können Nutzer Inhalte melden, die sie für rechtswidrig oder gegen unsere Richtlinien verstoßend halten.

Die Angabe einer E-Mail-Adresse ist freiwillig. Wir verwenden sie ausschließlich für Rückfragen zu Ihrer Meldung; eine Benachrichtigung über das Ergebnis der Prüfung erfolgt nicht. Ohne Angabe kennen wir weder Ihren Namen noch eine Kontaktadresse. Ihre IP-Adresse speichern wir wie bei jeder Meldung zur Missbrauchsabwehr — eine Meldung ist uns gegenüber daher nicht vollständig anonym.

  • Verarbeitete Daten: gemeldete Wunschliste/Item, Kategorie, Beschreibung, optional E-Mail des Meldenden, IP-Adresse
  • Zweck: Prüfung gemeldeter Inhalte, Spam-/Missbrauchserkennung, Rückfragen an die meldende Person
  • Speicherdauer: bis zur Bearbeitung sowie zu Beweiszwecken im Rahmen gesetzlicher Aufbewahrungsfristen
  • Rechtsgrundlage: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO i.V.m. DSA Art. 16) und berechtigtes Interesse (lit. f) am Schutz vor Missbrauch

Automatisierte Vorprüfung

Öffentliche Wunschlisten (außer Creator-Profile) werden in einem nächtlichen Hintergrundprozess durch ein großes Sprachmodell auf Verstöße gegen unsere Inhaltsrichtlinie geprüft. Übermittelt werden die Texte der Wunschliste und der enthaltenen Wünsche. Diese Felder werden von Nutzern frei eingegeben und können vereinzelt personenbezogene Daten enthalten (z.B. Vornamen oder Bezüge zur empfangenden Person). Konto-Identifikatoren wie E-Mail-Adresse, Profilbild oder Nutzer-ID werden nicht übermittelt. Die Vorprüfung trifft keine endgültige Entscheidung; markierte Inhalte werden manuell durch unser Team geprüft.

  • Anbieter: Dienstleister mit Sitz in den USA
  • Rechtsgrundlage: berechtigtes Interesse an Plattformsicherheit (Art. 6 Abs. 1 lit. f DSGVO) und rechtliche Verpflichtung zur Inhaltsmoderation (lit. c i.V.m. DSA)

Begründung von Entscheidungen (DSA Art. 17)

Schränken wir Ihre Inhalte ein (verbergen, löschen) oder sperren wir Ihr Konto, erhalten Sie eine Begründung per E-Mail mit Angaben zum Umfang der Maßnahme, den zugrunde liegenden Tatsachen, der Rechtsgrundlage bzw. der verletzten AGB-Klausel, dem Hinweis auf den Einsatz automatisierter Vorprüfung sowie dem Beschwerdeweg (innerhalb von 14 Tagen per E-Mail an support@wishlist.de).

18. Automatisierte Entscheidungsfindung

Wir setzen keine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DSGVO ein, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt.

19. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder Änderungen unseres Dienstes anzupassen. Die aktuelle Version finden Sie stets auf dieser Seite.

Stand: Oktober 2026