Datenschutzerklärung

Diese Datenschutzerklärung gilt für das gesamte Angebot von Most Voted, also sowohl für den App-Bereich (Most Voted Apps) als auch für den Podcast-Bereich (Most Voted Podcasts). Wo nachstehend von einer „App" die Rede ist, gilt das Entsprechende für einen „Podcast", soweit die jeweilige Funktion dort besteht.

1. Verantwortlicher

2. Aufruf der Website, Hosting und E-Mail-Versand

Diese Website wird bei IONOS SE (Elgendorfer Straße 57, 56410 Montabaur) gehostet. Dort liegen Server und Datenbank in Deutschland. Über IONOS versenden wir auch unsere E-Mails (Registrierungs-Bestätigung, Passwort-Reset, Antworten auf Anfragen, Sicherheits-Hinweise, Benachrichtigungen nach Abschnitt 6). Mit IONOS besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Darüber hinaus kommt es zu den in den Abschnitten 10, 12, 13 und 15 beschriebenen Verbindungen zu Anbietern außerhalb der EU (Erläuterungen siehe in den jeweiligen Abschnitten).

Bei jedem Aufruf erfasst IONOS Protokolldaten: IP-Adresse, Zeitpunkt, aufgerufene Seite, HTTP-Status, übertragene Datenmenge, Browser und Betriebssystem sowie die zuvor besuchte Seite. Zweck sind Verbindungsaufbau, Systemsicherheit und Fehleranalyse; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (zum Schutz der technischen Infrastruktur). IONOS erzeugt diese Dateien automatisch und bewahrt sie bis zu acht Wochen auf. Wir verarbeiten keine eigene Kopie dieser Protokolldaten.

Unabhängig von diesen Protokollen des Hosters führen wir zwei eigene Sicherheitsprotokolle. Beide zeichnen deinen gewöhnlichen Seitenbesuch nicht auf, sondern greifen nur bei Auffälligkeiten.

Das erste betrifft Meldungen deines Browsers: Er prüft, aus welchen Quellen eine Seite Inhalte lädt, und teilt uns mit, wenn etwas aus einer nicht zugelassenen Quelle stammt – ein Hinweis auf eingeschleusten Fremdcode. Wir halten dabei die aufgerufene Seite, die beanstandete Ressource und die verletzte Regel fest.

Das zweite betrifft Anfragen an unsere Server: Trägt eine Anfrage ein Muster, das für Angriffe typisch ist, protokollieren wir den Zeitpunkt, die aufgerufene Seite, das erkannte Muster und dessen unmittelbare Umgebung (höchstens 200 Zeichen) sowie Angaben zu Browser und Betriebssystem. Was du in Namens-, Adress- und Kontaktfelder einträgst, wird dabei ausgenommen; Passwörter ohnehin.

In beiden Fällen speichern wir deine IP-Adresse ausschließlich als nicht rückrechenbaren Hash – im Klartext legen wir sie nie ab. Sie dient allein dazu, die Zahl der Meldungen je Absender zu begrenzen. Diese Protokolle löschen wir nach 14 Tagen. Rechtsgrundlage ist unser berechtigtes Interesse daran, die Plattform gegen Angriffe zu schützen und im Ernstfall unseren Meldepflichten bei Datenschutzverletzungen nachkommen zu können (Art. 6 Abs. 1 lit. f DSGVO).

Um die Auslastung unserer Server zu überwachen und Missbrauch zu erkennen, halten wir je Browsersitzung die Kennung des Session-Cookies (Abschnitt 11), den Zeitpunkt des letzten Aufrufs, eine gekürzte Angabe zu deinem Browser, bei angemeldeten Nutzern das Konto sowie deine IP-Adresse als nicht rückrechenbaren Hash fest. Ein eigenes Cookie setzen wir dafür nicht. Die Übersicht ist nur für Administratoren einsehbar; einmal täglich bilden wir daraus Zählwerte ohne Personenbezug, etwa die Zahl der Besucher des Vortags. Die Einträge löschen wir nach sieben Tagen. Rechtsgrundlage ist unser berechtigtes Interesse an einem stabilen und sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Für eine Reichweitenstatistik erfassen wir bei jedem Seitenaufruf die Kennung des Session-Cookies (Abschnitt 11), die Art der aufgerufenen Seite (ohne konkrete App oder sonstige Kennungen aus der Adresse), die Domain der zuvor besuchten Seite, das Land, ob ein Mobilgerät genutzt wird, und den Zeitpunkt. Das Land ermitteln wir über eine lokal auf unserem Server gespeicherte Datenbank; die IP-Adresse wird danach verworfen. Aufrufe von Konto-, Anmelde- und Abmeldeseiten sowie automatisierte Zugriffe erfassen wir nicht. Ein eigenes Cookie setzen wir dafür nicht, und es werden keine Daten an Dritte übermittelt. Einmal täglich fassen wir die Einträge zu Zählwerten ohne Personenbezug zusammen, etwa Aufrufe je Seitenart und Tag; diese Zählwerte geben wir auch an Werbekunden weiter. Die Einzeleinträge löschen wir nach 14 Tagen. Rechtsgrundlage ist unser berechtigtes Interesse, die Nutzung unseres Angebots auszuwerten und Werbekunden die Reichweite nennen zu können (Art. 6 Abs. 1 lit. f DSGVO).

