Datenschutzerklärung

Kurz gesagt: Julclub funktioniert ohne Konto und ohne E-Mail-Adresse; ein Konto ist freiwillig. Wir zeigen keine Werbung, nutzen kein Tracking, speichern nur, was zum Wichteln nötig ist, und löschen es wieder.

1. Verantwortlicher

Patrick Gendron
Bürgerstr. 1, 22081 Hamburg
E-Mail: patrickgendron90@gmail.com

2. Welche Daten wir verarbeiten und wofür

Wenn du eine Wichtelgruppe erstellst oder ihr beitrittst, speichern wir:

den Namen der Gruppe und ein optionales Budget,
die Namen der Teilnehmer, so wie sie eingegeben werden (ein Vorname genügt),
Wunschzettel, sofern eingetragen,
den Teilnahmestatus (offen, bestätigt, abgelehnt) und nach der Auslosung, wer wen beschenkt,
zufällig erzeugte Zugangsschlüssel für Einladungs-, Teilnehmer- und Admin-Links. Den Admin-Schlüssel speichern wir nur als kryptografischen Hashwert.

Diese Daten verwenden wir ausschließlich, um das Wichteln durchzuführen: Teilnehmer verwalten, auslosen und jedem seinen eigenen Wichtel samt Wunschzettel anzeigen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des von dir genutzten Dienstes). Trägt der Organisator Personen ein oder lädt sie ein, stützt sich die Verarbeitung zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die gemeinsame Organisation des Wichtelns.

Wer welche Daten sieht: Der Organisator sieht Gruppenname, Budget, Teilnehmernamen und ob ein Wunschzettel vorhanden ist – nicht dessen Inhalt und nicht die Zuteilungen. Teilnehmer sehen die Namen der bestätigten Teilnehmer, ihren eigenen Wunschzettel und nach der Auslosung Namen und Wunschzettel der Person, die sie beschenken.

3. Freiwilliges Nutzerkonto und E-Mail-Versand

Du kannst dich mit deiner E-Mail-Adresse anmelden, musst es aber nicht. Wenn du dich anmeldest, speichern wir:

deine E-Mail-Adresse sowie wann dein Konto erstellt wurde und wann du dich zuletzt angemeldet hast,
für jedes Gerät, auf dem du angemeldet bist, eine Sitzung: einen Hashwert des Sitzungsschlüssels aus dem Anmelde-Cookie und das Ablaufdatum,
für jede angeforderte Anmeldung kurzzeitig die E-Mail-Adresse, einen Hashwert des Anmeldelinks und des sechsstelligen Codes, die Zahl der Fehlversuche und den Zeitpunkt.

Ein Passwort gibt es nicht. IP-Adressen speichern wir dafür nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Das Konto ist eine Funktion, die du selbst nutzen möchtest.

Die Anmeldemail mit Link und Code verschicken wir über den E-Mail-Dienst Resend (USA). Resend erhält dafür deine E-Mail-Adresse und den Inhalt der Mail und handelt als unser Auftragsverarbeiter (Art. 28 DSGVO). Für die Übermittlung in die USA gilt dasselbe wie unten bei Hoster und Datenbank. Wir verschicken keine Werbung und messen nicht, ob du Mails öffnest oder Links anklickst.

4. Hosting und Server-Logfiles

Die Website wird bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA gehostet. Beim Aufruf der Seiten verarbeitet der Hoster technisch notwendige Daten wie IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browserkennung, um die Seiten auszuliefern und vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Gruppenseiten senden keine Verweis-Informationen (Referrer) an andere Websites. Der Admin-Schlüssel steht im Admin-Link hinter dem #-Zeichen; dieser Teil wird beim Seitenaufruf nicht an den Server übertragen und landet daher nicht in Logfiles. Dasselbe gilt für den Schlüssel im Anmeldelink.

5. Datenbank

Die Gruppen- und Kontodaten liegen in einer Postgres-Datenbank des Anbieters Neon (Neon, Inc., ein Unternehmen der Databricks, Inc., USA), die über Vercel bereitgestellt wird, auf Servern in Frankfurt am Main. Neon handelt als Auftragsverarbeiter (Art. 28 DSGVO). Dein Browser verbindet sich nie direkt mit der Datenbank; nur unser Server greift darauf zu.

Soweit Hoster, Datenbankanbieter oder E-Mail-Dienst Daten außerhalb der EU verarbeiten, geschieht das auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) bzw. eines Angemessenheitsbeschlusses wie des EU-U.S. Data Privacy Framework.

6. Cookies und lokaler Speicher

Admin-Cookie: Öffnet der Organisator seinen Admin-Link, speichern wir den Zugang in einem Cookie, das nur für diese Gruppe gilt und nach 180 Tagen abläuft. Es ist technisch erforderlich, damit die Verwaltung funktioniert (§ 25 Abs. 2 Nr. 2 TDDDG). Über „Auf diesem Gerät abmelden“ wird es gelöscht.
Anmelde-Cookie: Wenn du dich mit deinem Konto anmeldest, speichert dein Browser ein Cookie mit einem zufälligen Sitzungsschlüssel. Es läuft nach 180 Tagen ab und wird beim Abmelden gelöscht. Es ist technisch erforderlich, damit du angemeldet bleibst (§ 25 Abs. 2 Nr. 2 TDDDG).
„Deine Gruppen“: Damit du deine Gruppen wiederfindest, merkt sich dein Browser im lokalen Speicher (localStorage) die Gruppen, die du erstellt hast oder denen du beigetreten bist. Diese Liste verlässt dein Gerät nicht und lässt sich auf der Startseite einzeln löschen.

Weitere Cookies, Analyse- oder Werbedienste setzen wir nicht ein.

7. Schriftarten und externe Links

Schriftarten werden von unserem eigenen Server geladen; es besteht keine Verbindung zu Google. Die Buttons zum Teilen (WhatsApp, E-Mail) sind einfache Links: Erst wenn du sie anklickst, öffnet sich die jeweilige App mit einem vorbereiteten Text. Für die weitere Verarbeitung dort ist der jeweilige Anbieter verantwortlich.

8. Speicherdauer

Der Organisator kann eine Gruppe jederzeit vollständig löschen. Teilnehmer können eine Gruppe bis zur Auslosung verlassen; dabei werden ihr Name und ihr Wunschzettel gelöscht. Alle übrigen Gruppen löschen wir automatisch etwa zwölf Monate nach ihrer Erstellung. Server-Logfiles werden beim Hoster nach kurzer Zeit gelöscht.

Dein Konto kannst du jederzeit unter „Mein Konto“ selbst löschen; es wird sofort entfernt, zusammen mit allen Sitzungen. Deine Gruppen bleiben bestehen und funktionieren weiter über ihre Links. Konten, mit denen sich zwei Jahre lang niemand angemeldet hat, löschen wir automatisch. Sitzungen enden nach 180 Tagen oder beim Abmelden. Angaben zu angeforderten Anmeldungen löschen wir nach einem Tag; Link und Code selbst gelten nur 15 Minuten.

9. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Schreib dafür an patrickgendron90@gmail.com und nenne den Namen der Gruppe – bitte ohne persönliche Links.

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel beim Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit.

10. Keine automatisierten Entscheidungen

Die Auslosung ist ein reiner Zufallsmechanismus. Es findet kein Profiling und keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt.

Stand: Oktober 2026. Siehe auch Impressum.