Datenschutzerklärung

1. Verantwortlicher

Alexander Burkhard, Münsterlandstraße 68, 10317 Berlin, Germany. E-Mail: [email protected].

Ein Datenschutzbeauftragter ist nicht bestellt (keine gesetzliche Pflicht, § 38 BDSG).

2. Welche Daten wir verarbeiten

• Fragebogen-Antworten: deine Präferenzen (z. B. Klima, Kosten, Tempo, Prioritäten), Herkunftsland, Staatsangehörigkeiten, Einkommensangaben (Spanne/portables Einkommen), gesprochene Sprachen, Haushaltsangaben und Umzugszeitrahmen. Im letzten Web-Quizschritt gibst du ein Zielland und deine Umzugsabsicht an oder wählst ausdrücklich, dass du noch kein Land im Sinn hast. Diese Zielangabe und Umzugsabsicht beeinflussen dein Ranking nicht. Wir nutzen sie, um passende Hinweise und die Einladung zur Umzugshilfe auf deiner Ergebnisseite anzuzeigen; daraus allein entsteht keine Anfrage und es erfolgt keine Weitergabe an einen Anbieter. In älteren Quizversionen freiwillig genannte Städte-Auswahllisten bleiben als solche gespeichert und werden nicht als neue Länderabsicht interpretiert. Eine Angabe deines Namens ist für das Ergebnis nicht erforderlich.
• Ergebnis-Snapshots: das berechnete, unveränderliche Ranking, das deine teilbare Ergebnisseite speist.
• Geteilte Ergebnis-Links: Ein Freigabe-Link existiert nur, wenn du ihn selbst auf deiner Ergebnisseite erstellst. Du entscheidest, was er zeigt: Der voreingestellte Link enthält ausschließlich dein Städte-Ranking und allgemeine Passungshinweise; der „Alles“-Link zeigt zusätzlich das, was deine Ergebnisseite zeigt, einschließlich Haushalt, Herkunft und Prioritäten. Freigabe-Links verwenden nicht erratbare Adressen, sind von Suchmaschinen ausgeschlossen und können von dir jederzeit an derselben Stelle widerrufen werden — nach dem Widerruf ist die Seite nicht mehr verfügbar, bereits in Chats geteilte Vorschaubilder können jedoch als Bild erhalten bleiben. Freigabe-Links werden gelöscht, wenn du deine Daten löschst.
• Wenn du deine Ergebnisse mit einem Partner über einen Zusammenführungscode verknüpfst, berechnen und speichern wir eine aus beiden Profilen abgeleitete zusammengeführte Analyse. Jede Person kann ihre eigenen Ergebnisse oder die zusammengeführte Analyse jederzeit löschen; die Löschung der Ergebnisse einer der beiden Personen löscht auch die zusammengeführte Analyse.
• Ein Zusammenführungscode kann nur einmal verwendet werden und verfällt nach 72 Stunden. Jeder, dem du ihn gibst, kann sich mit dir verknüpfen und nach der Freischaltung sehen, wie eure Ergebnisse im Vergleich abschneiden — einschließlich der Präferenzen, aufgrund derer deine Ergebnisse Städte ausschließen.
• Jeder, der einen Link zu zusammengeführten Ergebnissen besitzt, kann ihn ansehen (als Vorschau oder nach der Freischaltung vollständig).
• Werte-Präferenz: die Frage „Wie wichtig ist dir eine säkulare / liberale öffentliche Kultur?“ erfasst eine Präferenz über das Zielland, nicht deine eigene Weltanschauung. Wir nutzen die Antwort ausschließlich zur Berechnung der Städte-Passung, niemals für Werbe- oder Profiling-Zwecke.
• Zahlungs- und Freischaltungsdaten: Bei einem Web-Kauf speichern wir die Checkout-E-Mail-Adresse, Bestell- und Zahlungsreferenzen, Produkt, in EUR erfassten Bestellbetrag, Zahlungs-/Erstattungsstatus, den Zeitpunkt der Zustimmung zur sofortigen Bereitstellung sowie Verknüpfungen zum Ergebnis oder zur zusammengeführten Analyse, Angebotskontext und zufälliger Browser-Zugriffskennung. Damit stellen wir den Kauf bereit, erhalten Zugriff und persönliche Wiederholungen und stellen Zugriff über einen auf Anfrage versandten E-Mail-Link wieder her. Wiederherstellungs-Tokens speichern wir mit Ablaufzeit und Nutzungsstatus. Bei einem App-Kauf verarbeitet RevenueCat den Apple- bzw. Google-Kaufstatus unter einer anonymen Kaufkennung. Der Zahlungsanbieter verarbeitet außerdem die Checkout-Währung und Zahlungsdaten; Karten- oder Bankkontodaten speichern wir nicht.
• Kaufbestätigungen: Für neue Web-Käufe speichern wir die versandfertige Bestätigung mit Checkout-E-Mail, tatsächlichem Zahlbetrag und Währung, Kaufreferenz, Ergebnis-Link, dokumentierter Zustimmung und der zugehörigen AGB-Version sowie den Versandstatus und die Nachrichtenkennung des E-Mail-Dienstleisters. So bleiben Wiederholungsversuche inhaltlich unverändert; ein Versandfehler entzieht keinen bezahlten Zugriff.
