Datenschutzerklärung

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne der DSGVO, des österreichischen Datenschutzgesetzes (DSG) sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

Bei Fragen zum Datenschutz, zur Verarbeitung Deiner personenbezogenen Daten oder zur Ausübung Deiner Betroffenenrechte kannst Du Dich jederzeit an die oben genannten Kontaktdaten wenden.

2. Grundsätze der Datenverarbeitung

Wir verarbeiten personenbezogene Daten im Einklang mit der DSGVO, dem österreichischen DSG und dem deutschen BDSG (für Nutzer aus Deutschland). Wir erheben und verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung unserer Dienste, zur Erfüllung vertraglicher Pflichten oder aufgrund berechtigter Interessen erforderlich ist – oder Du uns eine ausdrückliche Einwilligung erteilt hast.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO).

Die Rechtsgrundlagen für die Verarbeitung personenbezogener Daten sind:

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung der betroffenen Person
• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung und vorvertragliche Maßnahmen
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung rechtlicher Verpflichtungen
• Art. 6 Abs. 1 lit. f DSGVO – Berechtigtes Interesse des Verantwortlichen

3. Wichtige Informationen zur Nutzung unserer Dienste

Grundsätzlich können unsere Webseiten ohne Werbe-Tracking besucht werden – etwa wenn sie lediglich zu Informationszwecken aufgerufen werden.

Wenn Du die darüber hinausgehenden Funktionen unserer Dienste nutzen und Dich als Nutzer registrieren möchtest, ermöglichen wir Dir, mittels unserer Plattform Rückvergütungen (Cashbacks) auf Einkäufe bei teilnehmenden Partner-Shops zu erhalten. Hierzu erhalten wir über Affiliate-Netzwerke (insbesondere Awin) Provisionen von den Partner-Shops, von denen wir einen Anteil als Cashback an Dich weitergeben.

Damit wir einen Einkauf und das entsprechende Cashback Dir zuordnen können, muss der Besuch des Partner-Shops über unsere Plattform sowie der dortige Kauf mittels Online-Tracking (Cookies, Klick-Tracking, Geräte-Kennungen) nachverfolgbar sein. Für dieses Tracking speichern und nutzen wir bzw. unsere Partner-Shops Cookies und ähnliche Tracking-Technologien auf Deinen Endgeräten.

Mit der Aktivierung des Cashbacks („Cashback aktivieren") akzeptierst Du die jeweiligen Tracking-Bedingungen für die betreffende Transaktion. Bitte beachte, dass die Betreiber unserer Partner-Shops für ihre eigenen Websites eigene Verantwortliche im Sinne der DSGVO sind.

4. Protokolldaten (Server-Logs)

4.1 Bei jedem Aufruf unserer Dienste werden automatisiert Informationen erfasst, die der Browser oder die App an unseren Server sendet. Diese Protokolldaten umfassen:

• IP-Adresse des aufrufenden Systems
• Verwendeter Browsertyp und Version
• Betriebssystem
• Referrer-URL (zuvor besuchte Webseite)
• Aufgerufene Seiten und Zeitpunkt des Zugriffs
• Übertragene Datenmenge und Zugriffsstatus (HTTP-Statuscode)

4.2 Die Verarbeitung dieser Daten dient der Sicherstellung der Funktionsfähigkeit der Plattform, der Gewährleistung der IT-Sicherheit (insbesondere Abwehr von DDoS-Angriffen), der Fehlerbehebung sowie der Verbesserung unserer Dienste.

4.3 Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der sicheren Bereitstellung der Dienste).

4.4 Protokolldaten werden spätestens nach 30 Tagen gelöscht oder anonymisiert.

5. Hosting und Infrastruktur

5.1 IP-Projects (Webhosting)

Unsere Plattform wird bei IP-Projects GmbH & Co. KG, Dillberg 6, 92318 Neumarkt i.d.OPf., Deutschland, gehostet. Die personenbezogenen Daten, die auf unserer Plattform verarbeitet werden, werden auf Servern von IP-Projects in Deutschland gespeichert.

Die Datenverarbeitung erfolgt auf Grundlage einer Auftragsverarbeitungsvereinbarung gemäß Art. 28 DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer zuverlässigen und sicheren Bereitstellung der Plattform) sowie Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Der Standort der Server in Deutschland gewährleistet die Einhaltung der DSGVO und der hohen deutschen Datenschutzstandards. Es findet keine Übermittlung von Hosting-Daten in Drittländer statt.

