Datenschutzerklärung

Stand: 22. Mai 2026 (Sprint 113)

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne des Art. 4 Nr. 7 DSGVO:

Nuancebit GmbH, Brahmsstraße 4, 37085 Göttingen, vertreten durch den Geschäftsführer Cornelius Brosche. Kontakt: info@nuancebit.com, +49 551 40135400. Weitere Angaben siehe Impressum.

2. Cookies und ähnliche Technologien

Wir setzen folgende Cookies. Notwendige Cookies werden gemäß § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung gesetzt, weil sie für den von dir angeforderten Dienst (Anmeldung, Sitzung, Merkliste) unbedingt erforderlich sind. Das Komfort-Cookie sr_last_visit_at wird ausschließlich nach deiner Einwilligung über den Cookie-Banner gesetzt (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).

Du kannst deine Einwilligung jederzeit über den Link „Cookie-Einstellungen" im Footer widerrufen (Art. 7 Abs. 3 DSGVO). Alle Cookies kannst du zusätzlich in deinem Browser löschen.

Wir protokollieren deine Entscheidung im Cookie-Banner in der Tabelle user_consent_log mit Zeitstempel und User-Agent. Diese Speicherung dient ausschließlich dem Nachweis der Einwilligung gegenüber der Aufsichtsbehörde und wird mit Löschung deines Kontos automatisch entfernt.

3. Telegram-Bot

Wenn du den Bot @schnappradar_bot mit /start aktivierst, erstellen wir einen Benutzer­datensatz, damit wir dir personalisierte Deal-Nachrichten zustellen können. Wir verarbeiten folgende Telegram-Daten:

• Telegram-User-ID — zwingend erforderlich zur Zustellung von DMs. Eine Pseudonymisierung ist nicht möglich, weil die ID die Adressierungs-Primitive der Telegram-Plattform ist.
• Telegram-Username (falls vorhanden) — zur Identifikation in Logs und im Account-Linking mit der Website.
• Sprach-Tag (language_code) — um Bot-Antworten anzupassen.
• Anzeigename (Vor-/Nachname) — für persönliche Anrede in DMs.

Reaktionen auf Bot-Nachrichten (Direktnachricht). Wenn du auf eine persönliche Deal-Nachricht mit 👍 oder 👎 reagierst, verarbeiten wir deine Reaktion zur Verbesserung des Bewertungsmodells (Scorer, siehe § 6). Gespeichert werden deine Telegram-User-ID (interner User-Datensatz), die Deal-ID und der Zeitstempel. Du kannst deine Reaktion jederzeit entfernen (Reaktion erneut antippen) oder dein Konto über /delete_account confirm löschen — die Reaktion wird im selben 30-Tage-Soft-Delete-Fenster entfernt.

Reaktionen auf Kanal-Beiträge. Reaktionen unter Beiträgen im öffentlichen Kanal @schnappradar sind durch Telegram konstruktionsbedingt anonym — uns erreicht ausschließlich die aggregierte Anzahl der Reaktionen pro Emoji pro Beitrag, ohne Bezug zu einzelnen Nutzer*innen. Diese aggregierten Zahlen verwenden wir zur groben Reichweitenmessung und zur Verbesserung des Bewertungsmodells. Eine Identifikation einzelner Personen findet weder technisch statt noch ist sie über die Telegram Bot API möglich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Durch das Senden von /start erklärst du, dass du den Dienst nutzen möchtest; die genannten Daten sind für die Leistungserbringung erforderlich.

Speicherdauer: bis zur Ausführung von /delete_account confirm(Soft-Delete sofort; Hard-Delete nach 30 Tagen, parallel zur Backup-Rotation).

Telegram als eigenständiger Verantwortlicher. Der Bot ist ausschließlich über die Telegram-App / -Clients erreichbar. Telegram FZ LLC (Vereinigte Arabische Emirate) verarbeitet deine Nachrichten und Metadaten unabhängig von uns als eigene verantwortliche Stelle. Es gilt zusätzlich die Telegram-Datenschutzerklärung.

4. Anmeldung auf der Website

Für die Website-Funktionen (Kommentare, persönliche Merkliste, Filter-Synchronisation) setzen wir Better-Auth ein. Du kannst dich entweder per Google-Konto oder per E-Mail und Passwort anmelden.

