DATENSCHUTZERKLÄRUNG (DEUTSCH)

Stand: 27. Oktober 2026 · Version 2.10

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

RPK Labs UG (haftungsbeschränkt)
Schauenburgerstraße 118
24118 Kiel, Deutschland
Vertreten durch den Geschäftsführer: Robert Kose
E-Mail: info@schenkki.de
Handelsregister: HRB 28566 KI (Amtsgericht Kiel)

Diese Datenschutzerklärung gilt für die SchenkKI-App, die Website schenkki.de und die hierfür eingesetzten Serverdienste.

2. Datenschutzkontakt

Datenschutzanfragen können an info@schenkki.de gerichtet werden. Ein Datenschutzbeauftragter ist derzeit nicht bestellt, da nach unserer Prüfung aktuell keine gesetzliche Verpflichtung hierzu besteht.

3. Welche Daten wir verarbeiten

3.1 Konto- und Anmeldedaten

Je nach Nutzungsart verarbeiten wir insbesondere eine technische Nutzerkennung, E-Mail-Adresse, Passwort-Hash, gegebenenfalls Kennungen externer Anmeldedienste sowie Zeitpunkte der Kontoanlage und Anmeldung. Bei einer Nutzung ohne dauerhafte Registrierung kann eine anonyme technische Kennung verwendet werden. Optional können Sie in der App Ihren eigenen Vornamen angeben und später ändern oder entfernen; er wird zusammen mit Ihrem Konto gespeichert, ist Teil der Auskunft über Ihre Daten und wird bei der Kontolöschung mit gelöscht. Wir übermitteln ihn nicht an den KI-Dienst und nehmen ihn nicht in Protokolle auf.

3.2 Angaben für Geschenkempfehlungen

Für die Erstellung von Geschenkideen können insbesondere folgende Angaben verarbeitet werden: Name der Geschenkperson (freiwillig), Freitextangaben (freiwillig), Altersband bzw. daraus abgeleitete Altersangaben, Geschlecht, Beziehung zum Nutzer, Interessen, Charaktereigenschaften, Anlass, Budget, gewünschte Geschenkkategorien sowie Rückfragen und Vorschläge in der Ergebnisansicht und Ihre Antworten darauf. Ändern Sie später Angaben zu einer Geschenkperson oder einer Geschenksuche, ermitteln wir die daraus abgeleiteten Merkmale bei der nächsten Empfehlung neu und übermitteln die geänderten Angaben dafür erneut an den KI-Dienst; bereits angezeigte Geschenkideen bleiben unverändert. Optional können Sie zu einer Geschenkperson einen Geburtstag als Tag und Monat angeben, ausdrücklich ohne Jahr; wir speichern kein Geburtsdatum. Der Geburtstag wird mit der Person gelöscht (auch bei Kontolöschung), ist Teil der Auskunft und wird nicht an den KI-Dienst übermittelt. Eine Erinnerung daran wird ausschließlich auf Ihrem Gerät geplant; wir versenden sie nicht.

Bitte geben Sie in Freitextfeldern keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO ein, insbesondere keine Angaben zu Gesundheit, Religion, politischer Meinung oder sexueller Orientierung. Solche Angaben werden von uns nicht gezielt abgefragt.

3.3 Nutzungs- und technische Daten

Zur Bereitstellung und Verbesserung des Dienstes können technische Nutzungsdaten verarbeitet werden, insbesondere Sitzungs- und Anfragekennungen, Beginn und letzte Aktivität eines App-Besuchs, welche Schritte des Fragebogens angezeigt wurden und ob er abgeschickt wurde (ohne Ihre Antworten), Empfehlungsvorgänge, angezeigte Vorschläge, Interaktionen mit Vorschlägen oder Angeboten, technische Statusinformationen sowie Server- und Fehlerprotokolle. Bei einzelnen authentifizierten Vorgängen kann in technischen Protokollen außerdem eine Kontokennung enthalten sein.

3.4 Analyse-, Fehler- und Sitzungsdaten nach Einwilligung

Nur wenn Sie ausdrücklich einwilligen, verarbeiten wir zusätzliche Nutzungs- und Analysedaten, Fehler- und Absturzberichte sowie Sitzungsaufzeichnungen zur Verbesserung der App. Inhalte in Sitzungsaufzeichnungen werden nach den eingesetzten Schutzmechanismen maskiert. An den Analysedienst übermitteln wir keine Konto-E-Mail-Adresse und keine SchenkKI-Kontokennung.

Diese Einwilligung ist von der Einwilligung in die Werbemessung mit Meta (Abschnitt 3.7) getrennt. Sie können die eine erteilen und die andere ablehnen; die Analyse dient der Verbesserung der App, die Werbemessung der Messung unserer Anzeigen.

