Datenschutzhinweis für Kudos

Version 1.2 · Stand: 04.10.2026

Dieser Hinweis informiert nach Art. 13 und 14 DSGVO darüber, welche personenbezogenen Daten die Erwins Enkel GmbH beim Betrieb von Kudos unter getkudos.eu und getkudos.de als Verantwortliche verarbeitet.

1. Verantwortlicher

Erwins Enkel GmbH
Viktoriastraße 45
65189 Wiesbaden
Deutschland

Vertreten durch den Geschäftsführer Patrick Lenz.

Datenschutzanfragen: datenschutz@getkudos.eu

Ein Datenschutzbeauftragter ist nicht benannt, da die gesetzlichen Voraussetzungen (§ 38 BDSG) nicht vorliegen.

2. Geltungsbereich: eigene Verarbeitung und Auftragsverarbeitung

Kudos ist ein Dienst für IT-Dienstleister („Kunden"). Die Daten, die Kunden in Kudos verarbeiten, verarbeiten wir im Auftrag des Kunden nach Art. 28 DSGVO. Verantwortlicher ist dann der Kunde. Das betrifft insbesondere:

• Mitglieder: Beschäftigte des Kunden, die Kudos nutzen, mit ihren Bewertungen, Anerkennungen, Punkten und Prämien;
• Kontakte: Ansprechpartner der Kunden unserer Kunden, die über einen Bewertungslink eine Bewertung abgeben. Für sie gilt der Datenschutzhinweis des jeweiligen IT-Dienstleisters, auf den die Bewertungsseite verlinkt.

Anfragen zu diesen Daten richten Sie bitte an den jeweiligen Kunden. Erreichen sie uns, leiten wir sie an ihn weiter. Einzelheiten regelt der Auftragsverarbeitungsvertrag (AVV).

Verbindet ein Kunde Anwendungen Dritter mit Kudos, etwa KI-Anwendungen über die MCP-Schnittstelle oder über API-Tokens, gelangen Daten auf seine Veranlassung und in seiner Verantwortung zu diesen Anbietern. Diese Anbieter sind weder unsere Auftragsverarbeiter noch Empfänger in unserem Auftrag.

Schickt ein Mitglied uns Produkt-Feedback, verarbeiten wir es als eigene Mitteilung an uns in eigener Verantwortung (Abschnitt 9). Enthält als vertraulich markiertes Feedback Daten des Kunden oder Dritter, etwa zu Kontakten, Bewertungen oder anderen Mitgliedern, verarbeiten wir diese Daten weiterhin im Auftrag des Kunden nach dem AVV.

Dieser Hinweis betrifft die Verarbeitung, für die wir selbst verantwortlich sind (Abschnitte 3 bis 9).

3. Aufruf der Website und Hosting

Kudos läuft auf Servern der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, in Rechenzentren in Deutschland. netcup ist unser Auftragsverarbeiter (Art. 28 DSGVO).

Beim Aufruf einer Seite verarbeiten wir technisch notwendig Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse sowie die Angaben Ihres Browsers (User-Agent). Die IP-Adresse nutzen wir ausschließlich flüchtig im Arbeitsspeicher, um Anfragen pro Absender zu begrenzen und Missbrauch abzuwehren; sie wird nicht gespeichert. Zugriffsprotokolle führen wir nicht.

Fehlerprotokolle der Anwendung enthalten keine IP-Adressen. Sie können interne Kennungen und im Fehlerfall Inhalte der betroffenen Vorgänge enthalten. Sie werden bei Erreichen einer festen Größe fortlaufend überschrieben. Unerwartete Fehler meldet die Anwendung zusätzlich an unser eigenes Fehlererfassungssystem (GlitchTip) auf denselben Servern in Deutschland, ohne IP-Adresse, ohne die aufgerufene Adresse, Cookies oder Formularinhalte und ohne Angaben zum Nutzer; auch diese Meldungen können interne Kennungen und im Fehlerfall Inhalte der betroffenen Vorgänge enthalten. Sie werden nach 30 Tagen gelöscht.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Verbindung ist durchgehend TLS-verschlüsselt.

