Datenschutzerklärung

Stand: 28. Juli 2026 – Verantwortlicher: smartzone GmbH, Faltermaierweg 7, 84524 Neuötting, Deutschland

1. Verantwortlicher und Kontakt

Verantwortlich für sämtliche hier beschriebenen Verarbeitungen ist die smartzone GmbH, Faltermaierweg 7, 84524 Neuötting, Telefon +49 (0)8671 9581227, E-Mail [email protected], siehe Impressum. Ein Datenschutzbeauftragter wurde nicht benannt; eine gesetzliche Pflicht dazu besteht derzeit nicht.

2. Geltungsbereich

Diese Erklärung gilt für die öffentliche EPEI-Website, das Herstellerportal, den Vorab-Check, das öffentliche Award-Register, die Durchführung von Bewertungen und unsere geschäftliche B2B-Kommunikation per E-Mail. Unsere Leistungen richten sich an Unternehmen; wir verarbeiten nicht wissentlich Kundendaten von Verbrauchern.

3. Hosting, Serverprotokolle und Sicherheit

Die Plattform läuft auf von uns betriebenen Servern in Deutschland. Für eine sichere Auslieferung führen wir öffentlichen Datenverkehr über Cloudflare (Cloudflare, Inc., USA) als Reverse Proxy und Content Delivery Network. Cloudflare verarbeitet Verbindungsdaten einschließlich IP-Adressen als unser Auftragsverarbeiter. Übermittlungen in die USA sind durch das EU-US Data Privacy Framework und/oder EU-Standardvertragsklauseln abgesichert (Art. 45, 46 DSGVO).

Beim Seitenaufruf verarbeiten wir IP-Adresse, Zeitstempel, aufgerufene URL und User-Agent in Serverprotokollen zum Betrieb, zur Absicherung und Fehleranalyse. Kurzlebige IP-basierte Zähler begrenzen den Missbrauch öffentlicher Formulare. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einem sicheren und zuverlässigen Betrieb. Protokolle werden nur so lange wie erforderlich aufbewahrt und im Rahmen der Log-Rotation gelöscht; Rate-Limit-Zähler werden nach zwei Tagen gelöscht.

4. Cookies

Wir verwenden keine Analyse-, Tracking- oder Marketing-Cookies und keine Werbetechnologie Dritter. Nur nach einer Anmeldung wird ein technisch notwendiges First-Party-Cookie gesetzt:

Da dieses Cookie für einen ausdrücklich angeforderten Dienst unbedingt erforderlich ist, bedarf es keiner Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Nicht angemeldete Besucher erhalten keine Cookies.

5. Konten im Herstellerportal

Bei Registrierung oder Annahme einer Teameinladung verarbeiten wir Name, geschäftliche E-Mail-Adresse, Passwort als gesalzenen Hash, Unternehmen, Land, Rolle und Kontoaktivität zur Bereitstellung des Portals (Art. 6 Abs. 1 lit. b DSGVO). Team-Administratoren sehen Mitglieder ihres eigenen Unternehmens. Konten bleiben bis zur Löschung bestehen; anschließend werden Daten nur im Rahmen gesetzlicher Aufbewahrungspflichten gespeichert, siehe Ziffer 15.

6. Vorab-Checks und Produkteinreichungen

Wenn Sie ein Produkt für einen kostenlosen Vorab-Check einreichen, verarbeiten wir die angegebenen Produktdaten sowie optional Ihre E-Mail-Adresse, um den Check durchzuführen, den Ergebnislink zu senden und zu einer möglichen Vollbewertung nachzufassen (Art. 6 Abs. 1 lit. b DSGVO; für die geschäftliche Nachfassung Art. 6 Abs. 1 lit. f DSGVO). Direkt für eine Bewertung eingereichte Herstellerdaten werden als Beleg mit gekennzeichneter Herkunft gespeichert.

7. Beschwerden und Korrekturen

Wenn Sie einen Fehler oder Siegelmissbrauch melden, verarbeiten wir den Bericht sowie gegebenenfalls Name und E-Mail-Adresse zur Untersuchung und Antwort (Art. 6 Abs. 1 lit. f DSGVO; bei gesetzlichen Pflichten Art. 6 Abs. 1 lit. c DSGVO). Meldungen werden als Teil des Korrekturregisters gespeichert.

8. B2B-Ansprache und geschäftliche Kontaktdaten – Information nach Art. 14 DSGVO

Zur Vorstellung des Award-Programms bei Herstellern verarbeiten wir geschäftliche Kontaktdaten von Unternehmensvertretungen: Name, geschäftliche Funktion, geschäftliche E-Mail-Adresse und Telefonnummer, Unternehmen, Land, Sprache und Verlauf unserer Korrespondenz.

Quellen. Wenn wir diese Daten nicht direkt bei Ihnen erhoben haben, stammen sie aus öffentlich zugänglichen Quellen wie Hersteller-Websites, Presse- oder Kontaktseiten, Handels- und Unternehmensregistern, Messe- und Branchenverzeichnissen sowie beruflichen Netzwerken. Zu jedem Kontakt werden Quelle und Abrufdatum gespeichert.

Zweck und Rechtsgrundlage. Wir nutzen die Daten, um Unternehmen über Bewertungs- und Award-Angebote zu informieren und eine daraus entstehende Geschäftsbeziehung zu verwalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse am Angebot einer relevanten B2B-Leistung; Erwägungsgrund 47 nennt Direktwerbung als mögliches berechtigtes Interesse. Wir beachten länderspezifische Regeln für elektronische Geschäftskommunikation und versenden keine elektronische Werbung, wenn das Recht des Empfängerlands dies nicht erlaubt.

Widerspruchsrecht nach Art. 21 Abs. 2 DSGVO. Sie können der Verarbeitung für Direktwerbung jederzeit kostenlos und ohne Angabe von Gründen widersprechen – am einfachsten über den Ein-Klick-Abmeldelink in jeder E-Mail oder per Nachricht an [email protected]. Danach verarbeiten wir Ihre Daten nicht mehr für Direktwerbung.

Sperrliste. Um einen Widerspruch dauerhaft zu beachten, speichern wir die betroffene E-Mail-Adresse in einer internen Sperrliste (Art. 6 Abs. 1 lit. c und f in Verbindung mit Art. 21 Abs. 3 DSGVO). Jeder künftige Kontaktimport wird dagegen geprüft; Einträge werden nie erneut kontaktiert.

Speicherdauer. Interessentenkontakte ohne aktive Geschäftsbeziehung werden automatisch zwölf Monate nach dem letzten Kontakt gelöscht. Korrespondenz mit Geschäftsbelegcharakter wird nach Ziffer 15 aufbewahrt.

9. E-Mail-Kommunikation

Wir speichern geschäftliche Korrespondenz einschließlich E-Mail-Verläufen mit Herstellern zur Verwaltung der Beziehung und Erfüllung gesetzlicher Dokumentationspflichten (Art. 6 Abs. 1 lit. b, c und f DSGVO). Ausgehende E-Mails versenden wir über Amazon Simple Email Service in der AWS-Region Europa (Frankfurt), betrieben von der Amazon Web Services EMEA SARL (38 Avenue John F. Kennedy, 1855 Luxemburg) als unserem Auftragsverarbeiter; verarbeitet werden Empfängeradresse, Nachrichteninhalt und Versandereignisse wie Zustellung, Unzustellbarkeit und Beschwerde. Eingehende E-Mails an unsere Adressen werden über Cloudflare Email Routing empfangen und an unser eigenes Mailsystem auf Servern in Deutschland zugestellt; eine Kopie kann in ein für uns von der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) betriebenes Postfach weitergeleitet werden. Unsere ausgehenden E-Mails nennen unsere Identität, den Kontaktgrund und enthalten einen Ein-Klick-Widerspruch.

10. Zahlungen und Rechnungen

Angebote werden über unser Abrechnungssystem bezahlt; die Zahlungsabwicklung übernehmen – je nach im Checkout angebotener Methode – derzeit Stripe und/oder PayPal. Der Zahlungsdienstleister verarbeitet Zahlungsdaten in eigener Verantwortlichkeit. Wir erhalten Zahlungsbestätigung und die für Rechnungen nötigen Daten (Art. 6 Abs. 1 lit. b und c DSGVO). Rechnungsdaten werden nach den gesetzlichen handels- und steuerrechtlichen Fristen gespeichert, siehe Ziffer 15.

11. KI-unterstützte Verarbeitung

Wir nutzen Dienste großer Sprachmodelle von Anthropic (Anthropic PBC, USA), um öffentliche Produktdaten zu analysieren und geschäftliche Korrespondenz zu entwerfen. Soweit geschäftliche Kontaktdaten wie Name und Unternehmen einbezogen werden, handelt Anthropic als Auftragsverarbeiter; API-Daten werden von Anthropic nicht zum Modelltraining verwendet. Übermittlungen in die USA sind durch das EU-US Data Privacy Framework und/oder EU-Standardvertragsklauseln abgesichert. Ausgehende Korrespondenz wird als automatisiert unterstützt gekennzeichnet. Bewertungsergebnisse bestimmt die veröffentlichte deterministische Methodik, nicht das Urteil einer KI.

12. Öffentliches Award-Register

Verifizierungsseiten und öffentliche Berichte zeigen Unternehmen beziehungsweise Hersteller, Produktangaben, Score, Methodik- und Messlattenversion, Daten und Lizenzstatus. Dort sollen keine personenbezogenen Daten natürlicher Personen erscheinen; Hersteller-Ansprechpartner werden nicht veröffentlicht.

13. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur an folgende Empfänger weiter: IT- und Hostinganbieter in Deutschland beziehungsweise der EU, Cloudflare als CDN/Proxy und für das E-Mail-Routing, die in Ziffer 9 genannten E-Mail-Dienstleister (Amazon Web Services EMEA SARL, Google Ireland Limited), Zahlungsdienstleister nach Ziffer 10, Anthropic nach Ziffer 11 und, soweit erforderlich, unsere Berater (Art. 6 Abs. 1 lit. c und f DSGVO). Auftragsverarbeiter sind durch Verträge nach Art. 28 DSGVO gebunden. Wir verkaufen keine personenbezogenen Daten und geben sie nicht für fremde Werbung weiter.

14. Internationale Datenübermittlungen

Soweit Daten außerhalb der EU/des EWR verarbeitet werden – derzeit bei Cloudflare und Anthropic in den USA sowie soweit Konzerngesellschaften der in Ziffer 9 genannten E-Mail-Dienstleister Daten in Drittländern verarbeiten –, beruht die Übermittlung auf einem Angemessenheitsbeschluss, insbesondere dem EU-US Data Privacy Framework nach Art. 45 DSGVO, und/oder EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

15. Speicherdauern

• Serverprotokolle: kurzfristig, Löschung durch Log-Rotation nach Ziffer 3.
• Rate-Limit-Zähler: zwei Tage.
• Portalkonten: bis zur Kontolöschung, danach nur im Rahmen gesetzlicher Pflichten.
• Interessentenkontakte ohne aktive Geschäftsbeziehung: Löschung nach zwölf Monaten Inaktivität.
• Sperrliste: dauerhafte Speicherung ausschließlich zur Beachtung von Widersprüchen.
• Geschäftskorrespondenz, Verträge, Angebote, Rechnungen sowie Bewertungs- und Award-Datensätze: gesetzliche handels- und steuerrechtliche Fristen von sechs bis zehn Jahren nach HGB/AO.
• Temporäre Kopien abgerufener öffentlicher Produktseiten: 30 Tage.

16. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und – bei Einwilligung – jederzeitigen Widerruf mit Wirkung für die Zukunft (Art. 7 Abs. 3). Zur Ausübung genügt eine Nachricht an [email protected].

Sie dürfen sich außerdem bei einer Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere beim für uns zuständigen Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

17. Widerspruchsrecht nach Art. 21 DSGVO

Soweit wir Ihre Daten aufgrund berechtigter Interessen nach Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen Ihrer besonderen Situation jederzeit widersprechen. Einer Verarbeitung für Direktwerbung können Sie jederzeit ohne Angabe von Gründen und kostenlos widersprechen; wir beenden dann die Verarbeitung für diesen Zweck. Am einfachsten nutzen Sie den Ein-Klick-Link in einer unserer E-Mails oder schreiben an [email protected].

18. Keine automatisierte Einzelfallentscheidung über Personen

Produktbewertungen sind automatisierte Bewertungen von Produkten, nicht von natürlichen Personen. Wir treffen keine automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für natürliche Personen im Sinne des Art. 22 DSGVO.

19. Änderungen dieser Erklärung

Wir aktualisieren diese Erklärung, wenn sich unser Dienst oder die Rechtslage ändert. Die aktuelle Fassung mit Datum wird stets auf dieser Seite veröffentlicht.