• Feedback: deine Antworten im Feedback-Bereich, sofern du es absendest.
• Newsletter-Anmeldung, nur soweit angeboten und gesondert gewählt: deine E-Mail-Adresse sowie Zeitpunkt und Bestätigung der Anmeldung (Double-Opt-In), damit wir die Einwilligung nachweisen können. Meldest du dich über die Ergebnisseite oder die Android-App an, verknüpfen wir die Anmeldung mit dem jeweiligen Freischaltungsnachweis. Das ist ein Einwilligungs- und Freischaltungsdatensatz, kein CrossBorders-Konto und keine Anmeldung bei CrossBorders. Ein Kauf oder eine Wiederherstellungsanfrage meldet dich nicht zum Newsletter an und erfordert kein Newsletter-Double-Opt-In; eine bestehende Newsletter-Einwilligung bleibt davon getrennt.
• Server-Protokolldaten: IP-Adresse, Zeitpunkt, User-Agent und technische Fehlerinformationen.
• Werbemessung (nur bei Besuchen, die über eine unserer eigenen Anzeigen zu uns gelangen): eine von uns selbst vergebene First-Party-Kontext-Kennung, eine etwaige im Link enthaltene Werbe-Klick-Kennung, dein ungefähres Land und ein etwaiges Global-Privacy-Control-Signal. Bei einer daraus resultierenden Anmeldung, abgesendeten Umzugshilfe-Anfrage oder einem Kauf übermitteln wir Reddit eine mit SHA-256 gehashte E-Mail-Adresse. Bei Umzugshilfe-Conversions übermitteln wir nur das Ereignis und Zuordnungskennungen, nicht dein Zielland, deine Staatsangehörigkeit, Telefonnummer oder dein Quizprofil. Der Hash ist pseudonymisierte personenbezogene Daten und keine anonyme Kennung. Über unsere Conversions-API-Implementierung übermitteln wir keine IP-Adresse der Anfrage. Wir nutzen dies ausschließlich, um zu messen, ob unsere Werbung wirkt (siehe Ziffern 3, 6, 7 und 8). Organische Besuche werden nicht für Werbung erfasst.
• Falls der Pilot für Umzugshilfe angeboten wird und du ausdrücklich eine Anfrage absendest, können Besucher aus Ergebnissen und verifizierten Subscriber-E-Mail-Kontexten sichere bereits erklärte Angaben vorausgefüllt sehen; direkte Besucher starten mit leeren Feldern. Der Subscriber-E-Mail-Link enthält kurzlebige, HttpOnly- und SameSite-Lax-Kontext-Cookies für /relocation und /api/relocation; E-Mail-Adresse, Subscriber-, Abmelde- und Snapshot-Kennungen stehen nicht in der Landing-URL. Alle Felder bleiben bearbeitbar, und die mit der Anfrage abgesendete Erklärung ist maßgeblich. Die Einwilligung für die Anfrage bleibt von der Newsletter-Einwilligung getrennt. Verarbeitet werden für diese konkrete Anfrage dein genanntes Zielland und deinen Planungskontext, deinen ausgewählten Stand im Umzugsprozess, ausgewählte Leistungen, deine E-Mail-Adresse, eine optionale Telefonnummer, der Einwilligungsnachweis und der operative Status. CrossBorders kontaktiert dich zuerst. Wir geben diese Angaben erst an einen namentlich genannten Anbieter weiter, nachdem du die konkrete Vorstellung gesondert bestätigst. Du kannst die Einwilligung jederzeit widerrufen und die Anfrage löschen lassen. CrossBorders bewahrt die Pilotanfrage höchstens 90 Tage auf; nach einer von dir freigegebenen Vorstellung gilt die eigene Speicherdauer des Anbieters. Zur Produktmessung erhält PostHog das gewählte Zielland und die Planungsabsicht aus dem Website-Quiz sowie Kampagne, Zielland, Planungsabsicht, Prozessstand und ausgewählte Hilfekategorien bei einer Anfrage. Dabei erhält PostHog keine E-Mail-Adresse, Telefonnummer, Staatsangehörigkeit, das vollständige Quiz-Profil oder eine Anfragekennung.
• Cookies für die Subscriber-Umzugshilfe: Der signierte undurchsichtige Wert wird in kurzlebigen HttpOnly-Cookies für /relocation und /api/relocation geführt, damit das bestehende Anfrageformular serverseitig geprüft werden kann; beide Cookies enthalten weder E-Mail-, Subscriber-, Abmelde- noch Snapshot-Kennungen.
• Umzugshilfe-Kontaktversuche und Kampagnen-Slots: Die minimale E-Mail-bezogene Kontakt- und Versandhistorie des Pilotprogramms wird höchstens 90 Tage aufbewahrt und danach gelöscht. Der Marker für die einmalige Kampagnenkontaktierung bleibt nach den Regeln des Subscriber-Einwilligungs- und Abmeldedatensatzes erhalten, damit dieselbe Kampagne nicht erneut versendet wird; bei Löschung des Subscribers wird auch dieser Marker gelöscht.
• Kein Datenverkauf: Wir verkaufen keine personenbezogenen Daten.