3. Nutzerkonto

Du kannst ohne Konto stöbern. Zum Voten, zum Einreichen einer App oder zum Vorschlagen eines Podcasts benötigst du eines. Erhoben werden:

• Nutzername
• E-Mail-Adresse
• Passwort (nicht im Klartext, sondern als bcrypt-Hash gespeichert)
• Zeitpunkt der Registrierung und Verifizierung

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Daten werden gelöscht, wenn du dein Konto löschst; zur Ausnahme siehe Abschnitt 4. Bei der Registrierung senden wir eine Bestätigungsmail; erst nach Klick auf den Link ist das Konto aktiv. Adressen bekannter Wegwerf-Dienste weisen wir zurück. Der Abgleich erfolgt auf unserem Server, es wird nichts an Dritte übermittelt.

Stimmst du unseren Nutzungsbedingungen zu, speichern wir, welcher Fassung du zugestimmt hast und wann. So können wir nachweisen, welche Bedingungen für dein Konto gelten. Die Angaben löschen wir zusammen mit deinem Konto.

Schutz vor Massen-Registrierungen

Zusätzlich speichern wir zu deinem Konto einen pseudonymisierten Vergleichswert deiner IP-Adresse bei der Registrierung – einen SHA-256-Hash mit serverseitigem Schlüssel, gebildet aus der vollständigen Adresse sowie aus ihrem Netzbereich (/24 bei IPv4, /64 bei IPv6) – sowie ein Geräte-Kennzeichen, das bei der Registrierung in deinem Browser abgelegt wird; fehlt es dort später, legen wir denselben Wert bei einer Anmeldung erneut ab. Damit begrenzen wir kurzfristig die Zahl neuer Konten pro Anschluss und erkennen darüber hinaus Konten-Farmen, die über längere Zeit aufgebaut werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse ist Schutz unseres Angebots vor missbräuchlicher Nutzung). Beide Angaben löschen wir spätestens 24 Monate nach der Registrierung; löschst du dein Konto vorher, werden sie zusammen mit ihm gelöscht. Die IP-Adresse selbst speichern wir nicht.

4. Stimmabgabe und Manipulationsschutz

Zu jeder Stimme speichern wir: die bewertete App oder den bewerteten Podcast, die Art der Stimme (auf / ab), dein Konto, den Zeitpunkt, einen Hash deiner IP-Adresse (SHA-256 mit serverseitigem Schlüssel) sowie einen Hash technischer Merkmale deines Browsers und Geräts. Zweck ist die Erkennung von Manipulation – etwa mehrerer Konten derselben Person oder automatisiert abgegebener Stimmen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Integrität der Abstimmung).

Beim Abstimmen liest dein Browser Eigenschaften deines Geräts und deiner Browser-Einstellungen aus. Gespeichert wird nur ein gesalzener Hash daraus, nicht die Eigenschaften selbst. Das Auslesen erfolgt nur im Moment der Stimmabgabe, nicht beim Stöbern. Es ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, weil es unbedingt erforderlich ist, um die von dir gewünschte Abstimmung mit einer Stimme pro Person bereitzustellen.

Bei Stimmabgaben speichern wir nicht die IP-Adresse selbst, sondern einen pseudonymisierten Vergleichswert. So entsteht keine Liste der IP-Adressen, von denen aus du abgestimmt hast.

Erkennt das System ein auffälliges Muster, wird die betroffene Stimme gekennzeichnet und bei der Award-Wertung nicht mitgezählt; diesen Schritt nimmt es automatisch vor. Bestätigt sich der Verdacht, ergreifen wir abgestufte Maßnahmen nach unseren AGB – bis hin zur Sperrung des Kontos. Über diese Maßnahmen entscheiden wir im Einzelfall und nicht ausschließlich automatisiert; eine Entscheidung allein aufgrund automatisierter Verarbeitung im Sinne von Art. 22 DSGVO findet nicht statt.

Um abgesprochene Stimmen zu erkennen, werten wir den zeitlichen Ablauf von Registrierungen und Stimmabgaben, pseudonymisierte IP- und Gerätemerkmale, Übereinstimmungen zwischen Konten sowie Abgleiche mit öffentlichen Anbieterangaben aus.

Damit ein Ausschluss nicht durch ein neues Konto umgangen wird, speichern wir zu beanstandeten Vorgängen Merkmale zur Wiedererkennung: den IP-Hash, ein Geräte- bzw. Browser-Kennzeichen und Angaben zum beanstandeten Vorgang. Diese nutzen wir ausschließlich dafür – nicht für Werbung und nicht für eine Verhaltensanalyse.

Löschst du dein Konto, werden deine Stimmen entfernt. Der Protokolleintrag bleibt ohne Zuordnung zu einem Nutzerkonto erhalten (Zeitpunkt, App bzw. Podcast, IP-Hash), weil sich der Schutz sonst durch „löschen, neu anlegen, erneut abstimmen” aushebeln ließe. Auch dieser Eintrag wird nach 24 Monaten gelöscht.

5. App- und Podcast-Einreichungen, Datenquellen und verifizierte Anbieter

Reichst du eine App ein, speichern wir dein Konto, den Zeitpunkt und die eingereichte URL. Die App-Daten selbst beziehen wir bei Apple aus der offiziellen iTunes-Such-API und bei Windows-Apps aus dem Microsoft Store; bei Android-Apps gibt sie der Entwickler selbst ein. Zu jeder App zeigen wir den Namen des Anbieters aus den Store-Daten an – bei Einzelentwicklern kann das ein Klarname sein, der aus deren eigener Store-Veröffentlichung stammt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (wir haben ein berechtigtes Interesse daran, ein vollständiges App-Verzeichnis zu betreiben und erkennbar zu machen, wer eine App anbietet; der Name stammt aus der eigenen Veröffentlichung des Anbieters im Store).

