ecom[reviews]

Datenschutzerklärung

Stand: Oktober 2026 (zuletzt aktualisiert: 2026-10-21)

1. Verantwortlicher

ecom reviews GmbH
Mozartstraße 14
28203 Bremen
Deutschland

E-Mail: support@ecom-reviews.de

2. Übersicht der Verarbeitungen

Die nachfolgende Übersicht fasst die Arten der verarbeiteten Daten und die Zwecke ihrer Verarbeitung zusammen und verweist auf die betroffenen Personen.

Arten der verarbeiteten Daten

  • Bestandsdaten (z.B. Namen, Adressen)
  • Kontaktdaten (z.B. E-Mail, Telefonnummern)
  • Inhaltsdaten (z.B. Eingaben in Formularen, Bewertungstexte)
  • Nutzungsdaten (z.B. besuchte Seiten, Zugriffszeiten)
  • Meta-/Kommunikationsdaten (z.B. IP-Adressen, Geräte-Informationen)
  • Zahlungsdaten (z.B. Bankverbindungen, Rechnungen; über Stripe)

Kategorien betroffener Personen

  • Besucher der Website
  • Registrierte Nutzer (Verkäufer und Anbieter)
  • Geschäftspartner
  • Interessenten (Marketing-E-Mails)

Zwecke der Verarbeitung

  • Bereitstellung des Onlineangebotes und Nutzerfreundlichkeit
  • Registrierung und Nutzerkontenverwaltung
  • Erbringung vertraglicher Leistungen und Kundenservice
  • Abwicklung von Zahlungsvorgängen
  • Kommunikation (E-Mail-Benachrichtigungen)
  • Sicherheitsmaßnahmen (Fraud Detection)
  • Reichweitenmessung und Analyse
  • Marketing (E-Mails an Interessenten mit deren Einwilligung)

3. Rechtsgrundlagen

Im Folgenden erhalten Sie eine Übersicht der Rechtsgrundlagen der DSGVO, auf deren Basis wir personenbezogene Daten verarbeiten:

  • Einwilligung (Art. 6 Abs. 1 S. 1 lit. a DSGVO): Die betroffene Person hat ihre Einwilligung in die Verarbeitung gegeben (z.B. Cookie-Consent, Marketing-E-Mails).
  • Vertragserfüllung (Art. 6 Abs. 1 S. 1 lit. b DSGVO): Die Verarbeitung ist zur Erfüllung eines Vertrags erforderlich (z.B. Nutzerkonto, Abo-Verwaltung).
  • Rechtliche Verpflichtung (Art. 6 Abs. 1 S. 1 lit. c DSGVO): Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich.
  • Berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO): Die Verarbeitung ist zur Wahrung berechtigter Interessen erforderlich (z.B. Sicherheit, Missbrauchsprävention).

4. Hosting und Content Delivery

Vercel

Wir hosten unsere Website bei Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA. Beim Besuch unserer Website erfasst Vercel automatisch Server-Log-Files, die Ihr Browser übermittelt. Dazu gehören:

  • IP-Adresse des anfragenden Rechners
  • Datum und Uhrzeit der Serveranfrage
  • Browsertyp und Browserversion
  • Verwendetes Betriebssystem
  • Referrer URL
  • Hostname des zugreifenden Rechners

Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Vercel ist unter dem EU-U.S. Data Privacy Framework zertifiziert.

5. Registrierung und Nutzerkonto

Clerk

Für die Registrierung und Authentifizierung nutzen wir den Dienst Clerk (Clerk, Inc., San Francisco, CA, USA). Bei der Registrierung werden folgende Daten verarbeitet:

  • E-Mail-Adresse
  • Name (Vor- und Nachname)
  • Profilbild (optional, von Clerk bereitgestellt)
  • Authentifizierungsdaten (verschlüsselt bei Clerk gespeichert)

Die Verarbeitung erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Datenschutzerklärung von Clerk finden Sie unter: https://clerk.com/privacy

6. Zahlungsabwicklung

Stripe

Für die Abwicklung von Zahlungen nutzen wir den Zahlungsdienstleister Stripe (Stripe, Inc., 354 Oyster Point Blvd, South San Francisco, CA 94080, USA). Beim Abschluss eines Pro-Abonnements werden Zahlungsdaten direkt an Stripe übermittelt. Wir selbst speichern keine Kreditkarten- oder Bankdaten.

Bei Stripe gespeicherte Daten: Zahlungsmethode, Transaktionshistorie, Kundennummer (Stripe Customer ID). Die Verarbeitung erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Die Datenschutzerklärung von Stripe finden Sie unter: https://stripe.com/de/privacy

Mit Stripe besteht ein Auftragsverarbeitungsvertrag (Data Processing Agreement) gemäß Art. 28 DSGVO. Details zum DPA von Stripe: https://stripe.com/de/legal/dpa

7. E-Mail-Versand

SendGrid (Twilio)

Für den Versand von transaktionalen E-Mails (Registrierungsbestätigungen, Benachrichtigungen, Passwort-Resets) nutzen wir SendGrid, einen Dienst der Twilio Inc., 101 Spear Street, Suite 500, San Francisco, CA 94105, USA.

Dabei werden E-Mail-Adressen und E-Mail-Inhalte an SendGrid übermittelt. Die Verarbeitung erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) bzw. auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO).

Zur Erfolgsmessung und Optimierung unserer Kommunikation erheben wir statistische Informationen über die Zustellung, das Öffnen und das Anklicken von Links in unseren E-Mails (u.a. Zeitpunkt des Öffnens, geklickter Link, verwendeter Browser). Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung und Erfolgsmessung unserer E-Mail-Kommunikation (Art. 6 Abs. 1 lit. f DSGVO). Sie können dieser Verarbeitung jederzeit widersprechen (Kontakt siehe Impressum); das Deaktivieren der automatischen Bildanzeige in Ihrem E-Mail-Programm verhindert zudem das Öffnungs-Tracking. Diese Ereignisdaten werden nach 90 Tagen automatisch gelöscht.

Die Datenschutzerklärung von Twilio/SendGrid finden Sie unter: https://www.twilio.com/en-us/legal/privacy

8. Datenbank

Neon (PostgreSQL)

Unsere Anwendungsdaten werden in einer PostgreSQL-Datenbank bei Neon Inc. gespeichert. Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b und f DSGVO. Neon betreibt Server in der EU (AWS eu-central-1, Frankfurt).

