Datenschutzhinweise

Diese Hinweise gelten für die mobile App Rewardly Explore, die Browser-Erweiterung Rewardly Explore, die dafür betriebenen Backend-Dienste und die öffentliche Seite zur Kontolöschung. Für die Rewardly Website und Rewardly Wallet gelten jeweils eigene Datenschutzhinweise.

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Supportstars UG (haftungsbeschränkt)
Friedrichstr. 155
10117 Berlin
E-Mail: privacy@rewardly.win

Für ein Rewardly-Explore-Konto verarbeiten wir deine E-Mail-Adresse, eine interne Nutzer-ID und – falls von dir angegeben – deinen Namen. Zur Anmeldung versenden wir einen einmaligen Code per E-Mail. Im Backend wird nicht der Code selbst, sondern nur eine kryptografisch abgeleitete Prüfsumme gespeichert. Der Code ist zehn Minuten gültig.

Nach einer erfolgreichen Anmeldung erhält dein Gerät eine Sitzung mit einer maximalen Laufzeit von 30 Tagen. Für den Schutz vor Missbrauch verarbeiten wir außerdem notwendige Sicherheits- und Rate-Limit-Daten, etwa fehlgeschlagene Versuche und technische Zeitstempel.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Verarbeitung zur Absicherung des Dienstes und zur Abwehr von Missbrauch erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und zuverlässiger Betrieb.

Um deine Loyalty-Programme zu verwalten, speichern wir die von dir ausgewählten Programme sowie die eingetragenen oder automatisch erkannten Meilen-, Punkte- und Statuswerte. Wenn du Ziele oder Präferenzen anlegst, speichern wir auch diese Angaben. Dazu können Zielprogramme, gewünschte Reisen, Reiseklassen, Reisezeiträume und Personenzahlen gehören.

Diese Verarbeitung ist zur Bereitstellung der von dir genutzten App-Funktionen erforderlich und erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

Du kannst E-Mails von Loyalty-Programmen an eine persönliche, zufällig erzeugte Rewardly-Explore-Adresse weiterleiten. Wir verarbeiten Absender, Betreff, Empfangszeitpunkt und den Textinhalt, um das Programm und einen möglichen neuen Guthaben- oder Statuswert zu erkennen. Anhänge werden nicht dauerhaft gespeichert; externe Bilder werden nicht geladen.

Eine automatische Aktualisierung erfolgt nur, wenn das Programm deinem Konto zugeordnet ist, der Absender als vertrauenswürdig erkannt wird und der Wert ausreichend sicher bestimmt werden kann. Unsichere Ergebnisse werden zur Prüfung angezeigt und ändern dein Guthaben nicht automatisch.

Eine für die Prüfung aufbereitete Textkopie der E-Mail wird grundsätzlich spätestens nach sieben Tagen oder früher nach deiner Bestätigung gelöscht. Die strukturierte Historie – etwa Programm, Absender, Betreff, Zeitpunkt, erkannter Wert, Änderung und Verarbeitungsstatus – bleibt in deinem Konto, bis du den Eintrag oder dein Konto löschst.

Die Verarbeitung erfolgt zur Ausführung der von dir angeforderten Funktion auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Bitte leite nur E-Mails weiter, die sich auf dein eigenes Konto beziehen und keine unnötigen Daten anderer Personen enthalten.

Wenn du die Standortfunktion ausdrücklich auswählst, fragt die App einmalig nach der Berechtigung für den Standort im Vordergrund. Die genaue Position wird ausschließlich auf deinem Gerät verwendet, um nahe Flughäfen vorzuschlagen. Wir übertragen oder speichern die Koordinaten nicht in unserem Backend.

Der von dir gewählte Heimatflughafen wird lokal gespeichert und kann als Suchkriterium an unser Backend übermittelt werden. Du kannst den Flughafen auch ohne Standortfreigabe manuell auswählen. Rechtsgrundlage für den Zugriff auf den Standort ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Du kannst sie jederzeit in den Geräteeinstellungen widerrufen.

