Datenschutzerklärung

ENTWURF — noch nicht rechtlich geprüft / DRAFT — pending counsel review. Diese deutsche Fassung ist eine Arbeitsübersetzung der englischen Privacy Policy (Version 1.1) und noch nicht freigegeben. Bis zur Freigabe ist die englische Fassung maßgeblich.

Verantwortlicher: Axess Intelligence GmbH, Pilgrimstraße 6, 50674 Köln, Deutschland.
Datenschutzbeauftragter: privacy@rewado.io ([TBC] — Datenschutzbeauftragter noch zu bestellen).
Kontakt für Datenschutzanfragen: privacy@rewado.io

1. Wer wir sind und was Rewado macht

Rewado wird von der Axess Intelligence GmbH betrieben. Rewado belohnt dich für die Teilnahme an Marktforschung: Mit deiner Einwilligung untersuchen wir die Werbe-E-Mails, die Marken dir senden, sowie die Werbenachrichten und Screenshots, die du hochlädst, und verkaufen pseudonymisierte Erkenntnisse auf Persona-Ebene über das Marketing von Marken an Geschäftskunden. Die Unternehmen, die uns bezahlen, sind nicht notwendigerweise die Marken, deren Kommunikation wir untersuchen.

2. Welche Daten wir erheben

Du stellst bereit / wir erheben aus deiner Nutzung:

• Konto: E-Mail-Adresse, gehashtes Passwort, Anzeigename, optional Telefonnummer.
• Profil: Land, Sprache, Präferenzen; demografische Angaben, die du machst.
• Inhalte deines verbundenen E-Mail-Postfachs — siehe §3.
• Werbenachrichten und Screenshots, die du einreichst — siehe §4.
• Auszahlungs- / Verifizierungsdaten, wenn du dir Guthaben auszahlen lässt.
• Geräte- & Nutzungsdaten: Gerätetyp, Betriebssystem, IP-Adresse, Gerätekennungen, genutzte Funktionen, Zeitstempel, grober Standort (Länderebene), Absturz- / Performance-Daten.
• Einwilligungsnachweise (was du wann akzeptiert hast, und in welcher Fassung).

Von Dritten: Name / E-Mail-Adresse aus der Google-Anmeldung; Bestätigungen von Affiliate- / Attributionsnetzwerken.

3. Verbindung deines E-Mail-Postfachs (Gmail)

• Du erzeugst ein Google-App-Passwort und gibst es in der App ein. Es wird verschlüsselt auf deinem Gerät gespeichert und nicht an unsere Server übertragen.
• Die App durchsucht dein Postfach auf deinem Gerät nach Werbenachrichten. Um sie zu erkennen, prüft sie eingehende E-Mails — darunter können auch Nachrichten von Absendern sein, zu denen du keine Beziehung hast —, aber nur der werbliche Inhalt wird für den Forschungszweck in §5 verarbeitet und aufbewahrt; andere Nachrichten werden nicht gespeichert. Dein Google-Hauptpasswort erhalten oder speichern wir zu keinem Zeitpunkt.
• Ein App-Passwort gewährt technisch einen weitergehenden Postfachzugriff; wir nutzen es ausschließlich, um Werbe-E-Mails zu finden und zu verarbeiten.

4. Werbenachrichten, SMS & Push-Benachrichtigungen, die du teilst

Über E-Mails hinaus kannst du verdienen, indem du Screenshots von Werbenachrichten hochlädst, die du von Marken erhältst — einschließlich Marketing-SMS und Push-Benachrichtigungen. Du wählst aus, was du hochlädst; wir verarbeiten nur den von dir eingereichten werblichen Inhalt für den in §5 beschriebenen Forschungszweck. Rewado liest, fängt ab oder erfasst deine SMS oder Push-Benachrichtigungen nicht automatisch im Hintergrund: Du erstellst selbst einen Screenshot und reichst ihn ein, und wir verarbeiten nur dieses Bild. Du entscheidest jedes Mal, was du teilst.

