Datenschutzerklärung

Stand: Oktober 2026

Diese Erklärung informiert Sie nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) über die Verarbeitung personenbezogener Daten bei der Nutzung dieser Website und der Chrome-Erweiterung GetBack.

1. Verantwortlicher

Verantwortlich ist:
Cemal Ecer, handelnd unter GetBack
Metzer Straße 9, 47229 Duisburg, Deutschland
E-Mail: [email protected] (Datenschutzanfragen bitte an diese Adresse oder an [email protected])

Ein Datenschutzbeauftragter ist nicht bestellt, weil dazu keine gesetzliche Pflicht besteht.

2. Das Wichtigste in Kürze

• Die Zugangsdaten zu Ihren Cashback-Anbietern, Ihre Guthaben und Ihre Einkäufe bleiben in Ihrem Browser. Die Erweiterung überträgt sie nicht an uns, und unsere Server nehmen solche Daten nicht an.
• Auf unseren Servern liegen Ihr Konto (E-Mail-Adresse, Passwort-Hash, bei Discord-Anmeldung die Discord-Daten), Ihre Lizenz- und Bestelldaten und technische Daten zur Sicherheit.
• Statistik zur Website und Diagnosedaten der Erweiterung erfassen wir nur mit Ihrer Einwilligung.
• Die Zahlung wickelt PayPal ab. Ihre Zahlungsdaten erhalten wir nicht.

3. Hosting, Server-Protokolle und Cloudflare

Beim Aufruf der Website verarbeitet unser Server technisch notwendig Ihre IP-Adresse, Datum und Uhrzeit, die angeforderte Adresse, den Statuscode und die Browserkennung (User-Agent). Die Website wird auf einem Server bei [Hosting-Anbieter eintragen] betrieben. Vorgeschaltet ist der Dienst Cloudflare (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA) als Content Delivery Network, DNS-Dienst und Schutz vor Angriffen (Web Application Firewall). Cloudflare leitet Ihre Anfragen an unseren Server weiter und verarbeitet dabei Ihre IP-Adresse und Anfragedaten.

Zweck ist die Auslieferung der Website, die Abwehr von Angriffen und die Sicherheit des Betriebs. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb). Protokolldateien des Webservers löschen wir nach spätestens 7 Tagen. Mit dem Hosting-Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Zur Übermittlung in die USA siehe Abschnitt 13. Die Schriftarten der Website laden wir von unserem eigenen Server, es werden keine Schriftarten von Dritten nachgeladen.

Die Domain ist bei Namecheap, Inc. registriert. Namecheap erhält keine personenbezogenen Daten der Besucher dieser Website.

4. Cookies und lokaler Speicher

Wir setzen Cookies und lokalen Speicher (localStorage) ein. Technisch notwendige Speicherungen benötigen nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung. Alle anderen Speicherungen setzen Ihre Einwilligung nach § 25 Abs. 1 TDDDG voraus.

Die Auswahl im Banner können Sie jederzeit ändern: Über den Link „Cookie-Einstellungen“ in der Fußzeile öffnen Sie das Banner erneut. Wählen Sie dort „Nur notwendige“, löschen wir die Browser-Kennung aus Ihrem lokalen Speicher, und es werden keine weiteren Statistikdaten mehr gesendet. Ihre Einwilligung ist freiwillig; ohne sie können Sie die Website vollständig nutzen. Der Widerruf wirkt für die Zukunft; die Verarbeitung bis dahin bleibt rechtmäßig.

5. Konto, Registrierung und Anmeldung

Registrierung mit E-Mail-Adresse. Wir verarbeiten Ihre E-Mail-Adresse und Ihr Passwort. Das Passwort speichern wir nicht im Klartext, sondern nur als gesicherten Hash-Wert (scrypt mit einem geheimen Zusatzwert). Außerdem speichern wir den Zeitpunkt der Registrierung und der letzten Anmeldung.

