Cookies und Endgerätezugriff
ENTWURF – anwaltliche Prüfung erforderlich. Stand: 19.10.2026. Dieser Hinweis ist Teil der Datenschutzerklärung (Abschnitt „Endgerät“) und beschreibt den Soll-Zustand nach Einbau eines Einwilligungsdialogs.
1. Worum geht es?
Nach § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) dürfen Informationen auf deinem Endgerät (Smartphone, PC) nur gespeichert oder ausgelesen werden, wenn du eingewilligt hast – es sei denn, das ist unbedingt erforderlich, damit wir den von dir ausdrücklich gewünschten Dienst bereitstellen können. Das gilt für Cookies ebenso wie für den lokalen Speicher (localStorage) und das Auslesen von Geräte- oder Browser-Merkmalen.
2. Übersicht
| Name / Technik | Anbieter | Zweck | Speicherdauer | Rechtsgrundlage |
|---|---|---|---|---|
Cookie session (HttpOnly, SameSite=Lax, Secure) | PunkteHeld | hält dich nach dem Login angemeldet (signiertes Sitzungstoken) | bis Logout bzw. 30 Tage | § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich); Art. 6 Abs. 1 lit. b DSGVO |
[Cookie/Local Storage consent] | PunkteHeld | speichert deine Auswahl im Einwilligungsdialog | 12 Monate | § 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. c DSGVO (Nachweispflicht, Art. 7 Abs. 1) |
Local Storage did + Hash aus Browser-Merkmalen (User-Agent, Sprache, Bildschirmgröße/-farbtiefe, Zeitzone, Prozessorkerne) | PunkteHeld | Betrugsschutz: Erkennung von Mehrfachkonten auf demselben Gerät | bis zur Löschung im Browser oder Widerruf | Einwilligung, § 25 Abs. 1 TDDDG; Art. 6 Abs. 1 lit. a DSGVO |
| Cookies/Speicher in eingebetteten Angebotswänden (iframes) | jeweiliger Partner (adjoe, ayeT-Studios, Lootably, AdGem, BitLabs, CPX Research) | Zuordnung erledigter Angebote, Betrugsschutz des Partners | siehe Hinweise des Partners | je nach Partner; Einwilligung wird [vom Partner in der Angebotswand / von uns vor dem Öffnen] eingeholt |
Service Worker sw.js + Cache Storage ph-v2 | PunkteHeld | Installierbarkeit der Web-App und Offline-Hinweisseite (gespeichert werden nur offline.html und ein App-Icon; keine personenbezogenen Daten, keine API-Antworten) | bis zur nächsten Version bzw. Löschung der Website-Daten | § 25 Abs. 2 Nr. 2 TDDDG |
| Push-Abonnement (künftig) | PunkteHeld / Browser-Push-Dienst | Benachrichtigungen | bis Abmeldung | Einwilligung, § 25 Abs. 1 TDDDG |
Wir setzen keine Analyse- oder Werbe-Cookies ein. Kommen solche hinzu, ergänzen wir den Einwilligungsdialog um eine eigene Kategorie (Standard: aus).
3. Was passiert, wenn du die Betrugsschutz-Kennung ablehnst?
Du kannst PunkteHeld vollständig nutzen. Wir prüfen Mehrfachkonten dann ausschließlich anhand serverseitig vorhandener Daten (z. B. IP-Adresse). Das kann dazu führen, dass Einlösungen häufiger manuell geprüft werden und dadurch etwas länger dauern. Nachteile bei Punkten oder Prämien entstehen dir nicht.
Hinweis für Anwalt: Koppelungsverbot (Art. 7 Abs. 4 DSGVO) und Freiwilligkeit: Die Ablehnung darf nicht zum Ausschluss von Einlösungen führen; eine moderat längere Prüfung halten wir für vertretbar. Alternativ prüfen, ob die Kennung als „unbedingt erforderlich“ (§ 25 Abs. 2 Nr. 2 TDDDG) eingeordnet werden kann: Der Dienst „Prämien für echte Nutzeraktionen“ ist ohne Missbrauchsschutz wirtschaftlich nicht erbringbar; die Aufsichtsbehörden (DSK, OH Digitale Dienste, Ziff. zu § 25 Abs. 2 Nr. 2) und die EDPB (Guidelines 2/2023; WP 194 zu „user-centric security“) legen „unbedingt erforderlich“ aber eng aus; Betrugsprävention im Interesse des Anbieters wird regelmäßig nicht als ausreichend angesehen. Fingerprinting (Auslesen von Browser-Merkmalen per JavaScript) fällt nach EDPB Guidelines 2/2023 eindeutig unter Art. 5 Abs. 3 ePrivacy-RL/§ 25 TDDDG. Empfehlung: Einwilligung einholen (siehe unten) – sicherster Weg.