9. Echtzeit-Benachrichtigungen

Pusher

Für Echtzeit-Funktionen (z.B. neue Nachrichten, Aktivitäts-Updates) nutzen wir Pusher (Pusher Ltd., Lenta Business Centre, 7-12 Tavistock Square, London WC1H 9BQ, Vereinigtes Königreich). Pusher baut beim Öffnen des Dashboards eine WebSocket-Verbindung auf und verarbeitet dabei Ihre IP-Adresse sowie eine pseudonyme User-Channel-ID. Nachrichteninhalte werden nicht dauerhaft bei Pusher gespeichert, sondern nur kurzzeitig zur Auslieferung zwischengespeichert.

Die Verarbeitung erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und auf Grundlage berechtigter Interessen an einer funktionsfähigen Echtzeitkommunikation (Art. 6 Abs. 1 lit. f DSGVO). Das Vereinigte Königreich gilt durch einen Angemessenheitsbeschluss der EU-Kommission vom 28. Juni 2021 als sicheres Drittland.

Die Datenschutzerklärung von Pusher finden Sie unter: https://pusher.com/privacy

KlickTipp (E-Mail-Marketing)

Für den Versand von Marketing-E-Mails (z.B. Produkt-Informationen) nutzen wir KlickTipp (KLICK-TIPP LIMITED). Dabei werden E-Mail-Adresse, Name und Interaktionsdaten (z.B. Öffnungen, Klicks) verarbeitet, um Inhalte relevanter zu gestalten. Die Verarbeitung erfolgt nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die im Double-Opt-in-Verfahren eingeholt wird. Sie können sich jederzeit über den Abmeldelink in jeder E-Mail abmelden oder Ihre Einwilligung per E-Mail an uns widerrufen. Den Magazin-Newsletter „Das ecom-Briefing" haben wir am 14.10.2026 eingestellt; eine Anmeldung ist nicht mehr möglich. Der Verwendung Ihrer E-Mail-Adresse für Werbung können Sie außerdem jederzeit widersprechen (Art. 21 Abs. 2 DSGVO), formlos per Antwort auf eine unserer E-Mails oder an datenschutz@ecom-reviews.de; jede Marketing-E-Mail enthält dazu einen eigenen Hinweis.

Die Datenschutzerklärung von KlickTipp finden Sie unter: https://www.klicktipp.com/datenschutz

10. Caching und Rate Limiting

Upstash Redis

Für Caching und API-Rate-Limiting nutzen wir Upstash (Upstash, Inc.). Dabei werden temporär IP-Adressen und Anfragedaten gespeichert, um die Plattform vor Missbrauch zu schützen. Die Verarbeitung erfolgt auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO).

11. Medien-CDN (Bilder und Video)

Cloudinary

Für die Auslieferung und Optimierung von Bildern (Profilbilder, Logos, Anbieter-Assets) nutzen wir Cloudinary (Cloudinary Ltd., 5 Donnybrook Road, Dublin 4, D04 RH40, Irland). Beim Aufruf eines Bildes verarbeitet Cloudinary technische Daten wie IP-Adresse, Browser- und Geräte-Informationen, um das Bild im optimalen Format auszuliefern.

Hochgeladene Bilder werden direkt bei Cloudinary gespeichert. Die Verarbeitung erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und auf Grundlage berechtigter Interessen an einer performanten Bereitstellung (Art. 6 Abs. 1 lit. f DSGVO).

Mit Cloudinary besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Die Datenschutzerklärung von Cloudinary finden Sie unter: https://cloudinary.com/privacy

Cloudflare Stream (Video-Hosting und -Auslieferung)

Videos in Beiträgen unseres Magazins werden bei Cloudflare Stream gespeichert und ausgeliefert, einem Dienst der Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA). Beim Abspielen eines Videos verarbeitet Cloudflare technische Daten wie IP-Adresse, Browser- und Geräte-Informationen, um das Video im optimalen Format zu übertragen.

Hochgeladene Videos werden direkt bei Cloudflare Stream gespeichert. Die Verarbeitung erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und auf Grundlage berechtigter Interessen an einer performanten Bereitstellung (Art. 6 Abs. 1 lit. f DSGVO). Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO; Cloudflare ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Die Datenschutzerklärung von Cloudflare finden Sie unter: https://www.cloudflare.com/privacypolicy/

Eingebettete Videos von YouTube, Vimeo und Wistia

Anbieter können auf ihren Profilen und in Referenzen Videos von YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland), Vimeo (Vimeo.com, Inc., 330 West 34th Street, New York, NY 10001, USA) oder Wistia (Wistia, Inc., Cambridge, MA, USA) einbinden; auch Magazin-Beiträge können solche Videos enthalten. Diese Videos werden erst geladen, wenn Sie das jeweilige Video durch Klick auf „Video laden" freigeben oder im Cookie-Banner Marketing-Cookies erlaubt haben. Vorher wird nur ein Platzhalter angezeigt und es werden keine Daten an den Videoanbieter übertragen. Nach der Freigabe verarbeitet der Anbieter Ihre IP-Adresse, Browserdaten und Wiedergabe-Informationen und kann Cookies setzen; bei YouTube nutzen wir den erweiterten Datenschutzmodus (youtube-nocookie.com), bei Vimeo den Do-Not-Track-Modus. Vorschaubilder von YouTube-Videos werden bereits vor der Freigabe von YouTube-Servern geladen (Übermittlung Ihrer IP-Adresse an Google).

Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die Sie jederzeit über die Cookie-Einstellungen widerrufen können; für das Laden der Vorschaubilder unser berechtigtes Interesse an einer informativen Darstellung der Referenzen (Art. 6 Abs. 1 lit. f DSGVO). Die Übermittlung in die USA stützt sich auf das EU-US Data Privacy Framework (Google LLC, Vimeo, Wistia) bzw. Standardvertragsklauseln. Datenschutzerklärungen: Google, Vimeo, Wistia.

12. Datei-Anhänge in Nachrichten

Amazon Web Services (S3)

Datei-Anhänge in Nachrichten zwischen Nutzern werden bei Amazon Web Services EMEA SARL (Amazon S3, 38 Avenue John F. Kennedy, L-1855 Luxemburg) im Rechenzentrum eu-central-1 (Frankfurt) gespeichert. Übertragene Daten umfassen die Dateiinhalte, einen technischen Pfad sowie Metadaten zur Zugriffsberechtigung. Zulässig sind Bilder, PDF-Dokumente und Videos; der Inhalt jeder Datei wird nach dem Hochladen serverseitig auf den angegebenen Dateityp geprüft, und Anhänge werden Empfängern stets als Download bereitgestellt, nicht im Browser geöffnet.

