Referino

Datenschutzerklärung (DSGVO)

Zuletzt aktualisiert: 19. Oktober 2026

1. Wer wir sind und wen diese Erklärung betrifft

Verantwortlicher für die Verarbeitung personenbezogener Daten ist Rabbit Studio s.r.o., Hradečnica 30, 036 01 Martin, Slowakei, Unternehmens-ID (IČO): 53455983, Steuernummer (DIČ): 2121373342, USt-IdNr.: SK2121373342 (nachfolgend „Verantwortlicher“ oder „wir“), der Betreiber des Dienstes Referino unter referino.com. In Angelegenheiten personenbezogener Daten erreichen Sie uns unter info@referino.com oder unter der oben genannten Anschrift.

Diese Erklärung betrifft:

  • Kunden – Unternehmen und Einzelpersonen mit einem Referino-Konto,
  • Bewerter – Personen, die über die Bewertungsseite eines Kunden eine Bewertung abgeben,
  • Kontakte von Kunden – Personen, deren E-Mail-Adresse ein Kunde in Referino einträgt, damit wir ihnen eine Bitte um eine Bewertung senden,
  • Besucher – Personen, die referino.com, Bewertungsseiten oder die Website eines Kunden mit dem Referino-Widget besuchen,
  • Interessenten am Dienst, die ihre E-Mail-Adresse hinterlassen, während die Registrierung geschlossen ist.

2. Welche Daten wir verarbeiten

a) Konto- und Rechnungsdaten der Kunden

  • Name, E-Mail-Adresse und Passwort (nur als Einweg-Hash gespeichert),
  • Firmenname und Rechnungsadresse (Straße, Stadt, Postleitzahl, Land), optional USt-IdNr. und Steuernummer,
  • gewählter Tarif, Kontosprache, Einstellungen für E-Mail-Benachrichtigungen, verwendete Rabattcodes,
  • Zeitpunkt Ihrer Zustimmung zu den Allgemeinen Geschäftsbedingungen, Zeitpunkt, zu dem Sie beim Bezahlvorgang den sofortigen Beginn des Dienstes verlangt haben, und, falls Sie den Vertrag widerrufen, Zeitpunkt des Widerrufs und erstatteter Betrag,
  • Daten der Zwei-Faktor-Authentifizierung (verschlüsselt gespeichert), sofern Sie diese aktivieren,
  • Zahlungsdaten: Kartendaten werden ausschließlich bei Stripe eingegeben und verarbeitet. Wir speichern nur die Stripe-Kundenkennung, den Kartentyp, die letzten vier Ziffern der Karte, Aufzeichnungen über Zahlungen und Rechnungen sowie Käufe und den Stand des SMS-Guthabens.

b) Bewertungsseite

Der Name des Unternehmens, die Beschreibung, das Logo, die Adresse, die Telefonnummer, die E-Mail-Adresse und die Website, die der Kunde auf der Bewertungsseite angibt, sind öffentlich. Gibt der Kunde hier personenbezogene Daten an (zum Beispiel als Einzelunternehmer), werden diese veröffentlicht.

c) Bewerter

  • Name, E-Mail-Adresse, Sternebewertung, Text der Bewertung, Sprache der Seite und Zeitpunkt der Einwilligung in die Veröffentlichung,
  • ein Einweg-Hash der E-Mail-Adresse, den wir zur Erkennung wiederholter Bewertungen verwenden. Beim Absenden einer Bewertung prüfen wir, ob die Domain der E-Mail-Adresse existiert,
  • wenn Sie Ihre Telefonnummer verifizieren: die Telefonnummer, den Verifizierungscode, die IP-Adresse und die Browserkennung (User-Agent) zum Zeitpunkt der Verifizierung. Die Telefonnummer wird verschlüsselt gespeichert.

Die IP-Adresse und die Browserkennung speichern wir nicht zusammen mit der Bewertung.

d) Bewertungen von externen Plattformen

Verbindet ein Kunde ein Google-Unternehmensprofil, eine Facebook-Seite oder ein Trustpilot-, Yelp- oder Tripadvisor-Profil, importieren wir dessen Bewertungen: den Namen oder Benutzernamen des Bewerters, wie er auf der Plattform angezeigt wird, die Sternebewertung, den Text, das Datum, die Kennung der Bewertung und weitere Daten, die die Schnittstelle der Plattform zur Bewertung bereitstellt (bei Google zum Beispiel einen Link zum Profilfoto des Bewerters). Zugriffstoken für Google und Facebook speichern wir verschlüsselt. Bei Google fordern wir die Berechtigung zur Verwaltung des Google-Unternehmensprofils an, die wir ausschließlich zum Lesen von Bewertungen verwenden.

