Refama - Datenschutzerklärung (Version 1.5) - Stand: November 2026
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Geschäftsführer: Dr. Frank Heimbürger E-Mail: kontakt@refama.de Telefon: +49 2154 8910459 Handelsregister: Amtsgericht Krefeld, HRB 21962
Diese Datenschutzerklärung beschreibt die Verarbeitung personenbezogener Daten im Zusammenhang mit der Website refama.de und den darüber angebotenen Refama-Diensten. Dazu gehören die Reputation-Checks für Personen und Unternehmen (Digital-Ruf-Check, Verify Business, Executive-Check, Compliance, Cyber Security, KI-Check, Business-Partner-Check, Scam- und Echtheitschecks), die Bündel Refama Privat und Refama Business, das Cockpit, Workbooks und weitere Werkzeuge, Monitoring, Schutz, Aufbau, Nachlass sowie die Buchungs- und Zahlungsprozesse.
Welche personenbezogenen Daten Refama verarbeitet, hängt von der jeweiligen Nutzung ab:
Die Verarbeitung personenbezogener Daten durch Refama erfolgt auf folgenden Rechtsgrundlagen:
Die Refama-App wird auf der Plattform von Base44 betrieben. Base44 ist Auftragsverarbeiter im Sinne des Art. 28 DSGVO. Base44 erbringt für Refama folgende Dienstleistungen:
Die Anwendungsdaten der Refama-App werden über die Base44-Plattform gespeichert. Refama kann nicht garantieren, dass sämtliche Verarbeitung ausschließlich in der EU stattfindet. Verarbeitung durch Plattformdienste von Base44 kann auch in anderen Regionen erfolgen.
Medien-Dateien, Base44-Kontodetails und Abrechnungsinformationen verbleiben in US-Servern. Eine EU-Verarbeitungsgarantie für die über Base44 verarbeiteten Daten wird nicht gegeben.
Soweit Base44 personenbezogene Daten an Unterauftragsverarbeiter außerhalb der EU/EWR weitergibt, erfolgt dies auf Grundlage des zwischen Refama und Base44 geschlossenen Auftragsverarbeitungsvertrags (DPA). Base44 gibt an, dass deren Unterauftragsverarbeiter durch Datenverarbeitungsvereinbarungen gebunden sind, die Drittlandübermittlungen regeln, und soweit anwendbar genehmigte Transfermechanismen wie Angemessenheitsbeschlüsse, Standardvertragsklauseln (SCC) oder das Data Privacy Framework (DPF) nutzen. Die aktuellen Details sind im Data Processing Agreement von Base44 einsehbar.
Mehrere Refama-Funktionen nutzen KI-gestützte Analysen über die Base44-Integration „InvokeLLM". Die Verarbeitung erfolgt über die Base44-Plattform. Base44 ist hierbei Auftragsverarbeiter von Refama. Die konkrete Modell-Auswahl und der tatsächliche KI-Anbieter werden durch die Base44-Plattform bestimmt.
Refama wählt bei den meisten InvokeLLM-Aufrufen ein explizites Modell aus:
Bei der Bereinigungs-Analyse wird überwiegend gemini_3_flash eingesetzt; einzelne ergänzende Aufrufe überlassen die Modellauswahl der Base44-Plattform (automatic).
Aus Refama-Sicht ist Base44 der Vertragspartner und Auftragsverarbeiter. Die tatsächlichen KI-Modellanbieter (z. B. Google, OpenAI) werden durch Base44 als Unterauftragsverarbeiter eingesetzt. Es kann keine EU-Verarbeitungsgarantie für InvokeLLM-Verarbeitung gegeben werden.
Bei mehreren Checks werden öffentlich verfügbare Informationen aus dem Internet in die KI-gestützte Recherche einbezogen. Dies betrifft insbesondere Compliance-, Cyber-Security-, KI-Check-, Verify-Business-, Business-Partner-, Digital-Ruf-Check-, Scam-, Monitoring-, Business-Monitoring-, Aufbau- und Bereinigungs-Analysen.