5.2 Datenbank

Wir verwenden PostgreSQL als Datenbanksystem. Sämtliche Daten werden auf den Servern von IP-Projects in Deutschland gespeichert und durch Verschlüsselung (TLS/SSL für die Übertragung, AES-256-GCM für sensible Felder) geschützt.

6. Registrierung und Nutzerkonto

6.1 Bei der Registrierung erheben wir folgende Daten:

• E-Mail-Adresse – zur Identifikation, Kommunikation und Kontowiederherstellung
• Passwort – wird ausschließlich gehasht (bcrypt mit Salt) gespeichert; das Klartext-Passwort wird zu keinem Zeitpunkt gespeichert
• Benutzername (optional) – zur Personalisierung des Nutzerkontos

6.2 Alternativ kann die Registrierung und Anmeldung über Google OAuth (siehe Ziffer 9) erfolgen, wobei wir von Google ausschließlich die E-Mail-Adresse, den Namen und das Profilbild erhalten.

6.3 Im Rahmen des Nutzerkontos können Nutzer weitere Daten bereitstellen:

• Empfehlungscode – zur Verknüpfung mit dem Empfehlungsprogramm
• IBAN – für Auszahlungen (wird verschlüsselt gespeichert, siehe Ziffer 8)
• TOTP-Secret – für die Zwei-Faktor-Authentifizierung (verschlüsselt gespeichert)

6.4 Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung, d. h. Bereitstellung des Nutzerkontos und der Cashback-Dienste).

6.5 Die Kontodaten werden für die Dauer des Nutzungsverhältnisses gespeichert und nach dessen Beendigung gemäß den gesetzlichen Aufbewahrungsfristen gelöscht (siehe Ziffer 13).

7. Cashback-Transaktionen und Affiliate-Tracking

7.1 Wenn Du über unsere Plattform einen Partner-Shop besuchst und dort einen Einkauf tätigst, wird dieser Vorgang über ein Affiliate-Netzwerk (insbesondere Awin AG, Otto-Ostrowski-Straße 1A, 10249 Berlin, Deutschland) getrackt, damit wir die Provision und das daraus resultierende Cashback Deinem Nutzerkonto zuordnen können.

7.2 Hierbei werden folgende Daten verarbeitet:

• Klick-ID und Zeitstempel des Klicks auf den Affiliate-Link
• Affiliate-Cookies auf Deinem Endgerät (vom Partner-Shop und/oder Affiliate-Netzwerk gesetzt)
• Transaktionsdaten: Bestellwert, Provisionshöhe, Status (offen/bestätigt/abgelehnt)
• Geräte- und Browserinformationen für die Zuordnung

7.3 Wir übermitteln dabei keine personenbezogenen Nutzerdaten (Name, E-Mail, IBAN) an die Partner-Shops oder Affiliate-Netzwerke. Die Zuordnung erfolgt ausschließlich über technische Identifikatoren (Klick-IDs, Cookies).

7.4 Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – die Bereitstellung des Cashback-Dienstes setzt das Tracking voraus) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Abwicklung des Affiliate-Programms).

7.5 Weitere Informationen zum Datenschutz bei Awin: www.awin.com/de/datenschutzerklarung

8. Zahlungsdaten und IBAN-Verschlüsselung

8.1 Für die Auszahlung von Cashback-Guthaben hinterlegen Nutzer ihre IBAN (Internationale Bankkontonummer) in ihrem Nutzerkonto.

8.2 Die IBAN wird in unserer Datenbank mittels AES-256-GCM-Verschlüsselung gespeichert. Dabei wird für jeden Eintrag ein individueller Initialisierungsvektor (IV) erzeugt, der zusammen mit dem verschlüsselten Wert und dem Authentifizierungs-Tag (Auth-Tag) gespeichert wird. Der Verschlüsselungsschlüssel wird getrennt von der Datenbank in einer gesicherten Umgebungsvariable verwaltet.

8.3 Die IBAN wird ausschließlich für die Durchführung von SEPA-Überweisungen zur Auszahlung bestätigter Cashback-Guthaben und Empfehlungsboni verwendet. Eine Weitergabe an Dritte erfolgt nur an das für die Überweisung notwendige Bankinstitut.

