Datenschutzerklärung

1. Verantwortlicher und Datenschutzbeauftragter

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes ist:

M-Tech Support, Inhaber Tobias Michel
Bahnhofstraße 51, 66892 Bruchmühlbach-Miesau, Deutschland
Vertreten durch: Tobias Michel (Inhaber)
E-Mail: info@truststar.eu

Ein externer Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Schwellenwerte (Art. 37 DSGVO, § 38 BDSG) nicht erreicht sind. Datenschutzanfragen bearbeitet der Inhaber persönlich unter info@truststar.eu oder postalisch mit dem Zusatz „vertraulich – Datenschutz“.

2. Begriffe und Grundsätze

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO), etwa Name, E-Mail-Adresse oder IP-Adresse. Verarbeitung ist jeder Vorgang im Umgang mit solchen Daten, also auch das Speichern, Auslesen oder Löschen.

Wir verarbeiten personenbezogene Daten ausschließlich, wenn eine Rechtsgrundlage besteht. In der Regel ist das:

• Art. 6 Abs. 1 lit. a DSGVO – Ihre Einwilligung (z. B. Statistik-Cookies, Newsletter),
• Art. 6 Abs. 1 lit. b DSGVO – zur Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen (z. B. Unternehmenskonto, Supportanfrage),
• Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse am sicheren und wirtschaftlichen Betrieb der Plattform (z. B. Server-Protokolle, Missbrauchsprävention).

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

3. Server-Protokolle und Hosting

Beim Aufruf einer Seite übermittelt Ihr Browser technisch bedingt Daten an unseren Webserver. Wir speichern dabei in sogenannten Server-Logfiles:

• IP-Adresse in gekürzter bzw. gehashter Form (je nach Hosting-Konfiguration; eine Rückführung auf Ihren Anschluss ist uns damit nicht möglich),
• Datum und Uhrzeit des Zugriffs,
• abgerufene Ressource bzw. Seite,
• übertragene Datenmenge und HTTP-Statuscode,
• Referrer-URL (zuvor besuchte Seite),
• verwendeter Browser und dessen Version sowie das Betriebssystem.

Zweck: Sicherstellung eines störungsfreien Betriebs, Abwehr von Angriffen (z. B. Massenanfragen, Eintragungsversuche in Formulare), Auslastungssteuerung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse am sicheren Betrieb. Speicherdauer: 7 Tage, danach automatische Löschung; bei einem konkreten Sicherheitsvorfall bis zum Abschluss der Aufklärung.

Die Website wird auf Servern der Hostinger International Ltd., 61 Lordou Vironos str., 6023 Larnaca, Zypern (EU), betrieben – einem Hosting-Anbieter innerhalb der Europäischen Union (Rechenzentrum in der EU). Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO (Data Processing Addendum, siehe hostinger.com/legal/dpa). Sämtliche Verbindungen sind TLS-verschlüsselt (HTTPS).

4. Nutzung der Suche und der Profile

Die Unternehmenssuche funktioniert ohne Konto und ohne Cookie. Wenn Sie einen Suchbegriff eingeben, wird dieser als Parameter an unsere Serverschnittstelle api/customer-preview.php?action=search übermittelt und dort ausschließlich zur Abfrage der Datenbank verwendet. Eine Zuordnung zu Ihrer Person erfolgt nicht, es wird kein Suchprofil angelegt.

Beim Aufruf eines Unternehmensprofils übermitteln wir die numerische Kennung des Unternehmens (?action=reviews&id=…). Auch hier gilt: Es werden keine personenbezogenen Daten des Besuchers gespeichert, außer den unter Ziffer 3 genannten Zugriffsdaten.

Aus Gründen der Leistung und des Schutzes der Google-Schnittstelle werden Abfrageergebnisse kurzzeitig zwischengespeichert (Cache-Control: 5 Minuten). Dieser Zwischenspeicher enthält ausschließlich Unternehmensdaten, keine Besucherdaten.