4a. Anmeldung per Google

Beim Google-Login werden folgende Datenflüsse ausgelöst:

• Google fragt deine Einwilligung für die Standard-Scopes OpenID, email und profile ab.
• Google übermittelt uns nach erfolgreicher Anmeldung: eindeutige Google-User-ID (sub), E-Mail-Adresse, E-Mail-Verifizierungs-Flag, Profilname und Profilbild-URL.
• Wir speichern in unserer Datenbank: E-Mail, E-Mail-Verifizierungs-Flag (emailVerified), Zeitpunkt der Verifizierung (emailVerifiedAt), Anzeigename und Profilbild-URL (Tabelle users); Google-User-ID, OAuth-Zugriffs-, Refresh- und ID-Token sowie Scope (Tabelle auth_accounts); Sitzungs-Token mit Ablaufdatum, IP-Adresse und User-Agent (Tabelle auth_sessions); Verifikationscodes für künftige Login-Magic-Links (Tabelle auth_verifications).
• Speicherdauer: Sitzungs-Token werden nach 30 Tagen verworfen. Account-Datensätze bestehen bis zur Account-Löschung (Datenbank-CASCADE auf alle vier Auth-Tabellen).

Abgrenzung Bot-spezifische Felder. Die Tabelle users enthält weitere Spalten (z. B. Filter-Einstellungen, Ruhezeiten, Größen, Geschlechter, Telegram-User-ID), die ausschließlich belegt werden, wenn du den Telegram-Bot über /verbinden mit deinem Web-Konto verknüpfst. Sie entstehen nicht durch die reine Google-Anmeldung. Die Bot-Datenflüsse beschreibt § 3.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — du forderst Login + Personalisierung an).

Google als eigenständiger Verantwortlicher für den OAuth-Handshake selbst. Es gilt zusätzlich die Datenschutzerklärung von Google. Etwaige Datenübermittlung in Drittländer durch Google ist über EU-Standardvertragsklauseln und das EU-US Data Privacy Framework abgesichert.

4b. Anmeldung per E-Mail und Passwort

Alternativ kannst du dich mit deiner E-Mail-Adresse und einem von dir gewählten Passwort registrieren (mindestens 10 Zeichen). Beim Login werden folgende Datenflüsse ausgelöst:

• Wir speichern in unserer Datenbank: deine E-Mail-Adresse, einen kryptographischen Hash deines Passworts (bcrypt — das Klartext-Passwort wird zu keinem Zeitpunkt gespeichert), das Verifizierungs-Flag und den Zeitpunkt der Verifizierung (Tabelle users); Provider-Eintrag mit Passwort-Hash (Tabelle auth_accounts); Sitzungs-Token mit Ablaufdatum, IP-Adresse und User-Agent (Tabelle auth_sessions); Verifizierungs- und Passwort-Reset-Codes (Tabelle auth_verifications).
• Wir versenden die Verifizierungs-Mail und (auf Anforderung) die Passwort-Reset-Mail über Brevo (Sendinblue SAS, 7 rue de Madrid, 75008 Paris, Frankreich). Brevo verarbeitet hierfür ausschließlich deine E-Mail-Adresse und den Mail-Inhalt. Es besteht ein Auftrags­verarbeitungs­vertrag nach Art. 28 DSGVO; Datenstandorte ausschließlich in der EU (OVH Frankreich/Deutschland und Google Cloud Belgien) — keine Drittland-Übermittlung.
• Speicherdauer: Sitzungs-Token werden nach 30 Tagen verworfen; E-Mail-Adresse und Passwort-Hash bestehen bis zur Account-Löschung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

5. Empfänger und Auftragsverarbeiter

Wir geben deine Daten an folgende Stellen weiter:

6. Personalisierung, Bewertungen und Modell-Verbesserung

Schnappradar ist ein personalisierter Dienst. Wir verarbeiten zwei Arten von Daten, um dir nur passende Deals zu zeigen — und behandeln sie rechtlich getrennt, weil sie unterschiedliche Grundlagen haben.

6a. Personalisierung über deine ausdrücklichen Filter-Einstellungen

Im Onboarding-Assistenten und unter Mini App → Profil sowie unter Website → Konto setzt du selbst, welche Deals dich erreichen sollen. Wir verarbeiten dabei ausschließlich:

• Kategorie-Auswahl (Gruppen wie Mode-Herren, Mode-Damen, Tech, Haushalt …)
• Lieblings-Marken („Love-Marken" — Whitelist)
• Geblockte Marken („Brands-Exclude" — Blacklist)
• Wunsch-Wörter / Schlüsselwörter (Keyword-Liste, z. B. „mtb", „ltb jeans")
• Geschlechter, Konfektions­größen, Schuh­größen, Hosen-W/L, Kinder-Größen
• Preisband (min / max), Mindest-Rabatt
• Ruhezeiten, maximale DMs pro Tag, Follow-up-Schalter

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Diese Filter sind die Leistung, die du beim Anmelden bestellst — ohne sie könnten wir dir keinen personalisierten Deal-Strom liefern.