Sie können eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft in den App-Einstellungen widerrufen.

3.5 Kontakt- und Supportanfragen

Wenn Sie uns kontaktieren, verarbeiten wir die von Ihnen angegebenen Kontaktdaten und den Inhalt Ihrer Nachricht, soweit dies zur Bearbeitung Ihres Anliegens erforderlich ist.

3.6 Webformular für Kontolöschanträge

Wenn du über schenkki.de/konto-loeschen.html eine Kontolöschung beantragst, verarbeitet das Formular die von dir eingegebene E-Mail-Adresse und die Bestätigungs-Checkbox, mit der du die Löschung des Kontos und der damit verbundenen personenbezogenen Daten beantragst. Die Anfrage wird per E-Mail an info@schenkki.de übermittelt. Sie führt nicht automatisch zur Löschung eines Kontos. Ein Konto wird erst gelöscht, nachdem die Anfrage von der zum Konto gehörenden E-Mail-Adresse aus bestätigt wurde.

Zum Schutz vor automatisiertem Spam enthält das Formular ein unsichtbares Honeypot-Feld. Wird dieses ausgefüllt, wird die Anfrage verworfen und keine E-Mail versendet. Zusätzlich wird serverseitig ein Rate-Limit eingesetzt. Dafür verarbeitet der Formular-Endpunkt die IP-Adresse der Anfrage und bildet daraus einen SHA-256-Hash; die rohe IP-Adresse wird durch die Rate-Limit-Logik nicht in der Rate-Limit-Datei gespeichert. In der Rate-Limit-Datei werden der Hash und Zeitstempel von Formularversuchen gespeichert. Abgelaufene Rate-Limit-Dateien werden bei nachfolgenden Formularaufrufen bereinigt; technisch können sie bis zu dieser Bereinigung auf dem Server verbleiben. Unabhängig davon können beim Hosting übliche Serverprotokolle mit IP-Adresse entstehen, wie in Abschnitt 13 beschrieben.

Zweck der Verarbeitung ist die sichere Bearbeitung von Kontolöschanträgen und die Abwehr missbräuchlicher oder automatisierter Formularnutzung. Rechtsgrundlage für die Bearbeitung des Löschantrags ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage die Beendigung des Nutzungsverhältnisses betrifft, sowie Art. 6 Abs. 1 lit. c DSGVO, soweit gesetzliche Betroffenenrechte erfüllt werden. Der Spam- und Missbrauchsschutz erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz des Formulars und unserer Kommunikationssysteme.

Die im Postfach gespeicherte Löschanfrage wird nach Abschluss der Bearbeitung gelöscht, spätestens nach 24 Monaten, soweit keine gesetzliche Pflicht oder ein erforderlicher Nachweis eine längere Speicherung verlangt.

3.7 Werbemessung mit Meta nach Einwilligung

Wir bewerben SchenkKI auch mit Anzeigen auf Facebook und Instagram. Um zu messen, ob diese Anzeigen dazu führen, dass die App installiert und genutzt wird, und um die Auslieferung unserer Anzeigen zu verbessern, setzen wir in der App das Software Development Kit (SDK) von Meta ein. Das geschieht nur, wenn Sie in der Abfrage der App der Werbemessung ausdrücklich zustimmen. Ohne diese Zustimmung wird das SDK nicht gestartet und überträgt keine Daten an Meta. Die Zustimmung ist freiwillig; lehnen Sie ab, funktioniert SchenkKI genauso.

Welche Ereignisse an Meta gehen. Unsere App meldet dem SDK fünf Ereignisse, jeweils nur mit ihrem Namen:

• das Öffnen der App (daraus ermittelt Meta auch die Installation),
• der Beginn einer Geschenksuche,
• die ersten gelieferten Geschenkideen einer Suche,
• das Aufrufen eines Angebots im Shop,
• der Abschluss einer Registrierung, wenn aus einem Gastkonto ein dauerhaftes Konto wird.

Daneben erzeugt das SDK selbst technische Ereignisse und sendet sie mit, insbesondere zum Beginn und Ende einer App-Sitzung, zur Installation der App, zum Stand der Tracking-Erlaubnis Ihres Geräts und zu Änderungen an seinen eigenen Einstellungen. An jedes Ereignis hängt das SDK technische Angaben, etwa den Zeitpunkt. Außerdem kann das SDK Berichte über eigene Fehler und Abstürze an Meta senden.