Refama hat ein Privacy-Hardening umgesetzt, das sicherstellt, dass keine unnötigen personenbezogenen Kontaktdaten (E-Mail-Adressen, Telefonnummern, Ansprechpartner, postalische Adressen) an InvokeLLM übermittelt werden. Personenbezogene Daten werden nur übermittelt, soweit sie für den jeweiligen Check fachlich erforderlich sind (z. B. Name und Stadt für die Websuche nach öffentlichen Erwähnungen, Unternehmensname und Website für Compliance-Prüfungen).
Für bestimmte KI-Analysen verwendet Refama zusätzlich direkt die Google Gemini Developer API (nicht Vertex AI). Dies betrifft:
Der produktive API-Endpunkt ist generativelanguage.googleapis.com. Es besteht keine regionale EU-Endpunkt-Konfiguration; der globale Standard-Endpunkt wird verwendet. Der von Refama verwendete API-Key gehört zum Paid Tier von Google.
Die hochgeladenen Inhalte (Text, Bilder, PDFs) werden von Refama für die jeweilige Analyse an Gemini übertragen und verarbeitet. Refama speichert die Originaldateien dieser Checks nicht dauerhaft. Die Verarbeitung richtet sich nach den für den Paid Tier geltenden Bedingungen von Google. Eine darüber hinausgehende Aussage über das Speicherverhalten von Google wird für diese Checks nicht getroffen. Die Speicherbedingungen beim Executive Check sind gesondert in Abschnitt 7a geregelt.
Google ist in diesem Fall Unterauftragsverarbeiter im Sinne des Art. 28 DSGVO. Drittlandverarbeitung (USA) ist möglich. Die Transfermechanismen richten sich nach den Google-Bedingungen und den zwischen Refama und Base44 bzw. Google bestehenden vertraglichen Grundlagen.
Der Refama Executive Check ist ein B2B-Dienst für Geschäftskunden. Er dient der evidenzbasierten Recherche der öffentlich sichtbaren digitalen Reputation von Führungskräften und öffentlich exponierten Unternehmensvertretern.
Der beauftragende Geschäftskunde bestimmt die zu recherchierende Person und den geschäftlichen Zweck der Verarbeitung. Der Geschäftskunde ist für diese Verarbeitung Verantwortlicher im Sinne der DSGVO und trägt die Verantwortung für die Rechtmäßigkeit der Beauftragung.
Refama verarbeitet die personenbezogenen Daten im Rahmen des Executive Checks ausschließlich auf dokumentierte Weisung des Geschäftskunden als Auftragsverarbeiter gemäß Art. 28 DSGVO. Die dokumentierte Verarbeitungsweisung ist in der Anlage zur Verarbeitung im Rahmen des Refama Executive Checks (Version 2.1) festgelegt, die der Geschäftskunde vor Beauftragung bestätigt.
Im Rahmen des Executive Checks werden ausschließlich öffentlich zugängliche, berufsbezogene Informationen recherchiert und aufbereitet.
Private Informationen und besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO sind nicht Gegenstand des Executive Checks und werden nicht gezielt verarbeitet.
Der Executive Check erstellt keinen Personen-Score und trifft keine automatisierte Entscheidung über Eignung, Integrität oder Vertrauenswürdigkeit einer Person. Die Ergebnisse dienen ausschließlich der Information des beauftragenden Geschäftskunden.
Für die KI-gestützte Recherche im Executive Check verwendet Refama die kostenpflichtige Google Gemini Developer API (Paid Services) über die Interactions API, einschließlich Google Search Grounding. Google LLC wird hierbei als Unterauftragsverarbeiter im Sinne des Art. 28 DSGVO eingesetzt.
Die Verarbeitung durch Google richtet sich nach Googles „Data Processing Addendum for Products Where Google is a Data Processor", das über die Gemini API Additional Terms in das Vertragsverhältnis einbezogen wird. Es erfasst die personenbezogenen Daten in den übermittelten Prompts und Responses sowie die Verarbeitung im Rahmen von Google Search Grounding.
Refama nutzt die Interactions API mit der Einstellung store:false, wodurch die reguläre Speicherung der Interaction durch die Interactions API deaktiviert wird. Davon unabhängig speichert Google bei Nutzung von Google Search Grounding Prompt, Kontextinformationen und generierten Output für 30 Tage; diese Speicherung kann bei Nutzung von Grounding nicht deaktiviert werden.