8.4 Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Auszahlung des Cashbacks).

8.5 Die IBAN wird für die Dauer des Nutzungsverhältnisses sowie darüber hinaus gemäß den steuer- und handelsrechtlichen Aufbewahrungspflichten gespeichert (bis zu 7 Jahre gemäß § 132 BAO).

9. Google-Dienste

9.1 Google OAuth (Anmeldung mit Google)

Wir bieten die Möglichkeit, sich mit einem bestehenden Google-Konto auf unserer Plattform zu registrieren und anzumelden. Hierbei werden folgende Daten von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, an uns übermittelt:

• E-Mail-Adresse
• Name (Vor- und Nachname)
• Profilbild-URL
• Google-User-ID

Diese Daten werden ausschließlich zur Erstellung und Pflege Deines Nutzerkontos verwendet. Wir erhalten keinen Zugriff auf Dein Google-Passwort oder andere Google-Kontodaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Registrierung und Anmeldung) sowie Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Nutzung der Google-Anmeldung).

Datenschutzinformationen von Google: https://policies.google.com/privacy

9.2 Google Analytics

Wir verwenden Google Analytics 4 (GA4), einen Webanalysedienst der Google Ireland Limited, zur Analyse der Nutzung unserer Plattform. Google Analytics verwendet Cookies und ähnliche Technologien, um Informationen über Dein Nutzungsverhalten zu erheben. Hierbei werden folgende Daten verarbeitet:

• Seitenaufrufe und Navigationsverhalten
• Verweildauer auf Seiten
• Gerätetyp, Bildschirmauflösung, Betriebssystem
• Herkunftsland und Spracheinstellung
• IP-Adresse (anonymisiert durch IP-Anonymisierung)

Die IP-Anonymisierung ist standardmäßig aktiviert; Deine IP-Adresse wird innerhalb der EU/des EWR gekürzt, bevor sie an Google-Server übermittelt wird.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über den Cookie-Consent-Banner). Du kannst Deine Einwilligung jederzeit widerrufen, indem Du Deine Cookie-Einstellungen änderst oder Google Analytics über das Browser-Add-On zur Deaktivierung von Google Analytics blockierst: https://tools.google.com/dlpage/gaoptout

Datenschutzinformationen von Google: https://policies.google.com/privacy

Google ist unter dem EU-US Data Privacy Framework zertifiziert: https://www.dataprivacyframework.gov

10. Cookies und Tracking-Technologien

10.1 Unsere Plattform verwendet Cookies und ähnliche Technologien (z. B. Local Storage). Cookies sind kleine Textdateien, die auf Deinem Endgerät gespeichert werden.

10.2 Technisch notwendige Cookies

Diese Cookies sind für den Betrieb der Plattform zwingend erforderlich und können nicht deaktiviert werden:

• Sitzungs-Cookie – zur Aufrechterhaltung Deiner Anmeldesitzung
• Cookie-Consent – zur Speicherung Deiner Cookie-Einstellungen
• CSRF-Token – zum Schutz vor Cross-Site-Request-Forgery-Angriffen

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse), § 165 Abs. 3 TKG 2021 (Österreich) bzw. § 25 Abs. 2 TDDDG (Deutschland).

10.3 Analyse-Cookies

Für die statistische Auswertung der Plattform-Nutzung setzen wir Google Analytics ein (siehe Ziffer 9.2). Die zugehörigen Cookies werden nur mit Deiner ausdrücklichen Einwilligung gesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), § 165 Abs. 1 TKG 2021 (Österreich) bzw. § 25 Abs. 1 TDDDG (Deutschland).

10.4 Affiliate-/Marketing-Cookies

Bei der Nutzung der Cashback-Funktion und dem Besuch eines Partner-Shops über unsere Plattform werden Affiliate-Cookies durch das Affiliate-Netzwerk (Awin) und/oder den Partner-Shop auf Deinem Endgerät gesetzt. Diese Cookies dienen der Zuordnung Deiner Transaktion für die Cashback-Gutschrift.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – die Cashback-Gutschrift erfordert das Tracking).

10.5 Local Storage

Wir verwenden Local Storage Deines Browsers zur Speicherung von Einstellungen (z. B. favorisierte Shops, Cookie-Consent-Status). Diese Daten werden nicht an Server übermittelt und verbleiben ausschließlich auf Deinem Endgerät.

