Datenschutzerklärung

Stand: 06.11.2026

1. Datenschutz auf einen Blick

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie unsere öffentliche Website besuchen, die mobile Locitup-App nutzen oder unsere Plattform für Geschäfte einschließlich des Händler-Dashboards, des Staff-Portals sowie der damit verbundenen Programmierschnittstellen (API) von „Locitup“ (nachfolgend gemeinsam „Plattform“) nutzen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

Wir unterscheiden grundsätzlich zwischen Daten, die aus technischen Gründen beim Aufruf automatisch erfasst werden (z. B. IP-Adresse, Browsertyp, Zugriffszeitpunkt), Daten, die Sie uns aktiv übermitteln (z. B. Anfragen per E-Mail oder WhatsApp), Daten zur Verwaltung von Händler-Accounts und Abrechnungen (z. B. E-Mail-Adresse, Authentifizierungsdaten, Stripe-Abonnements) sowie Daten, die bei der Nutzung der Locitup-App anfallen (z. B. Nutzerkonto, Stempel, Prämien, XP).

2. Allgemeine Hinweise und Pflichtinformationen

Verantwortlicher im Sinne der DSGVO

Die verantwortliche Stelle für die Datenverarbeitung auf dieser Plattform ist:

CoaSoft - Consulting & Software UG (haftungsbeschränkt)
Am Wäldchen 24
66424 Homburg
Deutschland

E-Mail Datenschutz: datenschutz@locitup.de

Locitup ist ein Projekt der CoaSoft - Consulting & Software UG (haftungsbeschränkt). Weitere Unternehmensangaben entnehmen Sie bitte unserem Impressum.

Datenschutzkontakt & Datenschutzbeauftragter

Bei Fragen zum Datenschutz oder zur Wahrnehmung Ihrer gesetzlichen Betroffenenrechte können Sie sich jederzeit an uns wenden:

E-Mail: datenschutz@locitup.de

Eine gesetzliche Verpflichtung zur Benennung eines Datenschutzbeauftragten gemäß Art. 37 DSGVO bzw. § 38 BDSG besteht für unser Unternehmen derzeit nicht. Sollte eine gesetzliche Verpflichtung eintreten, werden wir eine geeignete Person benennen und deren Kontaktdaten an dieser Stelle veröffentlichen.

Rollenverteilung (Art. 4 Nr. 7 vs. Art. 28 DSGVO)

Hinsichtlich der Datenverarbeitung differenzieren wir strikt nach dem jeweiligen Nutzungskontext:

• Eigene Verantwortlichkeit (Art. 4 Nr. 7 DSGVO): CoaSoft handelt als eigenständiger Verantwortlicher für die Bereitstellung der Website, die Bearbeitung von Anfragen (z. B. per E-Mail oder WhatsApp), die Locitup-App einschließlich der Nutzerkonten der Endkunden und der geschäftsübergreifenden Funktionen (z. B. XP, Level, Abzeichen, Rallyes, Wunschläden, Einladungen), die Kontoführung der registrierten Händler im Dashboard sowie die Abrechnung der B2B-Abonnements über Stripe.
• Auftragsverarbeitung (Art. 28 DSGVO): Soweit Händler über das Dashboard bzw. das Staff-Portal ihr Treueprogramm betreiben (z. B. Stempelkarten und Prämien einrichten, Filial-Mitarbeiter einladen und verwalten, Stempel vergeben und Prämien einlösen), verarbeitet CoaSoft die dabei anfallenden Daten als Auftragsverarbeiter des jeweiligen Händlers auf Grundlage des Auftragsverarbeitungsvertrags (AVV). Händler sehen dabei keine E-Mail-Adressen oder Namen der Endkunden, sondern nur Angaben ohne Personenbezug (z. B. die Anzahl der Stempel und Einlösungen).

