Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist die im Impressum genannte Person.

2. Erhobene Daten

Wir erheben nur Daten, die für den Betrieb der Plattform unbedingt notwendig sind:

• IP-Adresse — wird beim Absenden einer Bewertung, Meldung oder Anfrage in der Datenbank gespeichert, um Missbrauch zu verhindern (Rate-Limiting). Die IP-Adresse wird nicht veröffentlicht und nach 90 Tagen automatisch gelöscht. Für kurzfristige Zugriffskontrollen (z. B. wiederholte Fehlversuche) werden IP-Adressen vorübergehend im Arbeitsspeicher gehalten; diese Daten werden nicht persistiert und verfallen spätestens mit dem Server-Neustart.
• E-Mail-Adresse (OTP-Verifizierung, Rückfragen) — beim Absenden einer Bewertung, Meldung, Korrektur oder ähnlichen Aktionen wird eine E-Mail-Adresse zur Einmalcode-Verifizierung (OTP) abgefragt und an Brevo übermittelt (siehe Abschnitt 4). Wir speichern zusätzlich einen kryptografischen Hash (HMAC-SHA-256) zur Erkennung von Mehrfachbewertungen und eine mit AES-256-GCM symmetrisch verschlüsselte Fassung der Adresse. Die verschlüsselte Fassung dient ausschließlich dazu, Sie bei begründeten Rückfragen zu einer Meldung um eine Stellungnahme zu bitten (siehe Abschnitt 5) sowie eine Löschung Ihrer Bewertung auf Wunsch zu ermöglichen. Der Schlüssel liegt getrennt von der Datenbank; ein Zugriff auf die Klartextadresse ist nur einem sehr eng begrenzten Personenkreis (Admin/Betreiber) im Rahmen des Meldeverfahrens möglich.
• Bewertungsinhalte — Sternebewertungen, Ja/Nein-Antworten und Freitexte werden vertraulich gespeichert und veröffentlicht.
• Serverlogs — der Webserver protokolliert Zugriffe (IP, Zeitstempel, aufgerufene URL, HTTP-Statuscode) für technische Fehleranalyse. Die Logs sind in ihrer Größe begrenzt, werden fortlaufend rotiert und dabei automatisch überschrieben; spätestens beim nächsten Deployment der Anwendung werden sie vollständig gelöscht.

3. Kontaktformular

Wenn Sie uns über das Kontaktformular schreiben, werden Name, E-Mail-Adresse, Betreff und Nachricht per E-Mail an uns übermittelt. Der Versand erfolgt verschlüsselt über den E-Mail-Dienst Brevo (Brevo SAS, 7 rue de Madrid, 75008 Paris, Frankreich). Dabei wird Ihre E-Mail-Adresse an Brevo übertragen, damit die Nachricht zugestellt werden kann. Die Daten werden ausschließlich zur Bearbeitung Ihrer Anfrage verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

4. E-Mail-Versand über Brevo (Auftragsverarbeiter)

Für den transaktionalen E-Mail-Versand setzen wir Brevo SAS (7 rue de Madrid, 75008 Paris, Frankreich) als Auftragsverarbeiter gemäß Art. 28 DSGVO ein. Brevo ist ein europäisches Unternehmen mit Sitz in Frankreich und verarbeitet Daten ausschließlich innerhalb der EU/des EWR. Mit Brevo besteht ein Auftragsverarbeitungsvertrag. Über Brevo werden insbesondere Einmalcodes (OTP) für die Verifizierung bei Bewertungen, Meldungen und Korrekturen sowie Nachrichten aus dem Kontaktformular versandt. Dabei wird die eingegebene E-Mail-Adresse im Klartext an Brevo übermittelt, damit die E-Mail zugestellt werden kann. Die übermittelten Daten werden von Brevo nur zum Zweck der Zustellung verarbeitet und nicht für eigene Zwecke genutzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer zuverlässigen E-Mail-Zustellung). Weitere Informationen finden Sie in der Datenschutzerklärung von Brevo unter brevo.com/de/legal/privacypolicy.