Welche Daten dabei übermittelt werden. Mit jedem Ereignis übermittelt das SDK den Zeitpunkt, eine vom SDK erzeugte zufällige App-Kennung, technische Geräteangaben (insbesondere Gerätemodell, Betriebssystem und Version, App-Version, Spracheinstellung und Zeitzone) und die IP-Adresse Ihres Geräts. Außerdem übermittelt es die Werbe-ID Ihres Geräts: auf Android die Werbe-ID von Google, auf iPhone und iPad die Werbe-ID von Apple (IDFA) — dort aber nur, wenn Sie in der anschließenden Abfrage von Apple das Tracking ausdrücklich erlauben. Lehnen Sie die Abfrage von Apple ab, gehen die Ereignisse trotzdem an Meta, dann aber ohne Werbe-ID und mit der Angabe, dass Sie das Tracking nicht erlaubt haben; die übrigen genannten Daten werden weiterhin übermittelt. Ob überhaupt Ereignisse an Meta gehen, entscheidet Ihre Einwilligung in der App; die Abfrage von Apple entscheidet nur über die Werbe-ID. Auf Android können Sie die Werbe-ID in den Geräteeinstellungen löschen.

Was nie an Meta geht: Ihre E-Mail-Adresse, Ihre SchenkKI-Kontokennung, Name, Alter oder sonstige Angaben zur Geschenkperson, Ihre Freitexte, Geschenkideen, Produkte, Preise oder Shops. Wir nutzen keine Funktion, mit der Meta Ereignisse anhand von E-Mail-Adresse oder Telefonnummer einer Person zuordnet.

Zweck und Rechtsgrundlage. Zweck ist die Messung der Wirksamkeit unserer Anzeigen und die Optimierung ihrer Auslieferung. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO; für den Zugriff auf Informationen auf Ihrem Gerät, etwa die Werbe-ID, § 25 Abs. 1 TDDDG.

Gemeinsame Verantwortlichkeit mit Meta. Für die Erhebung dieser Daten in der App und ihre Übermittlung an Meta sind wir gemeinsam mit der Meta Platforms Ireland Limited, Block J, Serpentine Avenue, Dublin 4, Irland („Meta“), verantwortlich (Art. 26 DSGVO). Die anschließende Verarbeitung durch Meta ist nicht Teil der gemeinsamen Verantwortlichkeit; dafür ist Meta allein verantwortlich. Wir haben mit Meta dazu den Zusatz für Verantwortliche geschlossen. Sein wesentlicher Inhalt: Wir informieren Sie über die gemeinsame Verarbeitung, so wie in diesem Abschnitt, und holen Ihre Einwilligung ein; Meta ist dafür verantwortlich, Ihnen die Rechte nach Art. 15 bis 20 DSGVO hinsichtlich der Daten zu ermöglichen, die Meta nach der gemeinsamen Verarbeitung speichert. Sie können Ihre Rechte direkt gegenüber Meta oder uns gegenüber geltend machen; Anfragen, die Meta betreffen, leiten wir an Meta weiter. Wie Meta Daten verarbeitet, einschließlich der Rechtsgrundlage, auf die Meta sich stützt, und wie Sie Ihre Rechte gegenüber Meta wahrnehmen, steht in der Datenschutzrichtlinie von Meta unter facebook.com/about/privacy. Soweit Meta für uns Auswertungen und Berichte über unsere Anzeigen erstellt, handelt Meta als unser Auftragsverarbeiter.

Übermittlung in die USA. Meta kann die Daten an die Meta Platforms, Inc. in den USA übermitteln. Die Meta Platforms, Inc. ist nach dem EU-US-Datenschutzrahmen (EU-U.S. Data Privacy Framework) zertifiziert; für die Übermittlung gilt der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Art. 45 DSGVO), ergänzend die EU-Standardvertragsklauseln.

Speicherdauer. Das SDK speichert die Ereignisse auf Ihrem Gerät zwischen, bis es sie an Meta überträgt; in unseren eigenen Systemen speichern wir sie nicht. Ihre Entscheidung speichern wir auf Ihrem Gerät, damit die App sie beachten kann. Wie lange Meta die Daten speichert, richtet sich nach der Datenschutzrichtlinie von Meta.

Widerruf. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft in den App-Einstellungen unter „Analyse und Werbemessung“ widerrufen. Danach sendet die App keine Ereignisse mehr an Meta, und Ereignisse, die das SDK bis dahin noch nicht übertragen hatte, werden verworfen. Eine Übertragung, die im Moment des Widerrufs bereits unterwegs ist, kann noch abgeschlossen werden. Die Erlaubnis für Apples Tracking-Abfrage können Sie zusätzlich in den iOS-Einstellungen unter „Datenschutz & Sicherheit → Tracking“ entziehen.

