Datenschutzerklärung

1. Verantwortlicher

Digital Impact Studio Klassen
Inhaber: Florian Klassen
Drahtzugstrasse 54, 4057 Basel, Schweiz
E-Mail: info@grüny.de

2. Anwendbares Recht

GRÜNY richtet sich an Nutzer in Deutschland. Für die Datenverarbeitung gelten deshalb die EU-Datenschutz-Grundverordnung (DSGVO, Art. 3 Abs. 2 DSGVO) und ergänzend das Schweizer Datenschutzgesetz (revDSG), da der Verantwortliche seinen Sitz in der Schweiz hat. Die Schweiz gilt nach dem Angemessenheitsbeschluss der EU-Kommission als Land mit angemessenem Datenschutzniveau.

3. Hosting, Server-Logdateien und Datensicherung

GRÜNY wird auf Servern der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) in einem Rechenzentrum in Deutschland betrieben. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).

Beim Aufruf unserer Seiten verarbeitet der Server technisch bedingt: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, Referrer-URL, Browser-Typ und -Version (User-Agent) sowie den HTTP-Statuscode. Diese Logdaten dienen dem technischen Betrieb, der Stabilität und der Abwehr von Angriffen (Rechtsgrundlage: berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Sie werden automatisch rotiert und kurzfristig überschrieben; eine Zusammenführung mit anderen Daten findet nicht statt.

Alle Verbindungen sind per TLS verschlüsselt (HTTPS). Datensicherungen (Backups) der Datenbank sowie Kopien ausgestellter Händler-Rechnungen werden verschlüsselt auf einem Speichersystem von Hetzner in Deutschland abgelegt; sie enthalten dieselben Daten wie das laufende System und werden nach denselben Fristen überschrieben.

4. Keine Cookies, keine Drittinhalte für Besucher

Als Besucher ohne Login setzen wir auf deinem Gerät keine Cookies und greifen nicht auf lokalen Speicher zu. Unsere Seiten laden keine Ressourcen von Drittservern: Schriften, Bilder und Skripte liefern wir ausschließlich von unserer eigenen Domain aus. Deshalb brauchst du bei uns keinen Cookie-Banner wegzuklicken – es gibt nichts, in das du einwilligen müsstest. Das einzige Cookie, das GRÜNY überhaupt kennt, ist das technisch notwendige Sitzungs-Cookie nach einer Anmeldung (Abschnitt 9).

5. Reichweitenmessung mit Matomo (cookielos, selbst gehostet)

Wir messen Seitenaufrufe mit der selbst gehosteten Analyse-Software Matomo. Die Messdaten bleiben vollständig auf unserem eigenen Server und werden an keinen Dritten weitergegeben; das Mess-Skript wird von unserer eigenen Domain geladen.

Matomo ist bei uns bewusst „cookielos“ konfiguriert: Es wird kein Cookie gesetzt und kein Besucher über Sitzungen hinweg wiedererkannt. Deine IP-Adresse wird vor der Speicherung gekürzt (anonymisiert). Die Messung dient allein der Frage, welche Seiten wie oft aufgerufen werden (Rechtsgrundlage: berechtigtes Interesse an der Verbesserung des Angebots, Art. 6 Abs. 1 lit. f DSGVO; nach unserer Einschätzung ist die Messung in dieser Konfiguration einwilligungsfrei).

Aus den Aufruf-Summen der letzten 30 Tage berechnen wir nächtlich – zusammen mit den gültigen Klicks aus Abschnitt 6 – einen Beliebtheits-Wert pro Produkt („Beliebt bei GRÜNY“, Sortierung „Beliebtheit“). Dabei fließen ausschließlich Zählwerte pro Seite ein, keine Daten einzelner Besucher.

