Sicherheit

Ihre Daten bleiben Ihre Daten

Für die Daten Ihrer Teilnehmenden sind Sie verantwortlich, Rivetly verarbeitet sie nur in Ihrem Auftrag. Wir nutzen sie nicht für eigene Zwecke, geben sie nicht weiter und werten sie nicht aus.

Den Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO schließen Sie direkt beim Einrichten Ihres Kontos ab – ohne Papier. Er enthält alle Sicherheitsmaßnahmen und alle Dienstleister, die wir einsetzen.

Nur die Daten, die Sie brauchen

• Das Teilnahmeformular hat einen festen Satz an Feldern. Sie entscheiden, welche davon Sie abfragen. Pflicht ist nur die E-Mail-Adresse.
• Es gibt keine Freitextfelder und kein Geburtsdatum. Das Mindestalter bestätigen Teilnehmende mit einem Häkchen.
• Eine Anschrift können Sie nur abfragen, wenn es einen Sachpreis zu versenden gibt.

Löschen nach festen Fristen

• Sie legen je Kampagne fest, wann die Daten gelöscht werden: 1 bis 12 Monate nach dem Ende. Rivetly löscht dann automatisch.
• Jede E-Mail an Teilnehmende enthält den Link „Meine Daten löschen“. Er funktioniert ohne Anmeldung.
• Einzelne Teilnehmende löschen Sie jederzeit selbst im Kundenbereich.
• Lösen Sie Ihr Konto auf, löschen wir alle Ihre Kampagnen, Bilder und Daten der Teilnehmenden.

Einwilligungen mit Nachweis

Möchten Sie Teilnehmenden später Werbung schicken, holt Rivetly die Einwilligung im Double-Opt-in-Verfahren ein. Das Häkchen ist freiwillig, nicht vorausgewählt und keine Bedingung für die Teilnahme. Wir speichern den genauen Wortlaut, den Zeitpunkt und die IP-Adresse der Einwilligung und ihrer Bestätigung. So können Sie die Einwilligung nachweisen.

Spielseiten ohne Cookies und ohne Dritte

• Die Spielseiten setzen keine Cookies – auch dann nicht, wenn Sie das Gewinnspiel in Ihre Website einbinden.
• Schriften, Skripte und Symbole kommen von unseren eigenen Servern. Es gibt kein Tracking und keine Inhalte von Dritten.
• Den Schutz vor Bots übernimmt ein Verfahren, das auf unseren Servern läuft und keine Daten an andere Anbieter sendet.
• Gewinncodes verschicken wir nur per E-Mail. Im Browser sind sie nie sichtbar.

Sichere Anmeldung

• Sie melden sich mit Passwort oder mit einem Passkey an, also mit Fingerabdruck, Gesichtserkennung oder Geräte-PIN.
• Passwörter speichern wir nur als nicht umkehrbaren Hashwert.
• Anmeldeversuche sind begrenzt. Eine Passwortänderung meldet alle anderen Sitzungen ab.
• Den Export und das Löschen von Daten der Teilnehmenden darf nur die Ansprechperson Ihres Kontos ausführen. Beides wird protokolliert.
• Der Zugang für den Betrieb der Plattform ist immer mit einem zweiten Faktor geschützt.

Schutz der Anwendung

• Alle Seiten sind ausschließlich verschlüsselt über HTTPS erreichbar.
• Die Daten jedes Kundenkontos sind strikt voneinander getrennt.
• Formulare sind gegen gefälschte Anfragen geschützt, öffentliche Formulare zusätzlich gegen massenhafte automatische Eingaben.
• Hochgeladene Bilder werden neu kodiert und dabei von Metadaten befreit.
• Sicherheitsrelevante Vorgänge protokollieren wir ohne E-Mail-Adressen und Passwörter und löschen die Einträge nach 90 Tagen.
• Vor jeder neuen Version prüft ein automatischer Lauf den Code und alle verwendeten Bibliotheken auf bekannte Schwachstellen.

Hosting und Dienstleister

Rivetly setzt zwei Dienstleister ein, beide mit Sitz in der EU:

• IONOS SE (Deutschland) für Hosting, Datenbank und Sicherungen.
• Brevo (Deutschland/Frankreich) für den Versand der E-Mails.

Mit beiden bestehen Verträge zur Auftragsverarbeitung. Details, auch zu möglichen Zugriffen aus Drittländern bei Brevo, stehen in Anlage 3 des AVV und in der Datenschutzerklärung.

Offen gesagt

Rivetly ist ein kleines Unternehmen und nicht nach ISO 27001 zertifiziert. Statt eines Zertifikats legen wir offen, was wir tun: Die vollständige Liste der technischen und organisatorischen Maßnahmen finden Sie in Anlage 2 des AVV. Fragen aus Ihrer Sicherheits- oder Datenschutzprüfung beantworten wir gern direkt.

Sicherheitslücke melden

Sie haben eine Schwachstelle gefunden? Schreiben Sie an martin [at] rivetly [punkt] io. Wir melden uns so schnell wie möglich und informieren Sie, sobald die Lücke geschlossen ist.

Stand: 01.10.2026