Ihre Rechte als betroffene Person (Betroffenenrechte)

Sie haben jederzeit das Recht, unentgeltlich Auskunft über die von uns verarbeiteten personenbezogenen Daten zu erhalten (Art. 15 DSGVO). Außerdem haben Sie nach Maßgabe der gesetzlichen Vorschriften ein Recht auf Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie ein Recht auf Datenübertragbarkeit (Art. 20 DSGVO).

Sofern eine Verarbeitung auf Ihrer ausdrücklichen Einwilligung beruht, können Sie diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der bis zum Widerruf erfolgten Datenverarbeitung bleibt vom Widerruf unberührt.

Sie haben zudem das Recht, sich bei einer zuständigen Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Die für unseren Sitz zuständige federführende Behörde ist:

Unabhängiges Datenschutzzentrum Saarland (UDS)
Fritz-Dobisch-Straße 12
66111 Saarbrücken
Website: https://datenschutz.saarland.de

Widerspruchsrecht nach Art. 21 DSGVO

Wenn wir personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) verarbeiten, haben Sie jederzeit das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, gegen diese Verarbeitung Widerspruch einzulegen. Legen Sie Widerspruch ein, verarbeiten wir die betroffenen Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

3. Bereitstellung der Plattform und Hosting (Google Cloud und Firebase)

Unsere Website, das Händler-Dashboard und das Staff-Portal werden über Firebase Hosting von Google ausgeliefert; unsere API läuft auf Google Cloud Run in der Region Belgien (europe-west1). Anbieter ist die Google Cloud EMEA Limited (70 Sir John Rogerson's Quay, Dublin 2, Irland) bzw. für Firebase die Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Firebase Hosting nutzt ein weltweites Content Delivery Network; eine Verarbeitung durch die Google LLC in den USA kann dabei nicht ausgeschlossen werden. Die Google LLC ist nach dem EU-U.S. Data Privacy Framework zertifiziert.

Beim Aufruf unserer Seiten zeichnen die Systeme technische Server-Logs auf. Hierbei können IP-Adressen, Datum und Uhrzeit des Abrufs, aufgerufene Pfade sowie Browserinformationen anfallen. Diese Daten werden zur Gewährleistung der Systemstabilität, Ausfallsicherheit und zur Abwehr schädlicher Zugriffe verarbeitet.

Speicherdauer: Die Zugriffslogs verbleiben für maximal 30 Tage in den Protokollierungssystemen und werden anschließend automatisiert gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der sicheren, stabilen und performanten Bereitstellung unserer Webseiten).

4. Händler-Dashboard, Authentifizierung & Login-Schutz

4.1 Account-Registrierung, Login & Datenhaltung (Supabase)

Für die Benutzerverwaltung, das Session-Handling und die Datenhaltung des Dashboards setzen wir die Backend-Infrastruktur von Supabase Inc. ein. Wenn Sie ein Konto erstellen oder sich anmelden, verarbeiten wir Ihre E-Mail-Adresse, Authentifizierungs-Token (JWT; im Dashboard in technisch notwendigen Cookies, siehe Abschnitt 8), Session-Daten sowie die Ihrer Organisation zugeordneten Store-Stammdaten.

Für die Locitup-App gelten ergänzend die Hinweise in Abschnitt 5d.

Registrierung: Die bei der Registrierung angegebenen Daten (Name, Kontaktdaten, Unternehmens- und Filialangaben) speichern wir bis zur Bestätigung Ihrer E-Mail-Adresse als ausstehende Registrierung, höchstens 72 Stunden. Erst nach der Bestätigung per Code legen wir Ihr Konto und Ihre Organisation an; nicht bestätigte Registrierungen werden nach Ablauf automatisch gelöscht.

Anmeldung per Einmal-Code: Zur Anmeldung senden wir einen Einmal-Code an Ihre E-Mail-Adresse, der nur für begrenzte Zeit gültig ist. Zum Schutz vor Missbrauch begrenzen wir die Zahl der Code-Anforderungen je E-Mail-Adresse; dazu speichern wir einen kryptografischen Hashwert der E-Mail-Adresse zusammen mit einem Zähler für 15 Minuten. Nach wiederholten Fehleingaben sperren wir die Anmeldung vorübergehend. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit der Benutzerkonten).