Anbieter können nachweisen, dass eine App ihnen gehört, und werden dann zum Bearbeiten ihrer Daten freigeschaltet. Dafür verarbeiten wir die Angaben aus dem Antrag, den Nachweis (etwa eine E-Mail-Adresse unter der Domain der App), Zeitpunkt und Ergebnis der Prüfung sowie einen Verifizierungsstatus und API-Token. Diese Daten werden gelöscht, wenn der Status entfällt oder das Konto gelöscht wird. Verifizierte Anbieter können darüber hinaus Gutschein-Codes zu ihren Apps für künftige Verlosungen bereitstellen (gespeichert werden Code, App und das hinterlegende Konto) und ein Award-Widget einbinden. Beim Widget protokollieren wir die Domain der einbindenden Seite samt Zeitpunkt und Anzahl der Abrufe, um Missbrauch zu erkennen. Daten der Besucher jener Seite speichern wir nicht.

Die gelisteten Podcasts stammen aus den öffentlichen RSS-Feeds ihrer Anbieter. Welche Podcasts wir aufnehmen, ermitteln wir über die Podcast-Charts und die Suche von Apple sowie, optional, die Verzeichnisse Podcast Index und fyyd. Du kannst außerdem selbst einen Podcast vorschlagen: Dafür suchst du ihn im Verzeichnis von Apple (dein Suchbegriff wird dazu von unserem Server an Apple übermittelt, Daten zu deiner Person nicht), und mit einem Konto nimmst du ihn auf. Wir speichern dann dein Konto, den Zeitpunkt und die Feed-Adresse; alle Inhalte (Titel, Beschreibung, Cover, Kategorien) lesen wir aus dem Feed, nicht aus deiner Eingabe. Aus dem Feed übernehmen wir auch die dort vom Anbieter veröffentlichten Angaben: den Namen des Anbieters bzw. der verantwortlichen Person sowie eine Kontakt-E-Mail-Adresse aus dem Feld „itunes:owner". Diese Adresse zeigen wir nie öffentlich an; wir nutzen sie, damit ein Anbieter auf Wunsch nachweisen kann, dass der Podcast ihm gehört (siehe unten). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem vollständigen, auffindbaren Verzeichnis und an einem sicheren Nachweis der Zuständigkeit). Da diese Angaben aus dem Feed und nicht bei der betroffenen Person selbst erhoben werden, informieren wir hiermit nach Art. 14 DSGVO; du kannst der Verarbeitung jederzeit unter datenschutz@mostvoted.app widersprechen.

Wer einen Podcast verantwortet, kann ihn als seinen ausweisen (verifizieren) und wird dann zur Pflege freigeschaltet. Den Nachweis führst du über die im Feed hinterlegte Kontaktadresse, über eine Adresse unter der Domain der offiziellen Website oder über einen Prüfcode, den du vorübergehend im Feed oder auf der Website hinterlegst. Dafür verarbeiten wir dein Konto, die gewählte Nachweismethode, beim Mail-Nachweis die Adresse, an die der Code ging, und den Code nur als Hash (24 Stunden gültig), beim Website- oder Feed-Nachweis den Prüfcode, den du ohnehin öffentlich hinterlegst, sowie Zeitpunkt und Ergebnis der Prüfung. Verifizierte Inhaber können uns Korrekturhinweise zu ihrem Podcast schicken; wir speichern dazu Konto, betroffenes Feld, Text und Bearbeitungsstand. Diese Daten löschen wir, wenn der Status entfällt oder das Konto gelöscht wird. Ein einbindbares Podcast-Award-Widget gibt es ebenfalls; anders als beim App-Widget protokollieren wir dabei keine Daten der einbindenden Seite (weder Domain noch Abrufzahl).

6. Kontaktdaten und Kommunikation mit App-Anbietern und Podcast-Betreibern

Zu einer gelisteten App können Kontaktdaten einer Ansprechperson hinterlegt sein: Name, geschäftliche E-Mail-Adresse, Telefonnummer (freiwillig), bevorzugte Sprache, eine interne Notiz zur Kommunikation sowie der Stand einer Einwilligung in werbliche Ansprache. Sie stammen aus dem Einreich-Formular, aus der Pflege durch den verifizierten Anbieter oder – nach ausdrücklicher Erklärung über einen anderen Kanal – aus einem Eintrag durch uns. Sie werden nie öffentlich angezeigt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, im Übrigen lit. f oder die Einwilligung der Ansprechperson nach lit. a. Jede Änderung des Einwilligungsstands protokollieren wir mit Zeitpunkt, Herkunft und Textfassung.

Wird eine App ausgezeichnet, benachrichtigen wir die Ansprechperson per E-Mail an die Adresse, die im Entwicklerformular hinterlegt wurde. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Information über die eigene Listung). Enthält die Nachricht zusätzlich ein Angebot zu Werbung oder Zusammenarbeit, geschieht das nur bei gesonderter Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Gespeichert werden Empfängeradresse, App und Auszeichnung, Versandzeitpunkt, Zustellstatus, der Grund einer Unzustellbarkeit sowie ein Zeitstempel, wenn ein Link in der Mail angeklickt wird. Zweck ist allein zu erkennen, ob unsere Nachrichten ankommen; ein Interessenprofil entsteht nicht. Diese Daten löschen wir nach 24 Monaten.

