Datenschutz

Datenschutzhinweis

Was mit welchen Daten geschieht, wie lange und auf welcher Grundlage. In der Reihenfolge, in der es im Betrieb passiert.

Stand 29.10.2026

Cookies

Wir setzen nur Cookies, ohne die eine Funktion nicht geht, die Sie selbst aufrufen. Dafür braucht es keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Wir messen nichts, und die Seite lädt keine Schrift, kein Video und kein Skript von einem fremden Server.

__Host-amatix_sitzung: 30 Tage, verlängert sich bei Nutzung; Angemeldet im Kundenbereich
__Host-amatix_team: 12 Stunden; Angemeldet im Teambereich
__Host-amatix_kasse: 2 Stunden; Bestellung bis zum Sprung zu Stripe
__Host-amatix_rueckweg: 24 Stunden; Rückkehr von Stripe
amatix_tarif: 2 Stunden; Gewählte Stufe im Bestellformular

Verstößt eine Ressource gegen unsere Inhaltssicherheitsrichtlinie, meldet Ihr Browser das an uns, mit der Adresse der Seite und der verletzten Regel. Kennungen im Pfad ersetzen wir durch einen Platzhalter, bevor die Meldung entsteht, damit kein Vorgang mit einem Besuch verknüpft wird. Grundlage ist unser berechtigtes Interesse an einer sicheren Seite (Art. 6 Abs. 1 lit. f DSGVO).

Wer verantwortlich ist

Amatix GmbH, Im Mediapark 8, 50670 Köln. Anschrift, Vertretung und Register stehen im Impressum. Für Fragen zum Datenschutz genügt eine Mail an info@amatix.de.

Einen Datenschutzbeauftragten müssen wir nicht benennen: bei uns sind weniger als 20 Personen ständig mit der Verarbeitung personenbezogener Daten beschäftigt (§ 38 Abs. 1 BDSG).

Bewertungen und ihre Autoren

Wir lesen die öffentlichen Google-Bewertungen eines Betriebs anhand seiner öffentlichen Kennung bei Google (Place ID). Eine Freigabe des Betriebs braucht es dafür nicht, weil die Bewertungen ohnehin öffentlich stehen. Den Abruf führt für uns SerpAPI aus (siehe Empfänger). Dabei verarbeiten wir Daten von Menschen, die nie Kunde bei uns werden: die Autoren dieser Bewertungen. Betroffen sind der Name, wie die Plattform ihn anzeigt, der Wortlaut, die Sternzahl und das Datum. Profilbild und Antwort des Betriebs speichern wir nicht.

Bei Profilen bis 300 Bewertungen lesen wir alle Bewertungen. Bei größeren lesen wir den Durchschnitt, die Zahl der Bewertungen und nur die Bewertungen mit einem bis drei Sternen, danach laufend jede neue.

Grundlage ist eine Abwägung (Art. 6 Abs. 1 lit. f DSGVO): unser Interesse und das der Betriebe daran, eine negative Bewertung zu kennen und sie auf Zulässigkeit prüfen lassen zu können, gegen das Interesse des Autors an seiner Äußerung. Wortlaut, Namen und Sternzahl löschen wir 30 Tage, nachdem wir die Bewertung zuletzt gesehen haben. Sehen wir sie bei einem späteren Abruf wieder, beginnt die Frist von vorn. Eine Bewertung, die nicht mehr online steht oder die wir nicht mehr lesen, fällt nach 30 Tagen heraus. Wir rechnen keine Kennzahl über Bewertungsinhalte und werten nichts über Betriebe hinweg aus.

Wer Autor einer Bewertung ist und nicht möchte, dass wir sie halten, erreicht uns über die Adresse oben. Widerspricht ein Autor, ruht der Inhalt bei uns, und der Fund bleibt nur noch als Zahl bestehen.

Konto, Abo und Zahlung

Für ein kostenloses Konto brauchen wir Firmenname, Ort und eine Mailadresse. Für den Full Service zusätzlich die volle Anschrift, auf Wunsch die USt-IdNr. und eine eigene Bestellreferenz, außerdem die Angaben, die der Zahlungsdienst verlangt. Grundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO), für Rechnungen und Belege die gesetzliche Pflicht (lit. c). Bestätigen Sie die Mailadresse eines kostenlosen Kontos nicht, löschen wir es nach sieben Tagen.

Die Zahlung läuft über Stripe. Zahlungsdaten geben Sie bei Stripe ein, nicht bei uns: wir sehen weder Kartennummer noch Kontonummer, sondern die Kennung des Vorgangs und sein Ergebnis. Rechnungen entstehen beim Zahlungsdienst und bleiben dort auffindbar.