Abmelden: Über „Überall abmelden“ können Sie sich im Dashboard auf allen Geräten gleichzeitig abmelden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. Durchführung vorvertraglicher Maßnahmen zur Bereitstellung des Dashboards).

4.2 Bot- und Missbrauchsschutz beim Login (Cloudflare Turnstile)

Zum Schutz vor Bot-Netzwerken, Spam und Missbrauch bei Login, Registrierung und der Anforderung von Bestätigungscodes im Händler-Dashboard und im Staff-Portal nutzen wir den Sicherheitsdienst Cloudflare Turnstile der Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA.

Turnstile verarbeitet dabei insbesondere Ihre IP-Adresse, Browser- und Gerätemerkmale sowie ein Captcha-Token, um automatisierte Zugriffe von menschlichen Nutzern zu unterscheiden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Abwehr von Bots, Betrugsversuchen und der Absicherung unseres Authentifizierungssystems).

Drittlandübermittlung: Cloudflare ist nach dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend werden Standardvertragsklauseln eingesetzt. Nach den Angaben von Cloudflare setzt Turnstile keine Cookies zu Werbezwecken.

4.3 Transaktions-E-Mails (Brevo)

Für den verlässlichen Versand transaktionsbezogener System-Nachrichten (z. B. Anmelde- und Bestätigungscodes für Dashboard, Staff-Portal und App, Einladungen von Mitarbeitern, Rechnungs- und Status-E-Mails sowie die Übermittlung an Rallye-Veranstalter nach Abschnitt 5c) setzen wir den Dienst Brevo (Sendinblue SAS, Frankreich) ein. Dabei werden Ihre E-Mail-Adresse, gegebenenfalls Ihr Name sowie der Inhalt der jeweiligen System-Mitteilung über die Server von Brevo verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

5. B2B-Abonnements & Abrechnung (Stripe)

Für die Verwaltung und Abrechnung der kostenpflichtigen Händler-Abonnements des Dashboards binden wir den Zahlungsabwickler Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Harbour, Dublin, Irland) ein.

Im Rahmen des Bezahlvorgangs verarbeitet Stripe als eigenständiger Verantwortlicher bzw. im Rahmen spezialisierter Zahlungsbedingungen Name, E-Mail-Adresse, Rechnungsanschrift, Steuernummer, gewählten Tarif sowie Zahlungs- und Transaktionsdaten. Vollständige Kreditkartendaten werden direkt von Stripe über gesicherte Eingabefelder erhoben; CoaSoft speichert zu keinem Zeitpunkt vollständige Kartennummern auf eigenen Servern.

Speicherdauer: Rechnungsbelege und steuerrelevante Buchungsdaten unterliegen den gesetzlichen Aufbewahrungsfristen von 8 bis 10 Jahren gemäß § 147 AO und § 257 HGB.

Zustimmungsnachweis: Beim Abschluss eines Abonnements speichern wir, welcher Fassung der AGB, des AVV und dieser Datenschutzhinweise zu welchem Zeitpunkt zugestimmt wurde (Organisation, Benutzerkonto, Dokument, Fassung, Zeitpunkt). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Nachweis des Vertragsschlusses und an der Abwehr von Ansprüchen). Speicherdauer: für die Dauer des Vertrags und drei Jahre darüber hinaus (regelmäßige Verjährungsfrist). Wird Ihr Benutzerkonto gelöscht, entfernen wir den Bezug zu Ihrer Person; der Nachweis bleibt für die Organisation bestehen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO i. V. m. den gesetzlichen Buchführungs- und Aufbewahrungspflichten.

