Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung ist:

Ein Datenschutzbeauftragter ist derzeit nicht benannt. Für Datenschutzanfragen können Sie sich an die oben genannte E-Mail-Adresse oder über das Supportformular wenden.

2. Geltungsbereich

Diese Datenschutzerklärung gilt für:

• die Website unter https://www.myplopp.de/
• die B2C-App für Endnutzer
• die B2B-App für Händler und Partner
• Supportformulare
• Händler-Landingpages
• technische E-Mails, Marketing-E-Mails und Push-Benachrichtigungen
• Veröffentlichungen über den Google Play Store und den Apple App Store

Die Dienste richten sich derzeit hauptsächlich an Nutzer und Händler in Deutschland, Österreich und der Schweiz.

3. Hosting, technische Infrastruktur und App-Bereitstellung

plopp nutzt verschiedene technische Dienstleister, um Website, App, Datenbank, Authentifizierung, E-Mail-Versand, Push-Benachrichtigungen und Zahlungen bereitzustellen. Eingesetzte Dienste sind insbesondere:

• Supabase für Datenbank, Authentifizierung, Storage, Realtime-Funktionen und Backend-Funktionen
• Vercel für Hosting und teilweise technische Weiterleitung an Supabase
• Stripe für Zahlungs- und Aboabwicklung im B2B-Bereich
• Resend für technische E-Mails
• Mailgun für E-Mail-Marketing
• Firebase Cloud Messaging für Push-Benachrichtigungen
• Google und Apple für Login-Funktionen, App Stores und Kartendienste
• Google Fonts für Schriftarten
• PWABuilder bzw. Trusted Web Activity-Technologie für die Android-Bereitstellung

Die B2C-Datenbank wird über Supabase in Frankfurt betrieben. Die B2B-Datenbank wird über Supabase in Stockholm betrieben. Kartenbezogene Daten werden zwischen beiden Projekten synchronisiert.

Die Übertragung personenbezogener Daten erfolgt nach aktuellem Stand über verschlüsselte Verbindungen, insbesondere HTTPS/TLS und sichere WebSocket-Verbindungen.

4. Allgemeine Zwecke der Verarbeitung

Wir verarbeiten personenbezogene Daten insbesondere zu folgenden Zwecken:

• Bereitstellung der Website und Apps
• Registrierung und Login
• Verwaltung von Nutzerkonten
• Bereitstellung digitaler Stempelkarten
• Vergabe von Stempeln, Punkten und Belohnungen
• Anzeige teilnehmender Händler
• Betrieb der B2B-App für Händler
• Verwaltung von Händlerkonten, Stempelkarten und Kampagnen
• Abrechnung kostenpflichtiger B2B-Abos
• Support und Bearbeitung von Anfragen
• Versand technischer E-Mails
• Versand von Marketing-E-Mails und Push-Benachrichtigungen nach Einwilligung
• Sicherheitsmaßnahmen und Missbrauchsvermeidung
• Erfüllung gesetzlicher Pflichten
• Erstellung aggregierter und anonymisierter Statistiken

5. Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt je nach Zweck auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO, wenn die Verarbeitung zur Vertragserfüllung oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist.
• Art. 6 Abs. 1 lit. a DSGVO, wenn eine Einwilligung erteilt wurde, insbesondere für Marketing, bestimmte Push-Benachrichtigungen und optionale Angaben.
• Art. 6 Abs. 1 lit. c DSGVO, wenn gesetzliche Pflichten bestehen, insbesondere steuerliche und handelsrechtliche Aufbewahrungspflichten.
• Art. 6 Abs. 1 lit. f DSGVO, wenn berechtigte Interessen bestehen, insbesondere für Sicherheit, Missbrauchsvermeidung, technische Stabilität, Support und interne Verwaltung.
• § 25 TDDDG, soweit Informationen auf dem Endgerät gespeichert oder ausgelesen werden, zum Beispiel Local Storage, Session Storage oder Service Worker Cache.