3. Zwecke und Rechtsgrundlagen

• Bereitstellung des Rankings, Kaufabwicklung, Zugriff und persönliche Wiederholungen, angeforderte Wiederherstellung und dazugehörige transaktionale E-Mails: Art. 6 Abs. 1 lit. b DSGVO (Vertrag / vorvertragliche Maßnahme).
• Produkt-Analytics über PostHog auf der Website (cookielos, ohne Gerätespeicher, mit täglich wechselndem serverseitigem Hash) und in iOS und Android (serverseitige Weiterleitung, Kennung nur für eine einzelne App-Sitzung): Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung des Dienstes). Da hierfür kein Zugriff auf Endgeräte-Speicher erfolgt, ist § 25 TDDDG nicht einschlägig.
• Versand des CrossBorders-Newsletters, soweit gesondert angeboten und gewählt (etwa bei der Android-Freischaltung oder einer früheren Web-Anmeldung): Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, bestätigt per Double-Opt-In). Die Einwilligung umfasst auch, dass wir anhand deiner Fragebogen-Antworten und deines Ergebnisses auswählen, welche Newsletter-Inhalte wir dir senden („matched to your results“); die Antwort auf die Werte-Frage (siehe Ziffer 2) nutzen wir dafür nicht. Das aktuelle Web-Angebot bietet optional die kostenlose Freischaltung des vollständigen Städte-Rankings mit einer verifizierten Newsletter-E-Mail. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Abmeldelink in jeder E-Mail); eine bereits erfolgte Freischaltung bleibt bestehen.
• Bearbeitung einer ausdrücklich abgesendeten Umzugshilfe-Anfrage im angebotenen Pilot, einschließlich der ersten Kontaktaufnahme durch CrossBorders: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Eine Weitergabe an einen namentlich genannten Anbieter erfolgt erst nach deiner gesonderten Bestätigung für diese konkrete Vorstellung.
• Werbemessung über das Reddit-Pixel und die Reddit Conversions API, ausschließlich bei Besuchen, die über eine unserer Anzeigen zu uns gelangen: in der EU, im EWR, im Vereinigten Königreich und in der Schweiz auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG), die wir über das bei werbegeführten Besuchen angezeigte Banner einholen, bevor ein Werbe-Cookie oder eine Werbe-Kennung gesetzt wird; in allen übrigen Ländern auf Grundlage unseres berechtigten Interesses an der Messung unserer Werbung (Art. 6 Abs. 1 lit. f DSGVO), wobei wir ein Global-Privacy-Control-Signal als Widerspruch beachten. Reddit ist für die erhaltenen Daten eigenständig Verantwortlicher, nicht unser Auftragsverarbeiter. Du kannst die Einwilligung bzw. den Widerspruch jederzeit mit Wirkung für die Zukunft über „Werbe-Einstellungen“ (Fußzeile oder Einwilligungsbanner) ausüben; eine bereits erfolgte Freischaltung bleibt bestehen.
• Stabilität, Fehleranalyse, Missbrauchsabwehr und Produktverbesserung: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).
• Aufbewahrung von Zahlungs- und Rechnungsbelegen: Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Pflichten).