11. E-Mail-Kommunikation

11.1 Wir versenden E-Mails an die im Nutzerkonto hinterlegte E-Mail-Adresse über unseren SMTP-Server bei All-Inkl (Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland). Die Datenverarbeitung erfolgt auf Grundlage einer Auftragsverarbeitungsvereinbarung.

11.2 Folgende Arten von E-Mails werden versendet:

• Transaktions-E-Mails: E-Mail-Verifizierung, Passwort-Zurücksetzung, Auszahlungsbestätigungen, Sicherheitsbenachrichtigungen (Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO)
• Newsletter und Angebotsmitteilungen: Informationen über Cashback-Angebote und Partner-Shops (Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO – Einwilligung, jederzeit widerrufbar)

12. Datensicherheit

Wir setzen umfangreiche technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein, um Deine Daten vor unbefugtem Zugriff, Verlust, Zerstörung oder unberechtigter Veränderung zu schützen. Dazu zählen insbesondere:

• Transportverschlüsselung: Sämtliche Datenübertragungen zwischen Deinem Browser und unseren Servern erfolgen über TLS/SSL-verschlüsselte Verbindungen (HTTPS).
• IBAN-Verschlüsselung: Bankverbindungsdaten werden mit AES-256-GCM verschlüsselt in der Datenbank gespeichert. Jeder Eintrag verwendet einen individuellen Initialisierungsvektor (IV). Der Verschlüsselungsschlüssel wird getrennt von der Datenbank in einer gesicherten Umgebungsvariable verwaltet.
• Passwort-Hashing: Passwörter werden mit bcrypt gehasht und gesalzen gespeichert. Das Klartext-Passwort wird zu keinem Zeitpunkt gespeichert oder protokolliert.
• TOTP-Verschlüsselung: Secrets für die Zwei-Faktor-Authentifizierung werden ebenfalls verschlüsselt gespeichert.
• CSRF-Schutz: Formulare und API-Endpunkte sind gegen Cross-Site-Request-Forgery-Angriffe geschützt.
• Serversicherheit: Unsere Server werden bei IP-Projects in Deutschland betrieben und unterliegen den strengen deutschen Datenschutz- und Sicherheitsstandards. Der Zugang zum Server ist durch SSH-Schlüssel und Firewall geschützt.
• Zugriffskontrolle: Der Zugriff auf personenbezogene Daten ist auf ein Minimum beschränkt (Need-to-know-Prinzip).
• Regelmäßige Sicherheitsupdates: Server-Software und Abhängigkeiten werden regelmäßig aktualisiert.

13. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie dies für die Zwecke, für die sie erhoben wurden, erforderlich ist oder gesetzliche Aufbewahrungsfristen dies verlangen:

• Nutzerkontodaten: Für die Dauer des Nutzungsverhältnisses. Nach Kontolöschung werden die Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Transaktionsdaten: 7 Jahre gemäß den steuerrechtlichen Aufbewahrungspflichten (§ 132 BAO in Österreich, § 147 AO in Deutschland).
• Rechnungs- und Zahlungsdaten (IBAN): 7 Jahre ab Ende des Geschäftsjahres (§ 132 BAO, § 147 AO).
• Protokolldaten: 30 Tage (anschließend Löschung oder Anonymisierung).
• Cookie-Consent: 12 Monate (erneute Abfrage nach Ablauf).
• E-Mail-Kommunikation: 3 Jahre nach Beendigung des Nutzungsverhältnisses.

Nach Ablauf der jeweiligen Aufbewahrungsfristen werden die Daten gelöscht oder irreversibel anonymisiert.

14. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur an Dritte weiter, soweit dies zur Vertragserfüllung erforderlich ist, Du eingewilligt hast oder wir rechtlich dazu verpflichtet sind. Folgende Kategorien von Empfängern kommen in Betracht:

• IP-Projects GmbH & Co. KG (Hosting, Server-Betrieb) – Auftragsverarbeiter gemäß Art. 28 DSGVO, Serverstandort Deutschland
• Awin AG (Affiliate-Netzwerk, Transaktionstracking) – eigenverantwortliche Datenverarbeitung für das Affiliate-Tracking
• Google Ireland Limited (Google OAuth, Google Analytics) – Auftragsverarbeiter für Analytics, eigenverantwortlich für OAuth
• Neue Medien Münnich / All-Inkl (SMTP, E-Mail-Versand) – Auftragsverarbeiter gemäß Art. 28 DSGVO
• Bankinstitute – für die Durchführung von SEPA-Überweisungen (Auszahlungen)

Eine Weitergabe personenbezogener Daten an Dritte zu Werbezwecken oder zum Verkauf findet nicht statt.