6. Registrierung und Nutzerkonto

plopp kann teilweise ohne Nutzerkonto verwendet werden. Bestimmte Funktionen sind jedoch nur mit Account nutzbar. Die B2B-App ist nur mit Account nutzbar.

Bei der Registrierung und Nutzung eines Nutzerkontos können insbesondere folgende Daten verarbeitet werden: Name und Vorname, E-Mail-Adresse, Passwort bzw. Authentifizierungsdaten, Username, optionales Profilbild, optionales Geburtsdatum, optionale Telefonnummer, Nutzer-ID, Login-Status, verknüpfte Stempelkarten, Marketing-Einwilligungen sowie technische Authentifizierungsinformationen.

Die Authentifizierung erfolgt über Supabase Auth. Passwörter werden nicht im Klartext gespeichert.

7. Login mit Google oder Apple

Nutzer können sich auch über Google Auth oder Apple Auth anmelden. Dabei können je nach Anbieter insbesondere folgende Daten verarbeitet werden: E-Mail-Adresse, Name, bei Google gegebenenfalls Profilbild, bei Apple gegebenenfalls Apple Private Relay E-Mail-Adresse, sowie technische Authentifizierungsdaten.

Die Verarbeitung erfolgt zur Registrierung, Anmeldung und sicheren Authentifizierung.

8. Profilbilder

Nutzer können freiwillig ein Profilbild hochladen. Profilbilder werden über Supabase Storage gespeichert. Die Angabe eines Profilbilds ist freiwillig.

9. Digitale Stempelkarten und Kundenkarten

plopp ermöglicht Nutzern, digitale Stempelkarten und Kundenkarten teilnehmender Händler zu verwenden. Dabei werden insbesondere folgende Daten verarbeitet:

• Nutzer-ID, Name und E-Mail-Adresse
• Kundenname und Kunden-E-Mail
• Karten-ID, Kampagnen-ID und Store-ID
• aktueller Stempel- oder Punktestand
• Status der Karte, zum Beispiel aktiv oder eingelöst
• Zeitpunkt der Erstellung und Aktualisierung
• Marketing-Opt-in für den jeweiligen Händler
• Löschzeitpunkt bei Soft Delete

Kampagnen bzw. Stempelkarten können insbesondere folgende Angaben enthalten: Kampagnen-ID, Typ der Karte (z.B. Stempelkarte, Punktekarte oder Rabattaktion), Maximalwert (z.B. 10 Stempel), Status (z.B. aktiv oder archiviert), Konfiguration, Erstellungszeitpunkt und Store- oder Restaurant-Zuordnung.

10. Scan-, Stempel- und Belohnungshistorie

Bei der Nutzung von Stempelkarten werden Scan- und Stempelvorgänge gespeichert. Dies ist erforderlich, damit Stempelstände nachvollziehbar aktualisiert und Belohnungen korrekt eingelöst werden können. Dabei können insbesondere folgende Daten verarbeitet werden:

• Log-ID und Karten-ID
• Mitarbeiter-ID (falls der Scan durch einen Händler-Mitarbeiter erfolgt)
• Aktionstyp (z.B. Stempel vergeben, Punkte hinzugefügt, Punkte eingelöst oder Karte zurückgesetzt)
• Datum und Uhrzeit
• Betrag in Euro (falls vorhanden)
• geänderte Punkte oder Stempel
• Store-ID
• Notizen (falls vorhanden)

Die Historie dient der korrekten Bereitstellung des Treuesystems, der Vermeidung von Missbrauch und der Erstellung von Statistiken.

11. Händlerzugriff auf Nutzerdaten

Händler erhalten keinen allgemeinen Zugriff auf vollständige Nutzerprofile. Beim Scan eines QR-Codes sieht der jeweilige Händler nur die zur Durchführung des Vorgangs erforderlichen Informationen, insbesondere:

• Name des Nutzers
• Stempel- oder Punktestand der jeweiligen Karte

In der B2B-App sehen Händler außerdem aggregierte Statistiken, zum Beispiel Anzahl der Scans, eingelöste Belohnungen, Stammkunden-Zahlen und kartenbezogene Statistiken. Händler sehen keine Stempel- oder Scan-Historien anderer Händler.