6. Klick-Weiterleitung zu Händlern („/out/“)

Alle Links zu Händler-Shops führen über eine eigene Weiterleitungsadresse (/out/…). Dabei speichern wir: Zeitpunkt, angeklicktes Angebot, die Art des Referrers (nur die Kategorie „intern/extern/ohne“, nie die vollständige Adresse), eine technische Einstufung des Klicks (z. B. „gültig“, „Bot“, „Doppelklick“) sowie eine pseudonyme Sitzungskennung. Diese Kennung wird aus IP-Adresse und User-Agent mit einem täglich wechselnden geheimen Schlüssel errechnet (HMAC-Verfahren); deine IP-Adresse selbst wird dabei nicht gespeichert, und bereits am Folgetag lässt sich die Kennung technisch keiner Person mehr zuordnen. Klicks werden nie mit einem Nutzerkonto verknüpft – auch dann nicht, wenn du angemeldet bist.

Zweck ist die Abrechnung mit Händlern und Werbenetzwerken (gezählt werden nur als gültig eingestufte Klicks) sowie die Erkennung von Missbrauch und automatisierten Zugriffen. Rechtsgrundlage ist unser berechtigtes Interesse an einer korrekten, betrugssicheren Abrechnung (Art. 6 Abs. 1 lit. f DSGVO). Die Klick-Datensätze bewahren wir als Abrechnungsbelege dauerhaft auf – sie enthalten ab dem Folgetag keine einer Person zuordenbaren Daten mehr.

7. Weiterleitung zu Shops und Partnernetzwerken

Nach dem Klick auf ein Angebot verlässt du GRÜNY und wirst – je nach Händler direkt oder über ein Partnernetzwerk – zum Shop weitergeleitet. Wir arbeiten derzeit mit den Affiliate-Netzwerken AWIN und Webgains, mit dem eBay Partner Network sowie mit Händlern, die uns direkt einen Datenfeed liefern. Bei Direkt-Händlern hängen wir der Ziel-Adresse Kennzeichnungsparameter an (z. B. „utm_source=grueny“), damit der Händler weiß, dass der Besuch von GRÜNY kam – diese Parameter enthalten keine Angaben zu deiner Person.

Ab dem Moment der Weiterleitung gelten die Datenschutzbestimmungen des jeweiligen Netzwerks bzw. Shops; dort können (etwa zur Zuordnung von Vermittlungsprovisionen) Cookies gesetzt werden. Auf den Seiten von GRÜNY selbst passiert das nicht. GRÜNY erhält von Netzwerken und Händlern keine Daten über deine Person, sondern nur aggregierte Klick- und Provisionsstatistiken.

8. Schutz vor Missbrauch (Rate-Limits, Bot-Erkennung, Suchbegriffe)

Um Suche, Klick-Weiterleitung, Anmelde- und Registrierungsformulare, Passwort-Zurücksetzen und die Melden-Funktion bei Rezensionen vor Überlastung und Missbrauch zu schützen, zählen wir Zugriffe kurzzeitig pro IP-Adresse (Rechtsgrundlage: berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Diese Zähler laufen auf unserem Server unter der pseudonymen Kennung aus Abschnitt 6 (nie als Klartext-IP) und verfallen automatisch nach wenigen Minuten. Zur Erkennung echter Suchmaschinen (z. B. Googlebot) prüfen wir deren IP-Adressen per DNS-Abgleich; das Ergebnis wird bis zu 24 Stunden zwischengespeichert. Ruft ein automatisierter Zugriff einen für Menschen unsichtbaren Fallen-Link auf, wird seine Kennung für 24 Stunden als Bot markiert.

Suchbegriffe, zu denen unsere Suche keine Treffer liefert, speichern wir als reinen Begriff (klein geschrieben, ohne IP-Adresse, Kennung oder sonstigen Bezug zu dir), um Sortiment und Suche zu verbessern.