Die Verarbeitung erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Mit AWS besteht ein Auftragsverarbeitungsvertrag (DPA) gemäß Art. 28 DSGVO. Die Datenschutzerklärung von AWS finden Sie unter: https://aws.amazon.com/de/privacy/

13. Bot-Schutz bei Registrierung

Cloudflare Turnstile

Zum Schutz unserer Registrierungs- und Anmeldeformulare vor automatisierten Anfragen (Bots) setzen wir Cloudflare Turnstile ein, einen Dienst der Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA). Beim Aufruf eines geschützten Formulars werden technische Merkmale Ihres Geräts und Browsers (z.B. IP-Adresse, Browser-Eigenschaften, Verhalten beim Seitenaufruf) erhoben und an Cloudflare übermittelt, um automatisierte Zugriffe zu identifizieren. Cloudflare Turnstile setzt dabei keine Cookies.

Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses an der Sicherheit der Plattform und der Abwehr missbräuchlicher Nutzung (Art. 6 Abs. 1 lit. f DSGVO). Cloudflare ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Die Datenschutzerklärung von Cloudflare finden Sie unter: https://www.cloudflare.com/privacypolicy/

14. Fehlerüberwachung

Sentry

Zur Erkennung und Behebung technischer Fehler nutzen wir Sentry (Functional Software, Inc., 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA). Dabei können technische Daten wie Browser-Informationen, Fehlermeldungen und IP-Adressen (anonymisiert) an Sentry übermittelt werden.

Die Verarbeitung erfolgt auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO). Die Datenschutzerklärung von Sentry finden Sie unter: https://sentry.io/privacy/

15. Bewertungen und nutzergenerierte Inhalte

Auf unserer Plattform können registrierte Verkäufer Bewertungen zu E-Commerce-Dienstleistern abgeben. Dabei werden folgende Daten verarbeitet:

  • Bewertungstext („Deine ehrliche Erfahrung", strukturiertes Freitextfeld)
  • Einzelbewertungen (4 Kategorien: Ergebnis, Fachkompetenz, Kommunikation, Preis-Leistung)
  • NPS-Score (0-10)
  • Kontextdaten (Budget-Range, Projektdauer, Shopsystem; optional)
  • Anonymitätslevel (sichtbar, nur Kontext, pseudonymisiert: die Identität des Verfassers bleibt uns intern zur Missbrauchsprävention bekannt)
  • IP-Adresse (für Fraud Detection)

IP-Adressen werden ausschließlich zur Missbrauchserkennung gespeichert und nicht öffentlich angezeigt. Die Verarbeitung erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO: Plattformintegrität).

15a. Verifizierung von Bewertungen durch Rechnungs-Upload

Bewerter können auf freiwilliger Basis eine Rechnung des bewerteten Anbieters hochladen, um ihre Bewertung mit dem Status „Verifizierte Bewertung" auszuzeichnen. Die folgenden Daten werden dabei verarbeitet:

  • Original-Datei der Rechnung (PDF, JPG oder PNG, max. 10 MB), gespeichert in einem verschlüsselten S3-Bucket (Server-Side-Encryption via AWS KMS)
  • Vom Bewerter angegebener Empfänger-Name (Privatperson oder Firmenname; profilgebunden gespeichert in User.legalIdentityName für Anti-Fraud-Konsistenz über mehrere Verifikationen)
  • Optionaler öffentlicher Anzeige-Name (wenn der Bewerter nicht anonym auftreten möchte)
  • SHA-256-Hash der hochgeladenen Datei (Fingerabdruck als Echtheits-Anker, ermöglicht keine Rekonstruktion der Inhalte)
  • Zeitstempel der Einreichung, des Admin-Entscheids und der ggf. Anfechtung
  • Pseudonymisierter Hash der IP-Adresse beim Bestätigen der Eigenerklärung (SHA-256 mit serverseitigem Geheimnis; kein direkter Rückschluss auf die IP möglich)
  • Aktive Bestätigung des Bewerters, dass die Rechnung an ihn ausgestellt wurde und keine vertraglichen Vertraulichkeitsvereinbarungen verletzt

Zwecke der Verarbeitung:

  • Manuelle Prüfung des Belegs durch unser internes Prüf-Team auf Plausibilität (insbesondere Übereinstimmung des Ausstellers mit dem bewerteten Anbieter und des Empfängers mit dem profilgebundenen Namen)
  • Erteilung des Verifiziert-Badges nach erfolgreicher Prüfung
  • Erhöhte Gewichtung der Bewertung im Aggregat-Score des Anbieters (Faktor 1,5×)
  • Bearbeitung von Anfechtungen durch den Anbieter (Hash-Vergleich beim erneuten Upload durch den Bewerter)
  • Forensik-Anker für spätere rechtliche Anfragen (z.B. Beweisbeschluss durch Gerichte)

Empfänger der Daten: Die Daten werden ausschließlich von Mitarbeitenden des Betreibers im internen Prüf-Team eingesehen. Der bewertete Anbieter erhält weder Einblick in die Rechnung, den Empfänger-Namen, die E-Mail-Adresse noch die IP-Adresse des Bewerters. Bei einem Beweisbeschluss durch deutsche Gerichte oder Strafverfolgungsbehörden werden Daten nach Maßgabe gesetzlicher Vorschriften herausgegeben.

Speicherung und Löschung:

  • Approved-Verifikationen: Original-PDF wird 7 Tage nach Approve automatisch gelöscht. Der Hash, der Empfänger-Name, der Admin-Entscheid und der Audit-Trail bleiben für die Dauer der zugehörigen Bewertung plus 3 Jahre nach deren Löschung erhalten (Verjährungs- Puffer nach § 195 BGB).
  • Rejected-Verifikationen: Original-PDF wird 30 Tage nach Reject automatisch gelöscht (zur Ermöglichung von Einsprüchen). Der Audit-Trail bleibt mit denselben Fristen wie oben erhalten.
  • Ungeprüfte Verifikationen (PENDING länger als 30 Tage): Original-PDF wird automatisch gelöscht; der Bewerter kann erneut einreichen.
  • Profilgebundener Empfänger-Name (User.legalIdentityName): bleibt im Nutzerkonto gespeichert, bis der Nutzer das Konto löscht oder den Wert ausdrücklich ändert. Bei Account-Löschung wird der Wert mitgelöscht.

Rechtsgrundlage:

  • Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): der Bewerter aktiviert vor dem Upload explizit eine Bestätigungs-Checkbox und kann den Vorgang jederzeit abbrechen
  • Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Verhinderung von Fake-Bewertungen und Sicherstellung der Plattform-Integrität als Online-Bewertungsportal nach § 5b Abs. 3 UWG

Keine automatisierte Inhalts-Auswertung: Über die reine Hash-Berechnung hinaus werden die Inhalte der hochgeladenen Rechnung nicht maschinell ausgelesen und nicht persistent gespeichert. Insbesondere werden keine Preise, Leistungspositionen, Bankverbindungen oder Posten-Details automatisch extrahiert. Eine aggregierte Auswertung der Rechnungs-Inhalte (z.B. zu Marktpreis-Analysen) findet ausdrücklich nicht statt und ist technisch durch Anti-Aggregations-Constraints im Datenmodell abgesichert.