5. Abgabe von Bewertungen

Wenn Sie eine Bewertung veröffentlichen, verarbeiten wir folgende Angaben:

• Anzeigename – wird öffentlich dargestellt. Sie können ein Pseudonym wählen, z. B. „Sabrina K.“,
• Sternewertung und Bewertungstext – werden öffentlich dargestellt,
• E-Mail-Adresse – dient der Verifizierung und der Kontaktaufnahme bei Rückfragen; sie wird niemals veröffentlicht,
• Zeitpunkt der Abgabe – wird als Datum öffentlich dargestellt,
• optional: Auftrags- oder Rechnungsnummer – nur zur Verifizierung des Auftrags, nicht öffentlich,
• gehashte IP-Adresse zum Zeitpunkt der Abgabe (SHA-256-Salt-Hash, nicht rückführbar) – zur Missbrauchsprävention, Löschung nach 30 Tagen.

Zweck: Veröffentlichung Ihrer Meinung als Beitrag zur Markttransparenz, Prüfung auf Einhaltung unserer Bewertungsrichtlinien, Verteidigung gegen Rechtsansprüche. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Ihre ausdrückliche Bestätigung im Formular) sowie Art. 6 Abs. 1 lit. f DSGVO für die Missbrauchsprävention.

Bestätigungs-Flow bei Bewertungen ohne Code (Website oder Widget): Ihre Bewertung wird zunächst nicht öffentlich gespeichert (Status „wartet auf Bestätigung“). Das Unternehmen erhält eine Meldung, die ausschließlich Ihren Anzeigenamen, das Datum und Ihre kurze Angabe „Worum ging es?“ (z. B. „Malerarbeiten“, „Einkauf“) enthält – Text und Sterne bleiben verborgen. Die Bezug-Angabe hilft dem Betrieb, Sie zuzuordnen, ohne Ihre Bewertung vorab zu kennen. Bestätigt der Betrieb Ihre Kundeneigenschaft, wird die Bewertung veröffentlicht und erst danach für das Unternehmen lesbar; bei Ablehnung bleibt sie unveröffentlicht und Sie werden informiert (sofern eine E-Mail angegeben war). So kann niemand Bewertungen nach Inhalt filtern – und Betriebe sind vor Bewertungen durch Nicht-Kunden geschützt.

Bewertungen mit Bewertungscode (QR-Kärtchen) gelten sofort als verifiziert, weil der Code einem konkreten Auftrag zugeordnet ist; sie werden unmittelbar veröffentlicht.

In beiden Fällen erhält das Unternehmen niemals Ihre E-Mail-Adresse.

Selbstverwaltung Ihrer Bewertung: Sie erhalten nach dem Absenden eine Eingangsbestätigung mit einem persönlichen Verwaltungslink (zusätzlich auf der Danke-Seite nach dem Scannen einer Bewertungskarte, sofern Sie dort Ihre E-Mail-Adresse angegeben haben). Über diesen Link können Sie Ihre Bewertung innerhalb von 30 Tagen ändern (Sterne, Bezug und Text – solange das Unternehmen nicht öffentlich geantwortet hat), sie jederzeit zurückziehen oder nach Ablauf der Frist eine Ergänzung anfügen, die als solche gekennzeichnet wird. Technisch hinterlegen wir dafür ein zufälliges, nur Ihnen bekanntes Zugangsmerkmal (confirm_token, 48 Hex-Zeichen) bei der Bewertung; es ist der einzige Nachweis für den Zugriff – behandeln Sie den Link daher wie ein Passwort. Das Merkmal wird beim Zurückziehen der Bewertung sowie bei zurückgezogenen, abgelehnten oder moderativ entfernten Beiträgen gelöscht. Änderungen kennzeichnen wir öffentlich als „bearbeitet"; den Text vor der Änderung speichern wir intern (previous_comment), ausschließlich um bei Meldungen oder Widersprüchen den ursprünglichen Inhalt prüfen zu können – er wird niemals angezeigt. Ohne Link oder formlos löschen wir Ihre Bewertung ebenfalls jederzeit: loeschung@truststar.eu. Nach einer Löschung entfernen wir den Beitrag und die zugehörige E-Mail-Adresse unverzüglich, sofern keine Aufbewahrungspflicht besteht – etwa weil ein Prüf- oder Gerichtsverfahren läuft.

