2. Anwendungsbereich und Datenschutzrollen

Diese Datenschutzerklärung unterscheidet drei zentrale Gruppen betroffener Personen. Welche Rolle PebbleByte einnimmt, hängt davon ab, in welchem Zusammenhang RevWize genutzt wird:

Website-Besucher und Besucher öffentlicher RevWize-Seiten: Wer revwize.com oder ein öffentlich zugängliches Unternehmensprofil aufruft, kann technische Verbindungs- und Sicherheitsdaten erzeugen. Für die technische Bereitstellung dieser Seiten verarbeitet PebbleByte diese Daten grundsätzlich als Verantwortlicher.

Registrierte Nutzer und Geschäftskunden: Für Registrierung, Login, Kundenkonto, Vertragsdurchführung, Abrechnung, Support, Sicherheit und Missbrauchsprävention ist PebbleByte Verantwortlicher. Dies betrifft insbesondere Inhaber, Mitarbeiter und sonstige autorisierte Nutzer eines Geschäftskunden.

Endkunden eines Geschäftskunden: Sobald eine Person über ein öffentliches Unternehmensprofil, ein QR-Formular, einen Check-in, eine Loyalty-Funktion oder eine Kampagne personenbezogene Daten gegenüber dem jeweiligen Unternehmen angibt oder eine SMS des Unternehmens erhält, bestimmt grundsätzlich der jeweilige Geschäftskunde Zwecke und Rechtsgrundlagen dieser Verarbeitung. PebbleByte verarbeitet die betreffenden Endkundendaten als Auftragsverarbeiter nach Art. 28 DSGVO und dem AVV. Betroffene Endkunden wenden sich wegen dieser Daten und ihrer Rechte vorrangig an das jeweilige Unternehmen.

3. Website, öffentliche Unternehmensprofile und technische Bereitstellung

Beim Aufruf von revwize.com, der RevWize-Webapplikation oder eines öffentlich zugänglichen Unternehmensprofils können insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene URL, Referrer, Browser, Betriebssystem, Gerätedaten, Übertragungsstatus sowie Sicherheits- und Fehlerprotokolle verarbeitet werden. Dies dient der Auslieferung der Inhalte, dem technischen Betrieb, der Fehleranalyse sowie der Erkennung und Abwehr von Angriffen.

PebbleByte ist für diese technische Bereitstellung grundsätzlich Verantwortlicher. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; berechtigte Interessen sind ein sicherer, stabiler und wirtschaftlicher Betrieb, Fehleranalyse, Missbrauchsprävention und der Nachweis technischer Vorgänge. Soweit die Bereitstellung für vorvertragliche Maßnahmen oder Vertragserfüllung erforderlich ist, gilt zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

Das bloße Aufrufen eines öffentlichen Unternehmensprofils führt noch nicht dazu, dass eine Person als Endkunde im Auftrag des dargestellten Unternehmens verarbeitet wird. Erst wenn über dieses Profil personenbezogene Daten eingegeben, ein Check-in durchgeführt, eine Loyalty- oder Gutschein-Funktion genutzt oder eine vergleichbare Interaktion ausgelöst wird, gelten für diese Endkundendaten die Regelungen in Abschnitt 8.

4. Geschäftskunden, registrierte Nutzer und Kundenkonto

Bei Anfragen, Registrierung und Nutzung verarbeiten wir insbesondere Unternehmensname, Anschrift, UID-Nummer oder andere Unternehmenskennung, Name und Kontaktdaten von Ansprechpartnern, Login- und Berechtigungsdaten, gewählten Tarif, Credits, Laufzeit, Vertrags- und Zahlungsstatus sowie Kommunikations- und Supportdaten.

Die Verarbeitung dient vorvertraglichen Maßnahmen, Vertragsschluss, Kontobereitstellung, Authentifizierung, Leistungsverwaltung und Kundenbetreuung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die betroffene Person selbst Vertragspartner ist. Bei Ansprechpartnern eines Unternehmens stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO; berechtigte Interessen sind effiziente B2B-Kommunikation, Vertragsdurchführung mit dem Unternehmen und sichere Benutzerverwaltung.