12. Händler als eigene Verantwortliche

Teilnehmende Händler sind für ihre eigenen Stempelkarten, Belohnungen, Aktionen, Inhalte, Händlerprofile, Landingpages und eigenes Marketing eigenständig verantwortlich. plopp stellt hierfür die technische Plattform bereit. Händler können eigene Karten erstellen, ändern, zurücksetzen, archivieren oder löschen. Für die Rechtmäßigkeit eigener Händleraktionen, eigener Marketingmaßnahmen und eigener Inhalte sind die jeweiligen Händler verantwortlich.

plopp empfiehlt Händlern, vor dem Versand von Marketing-E-Mails zu prüfen, dass insbesondere ein Impressum, eine Abmeldemöglichkeit und rechtmäßige Inhalte enthalten sind. Diese Versandprüfung wird derzeit noch nicht technisch erzwungen.

13. Händler-Landingpages

Händler können eine eigene Landingpage erstellen, über die Nutzer eine Stempelkarte oder Kundenkarte annehmen können. Öffentlich sichtbar können insbesondere der Name und das Logo des Geschäfts sein.

14. B2B-Partner, Händlerkonten und Mitarbeiter-Accounts

Für B2B-Partner und Händler werden insbesondere folgende Daten verarbeitet: Firmenname, Ansprechpartner, Geschäftsadresse, E-Mail-Adresse, zugehörige Stores oder Restaurants, Stempelkarten und Kampagnen, Abo- und Zahlungsstatus, Rechnungsinformationen sowie die Stripe-Kundennummer oder vergleichbare Abrechnungskennungen.

Bei Mitarbeiter-Accounts von Händlern werden insbesondere verarbeitet: Name, E-Mail-Adresse, Passwort- bzw. Login-Daten, Rolle und zugehöriger Händler oder Store.

Es gibt insbesondere folgende Rollen:

• Manager mit vollem Zugriff auf den Händlerbereich
• Scanner mit Zugriff auf die Scan-App und QR-Code-Scan-Funktionen

Mitarbeiter-Accounts können durch Owner oder Manager angelegt werden.

15. Zahlungen und Abos über Stripe

Die B2C-App ist für Endnutzer kostenlos. Die B2B-App wird als kostenpflichtiges Abo angeboten. Zahlungen und Abos werden über Stripe abgewickelt. plopp speichert keine vollständigen Kreditkartennummern, IBANs, PayPal-Daten oder vergleichbaren vollständigen Zahlungsdaten selbst.

Verarbeitet werden können insbesondere: Firmenname, Ansprechpartner, Rechnungsdaten, Abo-Tarif, Laufzeit, Zahlungsstatus, Rechnungsstatus, Stripe-Kundennummer sowie Transaktions- oder Rechnungs-ID.

Die Verarbeitung erfolgt zur Abrechnung, Vertragsdurchführung, Zahlungsabwicklung und Erfüllung gesetzlicher Aufbewahrungspflichten.

16. Standortdaten

plopp kann den aktuellen Gerätestandort nutzen, um teilnehmende Händler in der Nähe anzuzeigen. Dabei gilt:

• Standortdaten werden nur bei aktiver Nutzung der entsprechenden Funktion verarbeitet.
• Es findet kein dauerhaftes Hintergrundtracking statt.
• Es wird kein Standortverlauf erstellt.
• Der Standort wird nicht dauerhaft in Supabase gespeichert.
• Der Standort dient ausschließlich der Anzeige von Partnern in der Nähe.

Die Standortberechtigung kann über die Einstellungen des Geräts widerrufen werden.

17. Kartendienste

plopp kann je nach Gerät Kartendienste verwenden: Google Maps auf Android-Geräten bzw. bei Nutzung entsprechender Google-Dienste, sowie Apple Karten auf Apple-Geräten.

