Datenschutzerklärung / Privacy Policy

Phronox Im Sand 18 65549 Limburg Deutschland / Germany E-Mail: [email protected]

• Kontodaten / Account data: Name, E-Mail-Adresse, Anzeigename (über Keycloak) • Profilangaben / Profile data: Alter, Geschlecht, Land (freiwillig / optional) • Wunschlisten-Daten / Wishlist data: Listennamen, Artikel, Preise, URLs, Notizen • Nutzungsdaten / Usage data: aufgerufene Seiten, verwendete Funktionen, Session-Dauer • Gerätedaten / Device data: Geräteart, Betriebssystem, Browsertyp, Spracheinstellung • Netzwerkdaten / Network data: IP-Adresse (anonymisiert nach 7 Tagen) • Interaktionsdaten / Interaction data: Klicks, Suchanfragen, geteilte Listen, markierte Artikel • Protokolldaten / Log data: App-Fehlermeldungen (keine personenbezogenen Daten)

• Vertragserfüllung (Art. 6 Abs. 1 lit. b) — Kontobetrieb, Wunschlisten, Nutzersuche, Einladungen Contract performance — account, wishlists, user search, invites • Berechtigte Interessen (Art. 6 Abs. 1 lit. f) — Sicherheit, Betrugsprävention, Produktverbesserung, aggregierte Analysen Legitimate interests — security, fraud prevention, product improvement, aggregated analytics • Einwilligung (Art. 6 Abs. 1 lit. a) — optionale Profilangaben; KI-Geschenkvorschläge auf Basis von Profildaten (geplant, noch nicht verfügbar — siehe Abschnitt 5) Consent — optional profile fields; AI suggestions based on profile data (planned, not yet available — see section 5) • Berechtigte Interessen / bestehende Kundenbeziehung (Art. 6 Abs. 1 lit. f i.V.m. §7 Abs. 3 UWG) — Marketing-E-Mails an registrierte Nutzer über ähnliche Produkte und Funktionen; Widerspruch jederzeit möglich Legitimate interests / existing customer relationship (Art. 6(1)(f) with § 7 para. 3 UWG) — marketing emails to registered users about similar features and products; opt-out at any time • Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) — gesetzliche Aufbewahrungspflichten Legal obligation — statutory retention requirements

• Bereitstellung aller Servicefunktionen (Konto, Wunschlisten, Teilen, Einladungen) Providing all service features (account, wishlists, sharing, invites) • Nutzersuche / User discovery: Andere Nutzer können Sie anhand Ihres Anzeigenamens oder Ihrer E-Mail-Adresse finden. Diese Verarbeitung ist für die Kernfunktionen des Dienstes erforderlich (Art. 6 Abs. 1 lit. b). Other users can find you by display name or email address. This is necessary for core service features (Art. 6(1)(b)). • Authentifizierung über Keycloak (selbst gehostet in Deutschland / EU; kein externer Anbieter) Authentication via Keycloak (self-hosted in Germany / EU; no external provider) • Personalisierte KI-Geschenkvorschläge — geplante Funktion, aktuell noch nicht verfügbar (freiwillig; mit Einwilligung für Profilangaben, sobald eingeführt; siehe Abschnitt 5) Personalised AI gift suggestions — a planned feature, not yet available (voluntary; would require consent for profile data once introduced; see section 5) • Produktverbesserung durch aggregierte, anonymisierte Nutzungsanalysen Product improvement via aggregated, anonymised usage analytics • Transaktions-E-Mails (Einladungen, Kontobenachrichtigungen) Transactional emails (invitations, account notifications) • Marketing-E-Mails an registrierte Nutzer (§7 Abs. 3 UWG — bestehende Kundenbeziehung); Abmeldung jederzeit per Link in der E-Mail oder per E-Mail an [email protected] Marketing emails to registered users (§ 7 para. 3 UWG — existing customer relationship); unsubscribe anytime via link in any email or by emailing [email protected] • Moderation: Systemadministratoren können bei einer Meldung oder einem begründeten Verdacht Ihre Wunschlisten-Inhalte einsehen, einschließlich Artikeltext und hochgeladener Bilder — auch solche, die für Sie als Beschenkte:r normalerweise ausgeblendet sind. Jeder Zugriff wird protokolliert; der Listeninhaber wird darüber nicht benachrichtigt, um Melder:innen nicht offenzulegen (Art. 6 Abs. 1 lit. f). Moderation: system administrators may review your wishlist content, including item text and uploaded images — including items normally hidden from you as a surprise-shielded giftee — in response to a report or a reasonable suspicion of abuse. Every such access is logged; the list owner is not notified, to avoid revealing who reported the content (Art. 6(1)(f)).