Pflichtangaben im Registrierungs- oder Checkout-Prozess sind für Vertragsschluss und Leistungserbringung erforderlich. Ohne sie können wir kein Konto oder keinen Vertrag bereitstellen. Freiwillige Angaben sind entsprechend gekennzeichnet.

5. Abrechnung, Zahlung und gesetzliche Pflichten

Für Angebote, Rechnungen, Zahlungen und Buchhaltung verarbeiten wir Unternehmens-, Kontakt-, Rechnungs-, Transaktions-, Steuer- und Zahlungsstatusdaten. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für Vertragsabwicklung und Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Buchführungs-, Steuer- und Nachweispflichten.

Für Zahlungen von Geschäftskunden können wir Stripe Payments Europe Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland, und/oder Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande, einsetzen. Der jeweils eingesetzte Zahlungsdienstleister erhält die zur Zahlungsabwicklung erforderlichen Daten und kann für einzelne, insbesondere regulatorische und sicherheitsbezogene Zwecke eigenständig Verantwortlicher sein. Zahlungsdaten werden grundsätzlich unmittelbar in der vom jeweiligen Zahlungsdienstleister bereitgestellten Zahlungsumgebung eingegeben. Endkunden-Zahlungen sind nicht Gegenstand dieser Verarbeitung im Rahmen der RevWize-Geschäftskundenabrechnung.

6. Support, Kommunikation und Missbrauchsprävention

Bei Supportanfragen verarbeiten wir Kontaktdaten, Anfrageinhalte, Anhänge, technische Diagnoseinformationen und Bearbeitungsverläufe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; bei allgemeinen Ansprechpartnern und zur Verbesserung von Sicherheit und Support zusätzlich Art. 6 Abs. 1 lit. f DSGVO.

Zur Erkennung von Angriffen, Kontomissbrauch, Zahlungsbetrug und unerlaubten Versandmustern verarbeiten wir Login-, Nutzungs-, Versand- und Sicherheitsprotokolle im erforderlichen Umfang. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; berechtigte Interessen sind Schutz von Nutzern und Endkunden, Systemsicherheit, Schadensvermeidung und Rechtsdurchsetzung.

7. Cookies, lokale Speicherung und Nutzungsanalyse

RevWize setzt derzeit keine Cookies ein. Insbesondere verwenden wir derzeit keine Analyse- oder Marketing-Cookies und speichern für die Nutzungsanalyse keine persistenten Nutzerkennungen im Browser.

Zur technischen und produktbezogenen Nutzungsanalyse verwenden wir PostHog, angeboten von PostHog Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA, in der PostHog Cloud EU. Die Analysedaten werden dabei auf der EU-Infrastruktur von PostHog in Frankfurt, Deutschland, verarbeitet und gespeichert. Die Analyse arbeitet ohne Cookies und ohne persistente Identifikatoren; sitzungsbezogene Werte werden nur im Arbeitsspeicher des Browsers gehalten. Nach unserer Konfiguration werden keine Namen, E-Mail-Adressen, Account-IDs oder Endkundenkennungen als Analyse-Identifikatoren an PostHog übermittelt. Eine Wiedererkennung über mehrere Browsersitzungen hinweg ist dadurch nicht vorgesehen.

Soweit hierbei personenbezogene technische Daten anfallen, erfolgt die Verarbeitung zur Analyse und Verbesserung von Stabilität, Bedienbarkeit und Funktionen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der datensparsamen Verbesserung und Absicherung des Dienstes. Sollten künftig Cookies oder andere nicht notwendige persistente Technologien eingesetzt werden, wird diese Datenschutzerklärung entsprechend aktualisiert und eine erforderliche Einwilligung vor deren Einsatz eingeholt.

8. Endkundendaten in RevWize

Geschäftskunden können über RevWize personenbezogene Daten ihrer Endkunden verarbeiten, insbesondere Kontaktdaten, Einwilligungs- und Opt-out-Daten, Nachrichten- und Zustelldaten, QR-Check-ins, Stempelkartenstände, Punkte, Rewards, Gutscheine, Einlösungen, Tags, Segmente, Kampagnenzuordnungen sowie endkundenbezogene Nutzungs- und Änderungsprotokolle. Solche Daten können insbesondere über öffentliche Unternehmensprofile, QR-Formulare, Check-ins oder durch Kampagnen des Geschäftskunden entstehen.