5a. Geocoding von Geschäftsadressen (Locitup)

Händler können in Locitup Filialen mit Geschäftsadresse anlegen. Wenn sich die Adresse ändert, kann Locitup die Straße, Postleitzahl, Ort und Land der Filiale an den Geocoding-Dienst Nominatim der OpenStreetMap Foundation (OSMF) übermitteln, um geografische Koordinaten zu ermitteln. Verarbeitet werden ausschließlich Geschäftsadressen der Händler, keine Endkundenadressen über diesen Weg.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionsfähigen Händlersuche).

Empfänger: OpenStreetMap Foundation, St John's Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich. Die Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission für das Vereinigte Königreich.

Koordinaten und Herkunftsangabe werden am Filialdatensatz gespeichert, bis die Filiale gelöscht oder anonymisiert wird. Kartendaten: © OpenStreetMap-Mitwirkende, Lizenz ODbL.

5b. Umkreissuche in der Locitup-App

Wenn Sie in der Locitup-App die Standortfreigabe erteilen, sendet die App Ihren Standort (auf etwa 1 km gerundet) zusammen mit dem von Ihnen gewählten Suchradius an unsere API. Diese Angaben dienen ausschließlich der Umkreissuche nach teilnehmenden Filialen; wir speichern sie nicht in unserer Anwendungsdatenbank. In technischen Zugriffsprotokollen unseres Hosting-Anbieters (Google Cloud Run) kann die vollständige Anfrage-URL einschließlich der Koordinaten bis zu 30 Tage enthalten sein.

5c. Rallyes und Gewinnspiele in der Locitup-App

Nehmen Sie an einer Rallye mit optionalem Gewinnspiel teil und schicken Sie Ihre Rallyekarte ausdrücklich ab, verarbeiten wir Ihre E-Mail-Adresse, den Rallye-Titel, Ihren Teilnahme-Code und den Zeitpunkt Ihrer Einwilligung auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Empfänger ist der Veranstalter der Rallye (in der Regel die Organisation hinter der Rallye, z. B. Stadtmarketing) oder – wenn kein Veranstalter-Kontakt hinterlegt ist – Locitup zur Weiterleitung an den Veranstalter. Ohne ausdrückliches Abschicken der Rallyekarte erfolgt keine Übermittlung und keine Teilnahme an der Verlosung.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); kontaktieren Sie uns unter datenschutz@locitup.de. Version und Zeitpunkt der Einwilligung speichern wir am Teilnahmedatensatz, solange die Rallye und gesetzliche Nachweispflichten es erfordern.

5d. Locitup-App für Endkunden

Für die Locitup-App und Ihr Nutzerkonto ist CoaSoft Verantwortlicher (siehe Abschnitt 2). Die Nutzung der App richtet sich nach unseren Nutzungsbedingungen. Rechtsgrundlage der folgenden Verarbeitungen ist, soweit nicht anders angegeben, Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags).

Nutzerkonto und Anmeldung

Für Registrierung und Anmeldung benötigen wir nur Ihre E-Mail-Adresse. Wir senden Ihnen einen Einmal-Code per E-Mail (Versand über Brevo, siehe Abschnitt 4.3); Nutzerkonto und Anmeldung verwalten wir über Supabase (siehe Abschnitt 4.1). Zum Schutz vor Missbrauch begrenzen wir die Zahl der Code-Anforderungen wie in Abschnitt 4.1 beschrieben. Ihr Konto erhält eine zufällige Kennung (Nutzer-ID).

Persönlicher QR-Code, Stempel und Prämien

Ihr persönlicher QR-Code enthält eine pseudonyme Kennung, mit der Mitarbeiter teilnehmender Geschäfte Ihnen Stempel gutschreiben und Prämien einlösen. Zu Ihrem Konto speichern wir Ihre Stempelkarten, gesammelte Stempel, Einlösungen sowie Gewinne aus Aktionen (z. B. Lucky Drop oder Stempel-Boosts) und deren Gültigkeit. Das Geschäft sieht dabei keine Daten zu Ihrer Person (keine E-Mail-Adresse, keinen Namen), sondern nur Angaben ohne Personenbezug, z. B. die Anzahl der Stempel und Einlösungen.