5. Meldungen und Stellungnahmen

Wenn eine abgegebene Bewertung von einer Einrichtung oder Dritten als rechtswidrig, unwahr oder persönlichkeitsverletzend gemeldet wird, prüfen wir den Vorgang. In begründeten Fällen kontaktieren wir die Verfasserin bzw. den Verfasser der Bewertung einmalig per E-Mail (Brevo, siehe Abschnitt 4) unter der beim Absenden angegebenen Adresse mit der Bitte um eine Stellungnahme innerhalb einer angemessenen Frist (in der Regel 10 Tage). Übermittelt werden dabei ausschließlich die zur Beurteilung der Meldung erforderlichen Angaben; die Identität der meldenden Partei wird nicht ohne Einwilligung offengelegt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem rechtskonformen, ausgewogenen Meldeverfahren nach dem „Prüfpflicht“-Modell des BGH sowie am Persönlichkeits- und Reputationsschutz der gemeldeten Einrichtung). Sie können der Kontaktaufnahme jederzeit widersprechen (siehe Abschnitt 14); ohne Stellungnahme entscheiden wir anhand der uns vorliegenden Informationen.

6. Webanalyse mit Umami (cookielos)

Diese Website verwendet Umami, eine Open-Source-Software zur Webanalyse, die wir selbst betreiben (umami.sotec.app). Dabei werden keine Cookies gesetzt und keine Informationen im Browser gespeichert. Es werden ausschließlich anonyme Nutzungsdaten erfasst (aufgerufene Seiten, Verweildauer, Herkunftsseite, Browser, Betriebssystem, Gerätetyp, grobe Region sowie ausgelöste Ereignisse wie das Absenden einer Bewertung). Die IP-Adresse wird nicht gespeichert; eine Rückführung auf einzelne Personen ist nicht möglich. Da Umami selbst gehostet wird, werden keine Daten an Dritte übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung unseres Angebots).

7. Adresssuche (OpenStreetMap Nominatim)

Beim Eintragen einer neuen Einrichtung wird die eingegebene Adresse zur automatischen Vervollständigung an den Geocoding-Dienst Nominatim von OpenStreetMap (nominatim.openstreetmap.org) übermittelt. Dabei werden nur die eingetippten Adressbegriffe übertragen – keine personenbezogenen Daten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Benutzerfreundlichkeit).

8. Cookies, lokaler Speicher und Tracking

Technisch notwendige Cookies und Speichereinträge setzen wir ohne Einwilligung, weil sie für die von Ihnen gewünschte Funktion erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG; Verarbeitung nach Art. 6 Abs. 1 lit. f DSGVO).

• Anmelde-Cookies (nur bei Anmeldung, siehe Abschnitt 9): Session-Cookie authjs.session-token, CSRF-Schutz-Cookie authjs.csrf-token und authjs.callback-url. Sie sind nicht auslesbar durch Skripte (Ausnahme: Callback-URL) und werden beim Abmelden bzw. nach Ablauf der Sitzung (höchstens 30 Tage) gelöscht. Das Session-Cookie gilt für kitabewertungen.de und dessen Subdomains.
• Lokaler Speicher (localStorage): die Theme-Einstellung (Hell-/Dunkel-Modus), Ihre Merkliste, solange Sie nicht angemeldet sind, sowie Entwürfe angefangener Bewertungen. Diese Daten bleiben auf Ihrem Gerät und werden nicht an uns übertragen.
• Sitzungsspeicher (sessionStorage): ein von Ihnen freigegebener Standort für die Umkreissuche sowie ein Sitzungstoken für Kommentare. Die Einträge werden beim Schließen des Tabs gelöscht.

Die Webanalyse über Umami erfolgt cookielos (siehe Abschnitt 6). Werbe- oder Tracking-Cookies setzen wir nicht. Cookies von Disqus werden nur gesetzt, wenn Sie die Kommentare unter einem Blogartikel ausdrücklich laden (siehe Abschnitt 10).