Bei der kostenpflichtigen Gemini API (Paid Services) verwendet Google Prompts und Responses nicht zur Verbesserung seiner Produkte. Weitere Aussagen über die Datenverarbeitung durch Google über die hier dokumentierten Punkte hinaus werden nicht getroffen.
Im Rahmen der KI-gestützten Recherche können personenbezogene Daten auch in die USA übermittelt werden. Die Google-Vertragsbedingungen stellen hierfür die erforderlichen Datenschutzmechanismen zur Verfügung, insbesondere die Standardvertragsklauseln (SCC). Google LLC verfügt zudem aktuell über eine aktive Zertifizierung im EU-U.S. Data Privacy Framework.
Der Executive Check nutzt die direkte Google Gemini Interactions API mit Google Search Grounding. Diese Verarbeitung ist nicht Teil der in Abschnitt 6 beschriebenen Base44-InvokeLLM-Verarbeitung und nutzt auch nicht die dort erwähnte Internet-Recherche-Funktion.
Refama trifft gegenüber Nutzern keine ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidungen, die ihnen gegenüber rechtliche Wirkung entfalten oder sie in ähnlich erheblicher Weise beeinträchtigen. KI-basierte Scores, Analysen und Hinweise dienen der Information und Orientierung.
Refama bietet die Anmeldung mit Google an. Der gesamte OAuth-Flow wird über die Base44-Plattform abgewickelt. Refama verwendet keinen eigenen Google OAuth-Client.
Nach erfolgreicher Anmeldung erhält Refama vom Base44-Authentifizierungsdienst folgende Daten: User-ID, E-Mail-Adresse, vollständiger Name und Rollenzuordnung. Weitere Google-Profil- oder Kontodaten werden nicht abgerufen.
Base44 ist Auftragsverarbeiter für diesen Vorgang. Google agiert als Unterauftragsverarbeiter für die Authentifizierung. Drittlandverarbeitung ist möglich.
Die Zahlungsabwicklung erfolgt über Stripe. Stripe übernimmt bei der Verarbeitung personenbezogener Daten je nach Tätigkeit unterschiedliche datenschutzrechtliche Rollen. Soweit Stripe personenbezogene Daten im Auftrag von Refama verarbeitet, handelt Stripe als Auftragsverarbeiter gemäß Art. 28 DSGVO. Für bestimmte eigene Zwecke, insbesondere Betrugsprävention, Geldwäscheprävention und die Erfüllung gesetzlicher Verpflichtungen, handelt Stripe als eigenständig Verantwortlicher. Bei einer Zahlung werden folgende Daten an Stripe übermittelt:
Zusätzlich setzt Refama die Funktion Stripe Tax ein, um die anwendbare Umsatzsteuer automatisch zu berechnen. Hierbei werden das Land des Kunden, die Produktart und der Bestellwert an Stripe übermittelt.
Beim Wechsel auf die Zahlungsseite setzt Stripe eigene Cookies und vergleichbare Technologien ein, die für die sichere Abwicklung der Zahlung und die Betrugsprävention erforderlich sind. Auf diese Speicherung hat Refama keinen Einfluss; es gelten die Cookie- und Datenschutzbestimmungen von Stripe (Abschnitt 15).
Stripe verarbeitet diese Daten gemäß den eigenen Datenschutzbestimmungen von Stripe. Die Stripe-Datenschutzerklärung ist unter stripe.com/de/privacy einsehbar. Eine Verarbeitung personenbezogener Daten außerhalb der EU bzw. des EWR, insbesondere in den USA, ist möglich. Stripe nutzt hierfür je nach Verarbeitung und Empfänger anwendbare Transfermechanismen, insbesondere das EU-U.S. Data Privacy Framework und EU-Standardvertragsklauseln (SCC).
Refama versendet eigene transaktionale und Marketing-E-Mails über den Versanddienst Resend. Resend ist Auftragsverarbeiter im Sinne des Art. 28 DSGVO. Folgende E-Mail-Arten werden über Resend versendet:
Bestimmte systemseitige Authentifizierungs-E-Mails wie die E-Mail-Verifizierung bei der Registrierung und die E-Mail zum Zurücksetzen des Passworts werden dagegen über die Base44-Plattform versendet und nicht über Resend.