4. Preisgestaltung

Auf der Website kostet CrossBorders Pro einmalig 1,99 € einschließlich anfallender Umsatzsteuer. Es gibt kein Abonnement. Die Vorschau verbirgt Platz #1, zeigt #2 bis #4 lesbar und #5 bis #10 als Teaser; eine verifizierte Newsletter-E-Mail schaltet das vollständige Städte-Ranking kostenlos frei. Pro ergänzt Life Scenarios, Regionsfilter, Kategorie-Radare, vollständige Fit-Erklärungen, die vollständige Partner-Zusammenführung und unbegrenzte persönliche Quiz-Wiederholungen im Web. Ein separat erstellter Report und zukünftige Produkte sind nicht enthalten.

Das frühere Web-Angebot mit kostenlos sichtbaren Plätzen ab #4 kostete einmalig 4,99 €. Das frühere kostenpflichtige Web-Angebot zur vollständigen Freischaltung kostete einmalig 5,99 €. Diese historischen Preise beschreiben nicht das aktuelle Web-Angebot.

Beim früher angezeigten Newsletter-Angebot kostete CrossBorders Pro 2,99 €; die Städteliste ließ sich mit einer verifizierten Newsletter-E-Mail kostenlos freischalten. Eine separate Freischaltung zusammengeführter Ergebnisse kostete dort 2,99 €. Dieses historische Angebot bleibt für bereits ausgegebene Freischaltungszusagen und bereits verdiente Zugriffsrechte maßgeblich; für bereits erworbenen Zugriff ist kein zweiter Kauf nötig. Für neue Käufe gilt das beim Checkout angezeigte Angebot; ein Kauf umfasst keine Newsletter-Anmeldung und kein Double-Opt-In.

In iOS kostet die Freischaltung 3,99 € als einmaliger Kauf über Apple. In Android ist sie mit einer verifizierten Newsletter-E-Mail kostenlos oder als einmaliger Google Play Kauf zum deutschen Basispreis von 1,99 € erhältlich. Dies sind separate Store-Angebote, keine Änderung der nativen Abrechnung und keine Zusage einer Store-übergreifenden Wiederherstellung. Soweit angeboten, kostet der separate ausführliche Relocation-Report 19 € und schaltet zugleich die vollständige Liste frei. Die Preise sind nicht personalisiert. In anderen Ländern und Währungen gilt der im jeweiligen Checkout oder Store angezeigte lokale Gesamtpreis einschließlich anfallender Steuern.

Im kostenpflichtigen Web-Angebot sind gemeinsame Ergebnisse enthalten, wenn mindestens ein Partner einen berechtigenden Pro-Zugang besitzt. Der andere Partner erhält dadurch keinen eigenen persönlichen Pro-Zugang. Bereits gekaufte zusammengeführte Ergebnisse bleiben zu ihren Kaufbedingungen zugänglich.

5. Empfänger und Dienstleister

Die genaue rechtliche Rolle variiert: Supabase, Resend, PostHog und Sentry setzen wir, soweit anwendbar, als Auftragsverarbeiter ein; Reddit ist eigenständig Verantwortlicher; Stripe ist im Rahmen der aktiven Managed-Payments-Vereinbarung Merchant of Record.

