Datenschutzerklärung

1. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist Smoosh, Dorfstr. 42, 88527 Unlingen, Deutschland. E-Mail: hello@getsmoosh.app. Mehr im Impressum.

Schreibst du uns eine E-Mail, verwenden wir deine Adresse und deine Nachricht nur, um dir zu antworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse, dir zu antworten; bei Anfragen zu deinen Rechten Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 12 bis 22 DSGVO. Deine E-Mail erreicht uns über das Email Routing von Cloudflare, das sie an unser Postfach bei Google (Gmail) weiterleitet; Cloudflare verarbeitet sie dabei in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags (Abschnitt 8). Die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, speichert sie in unserem Gmail-Postfach. Die Google LLC kann sie auch in den USA verarbeiten; sie ist nach dem EU-US Data Privacy Framework zertifiziert, für das die EU-Kommission einen Angemessenheitsbeschluss erlassen hat (Art. 45 DSGVO). Wir löschen deine E-Mails, sobald dein Anliegen erledigt ist, es sei denn, wir müssen sie gesetzlich länger aufbewahren.

2. Überblick

Wir verarbeiten auf getsmoosh.app personenbezogene Daten für vier Zwecke:

• die Auslieferung der Website (bei jedem Besuch),
• die Warteliste (nur, wenn du dich einträgst),
• das Speichern deiner Datenschutz-Einstellungen (bei jedem Besuch),
• die Webanalyse (nur, wenn du sie erlaubst).

Wir verkaufen keine Daten, und die Seite hat keine Werbe-Tracker und keine Social-Media-Plugins. Schriften und alles andere, was sie zeigt, kommen von unserem eigenen Server. Einzige Ausnahme ist Matomo: Es lädt von einem eigenen Server, und das nur, wenn du die Webanalyse erlaubst (Abschnitt 7). Ohne deine Einwilligung speichert die Seite in deinem Browser nur deine Datenschutz-Einstellungen (Abschnitt 6).

3. Hosting

Website, Warteliste und unsere API laufen in deutschen Rechenzentren auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Hetzner verarbeitet Daten in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Um die Seiten auszuliefern, verarbeiten unsere Server deine IP-Adresse, die aufgerufene Adresse, die Uhrzeit und technische Angaben deines Browsers wie Typ und Sprache. Unsere Server führen keine Zugriffsprotokolle; diese Angaben dienen nur dazu, die Anfrage zu beantworten. Unsere API protokolliert die aufgerufene Adresse, das Ergebnis und die Dauer einer Anfrage, ohne deine IP-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse an einer funktionierenden, sicheren Website.

4. Warteliste

Was wir speichern und wofür

Wenn du dich in die Warteliste einträgst, speichern wir deine E-Mail-Adresse, die Sprache der Seite, die Version des Einwilligungstexts, den du gesehen hast, den Kampagnen-Link, über den du gekommen bist (zum Beispiel „ig-bio“), sowie Zeitpunkt und IP-Adresse deiner Eintragung und deiner Bestätigung. Mit der Adresse schreiben wir dir zum Start von Smoosh, schicken dir deinen Early-Supporter-Rabattcode und gelegentlich Neuigkeiten zu Smoosh, höchstens etwa zweimal im Monat. Zeitpunkte, IP-Adressen und Textversion belegen deine Einwilligung. Am Kampagnen-Link sehen wir, welche unserer Posts Menschen auf die Warteliste bringen.

Double-Opt-in

Wir tragen dich erst ein, nachdem du den Link in unserer Bestätigungs-E-Mail geöffnet und bestätigt hast. Bis dahin speichern wir deine Adresse nur, um dir die Bestätigungs-E-Mail zu schicken und die Anfrage belegen zu können. Bestätigst du nicht, verfällt die Anmeldung nach 30 Tagen: Eine neue Adresse löschen wir dann, und warst du schon einmal eingetragen, bleibt dein früherer Nachweis erhalten, wie unter „Wie lange wir sie speichern“ beschrieben.

Rechtsgrundlage und Widerruf

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmeldelink in jeder E-Mail, die wir dir nach deiner Bestätigung schicken, oder per E-Mail an uns; die bis dahin erfolgte Verarbeitung bleibt davon unberührt. Den Nachweis deiner Einwilligung speichern wir auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO, der uns verpflichtet, Einwilligungen nachweisen zu können. Den Kampagnen-Link speichern wir auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse daran, zu wissen, welche Posts funktionieren. Eintragen kannst du dich ab 16 Jahren.

Wer die Daten verarbeitet

Die Liste läuft auf unserer eigenen Installation der Open-Source-Software Listmonk unter lists.getsmoosh.app, auf den oben genannten Hetzner-Servern. Die Sendinblue SAS (Brevo), 17 rue Salneuve, 75017 Paris, Frankreich, versendet unsere E-Mails in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags. Brevo speichert die Daten in der Europäischen Union; soweit Konzerngesellschaften oder Dienstleister von Brevo außerhalb der EU (etwa in den USA oder in Indien) darauf zugreifen können, gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Unsere E-Mails enthalten keine Zählpixel und keine getrackten Links.

