Datenschutzerklärung

Website treuli.app

Die Website setzt selbst keine Cookies und lädt kein Tracking. Inhalte Dritter bindet sie nicht ein, mit einer Ausnahme: Ist der Bot-Schutz für das Kontaktformular eingeschaltet, lädt die Kontaktseite Cloudflare Turnstile (siehe 5.3). Cloudflare kann dabei technisch notwendige Cookies setzen und Daten in den USA verarbeiten.

Die Website verarbeitet nur die technisch nötigen Server-Logdaten (siehe 3.3 und § 6) und die Angaben, die Sie über das Kontaktformular senden. Nachrichten aus dem Kontaktformular leiten wir über unseren Server per E-Mail an uns weiter; dafür gelten die Angaben zu Kommunikationsdaten (3.4) und zur Speicherdauer der E-Mail-Korrespondenz (§ 6). Rechtsgrundlage für die Server-Logdaten ist unser berechtigtes Interesse an einem sicheren Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO), für das Kontaktformular die Bearbeitung Ihrer Anfrage (Art. 6 Abs. 1 lit. b DSGVO, soweit sie einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO).

Web-App app.treuli.app

Für die Web-App gelten alle Abschnitte dieser Erklärung. Die Web-App lädt ebenfalls kein Tracking und zeigt keinen Cookie-Banner. Sie setzt nur technisch notwendige Cookies und Speichereinträge (§ 11).

3.5. OAuth-Anmeldedaten (optional)

Bei Nutzung der Anmeldung über Google oder Apple werden folgende Daten vom jeweiligen Anbieter an uns übermittelt:

• E-Mail-Adresse
• Name (falls freigegeben)
• Profilbild-URL (optional)
• Eindeutige Benutzer-ID

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)

5.1. Hosting und Infrastruktur

Hetzner Online GmbH
Industriestr. 25, 91710 Gunzenhausen, Deutschland

Rechenzentren in Deutschland. Es besteht ein AVV gem. Art. 28 DSGVO. Alle Daten verbleiben vollständig innerhalb der EU/EWR.

5.2. Eigenbetriebenes Fehler-, Log- und Performance-Monitoring (GlitchTip)

Zur Erkennung und Analyse technischer Fehler, zur Abwehr sicherheitsrelevanter Vorfälle, zur Auswertung betrieblicher Anwendungsprotokolle und zur Messung der Anwendungsleistung nutzen wir eine von uns betriebene Instanz der Open-Source-Software GlitchTip. Die Verarbeitung erfolgt auf unserer in der EU/EWR gehosteten Infrastruktur. Eine Offenlegung der Monitoringdaten an den Anbieter der GlitchTip-Software findet nicht statt.

Dabei können Fehlerart und Fehlertext, Stacktrace, Log-Meldungen mit strukturierten technischen Kontextangaben, Zeitpunkt, aufgerufener Pfad ohne URL-Abfrageparameter, Browser-, Geräte- und Betriebssystemdaten, pseudonyme Benutzerkennungen sowie technische Transaktions-, Anfrage- und Performance-Messwerte verarbeitet werden. Je nach Ereignis können weitere technische Diagnoseangaben Bestandteil der Meldung sein.

Die Übermittlung direkt identifizierender Standarddaten ist deaktiviert. Anfrageinhalte, URL-Abfrageparameter, Cookies, Autorisierungsdaten sowie bekannte Kontakt- und Netzwerkkennungen werden vor der Übermittlung herausgefiltert. Es findet keine Aufzeichnung von Bildschirminhalten oder Nutzersitzungen (Session Replay) statt. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, stabilen und leistungsfähigen Betrieb der Plattform (Art. 6 Abs. 1 lit. f DSGVO). Die Regelspeicherdauer beträgt 90 Tage.

5.3. Cloudflare (Bot-Schutz)

Wir nutzen Cloudflare Turnstile als CAPTCHA-Dienst zum Schutz unserer Formulare vor automatisierten Zugriffen (Bots).

Cloudflare Inc., 101 Townsend St, San Francisco, CA 94107, USA

Cloudflare setzt technisch notwendige Cookies (cf_clearance, __cf_bm) zum Bot-Schutz. Cloudflare ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

5.4. OAuth-Anbieter (optional)

Bei Nutzung der Anmeldung über Google oder Apple werden Anmeldedaten direkt zwischen Ihrem Gerät und dem jeweiligen Anbieter ausgetauscht:

Google Ireland Limited, Gordon House, Dublin 4, Irland
policies.google.com/privacy

Apple Distribution International Ltd., Cork, Irland
apple.com/legal/privacy

Beide Anbieter haben EU-Niederlassungen und sind unter dem EU-U.S. Data Privacy Framework zertifiziert.