In der App kann eine grobe Kartenanzeige erscheinen. Für weitere Informationen oder Navigation kann der Nutzer auf den jeweiligen Kartendienst weitergeleitet werden. Bei Nutzung externer Kartendienste können Daten durch den jeweiligen Anbieter verarbeitet werden. Hierfür gelten zusätzlich die Datenschutzinformationen des jeweiligen Anbieters.

18. Kamera und QR-Code-Scan

Die B2B-App nutzt die Kamera, um QR-Codes von Kunden zu scannen. Dabei gilt:

• Die Kamera wird nur live zum Scannen verwendet.
• Es werden keine Fotos oder Videos gespeichert.
• Es werden keine Kamerabilder dauerhaft übertragen.

Die Kamera-Berechtigung kann über die Einstellungen des Geräts widerrufen werden.

19. Supportformular

Über das Supportformular unter https://www.myplopp.de/support können Nutzer und Händler Anfragen stellen. Dabei werden insbesondere Name, E-Mail-Adresse und die Nachricht verarbeitet.

Supportanfragen werden in Supabase gespeichert und zur Bearbeitung der Anfrage verwendet. Über das Supportformular können auch Datenschutzanfragen, Löschanfragen, Widerrufe und Auskunftsanfragen gestellt werden.

20. Feedback und Bewertungen

Nutzer können Feedback an plopp senden. Dieses Feedback wird in einer Supabase-Tabelle gespeichert und dient der Verbesserung der eigenen App.

plopp kann Nutzer außerdem zu externen Bewertungsmöglichkeiten weiterleiten, die vom jeweiligen Händler hinterlegt wurden. Dies betrifft häufig Google Bewertungen. Für externe Bewertungsplattformen gelten die Datenschutzinformationen des jeweiligen Anbieters.

21. Technische E-Mails über Resend

plopp nutzt Resend für technische E-Mails. Dazu gehören insbesondere: Registrierung und E-Mail-Bestätigung, Passwort zurücksetzen, Double-Opt-in-E-Mails, Accountlöschung sowie Zahlungs- und Abo-Hinweise.

Diese E-Mails sind für die Bereitstellung und Sicherheit des Dienstes erforderlich.

22. E-Mail-Marketing über Mailgun

plopp und Händler können E-Mail-Marketing nutzen, soweit eine wirksame Einwilligung vorliegt. E-Mail-Marketing kann insbesondere Angebote von plopp, Gutscheine, Aktionen, Händlerangebote, Geburtstagsgutscheine sowie Informationen zu Stempelkarten und Belohnungen betreffen. Für Marketing-E-Mails wird Mailgun eingesetzt.

Bei E-Mail-Marketing können insbesondere folgende Daten verarbeitet werden: Name, E-Mail-Adresse, Geburtsdatum (falls angegeben und für die Aktion relevant), Stempelstatus, Händlerbezug, Einwilligungsstatus, Zeitpunkt der Einwilligung, Double-Opt-in-Bestätigung, Zeitpunkt des Widerrufs, Öffnungen, Klicks, Zustellstatus, Bounces, Abmeldungen, verwendetes Gerät, IP-Adresse und Tracking-Pixel-Daten.

Marketing-E-Mails können Bilder, Links und Tracking-Pixel enthalten, über die Öffnungen und Klicks gemessen werden.

Nutzer erhalten Händler-Marketing nur, wenn sie dem jeweiligen Händler separat zugestimmt haben. Eine allgemeine Zustimmung für alle Händler genügt hierfür nicht.

Nutzer können Marketing-Einwilligungen jederzeit widerrufen, insbesondere über https://www.myplopp.de/support. Bei Marketing-E-Mails soll außerdem eine Abmeldemöglichkeit enthalten sein.