XP, Level, Abzeichen und Rallyes

Für Aktivitäten in der App (z. B. Stempel, abgeschlossene Stempelkarten, Rallye-Stationen) vergeben wir Erfahrungspunkte (XP), Level und Abzeichen und speichern Ihren Rallye-Fortschritt. Zur Teilnahme an Gewinnspielen bei Rallyes siehe Abschnitt 5c.

Wunschläden

Wenn Sie in der App ein fehlendes Geschäft wünschen oder einen Wunsch unterstützen, speichern wir den Wunsch (Name und Ort des Geschäfts) und Ihre Nutzer-ID als Unterstützer. Andere Nutzer in der Nähe sehen den Wunsch und die Zahl der Unterstützer, aber nicht, wer ihn angelegt oder unterstützt hat. Für die Suche nach Wünschen in der Nähe wird Ihr Standort wie in Abschnitt 5b beschrieben gerundet verarbeitet.

Freunde einladen

Wenn Sie Freunde einladen, erzeugen wir einen persönlichen Einladungscode bzw. -link, den Sie selbst über die Teilen-Funktion Ihres Geräts versenden; wir schicken keine Nachrichten an Dritte. Löst eine eingeladene Person den Code ein, speichern wir die Zuordnung zwischen einladender und eingeladener Person, um gegebenenfalls Bonusstempel oder XP gutzuschreiben.

Kamera (nur Mitarbeiter-Scanner)

Die Kamera wird nur im Scanner-Modus für Mitarbeiter teilnehmender Geschäfte verwendet, um QR-Codes zu lesen. Die Bilder werden ausschließlich auf dem Gerät ausgewertet und weder an uns übertragen noch gespeichert.

Kundenkarte in Apple Wallet oder Google Wallet

Sofern die App diese Funktion anbietet und Sie sie nutzen, erstellen wir auf Ihren Wunsch eine digitale Kundenkarte mit Ihrem QR-Code (und gegebenenfalls Ihrem Vor- bzw. Anzeigenamen) zum Speichern in Apple Wallet bzw. Google Wallet. Beim Speichern in Google Wallet werden diese Angaben an die Google Ireland Limited bzw. die Google LLC übermittelt. Für die Verarbeitung in der jeweiligen Wallet gelten die Datenschutzbestimmungen von Apple bzw. Google.

Keine Werbung, kein Tracking

Die App enthält keine Werbe-, Analyse- oder Absturz-Tracking-Dienste von Drittanbietern und verwendet keine Werbe-ID.

Speicherdauer und Löschung

Wir speichern die Daten Ihres Nutzerkontos, solange Ihr Konto besteht. Sie können Ihr Konto jederzeit in der App unter Profil → Konto löschen oder per E-Mail an datenschutz@locitup.de löschen (Details: Konto löschen). Dabei löschen wir Ihre personenbezogenen Daten; Einlösungen und Statistiken der Geschäfte bleiben ausschließlich anonymisiert erhalten. Daten, die wir aufgrund gesetzlicher Pflichten aufbewahren müssen, sperren wir bis zum Ablauf der jeweiligen Frist.

5e. Kontakt per E-Mail

Wenn Sie uns per E-Mail kontaktieren (z. B. an sales@locitup.de oder datenschutz@locitup.de), verarbeiten wir Ihre E-Mail-Adresse, gegebenenfalls Ihren Namen und den Inhalt Ihrer Nachricht, um Ihre Anfrage zu bearbeiten. Unsere E-Mail-Postfächer betreiben wir bei Google Workspace (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland); eine Verarbeitung durch die Google LLC in den USA kann nicht ausgeschlossen werden (EU-U.S. Data Privacy Framework). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage mit einem Vertrag oder vorvertraglichen Maßnahmen zusammenhängt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Wir löschen die Daten, sobald Ihre Anfrage abschließend bearbeitet ist, soweit keine gesetzlichen Aufbewahrungspflichten (z. B. für Geschäftsbriefe nach § 257 HGB) entgegenstehen.

