1. Kurz vorweg
KleinerWichtel.de speichert nur, was zum Wichteln nötig ist. Es gibt keine Werbung, kein Tracking, keine Analyse-Tools und keine Weitergabe zu Werbezwecken. Schriften und Bilder liefert die Seite selbst aus, nicht über fremde Server. Die einzige Ausnahme ist der Spam-Schutz bei Anmeldung und Registrierung (Abschnitt 8).
2. Verantwortlicher
Verantwortlich für die Verarbeitung deiner Daten bin ich als Betreiber von KleinerWichtel.de. Name, Anschrift und E-Mail-Adresse stehen im Impressum. Für alle Fragen zum Datenschutz erreichst du mich unter dieser Adresse. Einen Datenschutzbeauftragten gibt es nicht, weil keine Pflicht dazu besteht.
3. Dein Konto
Für ein Konto speichere ich deinen Namen, deine E-Mail-Adresse, dein Passwort (nur als nicht umkehrbare Prüfsumme), dein Profilbild und Einstellungen wie Sprache und Zwei-Faktor-Anmeldung. Holst du dein Konto über den Link in der E-Mail zu einer geänderten Adresse zurück, speichere ich für 72 Stunden, wann das war und von welcher Änderung der Link stammt, damit jeder dieser Links nur einmal funktioniert. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Ohne E-Mail-Adresse und Namen lässt sich kein Konto anlegen.
4. Gruppen, Wünsche und Auslosung
In deinen Gruppen speichere ich deine Wünsche, einen Spitznamen, falls du einen vergibst, und nach der Auslosung, wen du beschenkst. Wer eine Gruppe anlegt, hinterlegt außerdem deren Angaben und Regeln. Alle Bilder werden beim Hochladen verkleinert und neu gespeichert. Metadaten wie Aufnahmeort, Datum oder Kameramodell fallen dabei weg. Wer was sieht: – Die Mitglieder einer Gruppe sehen Namen, Spitznamen und Profilbilder der anderen. – Deine Wunschliste sieht die Person, die dich gezogen hat. Nimmt der Organisator selbst nicht teil, kann er die Wunschlisten sehen, wenn das für die Gruppe so eingestellt ist. – Wen du gezogen hast, siehst nur du. – Ich sehe im Verwaltungsbereich Namen und E-Mail-Adressen der Konten, aber keine Wunschlisten und keine Zuordnungen. Einzige Ausnahme: Meldet mir jemand einen Inhalt als rechtswidrig, sehe ich die Gruppe so, wie die meldende Person sie beim Melden gesehen hat, also auch die Wunschliste, die sie sehen darf. Meldet ein Organisator vor der Auslosung ein Mitglied, sehe ich, was er von diesem Mitglied sieht; meldet ein Organisator, der die Wunschlisten sehen darf, eine Wunschliste, sehe ich diese eine. Das brauche ich, um über die Meldung zu entscheiden. Dabei sehe ich auch, wer gemeldet hat, und nach der Auslosung damit auch, wen diese Person beschenkt. Der Person, deren Inhalt gemeldet wurde, nenne ich die meldende Person nicht. Zu einer Meldung speichere ich das Konto der meldenden Person, den Grund, ihre Beschreibung, das Gesehene als Schnappschuss mit Kopien der Bilder und meine Entscheidung mit Begründung und dem, was ich entfernt habe. Die Kopien sorgen dafür, dass ich den Inhalt so prüfe, wie er gemeldet wurde, auch wenn er inzwischen geändert ist. Sechs Monate nach der Entscheidung lösche ich Schnappschuss, Bilder, Beschreibung, Begründung, die Liste des Entfernten und den Bezug zu Konto und Gruppe; übrig bleiben nur Grund, Ergebnis und die beiden Zeitpunkte. Solange über eine Meldung nicht entschieden ist, bleibt sie vollständig gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Prüfung von Meldungen Art. 6 Abs. 1 lit. c und f DSGVO. Die Auslosung ist reiner Zufall; eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO oder ein Profiling findet nicht statt.