Speicherdauer: bis du sie änderst oder dein Konto löschst. Recht zur Berichtigung: du änderst alle Werte jederzeit selbst in der Mini App, im Web-Konto oder über die Bot-Befehle /filter, /wunsch, /quiet_hours.

6b. Bewertungen, Reaktionen, Klicks und Modell-Verbesserung

Zusätzlich zur ausdrücklichen Filterung erfassen wir Verhaltens-Signale:

• 👍/👎-Reaktionen auf Bot-Direktnachrichten (per-User; Tabelle deal_reactions)
• 👍/👎-Reaktionen unter Beiträgen im öffentlichen Kanal — aggregiert, ohne Bezug zu einzelnen Nutzer*innen (konstruktionsbedingt durch Telegram Bot API; vgl. § 3 Telegram-Bot)
• Klicks auf Deal-CTAs (welcher Deal wann angeklickt wurde — keine Mouse-Bewegung, keine Scroll-Tiefe, keine Verweildauer)
• Aus diesen Signalen abgeleitete Modell-Inputs für die Reihenfolge-Optimierung und zukünftige Empfehlungen

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Wir haben den drei-stufigen Test nach EDPB Opinion 28/2024 vom 17.12.2024 durchgeführt:

1. Zweck — Wir wollen die Reihenfolge angezeigter Deals individuell optimieren, die Anzahl irrelevanter Benachrichtigungen reduzieren und das Bewertungs­modell fortlaufend verbessern.
2. Erforderlichkeit — Weniger eingriffsintensive Mittel (statische Heuristiken, rein demografische Segmente) wurden geprüft und sind dokumentiert für unseren Anwendungsfall ungeeignet, weil sie die Qualität der Empfehlungen messbar verschlechtern.
3. Abwägung — Wir setzen folgende Schutzmaßnahmen ein, sodass deine Interessen überwiegen können: Pseudonymisierung der User-ID beim Modell-Training, keine Weitergabe an Dritte, keine Verwendung für Werbe-Targeting, kein Verkauf von Daten, keine Übermittlung in Drittländer, jederzeitiger Widerspruch (siehe unten).

Logik der Verarbeitung (Art. 13 Abs. 2 lit. f DSGVO). Die Reihenfolge entsteht algorithmisch aus den oben genannten Eingaben (deine Filter­einstellungen aus § 6a, deine Reaktionen, deine Klicks); eine konkrete Modellklasse offenbaren wir hier nicht. Ausgabe ist eine individuelle Reihenfolge der für dich relevantesten Deals — keine Vertrags-, Kredit- oder Preisentscheidung. Es findet keine ausschließlich automatisierte Einzelfall­entscheidung im Sinne des Art. 22 Abs. 1 DSGVO statt; die Verarbeitung hat keine rechtlichen oder vergleichbar erheblichen Auswirkungen.

Widerspruchsrecht (Art. 21 DSGVO). Du kannst der Verarbeitung nach Art. 6 Abs. 1 lit. f jederzeit widersprechen — ganz ohne Account-Löschung:

• in der Mini App unter Profil → „Personalisierung & Modell-Training" den Schalter auf Aus stellen, oder
• im Bot den Befehl /personalisierung_aus senden (reaktivieren mit /personalisierung_an).

Bei Widerspruch erhältst du weiterhin Deals, jedoch ohne ML-gestützte Reihenfolge; deine künftigen Reaktionen und Klicks fließen nicht in das Modell-Training. Bestehende pseudonymisierte Trainings-Snapshots, die deine Daten enthalten, werden nach 24 Monaten gelöscht.

Speicherdauer der Reaktions-, Klick- und Bewertungs-Daten: bis zur Account-Löschung. Trainings-Snapshots: pseudonymisiert, maximal 24 Monate.

Negativ-Klauseln. Wir verkaufen diese Daten nicht, geben sie nicht an Konzern- oder Schwester­unternehmen weiter und übermitteln sie nicht in Drittländer.

