Datenschutzerklärung

1. Verantwortlicher

Carlo Krämer, CarloMedia
Huronsee Str. 46, 10319 Berlin
E-Mail: mail@echtstimmen.de
Telefon: +49 152 248 758 37

2. Überblick: Zweck dieser Plattform

Diese Plattform dient der Einholung und Veröffentlichung echter, verifizierter Kundenrezensionen. Personenbezogene Daten werden ausschließlich zu diesem Zweck verarbeitet. Für Besucher, Rezensentinnen und Rezensenten sowie für das einbettbare Widget werden keine Cookies gesetzt, kein Tracking eingesetzt und keine Daten an Werbe- oder Analysedienste übermittelt. Es bestehen keine Verbindungen zu Google-Diensten. Die einzige Ausnahme ist ein technisch notwendiger Login-Cookie im geschützten Firmen-Backend (siehe Abschnitt 5), der nur für eingeloggte Unternehmen gesetzt wird und einwilligungsfrei ist.

3. Daten bei Abgabe einer Rezension

Wenn du eine Rezension abgibst, verarbeiten wir:

Name (wird bei Veröffentlichung angezeigt)
Firma (optional, wird ggf. angezeigt)
E-Mail-Adresse (nur zur Echtheitsbestätigung per Double-Opt-in, wird nicht veröffentlicht)
Bewertungstext, Sternebewertung und optionales Kommentar
Gehashte IP-Adresse (kein Klartext) und Browserkennung (User-Agent) zur Missbrauchsabwehr
Zeitpunkt der Einwilligung

Rechtsgrundlagen: Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO (Speicherung und Veröffentlichung der Rezension); berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO (Missbrauchs- und Bot-Abwehr durch gehashte IP und Double-Opt-in).

Die Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Am einfachsten über den Widerrufs-Link in deiner Bestätigungsmail oder über die Seite Rezension widerrufen (eine E-Mail an mail@echtstimmen.de genügt ebenfalls). Die Rezension wird dann vollständig gelöscht.

4. Daten bei Anlage eines Unternehmensprofils

Wenn du ein Unternehmensprofil anlegst, verarbeiten wir:

Unternehmens-/Markenname, Website, optionale Links (z. B. LinkedIn) und Kurzbeschreibung, diese Angaben werden öffentlich auf der Profilseite angezeigt
Name des Ansprechpartners (nicht öffentlich)
E-Mail-Adresse (nur zur Bestätigung per Double-Opt-in und für Rückfragen, nicht öffentlich)
Gehashte IP-Adresse zur Missbrauchsabwehr

Rechtsgrundlage: Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Du kannst dein Profil jederzeit selbst über den Lösch-Link in deiner Profil-Bestätigungsmail entfernen oder die Löschung per E-Mail verlangen; damit verbundene Rezensionen werden mit entfernt.

5. Backend-Login (Firmenkonto)

Unternehmen mit einem bestätigten Profil können sich in einen geschützten Backend-Bereich einloggen, um ihre Rezensionen und Einstellungen zu verwalten. Der Login erfolgt passwortlos über einen einmaligen Login-Link („Magic-Link"), den wir an die hinterlegte E-Mail-Adresse senden. Wir speichern kein Passwort. Dabei verarbeiten wir:

die E-Mail-Adresse des Firmenkontos (zum Versand des Login-Links)
einen Login-Token, der ausschließlich gehasht (nicht im Klartext) gespeichert wird, nur 15 Minuten und nur einmal gültig ist
den Zeitpunkt des letzten Logins
eine gehashte IP-Adresse (kein Klartext) zur Begrenzung von Login-Versuchen (Schutz vor automatisierten Angriffen)
einen einzelnen, technisch notwendigen Login-Cookie (Session), damit du während der Sitzung eingeloggt bleibst

Der Login-Cookie ist ein essenzieller Cookie im Sinne des § 25 Abs. 2 Nr. 2 TDDDG und daher einwilligungsfrei; er dient ausschließlich der Anmeldung, nicht der Analyse oder Werbung.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Nutzerkontos und Zugang zum Backend); Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Absicherung des Logins durch gehashte IP-Adresse und Begrenzung der Login-Versuche).

Auskunft und Löschung deiner Kontodaten erteilen bzw. führen wir erst nach Verifizierung deiner Identität durch (in der Regel durch erfolgreichen Login über den an deine E-Mail-Adresse gesendeten Link). Damit stellen wir sicher, dass nur die berechtigte Person Zugriff auf die Daten erhält. Bei Löschung deines Profils werden auch die zugehörigen Login-Token entfernt.

6. E-Mail-Versand (Brevo)

Für den Versand der Bestätigungs-E-Mails (Double-Opt-in) nutzen wir den Dienst Brevo der Sendinblue GmbH / Brevo GmbH, Köpenicker Straße 126, 10179 Berlin, Deutschland. Dabei wird deine E-Mail-Adresse an Brevo übermittelt, ausschließlich zum Versand der jeweiligen Bestätigungsmail. Mit Brevo besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Echtheitsprüfung von Rezensionen).

7. Hosting und Server-Logs

Diese Plattform wird bei Sliplane (Wimadev, Berlin) auf Servern der Hetzner Online GmbH in einem Rechenzentrum in Deutschland gehostet. Beim Aufruf der Seite verarbeitet der Server technisch bedingt Verbindungsdaten (u. a. IP-Adresse, Zeitpunkt, aufgerufene Seite) in Server-Logs. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb). Mit Sliplane besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Eine Übermittlung in die USA findet nicht statt.

Die Datenbank (Rezensionen, Profile) wird ebenfalls bei Sliplane auf Servern der Hetzner Online GmbH in Deutschland betrieben.

8. Speicherdauer

Veröffentlichte Rezensionen und aktive Profile: bis zum Widerruf bzw. bis zur Löschanfrage
Nicht bestätigte Rezensionen und Profile (Double-Opt-in nicht abgeschlossen): Löschung spätestens nach 30 Tagen
Login-Token: spätestens 15 Minuten nach Erstellung ungültig, danach Entfernung; gehashte IP-Adressen zur Login-Begrenzung: Löschung nach spätestens 24 Stunden
Server-Logs: gemäß den Löschfristen des Hosters

9. Deine Rechte

Du hast gegenüber uns folgende Rechte:

Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
Berichtigung unrichtiger Daten (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Außerdem hast du das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Zuständig für uns ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, www.datenschutz-berlin.de.

10. Keine automatisierte Entscheidungsfindung

Es findet kein Profiling und keine automatisierte Entscheidungsfindung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO statt. Rezensionen werden vor Veröffentlichung automatisch nach festen, neutralen Regeln geprüft (Wortfilter, Eigenanteils-Prüfung); wird ein Text dabei abgelehnt, kann er angepasst und erneut eingereicht oder per E-Mail an mail@echtstimmen.de eine Prüfung durch einen Menschen verlangt werden. Gemeldete Rezensionen prüft immer ein Mensch.