Eine Anmeldung ohne Passwort heißt: wir senden einen Link an Ihre Mailadresse. Gespeichert wird davon ein Hash, nie der Link, und jeder Link gilt nur einmal.

Anfrage für ein Angebot

Fragen Sie auf der Enterprise-Seite ein Angebot an, speichern wir Betrieb, Ansprechpartner, Mailadresse, Telefonnummer und Nachricht, soweit Sie sie eintragen, dazu Standorte, Bewertungen im Monat, Zahlweise und ob Sie einen Rückruf wünschen. Wir brauchen sie, um das Angebot zu schreiben und Sie dafür zu erreichen. Grundlage ist die Vorbereitung eines Vertrags auf Ihre Anfrage (Art. 6 Abs. 1 lit. b DSGVO).

An die Adresse geht eine Bestätigung, die nur Ihre Zahlen nennt, nicht Betrieb, Name oder Nachricht: wer eine fremde Adresse einträgt, kann dem Inhaber so keinen Text schicken. Gegen viele Anfragen in kurzer Zeit zählen wir Anfragen je Mailadresse, nur als Hash und sieben Tage lang.

Mail

Hinweise auf neue negative Bewertungen, Anmeldelinks und Belege gehen per Mail hinaus. Versandt werden sie über Resend. Wir halten fest, welche Mail an welche Adresse ging und ob sie zugestellt wurde; das ist der Nachweis, dass eine Mail Sie erreicht hat, und er ist nach spätestens zwölf Monaten erledigt.

Empfänger

SerpAPI (SerpApi, LLC, Austin, Texas, USA) führt den Abruf der Google-Bewertungen aus. Sie erhält von uns die Place ID und liefert die öffentlichen Angaben der Bewertungen. Wir übernehmen davon Kennung, Name, Wortlaut, Sterne, Datum und Änderungsdatum.

Stripe (Stripe Payments Europe, Limited, Dublin, Irland) wickelt die Zahlung ab. Resend (Resend, Inc., San Francisco, USA) versendet unsere Mails. Die Anwendung und ihre Datenbank laufen auf einem eigenen Server bei der Hetzner Online GmbH in Gunzenhausen, in einem Rechenzentrum in Deutschland; mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung.

Daten können dabei in die USA übermittelt werden. Grundlage ist das EU-US Data Privacy Framework, soweit der Dienst danach zertifiziert ist, sonst die Standardvertragsklauseln der EU-Kommission (Artikel 46 Absatz 2 Buchstabe c DSGVO).

Ziehen wir für einen Löschauftrag im Einzelfall einen Rechtsanwalt hinzu, erhält er die Angaben zum Fall, die er dafür braucht: Quelle, Sterne, Datum, Wortlaut und Autorname der Bewertung, Firmenname und Anschrift des Kunden sowie des Standorts. Er ist zur Verschwiegenheit verpflichtet.

Protokolle und Missbrauchsschutz

Anmeldeversuche halten wir mit Mailadresse, einem Kennzeichen der IP-Adresse statt der Adresse selbst und Ergebnis fest, 30 Tage lang. Zugriffe unseres Teams auf Kundendaten halten wir mit Benutzer, Rolle, Handlung und Ziel fest. Das Erste begrenzt Angriffe auf fremde Konten, das Zweite macht nachvollziehbar, wer im Haus was gesehen hat. Grundlage ist unser berechtigtes Interesse an Nachvollziehbarkeit und Missbrauchsschutz (Art. 6 Abs. 1 lit. f DSGVO).

Was ausdrücklich nicht in Protokolle gehört und dort auch nicht steht: Bewertungstexte, Mailadressen in Anwendungsprotokollen, Zugangsschlüssel und die Rohdaten des Zahlungsdienstes. Ein Protokollfeld ist eine zweite Kopie derselben Daten an einer Stelle mit schlechterem Schutz.

Wie lange

Jede Frist hängt am Zweck, nicht am Modell. Löschen heißt dabei nicht überall Zeile weg: wo eine Aufbewahrungspflicht gilt, bleibt die Zeile, und der personenbezogene Teil fällt. Ein Fall behält Datum, Betrag und Ergebnis und verliert Wortlaut und Autorname.