Resend speichert Kundendaten einschließlich Nachrichteninhalten und Delivery Logs in den USA. Für Übermittlungen aus dem EWR verwendet Resend insbesondere EU-Standardvertragsklauseln; zusätzlich nimmt Resend am EU-US Data Privacy Framework teil. Eine EU-Datenspeicherung durch Resend wird nicht behauptet.
Absenderadresse für über Resend versendete E-Mails ist service@refama.de, Reply-To ist support@refama.de. Die Resend-Datenschutzerklärung ist unter resend.com/legal/privacy einsehbar.
Geschützte Workbook-Dateien (Vollversionen von Refama-Workbooks) werden in einem privaten Hetzner Object Storage (S3-kompatibel) gespeichert. Hetzner ist Auftragsverarbeiter im Sinne des Art. 28 DSGVO.
Der Zugriff auf die Workbook-Dateien erfolgt ausschließlich über kurzlebige pre-signed URLs mit einer Gültigkeit von 300 Sekunden. Nur berechtigte Nutzer mit aktivem Tool-Entitlement können eine solche URL anfordern. Die Dateien liegen im privaten Storage und sind nicht öffentlich zugänglich.
Die geschützten Workbook-Dateien werden in einem privaten Hetzner Object Storage innerhalb der Europäischen Union gespeichert. Die Hetzner-Datenschutzerklärung ist unter hetzner.com/legal/privacy einsehbar.
Bei B2B-Käufen mit EU-Auslandsbezug prüft Refama die angegebene Umsatzsteuer- Identifikationsnummer automatisch gegen das VIES-System der EU-Kommission (ec.europa.eu/taxation_customs/vies). Dies dient der korrekten Anwendung des Reverse-Charge-Verfahrens nach § 13b UStG.
Hierbei werden die USt-IdNr. und der Ländercode an die VIES-API übermittelt. Die VIES-API kann zusätzlich den registrierten Namen und die Adresse des Unternehmens zurückgeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (steuerrechtliche Verpflichtung).
Refama speichert personenbezogene Daten nur so lange, wie dies für die jeweilige Verarbeitung erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Die folgenden Fristen sind in der produktiven Implementierung umgesetzt:
Executive-Check-Berichte werden bei Refama grundsätzlich maximal 90 Tage gespeichert und anschließend automatisiert gelöscht. Eine vorherige Löschung ist möglich, soweit keine gesetzlichen Aufbewahrungspflichten oder sonstigen zulässigen Sperrgründe entgegenstehen.
Hiervon unabhängig speichert Google bei Nutzung von Google Search Grounding Prompt, Kontextinformationen und generierten Output für 30 Tage (siehe Abschnitt 7a.4). Diese 30-tägige Speicherung bei Google ist von der 90-tägigen Speicherfrist bei Refama getrennt zu betrachten und kann bei Nutzung von Grounding nicht deaktiviert werden.
Der Digital-Ruf-Check kann ohne Login oder eingeloggt genutzt werden.
Anonyme Digital-Ruf-Checks werden entsprechend der bestehenden Token-Logik nach ca. 120 Tagen gelöscht: 90 Tage Token-Gültigkeit für den Zugriff auf die Ergebnisse, zuzüglich 30 Tage Karenzzeit nach Token-Ablauf. Anschließend werden Anfrage, Report und zugehörige Einzelergebnisse automatisch gelöscht.
Eingeloggte Digital-Ruf-Checks werden 120 Tage nach Erstellung automatisch gelöscht. Dies umfasst die zugehörigen Anfrage-, Such-, Insight- und Analyseergebnisse.
Die Checks Compliance, Cyber Security, KI-Check, Verify Business und Business-Partner setzen einen Login sowie eine gültige Berechtigung (Lizenz, Pro-Kontingent oder gebuchtes Bündel) voraus. Für diese Checks gilt die in Abschnitt 13.10 beschriebene Speicherfrist.