Betroffenenrechte: Sie können jederzeit Auskunft über Ihre verifikations- bezogenen Daten verlangen (Art. 15 DSGVO), eine Löschung beantragen (Art. 17 DSGVO; die Löschung des Originals erfolgt ohnehin nach den oben genannten Fristen automatisch), oder Ihre Einwilligung widerrufen (Art. 7 Abs. 3 DSGVO; Verifizierung wird in diesem Fall entfernt, der Hash gelöscht und die Bewertung als unverifiziert weitergeführt). Wenden Sie sich dazu an datenschutz@ecom-reviews.de.

Detaillierte Bedingungen: Die vollständigen Konditionen finden Sie auf der Seite Bedingungen für den Rechnungs-Upload.

15b. Meldung und Moderation von Bewertungen

Bewertete Anbieter können eine sie betreffende Bewertung über ihr Anbieter-Dashboard melden, wenn sie diese für unwahr, rechtswidrig oder nicht auf einer echten Geschäftsbeziehung beruhend halten. Diese Melde- und Prüffunktion setzt das Melde- und Abhilfeverfahren nach Art. 16 der Verordnung (EU) 2022/2065 (Digital Services Act, DSA) um. Dabei werden folgende Daten verarbeitet:

  • Meldegrund (vordefinierte Kategorie, etwa „Fake-Bewertung", „Falsche Tatsachen" oder „Verifikation gefälscht")
  • Substantiierung des Melders (Freitext): Bei Meldungen, die die Echtheit der Bewertung in Frage stellen, muss der meldende Anbieter konkret darlegen, warum keine Geschäftsbeziehung bestand (Pflichtfeld, mindestens 100 Zeichen). Grundlage ist die Rechtsprechung des Bundesgerichtshofs (VI ZR 34/15), die eine konkrete Beanstandung verlangt, bevor der Verfasser zur Stellungnahme aufgefordert wird.
  • Referenz auf das Nutzerkonto des meldenden Anbieters sowie Zeitstempel der Meldung
  • Stellungnahme des Verfassers der Bewertung (Freitext), Zeitpunkt der Stellungnahme sowie die dem Verfasser gesetzte Frist (14 Tage)
  • Interne Bearbeitungsvermerke unseres Moderations-Teams sowie Zeitpunkt und Ergebnis des Entscheids
  • Im Falle eines Einspruchs gegen den Entscheid: Einspruchstext sowie Zeitpunkt und Ergebnis der Einspruchsprüfung

Rechnungs-Nachweis bei Echtheits-Meldungen: Wird eine Bewertung mit der Begründung gemeldet, sie beruhe nicht auf einer echten Geschäftsbeziehung, kann der Verfasser der Bewertung eine Rechnung des Anbieters hochladen, um die Geschäftsbeziehung zu belegen. Für diesen Upload gelten dieselben technischen und datenschutzrechtlichen Rahmenbedingungen wie bei der freiwilligen Verifizierung (siehe Abschnitt 15a): verschlüsselte Speicherung in einem S3-Bucket mit serverseitiger AWS-KMS-Verschlüsselung, automatische Löschung des Originals nach den dort genannten Fristen sowie kein Einblick des meldenden Anbieters in die Rechnung, den Empfänger-Namen oder die Identität des Verfassers. Der Verfasser kann eine Bewertung jederzeit auch nachträglich durch einen solchen Rechnungs-Upload belegen.

Zwecke der Verarbeitung: Prüfung gemeldeter Bewertungen auf Rechtmäßigkeit und Echtheit (§ 5b Abs. 3 UWG), Schutz der Rechte betroffener Anbieter und Dritter, Wahrung der Informationsfunktion der Plattform sowie Erfüllung unserer Pflichten als Hostingdienst nach dem Digital Services Act.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer rechtstreuen und vertrauenswürdigen Plattform sowie Schutz der Rechte Dritter) in Verbindung mit Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung aus Art. 16 DSA). Der freiwillige Rechnungs-Upload durch den Verfasser stützt sich zusätzlich auf dessen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die vor dem Upload aktiv bestätigt wird.

Benachrichtigung beider Parteien über den Entscheid (Begründungspflicht nach Art. 17 DSA): Sobald eine Meldung abschließend entschieden ist, informieren wir sowohl den meldenden Anbieter als auch den Verfasser der Bewertung per E-Mail und über eine Benachrichtigung im Nutzerkonto über das Ergebnis. Die Mitteilung enthält das Ergebnis (Bewertung entfernt oder bleibt sichtbar), die zeitlichen Eckdaten (Zeitpunkt der Meldung, Ablauf der Stellungnahmefrist, Zeitpunkt des Entscheids) sowie eine Begründung. Dabei werden keine personenbezogenen Daten der jeweils anderen Partei offengelegt; insbesondere bleibt die Identität des Verfassers gegenüber dem Anbieter geschützt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 17 DSA (Pflicht zur Begründung von Moderationsentscheidungen).

Empfänger der Daten: Die Melde- und Stellungnahmedaten werden ausschließlich von autorisierten Mitarbeitenden unseres internen Moderations-Teams eingesehen. Eine Weitergabe an Dritte erfolgt nur bei gesetzlicher Verpflichtung oder gerichtlicher Anordnung.

Widerspruch und Rechtsbehelf: Gegen eine Moderationsentscheidung können Sie Einspruch einlegen und eine Überprüfung durch einen Menschen verlangen (siehe auch Abschnitt 21). Unabhängig davon steht Ihnen der Weg zu einer außergerichtlichen Streitbeilegung nach Art. 21 DSA sowie die Beschwerde bei einer Aufsichtsbehörde offen. Wenden Sie sich an moderation@ecom-reviews.de.

Speicherung und Löschung: Die Melde- und Moderations-Metadaten (Grund, Substantiierung, Stellungnahme, Entscheid, Bearbeitungsvermerke) werden für die Dauer der Sichtbarkeit der betroffenen Bewertung und darüber hinaus bis zu 3 Jahre zur Nachvollziehbarkeit sowie zur Geltendmachung oder Abwehr rechtlicher Ansprüche gespeichert (§ 195 BGB). Hochgeladene Rechnungen werden nach den in Abschnitt 15a genannten Fristen automatisch gelöscht.

