Datenschutz

Was ReviewLoop über dich weiß

ReviewLoop bringt das, was jemand über eine Website sagt, zu den Leuten, die sie bauen. Diese Seite sagt genau, was dabei mitgeht, welche Unternehmen es zu sehen bekommen, wie lange es bleibt und wie du es löschen lässt. Zuletzt geändert am 27. September 2026.

Verantwortlicher

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die hier beschriebene Verarbeitung ist:

Wir haben keinen Datenschutzbeauftragten bestellt. Wir liegen unter der Schwelle des § 38 BDSG, der eine Bestellung ab 20 ständig mit automatisierter Verarbeitung beschäftigten Personen verlangt. Fragen zum Datenschutz gehen an die Adresse oben und landen bei einem Menschen.

Wann wir nicht verantwortlich sind

An jedem Feedback sind zwei Organisationen beteiligt, und wer was ist, entscheidet, an wen du dich wendest. Das Studio, für das du die Website ansiehst, entscheidet, dass das Review stattfindet, was erhoben wird und wie lange es bleibt. Es ist für dein Feedback der Verantwortliche. Wir speichern und verarbeiten es in seinem Auftrag nach Art. 28 DSGVO und tun sonst nichts damit.

Praktisch kannst du dich an beide wenden. Wenn du uns bittest, Feedback zu löschen, das du für ein Studio hinterlassen hast, sagen wir dir Bescheid und geben die Bitte weiter – deren Kopie ist die maßgebliche, und die Entscheidung liegt rechtlich bei ihnen. Für dein eigenes Konto und für diese Website sind wir der Verantwortliche und entscheiden selbst.

Wenn du eine Website ansiehst

Du bist über einen Review-Link gekommen, hast in der Browser-Erweiterung einen Code eingegeben, den dir das Studio geschickt hat, oder jemand hat die Erweiterung für dich verbunden. Gibst du einen Code ein, erhalten wir den Code und den Namen, den du eingetippt hast, damit deine Notizen deinen Namen tragen; darüber hinaus wird nichts erhoben, bis du eine Notiz setzt. Setzt du eine, geht Folgendes mit:

• Was du geschrieben hast, so wie du es geschrieben hast, und der Name, der an der Notiz steht.
• Antworten, die du anderen Personen im selben Projekt schreibst. Erwähnst du jemanden beim Namen, bekommt diese Person eine E-Mail mit deinen Zeilen, damit sie antworten kann.
• Deine E-Mail-Adresse, wenn das Studio dich per E-Mail eingeladen hat oder du erfahren möchtest, was daraus wurde.
• Ein Bild des sichtbaren Teils des Tabs, aufgenommen in dem Moment, in dem du darum gebeten hast.
• Auf welches Element du gezeigt hast, der Text darum herum und wie es gestaltet ist.
• Die letzte Minute dessen, was du getan hast: Klicks, Seitenwechsel und abgeschickte Formulare, festgehalten als Beschriftungen. Ein Klick auf Speichern wird als Klick auf Speichern festgehalten. Was du in ein Feld getippt hast, wird nicht festgehalten, und ein Passwortfeld wird nicht einmal benannt.
• Fehler, die die Seite in derselben Minute erzeugt hat, und fehlgeschlagene Anfragen.
• Dateien, die du selbst anhängst: ein Bild oder ein PDF, das in eine Seite pro Ansicht zerlegt wird, damit du darin auf etwas zeigen kannst. Nur Dateien, die du auswählst, einfügst oder hineinziehst. Sonst wird nichts von deinem Rechner gelesen, und wir haben keine Möglichkeit, danach zu suchen.
• Eine Sprachnotiz, wenn du lieber sprichst als tippst. Dein Browser fragt vorher nach dem Mikrofon, und die Aufnahme wird wie jeder andere Text zur Notiz gelegt. Zu keinem anderen Zeitpunkt wird zugehört.
• Ein Bild eines Fensters deiner Wahl, wenn du Screenshot hinzufügen nutzt. Dein Browser fragt, was geteilt werden soll, und du wählst es aus; wir nehmen ein einzelnes Bild, danach endet die Freigabe sofort. Weil du die Wahl triffst, kann es auch ein anderes Fenster sein als die Seite, die du gerade ansiehst – wähle also das, was du senden möchtest.
• Adresse und Titel der Seite, die Fenstergröße, dein Browser und seine Sprache sowie die Seite, von der du kamst.