23. Händler-Marketing

Händler können eigenständig Marketing betreiben, soweit Nutzer pro Händler zugestimmt haben. Wenn ein Nutzer dem Marketing eines bestimmten Händlers zustimmt, kann der Händler für sein Marketing insbesondere folgende Daten erhalten oder nutzen: Name, E-Mail-Adresse, Geburtsdatum, Stempelstatus.

plopp prüft technisch, ob eine entsprechende Einwilligung vorliegt. Einwilligungen werden protokolliert, insbesondere mit Zeitpunkt, Nutzerbezug, Händlerbezug, Einwilligungstext und Double-Opt-in-Bestätigung.

Händler sind als eigene Verantwortliche für die Rechtmäßigkeit ihrer Marketinginhalte und ihres eigenen Marketings verantwortlich.

24. Push-Benachrichtigungen

plopp kann Push-Benachrichtigungen verwenden. Hierfür wird Firebase Cloud Messaging eingesetzt. Push-Benachrichtigungen können insbesondere genutzt werden für: neue Stempel, aktualisierte Punkte, volle Stempelkarten, einlösbare Belohnungen sowie wichtige App-Hinweise.

Bei Push-Benachrichtigungen können insbesondere verarbeitet werden: Push-Token, Plattform (z.B. iOS oder Android), Zeitpunkt der Zustimmung, Einwilligungsstatus, Widerrufsstatus sowie technische Zustellinformationen.

Wird die Einwilligung widerrufen oder werden Benachrichtigungen deaktiviert, wird das Push-Token gelöscht oder ungültig gemacht. Aktuell stehen funktionale Push-Benachrichtigungen im Vordergrund. Werbliche Push-Benachrichtigungen von plopp oder Händlern sollen nur nach ausdrücklicher Einwilligung versendet werden.

25. Segmentierung für Benachrichtigungen

plopp kann zweckgebundene Segmentierungen nutzen, um Benachrichtigungen korrekt auszulösen. Beispiele hierfür sind: Nutzer mit voller Stempelkarte, Nutzer mit aktiver Karte bei Händler X, sowie Nutzer, die eine bestimmte Belohnung einlösen können.

Es findet derzeit keine dauerhafte Standortsegmentierung und kein Geofencing statt. Es werden keine übergreifenden kommerziellen Drittwerbeprofile erstellt.

26. Local Storage, Session Storage und Service Worker Cache

Da plopp als Progressive Web App betrieben wird, werden technisch notwendige Speichertechniken verwendet: Local Storage, Session Storage, Service Worker Cache sowie Cache Storage.

Diese Speichertechniken werden verwendet für Login-Sessions, Speicherung von Authentifizierungs-Tokens, App-Zustände, schnelle Ladezeiten, Offline- und PWA-Funktionalität, sowie die Bereitstellung von App-Komponenten wie HTML, CSS, JavaScript und App-Icons.

Für technisch notwendige Speichertechniken ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich, soweit die Speicherung oder der Zugriff unbedingt erforderlich ist, um den vom Nutzer gewünschten digitalen Dienst bereitzustellen.

Einwilligungspflichtige Speichertechniken und Dienste (insbesondere Google Analytics, siehe Abschnitt 26a, sowie die Speicherung von Referral-/UTM-Herkunftsquellen zu Marketingzwecken) werden ausschließlich nach vorheriger aktiver Einwilligung über unseren Cookie-Banner eingesetzt (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Die Einwilligung wird mit Zeitpunkt und Umfang protokolliert und kann jederzeit mit Wirkung für die Zukunft widerrufen werden — am einfachsten über den Link Cookie-Einstellungen (auch im Footer der Website verfügbar).

26a. Google Analytics

Sofern eine Einwilligung erteilt wurde, nutzt plopp auf der Website Google Analytics 4, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Google Analytics verwendet Cookies und ähnliche Speichertechniken, die eine Analyse der Nutzung der Website ermöglichen.