7. Aufbewahrungsfristen im Überblick

• Bot-Konto (Telegram-User-ID, Username, Filter): bis /delete_account confirm. Soft-Delete sofort, Hard-Delete nach 30 Tagen.
• Web-Konto (Google-Anmeldung, E-Mail+Passwort): bis zur Account-Löschung. Ablauf der Sitzungs-Token nach 30 Tagen.
• Server-Logfiles (Traefik Access-Logs): maximal 14 Tage.
• Datenbank-Sicherung: Erfolgt durch Hetzner Block-Storage-Snapshots auf Infrastruktur-Ebene (Disaster-Recovery, Hetzner Online GmbH, Falkenstein, Deutschland). Es findet keine Übermittlung der Backup-Daten an einen anderen Standort oder Anbieter statt. Nach Löschung deines Kontos werden die Live-Daten innerhalb von 30 Tagen vollständig entfernt; in den Snapshot-Sets werden deine Daten spätestens mit der nächsten Rotation überschrieben.
• GA4-Reichweitendaten (nur bei Einwilligung): 14 Monate.
• Fehlerberichte (Sentry): 90 Tage rolling retention.
• Aggregierte Ereignisdaten(z. B. „wie oft wurde ein bestimmter Deal geklickt"): Nach Account-Löschung wird die User-ID auf einen Sentinel-Wert anonymisiert; die aggregierten Statistiken bleiben ohne Personenbezug erhalten.
• Cookie-Einwilligungsprotokoll (user_consent_log): bis zur Account-Löschung (Cascade); anonyme Einträge nach 1 Jahr.

8. Deine Rechte

• Auskunft (Art. 15 DSGVO) — sende /export im Bot. Du erhältst alle über dich gespeicherten Daten als JSON-Datei.
• Berichtigung (Art. 16 DSGVO) — Filter, Anzeigename, Profil änderst du jederzeit in der Mini App.
• Löschung (Art. 17 DSGVO) — /delete_account confirm im Bot. Soft-Delete sofort, Hard-Delete nach 30 Tagen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO) — schreibe uns an info@nuancebit.com.
• Datenübertragbarkeit (Art. 20 DSGVO) — /export liefert ein maschinenlesbares JSON-Archiv.
• Widerspruch (Art. 21 DSGVO) — schreibe uns an info@nuancebit.com.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) — Cookie-Banner-Auswahl jederzeit über Cookie-Einstellungen im Footer ändern; den Bot jederzeit mit /stop stummschalten oder blockieren.
• Beschwerde (Art. 77 DSGVO) — bei der zuständigen Aufsichtsbehörde. Für uns: Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, lfd.niedersachsen.de.

9. Datensicherheit

Datenübertragung erfolgt verschlüsselt (TLS 1.3). Datenbank- und Datei-Backups liegen verschlüsselt am Ruheort auf demselben deutschen Server. Zugriff auf Produktionsdaten ist ausschließlich auf den Geschäftsführer beschränkt; ein Audit-Log dokumentiert Verwaltungs­zugriffe. Es findet keine Übermittlung von personenbezogenen Daten an Drittländer ohne geeignete Garantien (Art. 44 ff. DSGVO) statt.

Browser-Cache (Service Worker). Unser Service Worker speichert öffentliche Seiteninhalte (Startseite, Deal-Seiten, Kategorie-Listen) im Stale-While-Revalidate-Muster lokal in deinem Browser-Cache, damit Folge­besuche schneller laden. Personen­bezogene Daten werden dort nicht abgelegt; angemeldete Bereiche (/app/*, /admin/*) sowie API-Aufrufe sind vom Cache ausgenommen. Du kannst den Cache jederzeit über die Einstellungen deines Browsers leeren.

10. Reichweitenmessung mit Google Analytics 4 (Consent Mode v2)

Wir setzen Google Analytics 4 (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; ggf. Google LLC, USA) zur pseudonymen Reichweitenmessung ein.

Was wir verarbeiten: pseudonyme Client-ID, gekürzte IP-Adresse, Geräte- und Browser-Informationen (User-Agent, Sprache, Bildschirm­auflösung), aufgerufene Seiten, Klick-Events (z. B. cta_click, signup).