16. KI-gestützte Auswertung von Bewertungen

Zur Aufbereitung und Analyse von Bewertungen setzen wir generative KI-Modelle ein. Konkret werden Bewertungstexte für die folgenden Zwecke an externe KI-Dienstleister übermittelt:

Anthropic (Claude)

Anbieter: Anthropic PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA.

Verarbeitete Daten: Bewertungstexte (Erfahrungstext), Bewertungsmetadaten (Sterne, Budget-Range, Projektdauer, sofern angegeben) und der Name des bewerteten Anbieters. Reviewer-Klarnamen werden nicht übermittelt.

Zwecke: (a) Aggregierte Anbieter-Insights (Stärken/Schwächen-Analyse, Eignungs- Empfehlungen, Zusammenfassungen) für die öffentliche Profilseite; (b) Themen- und Sentiment-Extraktion für statistische Anbieter-Auswertungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer informativen, vergleichenden Plattform, die KI-Auswertung ersetzt keine personenbezogene Bewertung des Verfassers, sondern aggregiert Inhalte zu Anbietern).

Datenschutzerklärung Anthropic: https://www.anthropic.com/legal/privacy

Anthropic (Redaktions-KI für Magazin-Beiträge)

Zusätzlich setzt unsere Redaktion Claude bei der Erstellung und Überarbeitung von Magazin-Beiträgen ein (Textvorschläge, Prüfung von Aufbau und Grafiken). Dabei werden Beitragstexte und Grafiken sowie Interview-Inhalte an Anthropic übermittelt, die Namen und Aussagen der interviewten oder im Beitrag genannten Personen enthalten können. Jede KI-Ausgabe ist ein Vorschlag, den die Redaktion prüft und freigibt. Anthropic nutzt die Daten nicht zum Modelltraining und speichert API-Eingaben höchstens 30 Tage.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer effizienten redaktionellen Arbeit) in Verbindung mit dem Medienprivileg nach Art. 85 DSGVO.

OpenAI (Embeddings für die Suche)

Anbieter: OpenAI, L.L.C., 1455 3rd Street, San Francisco, CA 94158, USA.

Verarbeitete Daten: Profilbeschreibungen, Tags und Suchstichworte von Anbietern. Es werden keine personenbezogenen Daten von Verkäufern bzw. Reviewern an OpenAI übermittelt.

Zwecke: Berechnung von Vektor-Repräsentationen (Embeddings) zur semantischen Suche nach Anbietern. OpenAI verarbeitet die Daten ausschließlich zur Berechnung der Embeddings und nutzt sie nicht zum Modelltraining (gemäß OpenAI API Data Usage Policy).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer leistungsfähigen Suche).

Datenschutzerklärung OpenAI: https://openai.com/policies/privacy-policy

Perplexity (KI-Sichtbarkeits-Monitoring)

Anbieter: Perplexity AI, Inc., San Francisco, CA, USA.

Um zu messen, ob Inhalte unseres Magazins von KI-Assistenten als Quelle zitiert werden, senden wir in regelmäßigen Abständen generische, branchenbezogene Suchanfragen an Perplexity (z. B. „Wie finde ich eine seriöse Amazon-PPC-Agentur?"). Dabei werden keine personenbezogenen Daten von Nutzern übermittelt; die Anfragen enthalten keinen Personenbezug. Die Übermittlung in die USA ist durch EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework abgesichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Reichweiten-Messung unserer redaktionellen Inhalte).

Drittland-Übermittlung (USA) und Schutzmaßnahmen

Sowohl Anthropic als auch OpenAI verarbeiten die übermittelten Daten in den USA. Die Übermittlung erfolgt auf Basis der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) inklusive Auftragsverarbeitungsvertrag (Art. 28 DSGVO). Wir haben uns vertraglich zusichern lassen, dass die übermittelten Bewertungstexte nicht zum Training der jeweiligen KI-Modelle genutzt werden („Zero Data Retention" bzw. „No-Training-Klausel" in den jeweiligen DPAs).

Bewertungstexte sollten keine personenbezogenen Daten Dritter (Klarnamen, E-Mails, Telefonnummern) enthalten, entsprechende Bewertungen werden vor Veröffentlichung moderiert (siehe AGB § 4 Abs. 3).

Widerspruchsrecht: Sie können der KI-gestützten Auswertung Ihrer Bewertung jederzeit gemäß Art. 21 DSGVO widersprechen. In diesem Fall wird Ihre Bewertung von der KI-Auswertung ausgenommen. Wenden Sie sich dazu an support@ecom-reviews.de.

17. Nachrichten zwischen Nutzern

Registrierte Verkäufer können über die Plattform Nachrichten an Anbieter senden. Nachrichteninhalte werden verschlüsselt in unserer Datenbank gespeichert. Die Verarbeitung erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

18. Cookies und Cookie-Consent

Wir verwenden Cookies und ähnliche Technologien, um unsere Website bereitzustellen und zu verbessern. Details zu den eingesetzten Cookies finden Sie in unserer Cookie-Richtlinie.

Technisch notwendige Cookies

Diese Cookies sind für den Betrieb der Website erforderlich (z.B. Session-Cookies, Authentifizierung über Clerk). Sie werden auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO gesetzt.

Analyse-Cookies

Für die Reichweitenmessung setzen wir Google Analytics 4 sowie Product-Analytics (PostHog) ein. Diese Cookies werden nur mit Ihrer Einwilligung gesetzt (Art. 6 Abs. 1 lit. a DSGVO). Sie können Ihre Einwilligung jederzeit über den Cookie-Banner widerrufen.

Cookie-Consent-Management: Cookiebot

Zur Einholung und Verwaltung Ihrer Einwilligung in nicht-essentielle Cookies setzen wir den Dienst Cookiebot der Cybot A/S, Havnegade 39, 1058 Kopenhagen, Dänemark ein. Cookiebot speichert Ihre Cookie-Entscheidung in einem technisch notwendigen Cookie und dokumentiert die Einwilligung mit IP-Adresse (anonymisiert), Browser-Daten und Zeitstempel.

Rechtsgrundlage ist unsere rechtliche Verpflichtung zum Nachweis der Einwilligung (Art. 6 Abs. 1 lit. c DSGVO i.V.m. Art. 7 Abs. 1 DSGVO). Mit Cybot A/S besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Cybot ist in der EU ansässig, eine Drittlandübermittlung findet nicht statt.

Datenschutzerklärung Cookiebot: https://www.cookiebot.com/de/privacy-policy/

19. Analyse und Reichweitenmessung

Google Analytics 4

Wir nutzen Google Analytics 4 (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Google Analytics verwendet Cookies, die eine Analyse der Benutzung der Website ermöglichen. Google Analytics 4 verarbeitet die IP-Adresse ausschließlich zur Geolokalisierung und verwirft sie unmittelbar danach; eine Speicherung vollständiger IP-Adressen findet nicht statt.

