Datenschutzerklärung

Diese Datenschutzerklärung erklärt, welche personenbezogenen Daten wir verarbeiten, wenn Sie die Website empfehl.io besuchen, die App app.empfehl.io nutzen oder ein öffentliches Formular einer Firma ausfüllen, die Empfehl.io einsetzt. Sie erfahren auch, wer jeweils verantwortlich ist und welche Rechte Sie haben.

Empfehl.io ist eine Plattform für Empfehlungsmarketing. Firmen, zum Beispiel Versicherungsmakler und Vertriebe, laden damit Empfehlungsgeber ein, nehmen Empfehlungen entgegen und belohnen erfolgreiche Empfehlungen mit Prämien.

Verantwortlich für die Verarbeitung nach dieser Erklärung ist, soweit nicht anders angegeben:

Hielscher Consulting GmbH

Leonie-Ossowski-Promenade 11

68309 Mannheim

Deutschland

Vertreten durch den Geschäftsführer Tom Hielscher

E-Mail: info@tomhielscher.de

Für Fragen zum Datenschutz erreichen Sie uns unter info@tomhielscher.de oder support@empfehl.io.

Ein Datenschutzbeauftragter ist nicht benannt. Bei Fragen zum Datenschutz wenden Sie sich bitte direkt an die oben genannten Kontaktdaten.

Auf Empfehl.io gibt es zwei Rollen. Welche gilt, hängt davon ab, um welche Daten es geht.

Wir sind Verantwortlicher für unsere Website, für die Konten der Nutzer, für die Anmeldung und die Sicherheit der Plattform, für den Schutz vor Missbrauch, für den Support und für die Abrechnung mit unseren Firmenkunden.

Die jeweilige Firma ist Verantwortlicher für die Daten ihres Empfehlungsprogramms. Dazu gehören die Daten ihrer Empfehlungsgeber, die Empfehlungen (also die Kontaktdaten empfohlener Personen), ihre Prämien und Teilnahmebedingungen, ihre Kunden aus dem angebundenen CRM und die Inhalte ihrer Seiten und E-Mails. Für diese Daten verarbeiten wir als Auftragsverarbeiter nach Art. 28 DSGVO, nur nach Weisung der Firma. Grundlage ist der Vertrag zur Auftragsverarbeitung, der Teil unserer AGB ist.

Wenn Sie eine Empfehlung abgeben, sich als Empfehlungsgeber registrieren oder von einer Firma empfohlen wurden, ist deshalb in erster Linie die Firma Ihr Ansprechpartner. Ihr Impressum und ihre Datenschutzerklärung sind auf jeder öffentlichen Seite neben unseren eigenen Angaben verlinkt. Anfragen, die bei uns eingehen, leiten wir an die zuständige Firma weiter.

Website und App laufen auf Servern der netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland, in Rechenzentren in Deutschland. Datenbank und Zwischenspeicher (Redis) betreiben wir selbst auf diesen Servern. netcup ist unser Auftragsverarbeiter.

Bei jedem Aufruf übermittelt Ihr Browser technisch notwendige Daten, vor allem die IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, den Browsertyp und das Betriebssystem. Wir verarbeiten sie, um die Seiten auszuliefern und den Betrieb und die Sicherheit zu gewährleisten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einem sicheren und stabilen Betrieb. Server-Protokolle löschen wir nach 30 Tagen (rollierend).

Die Website setzt keine Analyse- oder Tracking-Cookies, nutzt keine Reichweitenmessung und lädt keine Skripte, Schriften oder Inhalte von Drittanbietern. Schriften liefern wir von unserem eigenen Server aus.

Beim Laden fragt die Website einmal bei app.empfehl.io an, ob Sie dort angemeldet sind. Ist das der Fall, leiten wir Sie direkt in die App weiter. Ihr Browser sendet dabei das Sitzungs-Cookie der App mit, falls eines vorhanden ist. Ausgewertet wird nur, ob Sie angemeldet sind oder nicht. Es entsteht dabei kein Profil, und die Abfrage schreibt nichts: Sie setzt kein Cookie und verlängert oder verändert Ihre Sitzung in der App nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, angemeldeten Nutzern einen Umweg zu ersparen. Der Zugriff auf das Cookie stützt sich auf § 25 Abs. 2 Nr. 2 TDDDG.

Wenn Sie uns per E-Mail schreiben, verarbeiten wir Ihre Angaben, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag oder seine Anbahnung geht, sonst Art. 6 Abs. 1 lit. f DSGVO.