Diese Checks erfordern einen Login. Abgeschlossene Scam-, Authenticity- und Business-Authenticity-Checks (Request + Report) werden 28 Monate nach Abschluss automatisch gelöscht. Diese Frist dient der Dokumentation und Bearbeitung möglicher Ansprüche im Zusammenhang mit der Leistung. Originalinhalte (Texte, Screenshots, Dateien) werden nicht dauerhaft gespeichert. Sie werden ausschließlich für die jeweilige Analyse verarbeitet.
Monitoring-Profile (Personen-Monitoring) und Business-Monitoring-Profile (Unternehmens-Monitoring) sowie die jeweils zugehörigen Alerts werden 6 Monate nach Vertragsende automatisch gelöscht. Als Vertragsende gilt der Zeitpunkt, ab dem keine aktive Lizenz mehr besteht und die letzte Abrechnungsperiode abgelaufen ist.
Kontaktanfragen werden unabhängig vom Bearbeitungsstatus 12 Monate nach der letzten Aktualisierung automatisch gelöscht.
Die Einwilligungs-Historie wird 3 Jahre nach dem letzten relevanten Ereignis (Einwilligung, DOI-Bestätigung oder Widerruf) automatisch gelöscht. Ein minimaler Sperrvermerk in Form eines nicht im Klartext gespeicherten Hashwerts der E-Mail-Adresse (SHA-256) wird dauerhaft gespeichert, soweit dies zur Dokumentation und Wahrung des Widerspruchs gegen unerwünschte Marketing-Ansprache erforderlich ist.
Rechnungen und Buchungsbelege werden bis zum Ende des achten Kalenderjahres nach dem jeweiligen Rechnungsdatum aufbewahrt und anschließend automatisch gelöscht, soweit keine anderweitigen Aufbewahrungs- oder Sperrgründe entgegenstehen. Für andere steuer- und handelsrechtlich relevante Unterlagen gelten die jeweils einschlägigen gesetzlichen Aufbewahrungsfristen. Rechnungsstellerdaten und Rechnungsnummern-Sequenzen werden nicht automatisch gelöscht. Lizenzdaten als Vertragsdaten werden bis zum Ende des 3. Kalenderjahres nach Vertragsende aufbewahrt und danach automatisch gelöscht.
Datensätze mit aktivem Legal Hold werden von den automatischen Löschprozessen ausgenommen. Ein Legal Hold kann gesetzt werden, wenn rechtliche oder vertragliche Gründe eine Löschung vorübergehend ausschließen. Nach Wegfall des Sperrgrundes gelten wieder die jeweiligen Löschfristen.
Nutzer können ihr Konto über den Self-Service-Flow in den Datenschutzeinstellungen löschen. Bei der Account-Löschung werden folgende Schritte durchgeführt:
Datensätze mit aktivem Legal Hold werden von der Löschung ausgenommen, bis der Sperrgrund wegfällt (siehe Abschnitt 13.8). Administrator- und Eigentümer-Konten sind vom Self-Service-Löschflow ausgeschlossen.
Die Checks Compliance, Cyber Security, KI-Check, Verify Business und Business-Partner setzen einen Login sowie eine gültige Berechtigung (Lizenz, Pro-Kontingent oder gebuchtes Bündel) voraus. Ein Zugriff ohne Login ist nicht möglich. Anfrage, Report und zugehörige Einzelergebnisse dieser Checks werden 120 Tage nach Erstellung automatisch gelöscht.
Daten aus längerfristig genutzten Konto- und Cockpit-Funktionen, insbesondere Refama Schutz, Aufbau, Nachlass und Refama Business Score, werden grundsätzlich für die Dauer der Nutzung bzw. solange das Nutzerkonto besteht gespeichert. Bei Löschung des Nutzerkontos werden diese Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten oder sonstigen zulässigen Sperrgründe (insbesondere Legal Hold) entgegenstehen.
Gleiches gilt für nutzerbezogene Funktionen und Aufgaben, die im Rahmen des Cockpits angelegt werden. Sie folgen derselben Regelung und werden bei Account-Löschung ebenfalls gelöscht, sofern kein Sperrgrund entgegensteht.
