Datenschutzerklärung

ENTWURF – anwaltliche Prüfung erforderlich. Stand: 19.10.2026. Alle Angaben in [eckigen Klammern] sind vor Veröffentlichung zu ersetzen oder zu bestätigen. Insbesondere Firmen, Sitze und Übermittlungsgrundlagen der Dienstleister/Partner sind anhand der tatsächlich geschlossenen Verträge zu verifizieren.

Wir nehmen den Schutz deiner Daten ernst. Hier erfährst du, welche personenbezogenen Daten wir verarbeiten, warum, auf welcher Rechtsgrundlage, an wen wir sie weitergeben, wie lange wir sie speichern und welche Rechte du hast (Art. 13, 14 DSGVO).

1. Verantwortlicher

Volvevent, Inhaber Muhammet Hasan Gürcan (Einzelunternehmen; Betreiber von „PunkteHeld“)
Bäckerstr. 8A
84030 Ergolding
Deutschland
E-Mail: muhammethasangurcan@gmail.com
Telefon: +49 172 7045269
Website: https://volvevent.de

Ein Datenschutzbeauftragter ist nicht benannt, da die gesetzlichen Voraussetzungen (§ 38 BDSG, Art. 37 DSGVO) nicht vorliegen. Für Datenschutzanfragen erreichst du uns unter muhammethasangurcan@gmail.com.

Hinweis für Anwalt: Art. 37 Abs. 1 lit. b DSGVO prüfen: „umfangreiche regelmäßige und systematische Überwachung“ durch Fraud-Monitoring? Bei Kleinbetrieb eher zu verneinen, aber bei Wachstum neu bewerten.

2. Überblick: Welche Daten wir verarbeiten

Wir erheben keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) – beantworte entsprechende Fragen in Umfragen von Partnern nur, wenn du das möchtest; dafür ist der jeweilige Umfrageanbieter verantwortlich.

3. Zwecke und Rechtsgrundlagen

3.1 Bereitstellung des Dienstes, Konto, Punkte, Einlösung

Wir verarbeiten Konto-, Transaktions- und Einlösedaten, um dir den Dienst bereitzustellen, Punkte gutzuschreiben, vorzumerken, zurückzubuchen und Prämien auszuliefern. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

3.2 System-E-Mails und Benachrichtigungen

Bestätigungslink, Sicherheitshinweise, Einlösebestätigungen, Hinweise auf Rückbuchungen, Inaktivitäts-Erinnerungen (AGB § 14) und Änderungsmitteilungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Werbliche E-Mails (z. B. Newsletter, neue Angebote) senden wir nur mit deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG), die du jederzeit widerrufen kannst. [Derzeit kein Newsletter.]

3.3 Einbindung der Angebotspartner (Offerwalls)

Damit Partner erkennen können, für welchen Nutzer ein Angebot erfüllt wurde, übermitteln wir beim Öffnen einer Angebotswand eine pseudonyme Nutzer-ID (eine von uns vergebene Kennung, aus der der Partner ohne Zusatzwissen nicht auf dich schließen kann). Beim Laden der Angebotswand in deinem Browser erhält der Partner zudem technisch bedingt deine IP-Adresse, Browser-/Gerätedaten (z. B. User-Agent, Sprache, Bildschirm) und ggf. weitere Daten, die der Partner selbst erhebt (z. B. bei Umfragen deine Antworten, bei App-Angeboten Installations- und Nutzungsdaten). Der Partner meldet uns die Erfüllung eines Angebots mit Nutzer-ID, Angebots-ID, Punktehöhe, Zeitstempel und ggf. Stornierungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (du rufst das Angebot bewusst auf, um Punkte zu verdienen). Die Partner verarbeiten Daten, die sie selbst erheben, in eigener Verantwortung; es gelten deren Datenschutzhinweise (Ziff. 5.2).

