Datenschutzerklärung

Stand: 20. Oktober 2026

Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Brumm Labs GbR

Schimmelmannstr. 5, 22043 Hamburg

E-Mail: datenschutz@brummlabs.de

Weitere Angaben zum Unternehmen findest du im Impressum.

Allgemeines zur Datenverarbeitung

Wir nehmen den Schutz deiner persönlichen Daten ernst und behandeln deine personenbezogenen Daten vertraulich und entsprechend den gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung. Wunschzettel ist ohne Konto, ohne Tracking und ohne Werbung nutzbar. Es werden nur die Daten verarbeitet, die für den Betrieb nötig sind.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Dienstes für Ersteller:innen), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit, Missbrauchsschutz und stabilem Betrieb) sowie, wo es um freiwillig eingegebene Angaben von Gästen geht, ebenfalls Art. 6 Abs. 1 lit. f DSGVO (Funktion „Das schenke ich“).

Welche Daten wir verarbeiten

Wunschzettel (Ersteller:innen)

Beim Anlegen eines Wunschzettels speichern wir: Titel, Einleitung, optionale Angaben zur Feier (Ort, Datum, Zeiten, Hinweis), gewähltes Design, die Wünsche mit Titel, Notiz, Preis, Shop-Link und Bild sowie das Passwort (nur als Hash). Ein Wunschzettel-Passwort, ein Wiederherstellungscode und – falls aktiviert – ein Schlüssel für KI-Assistenten werden ausschließlich als Hash gespeichert. Wir kennen sie nicht im Klartext.

Es gibt kein Benutzerkonto und wir erfragen keine E-Mail-Adresse. Wer Passwort und Wiederherstellungscode verliert, kann den Zugang nur über uns zurücksetzen lassen (manuell, mit Protokoll).

Bitte trage keine sensiblen Angaben über Dritte in Wunschzettel ein.

Reservierungen (Gäste)

Gäste können einen Wunsch mit „Das schenke ich“ reservieren und dabei freiwillig einen Namen eingeben. Der Name ist für alle sichtbar, die den Wunschzettel öffnen, und für die Ersteller:innen. Ohne Namen erscheint die Reservierung als „anonym“. Zusätzlich speichert dein Browser lokal (Local Storage) einen zufälligen Schlüssel, mit dem du deine eigene Reservierung wieder freigeben kannst, und – wenn du es eingibst – deinen Namen als Vorbelegung. Diese Angaben liegen nur auf deinem Gerät und lassen sich jederzeit über die Browser-Einstellungen löschen. Sie sind für die angeforderte Funktion erforderlich; es gibt dafür kein Cookie und keine Einwilligungsabfrage.

Bilder und Shop-Links

Wenn Ersteller:innen einen Shop-Link eintragen, ruft unser Server die Seite ab und liest Titel, Bild und Preis aus. Dabei wird die Adresse des Servers an den Shop übermittelt, nicht deine. Das Bild wird bei uns gespeichert und von uns ausgeliefert. Dein Browser lädt keine Bilder von Drittservern. Eigene hochgeladene Bilder speichern wir ebenfalls auf unserem Server.

Server-Logs und Missbrauchsschutz

Beim Aufruf der Seiten verarbeitet der Webserver technisch notwendige Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Browserkennung. Zweck ist der sichere und stabile Betrieb sowie die Abwehr von Missbrauch. Speicherdauer: 7 Tage. Anfragen an die geheime Adresse eines KI-Zugangs (MCP-Schlüssel) werden nicht im Zugriffsprotokoll gespeichert.

Zum Schutz vor Missbrauch begrenzen wir Anlegen von Wunschzetteln, Anmeldeversuche und Abrufe. Dazu zählt die App kurzzeitig mit einem gesalzenen Hash deiner IP-Adresse; die IP-Adresse selbst wird dafür nicht dauerhaft gespeichert. Die Zähler gelten höchstens 24 Stunden, liegen nur im Arbeitsspeicher und werden beim Neustart verworfen. Beim Anlegen eines Wunschzettels löst dein Browser außerdem eine kleine Rechenaufgabe, statt dich ein Captcha eines Drittanbieters lösen zu lassen.

Einsicht des Betreibers

Der Betreiber hat Einsicht in technische Angaben aller Wunschzettel (Kennung, Zustand, Zeitpunkte, Anzahl der Wünsche, Bildspeicher), nicht aber in Inhalte oder Namen. Inhalte sieht er nur im Einzelfall, etwa bei einer Meldung oder einer Supportanfrage, und auch dann ohne die Namen der Schenkenden. Jeder solche Zugriff sowie das Sperren und Löschen von Wunschzetteln wird mit Zeitpunkt, Kennung und Grund protokolliert, ohne Personenbezug. Zur Auslastung werden tägliche Summen gezählt (neue Wunschzettel, Assistenten-Aufrufe, abgewiesene Anfragen), ohne IP-Adressen oder andere Kennungen.

Cookies

Wir setzen ein einziges Cookie, und nur für Ersteller:innen nach der Anmeldung: wz_<Kennung des Wunschzettels>. Es hält die Anmeldung im Verwaltungsbereich aufrecht (HttpOnly, SameSite=Strict, Secure, 30 Tage ohne Aktivität). Es ist technisch erforderlich; eine Einwilligung ist nicht nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Gäste erhalten kein Cookie. Wir setzen keine Tracking-, Analyse- oder Werbe-Cookies.

