Datenschutzhinweis für Kudos

Version 1.0 · Stand: 03.10.2026

Dieser Hinweis informiert nach Art. 13 und 14 DSGVO darüber, welche personenbezogenen Daten die Erwins Enkel GmbH beim Betrieb von Kudos unter getkudos.eu und getkudos.de als Verantwortliche verarbeitet.

1. Verantwortlicher

Erwins Enkel GmbH
Viktoriastraße 45
65189 Wiesbaden
Deutschland

Vertreten durch den Geschäftsführer Patrick Lenz.

Datenschutzanfragen: datenschutz@getkudos.eu

Ein Datenschutzbeauftragter ist nicht benannt, da die gesetzlichen Voraussetzungen (§ 38 BDSG) nicht vorliegen.

2. Geltungsbereich: eigene Verarbeitung und Auftragsverarbeitung

Kudos ist ein Dienst für IT-Dienstleister („Kunden"). Die Daten, die Kunden in Kudos verarbeiten, verarbeiten wir im Auftrag des Kunden nach Art. 28 DSGVO. Verantwortlicher ist dann der Kunde. Das betrifft insbesondere:

• Mitglieder: Beschäftigte des Kunden, die Kudos nutzen, mit ihren Bewertungen, Anerkennungen, Punkten und Prämien;
• Kontakte: Ansprechpartner der Kunden unserer Kunden, die über einen Bewertungslink eine Bewertung abgeben. Für sie gilt der Datenschutzhinweis des jeweiligen IT-Dienstleisters, auf den die Bewertungsseite verlinkt.

Anfragen zu diesen Daten richten Sie bitte an den jeweiligen Kunden. Erreichen sie uns, leiten wir sie an ihn weiter. Einzelheiten regelt der Auftragsverarbeitungsvertrag (AVV).

Verbindet ein Kunde Anwendungen Dritter mit Kudos, etwa KI-Anwendungen über die MCP-Schnittstelle oder über API-Tokens, gelangen Daten auf seine Veranlassung und in seiner Verantwortung zu diesen Anbietern. Diese Anbieter sind weder unsere Auftragsverarbeiter noch Empfänger in unserem Auftrag.

Dieser Hinweis betrifft die Verarbeitung, für die wir selbst verantwortlich sind (Abschnitte 3 bis 8).

3. Aufruf der Website und Hosting

Kudos läuft auf Servern der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, in Rechenzentren in Deutschland. netcup ist unser Auftragsverarbeiter (Art. 28 DSGVO).

Beim Aufruf einer Seite verarbeiten wir technisch notwendig Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse sowie die Angaben Ihres Browsers (User-Agent). Die IP-Adresse nutzen wir ausschließlich flüchtig im Arbeitsspeicher, um Anfragen pro Absender zu begrenzen und Missbrauch abzuwehren; sie wird nicht gespeichert. Zugriffsprotokolle führen wir nicht.

Fehlerprotokolle der Anwendung enthalten keine IP-Adressen. Sie können interne Kennungen und im Fehlerfall Inhalte der betroffenen Vorgänge enthalten. Sie werden bei Erreichen einer festen Größe fortlaufend überschrieben.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Verbindung ist durchgehend TLS-verschlüsselt.

4. Cookies

Kudos setzt nur Cookies, die für den Dienst technisch erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG):

Wir setzen keine Cookies oder vergleichbaren Techniken zu Analyse-, Tracking- oder Werbezwecken ein und binden keine Dienste Dritter (Schriften, Skripte, Karten) in die Seiten ein.

5. Anmeldung

Anmeldelinks per E-Mail. Geben Sie auf der Startseite Ihre E-Mail-Adresse ein, senden wir Ihnen Anmeldelinks zu den Mandanten in Kudos, in denen Sie Mitglied sind. Die Adresse verwenden wir nur dafür. Bis zum Versand liegt sie in einer Warteschlange in unserer Datenbank; erfolglose Versuche wiederholen wir bis zu zehn Mal innerhalb weniger Stunden. Der Auftrag samt Adresse wird 7 Tage nach dem Versand oder dem letzten Fehlversuch gelöscht, ein nie bearbeiteter Auftrag nach 14 Tagen. Scheitert der Versand endgültig, kann die Adresse im Fehlerprotokoll stehen (Abschnitt 3). In Datensicherungen bleibt sie bis zu 30 weitere Tage erhalten. Den Versand übernimmt Sendinblue SAS (Brevo), 9–17 rue Salneuve, 75017 Paris, Frankreich, als Auftragsverarbeiter mit Servern in der EU.