Das ist die vollständige Liste. Nichts folgt dir auf andere Websites, und es wird kein Verlauf erhoben. Eine angehängte Datei wird behandelt wie alles andere in der Runde: Sie geht an das Studio, für das du das Review machst, sie wird mit dem Projekt gelöscht, und du kannst sie vor dem Absenden selbst wieder entfernen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse und das des Studios daran, eine Änderung so genau beschrieben zu bekommen, dass sie einmal gemacht werden muss. Dem steht eine bewusst enge Erhebung gegenüber – eine Minute, nur Beschriftungen, und nur auf einer Seite, die du dafür geöffnet hast.

Die Browser-Erweiterung

Die Erweiterung ist aus, bis du auf ihr Symbol klickst, und arbeitet dann nur auf diesem einen Tab. Der Klick ist das, was ihr Zugriff auf die Seite gibt – deshalb verlangt sie keine dauerhafte Berechtigung für dein Surfen. Wechselst du auf eine andere Website, schaltet sie sich ab, statt dir zu folgen.

Sie speichert in deinem Browser und nirgends sonst: den Namen, den du angegeben hast, und deine Reviewer-Identität für jedes Projekt, dem du mit einem Code beigetreten bist. Hat stattdessen ein Entwickler den Browser verbunden, speichert sie außerdem das Token, mit dem sich der Browser beim Konto des Studios ausweist, und die Projekte, die dieses Konto sieht. Nichts davon gelangt je auf eine Seite, und keine Website kann es lesen. Wer die Erweiterung entfernt, entfernt auch das. Ob die Erweiterung für ein Projekt überhaupt funktioniert, entscheidet das Studio: Schaltet es sie ab, gilt die dafür gespeicherte Identität nicht mehr. Die Erweiterung liest die Adresse eines Tabs, für den du sie eingeschaltet hast, um zu erkennen, zu welchem Projekt die Seite gehört; die Tabs, für die du sie nicht eingeschaltet hast, liest sie nicht.

Wenn du ein Konto hast

Wir speichern deinen Namen und deine E-Mail-Adresse, damit du dich anmelden kannst und deine Kolleginnen und Kollegen sehen, wer was getan hat, dazu die Projekte und Review-Links, die du anlegst, und ein Protokoll der Vorgänge in deiner Organisation. Verbindest du eine Code-Plattform oder ein Projekt-Tool, speichern wir dessen Zugangstoken, bis du es trennst. Verbindest du einen Browser, speichern wir ein Token dafür, das du im Dashboard jederzeit widerrufen kannst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: der Vertrag, den du mit uns geschlossen hast.

Wenn du nur die Website besuchst

Unser Hoster schreibt das übliche Server-Log: Anfrage, Zeitpunkt, Status und eine gekürzte IP-Adresse. Es wird kurz aufbewahrt, um den Dienst am Laufen zu halten und Missbrauch zu erkennen, nach Art. 6 Abs. 1 lit. f DSGVO. Es gibt auf dieser Website kein Zählpixel, kein Werbe-Tag und kein Analyse-Produkt.

Cookies

Zwei, beide unbedingt erforderlich, um einen von dir gewünschten Dienst bereitzustellen. Deshalb verlangt § 25 Abs. 2 TDDDG keine Einwilligung, und deshalb hast du kein Banner gesehen. Beide sind httpOnly, kein Skript kann sie lesen.

Wer es sonst erhält

Das Studio, für das du das Review machst, und die Leute, die es zu dem Projekt eingeladen hat. Darüber hinaus nur die Unternehmen, die Teile des Dienstes betreiben, die wir nicht selbst betreiben. Mit jedem besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, jedes sieht nur, was seine Aufgabe erfordert, und darf es für nichts anderes verwenden.