9. Nutzerkonto

Ein Konto ist freiwillig und wird für Merkzettel, Preiswecker und Rezensionen benötigt. Bei der Registrierung verarbeiten wir deine E-Mail-Adresse und ein Passwort, das wir ausschließlich als Hash (Argon2) speichern. Das Konto wird erst aktiv, wenn du den Bestätigungslink aus unserer E-Mail anklickst (Double-Opt-In); Zeitpunkt und Token der Bestätigung bewahren wir als Nachweis auf. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

Mit der Anmeldung setzen wir ein technisch notwendiges Sitzungs-Cookie. Es enthält nur einen Zufalls-Token; in unserer Datenbank liegt davon ausschließlich ein Hash. Eine Sitzung läuft nach 12 Stunden ab und verlängert sich bei Aktivität; beim Abmelden wird sie sofort gelöscht, abgelaufene Sitzungen räumen wir nächtlich auf. Wird ein Konto gesperrt oder gelöscht, sind seine Sitzungen unmittelbar ungültig.

Zum Konto speichern wir außerdem: Rolle (Besucher, Händler-Zugang oder Verwaltung), Status, Zeitpunkt der Registrierung, Zeitpunkt der letzten Anmeldung sowie – wenn du ihn gesetzt hast – einen frei gewählten Anzeigenamen. Für „Passwort vergessen“ erzeugen wir einen einmal verwendbaren Link, der nach einer Stunde verfällt; nach dem Zurücksetzen werden alle bestehenden Sitzungen des Kontos beendet. Änderst du deine E-Mail-Adresse, muss die neue Adresse erneut bestätigt werden. Kommt eine E-Mail dauerhaft nicht an (Hard-Bounce), sperren wir das Konto, damit wir keine Mails an unzustellbare Adressen schicken – melde dich per E-Mail, wenn das versehentlich passiert ist.

Im Konto stehen dir Selbstbedienungsfunktionen zur Verfügung: Export deiner Kontodaten und Rezensionen als JSON-Datei sowie die Löschung des Kontos. Beim Löschen entfernen wir Konto, Sitzungen, Merkzettel, Preiswecker samt Benachrichtigungs-Historie und Rezensionen samt Meldungen vollständig; Klick- und Reichweitendaten sind ohnehin nie mit dem Konto verknüpft. Die Löschung erfordert die Eingabe deines Passworts. Hast du dein Konto ausschließlich über Google angelegt (Abschnitt 10) und nie ein Passwort gesetzt, löschen wir es auf formlose E-Mail-Anfrage an die oben genannte Adresse.

Für Konten mit Rezensionen gelten ergänzend unsere Nutzungsbedingungen.

10. Anmeldung mit Google

Statt E-Mail und Passwort kannst du dich mit deinem Google-Konto anmelden. Der Ablauf läuft ausschließlich per Weiterleitung von unserer Anmeldeseite zu Google und zurück; wir binden kein Google-Skript in unsere Seiten ein. Google übermittelt uns dabei deine E-Mail-Adresse und die Information, ob sie verifiziert ist – mehr nicht. Wir speichern keine Google-Kennung, sondern ordnen dich allein über die verifizierte E-Mail-Adresse einem bestehenden Konto zu oder legen ein neues an; weil Google die Adresse bereits bestätigt hat, entfällt der Bestätigungslink aus Abschnitt 9. Nicht verifizierte Google-Adressen werden abgewiesen. Händler- und Verwaltungszugänge können diesen Weg nicht nutzen.

Bei der Anmeldung erfährt Google, dass du dich bei GRÜNY anmeldest; es gelten dafür die Datenschutzbestimmungen von Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Verarbeitung teilweise in den USA auf Grundlage des EU-US Data Privacy Framework). Rechtsgrundlage für die Nutzung der übermittelten E-Mail-Adresse ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO); die Anmeldung mit Google ist freiwillig – die Anmeldung mit E-Mail und Passwort steht immer gleichwertig zur Verfügung.