15. Datenübermittlung in Drittländer

15.1 Grundsätzlich werden Deine Daten auf Servern in Deutschland (IP-Projects) verarbeitet und somit innerhalb der EU/des EWR gespeichert.

15.2 Durch die Nutzung von Google-Diensten (Analytics, OAuth) kann es zu einer Übermittlung personenbezogener Daten an Google-Server in den USA kommen. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert, wodurch ein angemessenes Datenschutzniveau gemäß Art. 45 DSGVO gewährleistet wird.

15.3 Darüber hinaus werden die EU-Standardvertragsklauseln (Standard Contractual Clauses, SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO als zusätzliche Schutzmaßnahme eingesetzt, um die Übermittlung personenbezogener Daten in Drittländer abzusichern.

16. Deine Rechte als betroffene Person

Als betroffene Person stehen Dir folgende Rechte gemäß der DSGVO zu. Zur Ausübung dieser Rechte kannst Du Dich jederzeit an office@geldgeber.com wenden:

16.1 Recht auf Auskunft (Art. 15 DSGVO)

Du hast das Recht, eine Bestätigung darüber zu verlangen, ob und welche personenbezogenen Daten wir von Dir verarbeiten, sowie Auskunft über den Zweck der Verarbeitung, die Kategorien der verarbeiteten Daten, die Empfänger, die geplante Speicherdauer und Deine weiteren Rechte.

16.2 Recht auf Berichtigung (Art. 16 DSGVO)

Du hast das Recht, die unverzügliche Berichtigung unrichtiger oder die Vervollständigung unvollständiger personenbezogener Daten zu verlangen.

16.3 Recht auf Löschung (Art. 17 DSGVO)

Du hast das Recht, die unverzügliche Löschung Deiner personenbezogenen Daten zu verlangen, sofern die Daten für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind, Du Deine Einwilligung widerrufst und keine andere Rechtsgrundlage besteht, oder die Daten unrechtmäßig verarbeitet wurden. Dies gilt nicht, soweit die Verarbeitung zur Erfüllung gesetzlicher Aufbewahrungspflichten erforderlich ist.

16.4 Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Du hast das Recht, die Einschränkung der Verarbeitung Deiner Daten zu verlangen, wenn die Richtigkeit der Daten bestritten wird, die Verarbeitung unrechtmäßig ist, wir die Daten nicht mehr benötigen oder Du Widerspruch eingelegt hast.

16.5 Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Du hast das Recht, die Dich betreffenden personenbezogenen Daten, die Du uns bereitgestellt hast, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und diese Daten einem anderen Verantwortlichen zu übermitteln.

16.6 Widerspruchsrecht (Art. 21 DSGVO)

Du hast das Recht, aus Gründen, die sich aus Deiner besonderen Situation ergeben, jederzeit gegen die Verarbeitung Deiner personenbezogenen Daten, die auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) beruht, Widerspruch einzulegen. Wir werden die Verarbeitung einstellen, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen.

16.7 Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO)

Soweit die Verarbeitung Deiner Daten auf einer Einwilligung beruht, hast Du das Recht, diese Einwilligung jederzeit zu widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

17. Beschwerderecht bei der Aufsichtsbehörde

Du hast das Recht, Dich bei einer Datenschutzaufsichtsbehörde über die Verarbeitung Deiner personenbezogenen Daten zu beschweren. Die für Geldgeber zuständige Aufsichtsbehörde ist:

Für Nutzer aus Deutschland ist alternativ die jeweils zuständige Landesdatenschutzbehörde ansprechbar.

18. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung zu aktualisieren, um sie an geänderte rechtliche Anforderungen, neue Funktionen der Plattform oder technische Änderungen anzupassen. Die jeweils aktuelle Fassung ist stets unter geldgeber.com/datenschutz abrufbar. Wesentliche Änderungen werden den registrierten Nutzern per E-Mail mitgeteilt.