Der Refama Gründer-Check recherchiert öffentlich verfügbare, geschäftsbezogene Informationen zu einem Unternehmen nach der Gründung. Anfragedaten (Unternehmensname, Sitz, Branche, Kontaktdaten des Auftraggebers) und der erstellte Gründer-Report (Management Summary, Rechercheergebnisse, Handlungsempfehlungen, Quellen) werden 120 Tage nach Erstellung automatisch gelöscht. Ein Zugriff ist ausschließlich für eingeloggte Nutzer mit gültiger Lizenz möglich. Bei Account-Löschung werden Anfrage und Report ebenfalls gelöscht, sofern kein Legal Hold oder sonstiger Sperrgrund entgegensteht. Etwaige PDF-Kopien, die während der Umstellung auf die browserbasierte PDF-Erzeugung noch in einem externen Objektspeicher (Hetzner S3, EU) gespeichert wurden, werden bei Ablauf der Aufbewahrungsfrist bzw. bei Account-Löschung ebenfalls entfernt. S3-Löschfehler werden protokolliert, blockieren aber nicht die Datenbank-Löschung.
Optionale Kampagnen-Messereignisse (Aufruf eines Musterberichts, begonnener Check, begonnener Checkout, Schulungsanfrage) werden 90 Tage nach Erfassung automatisch gelöscht. Das gilt auch für die Zuordnungsdaten, über die ein Kauf einer Kampagne zugeordnet wird (Bestell-ID am Checkout-Ereignis).
Kaufereignisse enthalten seit dem 8. November 2026 keine Kampagnenmerkmale und keine Sitzungskennung mehr. Sie bestehen nur aus Produkt, Bestell-ID und Umsatzbetrag und werden als Umsatz- und Transaktionsdaten ohne feste automatische Löschfrist aufbewahrt; die Aufbewahrung der zugehörigen Rechnungs- und Geschäftsdaten richtet sich nach Abschnitt 13.7. Datensätze mit aktivem Legal Hold sind von der Löschung ausgenommen (Abschnitt 13.8).
Für jede an Google gemeldete Kauf-Conversion speichert Refama einen Nachweis (Bestellkennung, Betrag, Währung, Produktkennung, Zeitpunkt), damit ein Kauf höchstens einmal gemeldet wird. Dieser Nachweis enthält keine personenbezogenen Kontaktdaten und wird 90 Tage nach Erstellung automatisch gelöscht. Datensätze mit aktivem Legal Hold sind von der Löschung ausgenommen (Abschnitt 13.8).
Sofern Sie Refama Ihre ausdrückliche Einwilligung erteilen, sendet Refama gelegentlich Informationen, Tipps und Angebote rund um digitale Reputation per E-Mail (Art. 6 Abs. 1 lit. a DSGVO).
Die Einwilligung wird über ein Double-Opt-in-Verfahren bestätigt: Nach Ihrer Anmeldung erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst nach Klick auf diesen Link wird Ihre Einwilligung aktiv. Der Bestätigungslink ist 24 Stunden gültig.
Die Einwilligung wird historisiert dokumentiert (Einwilligungstext, Consent-Version, Datum, Quelle, IP-Adresse, User-Agent). DOI-Token werden nicht im Klartext, sondern ausschließlich als SHA-256-Hash gespeichert.
Sie können Ihre Einwilligung jederzeit widerrufen, z. B. über den Abmeldelink in jeder E-Mail oder in Ihren Datenschutzeinstellungen. Der Widerruf wird sofort wirksam. Beim Widerruf wird ein minimaler Sperrvermerk in Form eines nicht im Klartext gespeicherten Hashwerts der E-Mail-Adresse (SHA-256) erstellt, der eine versehentliche erneute Ansprache auch nach Löschung der Einwilligungs-Historie verhindert. Dieser Sperrvermerk kann nur durch eine bewusste erneute Anmeldung mit erfolgreichem Double-Opt-in aufgehoben werden.
Transaktionale E-Mails (z. B. Kaufbestätigungen, Widerrufsbestätigungen) sind vom Marketing-Consent unabhängig und werden auch bei widerrufener Einwilligung versendet.
Ohne Ihre Einwilligung setzt der Refama-Anwendungscode keine Cookies. Refama verwendet keine Analyse- und keine Social-Media-Tracker; Google Analytics und Google Tag Manager werden nicht eingesetzt. Ausschließlich nach ausdrücklicher Einwilligung in die Kategorie „Google Ads“ wird das Google-Tag geladen, das eigene Cookies setzt (Abschnitt 15.3). Unabhängig davon nutzt die Anwendung den lokalen Speicher und den Sitzungsspeicher Ihres Browsers (Local Storage und Session Storage).