Bei Podcast-Auszeichnungen benachrichtigen wir den verifizierten Inhaber des Podcasts per E-Mail an die Adresse seines Nutzerkontos. Gespeichert werden Wettbewerb, Podcast und Auszeichnung, die Empfängeradresse, der Versandzeitpunkt sowie der Zustellstatus (bei Fehlern der Fehlertext). Ob ein Link angeklickt wurde, erfassen wir hier nicht. Abgemeldete Adressen überspringen wir; jede Mail enthält einen Abmeldelink. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Information über die eigene Listung). Diese Daten löschen wir nach 24 Monaten, bei Löschung des Kontos sofort.

Jede Mail an eine Ansprechperson enthält einen Abmelde-Link; nach dem Öffnen genügt ein Klick auf die Bestätigung. Er bezieht sich auf die werbliche Ansprache: Die Abmeldung wird dauerhaft vermerkt, sodass wir den Anbieter weder bei künftigen Anlässen noch persönlich zu Werbe- oder Kooperationsthemen ansprechen. Rein informative Mitteilungen zur Listung und zu Auszeichnungen bleiben davon unberührt. Enthält eine Nachricht ein Angebot zu Werbung oder Zusammenarbeit, erhält unser Anzeigenverkauf eine Kopie, um Rückmeldungen zu bearbeiten. Diese Aufgabe nimmt ein selbstständiger Vertriebspartner wahr, der die Kontaktdaten als eigenständiger Empfänger erhält und uns gegenüber vertraglich zu Vertraulichkeit und Zweckbindung verpflichtet ist; ein Zugriff auf Konten oder Daten unserer Plattform-Nutzer besteht dabei nicht.

7. Kontaktadressen aus öffentlich zugänglichen Quellen

Für gelistete Apps von Anbietern mit Sitz in den USA, zu denen uns keine Ansprechperson vorliegt, ermitteln wir eine geschäftliche Kontaktadresse von der Website des Anbieters (etwa der Kontakt-, Presse- oder Support-Seite). Gespeichert werden die Adresse, ihre Art, die Quell-URL und der Zeitpunkt des Abrufs. Wir verwenden je Anbieter nur eine Adresse und keine, die für Datenschutz- oder Rechtsanfragen bestimmt ist. Kontaktadressen von Anbietern außerhalb der USA nutzen wir hierfür nicht.

Zweck ist eine einmalige E-Mail, mit der wir den Anbieter darüber informieren, dass seine App bei uns gelistet ist, wie er die Listung selbst verwalten kann und welche Leistungen wir anbieten. Die E-Mail ist als Werbung gekennzeichnet und enthält einen Abmeldelink. Reagiert der Anbieter nicht, schreiben wir ihn nicht erneut an.

Da diese Daten nicht bei der betroffenen Person selbst erhoben wurden, informieren wir hiermit nach Art. 14 DSGVO: Verantwortlicher ist die oben genannte movo media GmbH. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht darin, Anbieter über die Listung ihrer Apps zu informieren und unsere Plattform bekannt zu machen. Empfänger sind ausschließlich wir selbst. Du kannst der Verarbeitung jederzeit widersprechen – über den Abmeldelink in der E-Mail oder an datenschutz@mostvoted.app. Dann nehmen wir die Adresse in eine Sperrliste auf, die allein dazu dient, dich nicht erneut anzuschreiben, und löschen sie im Übrigen unverzüglich. Ohne Widerspruch löschen wir eine so ermittelte Adresse spätestens 24 Monate nach ihrer Erfassung.

Podcasts: Für Podcasts suchen wir keine Adressen auf Websites. Die einzige Kontaktadresse, die wir zu einem Podcast verarbeiten, ist die, die der Anbieter selbst im öffentlich abrufbaren RSS-Feed veröffentlicht (Feld „itunes:owner"); woher sie kommt und wie lange wir sie speichern, steht in Abschnitt 5. Sie dient allein dazu, einem Anbieter den Nachweis zu ermöglichen, dass der Podcast ihm gehört. Wir nutzen sie nicht für eine Ansprache wie im vorstehenden Absatz und versenden darüber keine Werbe- oder Einladungs-Mails. Dein Widerspruchsrecht gilt ebenso: eine Nachricht an datenschutz@mostvoted.app genügt.

8. Jury

Für Jury-Empfehlungen veröffentlichen wir Name, Foto, Kurzvorstellung und die Empfehlungstexte der Jury-Mitglieder. Diese Angaben stammen von den Mitgliedern selbst und werden mit ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) beziehungsweise auf Grundlage der Vereinbarung über die Mitwirkung (lit. b) veröffentlicht. Ein Widerruf mit Wirkung für die Zukunft ist jederzeit möglich.

9. Kontaktformular

Über das Kontaktformular übermittelst du Name, E-Mail-Adresse und Nachricht. Diese Daten speichern wir zur Bearbeitung deiner Anfrage und löschen sie nach Abschluss der Korrespondenz, sofern keine Aufbewahrungspflichten bestehen. Rechtsgrundlage ist je nach Inhalt deiner Anfrage Art. 6 Abs. 1 lit. b oder lit. f DSGVO (Berechtigtes Interesse an der Bearbeitung deiner Anfrage).