Hinweis für Anwalt: Prüfen, ob für die Einbindung eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO besteht (vgl. EuGH, Urt. v. 29.07.2019 – C-40/17 „Fashion ID“ für die Phase der Erhebung/Übermittlung) und ob mit den Partnern eine Vereinbarung nach Art. 26 zu schließen ist. Zudem: Setzen Partner im iframe Cookies/Fingerprinting ein, ist dafür eine TDDDG-Einwilligung erforderlich – wer sie einholt (Partner oder wir), vertraglich klären.

3.4 Betrugsprävention und Sicherheit

Wir verarbeiten Sicherheitsdaten, um Mehrfachkonten, Bots, Verschleierung per VPN/Proxy, Selbstwerbung und sonstigen Missbrauch zu erkennen und zu verhindern, Partner-Stornierungen zu vermeiden und Angriffe abzuwehren. Dazu gehören: Protokollierung von IP-Adressen bei sicherheitsrelevanten Ereignissen, Abfrage der IP-Reputation bei IPQualityScore (Ziff. 5.1), Abgleich von Geräte-Kennungen und IP-Adressen zwischen Konten, Begrenzung von Registrierungen je IP-Adresse und Plausibilitätsprüfungen bei Einlösungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im Schutz vor Betrug und finanziellen Verlusten, in der Erfüllung unserer vertraglichen Pflichten gegenüber Partnern (die Vergütung nur für echte Nutzeraktionen zahlen) und in der fairen Verteilung von Prämien unter ehrlichen Nutzern (vgl. Erwägungsgrund 47 S. 6 DSGVO). Die Geräte-Kennung im lokalen Speicher deines Browsers setzen wir nur nach Maßgabe von Ziff. 6 ein.

Automatisierte Entscheidungen (Art. 22 DSGVO): Unsere Systeme erzeugen automatisiert Prüfhinweise (z. B. „VPN erkannt“, „Gerät bereits mit anderem Konto genutzt“) und einen Risikowert. Diese führen nur dazu, dass Gutschriften länger vorgemerkt bleiben oder eine Einlösung manuell geprüft wird. Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung – Sperre, Ablehnung einer Einlösung, Entzug von Punkten – trifft stets ein Mensch nach Prüfung des Einzelfalls. [Falls die Option „Registrierung über VPN automatisch ablehnen“ aktiviert wird: Wird eine Registrierung automatisch abgelehnt, weil ein Anonymisierungsdienst erkannt wurde, kannst du uns kontaktieren; wir prüfen dann durch einen Menschen, und du kannst deinen Standpunkt darlegen.] Über die Logik informieren wir in allgemeiner Form: Berücksichtigt werden u. a. ob die IP-Adresse als VPN/Proxy/Tor eingestuft ist, wie viele Konten dieselbe Geräte-Kennung oder IP-Adresse nutzen, ob Werber und Geworbener dieselbe IP-Adresse nutzen, Kontoalter, Höhe und Häufigkeit von Einlösungen. Einzelne Schwellenwerte legen wir zum Schutz vor Umgehung nicht offen.

Hinweis für Anwalt: Prüfen, ob Prüfhinweise mit Wirkung „Haltezeitverlängerung / Einlösung angehalten“ bereits eine Entscheidung i. S. v. Art. 22 sind (EuGH, Urt. v. 07.12.2023 – C-634/21 „SCHUFA“: maßgeblich, ob der Score die Entscheidung „maßgeblich“ bestimmt). Konzept: Human-in-the-loop bei allen belastenden Endentscheidungen. Automatische VPN-Ablehnung bei Registrierung (Konfiguration BLOCK_VPN_SIGNUPS, derzeit aus) wäre eher Art. 22 Abs. 2 lit. a – Erforderlichkeit begründen oder deaktiviert lassen. Umfang der Auskunft über die „involvierte Logik“ vgl. EuGH, Urt. v. 27.02.2025 – C-203/22 „Dun & Bradstreet Austria“.