Bewertungskarten, QR-Codes und Kurzlinks: Zur offline-gestützten Bewertungsgewinnung stellen wir Unternehmen Bewertungskarten mit individuellen Codes bereit. Der QR-Code verweist auf unsere Bewertungs-URL mit dem Code bzw. auf eine Kurzlink-Domain (z. B. tsta.eu/CODE), die ausschließlich auf diese URL weiterleitet. Beim Aufruf prüfen wir Gültigkeit und Einlösestatus des Codes; der Code ist pseudonym und lässt ohne zusätzliche Daten keinen Personenbezug zu. Zugriffe werden technisch wie normale Seitenaufrufe behandelt (Server-Protokolle gem. Abschnitt 3, Rate-Limits gegen Missbrauch); es werden keine zusätzlichen Tracker oder Cookies gesetzt. Codes werden dem Unternehmen zugeordnet gespeichert und mit Ablauf/Löschung des Kontos gelöscht.

6. Unternehmenskonto und Profilverwaltung

Für Unternehmen, die ein Profil beanspruchen oder einen kostenpflichtigen Tarif buchen, verarbeiten wir:

• Firmierung, Anschrift, Branche, Website, Google-Place-ID,
• Name, dienstliche E-Mail-Adresse und Telefonnummer der Ansprechperson,
• Zugangsdaten in gehashter Form (bcrypt/argon2, keine Klartextpasswörter),
• Texte der öffentlichen Antworten auf Bewertungen,
• Rechnungs- und Vertragsdaten bei kostenpflichtigen Tarifen,
• Gewerbenachweis zur Prüfung der Inhaberschaft (z. B. Gewerbeanmeldung, Handelsregisterauszug, Handwerkskarte oder eine aktuelle Geschäftsrechnung mit Firmierung) – Upload als PDF oder Foto, seit Oktober 2026 auch als mehrere Dateien (z. B. jede Seite als eigenes Foto, höchstens fünf Dateien je Antrag). Diese Dateien liegen in einem web-gesperrten Bereich unseres Servers; einsehen kann sie ausschließlich unser Prüfteam, sie werden niemals öffentlich angezeigt und nicht an Dritte übermittelt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen) sowie Art. 6 Abs. 1 lit. f DSGVO für die Prüfung der Inhaberschaft. Speicherdauer: für die Dauer des Vertragsverhältnisses; danach entsprechend den handels- und steuerrechtlichen Aufbewahrungsfristen (§ 147 AO, § 257 HGB) in der Regel 6 bis 10 Jahre, beschränkt auf die aufbewahrungspflichtigen Unterlagen.

Zwei-Faktor-Anmeldung: Administrator-Zugänge sind verpflichtend, Unternehmenskonten optional mit einer Zwei-Faktor-Anmeldung (TOTP, RFC 6238) geschützt. Dafür speichern wir das serverseitige Base32-Geheimnis, gehashte Einmal-Wiederherstellungscodes (SHA-256), den Einrichtungs- und Bestätigungszeitpunkt sowie fehlgeschlagene Anmeldeversuche (Konto/E-Mail, Zeitpunkt, IP-Hash) für ein Sperrfenster von 15 Minuten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (Zugangsschutz, Integrität der Konten).

Rechnungsstellung, Zahlungsabgleich und Mahnwesen (Lexware Office): Für kostenpflichtige Tarife und Kartenbestellungen erstellen wir Rechnungen und Mahnbelege elektronisch in unserem Buchhaltungssystem Lexware Office (Anbieter: Haufe-Lexware GmbH & Co. KG, Freiburg i. Br., Deutschland). Die Verarbeitung erfolgt in Deutschland im Rahmen einer Auftragsverarbeitung nach Art. 28 DSGVO. Übermittelt werden: Firmenname, Rechnungsanschrift, geschäftliche E-Mail-Adresse, Telefonnummer, Name der Ansprechperson, USt-IdNr. (sofern von Ihnen hinterlegt), Tarif/Abrechnungszeitraum, Bestell- und Betragsdaten sowie der Zahlungsstatus. Zweck: ordnungsgemäße Rechnungsstellung (§ 14 UStG), Forderungsmanagement, Mahnwesen und Zahlungsabgleich. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und lit. c DSGVO (handels-/steuerrechtliche Aufbewahrung, § 147 AO, § 257 HGB). Die erzeugten Rechnungs-PDFs speichern wir zusätzlich in einem web-gesperrten Bereich unseres Servers; Rechnungen können Ihnen per E-Mail zugestellt werden. Eingehende Statusmeldungen (Webhooks) prüfen wir kryptographisch (RSA-Signatur). Speicherdauer: 6 bis 10 Jahre entsprechend den gesetzlichen Aufbewahrungsfristen.