e) Besucher

  • Sitzung: Für jeden Besuch speichern wir eine Sitzung mit der IP-Adresse und der Browserkennung. Die Sitzung läuft 120 Minuten nach der letzten Aktivität ab.
  • Serverprotokolle: die IP-Adresse, die Browserkennung, die aufgerufene Adresse (ohne Parameter) und der Zeitpunkt. Die Protokolle werden für kurze Zeit aufbewahrt und laufend überschrieben.
  • Statistiken der Bewertungsseite und des Widgets: Wir zählen Besuche mithilfe einer täglichen pseudonymen Kennung, bei der es sich um einen mit einem geheimen Schlüssel erzeugten Einweg-Hash aus IP-Adresse, Browser, Seite und Datum handelt. Die IP-Adresse speichern wir nicht. Die Datensätze bewahren wir 13 Monate lang auf, und Kunden sehen nur aggregierte Zahlen.
  • QR-Code-Scans: der Zeitpunkt des Scans, die IP-Adresse und die Browserkennung. Die IP-Adresse und die Browserkennung löschen wir nach 90 Tagen; erhalten bleibt nur die Anzahl der Scans.
  • Webanalyse: Auf öffentlichen Seiten verwenden wir unser eigenes Analysetool Strixomo, das ohne Cookies arbeitet. Es ist in der Cookie-Richtlinie beschrieben.

f) Interessenten am Dienst

Solange die Registrierung geschlossen ist, speichern wir Ihre E-Mail-Adresse, optional Ihren Namen, Ihre Sprache und die Quelle der Anmeldung, damit wir Sie zur Registrierung einladen können.

g) Kommunikation

Der Inhalt der E-Mails, die Sie uns senden, und unsere Antworten.

h) Kontakte von Kunden

Ein Kunde kann die E-Mail-Adresse, den Namen und die Sprache seiner Kundinnen und Kunden in Referino eintragen. Im Auftrag des Kunden senden wir ihnen eine E-Mail mit der Bitte um eine Bewertung und höchstens zwei Erinnerungen. Wir speichern, wann eine E-Mail gesendet wurde, ob der Link darin geöffnet wurde und ob über diesen Link eine Bewertung abgegeben wurde. Der Kunde bestätigt, dass er die Einwilligung dieser Personen hat; für diese Daten ist der Kunde Verantwortlicher und wir sind sein Auftragsverarbeiter. Jede E-Mail enthält einen Link zur Abmeldung von den E-Mails dieses Unternehmens.

3. Zwecke und Rechtsgrundlagen

  • Bereitstellung des Dienstes für Kunden (Konto, Bewertungsseiten, Importe, Widget, SMS-Verifizierung, Benachrichtigungen, Statistiken) – Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
  • Rechnungsstellung und Buchhaltung – Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO).
  • Veröffentlichung der Namen und Bewertungen von Bewertern auf der Bewertungsseite und auf der Website des Kunden – die beim Absenden der Bewertung erteilte Einwilligung des Bewerters (Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung kann jederzeit widerrufen werden.
  • Glaubwürdigkeit von Bewertungen und Schutz vor Missbrauch (Prüfung der E-Mail-Domain, Erkennung wiederholter Bewertungen, Spamfilter, Telefonverifizierung, Begrenzung der Anfragehäufigkeit) – unser berechtigtes Interesse und das berechtigte Interesse der Kunden an glaubwürdigen Bewertungen (Art. 6 Abs. 1 lit. f DSGVO).
  • Benachrichtigung eines Bewerters per E-Mail darüber, dass das Unternehmen auf seine Bewertung geantwortet hat – berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
  • Anzeige von Bewertungen von externen Plattformen – Erfüllung des Vertrags mit dem Kunden und berechtigtes Interesse an der Anzeige öffentlich zugänglicher Bewertungen (Art. 6 Abs. 1 lit. b und f DSGVO).
  • Sicherheit, Sitzungen, Serverprotokolle und Statistiken – berechtigtes Interesse am sicheren Betrieb und an der Weiterentwicklung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO).
  • Service-E-Mails (Konto, Sicherheit, Zahlungen, Erinnerungen an die Verlängerung, Pausierung und Löschung des Kontos) – Vertragserfüllung. Benachrichtigungen über neue Bewertungen und die wöchentliche Übersicht können in den Kontoeinstellungen oder über den Link in jeder E-Mail abgeschaltet werden. Marketing-E-Mails oder Newsletter versenden wir derzeit nicht.
  • Bewertungsanfragen im Auftrag eines Kunden – wir verarbeiten die Kontakte von Kunden als deren Auftragsverarbeiter (Art. 28 DSGVO); Rechtsgrundlage ist die Einwilligung, die der Kunde von dem Kontakt eingeholt hat. Jede E-Mail enthält einen Abmeldelink.