11. Merkzettel und Preiswecker

Merkst du ein Produkt, speichern wir Produkt, Zeitpunkt und den damals günstigsten Preis (für die Anzeige „seit dem Merken X % günstiger“). Stellst du einen Preiswecker, speichern wir Produkt, Modus (Preis unter Schwelle oder jede Preissenkung), die gewählte Schwelle, die gewählte Preisbasis (Artikelpreis oder Gesamtpreis inkl. Versand) sowie den zuletzt geprüften Bestpreis. Nach jedem Datenimport prüft ein Job nur die Produkte, deren Bestpreis sich geändert hat, und erzeugt bei Treffern eine Benachrichtigung.

Wecker-Mails enthalten den aktuellen Bestpreis, den Händler und einen Link zur Produktseite. Wir begrenzen die Anzahl pro Wecker und Tag, fassen mehrere Treffer in einer Mail zusammen und halten Ruhezeiten ein; eine Profilbildung aus deinen Weckern findet nicht statt. Jede Wecker-Mail enthält einen Ein-Klick-Abmeldelink für diesen Wecker (funktioniert ohne Login über einen Token) und einen Link zur Wecker-Verwaltung im Konto. Rechtsgrundlage: Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Merkzettel-Einträge und Wecker bleiben gespeichert, bis du sie oder dein Konto löschst; die Benachrichtigungs-Historie eines Weckers wird mit dem Wecker gelöscht.

12. E-Mail-Versand über Brevo

Alle E-Mails von GRÜNY (Bestätigungslink, Passwort-Zurücksetzen, Wecker-Benachrichtigungen, Einladungen und Rechnungs-/Warnhinweise für Händler-Zugänge) versenden wir über den Dienst Brevo (Brevo SAS, 7 rue de Madrid, 75008 Paris, Frankreich) als Auftragsverarbeiter (Art. 28 DSGVO). Brevo erhält dafür Empfängeradresse, Betreff und Inhalt der jeweiligen Mail; die Verarbeitung findet in der EU statt. Wir versenden ausschließlich solche Transaktionsmails – keinen Newsletter, keine Werbung.

Brevo meldet uns per Schnittstelle, wenn eine Mail nicht zustellbar war (Bounce). Bei dauerhafter Unzustellbarkeit sperren wir das betroffene Konto (Abschnitt 9), damit keine weiteren Mails an die Adresse gehen.

13. Rezensionen

Mit einem bestätigten Konto kannst du Produkte bewerten. Öffentlich sichtbar sind Sterne, Titel, Text und dein frei gewählter Anzeigename – nie deine E-Mail-Adresse. Jede Rezension wird vor der Veröffentlichung von uns geprüft (Vor-Moderation durch einen Menschen); ein automatischer Vorfilter weist vorher nur offensichtlich unzulässige Texte ab (zu kurz/zu lang, Links, Schimpfwörter, E-Mail-Adressen oder Telefonnummern im Text). Status und gegebenenfalls Ablehnungsgrund siehst du in deinem Konto. Rezensionstexte werden nicht an KI-Dienste übermittelt.

Leser können Rezensionen ohne Login melden; dabei speichern wir Grund, optionalen Kommentar und Zeitpunkt – die pseudonyme Kennung aus Abschnitt 6 nutzen wir nur, um Massen-Meldungen zu begrenzen. Veröffentlichte Rezensionen bleiben sichtbar, bis du sie im Konto oder dein Konto insgesamt löschst. Rechtsgrundlage: Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO); Einzelheiten zu Inhalten und Moderation stehen in den Nutzungsbedingungen und auf unserer Transparenzseite.

14. Händler-Zugänge (Händler-Portal)

Händler, deren Angebote wir listen, erhalten auf Einladung Zugänge zu einem Portal. Dafür verarbeiten wir die E-Mail-Adresse und das Passwort (gehasht) der eingeladenen Ansprechpersonen, die Zuordnung zum Händler sowie – vom Händler selbst gepflegt – Rechnungsdaten (Firma, Anschrift, Umsatzsteuer-ID, Rechnungs-E-Mail-Adresse; versioniert, damit ausgestellte Rechnungen nachvollziehbar bleiben), Adressen der Produktdatenfeeds inklusive etwaiger Zugangsdaten für deren Abruf, Kennzeichnungsparameter für Links, Vergütungskonditionen und ein monatliches Ausgabelimit. Klick-Statistiken im Portal sind ausschließlich aggregierte Zählwerte gültiger Klicks pro Tag und Produkt (Abschnitt 6) – keine Daten einzelner Besucher.

