Datenschutzerklärung

Wir nehmen den Schutz deiner Daten ernst und verarbeiten sie nur, soweit es für das gemeinsame Wichteln nötig ist. Diese Erklärung beschreibt, welche Daten wofür verarbeitet werden.

1. Verantwortlicher

2. Welche Daten wir verarbeiten

• Kontodaten: Anzeigename, E-Mail-Adresse, gewähltes Avatar/Icon (Initialen, ein Emoji oder ein selbst hochgeladenes Profilfoto; von hochgeladenen Fotos bewahren wir je Konto höchstens die drei zuletzt genutzten auf, ältere werden gelöscht) sowie deine Benachrichtigungs-Einstellungen. Die Anmeldung erfolgt über einen von dir gewählten Anbieter (z. B. Google oder Discord) oder per Anmeldelink an deine E-Mail-Adresse; Name, E-Mail und ggf. ein Profilbild stammen dann vom gewählten Anbieter (Details in Punkt 4).
• Event- & Teilnahmedaten: Eventnamen, wer an welchem Event teilnimmt, der Teilnahmestatus, deine Wunschzettel (Text und ggf. hochgeladene Bilder), Ausschlusswünsche sowie das Auslosungsergebnis (wer wen beschenkt).
• Freundschaften, Profil & Statistiken: von dir bestätigte Freundschaftsverbindungen sowie ein Profil mit aus deiner Teilnahme abgeleiteten Statistiken (z. B. Anzahl mitgemachter bzw. organisierter Wichtelrunden) und daraus berechneten Abzeichen.
• Versandadressen (Postwichteln): Name und Lieferanschrift bzw. Packstation/Postnummer, optional Telefon/E-Mail. Diese Adressen werden verschlüsselt gespeichert (siehe Punkt 7) und nur nach deiner ausdrücklichen Zustimmung an deinen zugelosten Wichtel weitergegeben.
• Technische Daten: ein technisch notwendiges Sitzungs-Cookie sowie — nur wenn du beim Login „Angemeldet bleiben" wählst — ein zusätzliches Cookie mit einem Zufalls-Token (Näheres in Punkt 5), serverseitige Zugriffs-/Fehlerlogs (z. B. Zeitpunkt, IP-Adresse beim Hosting) sowie kurzlebige Zähler zur Missbrauchsabwehr (Rate-Limiting).
• Kamera (nur auf deine Aktion): Nutzt du den QR-Code-Scanner zum Beitreten, fragt dein Browser die Kamera-Erlaubnis ab. Die Kamerabilder werden ausschließlich lokal in deinem Browser zum Auslesen des Codes verarbeitet und nicht übertragen oder gespeichert.

3. Zwecke & Rechtsgrundlagen

• Durchführung des Wichtelns (Konto, Events, Auslosung, Wunschzettel) — Art. 6 Abs. 1 lit. b DSGVO (Nutzungsverhältnis).
• Weitergabe deiner Versandadresse an deinen Wichtel — Art. 6 Abs. 1 lit. a DSGVO (Einwilligung; freiwillig und jederzeit für die Zukunft widerrufbar).
• Sicherheit & Stabilität (CSRF-Schutz, Rate-Limiting, Logs) — Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb).

4. Empfänger & externe Dienste

Anmeldung (Login)

Für die Anmeldung kannst du zwischen mehreren Wegen wählen. Bei der Anmeldung über einen externen Anbieter (z. B. Google oder Discord) wirst du zu diesem weitergeleitet; nach erfolgreicher Anmeldung übermittelt der Anbieter an uns deine E-Mail-Adresse, deinen Namen, ggf. ein Profilbild/Avatar sowie eine pseudonyme Konto-Kennung. Dein Passwort beim Anbieter erhalten wir nicht. Alternativ kannst du dich per Anmeldelink an deine E-Mail-Adresse einloggen — dabei ist kein Drittanbieter beteiligt; wir senden dir nur einen einmaligen, zeitlich begrenzten Link zu.

Anbieter: Google — Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Muttergesellschaft Google LLC, USA), Datenschutzerklärung. Discord — Discord Inc., San Francisco, USA, Datenschutzerklärung. Zweck: sichere Anmeldung und Verwaltung deines Zugangs. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Login als Teil der Nutzung). Eine Verarbeitung in den USA ist möglich; die US-Anbieter sind unter dem EU-U.S. Data Privacy Framework zertifiziert bzw. es gelten ergänzend Standardvertragsklauseln. Der jeweilige Anbieter verarbeitet die Anmeldung in eigener Verantwortung und kann dabei eigene Cookies setzen.