Zwei Ausnahmen betreffen nicht den Anwendungscode: Für die Anmeldung kann der Betreiber der Plattform, auf der Refama betrieben wird, technisch notwendige Cookies setzen (Abschnitt 5). Beim Bezahlvorgang wechseln Sie auf eine Seite unseres Zahlungsdienstleisters Stripe, die eigene Cookies setzt (Abschnitt 9).
Diese Speicherung ist für den Betrieb der Anwendung erforderlich und wird nicht zur Messung von Werbewirkung verwendet:
Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den ausdrücklich gewünschten Dienst) sowie Art. 6 Abs. 1 lit. b und lit. f DSGVO. Daten im Session Storage werden beim Schließen des Tabs entfernt. Anmelde-Token und die Auswahl des aktiven Profils werden beim Abmelden programmgesteuert gelöscht. Sie können diese Daten in Ihren Browser-Einstellungen jederzeit einsehen und löschen.
Wenn Sie einwilligen, speichert Refama für die Dauer der Tab-Sitzung im Session Storage Ihres Browsers eine zufällige Sitzungskennung sowie die Kampagnenparameter der Seite, über die Sie Refama aufgerufen haben: Quelle, Medium, Kampagnenname, Anzeigenkennung und Suchbegriff (utm_source, utm_medium, utm_campaign, utm_content, utm_term).
Die Sitzungskennung ist pseudonym: Sie enthält weder Namen noch E-Mail-Adresse noch IP-Adresse, wird nicht über mehrere Besuche hinweg gebildet und endet mit dem Schließen des Tabs. Sie wird nicht an den Zahlungsdienstleister übergeben und ist nicht Bestandteil Ihrer Zahlungs-, Rechnungs- oder Bestelldaten.
Die Zuordnung eines Kaufs zur Kampagne erfolgt ausschließlich intern: Beim Beginn des Bezahlvorgangs wird die Bestellkennung der Zahlungssitzung am optionalen Messereignis gespeichert. Der Kaufdatensatz selbst enthält keine Kampagnenmerkmale. Die Auswertung verknüpft beides nur lesend und nur solange das optionale Messereignis vorhanden ist (höchstens 90 Tage). Danach bleibt der Umsatz in Ihren Rechnungsdaten erhalten, ist aber keiner Kampagne mehr zugeordnet.
Rechtsgrundlage ist § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Einwilligung ist freiwillig; ohne sie funktionieren Anmeldung, Checkout, Zahlung, Rechnungen und Freischaltungen unverändert.
Wenn Sie die Kategorie „Google Ads“ aktivieren, lädt Refama das Google-Tag mit der Kennung AW-18545959758 der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Google setzt dabei eigene Cookies und vergleichbare Kennungen (insbesondere _gcl_aw) und verarbeitet Ihre IP-Adresse, Geräte- und Browserangaben sowie die aufgerufene Seite. Zweck ist die Zuordnung einer Anzeige zu einem Kauf.
Kommt ein Kauf zustande, übermittelt Refama an Google ausschließlich den tatsächlich gezahlten Betrag, die Währung (EUR), die Bestellkennung der Zahlung und die Produktkennung. Nicht übermittelt werden E-Mail-Adresse, Name, Rechnungsanschrift, Inhalte Ihrer Checks oder die Kampagnenparameter der internen Kampagnenmessung. Die Bestellkennung dient zugleich der Vermeidung doppelter Meldungen.
Die Meldung erfolgt erst, nachdem Refama die Zahlung serverseitig beim Zahlungsdienstleister als bezahlt bestätigt hat, nicht beim Aufruf des Checkouts. Ohne Ihre Einwilligung wird das Google-Tag nicht geladen; es werden dann keine Daten an Google übermittelt. Zusätzlich wird das Einwilligungssignal nach Google Consent Mode Version 2 mit allen Kategorien auf „verweigert“ gesetzt.