5. Wie wir deine Daten nutzen — und welche KI und Menschen beteiligt sind

• Prämien- & Kontobetrieb (Vertrag).
• Marktforschung + Profiling (deine Einwilligung): Wir entfernen direkte Identifikatoren und ordnen dich anschließend einer pseudonymisierten Persona zu (z. B. „abgesprungener Zuschauer“), abgeleitet aus Signalen in den E-Mails / Nachrichten selbst. Das ist Profiling. Geschäftskunden können sehen, dass eine Kommunikation eine bestimmte Persona erreicht hat — niemals deinen Namen oder deine Identität.
• Keine automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung: Prämien folgen einer festen, markenspezifischen Regel für die von dir geteilten Inhalte — keiner profilbasierten Bewertung deiner Person —, und Screenshot-Uploads werden von einem Menschen geprüft. Art. 22 DSGVO (ausschließlich automatisierte Entscheidungen) findet daher keine Anwendung.
• KI-Verarbeitung: Hochgeladene Inhalte und E-Mail-Inhalte werden durch Googles Gemini-Modelle (über Google Cloud Vertex AI) und Google Cloud Vision (optische Zeichenerkennung) verarbeitet, um den werblichen Inhalt zu lesen und Angebotsdetails zu extrahieren.
• Menschliche Prüfung: Unser geschultes, zur Vertraulichkeit verpflichtetes Prüfteam kontrolliert die Qualität unserer Arbeit und verifiziert die De-Identifizierung und kann Inhalte sehen, bevor die De-Identifizierung abgeschlossen ist. (Übergangsformulierung; wird auf „Prüfer sehen Identifikatoren nur maskiert“ aktualisiert, sobald die Maskierung technisch erzwungen wird — #533.)
• Betrugsprävention; Zuordnung von Affiliate-Aufgaben.

Zur „Anonymisierung“: Aus dem, was Geschäftskunden erhalten, werden Identifikatoren entfernt; unsere internen Forschungsdatensätze bleiben jedoch mit dir verknüpfbar (pseudonym) und sind damit weiterhin personenbezogene Daten im Sinne der DSGVO, bis sie tatsächlich anonymisiert sind.

6. Rechtsgrundlagen (Art. 6 / Art. 9 DSGVO)

• Prämienabwicklung & Konto: Vertrag (Art. 6 Abs. 1 lit. b).
• Marktforschung + Persona-Profiling: deine Einwilligung (Art. 6 Abs. 1 lit. a, Art. 7), granular und gesondert in der App eingeholt, jederzeit widerrufbar.
• Soweit die von dir geteilte Kommunikation besondere Kategorien personenbezogener Daten offenbart — oder unser Persona-Profiling solche ableitet — (zum Beispiel glücksspielbezogene Interessen, angedeutet durch Marketing von Wett- oder Casino-Marken): Wir stützen uns auf deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a). Du erteilst sie als gesonderte, ausdrückliche Einwilligung in der App — ein eigenes Kontrollkästchen, getrennt von deiner allgemeinen Forschungs-Einwilligung, das Glücksspiel- und Wettanbieter ausdrücklich nennt. Da diese Marken Teil des von uns untersuchten Marketings sind, ist diese Einwilligung Voraussetzung für die Nutzung von Rewado: Erteilst du sie nicht oder widerrufst du sie später in den Einstellungen, so wird deine Teilnahme an der Forschung pausiert, bis du sie erneut erteilst. Wir versuchen nicht, aus diesen Inhalten einen Selbstausschluss-Status, Abkühlphasen (Cooling-off), Einzahlungslimits, einen Problemspiel-Status oder deine finanziellen Verhältnisse / finanzielle Leistungsfähigkeit abzuleiten, und wir leiten sie nicht ab. (Einwilligungsarchitektur + finale Texte + deutsche Lokalisierung stehen unter dem Vorbehalt der rechtlichen Freigabe — #524/#529.)