Weitere Empfänger

• Andere Teilnehmer:innen: Anzeigename und Avatar sind für andere Mitglieder eines Events sichtbar. Dein Profil (Anzeigename, Avatar, Statistiken und Abzeichen) ist zusätzlich für deine bestätigten Freund:innen sowie für Mitglieder deiner aktiven Events einsehbar — du kannst es in den Kontoeinstellungen jederzeit verbergen und auch eingehende Freundschaftsanfragen abschalten. Deine Versandadresse erhält ausschließlich der von dir bestätigte Wichtel und nur nach deiner Freigabe.
• Hosting: Der Betrieb erfolgt bei unserem Hosting-Dienstleister, der Daten weisungsgebunden als Auftragsverarbeiter (Art. 28 DSGVO) verarbeitet.
• Adress-Autovervollständigung (OpenPLZ API, openplzapi.org): Bei der Adresseingabe können Postleitzahl/Ort/Straße zur Vervollständigung an diesen Dienst übermittelt werden. Die Abfrage läuft über unseren Server — deine IP-Adresse wird dabei nicht an den Dienst weitergegeben.
• E-Mail-Versand: Einladungen und Erinnerungen werden über einen E-Mail-Dienstleister versendet.

5. Cookies & lokale Speicherung

Wir setzen nur technisch notwendige Mittel: ein Sitzungs-Cookie (für Login und CSRF-Schutz) und — nur wenn du beim Login „Angemeldet bleiben" wählst — ein zusätzliches „Angemeldet bleiben"-Cookie, das dich über das Sitzungsende hinaus (rund 60 Tage) eingeloggt hält. Im Cookie steht nur ein Zufallswert; serverseitig wird davon ausschließlich ein Hash gespeichert, und du kannst diese Anmeldung jederzeit über „Überall abmelden" in den Kontoeinstellungen widerrufen. Dazu eine kleine Einstellung im lokalen Speicher deines Browsers für dein Hell-/Dunkel-Design (wird nur gespeichert, wenn du das Design selbst umschaltest). Es findet kein Tracking, keine Analyse und keine Werbung statt. Für technisch notwendige Cookies ist nach § 25 Abs. 2 TDDDG keine Einwilligung erforderlich; zur Transparenz zeigen wir dir beim ersten Besuch dennoch einen kurzen Cookie-Hinweis. Sollten wir künftig nicht notwendige Cookies (z. B. Statistik) einsetzen, holen wir vorab deine Einwilligung über einen Auswahldialog ein.

Bei der Anmeldung über einen externen Anbieter (z. B. Google oder Discord) kann dieser auf seinen eigenen Seiten zusätzlich eigene Cookies setzen; dafür ist der jeweilige Anbieter verantwortlich (siehe Punkt 4). Beim Anmeldelink per E-Mail ist kein Drittanbieter beteiligt.

6. Speicherdauer

Wir speichern deine Daten, solange dein Konto bzw. das jeweilige Event besteht. Wunschzettel und gespeicherte Adressen kannst du jederzeit selbst ändern oder löschen. Eine an den Wichtel freigegebene Adresse bleibt bis zum Abschluss des Versands bzw. bis zur Löschung gespeichert. Ein „Angemeldet bleiben"-Token verfällt automatisch nach rund 60 Tagen — oder sofort, wenn du „Überall abmelden" nutzt. Technische Logs werden nur kurz aufbewahrt.

7. Datensicherheit

Die Übertragung erfolgt im Produktivbetrieb verschlüsselt (HTTPS/TLS). Versandadressen werden zusätzlich verschlüsselt gespeichert (AES via Fernet) und nicht im Klartext in der Datenbank abgelegt. Weitere Maßnahmen: CSRF-Schutz, HttpOnly-/SameSite-Cookies, Rate-Limiting sowie eine zugriffskontrollierte Auslieferung hochgeladener Bilder. Das „Angemeldet bleiben"-Token wird ausschließlich als Hash gespeichert, bei jeder Nutzung erneuert (Rotation) und bei Verdacht auf Missbrauch automatisch entwertet. Ein Passwort speichern wir nicht.

8. Deine Rechte

Du hast jederzeit das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Eine erteilte Einwilligung (z. B. zur Adressweitergabe) kannst du nach Art. 7 Abs. 3 DSGVO jederzeit mit Wirkung für die Zukunft widerrufen.

Außerdem hast du ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Für Anliegen rund um deine Daten wende dich an [email protected].

Stand: 2026

→ Zum Impressum