Datenschutzerklärung

Wer ist verantwortlich?

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist der im Impressum genannte Anbieter:

Kowalczyk GmbH
vertreten durch den Geschäftsführer Philipp Kowalczyk
Silberschlag 23
31789 Hameln
Deutschland

Anfragen zum Datenschutz gehen an datenschutz@pricepicker.de.

Ein Datenschutzbeauftragter ist nicht bestellt: Der Dienst wird innerhalb der Kowalczyk GmbH von einer einzelnen Person betrieben, die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG liegen nicht vor.

Was passiert, wenn Sie die Seite nur aufrufen?

Jeder Aufruf wird vom Webserver protokolliert. Dabei fallen an: IP-Adresse, Datum und Uhrzeit, die angeforderte Adresse, der HTTP-Statuscode, die übertragene Datenmenge sowie die von Ihrem Browser gemeldete Kennung (User-Agent) und – falls übermittelt – die zuvor besuchte Seite.

Zweck ist der technische Betrieb: Auslieferung der Seite, Fehlersuche und Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren und störungsfreien Betrieb. Die Protokolle werden nicht mit einem Konto zusammengeführt und nicht ausgewertet, um einzelne Besucher wiederzuerkennen.

Die Protokolle werden spätestens nach 14 Tagen gelöscht. Darauf sind sowohl die Rotation des Webservers als auch die des Systemprotokolls eingestellt; ältere Einträge verfallen automatisch.

Welche Cookies setzt der Dienst?

Genau eines, und nur nach der Anmeldung: ein Sitzungs-Cookie namens session. Es enthält die Kennung Ihres Kontos und ein Sicherheits-Token gegen Formularfälschung, ist kryptografisch signiert und läuft nach 14 Tagen ab. Es wird nur an diesen Server gesendet (SameSite=Lax) und im Betrieb ausschließlich über HTTPS übertragen.

Dieses Cookie ist für den Betrieb unbedingt erforderlich – ohne Sitzungskennung gibt es keine Anmeldung. Die Speicherung stützt sich daher auf § 25 Abs. 2 Nr. 2 TDDDG und bedarf keiner Einwilligung; die dahinterliegende Verarbeitung erfolgt nach Art. 6 Abs. 1 lit. b DSGVO.

Es gibt keine Cookies für Reichweitenmessung, Analyse oder Werbung, kein Tracking und keine Einbindung fremder Inhalte: Die Seiten laden ausschließlich Dateien von diesem Server – keine Schriftarten, Karten, Skripte oder Zählpixel von Dritten.

Was speichert ein Konto?

Zu einem Konto gehören Ihre E-Mail-Adresse, ein Prüfwert Ihres Passworts, die Rolle im System, ein Aktiv-Kennzeichen und der Zeitpunkt der Anlage. Das Passwort selbst wird nicht gespeichert, sondern nur ein bcrypt-Hash, aus dem es sich nicht zurückrechnen lässt.

Dazu kommen Ihre Einstellungen zur Benachrichtigung – etwa ob nur Unterbietungen gemeldet werden oder ab welchem Abstand –, die Sie unter „Einstellungen" jederzeit ändern können.

Zweck ist die Erbringung des Dienstes, Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO (Vertrag oder vorvertragliche Maßnahme). Ohne E-Mail-Adresse kann kein Konto geführt werden; die Angabe ist insoweit erforderlich.

Was passiert mit dem, was Sie eintragen?

Sie hinterlegen Adressen öffentlicher Produktseiten, benennen Ihre Artikelgruppen und markieren, welche Händler Ihre eigenen sind. Diese Angaben betreffen Ihr Geschäft, in aller Regel nicht Ihre Person; sie werden verarbeitet, um die Preise abzurufen, zu vergleichen und Ihnen anzuzeigen (Art. 6 Abs. 1 lit. b DSGVO).