Die Nutzung erfolgt nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die über unseren Cookie-Banner (Cookiebot) eingeholt wird. Sie können Ihre Einwilligung jederzeit über den Cookie-Banner widerrufen. Google ist unter dem EU-U.S. Data Privacy Framework zertifiziert.

Die Datenschutzerklärung von Google finden Sie unter: https://policies.google.com/privacy

PostHog (Product-Analytics)

Zur produktinternen Analyse von Nutzungsverhalten (Klickpfade, Funnel-Analysen, Feature-Adoption) setzen wir PostHog ein (PostHog Inc., 965 Mission Street, San Francisco, CA 94103, USA). PostHog wird ausschließlich auf einer EU-Instanz gehostet (eu.i.posthog.com). Verarbeitete Daten umfassen pseudonymisierte Nutzer-IDs, Klick-Events, Seitenaufrufe sowie technische Geräte-Informationen.

PostHog wird ausschließlich nach Ihrer Einwilligung in Statistik-Cookies geladen (Art. 6 Abs. 1 lit. a DSGVO) und respektiert die Browser-Einstellung „Do Not Track". Mit PostHog besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Keine Bildschirmaufzeichnung. Die Aufzeichnung von Sitzungen („Session Recording") ist ausdrücklich abgeschaltet; es werden also keine Mausbewegungen, Eingaben oder Bildschirminhalte aufgezeichnet.

Sind Sie angemeldet, ordnen wir die Ereignisse Ihrem Konto zu. Dafür übermitteln wir an PostHog nicht Ihre E-Mail-Adresse, sondern ausschließlich die interne Kontonummer sowie die Angaben Rolle, Tarif und ob es sich um ein Konto unseres Teams handelt. Beim Abmelden wird diese Zuordnung im Browser zurückgesetzt. Nicht angemeldete Besucherinnen und Besucher erhalten bei PostHog kein Personenprofil. Auf Anfrage geben wir Ihnen die zu Ihrem Konto gespeicherten PostHog-Daten heraus (Art. 15) und löschen sie (Art. 17); beides läuft über dieselbe interne Kontonummer.

Datenschutzerklärung PostHog: https://posthog.com/privacy

Google Search Console

Zur Auswertung der Sichtbarkeit unserer Website in der Google-Suche nutzen wir die Google Search Console (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Wir rufen über die Search-Console-API aggregierte und bereits anonymisierte Suchdaten ab (z.B. Suchanfragen-Volumen, Klickraten, Positionen). Es findet keine Verarbeitung personenbezogener Daten durch ecom reviews statt, die Daten liegen bei Google in pseudonymisierter Form vor.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an SEO-Auswertung).

Magazin-Statistik (eigene, cookielose Messung)

Für Beiträge unseres Magazins erfassen wir serverseitig über eigene Endpunkte unter /api/track/ Aufrufe, aktive Lesezeit, Scrolltiefe und die Herkunftsart des Aufrufs (z.B. Suchmaschine, KI-Assistent, Social Media, direkt). Zur Zählung eindeutiger Leser verwenden wir einen täglich wechselnden, pseudonymen Hash aus IP-Adresse, Browser-Kennung und Kalendertag, der nach 48 Stunden gelöscht wird; danach existieren nur noch Tagesaggregate ohne Personenbezug. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Erfolgsmessung redaktioneller Inhalte).

Ob eine Suche oder Registrierung auf das Lesen eines Beitrags folgt, ordnen wir nur mit Ihrer Einwilligung in Statistik-Cookies zu, weil dafür eine Sitzungs-Marke im Browser (sessionStorage, 30 Minuten) abgelegt wird. Ohne Einwilligung bleibt diese Marke auf den Arbeitsspeicher der geöffneten Seite beschränkt.

Such- und Profil-Statistik (eigene, cookielose Messung)

Damit wir unsere Suche verbessern und Anbietern die Wirkung ihres Profils zeigen können, erfassen wir serverseitig, welche Suchanfragen gestellt wurden, welche Anbieter dabei angezeigt und angeklickt wurden, wie lange ein Profil betrachtet wurde und ob der Link zur Anbieter-Website angeklickt wurde. Zur Anfrage speichern wir außerdem, wie sie ausgegangen ist (Treffer, keine Treffer, Rückfrage) und ob eine Rechtschreib-Korrektur angewendet wurde.

Diese Messung ist cookielos. Statt einer Nutzer-ID speichern wir einen täglich wechselnden, pseudonymen Sitzungs-Hash aus IP-Adresse, Browser-Kennung und Kalendertag, gesalzen mit einem nur uns bekannten Geheimnis. Er verbindet Suche, Klick und Profilaufruf innerhalb eines Tages und ist am nächsten Tag ein anderer; ein Wiedererkennen über Tage hinweg ist damit ausgeschlossen. Fehlt uns das Geheimnis, speichern wir gar keinen Hash. IP-Adresse und Browser-Kennung gehen nur flüchtig in die Berechnung ein. Aufrufe von Suchmaschinen-Crawlern und automatisierten Programmen zählen wir nicht mit, Aufrufe durch den Anbieter selbst und durch uns ebenfalls nicht. Die Einzeldaten werden nach 396 Tagen automatisch gelöscht.

Rechtsgrundlage ist unser berechtigtes Interesse an der Messung und Verbesserung der eigenen Suche sowie an der Erkennung von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Da die Messung ohne Cookies und ohne Zugriff auf Ihr Endgerät erfolgt, ist dafür keine Einwilligung erforderlich. Eine Sitzungs-Marke im Browser, die verhindert, dass derselbe Treffer beim Scrollen mehrfach gezählt wird, legen wir nur mit Ihrer Einwilligung in Statistik-Cookies ab; ohne Einwilligung bleibt sie auf den Arbeitsspeicher der geöffneten Seite beschränkt.

20. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder wir gesetzlich dazu verpflichtet sind. Im Einzelnen gelten folgende Aufbewahrungsfristen:

  • Nutzerkonto-Stammdaten (Name, E-Mail, Passwort-Hash): Für die Dauer der aktiven Nutzung zzgl. 3 Jahre nach Kontolöschung für die Geltendmachung zivilrechtlicher Ansprüche (§§ 195, 199 BGB, regelmäßige Verjährungsfrist).
  • Rechnungen, Zahlungsdaten und steuerlich relevante Unterlagen: 10 Jahre ab Ende des jeweiligen Geschäftsjahres (§ 147 Abs. 3 AO, § 257 HGB).
  • Bewertungen und zugehörige Inhalte: Unbefristet während des Plattformbetriebs im Interesse der Informationsfunktion der Plattform. Auf begründeten Antrag der betroffenen Person erfolgt Löschung oder Anonymisierung gemäß Art. 17 DSGVO, sofern keine überwiegenden Interessen entgegenstehen.
  • Nachrichten zwischen Nutzern: Für die Dauer der aktiven Nutzerkonten beider Kommunikationsparteien zzgl. 6 Monate.
  • Server-Logfiles (IP-Adressen, Access-Logs): 14 Tage, danach Löschung bzw. Anonymisierung. Bei Sicherheitsvorfällen kann die Speicherdauer im Einzelfall verlängert werden.
  • Fraud-Detection-Daten (IP-Adressen bei Bewertungen, Device-Fingerprints):Bis zu 12 Monate zur Missbrauchsanalyse, danach Löschung.
  • Such- und Profil-Statistik (Suchanfragen, Suchimpressionen, Profilaufrufe, Verweildauer, Website-Klicks, Sitzungs-Hash): 396 Tage, danach automatische Löschung der Einzeldaten.
  • Verifikations-Original-Dateien (Rechnungs-PDFs/Bilder): 7 Tage nach Approve, 30 Tage nach Reject oder bei ungeprüften Anfragen mit Frist-Ablauf, danach automatische Löschung aus dem S3-Speicher.
  • Verifikations-Metadaten (Hash, Empfänger-Name, Admin-Entscheid, Audit-Trail):Während der Sichtbarkeit der zugehörigen Bewertung, plus 3 Jahre nach deren Löschung (Verjährungs-Puffer gemäß § 195 BGB).
  • Melde- und Moderations-Metadaten zu Bewertungen (Grund, Substantiierung, Stellungnahme, Entscheid, Einspruch, Bearbeitungsvermerke): Während der Sichtbarkeit der betroffenen Bewertung, plus bis zu 3 Jahre zur Nachvollziehbarkeit und Rechtsverteidigung (§ 195 BGB).
  • Analytics-Daten (Google Analytics 4): Gemäß GA4-Retention-Setting maximal 14 Monate auf User-Level, aggregierte Statistiken unbefristet.
  • Support-/Moderations-Kommunikation: 3 Jahre nach letzter Interaktion.

Soweit gesetzliche Aufbewahrungspflichten bestehen, werden die betroffenen Daten für deren Dauer gesperrt und erst nach Ablauf gelöscht.

21. Automatisierte Entscheidungsfindung und Fraud-Detection

Wir setzen automatisierte Verfahren ein, um die Plattformintegrität sicherzustellen, insbesondere zur Erkennung von Fake-Bewertungen, Spam, Missbrauch und rechtswidrigen Inhalten. Diese Verfahren umfassen:

  • Plausibilitätsprüfung von Bewertungen (z.B. IP-Muster, Zeitmuster, Textanalyse)
  • Rate-Limiting und Bot-Erkennung zum Schutz vor automatisierten Angriffen
  • Automatisiertes Blockieren von Nutzern bei schwerwiegenden oder wiederholten Verstößen

Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses an einer vertrauenswürdigen Plattform sowie zur Erfüllung vertraglicher Pflichten (Art. 6 Abs. 1 lit. b und f DSGVO).

Automatische Prüfungen markieren Bewertungen lediglich zur Prüfung. Ob eine markierte Bewertung veröffentlicht, abgelehnt oder ausgeblendet wird, entscheidet in jedem Fall ein Mitarbeiter nach eigener Prüfung.

Recht auf menschliche Überprüfung (Art. 22 Abs. 3 DSGVO): Sofern eine automatisierte Entscheidung rechtliche Wirkung für Sie entfaltet (z.B. Sperrung Ihres Kontos oder Entfernung einer Bewertung), haben Sie das Recht, eine Überprüfung durch einen Menschen zu verlangen, Ihren Standpunkt darzulegen und die Entscheidung anzufechten. Wenden Sie sich dazu an moderation@ecom-reviews.de.

22. Datenübermittlung in Drittländer

Einige der von uns eingesetzten Dienste (siehe Abschnitte 4 bis 19) verarbeiten personenbezogene Daten in den USA oder anderen Ländern außerhalb des Europäischen Wirtschaftsraums. Für diese Übermittlungen greifen folgende Schutzmechanismen:

  • EU-U.S. Data Privacy Framework (DPF): Vercel, Google (Analytics + Search Console), Clerk, Stripe und Cloudflare sind unter dem DPF zertifiziert und bieten dadurch ein angemessenes Datenschutzniveau (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023).
  • Standardvertragsklauseln (SCCs, Art. 46 Abs. 2 lit. c DSGVO): Mit Dienstleistern, die nicht unter dem DPF zertifiziert sind (z.B. Twilio/SendGrid, Sentry, Upstash, Anthropic, OpenAI, PostHog), haben wir die aktuellen Standardvertragsklauseln der EU-Kommission abgeschlossen. Zusätzlich haben wir jeweils eine Transfer Impact Assessment (TIA) durchgeführt, um das Schutzniveau im Empfängerland zu bewerten.
  • Auftragsverarbeitungsverträge (Art. 28 DSGVO): Mit allen genannten Dienstleistern bestehen Auftragsverarbeitungsverträge, die den Anforderungen des Art. 28 DSGVO entsprechen.
  • Zusätzliche Schutzmaßnahmen für KI-Verarbeitung: Bei Anthropic und OpenAI haben wir uns vertraglich zusichern lassen, dass übermittelte Bewertungstexte nicht zum Training der KI-Modelle verwendet werden („Zero Data Retention" bzw. „No-Training-Klausel"). Siehe hierzu auch Abschnitt 16.

Neon (Datenbank) betreibt ausschließlich Server in der EU (AWS eu-central-1, Frankfurt), AWS S3 (Datei-Anhänge) ebenfalls eu-central-1 und Cloudinary (Bild-CDN) wird über EU-Endpunkte angesprochen, für diese Anwendungsdaten findet keine Drittlandübermittlung statt.

23. SSL-/TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL-/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von "http://" auf "https://" wechselt und an dem Schloss-Symbol in Ihrer Browserzeile.