9. Nutzerkonto und Anmeldung

Für Funktionen wie das Schwarze Brett, die Merkliste oder Benachrichtigungen können Sie ein Nutzerkonto anlegen. Dabei verarbeiten wir:

• E-Mail-Adresse, optional einen Namen und bei Registrierung mit Passwort einen Passwort-Hash (bcrypt). Das Passwort selbst wird nicht im Klartext gespeichert.
• Ihre Rolle im System, den Status der E-Mail-Verifizierung sowie, falls aktiviert, die Zwei-Faktor-Authentifizierung. Einmalcodes werden für die Bestätigung von Anmeldung und Verifizierung kurzzeitig gespeichert und per Brevo versandt (siehe Abschnitt 4).
• Inhalte, die Sie in Ihrem Konto erstellen: Inserate im Schwarzen Brett, Favoriten und Merklisten-Einträge.
• Falls Sie Push-Benachrichtigungen im Browser erlauben: die vom Browser bereitgestellten Abonnementdaten (Endpunkt und Schlüssel). Sie können das Abonnement jederzeit im Browser widerrufen.

Sie können sich alternativ mit Ihrem Google- oder Facebook-Konto anmelden. Dabei leitet Ihr Browser Sie zum jeweiligen Anbieter (Google Ireland Limited bzw. Meta Platforms Ireland Limited) weiter. Nach Ihrer Bestätigung erhalten wir von dort Ihre E-Mail-Adresse und Ihren öffentlichen Profilnamen. Für die Datenverarbeitung beim jeweiligen Anbieter gilt dessen Datenschutzerklärung. Wenn Sie diese Anmeldung nicht nutzen, findet keine Verbindung zu Google oder Facebook statt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des von Ihnen gewünschten Nutzerkontos). Wir speichern die Kontodaten, solange das Konto besteht; nach der Löschung des Kontos werden sie entfernt, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Eine Löschung können Sie jederzeit verlangen (siehe Abschnitt 14).

10. Kommentare unter Blogartikeln (Disqus)

Unter unseren Blogartikeln können Sie Kommentare über den Dienst Disqus der Disqus, Inc. (USA) lesen und schreiben. Disqus wird nicht automatisch geladen. Erst wenn Sie auf „Kommentare laden (Disqus)“ klicken, baut Ihr Browser eine Verbindung zu den Servern von Disqus auf. Dabei werden insbesondere Ihre IP-Adresse, Browserangaben, die aufgerufene Seite und gegebenenfalls Ihre Anmeldedaten bei Disqus übermittelt, und Disqus setzt Cookies und vergleichbare Technologien. Disqus verarbeitet diese Daten als eigenständig Verantwortlicher; dabei werden Daten in die USA übermittelt.

Rechtsgrundlage ist Ihre Einwilligung, die Sie mit dem Klick auf den Button erteilen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); sie umfasst auch die Übermittlung in die USA (Art. 49 Abs. 1 lit. a DSGVO). Ihre Auswahl wird nicht gespeichert: Bei jedem Seitenaufruf ist Disqus zunächst wieder deaktiviert. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie die Kommentare nicht mehr laden und die Cookies von Disqus in Ihrem Browser löschen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Weitere Informationen finden Sie in der Datenschutzerklärung von Disqus unter help.disqus.com.

11. Einrichtungsdaten (OpenStreetMap)

Die Einrichtungsdaten stammen ursprünglich aus OpenStreetMap und werden auf unseren Servern gespeichert. Beim Aufruf einer Einrichtungsseite findet keine Verbindung zu OpenStreetMap-Servern statt.