Wir verwenden nur Cookies und Einträge im lokalen Speicher Ihres Browsers, die für den Dienst technisch erforderlich sind oder eine von Ihnen gewählte Einstellung speichern. Eine Einwilligung ist dafür nach § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich. Die weitere Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b und f DSGVO.

• Sitzungs-Cookie: hält Sie nach der Anmeldung angemeldet. Es ist verschlüsselt, für Skripte nicht lesbar und gilt höchstens 30 Tage. Nach acht Stunden ohne Aktivität endet die Sitzung.
• Cookie für die aktive Firma: merkt sich, in welcher Firma Sie gerade arbeiten, wenn Sie mehreren angehören.
• Cookies der Einstiegs-Checkliste: merken sich bis zu einem Jahr, ob Sie die Checkliste für Firmen eingeklappt oder abgeschlossen haben.
• Kurzlebige Sicherheits-Cookies: schützen die Anmeldung über Google oder Microsoft und die Bestätigung mit einem Passkey vor Manipulation und gelten nur für die Dauer dieses Vorgangs.
• Lokaler Speicher: merkt sich den gewählten Farbmodus (hell oder dunkel).

Sie können Cookies in Ihrem Browser jederzeit löschen. Danach müssen Sie sich neu anmelden.

Für ein Konto verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen, Ihre Rollen und Ihre Zugehörigkeit zu Firmen. Wählen Sie ein Passwort, speichern wir es nur als sicheren Hash. Bei der Registrierung und bei Bedarf erhalten Sie einen Bestätigungslink per E-Mail.

Sie können sich auch mit Google oder Microsoft anmelden. Dann erhalten wir von dort Ihre E-Mail-Adresse, Ihren Namen und eine Kennung Ihres Kontos. Anbieter sind Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, und Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Für die Anmeldung dort gelten auch deren Datenschutzbestimmungen.

Für die Zwei-Faktor-Anmeldung speichern wir je nach Methode ein verschlüsseltes Geheimnis Ihrer Authenticator-App, den öffentlichen Schlüssel Ihres Passkeys und Ihre Wiederherstellungscodes als Hash.

Für jede Sitzung speichern wir eine kurze Gerätebezeichnung (zum Beispiel Chrome auf macOS) und einen Hash Ihrer IP-Adresse, damit Sie Ihre angemeldeten Geräte sehen und einzeln abmelden können. Die vollständige IP-Adresse speichern wir dafür nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Sicherheitsfunktionen ergänzend Art. 6 Abs. 1 lit. f DSGVO. Kontodaten speichern wir, bis das Konto gelöscht wird.

Um die Plattform vor Missbrauch, automatisierten Angriffen und Spam zu schützen, begrenzen wir die Zahl der Anfragen, zum Beispiel bei Anmeldung, Passwort-Zurücksetzen und öffentlichen Formularen. Dafür bilden wir einen Hash aus Ihrer IP-Adresse, bei E-Mail-Versand teils auch aus der E-Mail-Adresse, und zählen Anfragen in kurzen Zeitfenstern. Die Zähler verfallen automatisch nach Ablauf ihres Fensters, je nach Funktion nach wenigen Minuten bis höchstens 24 Stunden. Fehlgeschlagene Anmeldeversuche löschen wir nach 24 Stunden, verbrauchte oder abgelaufene Bestätigungs- und Zurücksetzungslinks nach sieben Tagen.

Bei Anmeldung, Registrierung, Passwort-Zurücksetzen und beim Absenden öffentlicher Formulare nutzen wir Google reCAPTCHA v3 der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Das Skript wird erst geladen, wenn Sie eine dieser Aktionen auslösen. reCAPTCHA bewertet anhand technischer Merkmale Ihres Geräts und Ihres Verhaltens, ob eine Anfrage von einem Menschen stammt. Dabei erhält Google unter anderem Ihre IP-Adresse und kann Cookies setzen oder lesen. Unser Server sendet das Prüfergebnis zusammen mit Ihrer IP-Adresse an Google zur Bestätigung. Google kann Daten auch in den USA verarbeiten. Es gelten zusätzlich die Datenschutzerklärung von Google unter https://policies.google.com/privacy und die Nutzungsbedingungen unter https://policies.google.com/terms.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der Schutz unserer Nutzer und der Plattform vor Missbrauch. Den Zugriff auf Ihr Endgerät stützen wir auf § 25 Abs. 2 Nr. 2 TDDDG, weil er nur bei einer von Ihnen ausgelösten Aktion erfolgt und für deren sichere Ausführung erforderlich ist. Für diese Schutzmaßnahmen sind wir selbst verantwortlich, auch auf den Seiten der Firmen.