Anmeldung mit Discord. Wählen Sie „Mit Discord anmelden“, leiten wir Sie zu Discord weiter. Dort bestätigen Sie, welche Daten Discord an uns übermitteln darf. Wir erhalten Ihre Discord-Kennung (ID), Ihren Discord-Benutzernamen und die bei Discord hinterlegte E-Mail-Adresse und speichern diese Daten in Ihrem Konto. Außerdem fügen wir Ihr Discord-Konto dem Support-Server „GetBack | Support“ hinzu, damit Sie Hilfe und Ankündigungen erhalten. Wenn Sie das nicht möchten, registrieren Sie sich mit E-Mail-Adresse und Passwort; den Server können Sie jederzeit verlassen. Für die Verarbeitung auf dem Discord-Server ist Discord Inc., 444 De Haro Street, Suite 200, San Francisco, CA 94107, USA, in eigener Verantwortung zuständig; wir sind für die Moderation des Servers verantwortlich. Die Datenschutzhinweise von Discord finden Sie unter discord.com/privacy.

Anmeldung in der Erweiterung. Die Erweiterung meldet sich mit Ihrer E-Mail-Adresse und Ihrem Passwort bei unserem Server an. Wir speichern pro Anmeldung eine Sitzung mit Zeitpunkt, Ablaufzeit, einem Hash-Wert der Geräte-Kennung, der IP-Adresse und der Browserkennung sowie gehashten Zugriffs- und Erneuerungs-Token. Pro Konto sind höchstens 2 Geräte gleichzeitig angemeldet. Sitzungen laufen spätestens nach 30 Tagen ab oder enden mit der Abmeldung.

Zweck und Rechtsgrundlage. Wir stellen Ihnen das Konto und die Lizenz bereit (Art. 6 Abs. 1 lit. b DSGVO). Für die Anmeldung mit Discord und das Hinzufügen zum Support-Server beruht die Verarbeitung zusätzlich auf Ihrer Bestätigung im Discord-Dialog (Art. 6 Abs. 1 lit. a DSGVO). Speicherdauer: bis zur Löschung Ihres Kontos; Sitzungsdaten bis zum Ablauf oder zur Beendigung der Sitzung.

Ohne Konto können wir den Vertrag nicht erfüllen. Die Angabe Ihrer E-Mail-Adresse ist deshalb für die Registrierung erforderlich.

6. Bestellung, Zahlung mit PayPal und Abrechnung

Zahlungen wickeln Sie über PayPal ab (PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg). Wenn Sie die Zahlung mit PayPal starten, lädt Ihr Browser Inhalte von PayPal und überträgt dabei technisch notwendige Daten, zum Beispiel Ihre IP-Adresse, an PayPal. PayPal verarbeitet Ihre Zahlungsdaten in eigener Verantwortung nach seiner Datenschutzerklärung (paypal.com). Wir erhalten von PayPal die Bestätigung, dass die Zahlung oder das Abonnement erfolgt ist, sowie Transaktions- und Abonnement-Kennungen, Betrag, Währung, Status und Zeitpunkt. Ihre Konto- oder Kartendaten erhalten wir nicht.

Wir speichern Bestelldaten: Bestellnummer, Tarif, Brutto-Preis, Umsatzsteuer, Netto-Preis, PayPal-Kennungen, Status (bezahlt, erstattet, gescheitert), Zeitpunkte sowie die Zustimmung zum Beginn der Leistung vor Ablauf der Widerrufsfrist. Auf Ihren Wunsch erstellen wir eine Rechnung; dafür verarbeiten wir die Angaben, die Sie uns dazu mitteilen (zum Beispiel Name, Anschrift und Umsatzsteuer-Identifikationsnummer).