Unternehmensprofile aus offenen Geodaten (OpenStreetMap)

Wir pflegen einen Teil der Unternehmens-Stammdaten (Name, Anschrift, Branche, Website) aus der freien Geodatenbank OpenStreetMap (OSM) (© OpenStreetMap-Mitwirkende, Lizenz ODbL) ein. Die Übernahme erfolgt zweistufig: Rohdaten werden intern gesichtet; ein Profil wird erst nach ausdrücklicher Freigabe durch uns veröffentlicht und dann auf der Profilseite entsprechend gekennzeichnet (©-Hinweis, Datenstand, Link zur Beanspruchung oder Entfernung).

Zweck und Rechtsgrundlage: Bereitstellung eines regionalen Bewertungsverzeichnisses und Erleichterung der Profilbeanspruchung durch den jeweiligen Betrieb; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem vollständigen, aktuellen Verzeichnis; die Daten stammen aus einer öffentlich zugänglichen Quelle). Es werden bewusst keine E-Mail- Adressen oder Telefonnummern aus OSM übernommen und die Daten werden nicht für Werbeanschreibungen verwendet.

Information nach Art. 14 DSGVO: Quelle ist die OpenStreetMap- Datenbank (openstreetmap.org); gespeichert werden Name, Anschrift, Branche, Website sowie Importdatum und OSM-Kennung. Die Daten verbleiben, bis der Betrieb das Profil beansprucht (dann gelten die Kontodaten), die Entfernung verlangt (umgehende Löschung bzw. Sperrung) oder sich herausstellt, dass der Betrieb nicht mehr existiert. Widerspruch: Jeder Betrieb kann der Listung jederzeit ohne Angabe von Gründen widersprechen – formlos über das Kontaktformular oder per E-Mail an die im Impressum genannte Adresse; die Entfernung erfolgt in der Regel innerhalb von 7 Tagen.

Profil beanspruchen: Nutzen Sie den Link „jetzt beanspruchen" auf Ihrem Profil, verarbeiten wir Ihre Formularangaben (Name, E-Mail-Adresse, freiwillig Telefonnummer und Nachricht) ausschließlich, um Ihre Berechtigung zu prüfen und Ihnen nach Genehmigung den Kontozugang einzurichten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen bzw. Vertrag) und lit. f (Schutz vor unberechtigten Übernahmen). Die Anfrage wird bis zum Abschluss der Prüfung dokumentiert und anschließend nach den für Kontaktanfragen geltenden Fristen gelöscht; erteilen Sie nach Genehmigung einen Nachweis (z. B. Gewerbe- anmeldung), gilt hierfür der Abschnitt „Unternehmens-Verifizierung".

Newsletter (Double-Opt-in)

Auf Wunsch informieren wir Sie ca. 1× pro Monat per Newsletter über neue Funktionen, Praxis-Tipps und Produkt-Neuigkeiten. Die Anmeldung erfolgt über eine ausdrückliche, optionale Checkbox beim Profil-Antrag oder im Firmen-Portal. Aktiv wird der Newsletter erst, nachdem Sie ihn per separater E-Mail bestätigt haben (Double-Opt-in) – ohne Bestätigung wird keinerlei Newsletter-Versand ausgelöst und die Vormerkung verfällt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Wir dokumentieren Ihre Bestätigung mit Zeitstempel und Anmelde-Weg als Consent-Nachweis (Art. 7 Abs. 1 DSGVO). Der Versand läuft über unseren eigenen Mailserver in der EU – kein Drittanbieter, keine Weitergabe an Werbenetzwerke, kein Tracking in den Mails außer dem für den Widerruf nötigen Abmelde-Link.