Welche Artikel Sie beobachten und welche Händler Sie als Ihre eigenen markiert haben, sieht kein anderer Kunde – jeder Zugriff läuft über eine Prüfung auf Ihr Konto. Die abgerufenen Preisdaten selbst gehören zu einem gemeinsamen Katalog: Trägt ein anderer Kunde später dieselbe Produktadresse ein, greift er auf denselben Preisverlauf zu. Das sind Angaben aus öffentlich sichtbaren Shop-Seiten, keine Daten über Sie.

Welche E-Mails verschickt der Dienst?

Nach jedem Durchlauf – üblicherweise einmal täglich – geht eine Nachricht an die Adresse Ihres Kontos, aber nur, wenn sich bei Ihren Artikeln etwas geändert hat. Inhalt sind Ihre Artikel, deren Preise und Lieferangaben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Die Benachrichtigung ist die Leistung selbst, kein Newsletter. Werbung versenden wir darüber nicht.

Werden Ihre Daten an die beobachteten Shops übermittelt?

Nein. Der Server ruft die Produktseiten selbst ab, so wie es ein Besucher täte. Übermittelt werden dabei die IP-Adresse des Servers und eine Programmkennung – nicht Ihre IP-Adresse, nicht Ihr Name und nicht der Umstand, dass gerade Sie diesen Artikel beobachten.

Wer bekommt die Daten sonst noch?

Der Dienst läuft auf einem Server der netcup GmbH, Karlsruhe, in Deutschland; über deren Mailserver werden auch die Benachrichtigungen versendet und die beiden Postfächer betrieben – das im Impressum genannte allgemeine Kontaktpostfach und das Postfach für Datenschutzanfragen. netcup verarbeitet die Daten ausschließlich weisungsgebunden als Auftragsverarbeiter nach Art. 28 DSGVO.

[TODO: Vertrag zur Auftragsverarbeitung mit netcup abschließen (im Kundenkonto) und diesen Absatz danach bestätigen.]

Eine Übermittlung in Länder außerhalb der EU findet nicht statt. Weitere Empfänger gibt es nicht; insbesondere werden Daten nicht verkauft und nicht zu Werbezwecken weitergegeben. Ausgenommen bleibt der Fall, dass wir gesetzlich zur Herausgabe verpflichtet sind.

Wie lange wird gespeichert?

Kontodaten und die von Ihnen hinterlegten Artikel bleiben gespeichert, solange das Konto besteht. Löschen Sie einen Artikel, verschwindet er aus Ihrer Liste; die Preishistorie der zugehörigen öffentlichen Produktseite bleibt im gemeinsamen Katalog, sofern ein anderes Konto sie weiter beobachtet.

Von der Datenbank wird täglich eine Sicherung angelegt, die nach 14 Tagen automatisch gelöscht wird. Gelöschte Daten können deshalb bis zu 14 Tage in Sicherungen fortbestehen. Bestehen handels- oder steuerrechtliche Aufbewahrungspflichten für Rechnungsdaten, gehen diese einer Löschung vor.

Welche Rechte haben Sie?

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Herausgabe Ihrer Daten in einem gängigen Format (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die auf ein berechtigtes Interesse gestützt sind (Art. 21 DSGVO)

Eine Selbstbedienung für die Kontolöschung gibt es derzeit nicht: Eine E-Mail an datenschutz@pricepicker.de genügt, das Konto und die daran hängenden Beobachtungen werden dann gelöscht.

Unabhängig davon können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Zuständig ist die Behörde des Bundeslandes, in dem der Anbieter seinen Sitz hat – für Hameln ist das Niedersachsen:

Der Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5
30159 Hannover
Telefon 0511 120-4500
poststelle@lfd.niedersachsen.de

Gibt es automatisierte Entscheidungen über Sie?

Nein. Der Dienst vergleicht Preise und verschickt Benachrichtigungen; es findet keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO und kein Profiling statt.

Änderungen dieser Erklärung

Ändert sich der Dienst, wird diese Erklärung nachgezogen. Maßgeblich ist die hier veröffentlichte Fassung mit dem unten genannten Stand.