Rechtsgrundlage ist § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung ist freiwillig, von der Kampagnenmessung unabhängig und jederzeit widerrufbar (Abschnitt 15.6). Beim Widerruf wird das Laden weiterer Google-Ereignisse beendet und die von Google gesetzten Cookies werden gelöscht. Eine Verarbeitung in den USA ist möglich; Grundlage sind die Google Ads Datenverarbeitungsbedingungen, die EU-Standardvertragsklauseln und die Zertifizierung von Google LLC nach dem EU-U.S. Data Privacy Framework.
Mit Ihrer Einwilligung speichert Refama Ereignisse mit folgenden Angaben: Ereignisart (Aufruf eines Musterberichts, begonnener Check, begonnener Checkout, Schulungsanfrage), Produkt-Schlüssel, Herkunftskanal und Kampagnenparameter, die Bestellkennung bei einem Kauf, den Umsatzbetrag, die aufgerufene Seite und den Zeitpunkt. Es werden keine Inhalte Ihrer Checks, keine Kontaktdaten und kein Bezug zu Ihrem Benutzerkonto in diesen Ereignissen gespeichert. Eine Weitergabe an Google oder andere Werbenetzwerke findet nicht statt.
Sie können Ihre Einwilligung jederzeit über den Link „Cookie-Einstellungen" im Footer jeder Seite ändern oder widerrufen. Bei Ablehnung oder Widerruf löscht Refama die Sitzungskennung und die gespeicherten Kampagnenparameter sofort in Ihrem Browser, veranlasst die Löschung der zu dieser Sitzung bereits gespeicherten optionalen Messereignisse auf dem Server und erfasst keine weiteren Messdaten. Bereits erfasste Kaufereignisse bleiben als Umsatzdaten bestehen, enthalten aber keine Kampagnen- und Sitzungsdaten (Abschnitt 13.13). Anmeldung, Checkout, Zahlung, Rechnungen und Freischaltungen funktionieren unabhängig von Ihrer Wahl unverändert. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.
Rufen Sie Refama über einen Empfehlungslink auf, speichert Refama den Empfehlungscode für die Dauer der Tab-Sitzung, um eine Buchung dem Empfehlungsgeber zuordnen zu können. Der Code wird erst mit der Buchung an den Auftrag übergeben. Er enthält keine Angaben zu Ihrer Person.
Ihnen stehen nach der DSGVO folgende Rechte zu:
Zur Ausübung Ihrer Rechte wenden Sie sich an kontakt@refama.de. Sie können Ihr Konto auch direkt in den Datenschutzeinstellungen des Cockpits löschen.
Bei der Nutzung der oben genannten Dienstleister kann es zu Übermittlungen personenbezogener Daten in Länder außerhalb der EU/EWR (Drittländer) kommen. Dies betrifft insbesondere:
Refama trifft keine pauschale Aussage, dass sämtliche Daten in der EU verbleiben. Drittlandübermittlungen werden transparent dargestellt und erfolgen auf Grundlage der jeweils anwendbaren Transfermechanismen (DPA, SCC, DPF), soweit diese vertraglich vereinbart sind.
Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt. Zuständig ist die Aufsichtsbehörde an Ihrem Wohnort oder an dem Ort der angeblichen Verletzung. Für Refama ist die zuständige Aufsichtsbehörde erreichbar unter:
Landesbeauftragte(r) für Datenschutz und Informationsfreiheit Nordrhein-Westfalen Kavalleriestr. 108, 40213 Düsseldorf Telefon: 0211/38424-0 E-Mail: poststelle@ldi.nrw.de
Diese Datenschutzerklärung kann an neue gesetzliche oder technische Anforderungen angepasst werden. Die jeweils aktuelle Version ist auf refama.de/datenschutz abrufbar. Es gilt die dort veröffentlichte Fassung.
Aktuelle Fassung: Version 1.5, Stand November 2026.
Refama speichert nur mit Ihrer Zustimmung, über welche Anzeige Sie uns gefunden haben (Kampagnenmessung) und meldet Käufe an Google Ads (Werbe-Messung). Beides ist freiwillig und getrennt abwählbar. Notwendige Funktionen wie Anmeldung, Checkout und Rechnungen laufen unabhängig davon. Details in unserer Datenschutzerklärung.