Datenschutzhinweise

1. Verantwortlicher und Kontakt

Christian Reif, reif.systems, Guntherstraße 6, 90530 Wendelstein, Deutschland. E-Mail: service@reif.systems, Telefon: +49 152 01715281. Diese Hinweise betreffen unsere Webseite, Geschäftskontakte, die Plattform Aktionsvorteile und beauftragte Webseiten-, Hosting- und Domainleistungen.

2. Besuch der Webseite und Anfragen

Beim Seitenaufruf verarbeitet Cloudflare insbesondere IP-Adresse, Zeitpunkt, angefragte Adresse sowie Browser- und Verbindungsdaten zur Auslieferung und Absicherung. Rechtsgrundlage ist unser berechtigtes Interesse am sicheren Betrieb nach Art. 6 Abs. 1 lit. f DSGVO. Wir setzen keine Werbung, Analyse-Tracker oder einwilligungspflichtigen Marketing-Cookies ein. Technisch notwendige Speicherung erfolgt nach § 25 Abs. 2 Nr. 2 TDDDG.

Bei Anfragen verarbeiten wir Name, E-Mail und die mitgeteilten Inhalte zur Bearbeitung (Art. 6 Abs. 1 lit. b DSGVO bei Vertragsanbahnung, sonst lit. f). Das Webformular speichert die Anfrage verschlüsselt für höchstens 30 Tage; erledigte Anfragen können früher entfernt werden. Geschäftlich erforderliche Korrespondenz bewahren wir getrennt im notwendigen Umfang auf. Bitte keine Gesundheitsdaten, Kundendaten oder andere sensible Angaben in Freitexte schreiben.

3. Geschäftskonto und Plattformbetrieb

Wir verarbeiten Kontoname, Anmelde-E-Mail, Passwort-Hash, Bestätigungen, Sitzungen, Unternehmensname, Inhaber beziehungsweise rechtlichen Betreiber, Geschäftsanschrift und geschäftliche Kontaktadresse. Dazu kommen Rollen, Einladungen, gewählte Tarife, Vertragsbestätigungen und betriebliche Vorgänge. Pflichtangaben sind für Vertrag, Identifizierung des verantwortlichen Betriebs und sichere Nutzung erforderlich; ohne sie ist die entsprechende Nutzung nicht möglich. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und c DSGVO, für Missbrauchsschutz lit. f.

Die Kontobestätigung, Passwortzurücksetzung, Adressänderung und Mitarbeitereinladung versenden wir über Cloudflare Email Service. Dabei werden Empfängeradresse, Kontoname, gegebenenfalls Unternehmensname und der erforderliche Link verarbeitet. Voucher und Stempelkarten versenden wir nicht per E-Mail. Bestätigungs- und Rücksetzlinks gelten 60 Minuten, Einladungen 48 Stunden. Gewöhnliche Supportanfragen werden 90 Tage nach Abschluss gelöscht. Erforderliche Geschäftsbriefe werden mit dokumentiertem Grund gesondert bis sechs Jahre nach Ende des betreffenden Kalenderjahres aufbewahrt. Anmeldungscookies sind technisch notwendig; eine Sitzung gilt bis zu zwölf Stunden.

4. Datenschutz zu Voucher und Stempelkarte

Verantwortlich für das konkrete Angebot ist der ausstellende Betrieb. Bei einer Empfehlung an einen Partnerbetrieb werden beide Betriebe auf der Angebotsseite benannt. Die dort verlinkten betriebsbezogenen Angaben ergänzen diesen Abschnitt. reif.systems verarbeitet die Angebotsdaten im Auftrag der beteiligten Betriebe; für eigene Konten, Abrechnung und Plattformschutz ist reif.systems selbst verantwortlich.

Gespeichert werden die technische Voucher- oder Kartenkennung, Betriebszuordnung, Angebotsbedingungen, Gültigkeit und Status, bei Stempelkarten Stempelstand und Sammelrunde, erforderliche Vorgangszeitpunkte und Betriebszugänge sowie ein freiwilliger, verschlüsselter Empfängername. Ein Name ist nicht erforderlich. Auch Kennungen und Vorgänge können personenbezogen sein, wenn sie einer Person zugeordnet werden können. Kundenadressen, Geburtsdaten und Gesundheitsdaten werden hierfür nicht benötigt. E-Mail-Adressen von Endkunden werden nicht erfasst.