5. Einladungen an andere
Lädst du jemanden per E-Mail ein, speichere ich diese E-Mail-Adresse und schicke dorthin eine Einladung mit deinem Namen und dem Namen der Gruppe. Die Adresse wird gelöscht, sobald die Einladung angenommen, zurückgezogen oder gemeldet oder die Gruppe ausgelost wird, spätestens nach 30 Tagen. Wer eingeladen wird, kann die Einladung über den Link in der E-Mail melden. Dann bekomme ich eine Nachricht mit Name und Adresse der einladenden Person und der eingeladenen Adresse, um Missbrauch nachzugehen. Außerdem gehen an die gemeldete Adresse keine Einladungen mehr raus, auch nicht aus anderen Gruppen, und offene Einladungen an sie werden zurückgezogen. Gehört die Adresse zu einem bestätigten Konto, wird nur die gemeldete Einladung zurückgezogen und nichts gesperrt. Wer eine gesperrte Adresse einlädt, erfährt davon nichts: Die Einladung erscheint als verschickt, nur die E-Mail geht nicht raus. Für diese Sperre speichere ich nicht die Adresse selbst, sondern nur eine Prüfsumme davon. Damit sich eine Einladung auch dann noch melden lässt, wenn ihre Adresse schon gelöscht ist, bleibt diese Prüfsumme bei der Einladung gespeichert, bis die Einladung angenommen oder nach 90 Tagen gelöscht wird. Bei Adressen bestätigter Konten wird sie nicht gespeichert. Die Sperre endet, wenn sich jemand mit dieser Adresse registriert und sie bestätigt oder wenn die Meldung innerhalb von 7 Tagen als Versehen zurückgenommen wird. Sonst bleibt sie bestehen, weil sie nur so ihren Zweck erfüllt. Rechtsgrundlage ist das berechtigte Interesse der einladenden Person, ihre Gruppe zusammenzubringen, mein Interesse, Missbrauch zu verhindern, und für die Sperre das Interesse der eingeladenen Person, keine weiteren Einladungen zu bekommen (Art. 6 Abs. 1 lit. f DSGVO). Bitte lade nur Leute ein, die damit rechnen.
6. E-Mails
KleinerWichtel.de verschickt E-Mails nur, soweit sie zur Nutzung gehören: zu deinem Konto (etwa wenn Adresse, Passwort oder Zwei-Faktor-Anmeldung geändert wurden oder du dein Konto zurückgeholt hast), zu Einladungen und Gruppen und zur Auslosung. Wen du gezogen hast, steht nie in einer E-Mail, sondern nur auf deiner Seite bei KleinerWichtel.de. Newsletter oder Werbung gibt es nicht. Die E-Mails laufen über denselben Anbieter wie das Hosting (Abschnitt 7).
7. Hosting, Server-Protokolle und Schutz vor Missbrauch
Die Seite, die Datenbank, alle hochgeladenen Bilder und der E-Mail-Versand liegen bei der Serverprofis GmbH, Otto-Lilienthal-Ring 34–36, 85622 Feldkirchen, auf Servern in Deutschland. Mit ihr besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Bei jedem Aufruf verarbeitet der Server technisch notwendige Daten wie IP-Adresse, Zeitpunkt und aufgerufene Adresse. Das Fehlerprotokoll der App wird nach 14 Tagen gelöscht, die Zugriffs- und Mail-Protokolle des Hosters werden von ihm automatisch gelöscht, sobald sie für den sicheren Betrieb nicht mehr gebraucht werden. Zum Schutz vor Angriffen und Spam begrenzt die Seite Anmeldeversuche und Einladungen je Konto und IP-Adresse; die Zähler verfallen nach spätestens 24 Stunden und werden dann gelöscht. Wird eine Grenze für Einladungen erreicht, erfahre ich, welches Konto betroffen ist. Sicherheitsrelevante Ereignisse wie Registrierungen, fehlgeschlagene Anmeldungen oder verschickte Einladungen werden mit IP-Adresse protokolliert und nach 14 Tagen gelöscht; übrig bleiben nur Tageszahlen ohne Bezug zu einer Person. Rechtsgrundlage ist mein berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Verbindung ist immer per TLS verschlüsselt.
8. Spam-Schutz mit Cloudflare Turnstile
Auf der Seite für Anmeldung und Registrierung prüft Cloudflare Turnstile, ob ein Mensch oder ein Bot das Formular ausfüllt. Anbieter ist Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Dabei werden deine IP-Adresse sowie technische Angaben zu Browser und Gerät an Cloudflare übermittelt. Turnstile setzt nach Angaben von Cloudflare keine Cookies zu Werbe- oder Trackingzwecken. Auf allen anderen Seiten wird Turnstile nicht geladen. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert; die Übermittlung in die USA stützt sich auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Rechtsgrundlage ist mein berechtigtes Interesse, die Seite vor automatisierten Anmeldeversuchen und Spam-Konten zu schützen (Art. 6 Abs. 1 lit. f DSGVO, § 25 Abs. 2 Nr. 2 TDDDG). Mehr dazu: cloudflare.com/privacypolicy. Das ist die einzige Stelle, an der Daten an ein Unternehmen außerhalb der EU gehen.