Rechtsgrundlage ist ausschließlich die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Ohne Einwilligung wird Google Analytics nicht geladen und es werden keine Daten an Google übertragen. Die IP-Adresse wird von Google Analytics 4 nicht dauerhaft gespeichert und für Nutzer aus der EU nur gekürzt verarbeitet.

Verarbeitet werden können insbesondere: pseudonyme Nutzer- und Sitzungs-IDs, besuchte Seiten, Verweildauer, ungefährer Standort (Region), Gerätetyp, Browser und Interaktionsereignisse. Es kann eine Übermittlung an Server der Google LLC in den USA stattfinden; Google LLC ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Die Speicherdauer der Analytics-Daten ist auf maximal 14 Monate begrenzt.

Die Einwilligung kann jederzeit mit Wirkung für die Zukunft über Cookie-Einstellungen widerrufen werden; bereits gesetzte Analytics-Cookies werden dabei entfernt. Weitere Informationen: https://policies.google.com/privacy

27. Google Fonts

plopp nutzt Schriftarten aus dem Google-Fonts-Katalog. Die Schriftarten werden lokal über die eigene Infrastruktur von plopp ausgeliefert (Self-Hosting). Beim Laden der Schriftarten findet keine Verbindung zu Google-Servern statt; es werden dabei keine personenbezogenen Daten an Google übertragen.

28. App Stores und Store-Diagnosedaten

plopp kann über den Google Play Store und den Apple App Store bereitgestellt werden. Dabei können Google und Apple eigene Daten verarbeiten, insbesondere im Zusammenhang mit: App-Download, Installation, Updates, Store-Account, Zahlungsinformationen (soweit einschlägig), Geräteinformationen, App-Store-Statistiken sowie aggregierten Diagnosedaten.

plopp nutzt keine nativen Crash-Reporter wie Google Crashlytics oder Sentry. Aggregierte oder anonymisierte Diagnosedaten können über Google Play Console und App Store Connect bereitgestellt werden. Für Datenverarbeitungen durch Google und Apple gelten zusätzlich die Datenschutzinformationen der jeweiligen Anbieter.

29. Vercel

plopp nutzt Vercel für das Hosting der Frontends der B2C-App und der B2B-App. Vercel kann außerdem teilweise technische Weiterleitungen an Supabase verarbeiten. Dabei können technisch notwendige Daten verarbeitet werden, insbesondere: IP-Adresse, Zeitpunkt des Zugriffs, aufgerufene Ressourcen, Browser- und Geräteinformationen, sowie technische Fehler- und Sicherheitsdaten.

Die Verarbeitung erfolgt zur Bereitstellung, Sicherheit und Stabilität der Website und App.

30. Supabase

plopp nutzt Supabase für Datenbank, Authentifizierung, Storage, Realtime-Funktionen und Backend-Funktionen. Über Supabase werden insbesondere verarbeitet: Nutzerkonten, Authentifizierungsdaten, Profilinformationen, Profilbilder, Stempelkarten, Stempelstände, Scan- und Belohnungshistorien, Händlerdaten, Mitarbeiter-Accounts, Supportanfragen, Marketing-Einwilligungen, Push-Token sowie Synchronisierungsdaten zwischen B2C und B2B.

Die B2C-Datenbank befindet sich in Frankfurt, die B2B-Datenbank in Stockholm.

31. Synchronisierung zwischen B2C und B2B

Zwischen B2C- und B2B-Projekt werden kartenbezogene Daten in beide Richtungen synchronisiert. Synchronisiert werden insbesondere: Kampagnen, Nutzerkarten, Stempel- und Scan-Logs, Stores, Restaurants, sowie erforderliche Nutzer- oder Kundendaten wie Name und E-Mail-Adresse, soweit sie für Kartenfunktionen benötigt werden.

Die Synchronisierung läuft über Supabase Trigger und Functions. Die Übertragung erfolgt nach aktuellem Stand über verschlüsselte Verbindungen. Zugriffe werden über Authentifizierung, Berechtigungen und Row Level Security beschränkt.

