Datenschutzerklärung

Name und Kontaktdaten

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist der Betreiber von gkv-alarm.de: [Platzhalter: vollständiger Name und ladungsfähige Anschrift des Betreibers (folgt mit der Betreiber-Entscheidung, externer Blocker ②)]. Kontakt für alle Anliegen zum Datenschutz: [Platzhalter: E-Mail-Adresse auf gkv-alarm.de].

Hinweis: Diese Angabe ist als MUSTER-Platzhalter gekennzeichnet, bis die Betreiber-Entscheidung getroffen ist. Die vollständigen Angaben stehen im Impressum und werden vor dem öffentlichen Start von gkv-alarm.de ergänzt.

Warnungs-Abonnenten (ohne Konto)

Der E-Mail-Alarm funktioniert ohne Nutzerkonto. Wenn du dich für den Alarm anmeldest, speichern wir: deine E-Mail-Adresse (kleingeschrieben normalisiert, Umlaut-Domains in ihrer technischen Schreibweise, pro Adresse genau ein Datensatz), deine eigene Krankenkasse (genau eine) und deine Benachrichtigungs-Einstellungen, sechs einzeln schaltbare Optionen: Erhöhung, Senkung, günstigere Kasse, geplante (angekündigte) Beiträge, jährliche Wechsel-Erinnerung und Wechselsaison-Beiträge. Die ersten vier sind bei Anmeldung an (Servicemails), die letzten beiden aus.

Freiwillig kannst du zusätzlich angeben: dein Bundesland (damit wir bei „günstigere Kasse“ auch regionale Kassen berücksichtigen, die dort geöffnet sind; ohne Angabe vergleichen wir nur bundesweit geöffnete Kassen) und ab welcher Jahresersparnis wir dir eine günstigere Kasse melden (jede Ersparnis, 30 €, 60 € oder 120 € im Jahr).

Dein Einkommen speichern wir nur, wenn du das ausdrücklich willst: über das nicht vorausgewählte Häkchen „Einkommen für genaue Euro-Beträge speichern“ bei der Anmeldung oder auf der Verwaltungsseite. Gespeichert wird dann dein Monatsbrutto, auf 100 € gerundet, zu genau einem Zweck: die Euro-Beträge in deinen Alarm-Mails (etwa deine Ersparnis bei einer günstigeren Kasse) mit deinem Einkommen statt mit dem 3.000-€-Beispiel zu rechnen. Ohne Häkchen wird kein Einkommen übertragen. Das Häkchen kannst du auf der Verwaltungsseite jederzeit wieder entfernen, dann löschen wir den Betrag sofort; mit der Abmeldung wird er ebenfalls sofort gelöscht. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit mit Wirkung für die Zukunft widerrufen kannst.

Für den Nachweis deiner Einwilligung (Double-Opt-in) speichern wir außerdem: den Zeitpunkt und die IP-Adresse der Anmeldung sowie den Zeitpunkt und die IP-Adresse der Bestätigung (Drücken des Bestätigungs-Knopfs nach dem Öffnen des Links in der Bestätigungsmail). Das bloße Öffnen des Links bestätigt deine Anmeldung nicht. Dieser Doppel-Nachweis ist die Grundlage, auf der wir eine erteilte Einwilligung belegen können. Dazu gehört eine unveränderliche Einwilligungs-Kennung, die auch in unseren Mails sichtbar ist („Einwilligung … vom …, ID …“).

Für die Verwaltung ohne Login verschicken wir Links mit zufälligen Tokens. In der Token-Datenbank speichern wir davon ausschließlich einen SHA-256-Hash des Tokens. Das Token im Klartext gehört zur für den Versand vorbereiteten Mail selbst (es steckt im Verwaltungs-Link des Mail-Textes und im Abmelde-Link der Mail-Kopfzeilen); unser Mail-Protokoll speichert weder den Mail-Text noch nutzbare Links. Bestätigungs-Links gelten 24 Stunden und bestätigen nur einmal; pro Anmeldung schicken wir höchstens drei Bestätigungsmails. Verwaltungs-Links gelten 180 Tage und funktionieren innerhalb dieser Zeit beliebig oft. Erst ein ausdrücklicher Knopfdruck nach dem Öffnen startet die Verwaltung. Dabei erhält dein Browser eine geschützte Berechtigung für höchstens 180 Tage; eine neu ausgestellte Berechtigung ersetzt die vorherige. Mit der Abmeldung werden alle Verwaltungs- und Bestätigungs-Links ungültig. Der Abmelde-Link hat bis zur Abmeldung keinen Ablauf, damit auch ältere Mails zum Beenden des Alarms nutzbar bleiben. Neue Verwaltungs-Links lassen sich jederzeit anfordern; Verwaltungs- und Bestätigungsmails begrenzen wir zusätzlich auf eine je 24 Stunden und Mail-Art. Zu jedem ausgestellten Token protokollieren wir den Zeitpunkt und in der Regel auch die anfordernde IP-Adresse.