3.5 Server-Logfiles und Hosting

Beim Aufruf unserer Website verarbeitet unser Hosting-Dienstleister technisch notwendige Daten (IP-Adresse, Datum/Uhrzeit, aufgerufene URL, Referrer, User-Agent, Statuscode), um die Website auszuliefern, die Stabilität zu sichern und Angriffe abzuwehren. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. (Diese Daten übermittelt dein Browser bei jedem Aufruf ohnehin; ein Zugriff auf dein Endgerät i. S. d. § 25 TDDDG ist damit nicht verbunden.)

3.6 Empfehlungsprogramm

Registrierst du dich mit einem Einladungscode, speichern wir die Verknüpfung zum Werber. Der Werber sieht in seiner Übersicht nur die Anzahl der geworbenen Konten und die Summe seiner Provision – nicht deine E-Mail-Adresse, deinen Namen oder deine einzelnen Angebote. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.7 Bestenliste

In der Bestenliste zeigen wir anderen angemeldeten Nutzern deinen Anzeigenamen oder eine gekürzte Form deiner E-Mail-Adresse (z. B. „ma*“) sowie deine im Zeitraum verdienten Punkte. Rechtsgrundlage:** Art. 6 Abs. 1 lit. f DSGVO (Interesse an motivierenden Community-Funktionen). Du kannst jederzeit widersprechen [bzw. die Anzeige in den Einstellungen deaktivieren]; dann zeigen wir dich nicht mehr an.

3.8 Gewinnspiele

Teilnahme, Ziehung, Benachrichtigung und Gutschrift von Gewinnen; Veröffentlichung von Gewinnern nur pseudonymisiert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.9 Support, Beschwerden, Widerruf, Betroffenenanfragen

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; soweit wir gesetzliche Pflichten erfüllen (z. B. Bestätigung eines Widerrufs, § 356a BGB; Beantwortung von Betroffenenanfragen), Art. 6 Abs. 1 lit. c DSGVO.

3.10 Identitätsprüfung im Einzelfall

Nur bei konkreten Anhaltspunkten für Missbrauch oder bei hohen Einlösungen (AGB § 7 Abs. 9). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Betrugsprävention) bzw. lit. b. Wir verlangen nur erforderliche Angaben; du kannst nicht benötigte Ausweisdaten (z. B. Zugangsnummer, Foto bei Bedarf, Seriennummer) schwärzen.

3.11 Gesetzliche Pflichten und Rechtsverteidigung

Aufbewahrung steuer- und handelsrechtlich relevanter Unterlagen, Auskünfte an Behörden auf gesetzlicher Grundlage, Durchsetzung oder Abwehr von Ansprüchen. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO bzw. lit. f DSGVO.

3.12 Push-Benachrichtigungen (künftig)

Wenn wir Push-Benachrichtigungen einführen, fragen wir zuvor über die Systemabfrage deines Browsers/Geräts nach deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit in den Einstellungen deaktivieren.

3.13 Keine Werbe-Tracker, kein Profiling zu Werbezwecken

Wir setzen derzeit keine Analyse-, Tracking- oder Werbe-Cookies (z. B. Google Analytics, Meta-Pixel) ein und erstellen keine Werbeprofile. Sollte sich das ändern, holen wir vorher deine Einwilligung ein und aktualisieren diese Erklärung.

3.14 Anmeldung mit Google (optional)

Wenn du „Mit Google anmelden“ nutzt, wirst du zu Google weitergeleitet und authentifizierst dich dort. Wir erhalten über unseren Auftragsverarbeiter Supabase Auth (siehe Ziff. 5.1) von Google typischerweise folgende Daten: E-Mail-Adresse, Bestätigungsstatus der E-Mail, Name (sofern in deinem Google-Konto hinterlegt), ggf. Profilbild-URL sowie eine von Google bzw. Supabase vergebene Nutzer-ID. Passwörter von Google speichern wir nicht. Wir legen bzw. verknüpfen damit dein PunkteHeld-Konto und setzen unsere eigene Sitzung (Cookie „session“).