4. Zwecke und Rechtsgrundlagen

5. KI-gestützte Empfehlungen

SchenkKI erstellt Geschenkempfehlungen automatisiert auf Grundlage der vom Nutzer gemachten Angaben. Diese Empfehlungen sind unverbindlich und entfalten keine rechtliche oder ähnlich erhebliche Wirkung im Sinne des Art. 22 Abs. 1 DSGVO.

Soweit für die Erstellung einer Empfehlung erforderlich, werden inhaltliche Angaben an einen Anbieter für KI-Dienste übermittelt. Gespeicherte Namen werden vor einer solchen Übermittlung technisch entfernt; Konto-E-Mail-Adresse, Ihr eigener Vorname, der Geburtstag einer Geschenkperson und SchenkKI-Kontokennung werden nicht an den KI-Dienst übermittelt.

6. Empfänger und Kategorien von Dienstleistern

Wir setzen für den Betrieb von SchenkKI externe Dienstleister ein. Personenbezogene Daten werden nur übermittelt, soweit dies für den jeweiligen Zweck erforderlich ist. Dazu gehören insbesondere:

• Cloud-, Hosting-, Datenbank- und Authentifizierungsdienstleister für Betrieb, Speicherung und Anmeldung;
• Anbieter von KI-Diensten zur Erstellung von Geschenkempfehlungen;
• Analyse- und Fehlerdiagnosedienstleister für freiwillige Telemetrie, Fehleranalyse und Sitzungsaufzeichnungen;
• Meta Platforms Ireland Limited für die Werbemessung nach Einwilligung, als gemeinsam Verantwortlicher (Abschnitt 3.7);
• E-Mail- und Kommunikationsdienstleister für notwendige Konto- und Supportnachrichten;
• Sicherheits- und Missbrauchsschutzdienste zur Abwehr automatisierter oder missbräuchlicher Nutzung;
• externe Shops und Affiliate-Partner, wenn Sie ein Angebot oder einen Shop-Link aufrufen;
• Website-Hosting- und technische Infrastruktur-Anbieter für schenkki.de;
• App-Store-Betreiber, soweit diese Daten im Zusammenhang mit Installation und Nutzung ihrer Stores eigenständig verarbeiten.

Soweit Dienstleister in unserem Auftrag personenbezogene Daten verarbeiten, haben wir mit ihnen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen oder deren Abschluss eingeleitet. Mit Meta besteht für die Werbemessung die in Abschnitt 3.7 beschriebene Vereinbarung über die gemeinsame Verantwortlichkeit.

7. Übermittlungen in Drittländer

Einzelne Dienstleister können Daten außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums verarbeiten, insbesondere in den USA. Soweit für den jeweiligen Empfänger ein Angemessenheitsbeschluss der Europäischen Kommission gilt – für zertifizierte US-Unternehmen insbesondere das EU-US Data Privacy Framework –, stützen wir die Übermittlung darauf; andernfalls auf geeignete Garantien nach Art. 46 DSGVO, insbesondere die EU-Standardvertragsklauseln, gegebenenfalls ergänzt um zusätzliche Schutzmaßnahmen.

Nach dem EU-US Data Privacy Framework zertifiziert sind die US-Unternehmen Google LLC (Cloud-Hosting), PostHog Inc (Analyse und Fehlerdiagnose in der App), Sentry.io (Fehlerdiagnose im Backend), Cloudflare, Inc. (Missbrauchsschutz bei der Anmeldung) und OneSignal (E-Mail-Versand). Für Übermittlungen durch Supabase (Datenbank und Anmeldung) und OpenAI (KI-Dienste) in Drittländer gelten die EU-Standardvertragsklauseln.

Für die Werbemessung mit Meta gilt Abschnitt 3.7.

Weitere Informationen zu den eingesetzten Garantien können unter info@schenkki.de angefordert werden.