Presseverteiler

Journalistinnen und Journalisten können sich auf unserer Presseseite für den Empfang unserer Pressemitteilungen eintragen. Pflichtangabe ist die E-Mail-Adresse; Name, Redaktion und die Angabe, welche Art von Mitteilungen dich interessiert, sind freiwillig. Zusätzlich speichern wir die Sprache der Seite, über die der Eintrag erfolgte, sowie deine IP-Adresse als nicht rückrechenbaren Hash – letzteren ausschließlich, um die Zahl der Eintragungen je Absender zu begrenzen.

Der Eintrag wird erst wirksam, wenn du ihn bestätigst: Wir senden dir eine E-Mail mit einem Bestätigungslink, der sieben Tage gültig ist. Bis dahin erhältst du keine Pressemitteilungen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen – über den Abmeldelink in jeder Mail oder formlos an info@movo.media. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt.

Daneben führen wir einen redaktionell zusammengestellten Presseverteiler mit Kontaktdaten, die wir öffentlich zugänglichen Quellen entnommen oder im beruflichen Austausch erhalten haben. Diese Adressen stammen nicht aus einer Eintragung auf unserer Seite; Rechtsgrundlage ist unser berechtigtes Interesse an Pressearbeit (Art. 6 Abs. 1 lit. f DSGVO). Auch hier trägt jede Mail einen Abmeldelink, und du kannst der weiteren Ansprache jederzeit widersprechen.

Meldest du dich ab, nehmen wir deine Adresse in eine Sperrliste auf. Sie dient allein dazu, dich nicht erneut anzuschreiben, und ist von einer weiteren Verarbeitung ausgenommen.

10. Bot- und Missbrauchsschutz (Cloudflare Turnstile)

Bei Registrierung, Anmeldung, Passwort-Zurücksetzung und erneutem Versand der Bestätigungsmail setzen wir Cloudflare Turnstile ein (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA). Das Prüfmodul wird erst geladen, wenn du eines dieser Fenster öffnest – solange du dich nur umsiehst, entsteht keine Verbindung zu Cloudflare.

Öffnest du ein Anmelde-Fenster, übermittelt dein Browser insbesondere deine IP-Adresse, Angaben zu Browser und Betriebssystem sowie technische Merkmale deiner Interaktion; Cloudflare kann hierfür Informationen in deinem Browser speichern oder auslesen. Zweck ist der Schutz vor automatisiertem Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Eine Übermittlung in die USA kann stattfinden; Cloudflare beruft sich auf Standardvertragsklauseln und seine Zertifizierung nach dem EU-US Data Privacy Framework.

11. Cookies und lokale Speicherung

Wir verwenden technisch notwendige Cookies: ein Session-Cookie (12 Stunden bzw. bis zum Schließen des Browsers), ein Remember-Me-Cookie (30 Tage, nur bei „Angemeldet bleiben”), ein CSRF-Token-Cookie gegen Cross-Site-Request-Forgery sowie das bei der Registrierung abgelegte Geräte-Kennzeichen (Abschnitt 3), einen Zufallswert zum Schutz vor Massen-Registrierungen, den wir bei einer Anmeldung erneut ablegen, wenn er im Browser fehlt. Hinzu kommen drei Cookies, die sich deine Einstellungen merken: mv_filter_platforms (welche Plattformen du in den Listen sehen möchtest), mv_filter_lang (nach welchen App-Sprachen du filterst) und mv_locale (gewählte Sprache der Oberfläche), alle drei ein Jahr gültig. Diese Einträge sind nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, weil sie für den Betrieb beziehungsweise für eine von dir gewünschte Funktion erforderlich sind.

Davon zu unterscheiden ist FCCDCF: Dieses Cookie setzt Googles Einwilligungs-Dialog (Abschnitt 13) und hält deine Entscheidung fest. Es wird bereits gesetzt, bevor du entschieden hast, weil der Dialog sonst nicht angezeigt werden könnte.

Kein Cookie, aber verwandt: Beim Abstimmen liest dein Browser Geräteeigenschaften aus (Abschnitt 4), statt dass wir etwas ablegen. Dieser Zugriff ist einwilligungsfrei; Einzelheiten stehen in Abschnitt 4.

Widersprichst du dem Laden von App-Screenshots (Abschnitt 12), speichern wir das lokal in deinem Browser (Local Storage, Eintrag mv_consent_media); dieser Eintrag wird nicht an unseren Server übertragen. Der Bot-Schutz aus Abschnitt 10 und die Werbung aus Abschnitt 13 können eigene Einträge setzen. Eigene Werbe- oder Tracking-Cookies setzen wir nicht.

12. Bilder von fremden Servern: App-Screenshots und Podcast-Cover

App-Symbole laden wir einmalig auf unseren eigenen Server und liefern sie von dort aus, damit deine IP-Adresse beim Betrachten einer App-Seite nicht an die Store-Betreiber übermittelt wird; nur in wenigen Einzelfällen wird ein Symbol direkt vom Store geladen. Screenshots dagegen werden stets direkt von den Servern der Store-Betreiber geladen – insbesondere von is1-ssl.mzstatic.com (Apple Inc., USA), play-lh.googleusercontent.com (Google Ireland Limited, Irland, mit Servern auch außerhalb der EU) sowie store-images.s-microsoft.com, store-images.microsoft.com und images-eds-ssl.xboxlive.com (Microsoft Corporation, USA).