Widerruf: Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – per Schalter im Firmen-Portal (Dashboard → Einstellungen) oder über den Abmelde-Link am Ende jeder Newsletter-E-Mail (ohne Login). Nach dem Widerruf wird der Status auf „abgemeldet" gesetzt; der Consent-Nachweis bleibt zur Dokumentation gespeichert.

7. Google Business Profile API

Um die Google-Gesamtwertung in den Unternehmensprofilen anzuzeigen, rufen wir über die offizielle Google Business Profile API (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) ausschließlich solche Daten ab, die das betreffende Unternehmen selbst öffentlich freigegeben hat:

• Name des Unternehmensprofils,
• Gesamtnote und Anzahl der Ratings,
• öffentlich sichtbare Rezensionstexte, Anzeigenamen der Rezensenten, relative Zeitangabe und Sternewertung – ausschließlich für die interne Auswertung (Stimmungsbild bzw. KI-Analyse im Firmen-Dashboard); eine öffentliche Wiedergabe einzelner Google-Rezensionen findet nicht statt.

Die abgerufenen Daten speichern wir in einer Cache-Tabelle (google_reviews_cache) auf unseren eigenen Servern in der EU. Öffentlich angezeigt werden davon ausschließlich Gesamtnote und Anzahl der Ratings – klar als Google-Wertung gekennzeichnet und mit dem Google-Profil verlinkt. Ist der Zwischenspeicher älter als 30 Tage, wird die Google-Wertung nicht mehr angezeigt (keine veralteten Daten). Der Abruf erfolgt in festen Intervallen (standardmäßig täglich) oder auf ausdrücklichen Wunsch des Unternehmens. Beim Besuch einer TrustStar-Seite wird keine Verbindung zu Google-Servern hergestellt; es werden keine Google-Schriften, -Skripte oder -Bilder nachgeladen und keine Cookies von Google gesetzt. Die Anzeige des Google-Symbols erfolgt als lokale Vektorgrafik.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einer vollständigen und aktuellen Darstellung öffentlich zugänglicher Unternehmensbewertungen. Für die Nutzung der Schnittstelle gelten ergänzend die Google APIs Terms of Service und die Google-Datenschutzerklärung; eine Verknüpfung mit einem Google-Konto findet von unserer Seite nicht statt.

Wenn Sie eine Google-Rezension löschen lassen möchten, wenden Sie sich bitte direkt an Google, da wir lediglich eine Kopie für interne Auswertungen halten und keine Rezensionstexte veröffentlichen. Zusätzlich entfernen wir die Kopie aus unserem Zwischenspeicher, sobald Sie uns einen Nachweis der Löschung vorlegen; spätestens bei der nächsten Synchronisierung wird der Eintrag ohnehin nicht mehr übernommen.

8. Kontaktformular und E-Mail

Bei Kontaktaufnahme per Formular, E-Mail oder Telefon verarbeiten wir die von Ihnen mitgeteilten Angaben (Name, E-Mail-Adresse, gegebenenfalls Telefonnummer, Unternehmen und Nachrichteninhalt) zur Bearbeitung Ihres Anliegens. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei vertraglichen oder vorvertraglichen Anfragen, ansonsten Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung) bzw. Art. 6 Abs. 1 lit. a DSGVO, soweit Sie im Formular eingewilligt haben.

Die Daten löschen wir, sobald Ihr Anliegen abschließend geklärt ist und keine Aufbewahrungspflichten entgegenstehen – in der Regel nach 12 Monaten. Für Meldungen nach § 10 DDG gilt eine Frist von 3 Jahren ab Abschluss des Prüfvorgangs, um unsere Entscheidungspraxis nachweisen zu können.

Der Versand der Formularnachrichten erfolgt über unseren eigenen Mailserver in der EU; ein US-Transaktionsdienst wird nicht eingesetzt.

9. Cookies und ähnliche Technologien

Wir setzen Cookies und den Browserspeicher (localStorage) ein. Technisch notwendige Einträge dienen ausschließlich dazu, die Website auszuliefern und abzusichern; sie werden auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO sowie § 25 Abs. 2 Nr. 2 TDDDG gespeichert. Alle übrigen Einträge setzen wir nur nach Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG.