8. Speicherdauer

• Konto- und Anmeldedaten, einschließlich Ihres optionalen Vornamens: solange das Konto besteht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Personenbezogene Angaben zu Geschenkpersonen: solange sie für das Konto bzw. die jeweilige Funktion benötigt werden; bei Kontolöschung werden die identifizierenden Angaben, einschließlich eines gespeicherten Geburtstags (Tag und Monat), entfernt.
• Nicht dauerhaft registrierte Gastkonten: grundsätzlich bis zu 90 Tage nach der letzten Anmeldeaktivität.
• Anmeldung aus einem Gastkonto bei einem bestehenden Konto: Melden Sie sich aus einem Gastkonto heraus bei einem bereits bestehenden Konto an, übernehmen wir die Angaben zu Geschenkpersonen, die Geschenkanfragen und die gemerkten Geschenke des Gastkontos in dieses Konto und löschen das Gastkonto. Ab dann gelten für diese Daten Speicherdauer, Auskunft und Löschung dieses Kontos.
• Kontakt- und Supportnachrichten: bis zur Erledigung des Anliegens und grundsätzlich höchstens 24 Monate, soweit keine längere Aufbewahrung erforderlich ist.
• Technische Betriebs- und Fehlerprotokolle: grundsätzlich bis zu 30 Tage, soweit keine längere Aufbewahrung aus Sicherheitsgründen erforderlich ist.
• Sitzungsaufzeichnungen nach Einwilligung: grundsätzlich bis zu 30 Tage.
• Werbemessung mit Meta: in unseren Systemen keine Speicherung; auf Ihrem Gerät nur bis zur Übertragung an Meta oder bis zu Ihrem Widerruf; bei Meta nach der Datenschutzrichtlinie von Meta (Abschnitt 3.7).
• Weitere einwilligungsbasierte Analysedaten: nur solange sie für den jeweiligen Zweck erforderlich sind bzw. bis die Einwilligung widerrufen wird, soweit keine andere Rechtsgrundlage die weitere Verarbeitung erlaubt.
• Missbrauchsschutzdaten des Löschformulars: Rate-Limit-Hash und Zeitstempel werden für die technische Begrenzung von Formularversuchen verwendet; abgelaufene Dateien werden bei nachfolgenden Formularaufrufen bereinigt und können bis dahin technisch auf dem Server verbleiben.
• Datenbank-Sicherungen: Tägliche Sicherungen werden nach sieben Tagen überschrieben. Gelöschte Daten können bis dahin noch in Sicherungskopien enthalten sein; sie werden daraus nicht wiederhergestellt.

Nach einer Kontolöschung können verallgemeinerte Auswertungsdaten verbleiben, die nach dem Löschvorgang nicht mehr auf dich zurückführbar sind. Geschenkideen, die die KI aus Ihren eigenen Worten über eine Geschenkperson erstellt hat, löschen wir mit dem Konto inhaltlich: Titel, Beschreibung und Suchbegriff werden entfernt. Erhalten bleibt nur, dass es eine solche Idee gab, mit Kategorie und Preisrahmen.

9. Kontolöschung und Betroffenenrechte

Sie können Ihr SchenkKI-Konto über die dafür vorgesehene Funktion in der App löschen. Wenn dies nicht möglich ist, können Sie die Löschung über schenkki.de/konto-loeschen.html beantragen. Wir bearbeiten einen solchen Antrag in der Regel innerhalb eines Monats.

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) sowie den Widerruf erteilter Einwilligungen (Art. 7 Abs. 3).

Zur Ausübung Ihrer Rechte genügt eine Nachricht an info@schenkki.de. Eine Kopie Ihrer gespeicherten Daten (Auskunft nach Art. 15 DSGVO) können Sie über schenkki.de/daten-anfragen.html anfordern. Zur Vermeidung unberechtigter Zugriffe können wir eine angemessene Überprüfung der Identität bzw. der Zuordnung zum Nutzerkonto verlangen.

10. Angaben zu anderen Personen

Wenn ein Nutzer Angaben zu einer Geschenkperson macht, stammen diese Informationen grundsätzlich aus den Eingaben dieses Nutzers. Nutzer sollten nur solche Angaben machen, die für die Geschenkempfehlung erforderlich sind und die sie rechtmäßig verwenden dürfen.

11. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für uns zuständig ist insbesondere:

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD)
Holstenstraße 98, 24103 Kiel
Telefon: +49 431 988-1200
E-Mail: mail@datenschutzzentrum.de
https://www.datenschutzzentrum.de

12. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören insbesondere verschlüsselte Übertragungen, Zugriffsbeschränkungen, sichere Speicherung von Zugangsdaten, rollen- und berechtigungsbasierte Zugriffe sowie Maßnahmen zur Erkennung und Begrenzung missbräuchlicher Nutzung.

13. Datenschutz auf schenkki.de

Beim Aufruf unserer Website verarbeitet der Hosting-Anbieter technisch erforderliche Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt und aufgerufene Seite, um die Website bereitzustellen und zu schützen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Die öffentlichen Seiten auf schenkki.de binden keine Analyse- oder Trackingdienste, Drittanbieter-Widgets oder externen Schriftarten ein.

14. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Dienste, eingesetzte Verarbeitungsvorgänge oder die Rechtslage ändern. Die jeweils aktuelle Fassung ist auf dieser Website abrufbar.