Jede vorbereitete E-Mail wird in einem Mail-Protokoll festgehalten: Betreff, geschwärzte Mail-Kopfzeilen, Art der Mail, Protokoll-Status und Zeitpunkt. Mail-Text und HTML-Inhalt werden nicht gespeichert; nutzbare Bestätigungs-, Verwaltungs- und Abmelde-Tokens werden vor dem einzigen Schreibvorgang aus den Kopfzeilen entfernt. Das Mail-Protokoll bewahren wir bis zu deiner Abmeldung auf, höchstens 180 Tage je Mail. Der aktuelle technische Stand protokolliert die Vorbereitung, stellt die Mail aber noch nicht zu.

Für jeden Alarm-Durchlauf führen wir außerdem ein Versand-Journal: Pro Alarm-Ereignis und Abonnent genau eine Zeile, die festhält, in welchem Schritt der Versand steht (in die Warteschlange gestellt, Mail erstellt, im Mail-Protokoll vermerkt, übersprungen, etwa weil die Sperrliste oder das Tageslimit greift, oder endgültig gescheitert), wie viele Versuche gelaufen sind, die Fehlermeldung im Fehlerfall sowie die Zeitstempel. Dieses Journal ist die Grundlage für einen verlässlichen Versand ohne versehentliche Doppel-Mails: Pro Ereignis und Abonnent kann es immer nur genau einen Eintrag geben. Es wird mit der Löschung deines Abonnements automatisch mitgelöscht; Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Vertragserfüllung und Sicherstellung eines störungsfreien Betriebs).

Wechselsaison-Beiträge sind Werbung im rechtlichen Sinne und werden nur mit deiner ausdrücklichen, separat protokollierten Einwilligung versendet; der Zeitpunkt dieses Opt-ins wird mitgespeichert und beim Abwählen gelöscht. Die vier Service-Optionen brauchen diese Zustimmung nicht, weil sie unmittelbar zum bestellten Dienst gehören.

Rechtsgrundlagen: E-Mail-Adresse, deine Kasse, das freiwillige Bundesland, die Mindest-Ersparnis und die vier Service-Benachrichtigungen verarbeiten wir zur Bereitstellung des bestellten Dienstes (Art. 6 Abs. 1 lit. b DSGVO). Das freiwillig gespeicherte Einkommen beruht auf deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, siehe oben). Die Wechselsaison-Einwilligung beruht auf Art. 6 Abs. 1 lit. a DSGVO. Die Nachweis-Daten (IP-Adressen, Zeitstempel, Einwilligungs-Kennung, Token-Hashes, Mail-Protokoll) verarbeiten wir wegen unseres berechtigten Interesses an der Nachweisbarkeit erteilter Einwilligungen und der Missbrauchsabwehr (Art. 6 Abs. 1 lit. f DSGVO).

Keine Nutzerkonten

Es gibt keine Nutzerkonten und keine Passwörter: Die Anmeldung und Verwaltung läuft ausschließlich über deine E-Mail-Adresse und die Links aus unseren Mails (vorheriger Abschnitt). Ehemalige Konto-Datenbanktabellen sind aus dem aktuellen Datenbankaufbau entfernt.

Zusatzbeitragsrechner

Der Zusatzbeitragsrechner rechnet vollständig in deinem Browser. Das eingegebene Einkommen wird beim Rechnen nicht an unseren Server gesendet und nicht gespeichert, auch nicht vorübergehend. Übertragen wird es nur, wenn du es beim E-Mail-Alarm ausdrücklich speichern willst (Abschnitt „Warnungs-Abonnenten“). Einzige Ausnahme: In der anonymen Nutzungsstatistik (nächster Abschnitt) wird festgehalten, ob überhaupt ein Einkommen eingegeben wurde, als Ja/Nein-Wert, nie als Betrag. Das ist im Code abgesichert und durch Tests garantiert.