Zweck und Rechtsgrundlage. Vertragsabwicklung, Lizenzfreischaltung, Erstattungen (Art. 6 Abs. 1 lit. b DSGVO) und Erfüllung steuer- und handelsrechtlicher Aufbewahrungs- und Nachweispflichten (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 Abgabenordnung und § 14b Umsatzsteuergesetz). Speicherdauer: Buchungsbelege und Rechnungen bewahren wir 8 Jahre auf, gerechnet ab dem Ende des Kalenderjahres, in dem der Beleg entstanden ist; Handels- und Geschäftsbriefe 6 Jahre, Bücher und Aufzeichnungen 10 Jahre. Eine Löschung Ihres Kontos lässt diese Aufbewahrung unberührt; die Daten werden dann für die übrigen Zwecke gesperrt.

Zusätzlich protokollieren wir die Schritte des Bestellvorgangs auf dem Server (Bestellung angelegt, Zahlung bestätigt, Fehler mit Fehlercode, Eingang von Benachrichtigungen von PayPal, Erstattung) mit Bestellnummer, PayPal-Bestellnummer, Tarif, Betrag und Währung. Zweck ist die Aufklärung von Zahlungsfehlern, die Verhinderung von Betrug und der Nachweis (Art. 6 Abs. 1 lit. b und f DSGVO). Diese Protokolle löschen wir nach 180 Tagen, soweit sie nicht Teil eines Buchungsbelegs sind.

7. Widerruf, Kündigung und Kontakt

Wenn Sie über unsere Formulare einen Vertrag widerrufen oder kündigen, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, die Angaben zum Vertrag, bei einer Kündigung Art, Grund und gewünschten Zeitpunkt, den Zeitpunkt des Eingangs und eine Referenznummer. Wir senden Ihnen daraufhin die vorgeschriebene Eingangsbestätigung per E-Mail. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und c DSGVO in Verbindung mit § 356a BGB und § 312k BGB. Wir speichern diese Daten bis zum Ablauf der Verjährungsfrist von drei Jahren nach dem Ende des Jahres, in dem die Erklärung einging, und, soweit sie Teil eines Buchungsbelegs sind, 8 Jahre.

Wenn Sie uns per E-Mail oder über den Discord-Support-Server kontaktieren, verarbeiten wir Ihre Angaben, um Ihr Anliegen zu bearbeiten (Art. 6 Abs. 1 lit. b oder f DSGVO). Wir löschen die Korrespondenz, sobald das Anliegen erledigt ist und keine gesetzliche Aufbewahrungspflicht besteht (für Geschäftsbriefe 6 Jahre). E-Mails versenden und empfangen wir über [E-Mail-Dienstleister eintragen], mit dem eine Auftragsverarbeitung nach Art. 28 DSGVO besteht.

8. Sicherheit und Missbrauchsschutz

Zum Schutz vor Missbrauch, zum Beispiel vor dem Erraten von Passwörtern und dem massenhaften Abruf des Katalogs, zählen wir Anfragen und Fehlversuche. Dazu verarbeiten wir einen Fingerabdruck der IP-Adresse. Er wird mit einem geheimen Schlüssel gebildet und lässt sich ohne diesen Schlüssel nicht auf die IP-Adresse zurückführen. Die Zähler werden zwischen wenigen Minuten und 24 Stunden gespeichert. Sicherheitsrelevante Ereignisse (Anmeldungen, Sperren, Verwaltungsaktionen) halten wir in einem manipulationsgeschützten Protokoll fest, das nur Schlüssel-Hash-Werte von E-Mail-Adressen, IP-Adressen und Kennungen enthält. Dieses Protokoll bewahren wir höchstens 12 Monate auf.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit des Dienstes und am Schutz vor Missbrauch und Betrug). Sie können der Verarbeitung nach Abschnitt 15 widersprechen.

9. Website-Statistik nur mit Einwilligung

Wenn Sie im Banner einwilligen, speichern wir eine zufällige Browser-Kennung (gb_vid) im lokalen Speicher Ihres Browsers und senden an unseren Server Ereignisse wie aufgerufene Seiten, Klicks auf gekennzeichnete Schaltflächen, das Öffnen von Antworten auf häufige Fragen, die Auswahl eines Tarifs, die Schritte des Bestellvorgangs sowie Ergebnisse von Registrierung und Anmeldung (nur als Ergebniscode). Wir speichern dazu die Browser-Kennung, den Zeitpunkt, den Namen des Ereignisses, die aufgerufene Seite, Browser- und Betriebssystem-Familie (nicht die vollständige Browserkennung) und einen Fingerabdruck der IP-Adresse für Missbrauchsgrenzen (Abschnitt 8). Sind Sie angemeldet, ordnen wir die Ereignisse Ihrem Konto zu. Die Daten bleiben auf unserem Server; wir geben sie nicht an Dritte weiter.