Reichweitenmessung. Auf der Startseite, den Seiten der Registrierung, der Dokumentation, den Rechtstexten und dem Impressum zählt ein Skript unseres eigenen Analysedienstes (Umami, betrieben von uns auf denselben Servern in Deutschland, erreichbar unter stats.getkudos.eu), wie oft welche Seiten aufgerufen werden und wie viele Besucher eine Registrierung aufrufen, absenden und bestätigen. Erfasst werden dabei nur die Art der Seite (etwa „Dokumentation", ohne Parameter, Kennungen oder Seitentitel), von der verweisenden Seite nur deren Domain, Browser, Betriebssystem, Gerätetyp, Bildschirmgröße und Sprache sowie das aus der IP-Adresse abgeleitete Land, Region und Stadt. Aus IP-Adresse, User-Agent und einem monatlich wechselnden Zufallswert bildet der Dienst eine Kennung, die die Aufrufe eines Besuchers innerhalb eines Monats zusammenfasst; die IP-Adresse selbst wird nicht gespeichert. Das Skript setzt keine Cookies und legt nichts auf Ihrem Gerät ab; es liest lediglich, ob in Ihrem Browser ein Eintrag zum Abschalten der Messung (umami.disabled im Local Storage) gesetzt ist. Im Bereich der Mandanten und auf Bewertungsseiten wird es nicht geladen; wechseln Sie von einer öffentlichen Seite dorthin, erfasst und sendet es dort nichts. Die Daten sehen nur wir; sie werden nach 13 Monaten gelöscht, in Datensicherungen bleiben sie bis zu 30 weitere Tage erhalten. Rechtsgrundlage ist unser berechtigtes Interesse, die Nutzung unserer öffentlichen Seiten zu verstehen und sie zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Sie können der Messung widersprechen (Abschnitt 11) oder das Skript in Ihrem Browser blockieren; die Seiten funktionieren dann unverändert.

4. Cookies

Kudos setzt nur Cookies, die für den Dienst technisch erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG):

Wir setzen keine Cookies zu Analyse-, Tracking- oder Werbezwecken ein; die Reichweitenmessung (Abschnitt 3) kommt ohne Cookies aus. Dienste Dritter (Schriften, Skripte, Karten) binden wir nicht in die Seiten ein.

5. Anmeldung

Anmeldelinks per E-Mail. Geben Sie auf der Startseite Ihre E-Mail-Adresse ein, senden wir Ihnen Anmeldelinks zu den Mandanten in Kudos, in denen Sie Mitglied sind. Die Adresse verwenden wir nur dafür. Bis zum Versand liegt sie in einer Warteschlange in unserer Datenbank; erfolglose Versuche wiederholen wir bis zu zehn Mal innerhalb weniger Stunden. Der Auftrag samt Adresse wird 7 Tage nach dem Versand oder dem letzten Fehlversuch gelöscht, ein nie bearbeiteter Auftrag nach 14 Tagen. Scheitert der Versand endgültig, kann die Adresse im Fehlerprotokoll stehen (Abschnitt 3). In Datensicherungen bleibt sie bis zu 30 weitere Tage erhalten. Den Versand übernimmt Sendinblue SAS (Brevo), 9–17 rue Salneuve, 75017 Paris, Frankreich, als Auftragsverarbeiter mit Servern in der EU.

Anmeldung über einen Identity Provider. Meldet sich ein Mitglied über den vom Kunden eingerichteten Identity Provider an (z. B. Microsoft Entra ID, ein anderer OpenID-Connect-Dienst oder GitHub), erhalten wir von diesem eine Kennung, Name und E-Mail-Adresse. Welcher Anbieter dabei Daten erhält, bestimmt der Kunde.

Rechtsgrundlage ist die Erfüllung des Vertrags mit dem Kunden und unser berechtigtes Interesse an einer sicheren Anmeldung (Art. 6 Abs. 1 lit. b und f DSGVO).

6. Kundenkonto, Vertrag und Abrechnung

Für Abschluss, Durchführung und Abrechnung des Vertrags mit dem Kunden verarbeiten wir:

• Firma, Anschrift, Umsatzsteuer-Identifikationsnummer;
• Name und geschäftliche E-Mail-Adresse der Ansprechpartner und Administratoren;
• die akzeptierten Fassungen von AGB und AVV mit Zeitpunkt der Annahme;
• die Zahl aktiver Mitglieder als Abrechnungsgrundlage, Rechnungen und Zahlungsstatus.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Vertrag), lit. c (handels- und steuerrechtliche Pflichten) und lit. f (Nachweis des Vertragsschlusses, Durchsetzung von Ansprüchen). Wir speichern diese Daten für die Dauer des Vertrags und danach, soweit gesetzliche Aufbewahrungspflichten bestehen (§ 147 AO, § 257 HGB: Rechnungen und andere Buchungsbelege acht Jahre, Bücher und Jahresabschlüsse zehn Jahre). Den Nachweis von Registrierung und Vertragsschluss (Name und E-Mail-Adresse des Administrators, akzeptierte Fassungen) bewahren wir nach Löschung des Mandanten bis zum Ende der Verjährungsfrist auf (drei Jahre ab Ende des Löschjahres, §§ 195, 199 BGB) und pseudonymisieren ihn danach.

7. Zahlungsabwicklung durch Stripe

Zahlungen wickelt die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland („Stripe") ab. Stripe verarbeitet die Zahlungsdaten (insbesondere Kartendaten, Name, E-Mail-Adresse, Rechnungsanschrift) als eigener Verantwortlicher, unter anderem zur Betrugsprävention und zur Erfüllung eigener gesetzlicher Pflichten. Kartendaten erhalten wir nicht; wir erhalten von Stripe nur den Zahlungsstatus und Rechnungsdaten.