Consent Mode v2 Basic. Skripte und Cookies von Google Analytics werden ausschließlich nach deiner Einwilligung („alle Cookies akzeptieren" im Cookie-Banner) geladen. Lehnst du ab oder wählst „nur notwendige", werden weder GA4-Skripte geladen noch Pings versendet. Google Signals ist deaktiviert, IP-Anonymisierung ist aktiviert, Aufbewahrungsfrist 14 Monate. Es besteht ein Auftrags­verarbeitungs­vertrag mit Google Ireland Ltd.

Drittland-Übermittlung. Google LLC (USA) ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend setzen wir EU-Standardvertragsklauseln ein.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 25 Abs. 1 TDDDG. Widerruf jederzeit über „Cookie-Einstellungen" im Footer.

11. Server-Logfiles

Beim Aufruf unserer Website erhebt unser Reverse-Proxy (Traefik v3) automatisch Server-Logdaten, die dein Browser an uns übermittelt: IP-Adresse, Datum und Uhrzeit der Anfrage, angefragte URL, HTTP-Statuscode, Referrer-URL, User-Agent. Diese Daten sind erforderlich, damit der Server deine Anfrage beantworten kann, und werden für Betriebs­sicherheit, Missbrauchs­prävention und Fehlerdiagnose ausgewertet.

Speicherdauer: die Logs werden nach maximal 14 Tagen automatisch überschrieben (Docker-Log-Rotation). Eine Zusammenführung mit anderen Datenquellen findet nicht statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

Meldung von Datenschutz­verletzungen (Art. 33 / 34 DSGVO). Bei einer Datenpanne mit Risiko für die Rechte und Freiheiten betroffener Personen melden wir den Vorfall innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde — die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover. Besteht ein hohes Risiko, benachrichtigen wir zusätzlich unverzüglich die betroffenen Personen gemäß Art. 34 DSGVO direkt — bei Telegram-Nutzer*innen per Bot-DM, bei Web-Konten per E-Mail.

12. Amazon-Partnerprogramm und Amazon-Produktbilder

Schnappradar ist Teilnehmer am Amazon-Partnerprogramm der Amazon Europe Core S.à r.l. (Luxemburg). Klickst du auf einen Deal-Link und kaufst anschließend auf amazon.de ein, erhalten wir eine Provision. Hierzu wird dein Klick mit unserer Partner-ID schnappradar-21 sowie einer surface-spezifischen Sub-ID (ascsubtag: tg-pub für Kanal-Beiträge, tg-dm für Direkt­nachrichten, web-org für die Webseite) versehen. Diese Sub-ID enthält keine personen­bezogene Kennung von dir, sondern dient ausschließlich der Performance-Auswertung pro Veröffentlichungs-Kanal. Welche personen­bezogenen Daten Amazon nach deinem Klick erhebt, richtet sich nach der Datenschutzerklärung der Amazon EU S.à r.l. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Provisionsabrechnung).

Amazon-Produktbilder (Hot-Linking). Auf unseren Deal-Seiten binden wir Produktbilder direkt vom Amazon-Server m.media-amazon.com ein. Beim Abruf dieser Bilder übermittelt dein Browser technisch zwingend deine IP-Adresse sowie ggf. Referrer- und User-Agent-Header an Amazon. Wir haben darauf keinen Einfluss; das Verhalten ist durch die Nutzungsbedingungen des Amazon-Partnerprogramms vorgegeben (Caching ist dort untersagt).

13. Kinder unter 16 Jahren

Unser Dienst richtet sich an Personen, die das 16. Lebensjahr vollendet haben (Art. 8 Abs. 1 DSGVO). Wir erheben nicht wissentlich personenbezogene Daten von Kindern unter 16 Jahren. Solltest du feststellen, dass ein Kind unter 16 Jahren Daten an uns übermittelt hat, kontaktiere bitte den unter § 1 genannten Verantwortlichen; wir werden die Daten unverzüglich löschen.

14. Datenschutzbeauftragter

Ein gesetzlich verpflichtender Datenschutz­beauftragter ist derzeit nicht bestellt; die Schwellenwerte nach Art. 37 DSGVO i. V. m. § 38 BDSG sind nicht erreicht. Datenschutz- Anfragen richtest du bitte direkt an info@nuancebit.com.

15. Änderungen dieser Erklärung

Diese Datenschutzerklärung kann angepasst werden, wenn sich die Datenverarbeitung ändert (neue Funktionen, neue Auftragsverarbeiter). Wir veröffentlichen Änderungen mit neuem Stand­datum auf dieser Seite. Wesentliche Änderungen, die deine Einwilligung betreffen, werden über den Bot und die Website angekündigt.