4. Automatisierte Verarbeitung

Wir klassifizieren Bewertungen anhand der Sternebewertung und von Schlüsselwörtern automatisch als positiv, neutral oder negativ, damit wir den Kunden über negative Bewertungen benachrichtigen und eine Filterung ermöglichen können. Ein Spamfilter lehnt Bewertungen, die Links, E-Mail-Adressen und ähnliche Inhalte enthalten, automatisch ab, und wiederholte Bewertungen von derselben E-Mail-Adresse werden nicht angenommen. Unternehmen im Katalog werden nach ihrer durchschnittlichen Sternebewertung sortiert. Keine dieser Verarbeitungen führt zu Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen.

5. Wer Ihre Daten sehen kann

  • Öffentlichkeit: der Inhalt der Bewertungsseite (Angaben zum Unternehmen, Name des Bewerters, Sternebewertung, Text der Bewertung, Antwort des Unternehmens, Verifizierungskennzeichnung und Datum), der Unternehmenskatalog und das Widget auf der Website des Kunden. Die E-Mail-Adresse und die Telefonnummer eines Bewerters werden niemals veröffentlicht.
  • Kunde: sieht den Namen des Bewerters, die Sternebewertung, den Text, die Verifizierungskennzeichnung und das Datum, nicht jedoch die E-Mail-Adresse oder die Telefonnummer.
  • Kunde und seine Kontakte: für jeden Kontakt sieht der Kunde, ob eine Bewertungsanfrage gesendet wurde, ob der Link geöffnet wurde und ob darüber eine Bewertung abgegeben wurde, nicht jedoch, um welche Bewertung es sich handelt.
  • Dienstleister (Auftragsverarbeiter und sonstige Empfänger):
    • der Hosting-Anbieter der Server,
    • der Anbieter für den E-Mail-Versand,
    • Stripe (Stripe Payments Europe, Ltd., Irland, und Stripe, Inc., USA) – Zahlungen, Rechnungen und das Abrechnungsportal: Name, E-Mail-Adresse, Firmenname, Adresse und Zahlungsdaten des Kunden,
    • die SMS-Anbieter Amazon Web Services (Amazon SNS), Twilio, Vonage und MessageBird – die Telefonnummer und der Text der SMS (Verifizierungscode und Name des Unternehmens). Der jeweilige Anbieter wird nach dem Land der Rufnummer ausgewählt,
    • MEGA (S4-Objektspeicher, Rechenzentrum in Amsterdam) – Datenbank-Backups,
    • Google, Meta (Facebook), Trustpilot, Yelp und Tripadvisor – nur wenn ein Kunde sein Profil verbindet. Diese Plattformen sind eigenständige Verantwortliche für die von ihnen veröffentlichten Daten,
    • Google (YouTube) – nur wenn Sie das Video auf der Startseite abspielen,
    • Behörden, sofern dies gesetzlich vorgeschrieben ist.

Wir verkaufen personenbezogene Daten niemals.

6. Übermittlungen außerhalb der EU

Einige Dienstleister (Stripe, Amazon Web Services, Twilio, Vonage, Google, Meta, Yelp und Tripadvisor) haben ihren Sitz in den USA oder gehören zu Unternehmensgruppen mit Sitz in den USA, und eine SMS kann außerhalb der EU verarbeitet werden. Solche Übermittlungen erfolgen auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission (EU-US Data Privacy Framework) für zertifizierte Unternehmen oder auf Grundlage von Standardvertragsklauseln, die in den Bedingungen der Dienstleister enthalten sind. MEGA hat seinen Sitz in Neuseeland, für das ein Angemessenheitsbeschluss der Europäischen Kommission gilt.

7. Speicherdauer

  • Kundenkonto: solange das Konto besteht. Nach dem Ende eines Abonnements, nach dem Widerruf des Vertrags, wenn eine Verlängerungszahlung nicht innerhalb von 7 Tagen abgeschlossen wird, oder wenn nie ein Abonnement aktiviert wurde, wird das Konto pausiert und 90 Tage später gelöscht. Ist die E-Mail-Adresse verifiziert, senden wir mindestens 14 Tage vor der Löschung eine Erinnerung. Löschen Sie Ihr Konto selbst, werden die Daten sofort gelöscht.
  • Bei der Löschung eines Kontos werden das Konto, die Bewertungsseiten, Bewertungen, Importe, Widgets, QR-Codes und Statistiken gelöscht. Aufzeichnungen über Zahlungen und Rechnungen werden so lange aufbewahrt, wie es das Buchhaltungs- und Steuerrecht vorschreibt (bis zu 10 Jahre). Stripe bewahrt eigene Aufzeichnungen gemäß seinen Bedingungen auf. Aufzeichnungen über den SMS-Versand (Land, Preis, Status – ohne Telefonnummer) werden ohne Bezug zum Konto aufbewahrt.
  • Bewertungen: solange das Konto des Kunden besteht. Eine Bewertung, deren Veröffentlichung wir aufheben oder die wir entfernen, wird nicht mehr angezeigt, verbleibt jedoch bis zur Löschung des Kontos des Kunden in unserer Datenbank, sofern Sie uns nicht um ihre Löschung bitten.
  • Telefonverifizierung: Verifizierungsdatensätze (Telefonnummer, Code, IP-Adresse, Browserkennung) werden 30 Tage nach Ablauf des Codes gelöscht. Die Telefonnummer einer verifizierten Bewertung wird verschlüsselt zusammen mit der Bewertung aufbewahrt.
  • QR-Code-Scans: IP-Adresse und Browserkennung 90 Tage. Besuchsstatistiken: 13 Monate. Importprotokolle: 90 Tage. Sitzung: 120 Minuten nach der letzten Aktivität. Serverprotokolle: kurzfristig.
  • Interessenten am Dienst: bis Sie uns um die Löschung Ihrer Daten bitten.
  • Backups: Vor jeder Aktualisierung der Anwendung erstellen wir ein vollständiges Backup der Datenbank und speichern es auf dem Server und im Speicher MEGA S4. Gelöschte Daten können in Backups verbleiben, bis diese Backups gelöscht werden. Wir verwenden Backups ausschließlich zur Wiederherstellung des Dienstes.
  • Kontakte von Kunden: bis der Kunde sie löscht oder sein Konto gelöscht wird. Meldet sich ein Kontakt ab, speichern wir einen Einweg-Hash der E-Mail-Adresse, damit der Kunde ihr keine weiteren Anfragen senden kann.

8. Ihre Rechte

Sie haben das Recht auf:

  • Auskunft über Ihre personenbezogenen Daten,
  • Berichtigung Ihrer personenbezogenen Daten,
  • Löschung („Recht auf Vergessenwerden“),
  • Einschränkung der Verarbeitung,
  • Datenübertragbarkeit – Kunden können in den Kontoeinstellungen eine Kopie ihrer Daten im maschinenlesbaren JSON-Format herunterladen; E-Mail-Adressen und Telefonnummern der Bewerter sind nicht enthalten, da Kunden keinen Zugriff darauf haben. Bewerter und andere Personen können eine Kopie per E-Mail anfordern,
  • Widerspruch gegen eine Verarbeitung, die auf einem berechtigten Interesse beruht,
  • jederzeitigen Widerruf Ihrer Einwilligung – Bewerter können uns bitten, die Veröffentlichung ihrer Bewertung aufzuheben oder sie zu löschen, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird,
  • Beschwerde bei einer Aufsichtsbehörde – beim Amt für den Schutz personenbezogener Daten der Slowakischen Republik (Úrad na ochranu osobných údajov Slovenskej republiky, dataprotection.gov.sk) oder bei der Aufsichtsbehörde in Ihrem Wohnsitzland.

Ihre Rechte können Sie per E-Mail an info@referino.com ausüben. Wir antworten innerhalb eines Monats.

  • Kunden können die meisten Daten selbst in den Kontoeinstellungen ändern, dort eine Kopie ihrer Daten herunterladen und ihr Konto selbst löschen.
  • Bewerter können eine Bewertung nicht selbst bearbeiten oder löschen; bitte kontaktieren Sie uns per E-Mail.
  • Nachdem Sie Google oder Facebook im Konto getrennt haben, können Sie den Zugriff von Referino zusätzlich in den Einstellungen Ihres Google- oder Facebook-Kontos widerrufen.

9. Datensicherheit

Wir setzen angemessene technische und organisatorische Maßnahmen zum Schutz Ihrer Daten ein, darunter:

  • verschlüsselte Verbindungen (HTTPS),
  • Passwörter, die nur als Einweg-Hashes gespeichert werden,
  • Verschlüsselung von Telefonnummern, Verifizierungscodes, Zugriffstoken für externe Plattformen und Daten der Zwei-Faktor-Authentifizierung in der Datenbank,
  • Zwei-Faktor-Authentifizierung, die Kunden zur Verfügung steht und für unsere Administratoren verpflichtend ist,
  • Beschränkung des Zugriffs auf Daten auf befugte Personen.

10. Cookies

Auf referino.com verwenden wir nur Cookies, die für die Funktion der Website erforderlich sind, und Cookies, die Ihre Einstellungen speichern. Wir verwenden keine Werbe-Cookies und kein Google Analytics. Einzelheiten finden Sie in der Cookie-Richtlinie.

11. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung aktualisieren. Die aktuelle Fassung ist stets auf referino.com verfügbar.