7. Wer deine Daten erhält (Unterauftragsverarbeiter)

Unsere vollständige, aktuelle Liste der Unterauftragsverarbeiter ist auf Anfrage unter privacy@rewado.io erhältlich [TBC — Verlinkung der veröffentlichten Unterauftragsverarbeiter-Liste (#528)]. Geschäftskunden erhalten ausschließlich pseudonymisierte Erkenntnisse auf Persona-Ebene (ohne deine direkten Identifikatoren wie Name und E-Mail) — niemals deine Roh-Uploads, dein Postfach oder deine Kontodaten. Wir verkaufen keine personenbezogenen Daten und geben sie nicht für kontextübergreifende verhaltensbezogene Werbung weiter.

8. Internationale Datenübermittlungen

Wo immer möglich halten wir die Verarbeitung innerhalb der EU / des EWR — unsere Datenbank wird zum Beispiel in Frankfurt gehostet —, sodass keine internationale Übermittlung stattfindet, und wir bevorzugen bei unseren übrigen Anbietern EU-Regionen, wo diese angeboten werden. Wo eine Verarbeitung außerhalb der EU / des EWR unvermeidbar ist (zum Beispiel bestimmte US-basierte Hosting- oder Support-Dienste), stützen wir uns auf eine geeignete Garantie nach Kapitel V DSGVO — das EU-US Data Privacy Framework, sofern der Empfänger zertifiziert ist, andernfalls die Standardvertragsklauseln der Europäischen Kommission (2021/914, Modul 2) — zusammen mit einer einzelfallbezogenen Transfer-Folgenabschätzung und zusätzlichen technischen und organisatorischen Schutzmaßnahmen. Unsere aktuelle Liste der Unterauftragsverarbeiter weist den je Anbieter genutzten Mechanismus aus. (Die Festlegung auf EU-Regionen je Anbieter wird derzeit ausgerollt — #525.)

9. Speicherdauer

• Kontodaten: für die Dauer der aktiven Nutzung + 30 Tage nach Löschung.
• Roh-Postfach- / Upload-Inhalte (Original-E-Mails, Bilder, OCR-Text, Datensätze erkannter personenbezogener Angaben): werden höchstens 90 Tage nach Extraktion der Forschungserkenntnis aufbewahrt, damit die Extraktion bei Bedarf wiederholt werden kann, und dann gelöscht. Eine kürzere Frist geht vor: Widerrufst du deine Einwilligung oder verlangst du die Löschung deiner Daten, löschen wir die Rohinhalte umgehend, statt die 90 Tage abzuwarten. Aus besonderen Kategorien abgeleitete Attribute werden kürzer aufbewahrt als allgemeine Profildaten. (90-Tage-Frist + deren technische Durchsetzung stehen unter dem Vorbehalt der finalen Produkt- / Rechtsbestätigung — #526.)
• Backups und Logs: Die vorstehenden Inhalte fallen innerhalb weiterer 30–35 Tage nach der Löschung im Livesystem aus unseren Backups und Betriebslogs heraus.
• Affiliate-Datensätze: bis zu 2 Jahre; Buchhaltung: bis zu 10 Jahre (§ 147 AO); Support: bis zu 2 Jahre.
• Einwilligungs- & Rechtsakzeptanz-Nachweise: Kontolaufzeit + 3 Jahre.
• Anonymisierte, aggregierte Erkenntnisse: können unbefristet aufbewahrt werden.

10. Deine Rechte

Dir stehen die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch und Widerruf der Einwilligung zu (Art. 15–21 DSGVO). Der Widerruf der Forschungs-Einwilligung („Forschung stoppen“ im Privatsphäre-Bereich der App) meldet dich von allen Marken ab und beendet das Verdienstverhältnis; du kannst dich pro Marke wieder anmelden. Die Kontolöschung löscht deine Daten. Zur Ausübung eines Rechts, für einen Datenexport oder einen Widerspruch gegen die Verarbeitung wende dich an privacy@rewado.io. Für Einwohner Kaliforniens (CCPA/CPRA): Rechte auf Auskunft, Zugang, Löschung, Berichtigung, Opt-out und Nichtdiskriminierung.