PRIVACY POLICY (ENGLISH)

Last updated: 27 October 2026 · Version 2.10

1. Controller

The controller under the General Data Protection Regulation (GDPR) is:

RPK Labs UG (haftungsbeschränkt)
Schauenburgerstraße 118
24118 Kiel, Germany
Managing Director: Robert Kose
E-mail: info@schenkki.de
Commercial Register: HRB 28566 KI (Amtsgericht Kiel)

This Privacy Policy applies to the SchenkKI app, the website schenkki.de and the related server services.

2. Privacy contact

Privacy enquiries may be sent to info@schenkki.de. We have not appointed a data protection officer because, based on our current assessment, there is no legal obligation to do so.

3. Data we process

3.1 Account and sign-in data

Depending on how you use SchenkKI, we process in particular a technical user identifier, e-mail address, password hash, identifiers of external sign-in services where applicable, and account/sign-in timestamps. A technical anonymous identifier may be used when the service is used without permanent registration. You may optionally enter your own first name in the app and later change or remove it; it is stored with your account, is part of the information we provide on request, and is deleted when you delete your account. We do not transmit it to the AI service and do not write it to logs.

3.2 Information used for gift recommendations

To generate gift ideas, we may process in particular: the gift recipient's name (optional), free-text information (optional), age band or derived age information, gender, relationship to the user, interests, character traits, occasion, budget, desired gift categories, and follow-up questions and suggestions in the results view together with your answers to them. If you later change information about a gift recipient or a gift search, we determine the characteristics derived from it anew at the next recommendation and transmit the changed information to the AI service again for that purpose; gift ideas already shown remain unchanged. You may optionally add a birthday for a gift recipient as day and month, expressly without a year; we do not store a date of birth. The birthday is deleted with the person (including when you delete your account), is part of the information we provide on request, and is not transmitted to the AI service. A reminder is planned on your device only; we do not send one.

Please do not enter special categories of personal data under Article 9 GDPR into free-text fields, including information about health, religion, political opinions or sexual orientation. We do not specifically request such information.

3.3 Usage and technical data

To provide and improve the service, we may process technical usage data, including session and request identifiers, the start and last activity of an app visit, which steps of the questionnaire were shown and whether it was sent (without your answers), recommendation processes, suggestions shown, interactions with suggestions or offers, technical status information and server/error logs. For some authenticated operations, technical logs may also contain an account identifier.

3.4 Analytics, error and session data with consent

Only if you expressly consent, we process additional usage and analytics data, crash/error reports and session recordings to improve the app. Content in session recordings is masked using the safeguards of the service. We do not send your account e-mail address or SchenkKI account identifier to the analytics service.

This consent is separate from the consent to advertising measurement with Meta (section 3.7). You can give one and refuse the other; analytics serves to improve the app, advertising measurement serves to measure our ads.

You can withdraw consent at any time with effect for the future in the app settings.

3.5 Contact and support enquiries

If you contact us, we process the contact details you provide and the content of your message to the extent necessary to handle your enquiry.

3.6 Web form for account-deletion requests

If you request account deletion via schenkki.de/konto-loeschen.html, the form processes the e-mail address you enter and the confirmation checkbox by which you request deletion of the account and the associated personal data. The request is sent by e-mail to info@schenkki.de. Submitting the form does not automatically delete an account. An account is deleted only after the request has been confirmed from the e-mail address associated with that account.

To protect against automated spam, the form contains an invisible honeypot field. If it is filled, the request is discarded and no e-mail is sent. A server-side rate limit is also used. For this purpose, the form endpoint processes the request IP address and derives a SHA-256 hash from it; the raw IP address is not written to the rate-limit file by the rate-limit logic. The rate-limit file stores the hash and timestamps of form attempts. Expired rate-limit files are cleaned up on subsequent form requests; technically, they may remain on the server until such cleanup occurs. Independently, normal hosting server logs may contain an IP address as described in section 13.

The purposes are the secure handling of account-deletion requests and the prevention of abusive or automated form use. The legal basis for processing a deletion request is Art. 6(1)(b) GDPR where the request concerns termination of the user relationship, and Art. 6(1)(c) GDPR where statutory data-subject rights are fulfilled. Spam and abuse prevention is based on Art. 6(1)(f) GDPR; our legitimate interest is protecting the form and our communications systems.

The deletion request stored in our mailbox is deleted after the request has been completed, and no later than 24 months, unless a legal obligation or necessary evidence requires longer retention.

3.7 Advertising measurement with Meta, with consent

We also advertise SchenkKI with ads on Facebook and Instagram. To measure whether these ads lead to the app being installed and used, and to improve the delivery of our ads, we use Meta's software development kit (SDK) in the app. This happens only if you expressly agree to advertising measurement in the app's consent question. Without that consent the SDK is not started and sends no data to Meta. Consent is voluntary; if you refuse, SchenkKI works exactly the same.