Verbindet dein Studio GitHub, GitLab, Bitbucket, Notion, Asana, Jira oder Slack, gelangen die Einträge, die es dorthin schickt, auch zu diesem Dienst. Das geschieht erst, wenn es die Verbindung herstellt, und ist seine Entscheidung als Verantwortlicher. Meldest du dich mit Google an, erfährt Google, dass du dich hier angemeldet hast.

Dein Feedback wird nicht zum Training von KI-Modellen verwendet, weder von uns noch von einem Anbieter. Es dient dazu, die Änderung herzustellen, um die du gebeten hast, und sonst nichts. Wir verkaufen keine personenbezogenen Daten und geben keine für Werbung weiter.

Datenübermittlung in Drittländer

Die oben genannten Unternehmen speichern unsere Daten in der Europäischen Union, alle fünf sind aber US-Unternehmen. Ein Zugriff aus den Vereinigten Staaten lässt sich deshalb nicht ausschließen und gilt als Übermittlung. Jede stützt sich auf die Standardvertragsklauseln, die die Europäische Kommission mit Durchführungsbeschluss 2021/914 erlassen hat, zusammen mit den technischen Maßnahmen aus diesen Verträgen. Eine Kopie der Klauseln für jedes dieser Unternehmen bekommst du auf Anfrage an die Adresse oben.

Wie lange wir es aufbewahren

Deine Rechte

Nach der DSGVO kannst du von uns verlangen:

• Auskunft darüber, was wir über dich speichern, und eine Kopie davon (Art. 15);
• Berichtigung, wenn etwas falsch ist (Art. 16);
• Löschung (Art. 17);
• Einschränkung der Verarbeitung, solange etwas strittig ist (Art. 18);
• Herausgabe in einem übertragbaren Format (Art. 20);
• Widerspruch gegen Verarbeitungen, die auf berechtigten Interessen beruhen, einschließlich der oben beschriebenen Aufzeichnung (Art. 21). Sag Bescheid, und wir hören auf, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deinen Widerspruch überwiegen.

Wo wir uns auf eine Einwilligung stützen, kannst du sie jederzeit widerrufen; die Rechtmäßigkeit der Verarbeitung bis dahin bleibt unberührt. Schreib an privacy@durn.io. Wir antworten innerhalb eines Monats und sagen es dir, wenn wir die Verlängerung nach Art. 12 Abs. 3 DSGVO brauchen. Hast du Feedback für ein Studio hinterlassen, nenn uns bitte welches, damit wir die richtige Kopie erreichen.

Du kannst dich außerdem bei einer Aufsichtsbehörde beschweren – in dem Land, in dem du wohnst oder arbeitest, oder dort, wo aus deiner Sicht etwas schiefgelaufen ist. Für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin (www.datenschutz-berlin.de).

Wie wir es schützen

Alles läuft über TLS. Token werden gehasht gespeichert, nie im Klartext – eine Kopie der Datenbank ergibt also keinen funktionierenden Schlüssel. Sitzungs- und Reviewer-Cookies sind httpOnly. Zugriff auf Produktivdaten haben nur die Personen, die ihn zum Betrieb brauchen. Kein System ist perfekt, und das sagen wir lieber, als das Gegenteil zu behaupten.

Kinder

ReviewLoop ist ein Werkzeug für Menschen, die beruflich an Websites arbeiten. Es richtet sich nicht an Personen unter 16 Jahren.

Automatisierte Entscheidungen

Ein Modell gruppiert zusammengehörige Notizen und formuliert daraus eine Anweisung. Ein Mensch liest diese Anweisung und entscheidet, was zu tun ist. Eine automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO findet nicht statt.

Änderungen

Ändert sich diese Seite in einem Punkt, auf den es ankommt, ändert sich das Datum oben, und wir sagen es Kontoinhabern per E-Mail, bevor die Änderung gilt. Wir ändern nichts still und nennen es ein Update.

Kontakt

Durn Studio UG (haftungsbeschränkt), Kienitzer Str. 5, 12053 Berlin, per E-Mail an privacy@durn.io.