Es werden keine Cookies von Werbenetzwerken, Social-Media-Plugins, Kartendiensten oder externen Schriftanbietern gesetzt. Alle Icons, Grafiken und das Logo sind lokal eingebundene Vektorgrafiken.

10. Einwilligung, Widerruf und Cookie-Einstellungen

Beim ersten Besuch erscheint ein Hinweis, in dem Sie Statistik- und Marketing-Einträge einzeln aktivieren oder ablehnen können. Ihre Entscheidung wird mit Zeitstempel lokal in Ihrem Browser gespeichert (Local Storage, Eintrag „ts_consent_v1“) – damit der Hinweis nicht bei jedem Besuch erneut erscheint und Ihre Wahl jederzeit nachvollziehbar und änderbar ist. Derzeit verarbeiten wir über die technisch notwendigen Cookies hinaus keine Daten, für die eine Einwilligung nötig wäre; sobald Statistik- oder Marketing-Funktionen aktiviert werden, protokollieren wir Ihre Einwilligung zusätzlich serverseitig (Nachweis nach Art. 7 Abs. 1 DSGVO).

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – entweder über die Seite Cookie-Einstellungen oder indem Sie die entsprechenden Einträge in Ihrem Browser löschen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt vom Widerruf unberührt.

11. Empfänger und Auftragsverarbeiter

Eine Weitergabe Ihrer Daten an Dritte erfolgt nur, soweit dies gesetzlich erlaubt oder erforderlich ist. Kategorien von Empfängern sind:

• Hosting- und Infrastruktur-Dienstleister – Hostinger International Ltd., Larnaca, Zypern (EU): Server, Backups, E-Mail-Versand – Auftragsverarbeitung nach Art. 28 DSGVO,
• das betroffene Unternehmen – nur die unter Ziffer 5 genannten, nicht personenidentifizierenden Angaben zur Bewertung,
• Zahlungsdienstleister, Steuerberatung und Buchhaltung – einschließlich unseres Rechnungssystems Lexware Office (Haufe-Lexware GmbH & Co. KG, Freiburg i. Br., Deutschland; Auftragsverarbeitung nach Art. 28 DSGVO) für Rechnungstellung, Zahlungsabgleich und Mahnwesen – ausschließlich bei kostenpflichtigen Tarifen bzw. Kartenbestellungen,
• Rechtsberatung und Gerichte – im Fall von Streitigkeiten oder behördlichen Auskunftsersuchen,
• Wartungsdienstleister mit möglichem Zugriff auf die Systeme im Rahmen eines Auftragsverarbeitungsvertrags.

Ein Verkauf von Daten, eine Übermittlung an Auskunfteien oder eine Nutzung zu Werbezwecken Dritter findet nicht statt.

12. Datenübermittlung in Drittländer

Eine Übermittlung personenbezogener Daten in Staaten außerhalb der EU bzw. des EWR findet grundsätzlich nicht statt. Unsere Server und Dienstleister befinden sich in Deutschland bzw. innerhalb der EU.

Ausnahme: Beim Abruf öffentlich einsehbarer Google-Wertungsdaten über die Google Business Profile API kann eine Verarbeitung durch Google Ireland Limited erfolgen; eine Weitergabe an die Google LLC in den USA ist dabei nach den Angaben von Google nicht ausgeschlossen. Rechtsgrundlage hierfür ist Art. 49 Abs. 1 lit. g DSGVO in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO, da es sich um aus einem öffentlichen Register bzw. einer öffentlich zugänglichen Quelle stammende Angaben handelt. Google ist nach dem EU-US Data Privacy Framework zertifiziert; es bestehen zudem Standardvertragsklauseln. Wir übertragen dabei ausschließlich die Place-ID des Unternehmens, niemals Daten von Besuchern dieser Website.