• Supabase Inc. (USA, Daten gespeichert in der EU / data stored in the EU): PostgreSQL-Datenbank für Ergebnis-Snapshots, Bestellungen, Feedback, Kaufberechtigungen und Wiederherstellungs-Tokens, Newsletter-Einwilligungen, mobile Freischaltungsnachweise und – soweit der Pilot angeboten wird – Umzugshilfe-Anfragen.
• Stripe Payments Europe, Ltd. (Irland / Ireland): Stripe Managed Payments wickelt Web-Käufe ab; im Checkout wird Link als Merchant of Record angezeigt. Dort werden Verkäufer und geltende Transaktionsbedingungen benannt. Stripe/Link übernimmt Zahlung, Belege, Erstattungen und anfallende Steuern; wir erhalten Kaufstatus und Checkout-Kontaktdaten zur Bereitstellung des Zugriffs. Vollständige Kartendaten erhalten wir nicht.
• PostHog (EU-Instanz / EU instance, eu.posthog.com) (EU): Cookielose Produkt-Analytics: keine Cookies, kein Gerätespeicher; Besucherzählung über einen serverseitigen, täglich wechselnden Hash (die IP-Adresse wird dafür nur flüchtig verarbeitet und nicht gespeichert). Website-Ereignisse enthalten ein ungefähres Land, das unser CDN (Cloudflare) am Edge aus deiner IP-Adresse ableitet; PostHog speichert die IP-Adresse selbst nicht. Mobile Ereignisse aus der iOS- und Android-App enthalten kein Land. Sie werden ausschließlich serverseitig von uns weitergeleitet: die Apps selbst verbinden sich nicht mit PostHog, und tragen eine nur für eine einzelne App-Sitzung gültige Kennung.
• Functional Software, Inc. (Sentry) (USA): Fehlererkennung und -analyse zur Stabilität des Dienstes (Website, iOS- und Android-App).
• RevenueCat, Inc. (USA): Kauf- und Freischaltungsverwaltung für die iOS-App und Android-App: verarbeitet Apple-App-Store- und Google-Play-Käufe unter einer anonymen Kaufkennung und bestätigt den Freischaltungsstatus. Zahlungsdaten verbleiben bei Apple bzw. Google.
• Expo (650 Industries, Inc.) (USA): Bereitstellung von App-Updates für die iOS- und Android-App (EAS Update): Beim Update-Abruf sieht Expo die IP-Adresse und technische App-/Update-Metadaten.
• Resend (USA): Versand von Ergebnis-, Kaufbestätigungs- und angeforderten Wiederherstellungs-E-Mails sowie internen Betriebsbenachrichtigungen zu eingehenden Anfragen. Davon getrennt, soweit der Newsletter angeboten und gewählt wird, Versand von Newsletter-Nachrichten und Bestätigungsmails (Double-Opt-In). Stripe/Link versendet eigene Zahlungsbelege.
• Discord (USA): Interne Betriebsbenachrichtigungen zur Nutzung des Dienstes und zu eingehenden Anfragen.
• Google Cloud (Cloud Run) (USA, Hosting in Frankfurt / hosting in Frankfurt): Hosting der Anwendung.
• Cloudflare, Inc. (USA): DNS, CDN und Schutz vor Missbrauch; sieht dabei die IP-Adressen der Besucher.
• Google (Gemini Developer API / Google AI Studio) (USA / EU): KI-gestützte Erstellung der personalisierten Texte im kostenpflichtigen €19-Report. Verarbeitet werden ausschließlich die hierfür nötigen, nicht unmittelbar identifizierenden Profil- und Ergebnisdaten; Eingaben werden über den kostenpflichtigen API-Zugang nicht zum Training der Modelle verwendet (Google Cloud Data Processing Addendum).

6. Drittlandtransfers

Soweit Dienstleister in den USA Daten verarbeiten, erfolgt dies auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) bzw. einer Zertifizierung unter dem EU-US Data Privacy Framework.

Für die Werbemessung (Ziffer 3) werden Conversion-Daten an Reddit (Reddit Netherlands B.V., Amsterdam, sowie Reddit, Inc., USA) übermittelt. Reddit ist für diese Daten eigenständig Verantwortlicher und verarbeitet sie nach seiner eigenen Datenschutzerklärung, nicht als unser Auftragsverarbeiter; die Übermittlung in die USA stützt sich auf dieselbe Grundlage der EU-Standardvertragsklauseln bzw. des EU-US Data Privacy Framework.