KI-Geschenkvorschläge sind eine für eine zukünftige Version geplante Funktion und derzeit nicht Teil des Dienstes — es werden aktuell keine Wunschlisten-Inhalte oder Profilangaben an externe KI-Anbieter übermittelt. Sobald diese Funktion eingeführt wird, gilt Folgendes: Von Ihnen eingegebene Wunschlisten-Inhalte (Listennamen, Artikelnamen, Preisvorstellungen, Notizen) sowie – mit Ihrer Einwilligung – optionale Profilangaben (Alter, Geschlecht, Interessen) würden an externe KI-Anbieter übermittelt. Kontodaten (Name, E-Mail-Adresse, Anzeigename) würden nicht weitergegeben. Die von Ihnen eingegebenen Wunschlisten-Inhalte können personenbezogene Angaben enthalten, die wir nicht im Voraus kontrollieren können – beispielsweise den Namen der beschenkten Person im Listennamen (z. B. „Geburtstag Maria") oder in Artikelnotizen. Bitte geben Sie keine sensiblen personenbezogenen Daten in diese Felder ein. Die Nutzung der KI-Funktion wird freiwillig sein. Wir werden diesen Abschnitt aktualisieren und den konkreten Anbieter benennen, sobald die Funktion live geht; ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO wird vorab abgeschlossen. Ihre Daten würden nicht zum Training von KI-Modellen verwendet. AI gift suggestions are a feature planned for a future release and are not currently part of the service — no wishlist content or profile data is sent to any external AI provider today. Once this feature is introduced, the following would apply: wishlist content you have entered (list names, item names, price ranges, notes) as well as — with your consent — optional profile data (age, gender, interests) would be sent to external AI providers. Account data (name, email address, display name) would not be shared. The wishlist content you enter may incidentally contain personal information that we cannot control in advance — for example, the gift recipient's name in a list name (e.g. "Maria's Birthday") or in item notes. Please avoid entering sensitive personal data in these fields. Use of the AI feature would be voluntary. We will update this section and name the specific provider once the feature ships; a data processing agreement under Art. 28 GDPR would be in place beforehand. Your data would not be used to train AI models.

• Keycloak (Authentifizierung) — selbst gehostet in Deutschland (EU); kein externer Drittanbieter / self-hosted in Germany (EU); no external third party • Cloud-Infrastrukturanbieter — EU-Rechenzentren • KI-Anbieter (geplant, noch nicht aktiv) — Wunschlisten-Inhalte (können PII enthalten, siehe Abschn. 5) / AI providers (planned, not yet active) — wishlist content (may contain PII, see section 5) • Affiliate-Netzwerke — keine personenbezogenen Daten; nur Klick-Weiterleitungen Wir verkaufen keine personenbezogenen Daten. Wir übermitteln keine Daten an Werbenetzwerke. We do not sell personal data. We do not share data with advertising networks.

Soweit Daten außerhalb des EWR verarbeitet werden, erfolgt dies auf Grundlage der EU-Standardvertragsklauseln (Art. 46 DSGVO) oder eines Angemessenheitsbeschlusses der Europäischen Kommission. Where data is processed outside the EEA, this is based on EU Standard Contractual Clauses (Art. 46 GDPR) or an adequacy decision by the European Commission.