6. Kontakt über WhatsApp

Wir bieten Ihnen auf unserer Website die Möglichkeit, uns über einen WhatsApp-Button direkt zu kontaktieren. Dienstanbieter ist die WhatsApp Ireland Limited (4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland).

Wenn Sie diesen Kommunikationsweg nutzen, übermittelt WhatsApp uns Ihre Mobilfunknummer sowie Ihren dort hinterlegten Profilnamen mitsamt der Nachricht. Die Kommunikation dient ausschließlich der Beantwortung und Bearbeitung Ihrer konkreten Anfrage.

Hinweis zu Meta / Drittlandübermittlung: WhatsApp verarbeitet Metadaten der Kommunikation eigenverantwortlich nach den Datenschutzhinweisen von WhatsApp. Dabei kann eine Weiterleitung von Daten an Server der Konzernmutter Meta Platforms, Inc. in den USA nicht ausgeschlossen werden. Die Übermittlung ist über das EU-U.S. Data Privacy Framework bzw. Standardvertragsklauseln abgesichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (sofern es sich um vorvertragliche oder vertragliche Anfragen handelt) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer einfachen, zeitgemäßen Kommunikation).

7. Web-Analytics (Google Analytics 4)

Auf unserer Website nutzen wir – ausschließlich nach Ihrer vorherigen, ausdrücklichen Einwilligung im Cookie-Banner – den Webanalysedienst Google Analytics 4 der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland).

Mess-ID: G-KSMYM3CSZ5.

Technische Konfiguration: Das Skript gtag.js wird erst geladen, wenn Sie aktiv eingewilligt haben. GA4 speichert nach Angaben von Google keine vollständigen IP-Adressen; zusätzlich haben wir die IP-Anonymisierung aktiviert. Google-Signals sowie Funktionen zur Werbepersonalisierung sind deaktiviert. Ohne Ihre Zustimmung erfolgt kein Verbindungsaufbau zu Google Analytics und es werden keine diesbezüglichen Cookies gesetzt.

Cookies und Speicherdauer: Nach Ihrer Einwilligung setzt Google Analytics die Cookies _ga und _ga_KSMYM3CSZ5 (Laufzeit jeweils bis zu 2 Jahre). Die erhobenen Ereignisdaten werden nach 2 Monaten automatisch gelöscht. Widerrufen Sie Ihre Einwilligung, löschen wir die Google-Analytics-Cookies in Ihrem Browser.

Drittlandübermittlung: Eine Verarbeitung durch die Google LLC in den USA kann nicht ausgeschlossen werden; die Google LLC ist nach dem EU-U.S. Data Privacy Framework zertifiziert.

Widerruf: Sie können Ihre einmal erteilte Einwilligung jederzeit mit Wirkung für die Zukunft über unsere Cookie- und Consent-Einstellungen auf der Website anpassen oder widerrufen.

Rechtsgrundlage: § 25 Abs. 1 TDDDG (Einwilligung in den Zugriff auf die Endeinrichtung) i. V. m. Art. 6 Abs. 1 lit. a DSGVO.

Ereignismessung (nur nach Einwilligung): Wir erfassen anonymisierte Nutzungsereignisse zur Auswertung von Schaltflächen auf der Website, ohne Werbepersonalisierung. Dazu können u. a. folgende Ereignistypen gehören: cta_click, pricing_plan_click, signup_start, demo_submit sowie nach App-Launch app_store_click. Ohne Ihre Einwilligung werden diese Ereignisse nicht gesendet.