7. Speicherdauer

• Ergebnis-Snapshots und Roh-Feedback: Ein gesperrtes Web-Ergebnis wird gelöscht, wenn die letzte Erinnerung unbestätigt abläuft. Wurde kein Entsperrversuch erfasst, löschen wir das gesperrte Web-Ergebnis nach 96 Stunden. Web-Ergebnisse mit begonnenem, aber nicht abgeschlossenem Entsperrversuch, serverseitige App-Ergebnisse und sonstige unbezahlte Ergebnisse werden spätestens nach 30 Tagen gelöscht. Das zugehörige Roh-Feedback wird zusammen mit dem Ergebnis gelöscht. Diese Löschfristen gelten nur ohne Schutz durch einen Kauf, verdienten Zugriff oder einen gültigen bereits ausgestellten Freischaltungsnachweis. Ein Snapshot, der einer bezahlten Web-Bestellung zugeordnet ist, und persönliche Wiederholungen mit bezahltem Inhaberzugriff werden aufbewahrt, solange dieser Zugriff besteht und wir den Dienst betreiben, ohne das Newsletter-Limit für Läufe. Newsletter-basierter Inhaberzugriff schützt die ersten 10 zugeordneten Läufe; ursprüngliche Ergebnisse, auf die ein bestätigter Newsletter-Datensatz oder eine bereits verdiente mobile Freischaltung verweist, bleiben ebenfalls geschützt. Eine noch gültige ausgestellte Bestätigung schützt ihr ursprüngliches Ergebnis bis zur Einlösung oder zum Ablauf. Ergebnisse einer gekauften gemeinsamen Analyse oder einer Analyse mit bezahltem Partnerzugriff bleiben ebenfalls erhalten, solange dieser Schutz besteht. Deine Löschrechte bleiben unberührt.
• Anonyme Aggregatstatistiken (reine Zählwerte ohne Personenbezug): unbegrenzt aufbewahrt, da sie keine personenbezogenen Daten enthalten.
• Newsletter-Anmeldung: Noch nicht bestätigte Newsletter-Anmeldeversuche, die nie verifiziert wurden, werden nach 30 Tagen zusammen mit zugehörigen ausstehenden Bestätigungslinks und mobilen Freischaltungsansprüchen automatisch gelöscht. Bestätigte Anmeldungen speichern wir bis zum Widerruf der Einwilligung; den minimalen Abmeldedatensatz bewahren wir danach auf, damit wir diese Adresse nicht erneut kontaktieren.
• Umzugshilfe-Kontaktversuche und Kampagnen-Slots: Die minimale E-Mail-bezogene Kontakt- und Versandhistorie des Pilotprogramms wird höchstens 90 Tage aufbewahrt und danach gelöscht. Der Marker für die einmalige Kampagnenkontaktierung bleibt nach den Regeln des Subscriber-Einwilligungs- und Abmeldedatensatzes erhalten, damit dieselbe Kampagne nicht erneut versendet wird; bei Löschung des Subscribers wird auch dieser Marker gelöscht.
• Werbemessungsdaten (die First-Party-Kontext-Kennung, eine etwaige Werbe-Klick-Kennung und der Einwilligungsnachweis): nur für das Werbe-Attributionsfenster (bis zu 90 Tage) gespeichert und danach gelöscht; ausgelieferte Conversion-Datensätze werden nach einer kurzen Aufbewahrungsfrist entfernt. Reddit speichert die erhaltenen Daten nach seiner eigenen Aufbewahrungsrichtlinie.
• Zahlungs- und Rechnungsbelege: gemäß gesetzlicher Aufbewahrungsfristen (bis zu 10 Jahre, § 147 AO).
• Die gespeicherte Versandkopie der Kaufbestätigung bleibt dem Bestelldatensatz zugeordnet. Bei einer bestätigten Datenlöschung entfernen wir ihren Empfänger, Inhalt und ihre Ergebnis-Links; ein minimaler Sperrvermerk zur Bestellreferenz verhindert einen erneuten Versand durch wiederholte Zahlungsereignisse.
• Server-Protokolle: in der Regel 30 Tage.
• Fehlerberichte (Sentry): in der Regel 30 Tage.

8. Cookies und lokaler Speicher

Empfehlungen können organisch oder als Affiliate-Empfehlungen erfolgen. Organische Empfehlungen sind gewöhnliche Links, für die wir keine Provision erhalten; Affiliate-Links sind als solche gekennzeichnet und können dem Anbieter bei ihrer Nutzung eine Provision für uns auslösen. Nicht jede Empfehlung ist bezahlt. Wenn du eine Empfehlung anklickst, gelangst du zum Anbieter; ab diesem Klick gelten dessen eigene Datenschutz- und Cookie-Regeln. Wir übermitteln dem Anbieter weder deine Fragebogen-Antworten noch dein Profil oder dein Ranking. Der Affiliate-Status und finanzielle Anreize beeinflussen niemals Städtebewertungen, Rankings oder deren Reihenfolge. CrossBorders bietet keine Steuer-, Bank- oder Versicherungsberatung.