32. Sicherheit

plopp nutzt technische und organisatorische Maßnahmen, um personenbezogene Daten zu schützen. Dazu gehören insbesondere:

• HTTPS/SSL bzw. TLS-verschlüsselte Verbindungen
• Authentifizierung über Supabase Auth
• Keine Speicherung von Passwörtern im Klartext
• Rollen- und Rechtekonzept
• Supabase Row Level Security
• Beschränkter Admin-Zugriff
• Zwei-Faktor-Authentifizierung für administrative Zugänge
• Regelmäßige Updates und Patches
• Zugriff nach dem Need-to-know-Prinzip

Vollständigen administrativen Zugriff hat derzeit Stefan Denk. Externe Support-Teams, Agenturen oder Entwickler haben aktuell keinen Zugriff auf Produktionsdaten. Admin-Aktionen werden derzeit noch nicht gesondert protokolliert. plopp empfiehlt, künftig Admin-Logs für sensible Aktionen einzuführen.

33. Bot- und Spam-Schutz

plopp nutzt das integrierte Rate-Limiting von Supabase Auth zum Schutz vor Brute-Force-Angriffen und automatisierten Massenanfragen. Aktuell werden keine sichtbaren oder unsichtbaren Captcha-Dienste wie Google reCAPTCHA, hCaptcha oder Cloudflare Turnstile eingesetzt. Solche Dienste können bei Bedarf künftig ergänzt werden.

34. Minderjährige

plopp hat derzeit keine feste Altersbeschränkung. Die App richtet sich jedoch vorrangig an Nutzer, die eigenständig an Treueprogrammen teilnehmen und Angebote bei Händlern nutzen.

Marketing-Einwilligungen müssen wirksam erteilt werden. Soweit gesetzlich erforderlich, kann bei minderjährigen Nutzern die Zustimmung der Sorgeberechtigten erforderlich sein.

35. Keine besonderen Kategorien personenbezogener Daten

plopp verarbeitet nach aktuellem Stand keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO, also insbesondere keine Gesundheitsdaten, politischen Meinungen, religiösen Überzeugungen, Gewerkschaftsdaten, Daten zur sexuellen Orientierung oder Ausweisdokumente.

36. Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt. plopp verwendet keine Scoring-Verfahren und keine automatische Bewertung von Nutzern mit rechtlicher oder ähnlich erheblicher Wirkung.

37. Speicherdauer

Personenbezogene Daten werden grundsätzlich nur so lange gespeichert, wie dies für die jeweiligen Zwecke erforderlich ist. Für plopp gilt insbesondere:

• Accountdaten werden gespeichert, solange das Nutzerkonto besteht.
• Supportanfragen werden gespeichert, solange dies zur Bearbeitung und Dokumentation erforderlich ist.
• Marketing-Einwilligungen werden bis zum Widerruf und darüber hinaus soweit erforderlich zum Nachweis der Einwilligung gespeichert.
• B2B-Rechnungs- und Vertragsdaten werden aufgrund gesetzlicher Aufbewahrungspflichten regelmäßig 10 Jahre gespeichert.
• Stempel-, Scan- und Belohnungshistorien können für Statistikzwecke nach Accountlöschung anonymisiert weiter gespeichert werden.
• Bei Löschanfragen werden personenbezogene Daten grundsätzlich innerhalb von 14 Tagen gelöscht oder anonymisiert, soweit keine gesetzlichen Pflichten entgegenstehen.

38. Accountlöschung und Anonymisierung

Nutzer können die Löschung ihres Accounts über https://www.myplopp.de/support beantragen.

Bei Löschung werden personenbezogene Daten wie Name, E-Mail-Adresse, Telefonnummer, Profilbild und Authentifizierungsdaten gelöscht oder anonymisiert. Stempel-, Scan- und Belohnungshistorien können für Statistikzwecke weiter gespeichert werden, wenn sie so anonymisiert wurden, dass kein Rückschluss auf die konkrete Person mehr möglich ist.