Wie lange wir sie speichern

Bis du dich abmeldest. Danach bewahren wir deine Adresse, Zeitpunkt, IP-Adresse, Textversion, Sprache und Kampagnen-Link deiner letzten Eintragung, Zeitpunkt und IP-Adresse ihrer Bestätigung sowie die Zeitpunkte deiner Abmeldungen noch drei Jahre auf, nur um Einwilligung und Widerruf belegen zu können, und löschen sie dann. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse, uns gegen Ansprüche verteidigen zu können.

Trägst du dich nach einer Abmeldung erneut ein, bewahren wir die Angaben deiner früheren Eintragungen (Textversion, Zeitpunkt und IP-Adresse jeder Eintragung und Bestätigung, Zeitpunkt jeder Abmeldung, Kampagnen-Link und Sprache) zusammen mit den neuen auf. Sie belegen deine Einwilligung in die E-Mails, die wir dir vorher geschickt haben, und wir löschen sie mit allem anderen drei Jahre nach deiner letzten Abmeldung. Bestätigst du eine solche erneute Eintragung nicht innerhalb von 30 Tagen, bist du einfach wieder abgemeldet, und die drei Jahre beginnen dann.

Auf der Seite hinter dem Abmeldelink gibt es außerdem „Meine Daten löschen“: Damit löschst du alles auf einmal. Gelöschte Daten werden sofort aus der Liste entfernt; die täglichen Backups, die sie noch enthalten, werden innerhalb von 14 Tagen überschrieben.

Die Eintragung ist freiwillig. Ohne E-Mail-Adresse können wir dich nicht auf die Warteliste setzen.

5. Schutz vor Missbrauch

Um Bots von der Warteliste fernzuhalten, zählt unsere API Anfragen pro IP-Adresse für 10 Minuten und Bestätigungs-E-Mails pro E-Mail-Adresse, in gehashter Form, für 24 Stunden. Danach löschen sich die Zähler von selbst. Zu einer Eintragung vermerkt das Protokoll der API nur die Sprache und das Ergebnis, ohne deine IP-Adresse oder E-Mail-Adresse, damit wir Fehler nachvollziehen können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse, den Dienst und die Menschen zu schützen, deren Adressen eingegeben werden, und Fehler zu finden und zu beheben.

6. Deine Datenschutz-Einstellungen (c15t)

Deine Einwilligung zur Webanalyse fragen wir mit c15t ab, einem Open-Source-Einwilligungsmanager, den wir selbst unter c15t.jrxmedia.de auf Servern in Deutschland betreiben. Dein Browser erreicht ihn nur über diese Website: Unser Server leitet die Anfragen ohne deine IP-Adresse über Cloudflare weiter (Abschnitt 8). Um deine Entscheidung zu dokumentieren, speichert c15t eine zufällige Kennung, die erlaubten und abgelehnten Kategorien, den Zeitpunkt, die Website, die Version der Einwilligungsabfrage und den User-Agent deines Browsers (Name und Version von Browser und Betriebssystem).

Damit das Banner nicht auf jeder Seite wiederkommt, legt c15t deine Auswahl und die Kennung auch in deinem Browser ab: im Cookie c15t für ein Jahr und unter demselben Namen im lokalen Speicher des Browsers, bis du sie dort löschst. Eine Auswahl, die noch nicht übertragen werden konnte, wartet dort (c15t-pending-consent-submissions oder c15t:pending-consent-sync) und wird beim nächsten Seitenaufruf übertragen und entfernt.

Das Speichern und Auslesen deiner Auswahl auf deinem Gerät ist unbedingt erforderlich, um sie zu beachten (§ 25 Abs. 2 Nr. 2 TDDDG). Den Nachweis einer Einwilligung speichern wir auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO. Den Nachweis einer Ablehnung zu speichern und deine Browserangaben für das Banner weiterzugeben, beruht auf Art. 6 Abs. 1 lit. f DSGVO: unserem berechtigten Interesse, Einwilligungen zuverlässig abzufragen und zu belegen, dass wir deine Entscheidung beachten. Wir löschen jeden Nachweis vier Jahre nach seiner Erstellung: Eine Auswahl gilt ein Jahr, und Ansprüche dazu können noch drei weitere Jahre geltend gemacht und Bußgelder verhängt werden (§ 195 BGB, § 31 OWiG).

7. Webanalyse (Matomo)

Nur wenn du „Analyse“ erlaubst, lädt diese Website Matomo, ein Open-Source-Analysewerkzeug, das wir selbst unter analytics.jrxmedia.de auf Servern in Deutschland betreiben. Damit sehen wir, welche Seiten und welche unserer Posts Menschen auf die Seite und zur Warteliste bringen, und können beides verbessern. Die Daten gehen weder an die Hersteller von Matomo noch an Werbenetzwerke.