Die Telefonnummer wird ausschließlich vorübergehend im Versanddialog auf dem Gerät des Betriebs zur bewussten Übergabe an WhatsApp verwendet. Sie wird nicht an die Plattform-API übertragen oder in unserer Datenbank gespeichert. Beim Schließen des Dialogs wird sie verworfen. Beim Öffnen von WhatsApp gelangen Nummer und Nachricht an diesen Dienst; dessen Verarbeitung liegt außerhalb unserer Plattform. Alternativ kann der Betrieb den persönlichen Link ohne WhatsApp weitergeben.

Ausstellung und Abwicklung eines vom Kunden gewünschten Vorteils erfolgen durch den Betrieb regelmäßig nach Art. 6 Abs. 1 lit. b DSGVO. Andere Verwendungen, insbesondere Werbung, benötigen eine eigene Rechtsgrundlage und sind nicht Bestandteil dieser Funktion. Der Betrieb stellt die Informationen vor Erhebung bereit. Der Hinweis und der Link auf dem fertigen Angebot ersetzen diese vorherige Information nicht. Eine zusätzliche Datenschutz-Einwilligung ist für die erforderliche Angebotsabwicklung nicht vorgesehen.

Zugriff haben der ausstellende Betrieb, seine berechtigten Mitarbeiter und der Inhaber des vertraulichen Links; bei einem Kooperationsvoucher erhält der einlösende Betrieb Kundendaten erst nach Aktivierung. Persönliche Links und QR-Codes sind geheim zu halten. Die Karte verwendet einen technisch notwendigen geschützten Zugriffscookie für ihren Betriebsbereich, bis zu 400 Tage, bei Nutzung erneuert. Private Karteninhalte werden nicht offline zwischengespeichert.

Nach Einlösung, Stornierung oder Ablauf löschen wir den Voucher einschließlich des Namens aus dem aktiven System. Bei Ablauf geschieht die automatische Bereinigung im nächsten geplanten Lauf, normalerweise innerhalb weniger Minuten. Der Inhaber kann einen Voucher stornieren und bei Bedarf neu ausstellen; ein bereits ausgestellter Voucher wird nicht geändert.

Nach Einlösung einer Kartenbelohnung wählt der Betrieb mit dem Kunden Weitersammeln oder Beenden. Beim Weitersammeln bleiben Karte, Link und gegebenenfalls Name für die neue Runde bestehen; die abgeschlossene Runde wird bereinigt. Beim Beenden einer Karte werden Name, Kartenstand und Verlauf entfernt und alte Zugänge ungültig. Der Inhaber kann auch eine noch nicht volle Karte selbst beenden. Die Plattform lässt aktive Stempelkarten und erreichte Belohnungen nicht automatisch verfallen.

Es gibt keine pauschale Aufbewahrung dieser Kundenvorgänge für Steuerzwecke. Zusammengefasste Statistiken ohne Kundenkennungen bleiben erhalten. Zur Verhinderung doppelter Verarbeitung bleiben bis zu sieben Tage technische Vorgangskennungen mit Prüfsummen erhalten, ohne Namen, Telefonnummern und Kundenlinks. Eine ausnahmsweise gesetzlich notwendige Sicherung bei einem konkreten Rechtsfall wird getrennt und zugriffsbeschränkt behandelt. Für Auskunft, Berichtigung oder Löschung ist der ausstellende Betrieb direkt ansprechbar; er kann die vorgesehenen Funktionen selbst bedienen. Auch reif.systems ist unter der oben genannten Adresse erreichbar.

5. Unternehmensprofile und Kooperationen

Ein Kooperationsprofil erscheint erst nach Freigabe in der Partnersuche. Sichtbarkeit von Geschäftskontakten und Darstellung für Endkunden werden getrennt eingestellt. Betriebsbezogene Pflichtangaben zur Identifikation des Verantwortlichen bleiben über den Datenschutzhinweis zum jeweiligen Angebot erreichbar.

Zur Standortprüfung übermitteln wir die Geschäftsadresse an Geoapify (KEPTAGO LTD, Paphos, Zypern). Koordinaten dienen zur Entfernungssuche zwischen Betrieben. Geräte oder Endkunden werden nicht geortet. Die Anfrage erfolgt serverseitig über api-eu.geoapify.com. Die IP-Adresse des Nutzers und Kundennamen werden nicht an Geoapify weitergeleitet. Laut Geoapify-Datenschutzvereinbarung bleibt die API-Verarbeitung über diesen Endpunkt im EU-Raum; detaillierte personenbezogene Aufrufdaten werden normalerweise höchstens 24 Stunden und bei verdächtigen Vorgängen bis zu zwei Monate gespeichert. Hinweise: https://www.geoapify.com/data-processing-agreement/. Die Verarbeitung dient der beauftragten Standortfunktion (Art. 6 Abs. 1 lit. b DSGVO), technische Absicherung lit. f.