Firmen veröffentlichen mit Empfehl.io Empfehlungsseiten unter Adressen mit /r/ und Registrierungsseiten unter Adressen mit /j/. Für die Daten, die Sie dort eingeben, ist die Firma verantwortlich. Wir verarbeiten sie in ihrem Auftrag.

• Empfehlungsformular: Name und Telefonnummer, optional die E-Mail-Adresse. Die Empfehlung wird dem Empfehlungsgeber zugeordnet, über dessen Link Sie kamen. Hat die Firma eine Einwilligung vorgesehen, speichern wir als Nachweis Zeitpunkt und Fassung des Hinweistextes.
• Registrierungsformular: Name und E-Mail-Adresse. Sie erhalten dann eine Einladung der Firma per E-Mail.

Für das Telefonfeld schlagen wir eine Ländervorwahl vor. Dafür ermitteln wir das Land Ihrer IP-Adresse mit einer Datenbank auf unserem eigenen Server. Ihre IP-Adresse verlässt dabei nicht unseren Server und wird dafür nicht gespeichert.

Bei Aufrufen eines Empfehlungslinks zählen wir nur die Anzahl der Aufrufe, ohne Bezug zu Ihrer Person.

Welche Rechtsgrundlage die Firma für ihre Verarbeitung nutzt und wie lange sie die Daten speichert, erfahren Sie in der Datenschutzerklärung der Firma, die auf der Seite verlinkt ist.

Im Auftrag der Firmen verarbeiten wir die Daten ihrer Empfehlungsprogramme:

• Empfehlungsgeber: Name, E-Mail-Adresse, Anschrift, Auszahlungsdaten (Kontoinhaber, IBAN, BIC, Bank), Herkunft der Registrierung, Zustimmung zu den Teilnahmebedingungen mit Zeitpunkt und Fassung, erreichte und ausgezahlte Prämien. Die IBAN speichern wir verschlüsselt.
• Empfohlene Personen: Name, Telefonnummer, E-Mail-Adresse, Stand der Empfehlung, Notizen der Firma und gegebenenfalls der Einwilligungsnachweis. Diese Daten stammen vom Empfehlungsgeber, aus einem öffentlichen Formular, von der Firma selbst oder aus ihrem CRM.
• Teammitglieder der Firma: Name, E-Mail-Adresse und Rolle.
• Hinweise in der Inbox der App, zum Beispiel zu neuen Empfehlungen oder geänderten Bedingungen.

Die Firma entscheidet über Zweck, Rechtsgrundlage und Dauer dieser Verarbeitung. Löscht die Firma Daten oder endet ihr Vertrag mit uns, löschen wir die Daten nach den Regeln des Auftragsverarbeitungsvertrags.

System-E-Mails der Plattform, etwa Bestätigungslinks, Passwort-Zurücksetzen und Einladungen von Teammitgliedern, versenden wir über Resend, Anbieter Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA. Resend verarbeitet dafür Empfängeradresse, Inhalt und Versanddaten. Absender ist support@empfehl.io. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für E-Mails im Auftrag einer Firma deren Weisung.

E-Mails an Empfehlungsgeber und Kunden einer Firma, zum Beispiel Einladungen und Anfragen zu Auszahlungsdaten, verschickt die Firma über ihren eigenen Mailserver. Das ist entweder ein von ihr eingerichteter SMTP-Server oder ihr eigenes Google-Konto über die Gmail-Schnittstelle. Bei Google erhalten wir dafür nur die Berechtigung, E-Mails zu senden, nicht, das Postfach zu lesen. Zugangsdaten und Schlüssel speichern wir verschlüsselt. Für Inhalt und Versand dieser E-Mails ist die Firma verantwortlich.

Eine Firma kann Empfehl.io mit eigenen Systemen verbinden. Die Daten fließen dann nach ihrer Weisung.

• CRM Close: Mit dem API-Schlüssel der Firma lesen wir Kontakte und deren Status aus ihrem Close-Konto, um gewonnene Kunden zu erkennen, Empfehlungen abzuschließen und auf Wunsch neue Kunden als Empfehlungsgeber einzuladen. Close wird von der Firma beauftragt.
• Webhooks: Bei einer neuen Empfehlung oder einer erreichten Prämie senden wir die Daten an eine Adresse, die die Firma festlegt, zum Beispiel an ihr eigenes System oder ihren Zahlungsdienst.
• Schnittstelle (API): Die Firma kann über einen eigenen Schlüssel Einladungen an neue Empfehlungsgeber auslösen.

Bilder, die Nutzer für E-Mail-Vorlagen und eigene Seiten hochladen, speichern wir bei Amazon Web Services (AWS) S3 in der Region eu-central-1 (Frankfurt am Main, Deutschland). Anbieter ist Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg. Der Speicher ist nicht öffentlich. Ausgeliefert werden die Bilder über unseren eigenen Server. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO beziehungsweise die Weisung der Firma.