8. Speicherung auf Ihrer Endeinrichtung (Local Storage & Cookies)

Unsere Plattform nutzt lokale Speicherzugriffe auf Ihrem Gerät, um notwendige Funktionen bereitzustellen und Ihre Entscheidungen zu dokumentieren:

• Consent-Speicher: Im lokalen Speicher Ihres Browsers (localStorage) speichern wir unter dem Schlüssel locitup-consent Ihre getroffene Auswahl bezüglich optionaler Tracking-Dienste. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. c DSGVO (Nachweispflicht nach Art. 5 Abs. 2 DSGVO). Speicherdauer: Bis zum manuellen Leeren des Cache oder Änderung der Einstellung.
• Dashboard-Sitzung: Für die Anmeldung im Dashboard setzen wir technisch notwendige Cookies, die nur der Server lesen kann (HttpOnly, Secure): ein Anmelde-Cookie mit der Laufzeit der Anmeldung (etwa eine Stunde, wird automatisch erneuert), ein Cookie zur Erneuerung der Anmeldung (bis zu 60 Tage) sowie ein Cookie zum Schutz vor Cross-Site-Request-Forgery (bis zu 60 Tage). Beim Abmelden werden diese Cookies gelöscht. Während der Anmeldung bzw. Registrierung speichern wir im Sitzungsspeicher Ihres Browsers (sessionStorage) vorübergehend Ihre E-Mail-Adresse für den Code-Schritt und bei der Registrierung zusätzlich einen zufälligen Registrierungsschlüssel; nach der Rückkehr aus dem Bezahlvorgang halten wir dort kurz die Kennung der Checkout-Sitzung. Diese Einträge werden nach Abschluss, spätestens beim Schließen des Tabs gelöscht. Im lokalen Speicher (localStorage) merken wir uns, ob Sie die Einführung und Hilfehinweise im Dashboard ausgeblendet haben. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (technisch zwingend erforderlich zur Bereitstellung des geschützten Nutzerbereichs bzw. der von Ihnen gewünschten Funktion).
• Locitup-App: Die App speichert auf Ihrem Gerät Ihre Anmeldesitzung (im geschützten Speicher des Betriebssystems), Ihre App-Einstellungen sowie, welche Rubbelkarten Sie bereits freigerubbelt haben. Diese Angaben dienen ausschließlich der von Ihnen genutzten Funktion. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG.

9. Auftragsverarbeiter & Drittanbieter-Matrix

Zur Bereitstellung, Absicherung und Wartung unserer Plattform binden wir spezialisierte Dienstleister ein. Soweit diese in unserem Auftrag Daten verarbeiten, bestehen entsprechende Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO:

10. Verlinkung zu externen App-Stores

Auf unserer Website verlinken wir auf die offiziellen Download-Seiten im Apple App Store sowie Google Play Store. Hierbei handelt es sich um einfache Hyperlinks. Wenn Sie einen solchen Link anklicken, verlassen Sie unsere Plattform. Für die Datenverarbeitung auf den Plattformen der Store-Betreiber gelten ausschließlich die Datenschutzbestimmungen von Apple bzw. Google.

11. Technische und organisatorische Maßnahmen (TOM)

Wir treffen angemessene technische und organisatorische Sicherheitsmaßnahmen gemäß Art. 32 DSGVO, um Ihre Daten vor unberechtigtem Zugriff, Verlust und Manipulation zu schützen:

• Verschlüsselung: Durchgängige TLS/HTTPS-Verschlüsselung aller Kommunikations- und API-Pfade nach modernsten Standards.
• Zugriffskontrollen: Strikte rollenbasierte Zugriffskontrollen (RBAC) und Mandantentrennung auf Datenbankebene (Row Level Security), sodass Händler ausschließlich auf Daten ihres eigenen Unternehmens zugreifen können.
• Sicherheits-Header: Härtung der Webanwendung gegen Cross-Site-Scripting (XSS) und Clickjacking über moderne Content-Security-Policies.
• Datensparsame Logs: Automatische Maskierung und Filterung sensibler Payloads und Authentifizierungs-Token vor der Protokollierung in Google Cloud Logging.