Konto- und Wunschlisten-Daten: Laufzeit des Kontos + 30 Tage nach Löschung. Account and wishlist data: lifetime of account + 30 days after deletion. Nutzungs- und Interaktionsdaten: 24 Monate / 24 months. Protokolldaten / Log data: 30 Tage / 30 days. Backups: bis zu 90 Tage / up to 90 days. Geschäftsunterlagen / Financial records: 10 Jahre (§ 257 HGB / § 147 AO).

Die Web-App verwendet ausschließlich technisch notwendige Session-Cookies für die Authentifizierung. Es werden keine Werbe- oder Analyse-Cookies von Drittanbietern gesetzt. Wir verwenden kein Google Analytics. The web app uses only strictly necessary session cookies for authentication. No third-party advertising or analytics cookies are set. We do not use Google Analytics.

Sie haben das Recht auf / You have the right to: • Auskunft / Access (Art. 15) • Berichtigung / Rectification (Art. 16) • Löschung / Erasure — "Recht auf Vergessenwerden" / "right to be forgotten" (Art. 17) • Einschränkung der Verarbeitung / Restriction (Art. 18) • Datenübertragbarkeit / Portability (Art. 20) • Widerspruch bei berechtigten Interessen / Objection to legitimate-interest processing (Art. 21) • Widerruf einer Einwilligung jederzeit / Withdrawal of consent at any time (Art. 7(3)) Löschung (Art. 17) können Sie selbst auslösen: Profil → „Konto löschen" löscht Ihre Wunschlisten, Artikel, Freundschaften, Benachrichtigungen und Ihr Profil sofort und unwiderruflich. Von Ihnen beanspruchte Geschenke auf fremden Listen werden dabei freigegeben, nicht gelöscht. Ihre Anmelde-Identität bei unserem Identitätsanbieter (Keycloak) wird dabei NICHT automatisch entfernt — unser Support-Team löscht diese innerhalb von 30 Tagen; bis dahin bleiben Name/E-Mail dort bestehen. Von Ihnen eingereichte Fehlerberichte bleiben erhalten, damit unser Support sie weiter bearbeiten kann, jedoch mit entfernter Identität. Erasure (Art. 17) can be triggered by you: Profile → "Delete account" immediately and irreversibly deletes your wishlists, items, friendships, notifications, and profile. Gifts you had claimed on other people's lists are released, not deleted. Your sign-in identity with our identity provider (Keycloak) is NOT removed automatically by this — our support team removes it within 30 days; until then your name/email remain there. Bug reports you filed are kept so support can still act on them, with your identity removed. Auskunft, Berichtigung, Einschränkung oder eine Kopie Ihrer Daten (Art. 15, 16, 18, 20) sind derzeit nicht als Selbstbedienungsfunktion verfügbar; ebenso die vorzeitige Löschung Ihrer Keycloak-Identität. Kontaktieren Sie uns bitte unter der unten genannten E-Mail-Adresse; wir bearbeiten Ihre Anfrage manuell. Access, rectification, restriction, or a copy of your data (Art. 15, 16, 18, 20) are not currently available as a self-service feature, nor is early removal of your Keycloak identity. Please contact us at the email address below; we will process your request manually. Anfragen an / Send requests to: [email protected] Wir antworten innerhalb von 30 Tagen. / We respond within 30 days.

Zuständige Aufsichtsbehörde für Hessen / Competent supervisory authority for Hessen: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) https://datenschutz.hessen.de

Wir können diese Datenschutzerklärung aktualisieren. Wesentliche Änderungen werden mindestens 14 Tage vor Inkrafttreten per E-Mail oder In-App-Hinweis mitgeteilt. We may update this Privacy Policy. Material changes will be communicated at least 14 days before they take effect via email or in-app notice.