Technisch notwendige Speicherung erfolgt im lokalen Speicher deines Browsers, damit deine laufenden Antworten erhalten bleiben. Wo der Newsletter-Freischalthinweis angeboten wird, merken wir uns dort, ob du ihn gesehen hast. Ein notwendiges Zugriffscookie (__Host-cb_owner bzw. bisher cb_owner; bis zu ein Jahr, HttpOnly) enthält eine zufällige Kennung, die Quiz-Läufe, Kaufzugriff und persönliche Wiederholungen diesem Browser zuordnet. Es ist keine Werbekennung; in einem anderen Browser oder nach Verlust nutzt du „Restore purchase“. Nur wenn du einen Partner-Rabattlink öffnest oder im Freischalt-Dialog einen Rabattcode eingibst, setzen wir ein Cookie („cb_ref“, 30 Tage), das ausschließlich dazu dient, dir den Rabatt im Checkout anzurechnen. Ohne diese von dir angestoßene Aktion wird dieses Rabattcookie nicht gesetzt. Rabatte gelten nur, soweit das angezeigte Angebot sie vorsieht. Analytics (PostHog) arbeitet cookielos: Es werden keine Cookies gesetzt und kein Geräte-Speicher genutzt; die Wiedererkennung erfolgt über einen serverseitigen Hash, der täglich wechselt und pseudonym statt einer direkten Identität ist. Zusätzlich wird ein ungefähres Land erfasst, das unser CDN (Cloudflare) am Edge aus deiner IP-Adresse ableitet; die IP-Adresse selbst wird nicht gespeichert. Affiliate-Links zu Anbietern für Unterkünfte, Konnektivität und VPN, Remote-Arbeit, Umzug, internationale Geldtransfers, Versicherungen sowie, soweit angeboten, Sprachlernen oder Steuerdienste sind gewöhnliche Links. Wir übermitteln weder dein Profil noch deine Fragebogenantworten an diese Anbieter. Erst wenn du klickst, verlässt du CrossBorders und gelangst zum Anbieter; ab dann kann der Anbieter die Anfrage sehen und seine eigenen Datenschutz- und Cookie-Regeln gelten. Wir binden keinen Code eines Anbieters auf unseren Seiten ein und laden keine Bilder von deren Servern: Unterkunftsfotos rufen wir selbst ab und liefern sie von unserer eigenen Domain aus. Solange du hier bist, wird daher von diesen nichts auf deinem Gerät gespeichert und deine IP-Adresse ist ihnen nicht bekannt.

Eine Ausnahme gilt ausschließlich, wenn du über eine unserer eigenen Anzeigen zu uns gelangst: Um zu messen, ob diese Anzeige zu einer Anmeldung, Umzugshilfe-Anfrage oder einem Kauf geführt hat, setzen wir ein Reddit-Werbe-Cookie bzw. eine Werbe-Kennung („_rdt_uuid“), und Reddit kann eigene Cookies setzen. In der EU, im EWR, im Vereinigten Königreich und in der Schweiz geschieht dies erst, nachdem du über das Einwilligungsbanner zugestimmt hast; in allen übrigen Ländern auf Grundlage unseres berechtigten Interesses, sofern du nicht Global Privacy Control aktiviert hast. Nur in diesem Fall wird ein Werbe-Cookie gesetzt, bei organischen Besuchen geschieht dies nie, und du kannst jederzeit über „Werbe-Einstellungen“ widerrufen. Wenn das mit Einwilligung geladene Browser-Pixel lädt, kann Reddit Netzwerkdaten sehen. Bei einer daraus resultierenden Anmeldung, abgesendeten Umzugshilfe-Anfrage oder einem Kauf übermitteln wir Reddit eine mit SHA-256 gehashte E-Mail-Adresse. Bei Umzugshilfe-Conversions übermitteln wir nur das Ereignis und Zuordnungskennungen, nicht dein Zielland, deine Staatsangehörigkeit, Telefonnummer oder dein Quizprofil. Der Hash ist pseudonymisierte personenbezogene Daten und keine anonyme Kennung. Über unsere Conversions-API-Implementierung übermitteln wir keine IP-Adresse der Anfrage.