Nach der Anonymisierung können insbesondere folgende statistische Daten erhalten bleiben: Anzahl der Scans, eingelöste Belohnungen, Filiale oder Stadt des Scans, Kartentyp, Datum und Uhrzeit, sowie Aktionstyp. Die alte User-ID soll dabei entfernt oder durch eine neue zufällige Statistik-ID ersetzt werden. Es darf keine Mapping-Tabelle bestehen bleiben, über die der gelöschte Account wieder zugeordnet werden kann.

39. Backups

Aktuell sind keine eigenen regelmäßigen Backups vorgesehen. Dadurch erfolgt keine zusätzliche langfristige Speicherung gelöschter Daten in eigenen Backup-Systemen. Sollten künftig Backups eingesetzt werden, können gelöschte Daten bis zum Ablauf der jeweiligen Backup-Frist in Sicherungskopien enthalten sein und danach überschrieben werden.

40. Datenexport und Auskunft

Nutzer können über https://www.myplopp.de/support eine Auskunft über ihre personenbezogenen Daten oder eine Kopie ihrer Daten anfordern. Je nach Anfrage und gesetzlicher Voraussetzung können Nutzer insbesondere folgende Rechte geltend machen:

• Recht auf Auskunft, Berichtigung und Löschung
• Recht auf Einschränkung der Verarbeitung
• Recht auf Datenübertragbarkeit und Widerspruch
• Recht auf Widerruf erteilter Einwilligungen
• Recht auf Beschwerde bei einer Aufsichtsbehörde

41. Widerruf von Einwilligungen

Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden. Dies betrifft insbesondere: E-Mail-Marketing von plopp, E-Mail-Marketing einzelner Händler, werbliche Push-Benachrichtigungen sowie optionale Angaben wie Geburtsdatum oder Telefonnummer, soweit diese auf Einwilligung beruhen.

Der Widerruf kann über https://www.myplopp.de/support erfolgen. Bei Marketing-E-Mails soll zusätzlich eine Abmeldemöglichkeit enthalten sein. Der Widerruf berührt nicht die Rechtmäßigkeit der Verarbeitung bis zum Zeitpunkt des Widerrufs.

42. Empfänger personenbezogener Daten

Personenbezogene Daten können an folgende Empfänger oder Kategorien von Empfängern übermittelt werden:

• technische Dienstleister
• Hosting- und Infrastruktur-Anbieter
• Datenbank- und Authentifizierungsanbieter
• Zahlungsdienstleister
• E-Mail-Dienstleister und Push-Dienstleister
• App-Store-Betreiber
• Kartendienstanbieter
• teilnehmende Händler, soweit für Kartenfunktion oder Marketing mit Einwilligung erforderlich
• Behörden, soweit gesetzlich erforderlich
• Steuerberater oder vergleichbare Stellen, soweit für Abrechnung und gesetzliche Pflichten erforderlich

43. Drittlandübermittlungen

Einige eingesetzte Dienstleister können ihren Sitz außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums haben oder Daten dort verarbeiten. Soweit personenbezogene Daten in Drittländer übermittelt werden, erfolgt dies nur, wenn eine datenschutzrechtliche Grundlage besteht, zum Beispiel ein Angemessenheitsbeschluss der Europäischen Kommission, Standardvertragsklauseln, zusätzliche Schutzmaßnahmen, eine ausdrückliche Einwilligung oder eine gesetzliche Erlaubnis.

plopp nutzt nach Möglichkeit EU-Einstellungen der jeweiligen Anbieter.

44. Beschwerderecht bei der Aufsichtsbehörde

Betroffene Personen haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für Cloudgrowth ist zuständig:

45. Änderungen dieser Datenschutzerklärung

plopp kann diese Datenschutzerklärung anpassen, wenn sich die App, die Datenverarbeitung, eingesetzte Dienste oder rechtliche Anforderungen ändern. Die jeweils aktuelle Fassung ist unter https://www.myplopp.de/datenschutz abrufbar.