Empfehlungsgeber und Firmen können eigene Seiten mit Hilfe einer KI gestalten. Dafür stellt Empfehl.io einen Text-Auftrag bereit, den Sie selbst in eine KI Ihrer Wahl kopieren. Das Ergebnis fügen Sie wieder ein. Empfehl.io übermittelt dabei keine Daten an einen KI-Anbieter. Was Sie in eine fremde KI eingeben, unterliegt deren Bedingungen und liegt in Ihrer Verantwortung.

Empfehl.io ist zum Start kostenlos. Für kostenpflichtige Leistungen und die Verwaltung eines Abonnements nutzen wir Stripe, Anbieter Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Für eine Firma legen wir bei Stripe ein Kundenkonto mit Rechnungs-E-Mail-Adresse und einer internen Kennung an. Zahlungsdaten geben Sie direkt bei Stripe ein. Wir sehen davon nur Angaben wie den Kartentyp und die letzten Ziffern. Stripe kann Daten auch in den USA verarbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und c DSGVO.

Wenn Sie den Support kontaktieren, verarbeiten wir Ihre Anfrage, um Ihnen zu helfen. Um Fehler nachzuvollziehen, können berechtigte Mitarbeiter von Empfehl.io die App vorübergehend aus der Sicht eines Nutzers aufrufen. Das geschieht nur, soweit es für den Support oder die Sicherheit erforderlich ist, wird protokolliert und in der App durchgehend angezeigt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO, bei Daten einer Firma deren Weisung.

Wir geben personenbezogene Daten nur weiter, soweit es für die beschriebenen Zwecke nötig ist. Unsere Dienstleister sind vertraglich gebunden.

• netcup GmbH, Karlsruhe, Deutschland: Hosting.
• Amazon Web Services EMEA SARL, Luxemburg: Speicherung von Bildern in Frankfurt am Main.
• Plus Five Five, Inc. (Resend), San Francisco, USA: Versand von System-E-Mails.
• Google Ireland Limited, Dublin, Irland: reCAPTCHA und Anmeldung mit Google; für Firmen, die ihn einrichten, der E-Mail-Versand über ihr Google-Konto.
• Microsoft Ireland Operations Limited, Dublin, Irland: Anmeldung mit Microsoft.
• Stripe Payments Europe, Limited, Dublin, Irland: Abrechnung.
• Die Firma, deren Empfehlungsprogramm Sie nutzen, und die Empfänger, die sie selbst festlegt (etwa ihr CRM, ihr Mailserver oder ihre Webhook-Adressen).

Behörden erhalten Daten nur, wenn wir gesetzlich dazu verpflichtet sind.

Resend, Google, Microsoft, Stripe und Amazon Web Services gehören zu Unternehmensgruppen mit Sitz in den USA. Dabei kann es zu Übermittlungen in die USA kommen. Grundlage ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, soweit der Empfänger danach zertifiziert ist, und im Übrigen die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO. Eine Kopie der Garantien erhalten Sie auf Anfrage.

Wir speichern personenbezogene Daten nur, solange es für den jeweiligen Zweck erforderlich ist. Wo oben eine konkrete Frist steht, gilt diese. Kontodaten löschen wir mit der Löschung des Kontos. Datensicherungen bewahren wir 30 Tage rollierend auf, danach werden sie gelöscht. Daten der Empfehlungsprogramme löschen wir nach Weisung der Firma, spätestens nach Ende des Vertrags mit der Firma gemäß Auftragsverarbeitungsvertrag. Gesetzliche Aufbewahrungsfristen bleiben unberührt, insbesondere für Rechnungen und Buchungsbelege nach Handels- und Steuerrecht bis zu zehn Jahre. Solche Daten sperren wir für jede andere Nutzung.

Sie sind nicht verpflichtet, uns Daten zu geben. Ohne die als Pflicht markierten Angaben können wir aber kein Konto anlegen, keine Anmeldung ermöglichen und kein Formular annehmen.

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO). Haben Sie eine Einwilligung erteilt, können Sie sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Schreiben Sie dazu an support@empfehl.io. Betrifft Ihr Anliegen Daten eines Empfehlungsprogramms, wenden Sie sich am besten an die jeweilige Firma. Wir unterstützen sie bei der Bearbeitung.

Verarbeiten wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, poststelle@lfdi.bwl.de.

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Wir erstellen kein Profiling. Die Bewertung durch reCAPTCHA dient nur dem Schutz vor automatisierten Anfragen.

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.