Verantwortliche / Empfänger:

• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland – eigenständig Verantwortlicher für den Google-Anmeldevorgang (Google-Konto, Consent Screen). Datenschutzhinweise: https://policies.google.com/privacy. Übermittlung in die USA möglich (Google LLC, EU-US Data Privacy Framework / Standardvertragsklauseln).
• Supabase – Auftragsverarbeiter für die Authentifizierungsverarbeitung (OAuth-Callback, Token, Auth-Nutzerdatensatz) und die Datenbank; siehe Ziff. 5.1.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung und -erfüllung: Kontoerstellung / Anmeldung). Ohne die Anmeldung über Google können wir diesen Login-Weg nicht anbieten; du kannst alternativ E-Mail und Passwort nutzen.

Scopes, die wir anfordern: openid, email, profile (keine zusätzlichen Google-APIs).

Hinweis für Anwalt: Google ist für den Consent-Screen / die Kontoauswahl eigenständig Verantwortlicher; Supabase ist AV für Auth. Klarstellen, ob Art. 26 DSGVO für die „Button“-Phase greift (vgl. Fashion ID). DPA mit Supabase muss Auth abdecken. Profilbild speichern wir derzeit nur, wenn es als Anzeigename-/Metadatenübernahme genutzt wird – [aktuell: Anzeigename aus Google-Namen; Avatar-URL nicht persistent gespeichert, sofern nicht später ergänzt].

4. Pflicht zur Bereitstellung

Die Angabe einer E-Mail-Adresse ist für den Vertragsschluss erforderlich – entweder direkt oder über Google Sign-In. Ein Passwort ist nur bei Registrierung per E-Mail erforderlich (bei reiner Google-Anmeldung entfällt es). Die Angabe von Empfängerdaten ist für Einlösungen erforderlich. Ohne diese Daten können wir den Dienst bzw. die Einlösung nicht erbringen.

5. Empfänger, Auftragsverarbeiter und Partner

5.1 Auftragsverarbeiter (Art. 28 DSGVO)

Diese Dienstleister verarbeiten Daten nur nach unserer Weisung auf Grundlage eines Auftragsverarbeitungsvertrags:

5.2 Eigenständig Verantwortliche

Diese Empfänger verarbeiten Daten in eigener Verantwortung nach ihren eigenen Datenschutzhinweisen:

Die Datenschutzhinweise der Partner sind in der jeweiligen Angebotswand verlinkt: [Links einfügen].

Hinweis für Anwalt: Als Kontaktadresse wird ein privates Gmail-Konto genutzt. Google ist kein Dienstleister der Website/App (kein Hosting, kein Versand der System-E-Mails), verarbeitet aber eingehende Nutzer-E-Mails. Bei einem kostenlosen Gmail-Konto handelt Google nach eigenen Bedingungen als Verantwortlicher; ein AV-Vertrag (Art. 28 DSGVO) ist nur mit Google Workspace möglich. Empfehlung: geschäftliches Postfach (Workspace mit DPA oder Domain-Postfach bei EU-Anbieter). Die Impressumsangabe der Gmail-Adresse ist zulässig.

Hinweis für Anwalt: Für US-Partner ohne DPF-Zertifizierung sind Standardvertragsklauseln (Modul 1, C2C) und ein Transfer Impact Assessment erforderlich. DPF-Status jedes Anbieters auf https://www.dataprivacyframework.gov/list prüfen und dokumentieren. Das DPF ist derzeit wirksam (EuG, Urt. v. 03.09.2025 – T-553/23 Latombe); das Rechtsmittel C-703/25 P ist beim EuGH anhängig → SCC als Rückfalloption in alle DPAs aufnehmen. Rolle von Tremendous (Auftragsverarbeiter vs. Verantwortlicher) vertraglich klären.