Which events are sent to Meta. Our app reports five events to the SDK, each with its name only:

• opening the app (from which Meta also determines the installation),
• starting a gift search,
• the first gift ideas delivered for a search,
• opening an offer in a shop,
• completing a registration, when a guest account becomes a permanent account.

In addition, the SDK itself generates technical events and sends them along, in particular on the start and end of an app session, on the installation of the app, on the status of your device's tracking permission and on changes to its own settings. The SDK attaches technical information to every event, such as the time. The SDK may also send reports about its own errors and crashes to Meta.

Which data is transmitted with them. With each event the SDK transmits the time, a random app identifier generated by the SDK, technical device information (in particular device model, operating system and version, app version, language setting and time zone) and your device's IP address. It also transmits your device's advertising identifier: on Android, Google's advertising ID; on iPhone and iPad, Apple's advertising identifier (IDFA) — there only if you expressly allow tracking in Apple's subsequent prompt. If you refuse Apple's prompt, the events are still sent to Meta, but without an advertising identifier and with the information that you have not allowed tracking; the other data listed is still transmitted. Whether any events are sent to Meta at all is decided by your consent in the app; Apple's prompt decides only about the advertising identifier. On Android you can delete the advertising ID in the device settings.

What is never sent to Meta: your e-mail address, your SchenkKI account identifier, the name, age or any other information about the gift recipient, your free text, gift ideas, products, prices or shops. We do not use any feature by which Meta matches events to a person by e-mail address or phone number.

Purpose and legal basis. The purpose is measuring the effectiveness of our ads and optimising their delivery. The legal basis is your consent under Art. 6(1)(a) GDPR; for access to information on your device, such as the advertising identifier, § 25(1) TDDDG.

Joint controllership with Meta. For the collection of this data in the app and its transmission to Meta, we are joint controllers together with Meta Platforms Ireland Limited, Block J, Serpentine Avenue, Dublin 4, Ireland ("Meta") (Art. 26 GDPR). Meta's subsequent processing is not part of the joint controllership; Meta alone is responsible for it. We have concluded Meta's Controller Addendum for this. Its essence: we inform you about the joint processing, as in this section, and obtain your consent; Meta is responsible for enabling your rights under Articles 15 to 20 GDPR with regard to the data Meta stores after the joint processing. You can exercise your rights directly against Meta or against us; we forward requests that concern Meta to Meta. How Meta processes data, including the legal basis Meta relies on and how you can exercise your rights against Meta, is set out in Meta's privacy policy at facebook.com/about/privacy. Where Meta produces evaluations and reports about our ads for us, Meta acts as our processor.

Transfer to the United States. Meta may transfer the data to Meta Platforms, Inc. in the United States. Meta Platforms, Inc. is certified under the EU-U.S. Data Privacy Framework; the transfer is covered by the European Commission's adequacy decision of 10 July 2023 (Art. 45 GDPR), supplemented by the EU Standard Contractual Clauses.

Retention. The SDK stores the events temporarily on your device until it transmits them to Meta; we do not store them in our own systems. We store your choice on your device so that the app can respect it. How long Meta stores the data is governed by Meta's privacy policy.

Withdrawal. You can withdraw your consent at any time with effect for the future in the app settings under "Analytics and ad measurement". After that, the app sends no more events to Meta, and events the SDK had not yet transmitted are discarded. A transmission already under way at the moment of withdrawal may still complete. You can additionally revoke permission for Apple's tracking prompt in the iOS settings under "Privacy & Security → Tracking".

4. Purposes and legal bases

5. AI-supported recommendations

SchenkKI generates gift recommendations automatically on the basis of information provided by the user. These recommendations are non-binding and do not produce legal or similarly significant effects within the meaning of Article 22(1) GDPR.

Where necessary to generate a recommendation, relevant content is transmitted to a provider of AI services. Stored names are technically removed before such transmission; the account e-mail address, your own first name, a recipient's birthday and the SchenkKI account identifier are not transmitted to the AI service.

6. Recipients and categories of service providers

We use external service providers to operate SchenkKI. Personal data is shared only to the extent necessary for the relevant purpose. Categories include in particular:

• cloud, hosting, database and authentication providers for operation, storage and sign-in;
• AI service providers for generating gift recommendations;
• analytics and error-diagnostics providers for optional telemetry, error analysis and session recordings;
• Meta Platforms Ireland Limited for advertising measurement with consent, as joint controller (section 3.7);
• e-mail and communications providers for necessary account and support messages;
• security and anti-abuse providers to prevent automated or abusive use;
• external shops and affiliate partners when you open an offer or shop link;
• website hosting and technical infrastructure providers for schenkki.de;
• app-store operators where they independently process data in connection with installation and use of their stores.