Wenn du einen Passkey einrichtest, speichern wir den öffentlichen Schlüssel und technisch notwendige Angaben zur Anmeldeinformation, beispielsweise Zähler, Gerätetyp und unterstützte Übertragungswege. Der private Schlüssel bleibt bei deinem Gerät oder deinem Passkey-Anbieter.

Eine optionale biometrische Bestätigung wird ausschließlich durch das Betriebssystem deines Geräts ausgeführt. Rewardly Explore erhält weder Gesichtsbilder noch Fingerabdrücke oder andere biometrische Vorlagen. Die Verarbeitung dient der sicheren Anmeldung und erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Wenn du Push-Benachrichtigungen aktivierst, speichern wir ein deinem Gerät zugeordnetes Push-Token. Nachrichten werden über den Expo Push Service und anschließend über Apple Push Notification Service oder Firebase Cloud Messaging an dein Gerät zugestellt. Dabei werden das Push-Token, technische Metadaten und der Inhalt der jeweiligen Benachrichtigung verarbeitet.

Die Verarbeitung beruht auf deiner Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Du kannst Benachrichtigungen jederzeit in der App oder in den Geräteeinstellungen deaktivieren.

Für die Suche nach Prämienflügen übermitteln wir die von dir eingegebenen Suchkriterien – etwa Abflug- und Zielflughafen, Reisezeitraum, Reiseklasse und Personenzahl – an seats.aero. Deine E-Mail-Adresse und interne Nutzer-ID werden dabei nicht übermittelt.

Anbieter ist Travel Data Corporation, USA. Die Verarbeitung ist zur Ausführung deiner Suche erforderlich und beruht auf Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen findest du in der Datenschutzerklärung von seats.aero.

Wir setzen folgende Dienstleister ein:

• Cloudflare, Inc. für Backend, Datenbank, Objektspeicher, E-Mail-Empfang und technische Sicherheitsfunktionen. Dabei können insbesondere Konto-, Inhalts-, Kommunikations-, IP- und Protokolldaten verarbeitet werden. Datenschutz bei Cloudflare
• Plus Five Five, Inc. (Resend) für den Versand von Anmelde- und Kontolöschungs-E-Mails. Hierfür werden deine E-Mail-Adresse, der Nachrichteninhalt und Versandmetadaten verarbeitet. Datenschutz bei Resend
• 650 Industries, Inc. (Expo) für App-Updates und optionale Push-Benachrichtigungen. Expo kann dabei Betriebssystem-, Netzwerk-, IP-, Update- und Push-Daten verarbeiten. Datenschutz bei Expo
• Apple Inc. oder Google LLC für den jeweiligen App-Store und – bei aktivierten Benachrichtigungen – für die Zustellung von Push-Nachrichten. Es gelten ergänzend die Datenschutzhinweise von Apple beziehungsweise Google.

Soweit Dienstleister als Auftragsverarbeiter tätig sind, binden wir sie durch Verträge nach Art. 28 DSGVO. Wir verkaufen keine personenbezogenen Daten und nutzen sie nicht für personalisierte Werbung.

Einige der genannten Anbieter haben ihren Sitz in den USA oder verarbeiten Daten dort. Eine Übermittlung erfolgt auf Grundlage eines Angemessenheitsbeschlusses nach Art. 45 DSGVO, soweit der jeweilige Anbieter für das EU-US Data Privacy Framework zertifiziert ist. Andernfalls verwenden wir geeignete Garantien nach Art. 46 DSGVO, insbesondere die Standardvertragsklauseln der Europäischen Kommission.

Kopien oder Informationen zu den einschlägigen Garantien kannst du unter privacy@rewardly.win anfordern.

Wir speichern personenbezogene Daten nur so lange, wie sie für den jeweiligen Zweck erforderlich sind oder gesetzliche Pflichten bestehen. Insbesondere gelten folgende Grundsätze:

• Anmeldecodes sind zehn Minuten gültig.
• Sitzungen laufen spätestens nach 30 Tagen ab.
• Bestätigungslinks für die Kontolöschung sind 30 Minuten gültig. Der zugehörige Token wird ausschließlich als kryptografisch abgeleitete Prüfsumme gespeichert.
• Aufbereitete Textkopien weitergeleiteter Loyalty-E-Mails werden grundsätzlich nach spätestens sieben Tagen oder früher nach deiner Bestätigung gelöscht.
• Programme, Guthaben, Ziele und die strukturierte E-Mail-Historie speichern wir, bis du die jeweiligen Daten oder dein Konto löschst.
• Lokal gespeicherte App-Daten verbleiben auf deinem Gerät, bis du sie zurücksetzt, dich abmeldest oder die App löschst.
• Sicherheits- und Protokolldaten werden gelöscht oder anonymisiert, sobald sie für Betrieb, Fehleranalyse und Missbrauchsschutz nicht mehr erforderlich sind.