5.3 Drittlandübermittlungen allgemein

Übermitteln wir Daten in Staaten außerhalb des EWR, geschieht dies nur, wenn ein Angemessenheitsbeschluss der EU-Kommission vorliegt (für die USA: EU-US Data Privacy Framework, Durchführungsbeschluss (EU) 2023/1795, für zertifizierte Unternehmen) oder geeignete Garantien bestehen, insbesondere Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914) mit ggf. ergänzenden Maßnahmen (Art. 44 ff. DSGVO). Eine Kopie der Garantien kannst du bei uns anfordern. Bitte beachte: In den USA können Behörden unter bestimmten Voraussetzungen auf Daten zugreifen.

6. Speicherung auf deinem Endgerät (Cookies, lokaler Speicher)

Einzelheiten stehen im gesonderten Hinweis zum Endgerätezugriff (TDDDG). Kurz:

• Sitzungs-Cookie „session“ (technisch notwendig, Login; § 25 Abs. 2 Nr. 2 TDDDG).
• Kurzlebige Speicherwerte für Google-Login (z. B. OAuth-State/ph_oauth_ctx in sessionStorage, PKCE code_verifier): technisch notwendig für die Anmeldung (§ 25 Abs. 2 Nr. 2 TDDDG).
• Geräte-Kennung „did“ im lokalen Speicher und daraus gebildeter Hash aus Browser-Merkmalen zur Erkennung von Mehrfachkonten: nur mit deiner Einwilligung (§ 25 Abs. 1 TDDDG; Art. 6 Abs. 1 lit. a DSGVO für den Zugriff und lit. f für die anschließende Auswertung). Du kannst die Einwilligung jederzeit widerrufen.

Hinweis für Anwalt: Der aktuelle Code liest die Geräte-Kennung bei jeder Registrierung/Anmeldung ohne Einwilligung aus (src/components/device.ts). Vor Livegang muss entweder ein Einwilligungsmechanismus vorgeschaltet werden oder ein tragfähiges Argument für § 25 Abs. 2 Nr. 2 TDDDG gefunden werden (siehe Memo Punkt 3).

7. Speicherdauer

Hinweis für Anwalt: Fristen am 19.10.2026 gegen § 147 Abs. 3 AO (aktuelle Fassung: Bücher 10, Buchungsbelege 8, sonstige Unterlagen 6 Jahre) geprüft; Ablaufhemmung bei offener Festsetzungsfrist (§ 147 Abs. 3 S. 5 AO) beachten. Technische Umsetzung der Löschfristen (Cron-Jobs) steht teilweise noch aus.

8. Deine Rechte

Du hast gegenüber uns folgende Rechte hinsichtlich deiner personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO), einschließlich einer Kopie deiner Daten;
• Berichtigung (Art. 16 DSGVO);
• Löschung (Art. 17 DSGVO);
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit (Art. 20 DSGVO);
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO);
• Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, sowie auf Darlegung des eigenen Standpunkts, Anfechtung und Eingreifen einer Person (Art. 22 DSGVO).

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen (bei Betrugsprävention häufig der Fall), oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Gegen Direktwerbung kannst du ohne Begründung widersprechen.

Wende dich dazu an muhammethasangurcan@gmail.com. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

9. Beschwerderecht bei einer Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Deutschland (Postanschrift: Postfach 1349, 91504 Ansbach), Telefon: +49 981 180093-0, Website: https://www.lda.bayern.de (dort auch Online-Beschwerdeformular). Du kannst dich aber auch an jede andere Datenschutz-Aufsichtsbehörde wenden.

10. Datensicherheit

Wir übertragen Daten verschlüsselt (TLS), speichern Passwörter nur als Hash (bcrypt), beschränken Administratorzugriffe und protokollieren sicherheitsrelevante Vorgänge.

11. Mindestalter

PunkteHeld richtet sich ausschließlich an Personen ab 18 Jahren. Erfahren wir, dass ein Konto einer jüngeren Person gehört, schließen wir es und löschen die Daten, soweit keine Aufbewahrungspflicht besteht.

12. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich Funktionen, Dienstleister oder die Rechtslage ändern. Über wesentliche Änderungen informieren wir dich per E-Mail oder in der App. Die jeweils aktuelle Fassung findest du unter https://punkteheld.volvevent.de/datenschutz.