12. Benachrichtigung von Einrichtungen über Bewertungen

Wird eine Bewertung zu einer Einrichtung veröffentlicht, informieren wir die Einrichtung einmalig per E-Mail darüber. Die E-Mail-Adresse lesen wir dazu automatisiert aus dem Impressum bzw. der Kontaktseite der öffentlich zugänglichen Website der Einrichtung aus (Art. 14 DSGVO). Wir verwenden nur Adressen, deren Domain zur Website der Einrichtung passt. Gespeichert werden die E-Mail-Adresse, die Seite, auf der sie gefunden wurde, sowie Zeitpunkte von Suche, Versand und gegebenenfalls Abmeldung. Enthält die Adresse einen Namen (z. B. der Leitung), wird auch dieser verarbeitet.

Zweck ist, der Einrichtung Kenntnis von Bewertungen zu geben, damit sie unzutreffende Angaben beanstanden oder Stellung nehmen kann (siehe Abschnitt 5). Die E-Mail enthält keine Werbung. Der Versand erfolgt über Brevo (siehe Abschnitt 4).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem fairen Bewertungsverfahren und am Reputationsschutz der Einrichtung). Sie können jederzeit widersprechen (Art. 21 DSGVO), über den Abmeldelink in der E-Mail oder per E-Mail an mail@kitabewertungen.de. Danach löschen wir die E-Mail-Adresse und die Fundstelle; gespeichert bleibt nur ein Vermerk ohne personenbezogene Daten, damit die Adresse nicht erneut ausgelesen wird. Ohne Widerspruch speichern wir die Adresse, solange die Einrichtung auf kitabewertungen.de gelistet ist.

13. Hosting (Hetzner)

Diese Website wird auf einem virtuellen Server der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) betrieben. Der Server steht in einem Rechenzentrum in Deutschland; Ihre Daten werden damit ausschließlich innerhalb der Europäischen Union verarbeitet. Webanwendung, Datenbank und Webanalyse (siehe Abschnitt 6) laufen auf diesem Server und werden von uns selbst mit der Open-Source-Software Coolify verwaltet; eine Übermittlung an weitere Hosting-Anbieter findet nicht statt. Dabei werden technisch notwendige Verbindungsdaten (insbesondere IP-Adresse, Zeitstempel, aufgerufene URL, HTTP-Statuscode) verarbeitet, um die Website bereitzustellen. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb einer erreichbaren Website). Weitere Informationen finden Sie in der Datenschutzerklärung von Hetzner unter hetzner.com/de/legal/privacy-policy.

14. Ihre Rechte & Datenlöschung (Art. 15–21 DSGVO)

Sie haben das Recht auf:

• Auskunft über die zu Ihrer Person gespeicherten Daten
• Berichtigung unrichtiger Daten
• Löschung Ihrer Daten
• Einschränkung der Verarbeitung
• Widerspruch gegen die Verarbeitung
• Beschwerde bei einer Datenschutzbehörde

Da Bewertungen vertraulich abgegeben werden, ist eine nachträgliche Zuordnung in der Regel nicht möglich. Wenn Sie dennoch eine Auskunft oder Löschung Ihrer Daten wünschen, teilen Sie uns bitte Datum, Uhrzeit und ggf. Ihre damalige IP-Adresse mit. Schreiben Sie dazu an mail@kitabewertungen.de. Wir bearbeiten Ihre Anfrage innerhalb von 30 Tagen. Für Ihr Nutzerkonto (siehe Abschnitt 9) können Sie Auskunft, Berichtigung und Löschung über dieselbe Adresse verlangen; hier ist eine Zuordnung über Ihre Konto-E-Mail-Adresse möglich.

15. Rechtsgrundlage

IP-Adressen, die beim Absenden von Bewertungen, Meldungen oder Anfragen in der Datenbank gespeichert werden, verarbeiten wir auf Grundlage unseres berechtigten Interesses an der Sicherheit und Missbrauchsprävention (Art. 6 Abs. 1 lit. f DSGVO); sie werden nach 90 Tagen automatisch gelöscht. Kurzfristig im Arbeitsspeicher gehaltene IP-Daten (z. B. für Zugangssperren) werden nicht persistiert. Die Verarbeitung der Bewertungsinhalte sowie der Kontaktanfragen erfolgt auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie beim Absenden des jeweiligen Formulars erteilen.