4. Widerruf
Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: über „Datenschutz-Einstellungen“ im Footer der App oder per E-Mail an muhammethasangurcan@gmail.com. Nach dem Widerruf löschen wir die gespeicherte Kennung in deinem Browser und ordnen keine neuen Werte mehr zu.
5. Empfohlener Text für den Einwilligungsdialog
Hinweis für Anwalt: Gestaltung nach DSK-OH Digitale Dienste: „Ablehnen“ gleichwertig zu „Akzeptieren“ auf erster Ebene, keine vorangekreuzten Kästchen, kein Nudging, Zugriff erst nach Einwilligung. Der Dialog sollte vor der Registrierung bzw. vor dem ersten Auslesen erscheinen (im aktuellen Code beim Absenden von Registrierung/Login).
Titel: Schutz vor Mehrfachkonten – deine Wahl
Text (erste Ebene):
Damit Prämien fair bei echten Nutzern ankommen, möchten wir eine zufällige Geräte-Kennung im lokalen Speicher deines Browsers ablegen und einige Browser-Merkmale (z. B. Bildschirmgröße, Sprache, Zeitzone) auslesen. Daraus bilden wir einen Code, mit dem wir erkennen, ob auf demselben Gerät mehrere Konten genutzt werden. Wir nutzen ihn nur zur Betrugsprävention – nicht für Werbung und nicht zur Weitergabe an Werbepartner. Du kannst PunkteHeld auch ohne diese Kennung nutzen; Einlösungen werden dann gegebenenfalls häufiger manuell geprüft. Deine Einwilligung kannst du jederzeit in den Datenschutz-Einstellungen widerrufen. Mehr in der Datenschutzerklärung.
Schaltflächen (gleich groß, gleich gestaltet): [ Ablehnen ] [ Einverstanden ]
Link: „Details anzeigen“ → zweite Ebene mit der Tabelle aus Ziff. 2.
Einwilligungstext für den Nachweis (gespeichert mit Zeitstempel und Version):
„Ich willige ein, dass Volvevent, Inhaber Muhammet Hasan Gürcan (Betreiber von PunkteHeld), auf meinem Endgerät eine Geräte-Kennung speichert und Browser-Merkmale ausliest, um Mehrfachkonten zu erkennen (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Widerruf jederzeit möglich.“
6. Empfohlener Hinweis vor dem Öffnen einer Angebotswand (optional)
Du öffnest jetzt die Angebotswand von [Partner]. Der Partner erhält deine pseudonyme PunkteHeld-ID, deine IP-Adresse und Gerätedaten, um erledigte Angebote zuzuordnen, und kann eigene Cookies setzen. Es gelten die [Datenschutzhinweise von [Partner]]. [ Weiter ] [ Abbrechen ]
Hinweis für Anwalt: Zum Service Worker: Ablage der Offline-Seite ist für die vom Nutzer gewünschte PWA-Funktion erforderlich (vertretbar § 25 Abs. 2 Nr. 2 TDDDG) – bitte bestätigen.
Hinweis für Anwalt: Ob der Hinweis genügt oder eine Einwilligung je Partner nötig ist, hängt davon ab, welche Endgerätezugriffe der Partner im iframe vornimmt (Partnerdokumentation/Verträge anfordern). Für die künftige Android-App gesondert prüfen: Werbe-ID (AAID), App-Set-ID, Play-Integrity-API, Zugriff auf installierte Apps/Nutzungsstatistik durch Playtime-SDKs (adjoe) – jeweils TDDDG-Einwilligung bzw. Play-Store-Richtlinien („Prominent Disclosure“).