Änderungen im Portal (z. B. Feed-Adresse, Ausgabelimit, Rechnungsdaten) werden mit Zeitpunkt und handelndem Zugang in einem internen Änderungsprotokoll festgehalten. Rechtsgrundlage ist die Durchführung des Vertrags mit dem Händler (Art. 6 Abs. 1 lit. b DSGVO). Ausgestellte Rechnungen und die zugehörigen Rechnungsdaten bewahren wir nach Schweizer Recht zehn Jahre unveränderbar auf (Art. 6 Abs. 1 lit. c DSGVO); Händler-Zugänge werden beim Ende der Zusammenarbeit gelöscht, Rechnungen bleiben.

15. Kontaktaufnahme per E-Mail

Wenn du uns per E-Mail kontaktierst, verarbeiten wir deine Angaben (E-Mail-Adresse, Inhalt der Nachricht) zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Die Nachrichten werden gelöscht, sobald sie nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten bestehen.

16. Dienstleister ohne Nutzerdaten (OpenAI, Oxylabs, eBay)

Einige Hintergrund-Aufgaben erledigen wir mit externen Diensten – ausnahmslos mit Produkt-, Marken- und Kategoriedaten, nie mit Daten von Besuchern oder Nutzern. Deine Nutzung von GRÜNY löst keine Übermittlung an diese Dienste aus:

• OpenAI (Programmierschnittstelle) erzeugt Produktbeschreibungen und Beschreibungstexte für Kategorie-, Marken- und Siegelseiten, ordnet Produkte Kategorien zu und recherchiert Nachhaltigkeits-Belege zu Marken (inklusive Websuche). Übermittelt werden Titel, Kategorien, Hersteller- und Markenangaben; Rezensionen oder Kontodaten nie.
• Oxylabs ruft für die Prüfung von Marken öffentliche Produktseiten von Händler-Shops ab (Stichprobe, siehe Kriterienseite). Übermittelt werden nur die abzurufenden Shop-Adressen.
• eBay (Browse-Schnittstelle) liefert uns eBay-Angebote zu Produkten, die wir per Artikelnummer (GTIN) abfragen.

17. Empfänger und Drittländer

Eine Übermittlung deiner Daten in Drittländer findet nur bei der freiwilligen Anmeldung mit Google statt.

18. Speicherdauer

19. Deine Rechte

Du hast gegenüber uns das Recht auf Auskunft über deine gespeicherten personenbezogenen Daten (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Mit einem Konto kannst du Export und Löschung direkt im Konto selbst ausführen; für alles Weitere wende dich formlos an die oben genannte E-Mail-Adresse. Hinweis: Für Besucher ohne Konto speichern wir praktisch keine Daten, die wir einer Person zuordnen könnten – entsprechende Anfragen können daher oft nur mit „keine Daten vorhanden“ beantwortet werden (Art. 11 DSGVO).

Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem EU-Mitgliedstaat deines gewöhnlichen Aufenthalts. In der Schweiz ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) zuständig.

20. Keine automatisierten Einzelentscheidungen

Wir treffen keine automatisierten Entscheidungen mit Rechtswirkung dir gegenüber und erstellen keine Persönlichkeitsprofile. Die technische Einstufung von Klicks (Abschnitt 6) und der Vorfilter für Rezensionen (Abschnitt 13) sind keine solchen Entscheidungen: Über die Veröffentlichung einer Rezension entscheidet immer ein Mensch, und die Klick-Einstufung betrifft nur unsere Abrechnung mit Händlern.

21. Änderungen dieser Erklärung

Wir passen diese Erklärung an, sobald sich unser Angebot ändert. Es gilt jeweils die hier veröffentlichte Fassung.