Stripe kann Daten an die Stripe, Inc. in den USA übermitteln. Grundlage ist die Zertifizierung von Stripe, Inc. unter dem EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO) und ergänzend die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Rechtsgrundlage für die Übermittlung an Stripe ist Art. 6 Abs. 1 lit. b DSGVO. Näheres: Datenschutzerklärung von Stripe.

8. Kontakt per E-Mail

Schreiben Sie uns (z. B. an support@getkudos.eu oder datenschutz@getkudos.eu), verarbeiten wir Ihre Angaben zur Bearbeitung Ihres Anliegens (Art. 6 Abs. 1 lit. b oder f DSGVO). Wir löschen sie, wenn das Anliegen erledigt ist und keine Aufbewahrungspflichten bestehen.

9. Produkt-Feedback

Mitglieder können uns aus Kudos heraus Fehler melden und Ideen schicken („Produkt-Feedback"). Wir lesen und beantworten es und nutzen es, um Kudos zu verbessern. Rechtsgrundlage ist unser berechtigtes Interesse daran (Art. 6 Abs. 1 lit. f DSGVO). Das Senden ist freiwillig.

Die Mitteilung an uns verarbeiten wir in eigener Verantwortung. Daten des Kunden oder Dritter in vertraulich markiertem Feedback (siehe unten) verarbeiten wir im Auftrag des Kunden nach dem AVV (Abschnitt 2).

Beim Senden entscheidet das Mitglied mit dem Kästchen „Enthält Kunden- oder personenbezogene Daten", vorgabemäßig angehakt, wohin das Feedback geht. Für jede Antwort gilt dasselbe Kästchen.

Angehakt (vertraulich). Das Feedback bleibt mit seinen Screenshots auf unseren Servern in Deutschland und wird nicht an GitHub übermittelt. Wir erhalten eine E-Mail, die nur den Namen des Kunden nennt. Jedes Lesen, jeden geöffneten Screenshot und jede Antwort durch uns vermerkt Kudos im Protokoll des Mandanten, das dessen Administratoren einsehen können.

Nicht angehakt. Das Feedback wird ein Eintrag (Issue) in einem nicht öffentlichen Repository bei der GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA, auf das nur das Kudos-Team Zugriff hat. GitHub ist unser Auftragsverarbeiter. Übermittelt werden der Name des Kunden, die Rolle des Mitglieds in Kudos, die Art (Fehler oder Idee), Titel und Nachricht, eine interne Kennung des Feedbacks und Links auf die Screenshots, nie Name oder E-Mail-Adresse des Mitglieds. Die Screenshots bleiben auf unseren Servern; jeder, der den nicht erratbaren Link kennt, kann sie öffnen. Antworten ohne Haken werden dem Issue ebenso hinzugefügt; zu einer vertraulichen Antwort erfährt GitHub nur, dass es sie gibt. Zur Übermittlung in die USA siehe Abschnitt 10. Enthalten Text oder Screenshots personenbezogene Daten, etwa Namen oder Bewertungen, lassen Sie das Kästchen deshalb angehakt.

Über Antworten von uns benachrichtigen wir das Mitglied per E-Mail (Versand über Brevo, Abschnitt 5), ohne deren Inhalt.

Speicherdauer. In Kudos sehen das Feedback nur das Mitglied und, wenn vertraulich, wir; es ist aber im Datenexport des Mandanten enthalten, den dessen Administratoren herunterladen können. Es wird mit dem Mandanten gelöscht; in Datensicherungen bleibt es bis zu 30 weitere Tage erhalten. Wird ein Mitglied anonymisiert, bleibt sein Feedback als das eines ehemaligen Mitglieds erhalten. Issues bei GitHub bewahren wir auf, solange wir sie für die Weiterentwicklung von Kudos brauchen; auf Anfrage an datenschutz@getkudos.eu löschen wir sie.

10. Empfänger

Personenbezogene Daten erhalten außer uns nur:

• netcup GmbH (Hosting, Deutschland), Sendinblue SAS/Brevo (E-Mail-Versand, EU) und GitHub, Inc. (Produkt-Feedback, USA, Abschnitt 9) als Auftragsverarbeiter;
• Stripe als eigener Verantwortlicher für Zahlungen (Abschnitt 7);
• Steuerberater und Behörden, soweit gesetzlich erforderlich.

In ein Drittland, die USA, gelangen Daten nur über Stripe (Abschnitt 7) und GitHub (Abschnitt 9). Grundlage für GitHub ist die Zertifizierung der GitHub, Inc. unter dem EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO) und ergänzend die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

11. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Haben Sie eine Einwilligung erteilt, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen.

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Wenden Sie sich dafür an datenschutz@getkudos.eu.

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der für uns zuständigen: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden.

12. Pflicht zur Bereitstellung, automatisierte Entscheidungen

Die Angaben nach Abschnitt 6 sind für den Vertragsschluss erforderlich; ohne sie können wir den Dienst nicht bereitstellen. Produkt-Feedback (Abschnitt 9) ist freiwillig. Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

13. Änderungen

Wir passen diesen Hinweis an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.