Dein Browser stellt dabei eine direkte Verbindung zu diesen Anbietern her und übermittelt deine IP-Adresse sowie Angaben zu Browser und Betriebssystem. Welche Seite du bei uns aufgerufen hast, wird nicht übermittelt; aus dem angeforderten Bild kann der jeweilige Store aber erkennen, zu welcher App es gehört. Eine Übermittlung in die USA ist möglich; Apple, Google und Microsoft sind nach dem EU-US Data Privacy Framework zertifiziert. Auf die weitere Verarbeitung haben wir keinen Einfluss. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: Wir haben ein berechtigtes Interesse daran, dir die Screenshots einer App anzuzeigen, und können sie nicht ohne Weiteres auf unseren eigenen Server übernehmen, weil die Rechte an den Screenshots bei den Anbietern liegen. Du kannst dem Laden der Screenshots jederzeit am Ende dieser Seite widersprechen. Wir zeigen dann Platzhalter; deine IP-Adresse wird nicht übertragen und die Seite bleibt vollständig nutzbar.

Podcast-Cover behandeln wir wie App-Symbole: Wir laden sie einmalig auf unseren eigenen Server und liefern sie von dort als verkleinerte Kopie aus, damit deine IP-Adresse beim Betrachten nicht an den Feed-Host übermittelt wird. Nur solange ein Cover noch nicht gespiegelt ist, wird es übergangsweise direkt von der im Feed angegebenen Adresse geladen. Der Widerspruch gegen Screenshots weiter unten betrifft allein die App-Stores.

Zum Nachweis von Einwilligungen (Art. 7 Abs. 1 DSGVO) und Widersprüchen protokollieren wir jede Entscheidung datensparsam: die Entscheidung selbst, die betroffene Kategorie, den Anlass, das Datum sowie einen Hash deiner IP-Adresse (SHA-256 mit serverseitigem Schlüssel), der allein dazu dient, mehrfache Einträge desselben Besuchers an einem Tag zusammenzufassen. Laden die Screenshots, ohne dass du eine Entscheidung triffst, entsteht kein Protokolleintrag. Dasselbe Protokoll nutzen wir für Entscheidungen über werbliche Ansprache (Abschnitt 6). Wir bewahren es drei Jahre auf. Rechtsgrundlage: Art. 6 Abs. 1 lit. c in Verbindung mit Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO.

13. Werbung

Wir zeigen direkt verkaufte Werbung und gesponserte Platzierungen; dafür findet kein nutzerbezogenes Retargeting statt. Zusätzlich binden wir das Werbenetzwerk Google AdSense der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) ein. Die Anzeigen werden von Google-Servern ausgeliefert, sobald AdSense freigeschaltet ist; Google kann dabei Cookies und ähnliche Technologien einsetzen, deine IP-Adresse verarbeiten und Daten in Drittländer – insbesondere in die USA – übermitteln. Für die Übermittlung in die USA stützt sich Google auf die EU-Standardvertragsklauseln sowie seine Zertifizierung unter dem EU-US Data Privacy Framework.

Ob du personalisierte Werbung siehst, entscheidest du im Einwilligungs-Dialog. Stimmst du der Personalisierung zu, kann Google dir Anzeigen auf Grundlage eines Interessenprofils ausspielen, das aus deinem Verhalten auf dieser und auf anderen Websites im Google-Werbenetzwerk gebildet wird. Lehnst du nur die Personalisierung ab, richten sich die Anzeigen nach dem Inhalt der Seite und einer groben Ortsangabe. Lehnst du Werbung insgesamt ab, zeigen wir keine Google-Anzeigen. Deine Entscheidung kannst du jederzeit über die Datenschutz-Einstellungen am Ende dieser Seite ändern.

Die Anzeigen können von Google und seinen Werbepartnern ausgeliefert werden; welche das sind, kannst du im Einwilligungs-Dialog unter „Liste der Partner” einsehen.

Die Einwilligung in Werbung holen wir über Googles zertifizierte Einwilligungsverwaltung (Consent Management Platform nach dem IAB Transparency & Consent Framework) ein. Ohne deine Einwilligung werden keine Anzeigen-Skripte von Google geladen und keine Werbe-Cookies gesetzt. Über Google Consent Mode wird deine Entscheidung an die Google-Dienste weitergegeben.

Eine Einschränkung, die wir offenlegen: Der Einwilligungs-Dialog stammt von Google und wird deshalb von einem Google-Server geladen (fundingchoicesmessages.google.com). Dieser eine Aufruf erfolgt, bevor du entschieden hast, und überträgt dabei deine IP-Adresse – ohne ihn könnten wir dir den Dialog nicht anzeigen. Dabei setzt Google ein Cookie (FCCDCF), in dem deine Einwilligungsentscheidung festgehalten wird; der eigentliche Anzeigen-Code (pagead2.googlesyndication.com) wird erst nach deiner Einwilligung nachgeladen. Das Cookie FCCDCF dient allein dazu, deine Entscheidung zu speichern, und ist deshalb ohne Einwilligung zulässig (§ 25 Abs. 2 Nr. 2 TDDDG). Die Übertragung deiner IP-Adresse beim Laden des Dialogs beruht auf unserem berechtigten Interesse, dich überhaupt fragen zu können (Art. 6 Abs. 1 lit. f DSGVO).

Welche Cookies Google im Einzelnen setzt und wie lange sie gültig sind, ändert sich laufend. Eine jederzeit aktuelle Übersicht führt Google unter business.safety.google/adscookies.

Google und seine Werbepartner dürfen dabei Cookies in deinem Browser setzen und auslesen sowie Zählpixel (Web-Beacons) und deine IP-Adresse verwenden, um Daten zu speichern, die sie durch die Anzeigenbereitstellung auf dieser Website erhalten. Wie Google Daten von Websites und Apps verarbeitet, auf denen seine Dienste genutzt werden, erklärt Google unter google.com/policies/privacy/partners.