Anmeldung über einen Identity Provider. Meldet sich ein Mitglied über den vom Kunden eingerichteten Identity Provider an (z. B. Microsoft Entra ID, ein anderer OpenID-Connect-Dienst oder GitHub), erhalten wir von diesem eine Kennung, Name und E-Mail-Adresse. Welcher Anbieter dabei Daten erhält, bestimmt der Kunde.

Rechtsgrundlage ist die Erfüllung des Vertrags mit dem Kunden und unser berechtigtes Interesse an einer sicheren Anmeldung (Art. 6 Abs. 1 lit. b und f DSGVO).

6. Kundenkonto, Vertrag und Abrechnung

Für Abschluss, Durchführung und Abrechnung des Vertrags mit dem Kunden verarbeiten wir:

• Firma, Anschrift, Umsatzsteuer-Identifikationsnummer;
• Name und geschäftliche E-Mail-Adresse der Ansprechpartner und Administratoren;
• die akzeptierten Fassungen von AGB und AVV mit Zeitpunkt der Annahme;
• die Zahl aktiver Mitglieder als Abrechnungsgrundlage, Rechnungen und Zahlungsstatus.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Vertrag), lit. c (handels- und steuerrechtliche Pflichten) und lit. f (Nachweis des Vertragsschlusses, Durchsetzung von Ansprüchen). Wir speichern diese Daten für die Dauer des Vertrags und danach, soweit gesetzliche Aufbewahrungspflichten bestehen (§ 147 AO, § 257 HGB: Rechnungen und andere Buchungsbelege acht Jahre, Bücher und Jahresabschlüsse zehn Jahre). Den Nachweis von Registrierung und Vertragsschluss (Name und E-Mail-Adresse des Administrators, akzeptierte Fassungen) bewahren wir nach Löschung des Mandanten bis zum Ende der Verjährungsfrist auf (drei Jahre ab Ende des Löschjahres, §§ 195, 199 BGB) und pseudonymisieren ihn danach.

7. Zahlungsabwicklung durch Stripe

Zahlungen wickelt die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland („Stripe") ab. Stripe verarbeitet die Zahlungsdaten (insbesondere Kartendaten, Name, E-Mail-Adresse, Rechnungsanschrift) als eigener Verantwortlicher, unter anderem zur Betrugsprävention und zur Erfüllung eigener gesetzlicher Pflichten. Kartendaten erhalten wir nicht; wir erhalten von Stripe nur den Zahlungsstatus und Rechnungsdaten.

Stripe kann Daten an die Stripe, Inc. in den USA übermitteln. Grundlage ist die Zertifizierung von Stripe, Inc. unter dem EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO) und ergänzend die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Rechtsgrundlage für die Übermittlung an Stripe ist Art. 6 Abs. 1 lit. b DSGVO. Näheres: Datenschutzerklärung von Stripe.

8. Kontakt per E-Mail

Schreiben Sie uns (z. B. an support@getkudos.eu oder datenschutz@getkudos.eu), verarbeiten wir Ihre Angaben zur Bearbeitung Ihres Anliegens (Art. 6 Abs. 1 lit. b oder f DSGVO). Wir löschen sie, wenn das Anliegen erledigt ist und keine Aufbewahrungspflichten bestehen.

9. Empfänger

Personenbezogene Daten erhalten außer uns nur:

• netcup GmbH (Hosting, Deutschland) und Sendinblue SAS/Brevo (E-Mail-Versand, EU) als Auftragsverarbeiter;
• Stripe als eigener Verantwortlicher für Zahlungen (Abschnitt 7);
• Steuerberater und Behörden, soweit gesetzlich erforderlich.

Eine Übermittlung in Drittländer findet außer im Fall von Abschnitt 7 nicht statt.

10. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Haben Sie eine Einwilligung erteilt, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen.

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Wenden Sie sich dafür an datenschutz@getkudos.eu.

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der für uns zuständigen: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden.

11. Pflicht zur Bereitstellung, automatisierte Entscheidungen

Die Angaben nach Abschnitt 6 sind für den Vertragsschluss erforderlich; ohne sie können wir den Dienst nicht bereitstellen. Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

12. Änderungen

Wir passen diesen Hinweis an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.