Wortlaut, Autorname und Sterne einer Bewertung, aus dem Abruf bei Google: 30 Tage nach letztem Sehen; Jeder Abruf, der die Bewertung wieder liefert, setzt die Frist neu. Danach bleibt der Fund als Kennung, Datum und Einstufung stehen, der Text geht.
Wortlaut, den ein Kunde selbst einreicht: 90 Tage, bei einem laufenden Fall bis 90 Tage nach dessen Ende; Diese Fassung kommt nicht aus dem Abruf, sondern vom Kunden. Sie ist der Beleg, auf dem ein Löschantrag beruht.
Fund ohne Inhalt: Kennung, Prüfsumme, Datum, Einstufung: 90 Tage nach Vertragsende; Ohne diese Zeilen wäre nach einer Pause jede vorhandene Bewertung wieder ein Neufund. Die Prüfsumme ist ein Einwegwert; aus ihr lässt sich kein Wortlaut zurückrechnen. Hängt an einem Fund ein Löschauftrag, bleibt er so lange wie dessen Unterlagen. Nach einem Widerspruch des Autors bleibt er, solange er das erneute Speichern verhindert.
Unterlagen eines Löschauftrags: 8 Jahre für Datum, Betrag und Ergebnis, 6 Jahre für den Rest; Die abgerechnete Position ist ein Buchungsbeleg (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB). Bewertungstexte fallen nie mit dieser Frist, sondern mit ihrer eigenen.
Kostenloses Konto, nie bestätigt: 7 Tage; Die Adresse hat vielleicht ein Fremder eingetippt; ohne Bestätigung gibt es keinen Grund, sie zu behalten.
Benutzer eines Kundenkontos: 6 Monate nach Abo-Ende; Die Mailadresse ist der Anmeldeschlüssel. Ein offener Löschauftrag hält sie, bis sein Ergebnis Sie erreicht hat.
Rechnungen, Vertrag und Kündigung: 8 Jahre für Rechnungen, 6 Jahre für Vertrag und Kündigung; Gesetzliche Aufbewahrung. Eine längere Frist wäre selbst ein Verstoß.
Anmeldelinks und Anmeldeversuche: 30 Tage; Sie machen fremde Einlöseversuche erkennbar. Gespeichert wird nur ein Hash des Links, nie der Link selbst.
Angemeldete Sitzung: bis zum Ablauf, abgelaufene sofort; Ein abgelaufener Sitzungsschlüssel hat keinen Nachweiswert.
Mailprotokoll: höchstens 12 Monate, nie länger als der Vorgang, auf den die Mail zeigt; Zustellnachweis, kein Archiv. Nach der Frist bleiben Status und Zeitpunkt, die Empfängeradresse fällt.
Protokoll der Zugriffe durch unser Team: 12 Monate; Es trägt die Kontrolle über die Team-Rolle. Eine Freischaltung von Hand bleibt so lange belegt wie das Abo, das sie betrifft.
Anfrage für ein Angebot: 6 Monate nach Erledigung, ohne Erledigung 12 Monate; So lange, wie Rückfragen zum Angebot üblich sind. Die Eingangsbestätigung fällt mit der Anfrage.
Anfrage nach Ihren Rechten (Art. 15 bis 22 DSGVO): 3 Jahre nach Erledigung, der Wortlaut 6 Monate; Dass eine Anfrage einging und wann sie beantwortet wurde, muss belegbar bleiben (Art. 5 Abs. 2 DSGVO). Der Wortlaut muss es nicht.
Ereignisse des Zahlungsdienstes: 14 Monate; Eine Lastschrift kann bis zu 13 Monate später zurückgehen. Die Zeilen tragen Kennungen, Typ und Zeitpunkt, keinen Namen.
Zugangsschlüssel zu Ihrem Plattform-Profil (nur bei Verbindung mit Google): sofort bei Vertragsende oder beim Trennen; Mit Widerruf bei der Plattform. Was bleibt, ist der Vermerk, dass widerrufen wurde.

Ihre Rechte

Sie können Auskunft über die Daten verlangen, die wir zu Ihnen halten (Art. 15 DSGVO), Falsches berichtigen lassen (Art. 16), Löschung verlangen (Art. 17), die Verarbeitung einschränken lassen (Art. 18), Ihre Daten in einem übertragbaren Format erhalten (Art. 20) und der Verarbeitung widersprechen, die auf einer Abwägung beruht (Art. 21). Eine Mail an die Adresse oben genügt; wir antworten innerhalb der Frist aus Art. 12 Abs. 3 DSGVO, also innerhalb eines Monats.

Unabhängig davon können Sie sich bei einer Aufsichtsbehörde beschweren (Art. 77 DSGVO). Zuständig ist die Behörde Ihres Wohnorts oder die am Sitz des Verantwortlichen; für Köln ist das die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.