Weil keine personenbezogenen Daten zu uns gelangen, verarbeiten wir für die Rechnung selbst keine; die Rechtsgrundlagen der Statistik stehen im nächsten Abschnitt.

Eingebetteter Spar-Rechner (Widget)

Der Spar-Rechner kann von anderen Seiten als eingebetteter Rahmen genutzt werden (zum Beispiel von Finanz-Blogs). Für jede Einbettung vergeben wir einen Kennungs-Schlüssel; die Rahmen-Adresse trägt nur diesen Schlüssel: keine Cookies, keine Speicherung auf deinem Gerät, kein Geräteprofil. Die Rechnung läuft wie überall in deinem Browser; auch ein eingebetteter Rahmen setzt nichts auf deinem Gerät ab.

Die einbettende Seite erfährt nichts über Anmeldungen, die im Rahmen passieren: Das Anmeldeformular sendet an unsere Adresse, nicht an die der einbettenden Seite, und wir schreiben ihr keine einzelnen Vorgänge zu; berichtet werden ausschließlich Summen (wie viele Anmeldungen über welche Einbettung).

Meldest du dich über einen eingebetteten Rechner an, speichern wir zusätzlich den von uns geprüften Kennungs-Schlüssel der Einbettung in deinem Abonnenten-Datensatz, mehr nicht: keine besuchte Adresse, kein Geräteprofil, kein seitenübergreifendes Verfolgen. Der Schlüssel wird mit der Löschung deines Abonnements mitgelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Reichweitenmessung unserer Inhalte auf anderen Seiten).

Nutzungsstatistik (Trichter-Ereignisse)

Wir messen anonym serverseitig abgeschlossene Schritte des Dienstes: zum Beispiel eine angenommene Anmeldung, eine protokollierte Bestätigungsmail, eine bestätigte Anmeldung oder das Öffnen und Ändern der Verwaltung. Browser-Ereignisse wie „Rechner gestartet“ oder „Ergebnis gesehen“ schreiben nicht in diese Statistik, weil solche öffentlichen Angaben von außen gefälscht werden könnten. Pro Server-Ereignis speichern wir nur den Schritt, die feste Herkunftsfläche, einen groben Zähler der gewählten Kassen („keine“, „eine“, „zwei oder mehr“) und einen technischen Ja/Nein-Wert, der serverseitig immer „Nein“ ist und keinen Einkommensbetrag enthält.

Diese Ereignisse enthalten keine Cookies, keine IP-Adressen, keine Geräte- oder Browser-Kennung und keinen Nutzernamen; es ist technisch nicht möglich, daraus eine Person zu identifizieren oder Nutzer über mehrere Seitenbesuche hinweg zu verfolgen. Die Speicherung erfolgt als reine Zähl-Werte in Cloudflare Analytics Engine (siehe Auftragsverarbeiter).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Reichweitenmessung und Produktverbesserung unseres Angebots).

Serverprotokolle und Missbrauchsabwehr

Unser Server (Cloudflare Workers) führt technische Protokolle: Zeitpunkt, angefragte Adresse, Status und Fehlerklassen. Diese Protokolle werden nur kurz vorgehalten (standardmäßig 3 Tage, je nach Cloudflare-Plan bis zu 7 Tage) und dann gelöscht; ein dauerhaftes Zugriffsprotokoll existiert nicht.

Zur Abwehr von Missbrauch speichern wir zusätzlich je IP-Adresse Zähler für kurze Stunden- oder Minutenfenster. Ein täglicher Löschlauf entfernt gespeicherte Zählerfenster, die mindestens 48 Stunden alt sind. Rechtsgrundlage für beide: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Stabilität des Dienstes).