Where service providers process personal data on our behalf, we have concluded, or have initiated the conclusion of, data-processing agreements with them under Article 28 GDPR. With Meta, the joint-controllership arrangement described in section 3.7 applies to advertising measurement.

7. Transfers to third countries

Some service providers may process data outside the European Union or European Economic Area, in particular in the United States. Where an adequacy decision of the European Commission applies to the recipient – for certified US companies in particular the EU-US Data Privacy Framework – we base the transfer on it; otherwise on appropriate safeguards under Article 46 GDPR, in particular the EU Standard Contractual Clauses, supplemented by additional safeguards where necessary.

The US companies Google LLC (cloud hosting), PostHog Inc (analytics and error diagnostics in the app), Sentry.io (error diagnostics in the backend), Cloudflare, Inc. (abuse protection at sign-in) and OneSignal (email delivery) are certified under the EU-US Data Privacy Framework. Transfers to third countries by Supabase (database and sign-in) and OpenAI (AI services) are covered by the EU Standard Contractual Clauses.

For advertising measurement with Meta, section 3.7 applies.

Further information on the safeguards used can be requested at info@schenkki.de.

8. Retention

• Account and sign-in data, including your optional first name: for as long as the account exists, unless statutory retention obligations apply.
• Personal information relating to gift recipients: for as long as required for the account or relevant feature; identifying information, including a stored birthday (day and month), is removed when the account is deleted.
• Guest accounts not made permanent: generally up to 90 days after the last sign-in activity.
• Signing in from a guest account to an existing account: if you sign in to an account that already exists while using a guest account, we move the guest account's information about gift recipients, its gift requests and its saved gifts into that account and delete the guest account. From then on, that account's retention, access and deletion rules apply to this data.
• Contact and support messages: until the enquiry has been handled and generally no longer than 24 months, unless longer retention is required.
• Technical operating and error logs: generally up to 30 days, unless longer retention is required for security reasons.
• Session recordings based on consent: generally up to 30 days.
• Advertising measurement with Meta: not stored in our systems; on your device only until it is transmitted to Meta or until you withdraw consent; at Meta according to Meta's privacy policy (section 3.7).
• Other consent-based analytics data: only for as long as required for the relevant purpose or until consent is withdrawn, unless another legal basis permits further processing.
• Account-deletion form anti-abuse data: the rate-limit hash and timestamps are used to limit form attempts; expired files are cleaned up on subsequent form requests and may technically remain on the server until then.
• Database backups: Daily backups are overwritten after seven days. Deleted data may remain in backups until then; it is not restored from those backups.

After account deletion, generalized analytical data may remain where, after the deletion process, it is no longer traceable back to you. Gift ideas that the AI created from your own words about a gift recipient are deleted in substance with the account: their title, description and search term are removed. All that remains is the fact that such an idea existed, with its category and price range.

9. Account deletion and your rights

You can delete your SchenkKI account using the relevant function in the app. If this is not possible, you can request deletion at schenkki.de/konto-loeschen.html. We generally handle such a request within one month.

Subject to the statutory requirements, you have in particular the rights of access (Art. 15 GDPR), rectification (Art. 16), erasure (Art. 17), restriction (Art. 18), data portability (Art. 20), objection (Art. 21) and withdrawal of consent (Art. 7(3)).

To exercise your rights, contact info@schenkki.de. You can request a copy of your stored data (access under Art. 15 GDPR) at schenkki.de/daten-anfragen.html. To prevent unauthorised access, we may carry out an appropriate verification of identity or account association.

10. Information about other people

Where a user enters information about a gift recipient, that information generally originates from that user's input. Users should provide only information necessary for the gift recommendation and which they are entitled to use lawfully.

11. Right to complain

You have the right to lodge a complaint with a data protection supervisory authority. Our competent authority is in particular:

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD)
Holstenstraße 98, 24103 Kiel, Germany
Phone: +49 431 988-1200
E-mail: mail@datenschutzzentrum.de
https://www.datenschutzzentrum.de

12. Data security

We implement appropriate technical and organisational measures under Article 32 GDPR, including encrypted transmissions, access restrictions, secure storage of credentials, role- and permission-based access controls, and measures to detect and limit abusive use.

13. Privacy on schenkki.de

When our website is accessed, the hosting provider processes technically necessary connection data, in particular IP address, time and requested page, in order to provide and secure the website. The legal basis is Art. 6(1)(f) GDPR.

The public pages on schenkki.de do not embed analytics or tracking services, third-party widgets or external fonts.

14. Changes to this Privacy Policy

We update this Privacy Policy when our services, processing activities or the applicable law change. The current version is available on this website.