Keine Analyse, keine Drittanbieter

Wir nutzen keine Webanalyse, keine eingebundenen Schriften, Karten, Videos oder Skripte von Dritten. Die Schriften dieser Seiten liegen auf unserem Server.

KI-Assistenten (optional)

Ersteller:innen können einen KI-Assistenten (z. B. Claude oder ChatGPT) mit ihrem Wunschzettel verbinden. Das geschieht auf eigene Entscheidung über eine geheime Adresse. Was der Assistent dabei an uns sendet oder von uns liest, bestimmen die Ersteller:innen; die Verarbeitung durch den Anbieter des Assistenten richtet sich nach dessen Datenschutzerklärung und liegt nicht in unserer Verantwortung. Die Adresse ist wie ein Passwort zu behandeln.

Hosting und Empfänger

Der Dienst wird auf einem Server der STRATO AG, Pascalstraße 10, 10587 Berlin, betrieben. Serverstandort: Frankfurt am Main, Deutschland. Mit STRATO besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Eine Übermittlung in Drittländer findet nicht statt. Weitere Empfänger gibt es nicht. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter.

Speicherdauer und Löschung

Wunschzettel werden automatisch in Stufen geschlossen und gelöscht:

• Archivierung: 30 Tage nach dem eingetragenen Termin der Feier, bei Wunschzetteln ohne Termin nach 180 Tagen ohne Änderungen oder Anmeldung der Verwaltung. Reservierungen durch Gäste zählen nicht als Aktivität. Archivierte Wunschzettel sind für Gäste nur noch als Hinweis „geschlossen“ sichtbar.
• Endgültige Löschung: 90 Tage nach der Archivierung, es sei denn, die Verwaltung öffnet den Wunschzettel wieder oder hält ihn offen. Verwaltende werden vorher im Verwaltungsbereich gewarnt.
• Löschung durch die Verwaltung: jederzeit möglich. Der Wunschzettel ist dann sofort offline und kann 7 Tage lang wiederhergestellt werden; danach werden alle Daten, Bilder und Schlüssel endgültig entfernt.
• Nicht übernommene Wunschzettel (von einem KI-Assistenten angelegt, aber nie mit einem Passwort freigegeben) werden nach 7 Tagen gelöscht.
• Löschung auf Anfrage: Schreibe an datenschutz@brummlabs.de und nenne die Adresse des Wunschzettels; wir löschen ihn dann sofort und endgültig. Das gilt auch, wenn du als Gast deinen Namen aus einem Wunschzettel entfernt haben möchtest.
• Export: Verwaltende können ihre Daten im Verwaltungsbereich als ZIP-Datei herunterladen.
• Anmelde-Cookie: läuft nach 30 Tagen ohne Aktivität ab. Server-Logs: 7 Tage, siehe oben.

Bei der endgültigen Löschung werden alle zugehörigen Daten (Wünsche, Reservierungen einschließlich der Namen, Bilder, Einstellungen, Angaben zur Feier, Zugriffsschlüssel und das Protokoll der Assistenten-Aktionen) entfernt. Es bleibt nur ein Löscheintrag aus der zufälligen Kennung des Wunschzettels und dem Zeitpunkt der Löschung, ohne jeden Inhalt und ohne Personenbezug, damit die Adresse als „gelöscht“ erkannt wird und eine Löschung nach einer Datenwiederherstellung erneut ausgeführt werden kann.

Datensicherungen

Das Hosting-System erstellt täglich automatische Sicherungen des gesamten Datenbestands. Es werden die letzten 7 Tagessicherungen und 4 Wochensicherungen vorgehalten; die älteste Sicherung ist damit etwa 4 bis 4½ Wochen alt. Vor einer Wiederherstellung oder einem Neustart mit neuer Programmversion wird zusätzlich eine Sicherheitskopie angelegt, die 7 Tage aufbewahrt wird. Gelöschte Wunschzettel können deshalb noch bis zu etwa 5 Wochen in diesen Sicherungen enthalten sein. Die Sicherungen werden nicht nachträglich verändert und dienen ausschließlich der Wiederherstellung nach einem technischen Ausfall. Wird eine Sicherung eingespielt, werden bereits ausgeführte Löschungen und Löschanfragen anschließend erneut ausgeführt.

Deine Rechte als betroffene Person

Du hast uns gegenüber folgende Rechte hinsichtlich der dich betreffenden personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO)

Beschwerderecht bei der zuständigen Aufsichtsbehörde.

Die zuständige Aufsichtsbehörde ist: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Str. 22, 20459 Hamburg, E-Mail: mailbox@datenschutz.hamburg.de, Website: https://datenschutz-hamburg.de

Da wir keine Einwilligungen einholen, entfällt das Widerrufsrecht nach Art. 7 Abs. 3 DSGVO.

Wenn du Gast bist und deinen Namen aus einem Wunschzettel entfernt haben möchtest, gib die Reservierung selbst wieder frei oder bitte die Ersteller:innen darum. Wir helfen dir auf Anfrage.

Automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DSGVO statt. Die Rate-Limits (Missbrauchsschutz) betreffen nur die Anzahl von Anfragen, nicht dich als Person.

SSL-/TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL-/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennst du daran, dass die Adresszeile des Browsers von „http://“ auf „https://“ wechselt.