9. Mobile Apps (CrossBorders für iOS und Android)

• Kein Konto: Die Apps funktionieren ohne CrossBorders-Registrierung oder Namen. Eine E-Mail-Adresse ist nur erforderlich, wenn du in Android freiwillig den Newsletter-Weg zur Freischaltung wählst. Die bestätigte Newsletter-E-Mail ist ein Einwilligungs- und Freischaltungsnachweis, kein Login-Konto. Eine Abmeldung beendet künftige Newsletter-Nachrichten, nimmt dir aber nicht den bereits verdienten Ranking-Zugriff.
• Fragebogen und Ergebnisse: Deine Antworten werden wie oben beschrieben an unseren Server (crossborders.io) gesendet, um dein Ranking zu berechnen. Gespeicherte Läufe („Past runs“) liegen ausschließlich auf deinem Gerät und lassen sich in den Einstellungen jederzeit löschen („Delete all local runs“). Serverseitige Ergebnis-Snapshots aus der App werden automatisch nach 30 Tagen gelöscht; Ergebnisse, die Teil einer gekauften zusammengeführten Analyse sind, werden aufbewahrt, solange dieser Kauf aktiv ist. Deine Löschrechte bleiben unberührt.
• In-App-Käufe: In iOS kostet die Freischaltung einmalig 3,99 € über den Apple App Store; Apple ist Verkäufer und Zahlungsabwickler. Die Android-App wird nur in Ländern/Regionen angeboten, in denen Google nach den jeweils geltenden Google-Play-Bedingungen Merchant of Record ist. Der einmalige Kauf zum lokal angezeigten Preis (deutscher Basispreis 1,99 €) nutzt ausschließlich Google Play Billing; in der Android-App bieten wir kein alternatives Abrechnungssystem und kein User-Choice-Billing an. Google wickelt dort den Kauf ab und stellt den Beleg aus. Zahlungsdaten erhalten wir nicht. RevenueCat verwaltet beide Kaufstatus unter einer anonymen Kauf-Kennung und bestätigt den Freischaltungsstatus.
• Lokale Zugangsdaten: Unser Server prüft den Kauf oder die bestätigte Newsletter-Freischaltung. iOS speichert ein gerätebezogenes Zugriffstoken im Schlüsselbund (Keychain). Android speichert das Zugriffstoken sowie die zufällige Installationskennung und einen gegebenenfalls offenen Bestätigungsvorgang im sicheren Android-Speicher (SecureStore).
• Absturzberichte: Bei App-Fehlern sendet die App technische Absturzdaten an Sentry (siehe Empfängerliste); sensible Felder werden dabei vor dem Versand entfernt.
• App-Updates: Die App prüft beim Start über Expo (EAS Update) auf aktualisierte Inhalte (siehe Empfängerliste).
• Nutzungsmessung: iOS und Android messen anonym die Nutzung (etwa wie weit Nutzerinnen und Nutzer im Fragebogen kommen), um verwirrende Stellen zu finden. Die Apps enthalten kein Analyse- und kein Werbe-SDK, insbesondere kein PostHog-SDK: Ereignisse gehen an unseren eigenen Server, der sie an PostHog weiterleitet; die Apps selbst nehmen keine Verbindung zu PostHog auf und übermitteln weder deine Antworten noch Einkommensangaben oder Freitexte. Für diesen Zweck wird nichts auf deinem Gerät gespeichert. Die Kennung ist nur für eine einzelne App-Sitzung gültig, wird bei jedem Start neu erzeugt und beim Schließen verworfen, sodass sich Sitzungen weder untereinander noch mit Website-Besuchen verknüpfen lassen.
• Kein Tracking: Die Apps verfolgen dich nicht über Apps oder Websites hinweg, nutzen keine Werbekennung und fragen keine Gerätefreigaben ab (kein Standort, keine Kamera, keine Kontakte).

10. Keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO

Das Ranking ist eine erklärbare Entscheidungshilfe ohne rechtliche oder vergleichbar erhebliche Wirkung. Eine ausschließlich automatisierte Einzelentscheidung im Sinne des Art. 22 DSGVO findet nicht statt.

11. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) sowie das Recht, eine erteilte Einwilligung jederzeit zu widerrufen (Art. 7 Abs. 3 DSGVO). Wende dich dazu an [email protected].

Die Löschung deiner Daten kannst du jederzeit selbst unter /delete-data anstoßen: Wir senden dir einen einmaligen Bestätigungslink per E-Mail und löschen anschließend insbesondere den Newsletter-Abonnentendatensatz, die mobile Newsletter-Bestätigung und die Newsletter-Freischaltung sowie E-Mail-verknüpfte Kaufberechtigungen, Wiederherstellungslinks, eigene Ergebnisse und zugehörige Freigabe-/Zusammenführungslinks. Mit den Zugriffsdatensätzen entfällt auch die Möglichkeit, diesen Zugriff wiederherzustellen. Zahlungs- und Bestellbelege bleiben aus steuer- und handelsrechtlichen Gründen mit entfernter E-Mail-Adresse und Inhaberkennung erhalten; Zahlungsanbieter-Referenzen bleiben bestehen.

12. Beschwerderecht

Dir steht ein Beschwerderecht bei einer Aufsichtsbehörde zu, z. B. Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin.

13. Änderungen

Wir können diese Erklärung anpassen, wenn sich Funktionen oder Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.