Partnergespräche und gesicherte Meldebelege werden verschlüsselt gespeichert. Nur beteiligte Inhaber und bei einer konkreten Meldung berechtigte Plattformadministratoren mit dokumentiertem Prüfgrund erhalten Zugriff. Geschäftliche Vereinbarungen und erforderliche beantwortete Korrespondenz werden nach Ende des jeweiligen Kalenderjahrs grundsätzlich sechs Jahre aufbewahrt; laufende Vereinbarungen werden bis zu ihrem Abschluss benötigt. Nicht erforderliche Kontakte werden früher bereinigt. Ersetzte Profilbilder werden nach 24 Stunden, Hinweise nach 90 Tagen und erledigte Meldungen nach zwölf Monaten bereinigt, soweit kein konkret begründeter Aufbewahrungsgrund besteht.

6. Abonnement, Rechnungen und Zahlungsdienst

Bei kostenpflichtiger Buchung verarbeiten wir geschäftliche Rechnungsdaten, Tarif, Abrechnungszeitraum, Zahlungsstatus und technische Zuordnungskennungen. Sobald Zahlungen über Stripe freigeschaltet sind, verarbeitet Stripe Payments Europe, Ltd., Irland, die dafür erforderlichen Zahlungs- und Rechnungsdaten, teilweise in eigener datenschutzrechtlicher Verantwortung. Kartennummern und Bankzugangsdaten werden nicht in unserer App gespeichert. Die Beauftragung und gegebenenfalls weitere Anbieter von Stripe ergeben sich aus dessen Datenschutzhinweisen: https://stripe.com/de/privacy. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und c DSGVO.

Der Betrieb bleibt unser Vertragspartner; Stripe ersetzt unsere eigenen gesetzlichen Pflichten nicht. Rechnungen werden acht Jahre nach Ende des Ausstellungsjahrs aufbewahrt. Handels- beziehungsweise Geschäftsbriefe werden, soweit gesetzlich erforderlich, sechs Jahre aufbewahrt. Die Fristen gelten nicht pauschal für Voucher oder Stempelkarten. Technische Buchungs- und Tarifwechselvorgänge ohne weitere Erforderlichkeit werden nach 90 Tagen bereinigt.

7. Hosting, Webseiten, Domains und E-Mail

Die Webseite und Plattform nutzen Cloudflare, Inc., USA, und verbundene Unternehmen für Workers, Pages, D1-Datenbank, R2-Dateispeicher, Sicherheitsfunktionen und notwendige Konto-E-Mails. Die D1-Datenbank ist der Region Osteuropa zugeordnet; daraus folgt keine Beschränkung sämtlicher Cloudflare-Verarbeitung auf die EU. Cloudflare setzt auch internationale Infrastruktur ein. Cloudflares Self-Serve Subscription Agreement bezieht in Abschnitt 6.1 die Datenschutzvereinbarung ein. Für von der Zertifizierung erfasste Übermittlungen an Cloudflare in den USA gilt der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO). Cloudflare ist dafür zertifiziert; der Registereintrag ist unter https://www.dataprivacyframework.gov/participant/5666 abrufbar. Für erforderliche Übermittlungen ohne anwendbaren Angemessenheitsbeschluss sieht die Datenschutzvereinbarung EU-Standardvertragsklauseln gemäß Beschluss 2021/914 vor: Modul 2 bei unserer eigenen Verantwortlichkeit, Modul 3 bei unserer Tätigkeit als Auftragsverarbeiter. Eine Kopie der einschlägigen Garantien ist über den verlinkten Vertrag oder auf Anfrage erhältlich. Hinweise: https://www.cloudflare.com/privacypolicy/ und https://www.cloudflare.com/cloudflare-customer-dpa/.

Bei beauftragter Domainverwaltung und unserem geschäftlichen E-Mail-Hosting nutzen wir INWX GmbH, Berlin. Erforderliche Inhaber-, Vertrags- und Kontaktdaten können für Domainregistrierung an zuständige Registrierungsstellen übermittelt werden. Mailinhalte und technische Maildaten werden für den Postfachbetrieb verarbeitet. Froxlor ist die Verwaltungsoberfläche, kein zusätzlich beauftragter eigenständiger E-Mail-Anbieter. Hinweise: https://www.inwx.de/de/aboutus/dataprotection.