Zweck ist die Verbesserung der Website und das Erkennen von Problemen im Bestellvorgang. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Speicherdauer: 180 Tage. Ohne Einwilligung erfassen wir keine Statistik und speichern keine Browser-Kennung.

10. Die Erweiterung: Datenfluss und Diagnosedaten

Was die Erweiterung lokal macht und nicht überträgt

Die Erweiterung läuft in Ihrem Browser. Sie meldet sich dort bei Ihren Cashback-Anbietern an, liest Ihre Guthaben und Einkäufe und zeigt sie im Dashboard an. Zugangsdaten zu den Anbietern, Guthaben, Einkäufe, besuchte Shop-Adressen und Seiteninhalte werden nicht an uns übertragen. Sie verbleiben im Speicher der Erweiterung in Ihrem Browser, und wir können sie nicht einsehen oder wiederherstellen. Beim Deinstallieren der Erweiterung oder beim Löschen der Browserdaten gehen sie verloren.

Was die Erweiterung an uns überträgt

Für das Konto und die Lizenz überträgt die Erweiterung Ihre Anmeldedaten und Sitzungs-Token. Sie ruft den Katalog der Shops und Angebote ab; dafür prüft unser Server Ihre Sitzung und Ihre Lizenz. Dabei verarbeiten wir, wie bei jedem Aufruf, kurzzeitig Ihre IP-Adresse (Abschnitt 3). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Aktivieren von Cashback

Klicken Sie auf „Activate“, öffnet Ihr Browser einen Partnerlink des Cashback-Anbieters oder des Shops. Ab diesem Moment verarbeitet der jeweilige Anbieter oder Shop Ihre Daten in eigener Verantwortung nach dessen Datenschutzerklärung. Wir erhalten von diesem Vorgang keine Informationen über Ihren Einkauf. Für vermittelte Käufe kann uns der Anbieter oder Shop eine Provision zahlen; Ihre personenbezogenen Daten erhalten wir dadurch nicht.

Diagnosedaten (nur mit Ihrer Einwilligung)

Wenn Sie in der Erweiterung nach der Abfrage den Schalter „Share Diagnostics“ einschalten, sendet die Erweiterung Fehlerberichte und Nutzungszahlen zusammen mit Ihrer Konto-Kennung an uns, zum Beispiel an welcher Stelle der Anwendung ein Fehler auftrat, welche Funktion genutzt wurde, die Version der Erweiterung und einen bereinigten Fehlertext. Zugangsdaten zu Cashback-Anbietern, Guthaben, Einkäufe, besuchte Shop-Adressen und Seiteninhalte werden nie übertragen. Die Daten werden nach 180 Tagen gelöscht. Sie können den Schalter jederzeit ausschalten; dann sendet die Erweiterung nichts mehr.

Im Einzelnen übertragen wir bei eingeschaltetem Schalter pro Ereignis: Zeitpunkt, Art und Name des Ereignisses (zum Beispiel „Synchronisierung fehlgeschlagen“), Stufe, die Stelle in der Anwendung (zum Beispiel „dashboard:shops“), einen Fehlercode, einen bereinigten Fehlertext von höchstens 300 Zeichen, die Kennung des betroffenen Cashback-Anbieters (nicht Ihre Daten bei ihm), die angezeigte Ansicht, bis zu 8 kleine technische Werte wie Dauer oder Erfolg, die Version der Erweiterung und eine zufällige Sitzungskennung. Wir ordnen die Ereignisse Ihrem Konto zu. Der Server erfasst dazu die Kennung Ihres Kontos, die Kennung der Anmeldesitzung und den Zeitpunkt des Eingangs. Eine IP-Adresse wird zu diesen Ereignissen nicht gespeichert; nur ein Schlüssel-Fingerabdruck für Missbrauchsgrenzen wird verarbeitet (Abschnitt 8).