9. Cookies
Es gibt nur technisch notwendige Cookies: eines für die Sitzung (darin auch die gewählte Sprache), eines zum Schutz vor gefälschten Anfragen (CSRF) und, wenn du „Angemeldet bleiben“ wählst, eines dafür. Sie dienen allein dazu, dass die Seite funktioniert, und brauchen keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Tracking-Cookies gibt es nicht.
10. Links in Wunschlisten
Wunschlisten können Links auf fremde Seiten enthalten, etwa auf Shops. Erst wenn du einen solchen Link anklickst, verlässt du KleinerWichtel.de; für die Datenverarbeitung dort ist der jeweilige Anbieter verantwortlich.
11. Speicherdauer und Löschung
Deine Daten bleiben gespeichert, solange dein Konto besteht. Dein Profilbild kannst du jederzeit entfernen. Wünsche kannst du ändern und löschen, bis die Gruppe ausgelost ist; danach bleiben sie unverändert stehen, damit sich dein Wichtel auf sie verlassen kann. Eine Gruppe kann der Organisator löschen, solange er ihr einziges Mitglied ist. Beendete Gruppen bleiben als Archiv für ihre Mitglieder erhalten. Eine Gruppe endet drei Monate nach ihrem Termin oder, wenn sie keinen hat, drei Monate nach ihrer letzten Änderung. Dein Konto löschst du im Profil unter „Konto löschen“. Dabei werden Name, E-Mail-Adresse, Passwort, Profilbild und Spitznamen sofort entfernt. Ausgenommen ist, was in einer Meldung an mich steht (Abschnitt 4): Das bleibt bis sechs Monate nach meiner Entscheidung gespeichert, auch Bilder. Aus Gruppen, die noch nicht ausgelost sind, trittst du samt deinen Wünschen aus. In bereits ausgelosten Gruppen bleibt ein leerer Platzhalter mit der Bezeichnung „Gelöschtes Konto“, damit die Auslosung für die anderen stimmt. Deine Wunschbilder werden sofort gelöscht, deine Wunschtexte in beendeten Gruppen ebenfalls. In ausgelosten Gruppen, die noch laufen, bleiben die Wunschtexte bis zum Ende der Gruppe stehen, damit dein Wichtel noch ein Geschenk findet, und werden dann gelöscht. Im Archiv der Gruppe steht danach nur noch „Gelöschtes Konto“, ohne Wünsche. Der Hoster sichert alle Daten täglich, verschlüsselt auf getrennten Backup-Servern. Er bewahrt die Stände der letzten vier Tage auf und dazu je einen Stand pro Woche für acht Wochen. Außerdem lege ich vor jeder Aktualisierung der Seite eine Sicherung der Datenbank an, die nach spätestens 30 Tagen gelöscht wird. Gelöschte Daten können deshalb bis zu acht Wochen in einer Sicherung enthalten sein; sie werden daraus nur zur Wiederherstellung nach einem Fehler verwendet.
12. Deine Rechte
Du hast das Recht auf Auskunft über deine gespeicherten Daten (Art. 15 DSGVO), auf Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und auf Widerspruch gegen Verarbeitungen, die auf berechtigtem Interesse beruhen (Art. 21). Eine kurze E-Mail an die Adresse im Impressum genügt. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), etwa bei der Behörde deines Wohnorts.
13. Mindestalter
Ein Konto darf anlegen, wer mindestens 16 Jahre alt ist. Jüngere brauchen die Zustimmung ihrer Eltern, etwa um in der Wichtelgruppe der Familie mitzumachen. Die Verarbeitung stützt sich auch bei ihnen auf den Nutzungsvertrag (Abschnitt 3), nicht auf eine Einwilligung.
14. Änderungen
Ändert sich etwas an der Verarbeitung, passe ich diese Erklärung an. Bei wesentlichen Änderungen bekommst du vorher eine E-Mail. Stand: Oktober 2026