Privacy

The Built Review collects as little as it can. There is no advertising, no analytics and no tracking. This notice explains what is processed and the rights you have under the EU General Data Protection Regulation (GDPR).

Diese Erklärung auf Deutsch lesen

Data controller

Christian Huser
Ringbergstr. 6
83707 Bad Wiessee
Germany
Email: contact@thebuiltreview.com

Cookies, no analytics

The site runs no analytics scripts, embeds no tracking pixels and uses no third-party analytics service. Reading the open pages places nothing on your device.

When you sign in, the site sets one cookie, __Secure-better-auth.session_token, which keeps you signed in. It holds a random token, stays valid for seven days, is renewed while you use the site, and is removed when you sign out. The earlier checkout, used before buying needed an account, set a cookie named tbr_checkout_start for 24 hours that tied a payment to the browser that started it; the site no longer sets it. Both cookies are strictly necessary for a service you asked for, so they need no consent (§ 25(2) no. 2 TDDDG).

Server logs and hosting

This website is hosted by Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. When you open a page, your IP address and other technical data such as browser type, access time and the requested URL are transmitted to Vercel's servers. This is needed to deliver and secure the site and rests on the legitimate interest in operating it (Art. 6(1)(f) GDPR). Vercel participates in the EU-US Data Privacy Framework. For details, see the Vercel privacy policy.

Fonts

The typeface Archivo is hosted on this site's own server. No data is sent to Google or any other third party when the fonts load.

If you sign up for reports by email, the address you enter is stored and used to send you new reports and nothing else. You confirm the sign-up by clicking a link in a confirmation email (double opt-in), and the address is only activated once you do. The legal basis is your consent (Art. 6(1)(a) GDPR). You can withdraw it at any time by unsubscribing or by writing to the address above, with no effect on what was sent before.

The newsletter runs through Resend (Resend, Inc., United States), which stores your address and delivers the mail on TBR's behalf. Sending the address to the United States rests on the EU standard contractual clauses agreed with the provider. TBR emails carry no tracking pixels.

Accounts and sign-in

Reading the open pages needs no account. Buying a membership does. On the membership page or the sign-in page you enter your email address, and we send you a one-time code; there is no password. When you enter your first code, your account is created in TBR's own database. It holds your email address and your sign-in sessions, with the browser and IP address each session was opened from. To slow down misuse, the database also counts code requests per IP address in one-minute windows. If you buy a membership, your account also holds your Stripe customer number, your subscription status, the date your access runs to, and the time you asked for access to start at once. The legal basis is the steps you ask for before a contract and the performance of the membership contract (Art. 6(1)(b) GDPR).

An account that has not bought a membership is deleted after 30 days without use, with its sessions. We keep such an account while Stripe holds a balance or an unsettled payment matter for it. We keep a copy of a deleted account for 30 days so that we can restore it in case of error. We then delete the copy. The database runs on Neon (Neon, Inc., United States), and the sign-in code is delivered through Resend, named above. Storing this data in the United States rests on the EU standard contractual clauses agreed with these providers. You can have your account and its data erased at any time by writing to the address above.

Protection against bots

Before a sign-in code is sent, Cloudflare Turnstile checks that the request comes from a person, so the site cannot be used to send mail to strangers' addresses. The check runs only when you ask for a code. Your browser then loads a script from Cloudflare (Cloudflare, Inc., United States), which receives your IP address and technical data about your browser and device, and in most cases decides without a click. Turnstile sets no cookie for this. The legal basis is the legitimate interest in keeping the sign-in and the email address of this site from being misused (Art. 6(1)(f) GDPR); reading the browser data is strictly necessary for the sign-in you asked for (§ 25(2) no. 2 TDDDG). Cloudflare participates in the EU-US Data Privacy Framework. For details, see the Cloudflare privacy policy.

Payments

When you buy a membership, payment is handled by Stripe (Stripe Payments Europe, Ltd., Ireland, with its US affiliate Stripe, LLC). TBR sells the membership; Stripe is the payment service provider. When you start a purchase, TBR passes your email address and TBR account number to Stripe. The account number links the payment to your TBR account. You enter your card or payment details, your name and your billing address on Stripe's own checkout, which is Stripe's site with its own cookies; payment details never reach TBR's servers. On your first purchase, Stripe creates a customer record for you only when you pay. Name and billing address are stored with your customer record at Stripe and appear on your invoice. The time you asked for access to start at once is stored with your subscription at Stripe as well. Stripe processes the data needed to take the payment and to prevent fraud, and passes back to TBR only what is needed to grant and manage your access: a customer and subscription identifier, your email, the payment status, and the date your access runs to.

The legal bases are performance of the membership contract (Art. 6(1)(b) GDPR), the legitimate interest in secure payment and fraud prevention (Art. 6(1)(f) GDPR), and compliance with statutory retention duties (Art. 6(1)(c) GDPR). Payment and invoice records are kept for as long as German tax and commercial law require (up to 10 years under § 147 AO and § 257 HGB) and are then deleted; data needed only for your membership is deleted when the membership ends.