24. Rechte der betroffenen Personen

Ihnen stehen als betroffene Person folgende Rechte zu:

  • Auskunftsrecht (Art. 15 DSGVO): Sie haben das Recht, Auskunft über Ihre bei uns gespeicherten personenbezogenen Daten zu erhalten. Der Datenexport in Ihren Kontoeinstellungen enthält auch die Kontaktdaten, die bei unserem E-Mail-Marketing-Dienstleister KlickTipp zu Ihrer E-Mail-Adresse gespeichert sind (sofern vorhanden).
  • Berichtigung (Art. 16 DSGVO): Sie haben das Recht, unrichtige Daten berichtigen zu lassen.
  • Löschung (Art. 17 DSGVO): Sie haben das Recht, die Löschung Ihrer Daten zu verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
  • Einschränkung (Art. 18 DSGVO): Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer Daten zu verlangen.
  • Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
  • Widerspruch (Art. 21 DSGVO): Sie haben das Recht, der Verarbeitung Ihrer Daten jederzeit zu widersprechen.
  • Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Sie haben das Recht, eine erteilte Einwilligung jederzeit zu widerrufen.
  • Beschwerderecht (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Zuständige Aufsichtsbehörde: Die Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen

25. Interne Administratoren-Inspektion (Profile Viewer)

Zu Support-, Wartungs- und Moderationszwecken können autorisierte interne Mitarbeiter (SUPER_ADMIN, OWNER) Provider-Profile in einem Read-Only-Modus einsehen. Dabei wird die gleiche Sicht angezeigt, die der Provider selbst in seinem Dashboard hat, jedoch ohne die Möglichkeit, Daten zu ändern (3-Layer-Schutz: Frontend, Server-Action, Middleware). Nachrichten-Inhalte sind hierbei nicht sichtbar (DSGVO Art. 5(1)(c) Datenminimierung); nur Metadaten der Konversationen (Subject, Counterpart, Datum) sind für die Inspektion zugänglich.

Jeder Zugriff wird protokolliert (90 Tage Retention für Session- und Page-Visit-Logs, 3 Jahre für ActivityLog-Einträge gemäß §195 BGB). Provider können ihre Zugriffs-Historie jederzeit in den Dashboard-Einstellungen einsehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Wartung, Support, Missbrauchsprävention).

Bei wiederholten Zugriffen (≥3 Sessions in 30 Tagen) erhalten Sie automatisch eine In-App-Benachrichtigung. Aus Personenschutz-Gründen wird der Name des inspizierenden Administrators nicht offengelegt; bei berechtigtem Interesse können Sie eine Auskunfts-Anfrage an support@ecom-reviews.de richten.

26. Community-Beiträge und Kommentare (eingestellt)

Die Funktion für eigene Beiträge, Kommentare und Votes haben wir am 14.10.2026 eingestellt. Die dazu gespeicherten Daten (Beiträge, Kommentare, Votes, Meldungen, gemerkte Beiträge und zugehörige Bilder) haben wir gelöscht. Beiträge unseres Magazins sind davon nicht betroffen.

27. Reichweitenmessung und Marketing (Meta-Pixel)

Meta-Pixel und Conversions API

Zur Messung und Optimierung unserer Werbeanzeigen auf den Plattformen von Meta (Facebook, Instagram) setzen wir das Meta-Pixel sowie die Meta Conversions API ein, beides Dienste der Meta Platforms Ireland Limited (4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland). Dabei wird erfasst, ob ein Seitenaufruf oder eine Aktion (z.B. eine Registrierung oder ein Abo-Abschluss) einer zuvor auf Meta angeklickten Anzeige zugeordnet werden kann. Übermittelt werden technische Daten (z.B. IP-Adresse, Browser-Informationen) sowie zur Zuordnung eine pseudonyme, gehashte Kennung.

Das Pixel und die Conversions API werden ausschließlich nach Ihrer ausdrücklichen Einwilligung in die Kategorie „Marketing" über unser Cookie-Banner aktiv. Ohne diese Einwilligung findet keine Übermittlung an Meta statt. Die Verarbeitung erfolgt auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen widerrufen können. Für die mit Meta gemeinsam erfolgende Verarbeitung besteht eine Vereinbarung über gemeinsame Verantwortlichkeit (Art. 26 DSGVO). Die Datenschutzerklärung von Meta finden Sie unter: https://www.facebook.com/privacy/policy/

27a. Gesponserte Anzeigen und Mediathek (eingestellt)

Gesponserte Anzeigen auf unserer Plattform und die Video-Mediathek haben wir am 14.10.2026 eingestellt. Wir setzen kein Anzeigen-Klick-Cookie („ecr_click") mehr und erfassen keine Anzeigen- oder Mediathek-Messdaten mehr. Anzeigen wurden nie abgerechnet; noch vorhandene Messdaten löschen wir nach den bisherigen Fristen (13 Monate).

27b. Bewertungs-Widgets auf Websites unserer Anbieter

Anbieter mit einem PRO-Konto können ein Bewertungs-Widget auf ihrer eigenen Website einbinden. Es zeigt die Note und die Anzahl der Bewertungen des jeweiligen Anbieters auf ecom-reviews.de und verlinkt auf dessen Profil. Rufen Sie eine solche Anbieter-Website auf, lädt Ihr Browser das Widget in einem eingebetteten Rahmen (iframe) von ecom-reviews.de. Dabei werden die technisch notwendigen Verbindungsdaten an unseren Hoster übermittelt (siehe Abschnitt 4), darunter Ihre IP-Adresse.

Wir zählen, wie oft ein Widget angezeigt und wie oft es angeklickt wurde. Gespeichert werden dabei ausschließlich der Zeitpunkt, die Art des Ereignisses (Anzeige oder Klick) und der Hostname der Website, auf der das Widget steht. Die aufgerufene Unterseite, die vollständige Adresse und Angaben zu Ihrer Person speichern wir nicht; der Hostname ist ein Firmendatum des Anbieters, kein Merkmal von Ihnen. Ihre IP-Adresse verwenden wir nur, um die Zahl der Aufrufe je Adresse zu begrenzen (siehe Abschnitt 10), und speichern sie dafür nicht dauerhaft in unserer Datenbank. Das Widget setzt keine Cookies und liest keine Kennungen aus Ihrem Endgerät.

Bindet ein Anbieter die Variante als Bild ein, etwa in einer E-Mail-Signatur, gilt dasselbe: Der Abruf des Bildes wird als Anzeige gezählt, ohne Angaben zu Ihrer Person. Anbieter sehen ausschließlich zusammengefasste Zahlen, niemals einzelne Besucher. Rechtsgrundlage ist unser berechtigtes Interesse an der Messung der Reichweite unserer Widgets und an der Abrechnung dieser Funktion gegenüber dem Anbieter (Art. 6 Abs. 1 lit. f DSGVO). Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen (siehe Abschnitt 24). Für die Einbindung auf seiner eigenen Website ist der jeweilige Anbieter verantwortlich; er informiert darüber in seiner eigenen Datenschutzerklärung.

28. Änderung dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen umzusetzen. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung.