Datenschutzerklärung

1. Verantwortlicher

Ein Datenschutzbeauftragter ist nicht benannt, weil die Voraussetzungen des § 38 BDSG und des Art. 37 DSGVO nicht vorliegen. Anfragen zum Datenschutz richten Sie bitte an die oben genannte E-Mail-Adresse.

2. Wer ist wofür verantwortlich?

• Besucher der Website und Retriby-Kunden: Für diese Daten sind wir Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO (Abschnitte 3 bis 6).
• Endkunden unserer Kunden: Wenn Retriby für einen Kunden fehlgeschlagene Zahlungen bearbeitet und dessen Endkunden anschreibt, handeln wir als Auftragsverarbeiter nach Art. 28 DSGVO. Verantwortlich ist dann der jeweilige Kunde (Abschnitt 7).

3. Besuch der Website

Beim Aufruf unserer Seiten verarbeitet unser Hosting-Dienstleister Vercel technisch notwendige Verbindungsdaten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Browser und Betriebssystem sowie die zuvor besuchte Seite. Das ist nötig, um die Seite auszuliefern und den Betrieb abzusichern. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren, funktionsfähigen Website (Art. 6 Abs. 1 lit. f DSGVO). Retriby selbst speichert keine IP-Adressen.

Keine Cookies auf öffentlichen Seiten. Startseite, Preise, Blog, Dokumentation, Rechner und die Rechtstexte setzen keine Cookies und legen nichts im Speicher Ihres Browsers ab. Cookies entstehen erst, wenn Sie sich anmelden oder registrieren (Abschnitt 5 und Cookie-Richtlinie).

Reichweitenmessung. Wir nutzen Vercel Web Analytics. Es arbeitet ohne Cookies und ohne Speicherung auf Ihrem Endgerät und liefert uns nur zusammengefasste Zahlen (etwa Seitenaufrufe und Herkunftsseiten), keine Profile einzelner Besucher. Rechtsgrundlage ist unser berechtigtes Interesse, unser Angebot bedarfsgerecht zu gestalten (Art. 6 Abs. 1 lit. f DSGVO).

4. Fehlerprotokollierung

Tritt in der Anwendung ein Fehler auf, senden wir einen Fehlerbericht an Sentry. Im Browser geschieht das nur, wenn tatsächlich ein Fehler auftritt — nicht bei jedem Seitenaufruf. Der Bericht enthält die Fehlermeldung, den technischen Ablauf, Browser- und Systemversion und die aufgerufene Adresse. Zugangs-Token, E-Mail-Adressen, Cookies und Anfrage-Header entfernen wir vor dem Versand; die IP-Adresse übermitteln wir nicht als Teil des Berichts. Die Berichte werden in der EU (Deutschland) gespeichert. Rechtsgrundlage ist unser berechtigtes Interesse an einem fehlerfreien und sicheren Dienst (Art. 6 Abs. 1 lit. f DSGVO); Sie können widersprechen (Abschnitt 11).

5. Registrierung, Anmeldung und Nutzung von Retriby

Für Registrierung und Anmeldung nutzen wir Clerk. Clerk wird nur auf den Anmelde-, Registrierungs- und Dashboard-Seiten geladen. Dabei setzt Clerk die in der Cookie-Richtlinie aufgeführten Cookies. Sie sind für die von Ihnen gewünschte Anmeldung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Verarbeitet werden Name, E-Mail-Adresse, Anmeldedaten und Sitzungsinformationen.

Bei der Nutzung verarbeiten wir Ihre Kontodaten, Einstellungen und die Zugangsdaten der Zahlungsplattformen, die Sie verbinden (Stripe, Gumroad, LemonSqueezy, Paddle). Diese Zugangsdaten speichern wir mit AES-256-GCM verschlüsselt.

Rechtsgrundlage ist die Erfüllung des Vertrags mit Ihnen bzw. dessen Anbahnung (Art. 6 Abs. 1 lit. b DSGVO). Konto-E-Mails wie Hinweise zum Testzeitraum senden wir auf derselben Grundlage.

6. Abrechnung

Die Abonnements rechnen wir über Stripe ab. Ihre Zahlungsdaten geben Sie direkt bei Stripe ein; wir erhalten keine Kartennummern, sondern Kundenkennung, Abonnementstatus und Rechnungen. Beim Abschluss speichern wir den Zeitpunkt Ihrer Erklärung, als Unternehmer zu handeln, und Ihrer Zustimmung zu den AGB. Rechtsgrundlagen sind die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und die gesetzlichen Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB).

7. Daten der Endkunden unserer Kunden

Im Auftrag unserer Kunden verarbeiten wir Daten von deren Endkunden, deren Abonnementzahlung fehlgeschlagen ist oder deren Karte bald abläuft:

• E-Mail-Adresse und, falls von der Zahlungsplattform übermittelt, Name
• Kennung von Kunde und Abonnement bei der Plattform, Betrag, Währung, Zeitpunkt und Grund der Ablehnung
• bei Stripe: Kartenmarke, letzte vier Ziffern und Ablaufdatum (keine Kartennummer)
• Versand-, Öffnungs- und Klickereignisse der Erinnerungs-E-Mails
• Aufrufe der Seiten zur Zahlungsaktualisierung und zur Kündigung

Verantwortlich ist der jeweilige Händler, bei dem Sie Kunde sind; die Grundlage ist unser Auftragsverarbeitungsvertrag mit ihm (AGB § 8a). Anfragen zu Ihren Rechten richten Sie bitte an diesen Händler. Erreichen sie uns, leiten wir sie an ihn weiter.

8. Dienstleister und Empfänger

Wir setzen die folgenden Dienstleister als Auftragsverarbeiter ein. Daten verkaufen wir nicht und nutzen sie nicht für Werbung.

Wenn Sie in Ihrem Konto eine Slack-Benachrichtigung einrichten, senden wir die E-Mail-Adresse betroffener Endkunden auf Ihre Weisung an die von Ihnen angegebene Slack-Adresse.

9. Übermittlungen in Drittländer

Einige Dienstleister haben ihren Sitz in den USA oder verarbeiten Daten dort. Grundlage ist entweder der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO; Beschluss (EU) 2023/1795), sofern der Anbieter zertifiziert ist, oder Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Das Gericht der EU hat den Angemessenheitsbeschluss am 3. September 2025 bestätigt (T-553/23); ein Rechtsmittel dagegen ist beim Gerichtshof anhängig (C-703/25 P). Kopien der Standardvertragsklauseln erhalten Sie auf Anfrage.

10. Speicherdauer

• Kundenkonto einschließlich aller Endkundendaten: bis Sie es löschen (Dashboard → Einstellungen); nach Kündigung automatisch 30 Tage nach Ende des letzten bezahlten Abrechnungszeitraums, sofern kein Abonnement mehr aktiv oder pausiert ist
• Protokoll eingehender Webhooks (nur Kennung, Anbieter, Status — kein Inhalt): 30 Tage
• Ausgehende Webhook-Zustellungen, Ereignisse des Website-Bausteins, Kartenaktualisierungen: 90 Tage
• Zähler zur Begrenzung von Anfragen: 24 Stunden
• Links zur Zahlungsaktualisierung: gültig 72 Stunden (Zahlungserinnerung) bzw. 30 Tage (Vorab-Hinweis zum Kartenablauf); gespeichert bis zur Löschung des Kundenkontos
• Rechnungen und Buchungsbelege der Retriby-Abonnements: gesetzliche Aufbewahrung nach § 147 AO und § 257 HGB, bis zu 10 Jahre
• Nachweis einer durchgeführten Kontolöschung (interne Kennung, Zeitpunkt, Status): zur Rechenschaft nach Art. 5 Abs. 2 DSGVO; externe Kennungen werden nach erfolgreicher Löschung entfernt

11. Ihre Rechte

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) — als Kunde auch selbst im Dashboard unter Einstellungen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) — als Kunde als Export im Dashboard
• Widerspruch (Art. 21 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), etwa beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg

Anfragen richten Sie bitte an privacy@retriby.app.

12. Pflicht zur Bereitstellung, automatisierte Entscheidungen

Für den Besuch der Website müssen Sie keine Daten angeben. Für Registrierung und Vertrag benötigen wir Name, E-Mail-Adresse und die Angaben zur Abrechnung; ohne sie können wir den Dienst nicht erbringen.

Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Die Erinnerungs-E-Mails werden regelbasiert durch eine fehlgeschlagene Zahlung ausgelöst und entfalten keine rechtliche oder ähnlich erhebliche Wirkung.