Bei Webseiten- und Hostingaufträgen handeln wir hinsichtlich der Besucherdaten des Auftraggebers nach dessen Weisungen. Welche Leistungen beauftragt sind und welche Anbieter hierfür eingesetzt werden, ergibt sich aus dem Auftrag und der Vereinbarung zur Auftragsverarbeitung. Externe Karten oder soziale Dienste werden nur über bewusst geöffnete Links aufgerufen; wir laden dafür keine eingebetteten Marketing-Skripte.

8. Löschung, Sicherheit und Sicherungen

Wir speichern Daten nur für den jeweiligen Zweck oder eine gesetzliche Pflicht. Gewöhnliche Sicherheitsereignisse werden nach sieben Tagen bereinigt; abgelaufene Sitzungen und technische Bestätigungen werden automatisch entfernt. Ein konkret dokumentierter Sicherheits- oder Rechtsfall kann eine gesonderte, beschränkte Aufbewahrung erfordern.

Ein Betrieb kann sein Konto unter Mein Konto selbst schließen. Nach Passwortbestätigung werden Zugänge und öffentliche Kundenlinks gesperrt, die automatische Aboverlängerung beendet und die Bereinigung ohne Support gestartet. Kunden- und Profildaten, Mitarbeiterzuordnungen, Sitzungen und Dateien werden automatisch entfernt; größere Bestände werden in fortgesetzten Bereinigungsschritten abgearbeitet. Erforderliche Rechnungen, Geschäftskorrespondenz und Vereinbarungen bleiben gesondert beschränkt erhalten. Technische Referenzen können ohne Namen, erreichbare E-Mail, Zugangsdaten oder Firmenanschrift bestehen bleiben, soweit sie für erhaltene gemeinsame Belege erforderlich sind. Daten anderer Unternehmen werden durch die Schließung nicht gelöscht.

Geschützte Sicherungen werden rollierend höchstens 30 Tage vorgehalten. Gelöschte Daten sind darin bis zur Rotation möglicherweise noch enthalten und werden nicht regulär genutzt. Ein davon unabhängiges, verschlüsseltes Löschjournal wird 62 Tage vorgehalten; bei einer Wiederherstellung wird es vor Freigabe der Daten angewendet. Löschung bedeutet deshalb keine sofortige physische Entfernung aus jeder Sicherung.

Inhaltsmeldungen und Moderation

Wir verarbeiten die übermittelten Fundstellen, Begründungen, freiwilligen Namen und Kontaktdaten sowie die Bearbeitung und Entscheidung zur Erfüllung der Pflichten nach Art. 16 und 17 DSA (Art. 6 Abs. 1 lit. c DSGVO). Meldungen werden verschlüsselt gespeichert und nur berechtigten Plattformadministratoren zur Prüfung bereitgestellt. Bei vorhandener E-Mail versenden wir Empfangs- und Entscheidungshinweise über Cloudflare. Der vertrauliche Bearbeitungslink darf nicht weitergegeben werden. Abgeschlossene Meldungen werden nach zwölf Monaten gelöscht. Erforderliche Daten für einen konkreten Rechtsfall werden ausschließlich im notwendigen Umfang gesondert gesichert. Die Identität meldender Personen wird betroffenen Betrieben nicht routinemäßig offengelegt.

Gesonderter Hinweis: Widerspruch nach Art. 21 DSGVO

Sie können einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO aus Gründen Ihrer besonderen Situation jederzeit widersprechen. Wir verarbeiten dann nicht weiter, außer wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient Rechtsansprüchen. Gegen Verarbeitung für Direktwerbung einschließlich damit verbundenen Profilings können Sie jederzeit ohne Begründung widersprechen; diese Verarbeitung wird dann beendet. Widerspruch an service@reif.systems beziehungsweise den im Angebot genannten verantwortlichen Betrieb.

9. Ihre Rechte

Sie haben nach Maßgabe der DSGVO Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch gegen eine auf berechtigte Interessen gestützte Verarbeitung. Eine erteilte Einwilligung kann für die Zukunft widerrufen werden. Wir treffen keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung. Kontakt: service@reif.systems.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere beim Bayerischen Landesamt für Datenschutzaufsicht: https://www.lda.bayern.de. Bei Angebotsdaten wenden Sie sich vorrangig an den auf dem Angebot genannten Betrieb; eine Anfrage an jeden gemeinsam Verantwortlichen bleibt möglich.