Adressen, die endgültig nicht zustellbar sind oder über die Beschwerden eingehen, tragen wir in eine interne Sperrliste ein (E-Mail-Adresse plus Grund: Zustellfehler, Beschwerde oder manuelle Sperre; dazu optional eine interne Herkunfts-Notiz, etwa die Kennung eines Zusteller-Berichts oder einen Vermerk zur manuellen Sperre, sie ist nie öffentlich sichtbar). Die Liste verhindert, dass solche Adressen erneut angeschrieben werden, und bleibt unabhängig von einer Abmeldung bestehen, weil sie genau das verhindern soll; gelöscht wird auf Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Cloudflare Turnstile (Bot-Schutz)

Die Anmeldeformulare sind durch Cloudflare Turnstile gegen automatisierte Einsendungen geschützt. Dabei lädt dein Browser das Prüf-Widget von Cloudflare; Cloudflare verarbeitet dazu Gerätedaten (z. B. Browser-Eigenschaften) und, im Rahmen der Prüfung, deine IP-Adresse. Uns selbst erreicht nur das Prüfergebnis (bestanden oder nicht); wir speichern weder das Token noch Gerätedaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Bot-Missbrauch). Weitere Informationen: https://www.cloudflare.com/de-de/privacypolicy/

Cloudflare Web Analytics

Wir nutzen Cloudflare Web Analytics, um Seitenaufrufe grob zu messen (aufgerufene Seite, Verweis-Seite, Land, Browser-Klasse und Ladezeiten). Das Mess-Skript ist ausdrücklich cookiefrei: Es setzt keine Cookies, keinen Fingerprint und keine lokale Speicherung auf deinem Gerät; deshalb und weil dabei keine personenbezogenen Daten anfallen, braucht es dafür nach unserer Bewertung keine Einwilligung.

Das Einbinden des Mess-Skripts ist technisch abgeschaltet und wird erst mit der Konfiguration eines Mess-Tokens aktiv. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Reichweitenmessung).

Google Analytics 4 (Consent Mode, ohne Cookies)

Zusätzlich nutzen wir Google Analytics 4, allerdings in einer bewusst eingeschränkten Form: Der Google-Tag ist mit dem Consent-Modus (Version 2) eingebunden und alle Einwilligungs-Signale (Werbung, Analyse, personenbezogene Werbedaten, Personalisierung) stehen von vornherein auf „abgelehnt“. In diesem Betrieb versendet Google Analytics nur cookielose Messungen: Es werden keine Cookies gesetzt, nichts im lokalen Speicher abgelegt und keine geräteseitige Kennung gebildet. Deshalb gibt es auch hier kein Einwilligungs-Banner (§ 25 Abs. 2 TDDDG).

Übermittelt werden bei einem Seitenaufruf und den Trichter-Ereignissen (gleiche Ereignisse und gleiche Minimierung wie in der Trichter-Statistik oben: Quelle und Kassen-Bucket als grobe Angaben, Einkommen nur als Ja/Nein, nie der Wert) die aufgerufene Adresse, grobe Geräte- und Browsermerkmale sowie technisch bedingt deine IP-Adresse an Google. Die Auswertung in der GA4-Property ist auf die kürzeste einstellbare Frist (2 Monate) begrenzt; Werbefunktionen und -auswertungen sind nicht aktiviert.

Wie beim Cloudflare-Mess-Skript ist auch der Google-Tag technisch abgeschaltet und wird erst mit der Konfiguration einer Mess-Kennung aktiv. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Reichweitenmessung). Die Messung verantwortet die Google Ireland Limited; Informationen zur Datenverarbeitung: https://policies.google.com/privacy

Cookies und lokale Speicherung (TDDDG)

Diese Seite setzt außer technisch notwendigen Funktionen nichts auf deinem Gerät: keine Werbe-Tracking-Cookies, kein Einwilligungs-Banner. Konkret speichern wir:

• deine Hell-/Dunkel-Einstellung im lokalen Speicher des Browsers, und zwar erst dann, wenn du selbst den Design-Schalter benutzt (dann ist das deine ausdrückliche Wahl).
• geschützte Berechtigungs-Cookies, wenn du einen persönlichen Mail-Link öffnest: die Zwischenschritte für Bestätigung und Verwaltung höchstens zehn Minuten, die Verwaltungs-Berechtigung höchstens 180 Tage und die Abmelde-Berechtigung für die Browser-Sitzung. Die Cookies sind technisch nötig, damit persönliche Links nach dem Öffnen aus der sichtbaren Adresse verschwinden und nur dein Browser die gewählte Handlung ausführen kann. Die Werte werden nur verschlüsselt übertragen und sind für Browser-Skripte unlesbar. Bestätigung und Verwaltungs-Zwischenschritt sind streng auf dieselbe Seite begrenzt; die Verwaltungs- und Abmelde-Berechtigung verwenden den eingeschränkten SameSite-Lax-Schutz, damit das Öffnen eines Links aus einer Mail funktioniert. Es sind keine Werbe- oder Statistik-Cookies.