Reichweiten-Messung der eigenen Werbung

Für direkt verkaufte Werbung erfassen wir Banner-ID, Art des Ereignisses (Einblendung oder Klick), Zeitstempel, einen Hash von IP-Adresse und User-Agent, die Sichtbarkeitsdauer, eine Bot-Kennzeichnung sowie Sprache und Land. Die Länderzuordnung erfolgt über eine lokal auf unserem Server gespeicherte Datenbank (DB-IP Country Lite) – es findet keine Abfrage bei einem Dritten statt, und die IP-Adresse wird nach dem Nachschlagen verworfen. Klickst du auf eine Anzeige, hängen wir an die Ziel-Adresse Parameter an, die den Klick als von Most Voted kommend ausweisen (derzeit utm_source=mostvoted.app); personenbezogene Daten übermitteln wir dabei nicht. Werbekunden erhalten über einen persönlichen Zugangs-Link (ein Jahr gültig) eine Auswertung, die ausschließlich zusammengefasste Zahlen enthält. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

14. Werbekunden-Verwaltung (CRM)

Für die Betreuung unserer Werbekunden nutzen wir ein internes System, in dem wir die geschäftlichen Kontaktdaten der dortigen Ansprechpersonen, die zugehörige Korrespondenz und die Unterlagen zur jeweiligen Buchung verarbeiten. Zweck ist die Anbahnung, Durchführung und Abrechnung von Werbebuchungen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Daten unserer Plattform-Nutzer sind davon nicht betroffen. Zugriff haben nur Administratoren und unser selbstständiger Vertriebspartner (Abschnitt 6). Gelöscht wird, sobald die Geschäftsbeziehung beendet ist und keine handels- oder steuerrechtlichen Aufbewahrungsfristen mehr entgegenstehen (§§ 257 HGB, 147 AO).

15. Weitere Dienstleister und Drittlandübermittlungen

Apple und Microsoft: Für App-Daten rufen wir die offizielle iTunes-Such-API von Apple Inc. (Cupertino, USA) sowie Daten des Microsoft Store der Microsoft Corporation (Redmond, USA) ab. Diese Abrufe erfolgen serverseitig; personenbezogene Daten unserer Nutzer werden dabei nicht übermittelt.

Podcast-Verzeichnisse: Für die Auswahl der Podcasts und für die Suche beim Vorschlagen nutzen wir die öffentlichen Podcast-Charts und die Suche von Apple Inc. (USA) sowie, optional, die Dienste Podcast Index (USA) und fyyd (Deutschland). Die Podcast-Inhalte selbst laden wir serverseitig aus den RSS-Feeds der Anbieter. Übermittelt werden dabei höchstens Suchbegriffe, keine personenbezogenen Daten unserer Nutzer.

Anthropic: Die kurzen Zusammenfassungen unter den App-Namen erzeugen wir maschinell mit einem Sprachmodell von Anthropic PBC (San Francisco, USA). Übermittelt wird ausschließlich die öffentliche Store-Beschreibung der jeweiligen App bzw. bei Podcasts die öffentliche Beschreibung aus dem RSS-Feed; diese kann den Namen des Anbieters enthalten, soweit er sich dort selbst nennt. Daten unserer Nutzerkonten werden nicht übermittelt. Der Anbieter verwendet die Texte nach seinen Bedingungen nicht zum Training seiner Modelle; die Verarbeitung richtet sich nach seinem Auftragsverarbeitungs-Zusatz.

Soziale Medien: Wir betreiben Profile auf Instagram, Facebook, TikTok, YouTube und X. Folgst du uns, kommentierst oder schreibst uns, verarbeiten wir deinen Profilnamen und deine Nachricht, um zu antworten und Missbrauch zu entfernen (Art. 6 Abs. 1 lit. f DSGVO). Soweit wir von den Anbietern Statistiken zur Nutzung unserer Profile erhalten, sind wir mit ihnen gemeinsam verantwortlich (Art. 26 DSGVO); für Facebook und Instagram ist das in einer Vereinbarung mit Meta Platforms Ireland Limited geregelt (facebook.com/legal/terms/page_controller_addendum), und deine Rechte kannst du auch direkt beim jeweiligen Anbieter geltend machen. Im Übrigen ist der Anbieter nach seinen eigenen Datenschutzbestimmungen verantwortlich; er übermittelt Daten auch in Drittländer wie die USA. Die Teilen-Schaltflächen auf den App-Seiten sind einfache Links: Ein Dienst erhält erst dann Daten, wenn du darauf klickst.

Zahlungsabwicklung (Stripe): Für die Abwicklung entgeltlicher Buchungen nutzen wir den Zahlungsdienstleister Stripe Payments Europe, Limited (1 Grand Canal Street Lower, Dublin 2, Irland). Wenn du eine Buchung bezahlst, werden die dafür erforderlichen Daten an Stripe übermittelt, insbesondere Name, E-Mail-Adresse, Rechnungsanschrift, Buchungsbetrag und die von dir gewählten Zahlungsdaten. Deine vollständigen Zahlungsdaten – etwa die Kartennummer – gibst du unmittelbar bei Stripe ein; wir erhalten sie nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrags). Stripe verarbeitet die Daten zugleich in eigener Verantwortung, um gesetzliche Pflichten zur Betrugsprävention, Geldwäsche- und Steuerkontrolle zu erfüllen (Art. 6 Abs. 1 lit. c und f DSGVO); Einzelheiten dazu stehen in der Datenschutzerklärung von Stripe. Eine Übermittlung in die USA an die Stripe, Inc. ist möglich und durch die Standardvertragsklauseln der Europäischen Kommission abgesichert. Rechnungs- und Buchungsdaten bewahren wir nach den handels- und steuerrechtlichen Fristen auf, in der Regel zehn Jahre.