5.7. Web-Push-Mitteilungen (optional)

Schalten Sie in der Web-App Mitteilungen ein, meldet Ihr Browser ein Abonnement beim Push-Dienst seines Herstellers an, zum Beispiel bei Google (Chrome), Mozilla (Firefox), Apple (Safari) oder Microsoft (Edge). Welcher Push-Dienst verwendet wird, bestimmt Ihr Browser. Wir speichern die Adresse dieses Abonnements und die zugehörigen Schlüssel zu Ihrem Konto.

Zur Zustellung senden wir die Mitteilung an den Push-Dienst. Ihr Inhalt ist dabei verschlüsselt; der Push-Dienst erhält die Abonnement-Adresse, technische Zustelldaten und den verschlüsselten Inhalt. Die Hersteller können diese Daten auch außerhalb der EU/EWR verarbeiten. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie können sie jederzeit widerrufen, indem Sie Mitteilungen in der Web-App oder in den Einstellungen Ihres Browsers ausschalten.

5.8. Apple (Push-Mitteilungen und Apple Wallet)

Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA

Mitteilungen an die Treuli-App auf dem iPhone stellen wir über den Apple Push Notification service (APNs) zu. Apple erhält dabei die Gerätekennung und den Inhalt der Mitteilung.

Haben Sie Ihre Kundenkarte in Apple Wallet gespeichert und ändert sich etwas daran, zum Beispiel der Punktestand, senden wir über APNs ein Signal ohne Inhalt an Ihr Gerät. Ihr Gerät lädt die aktualisierte Karte danach direkt von unserem Server. Apple erhält dabei die Gerätekennung für Wallet-Aktualisierungen, nicht den Inhalt der Karte.

Die Verarbeitung kann in den USA stattfinden. Apple ist unter dem EU-U.S. Data Privacy Framework zertifiziert.

5.9. Google (Google Wallet und Firebase Cloud Messaging)

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland

Speichern Sie Ihre Kundenkarte in Google Wallet, übermitteln wir die Angaben der Karte an Google und halten sie dort aktuell: Ihren Namen, Punktestand, Rang, „Mitglied seit“, Kundennummer und den Inhalt des QR-Codes sowie Name, Logo und Farbe des Betriebs.

Mitteilungen an die Treuli-App auf Android stellen wir über Firebase Cloud Messaging zu. Google erhält dabei die Gerätekennung und den Inhalt der Mitteilung.

Google kann die Daten auch außerhalb der EU/EWR verarbeiten, insbesondere in den USA, und ist unter dem EU-U.S. Data Privacy Framework zertifiziert.

5.10. Briefversand an Betriebe (LetterXpress)

A&O Fischer GmbH & Co. KG (LetterXpress), Maybachstraße 9, 21423 Winsen (Luhe), Deutschland

Einzelnen Betrieben stellen wir unser Angebot einmalig per Brief vor. Druck und Versand übernimmt LetterXpress als unser Auftragsverarbeiter (Art. 28 DSGVO). Dafür übermitteln wir den fertigen Brief als PDF. Er enthält den Namen des Betriebs, gegebenenfalls den Namen einer öffentlich genannten Ansprechperson, die Geschäftsanschrift, die öffentlich zugängliche Quelle dieser Angaben und einen QR-Code, der zu einem für den Betrieb vorbereiteten Demo-Entwurf führt.

Rechtsgrundlage ist unser berechtigtes Interesse an Direktwerbung gegenüber Geschäftskunden (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen diese Daten spätestens 90 Tage nach dem Versand; wird der Demo-Entwurf aufgerufen, spätestens nach Ablauf der 90-tägigen Demo-Laufzeit.

5.11. E-Mail-Versand

E-Mails, etwa Bestätigungen, Benachrichtigungen und Antworten auf Anfragen, versenden wir über einen eigenen Mailserver. Ein weiterer Dienstleister ist dafür nicht eingebunden.

11.1. Technisch notwendige Cookies

Diese Cookies sind für die Grundfunktionen der Web-App erforderlich und können nicht deaktiviert werden.

• refreshToken (Cookie, httpOnly): Hält Ihre Anmeldung aufrecht (7 Tage)
• cf_clearance, __cf_bm (Cookie): Cloudflare Bot-Schutz / Turnstile CAPTCHA (30 Min.)
• auth-storage-* (localStorage): Anmeldedaten und Sitzungsstatus (dauerhaft)
• treuli_language (localStorage): Gewählte Sprache der Benutzeroberfläche (dauerhaft)
• treuli_branding_* (localStorage): Gespeichertes Branding, Farben, Logo (dauerhaft)
• admin-nav-expanded, table-visibility-* (localStorage): UI-Einstellungen (dauerhaft)
• _sk (sessionStorage): Verschlüsselungsschlüssel für Token-Sicherheit (Tab-Session)
• form_loaded_at (sessionStorage): Formular-Zeitstempel für Bot-Schutz (Tab-Session)
• Service Worker (Cache API): Offline-Fähigkeit und Ressourcen-Caching (PWA)

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) / TDDDG § 25 Abs. 2 Nr. 2

E-Mail-Adresse

[email protected]