Für diese Endkundendaten bestimmt der jeweilige Geschäftskunde die Zwecke und Rechtsgrundlagen und ist grundsätzlich Verantwortlicher. PebbleByte verarbeitet diese Daten nicht zu eigenen Marketingzwecken, sondern als Auftragsverarbeiter ausschließlich zur technischen Bereitstellung, Speicherung, zum SMS-Versand, zur Sicherheit und nach dokumentierten Weisungen des Geschäftskunden.

Bei einer Dateneingabe, einem QR-Code-Check-in oder einer vergleichbaren Interaktion auf einem öffentlichen Unternehmensprofil muss die dort angezeigte Datenschutzinformation das jeweilige Unternehmen als Verantwortlichen nennen und transparent erläutern, wofür die Daten verwendet werden. RevWize kann hierfür eine technische Vorlage bereitstellen; für Vollständigkeit, Inhalt und Rechtsgrundlage ist der Geschäftskunde verantwortlich.

Soweit eine Einwilligung erforderlich ist, sollen eine einmalige Bewertungsanfrage und laufende Werbe-SMS getrennt auswählbar sein. Einwilligungen dürfen nicht vorangekreuzt sein und müssen jederzeit einfach widerrufen werden können. Widerrufe und Opt-outs werden im Auftrag des Geschäftskunden dokumentiert und für den betreffenden Zweck beachtet.

10. Datenübermittlungen außerhalb des EWR

Wir bevorzugen Verarbeitung im Europäischen Wirtschaftsraum. Soweit ein Anbieter Daten außerhalb des EWR verarbeitet oder von dort darauf zugreift, erfolgt dies nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO, insbesondere aufgrund eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln und – soweit erforderlich – zusätzlichen technischen und organisatorischen Maßnahmen.

12. Quellen der Daten

Wir erhalten Daten direkt von betroffenen Personen, von dem Unternehmen, für das sie tätig sind, aus von ihnen genutzten RevWize-Funktionen, von Zahlungs- und technischen Dienstleistern sowie – bei Endkundendaten – vom jeweiligen Geschäftskunden oder durch dessen öffentliche Unternehmensprofile, QR-Formulare, Check-ins und Kampagnen. Öffentlich zugängliche Unternehmensregister können zur Prüfung von Unternehmensangaben herangezogen werden.

13. Rechte betroffener Personen

Unter den gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie das Recht, Einwilligungen jederzeit mit Wirkung für die Zukunft zu widerrufen. Ein Widerruf berührt die Rechtmäßigkeit der vorherigen Verarbeitung nicht.

Widersprüche gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können unter Darlegung der besonderen Situation an office@pebblebyte.com gerichtet werden. Gegen Direktwerbung kann jederzeit ohne Begründung widersprochen werden.

Betrifft eine Anfrage Endkundendaten, die PebbleByte nur im Auftrag verarbeitet, ist das jeweilige Unternehmen primäre Ansprechstelle. PebbleByte leitet Anfragen nach Möglichkeit weiter und unterstützt den Verantwortlichen.

14. Automatisierte Entscheidungen

PebbleByte trifft als Verantwortlicher keine ausschließlich automatisierten Entscheidungen, die gegenüber betroffenen Personen rechtliche Wirkung entfalten oder sie ähnlich erheblich beeinträchtigen. Segmentierungen und Kampagnenlogiken innerhalb RevWize werden vom Geschäftskunden konfiguriert und in dessen Auftrag ausgeführt.

15. Datensicherheit

Wir setzen risikoorientierte technische und organisatorische Maßnahmen ein, darunter TLS-verschlüsselte Übertragung, Authentifizierung, rollenbasierte Zugriffe, Protokollierung sicherheitsrelevanter Vorgänge, Wartungs- und Updateprozesse, Backup- und Wiederherstellungsverfahren, Vertraulichkeitsverpflichtungen sowie Incident- und Löschprozesse.