Du kannst die Löschung in den App-Einstellungen oder über unsere öffentliche Seite zur Kontolöschung anfordern. Zur Sicherheit senden wir einen 30 Minuten gültigen Bestätigungslink an die E-Mail-Adresse deines Kontos. Der Link öffnet zunächst eine Bestätigungsseite; die Löschung erfolgt erst nach deiner ausdrücklichen Bestätigung. Danach löschen wir das Konto und die zugehörigen Cloud-Daten. Für weitere Fragen erreichst du uns unter privacy@rewardly.win.

Du hast nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Verarbeiten wir Daten auf Grundlage berechtigter Interessen, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, Widerspruch einlegen.

Anfragen richtest du an privacy@rewardly.win. Du hast außerdem das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin.

Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz deiner Daten. Es findet keine ausschließlich automatisierte Entscheidung statt, die dir gegenüber rechtliche Wirkung entfaltet oder dich in ähnlich erheblicher Weise beeinträchtigt. Wir behalten uns vor, diese Hinweise anzupassen, wenn sich Funktionen, Dienstleister oder rechtliche Anforderungen ändern.

Die Browser-Erweiterung verbindet unterstützte Loyalty-Programmseiten mit deinem Rewardly-Explore-Konto. Sie läuft nur auf den Seiten dieser Programme und auf explore.rewardly.win. Von Banken und Kartenanbietern ist nur American Express dabei. Dort läuft sie nur auf der Dashboard-Seite und liest nur Werte von Membership Rewards. Andere Websites und deinen Browserverlauf liest sie nicht.

Auf einer unterstützten Programmseite liest die Erweiterung nur die für dieses Programm vorgesehenen Felder, etwa Mitgliedsnummer, Punkte- oder Meilenstand, Status und Statusfortschritt. Dazu wertet sie den Seiteninhalt und Antworten aus, die die Seite ohnehin lädt. Passwörter liest sie nicht.

Nach der Installation erklärt die Erweiterung diese Funktion und fragt, ob du das automatische Übernehmen (Auto-Sync) nutzen möchtest. Auto-Sync ist voreingestellt und lässt sich jederzeit im Menü der Erweiterung ausschalten. Mit Auto-Sync überträgt sie neu erkannte, abweichende Werte automatisch an dein Konto. Ohne Auto-Sync liest sie Programmseiten nur, wenn du Werte im Menü prüfst, und überträgt nur, was du selbst speicherst. Dabei senden wir die Werte, die Programmkennung und die Adresse der Programmseite ohne Parameter an unser Backend.

Übernommene Werte speichern wir wie in Abschnitt 3 beschrieben. In deinem Browser speichert die Erweiterung einen eigenen, widerrufbaren Schlüssel, deinen Kontonamen und deine E-Mail-Adresse, deine Einstellungen, eigene Felder sowie die Programmkataloge. Diese Daten bleiben dort, bis du die Verbindung zurücksetzt oder die Erweiterung entfernst.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Die Nutzung der Daten, die die Erweiterung erhält, entspricht der Chrome Web Store User Data Policy einschließlich der Limited-Use-Anforderungen. Wir nutzen diese Daten nur für die hier beschriebene Funktion. Wir verkaufen sie nicht, übermitteln sie nicht an Datenhändler oder Werbeplattformen und nutzen sie weder für Werbung noch zur Beurteilung von Kreditwürdigkeit. Unsere Mitarbeitenden lesen sie nur mit deiner ausdrücklichen Einwilligung, zur Untersuchung von Sicherheitsvorfällen oder wenn das Gesetz es verlangt.