13. Speicherdauer und Löschung

Hinweis für Unternehmen: Widget-Einbindung auf der eigenen Website

Wenn Sie als Unternehmen das TrustStar-Bewertungswidget auf Ihrer Website einbinden, sind Sie für die Einbindung Verantwortliche:r (Art. 24 DSGVO). Beim Laden des Widgets werden Widget-Inhalte von unseren Servern (Deutschland/EU) an die Besucher:innen Ihrer Seite ausgeliefert; dabei werden technisch notwendige Verbindungsdaten (u. a. IP-Adresse in gekürzter bzw. gehashter Form, Zeitpunkt, Seite) verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Darstellung Ihrer eigenen Kundenbewertungen). Ein kopierfertiger Baustein für Ihre Datenschutzerklärung:

„Diese Seite bindet das Bewertungs-Widget der TrustStar (M-Tech Support, Inhaber Tobias Michel, Bahnhofstraße 51, 66892 Bruchmühlbach-Miesau) ein. Beim Laden werden Widget-Inhalte von Servern der TrustStar in Deutschland/EU geladen; dabei werden technisch notwendige Verbindungsdaten (u. a. IP-Adresse in gekürzter bzw. gehashter Form, Zeitpunkt, aufgerufene Seite) verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an der Darstellung eigener Kundenbewertungen. Weitere Informationen: truststar.eu/datenschutz."

Den jeweils aktuellen Baustein finden Sie jederzeit unter truststar.eu/datenschutz#widget-einbindung.

14. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO) – ob und welche Daten wir verarbeiten, zu welchen Zwecken, mit welchen Empfängern und welcher Speicherdauer,
• Berichtigung (Art. 16 DSGVO) – Korrektur unrichtiger oder Vervollständigung unvollständiger Daten,
• Löschung (Art. 17 DSGVO) – etwa wenn der Zweck entfällt oder Sie Ihre Einwilligung widerrufen,
• Einschränkung der Verarbeitung (Art. 18 DSGVO) – z. B. während der Prüfung eines Widerspruchs,
• Datenübertragbarkeit (Art. 20 DSGVO) – Bereitstellung in einem strukturierten, gängigen, maschinenlesbaren Format,
• Widerspruch (Art. 21 DSGVO) – gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen, aus Gründen Ihrer besonderen Situation,
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO) – jederzeit mit Wirkung für die Zukunft.

Zur Ausübung genügt eine formlose Nachricht an datenschutz@truststar.eu oder an die im Impressum genannte Anschrift. Wir beantworten Ihr Anliegen unentgeltlich innerhalb eines Monats; in begründeten Fällen verlängert sich die Frist um zwei weitere Monate, worüber wir Sie informieren. Zur Identifizierung können wir zusätzliche Angaben verlangen – niemals aber Kopien von Ausweisdokumenten per E-Mail, sofern nicht gesetzlich gefordert.

15. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Für uns zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz
Hintere Bleiche 34, 55116 Mainz
www.datenschutz.rlp.de

16. Sicherheit und Meldung von Vorfällen

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere: ausschließliche TLS-Verschlüsselung, gehashte Passwörter, vorbereitete SQL-Abfragen (keine String-Konkatenation), Zugriffsbeschränkung auf benötigte Mitarbeiter, verschlüsselte Backups, Protokollierung administrativer Zugriffe, Zwei-Faktor-Authentifizierung für Administrator-Zugänge (TOTP, für Unternehmenskonten optional), kryptographische Signaturprüfung eingehender Webhooks und regelmäßige Aktualisierung der Komponenten. Unsere Schnittstellen sind gegen Massenanfragen und Eintragungsversuche rate-limitiert.

Verletzungen des Schutzes personenbezogener Daten melden wir der Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden und informieren die Betroffenen, wenn ein hohes Risiko für ihre Rechte und Freiheiten besteht (Art. 33, 34 DSGVO).

17. Aktualität und Änderung dieser Erklärung

Diese Datenschutzerklärung ist aktuell gültig und hat den Stand vom 28. September 2026. Durch die Weiterentwicklung unserer Website oder aufgrund geänderter gesetzlicher beziehungsweise behördlicher Vorgaben kann es notwendig werden, sie anzupassen. Die jeweils aktuelle Fassung finden Sie jederzeit unter truststar.eu/datenschutz.html. Über wesentliche Änderungen informieren wir registrierte Unternehmen zusätzlich per E-Mail.