Matomo erfasst die aufgerufenen Seiten, Zeitpunkt und Dauer deines Besuchs, die Website, von der du gekommen bist, Klicks auf Links zu anderen Websites, eine Eintragung in die Warteliste (ohne deine Adresse) sowie technische Angaben wie Browser, Betriebssystem, Gerätetyp, Bildschirmgröße und Sprache. Bist du über einen unserer Kampagnen-Links gekommen (zum Beispiel „ig-bio“ aus unserer Instagram-Bio), ordnet Matomo deinen Besuch dieser Kampagne zu. Wie alles in diesem Abschnitt geschieht das nur mit deiner Einwilligung. Deine IP-Adresse wird vor dem Speichern um zwei Bytes gekürzt. Adressparameter, die oft personenbezogene Daten enthalten (Namen, E-Mail-Adressen, Telefonnummern und Ähnliches), werden entfernt, bevor eine Seitenadresse an Matomo geht. Rohdaten von Besuchen löschen wir nach sechs Monaten; danach bleiben nur zusammengefasste Berichte.

Matomo setzt diese Cookies:

• _pk_id erkennt deinen Browser bei späteren Besuchen an einer zufälligen Kennung wieder, für 13 Monate,
• _pk_ses hält den laufenden Besuch zusammen, für 30 Minuten,
• _pk_ref merkt sich die Website oder den Kampagnen-Link, über den du gekommen bist, für 6 Monate; es wird nur gesetzt, wenn du von einer anderen Website oder über einen Kampagnen-Link kommst.

Rechtsgrundlage für das Speichern und Auslesen von Informationen auf deinem Gerät ist § 25 Abs. 1 TDDDG, für die anschließende Verarbeitung Art. 6 Abs. 1 lit. a DSGVO: deine Einwilligung. Du kannst sie jederzeit unter „Datenschutz-Einstellungen“ unten auf jeder Seite widerrufen. Der Widerruf stoppt Matomo, löscht seine _pk_-Cookies und lädt die Seite neu; was vorher erfasst wurde, bleibt davon unberührt. Matomo setzt dann das Cookie mtm_consent_removed, das nur den Widerruf vermerkt (§ 25 Abs. 2 Nr. 2 TDDDG). Wir löschen es gleich nach dem Neuladen der Seite, weil der Einwilligungsmanager deine Auswahl ohnehin speichert. Erlaubst du die Analyse nie, wird Matomo gar nicht geladen und setzt keine Cookies.

8. Cloudflare

Der Einwilligungsmanager (Abschnitt 6) und Matomo (Abschnitt 7) sind über das Netzwerk der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, erreichbar. Cloudflare leitet die Anfragen an die Server der beiden Dienste weiter und schützt sie vor Angriffen. Anfragen an den Einwilligungsmanager schickt unser Server ohne deine IP-Adresse an Cloudflare; bei Matomo verbindet sich dein Browser direkt mit Cloudflare, sobald du die Analyse erlaubst. Auch E-Mails an unsere Adresse laufen über Cloudflare: Das Email Routing leitet sie an unser Postfach weiter (Abschnitt 1). Cloudflare verarbeitet dabei, was dafür nötig ist (beim Einwilligungsmanager den Inhalt der Anfragen und technische Angaben deines Browsers, bei Matomo zusätzlich deine IP-Adresse; bei E-Mails deine Adresse, deine Nachricht und ihre Zustellangaben), möglicherweise auch in den USA, und zwar als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert, für das die EU-Kommission einen Angemessenheitsbeschluss erlassen hat (Art. 45 DSGVO). Rechtsgrundlage ist beim Einwilligungsmanager unser berechtigtes Interesse, Einwilligungen zuverlässig abzufragen und nachzuweisen (Art. 6 Abs. 1 lit. f DSGVO), bei Matomo deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) und bei E-Mails unser berechtigtes Interesse, sie zu empfangen und zu beantworten (Art. 6 Abs. 1 lit. f DSGVO).

9. Links zu anderen Diensten

Wir verlinken auf Instagram und TikTok, binden aber nichts von dort ein. Sie erfahren also nichts von deinem Besuch, solange du keinem Link folgst. Danach gelten deren eigene Datenschutzerklärungen.

10. Deine Rechte

Du hast das Recht auf:

• Auskunft über die Daten, die wir über dich gespeichert haben (Art. 15 DSGVO),
• Berichtigung (Art. 16) und Löschung (Art. 17),
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20),
• Widerspruch gegen Verarbeitungen auf Grundlage unserer berechtigten Interessen (Art. 21),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Dein Widerspruchsrecht: Verarbeiten wir deine Daten auf Grundlage unserer berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO), kannst du dem jederzeit aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben (Art. 21 Abs. 1 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Schreib uns an hello@getsmoosh.app. Für die Warteliste kannst du dir deine Daten auf der Seite hinter dem Abmeldelink auch selbst per E-Mail schicken lassen oder sie löschen; eine vollständige Kopie samt Nachweis deiner Bestätigung bekommst du per E-Mail an uns. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO).

11. Automatisierte Entscheidungen

Wir treffen keine ausschließlich automatisierten Entscheidungen, auch nicht durch Profiling, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO).

12. Änderungen

Wir passen diese Erklärung an, wenn sich Website oder Warteliste ändern. Die aktuelle Fassung steht immer auf dieser Seite.