16. Speicherdauer im Überblick

• Server-Protokolldateien: bis zu acht Wochen beim Hosting-Anbieter; keine eigene Kopie
• Nutzerkonto: bis zur Löschung durch dich
• Registrierungs-IP-Hashes und Geräte-Kennzeichen: 24 Monate, bei früherer Konto-Löschung mit dem Konto
• Stimmabgaben und Manipulations-Hashes: 24 Monate; der Protokolleintrag ohne Konto-Bezug ebenso
• Merkmale zu Verwarnungen: 24 Monate ab der Verwarnung
• Einwilligungs-Protokoll: 3 Jahre zum Nachweis der erteilten oder widerrufenen Einwilligung und deines Widerspruchs
• App- und Podcast-Einreichungen, App-Widget-Einbindungen: solange der Eintrag gelistet ist; die Verknüpfung zu deinem Konto endet mit dessen Löschung
• Verifizierungsdaten und Korrekturhinweise von App- und Podcast-Anbietern: bis der Verifizierungsstatus entfällt oder das Konto gelöscht wird
• Aus RSS-Feeds übernommene Kontaktadresse: bis der Podcast abgelehnt wird oder sein Feed 24 Monate lang nicht mehr abgerufen wurde; bei Widerspruch unverzüglich
• Kontaktdaten von App-Anbietern: solange die App gelistet ist; nach Widerspruch unverzüglich
• Aus öffentlichen Quellen ermittelte Kontaktadressen (nur Anbieter in den USA): 24 Monate, bei Widerspruch unverzüglich, danach nur Sperrvermerk
• Versanddaten der Benachrichtigungen (bei Apps auch Klickdaten): 24 Monate; danach bleibt nur der Vermerk ohne Personenbezug, dass zu einer App eine Auszeichnung mitgeteilt wurde
• Kontaktanfragen: bis zur abschließenden Bearbeitung
• Nachrichten und Kommentare über soziale Medien: bis zur abschließenden Bearbeitung; auf den Plattformen selbst nach deren Regeln
• Werbe-Messdaten (Einblendungen und Klicks): 24 Monate nach der Erhebung, danach Löschung · Zugangs-Links zu Auswertungen: ein Jahr
• Werbekunden-CRM: Dauer der Geschäftsbeziehung zuzüglich gesetzlicher Aufbewahrungsfristen
• Session-Cookie: 12 Stunden bzw. bis zum Schließen des Browsers · Remember-Me-Cookie: 30 Tage
• Sicherheitsprotokolle (blockierte Inhalte, auffällige Anfragen): 14 Tage
• Sitzungsstatistik (Serverauslastung): 7 Tage
• Reichweitenstatistik (Seitenaufrufe): 14 Tage; danach nur Zählwerte ohne Personenbezug
• Presseverteiler: bis zum Widerruf, danach nur Sperrvermerk

17. Deine Rechte, Beschwerderecht und Änderungen

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) sowie auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO). In den Konto-Einstellungen kannst du jederzeit selbst eine Kopie deiner Daten als JSON-Datei herunterladen und dein Konto löschen. Die Kopie enthält aus Sicherheitsgründen keine Passwörter, keine Sitzungs- oder Sicherheits-Token und keine gesalzenen IP- und Geräte-Hashes; für dich wären diese Werte ohne den Schlüssel ohnehin nicht lesbar. Für alle anderen Anliegen wende dich an datenschutz@mostvoted.app.

Werbliche Ansprache an App-Anbieter: Ist eine Kontaktadresse als Ansprechperson eines Anbieters hinterlegt, kann der Verarbeitung zum Zweck der Direktwerbung jederzeit ohne Angabe von Gründen widersprochen werden – über den Abmelde-Link in jeder Mail oder formlos an die genannte Adresse. Danach sprechen wir den Anbieter zu Werbe- und Kooperationsthemen weder per E-Mail noch telefonisch erneut an. Rein informative Mitteilungen zur Listung und zu Auszeichnungen bleiben davon unberührt.

Du kannst dich außerdem bei einer Aufsichtsbehörde beschweren. An unserem Sitz ist die zuständige Behörde:

Wir passen diese Datenschutzerklärung an, wenn rechtliche Vorgaben oder technische Änderungen dies erforderlich machen. Es gilt die jeweils hier veröffentlichte Fassung; das Datum der letzten Änderung steht am Ende. Eine gesonderte Benachrichtigung erfolgt nicht.

Stand: 12. November 2026

Widerspruch: App-Screenshots

Auf den App-Detailseiten laden wir Screenshots direkt von den Servern der App-Stores (Apple, Google, Microsoft). Dabei wird deine IP-Adresse an den jeweiligen Store übertragen (Abschnitt 12). Du kannst dem hier jederzeit widersprechen; wir zeigen dann Platzhalter. Deinen Widerspruch kannst du ebenso wieder aufheben.

Aktueller Status: …

Einwilligung: Werbung

Für die Anzeige von Werbung holen wir deine Einwilligung über den Einwilligungs-Dialog von Google ein. Dort kannst du deine Entscheidung jederzeit ändern oder zurücknehmen.