Das Turnstile-Widget der Bot-Prüfung läuft in einem eingebetteten Rahmen von Cloudflare und setzt dafür keine Speicherung auf unseren Seiten. Die anonyme Statistik (Trichter-Ereignisse, Web Analytics und die cookielosen Google-Analytics-Messungen) kommt vollständig ohne Speicherung auf deinem Gerät aus.

Damit gibt es keine Speicherung oder Abfrage von Informationen auf deinem Gerät, die über das hinausgeht, was für die Bereitstellung des von dir angeforderten Dienstes oder deine ausdrückliche Handlung erforderlich ist (§ 25 Abs. 2 TDDDG). Sollte sich das je ändern, etwa durch Werbung mit Tracking, wird diese Seite vorher aktualisiert und ein Einwilligungs-Banner eingebracht; die Kriterien stehen in unseren Cookie-Hinweisen.

Künftige Verarbeitungen (bereits erklärt, noch nicht aktiv)

Zwei Verarbeitungen sind bereits heute fest geplant; wir legen sie jetzt offen, damit du weißt, was auf dich zukommt:

• Echter E-Mail-Versand (geplanter Ausbau): Mails werden derzeit technisch noch nicht zugestellt, sondern nur protokolliert; der Betrieb ist noch nicht öffentlich. Für den Start binden wir einen E-Mail-Versand-Dienst ein. Dann verarbeitet dieser als unser Dienstanbieter die zur Zustellung nötigen Daten (E-Mail-Adresse, Mail-Inhalt) sowie Zustell- und Fehlermeldungen. Der Dienst wird mit Dienstanbieter-Vertrag (AV-Vertrag) gebunden und hier namentlich genannt, bevor der Versand beginnt.
• Kassen-Profile und Vergleichsseiten bleiben werbefrei; eine Aktivierung von Werbe-Formaten (etablierte Werbenetzwerke) ist ausdrücklich aufgeschoben, weil sie ein Einwilligungs-Banner erzwingen würde.

Rechtsgrundlagen ändern sich dadurch nicht: Versand und Zustellbarkeit laufen unter Art. 6 Abs. 1 lit. b und lit. f DSGVO, Werbe-Mails weiterhin nur mit Einwilligung (lit. a).

Affiliate-Partner-Übergabe (Phase 7, derzeit inaktiv)

Für den Wechsel zu einer anderen Krankenkasse sollen später gekennzeichnete Links zu lizenzierten Vermittlungspartnern angeboten werden. Diese Übergabe ist an eine ausdrückliche, zweckgebundene Einwilligung gebunden, die erst im Moment der Übergabe eingeholt wird; nichts wird automatisch übertragen. Übergeben würden dann Kontaktdaten und die von dir gewählte Kasse; der Partner wird an dieser Stelle namentlich genannt, bevor du zustimmst.

Bereits heute existiert, noch inaktiv, die technische Basis: Klicks auf solche Links werden serverseitig und ohne Cookies gezählt (welcher Anzeige-Platz, wann, von welcher unserer Seiten aus, keine IP-Adresse, keine Browser-Kennung, kein Cookie). Nur wenn du dich gerade über einen Verwaltungs-Link in deinem Abonnement befindest, wird der Klick deinem Abonnement zugeordnet; bei der Löschung deines Abonnements fällt diese Zuordnung weg, die anonyme Zählung bleibt. Die Plätze sind derzeit ausgeschaltet und zeigen stattdessen neutrale Hinweise.

Rechtsgrundlage der Klick-Zählung: Art. 6 Abs. 1 lit. f DSGVO (Erfolgsmessung der Platzierung); die Datenübergabe an einen Partner: ausschließlich Art. 6 Abs. 1 lit. a DSGVO.