11. Dein Beschwerderecht (Aufsichtsbehörde)

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Unsere zuständige Behörde ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf — www.ldi.nrw.de. Du kannst dich auch an die Behörde deines EU-Wohnsitzlands wenden.

12. Personen, die in den von dir geteilten Inhalten vorkommen

Die E-Mails, Nachrichten und Screenshots, die du mit uns teilst, können andere Personen enthalten — Marken-Absender und gelegentlich einen Empfänger, eine Gegenpartei oder ein Haushaltsmitglied. Wir verarbeiten diese Inhalte, um Marken-Marketing zu untersuchen, nicht diese Personen, und wir minimieren und schwärzen Angaben zu Dritten in unserer Pipeline. Da eine direkte Kontaktaufnahme mit jeder dieser Personen einen unverhältnismäßigen Aufwand bedeuten würde, berufen wir uns — nach Abwägung ihrer Interessen und Rechte — auf die Ausnahme des Art. 14 Abs. 5 lit. b DSGVO. Wenn du in mit uns geteilten Inhalten vorkommst und deine Rechte ausüben möchtest, wende dich an privacy@rewado.io.

13. Altersanforderung

Rewado ist nur für Erwachsene (18+). Wir nehmen wissentlich keine Personen unter 18 Jahren auf und treffen Vorkehrungen, um Daten Minderjähriger aus unserer Verarbeitung herauszuhalten. Falls du glaubst, dass eine Person unter 18 ein Konto hat, wende dich an privacy@rewado.io, und wir entfernen es.

14. Cookies, Gerätezugriff & Tracking (ePrivacy / TTDSG)

Nicht notwendige Cookies, Tracker und der Zugriff auf Informationen auf deinem Gerät bedürfen deiner gesonderten Einwilligung nach den ePrivacy-Regeln / § 25 TTDSG, zusätzlich zu einer DSGVO-Rechtsgrundlage.

• Notwendig (keine Einwilligung): das Authentifizierungs- / Session-Cookie.
• Nicht notwendig (Einwilligung erforderlich): Mixpanel (Produkt-Analytics), Intercom (Support-Widget), Firebase (Mobile-Analytics, Absturz & Performance), Vercel Speed Insights (Web-Vitals).
• Schriftarten werden selbst gehostet — keine Tracker; kein Google reCAPTCHA wird eingesetzt.

Das vollständige Cookie- / SDK-Verzeichnis (Namen, Dauer, Zwecke) und der Consent-Manager werden über das Consent-Banner bereitgestellt. [TBC — Verlinkung des veröffentlichten Cookie-Verzeichnisses nach Abschluss des Cookie-Audits (#528).]

15. Wie wir dich über Änderungen informieren

Wir können diese Datenschutzerklärung aktualisieren. Über wesentliche Änderungen informieren wir dich mindestens 14 Tage im Voraus, sowohl in der App (ein Hinweis beim nächsten Öffnen von Rewado) als auch per E-Mail an deine Konto-Adresse, mit einer kurzen Zusammenfassung der Änderungen und einem Link zum vollständigen Text. Da eine Datenschutzerklärung eine Informationsmitteilung ist, gibt es nichts zu „akzeptieren“ — betrifft eine Änderung jedoch eine Verarbeitung, die auf deiner Einwilligung beruht, bitten wir dich, sie zu prüfen und, soweit erforderlich, erneut einzuwilligen, bevor diese Verarbeitung fortgesetzt wird. Nicht wesentliche Aktualisierungen werden hier mit neuer Versionsnummer und neuem Gültigkeitsdatum veröffentlicht.