Vor der Speicherung entfernen die Erweiterung und der Server E-Mail-Adressen, Token und lange Zeichenfolgen, Internetadressen (außer der Domain), Zahlen, die wie Kartennummern oder IBAN aussehen, und ersetzen sie durch „[x]“. Das ist ein Schutz, aber keine Garantie; deshalb übertragen wir in Fehlertexten keine Nutzerdaten.

Zweck ist die Fehlerbehebung und die Stabilität von GetBack. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, soweit anwendbar § 25 Abs. 1 TDDDG). Die Erweiterung fragt Sie vor dem ersten Senden. Sie können den Schalter „Share Diagnostics“ in den Einstellungen der Erweiterung jederzeit ausschalten; dann sendet die Erweiterung nichts mehr, und die Erweiterung funktioniert unverändert. Die Daten sind nur für uns einsehbar und werden nach 180 Tagen gelöscht. Auf Wunsch löschen wir sie früher.

Chrome Web Store

Die Erweiterung beziehen Sie über den Chrome Web Store von Google. Google verarbeitet dabei Ihre Daten in eigener Verantwortung (policies.google.com/privacy). Wir erhalten keine personenbezogenen Daten aus dem Store.

11. E-Mails

Wir senden Ihnen E-Mails, die zur Vertragsabwicklung erforderlich sind, insbesondere Bestellbestätigungen, Eingangsbestätigungen für Widerruf und Kündigung sowie Hinweise zu Änderungen des Dienstes oder der Preise. Werbe-E-Mails senden wir nur mit Ihrer ausdrücklichen Einwilligung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

12. Empfänger der Daten

Wir geben personenbezogene Daten nur weiter, soweit das erforderlich ist:

• [Hosting-Anbieter eintragen] (Hosting des Servers, Auftragsverarbeiter)
• Cloudflare (CDN, DNS und Schutz vor Angriffen, Auftragsverarbeiter)
• [E-Mail-Dienstleister eintragen] (E-Mail-Versand und -Empfang, Auftragsverarbeiter)
• PayPal (Zahlungsabwicklung, eigener Verantwortlicher)
• Discord Inc. (Anmeldung mit Discord und Support-Server, eigener Verantwortlicher)
• Google (Chrome Web Store für die Verteilung der Erweiterung, eigener Verantwortlicher; Google erhält von uns keine Kundendaten)
• Steuerberatung und Buchhaltung, soweit wir sie beauftragen, für die Erfüllung steuerrechtlicher Pflichten
• Behörden und Gerichte, soweit eine gesetzliche Pflicht besteht

Eine Weitergabe zu Werbezwecken findet nicht statt. Wir verkaufen keine personenbezogenen Daten.

13. Übermittlung in Drittländer

Cloudflare, Inc. und Discord Inc. haben ihren Sitz in den USA. Die Übermittlung stützen wir auf den Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger danach zertifiziert ist, und ergänzend auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). PayPal und Google können Daten in Drittländer übermitteln; die Grundlagen finden Sie in deren Datenschutzerklärungen. Eine Kopie der Garantien erhalten Sie auf Anfrage.

14. Speicherdauer im Überblick

15. Ihre Rechte

Sie haben gegenüber uns folgende Rechte:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht entgegensteht
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Widerspruch gegen eine Verarbeitung, die auf Art. 6 Abs. 1 lit. f DSGVO beruht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO)

Wenden Sie sich dazu an [email protected]. Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

Beschwerderecht. Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2-4, 40213 Düsseldorf, https://www.ldi.nrw.de.

16. Aktualität

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Maßgeblich ist die jeweils hier veröffentlichte Fassung.