Where data is processed in the United States, this rests on the EU-US Data Privacy Framework (Stripe, LLC is certified) and, as a fallback, on the EU standard contractual clauses. Stripe also acts as its own controller for payment, fraud-prevention and regulatory purposes; for that processing see the Stripe privacy policy. For the processing Stripe carries out on TBR's behalf, a data processing agreement under Art. 28 GDPR applies.

What TBR does not do

No profiling, no automated decisions, no use of personal data for marketing, and no sharing of data with third parties beyond the host, the database provider, the email provider, the bot check and the payment provider named above.

Data retention

Personal data is kept only as long as it is needed for the purpose it was collected for, or as the law requires. An account without a purchase is deleted after 30 days without use. We keep it while Stripe holds a balance or an unsettled payment matter for it. Payment and invoice records are kept for the statutory tax and commercial retention periods set out under Payments above.

Your rights

Under the GDPR you have the right to access the data held about you (Art. 15), to rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20), and to object to processing based on legitimate interest (Art. 21). To exercise any of these, write to contact@thebuiltreview.com.

You also have the right to complain to a supervisory authority. The competent one for this site is the Bayerisches Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach, Germany.

Changes

If this notice changes, the new version replaces this one on this page.

Deutsche Fassung

The Built Review erhebt so wenig wie möglich. Es gibt keine Werbung, keine Analyse und kein Tracking. Diese Erklärung sagt, was verarbeitet wird und welche Rechte Sie nach der EU-Datenschutz-Grundverordnung (DSGVO) haben.

Verantwortlicher

Christian Huser
Ringbergstr. 6
83707 Bad Wiessee
Deutschland
E-Mail: contact@thebuiltreview.com

Cookies, keine Analyse

Die Seite führt keine Analyse-Skripte aus, bindet keine Tracking-Pixel ein und verwendet keinen Analyse-Dienst Dritter. Das Lesen der offenen Seiten legt nichts auf Ihrem Gerät ab.

Wenn Sie sich anmelden, setzt die Seite ein Cookie, __Secure-better-auth.session_token, das Sie angemeldet hält. Es enthält eine Zufallskennung, gilt sieben Tage, verlängert sich, solange Sie die Seite nutzen, und wird beim Abmelden gelöscht. Die frühere Kasse, bei der man ohne Konto kaufen konnte, setzte für 24 Stunden ein Cookie namens tbr_checkout_start, das eine Zahlung dem Browser zuordnete, der sie begonnen hatte; die Seite setzt es nicht mehr. Beide Cookies sind für einen von Ihnen gewünschten Dienst unbedingt erforderlich und brauchen deshalb keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG).

Server-Logs und Hosting

Diese Website wird von Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, gehostet. Wenn Sie eine Seite öffnen, werden Ihre IP-Adresse und weitere technische Daten wie Browsertyp, Zugriffszeit und die aufgerufene URL an die Server von Vercel übertragen. Das ist nötig, um die Seite auszuliefern und zu sichern, und stützt sich auf das berechtigte Interesse am Betrieb (Art. 6 Abs. 1 f DSGVO). Vercel nimmt am EU-US Data Privacy Framework teil. Einzelheiten in der Datenschutzerklärung von Vercel.

Schriften

Die Schrift Archivo wird auf dem eigenen Server dieser Seite gehostet. Beim Laden der Schriften werden keine Daten an Google oder Dritte gesendet.

Wenn Sie Reports per E-Mail abonnieren, wird die eingegebene Adresse gespeichert und nur genutzt, um Ihnen neue Reports zu senden. Sie bestätigen die Anmeldung über einen Link in einer Bestätigungsmail (Double-Opt-in); die Adresse wird erst danach aktiviert. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 a DSGVO). Sie können sie jederzeit widerrufen, durch Abmeldung oder eine Nachricht an die obige Adresse, ohne Wirkung auf bereits Gesendetes. Der Newsletter läuft über Resend (Resend, Inc., USA), das Ihre Adresse speichert und die Mails im Auftrag von TBR zustellt. Die Übermittlung in die USA stützt sich auf die mit dem Anbieter vereinbarten EU-Standardvertragsklauseln. TBR-Mails tragen keine Tracking-Pixel.

Konten und Anmeldung

Das Lesen der offenen Seiten braucht kein Konto, der Kauf einer Mitgliedschaft schon. Auf der Mitgliedschafts- oder der Anmeldeseite geben Sie Ihre E-Mail-Adresse ein, und wir senden Ihnen einen Einmal-Code; ein Passwort gibt es nicht. Mit Ihrem ersten Code wird Ihr Konto in der eigenen Datenbank von TBR angelegt. Es enthält Ihre E-Mail-Adresse und Ihre Anmeldesitzungen mit dem Browser und der IP-Adresse, von denen aus jede Sitzung eröffnet wurde. Um Missbrauch zu bremsen, zählt die Datenbank außerdem die Code-Anforderungen je IP-Adresse in Zeitfenstern von einer Minute. Kaufen Sie eine Mitgliedschaft, enthält Ihr Konto zusätzlich Ihre Stripe-Kundennummer, Ihren Abo-Status, das Datum, bis zu dem Ihr Zugang läuft, und den Zeitpunkt, zu dem Sie den sofortigen Beginn verlangt haben. Rechtsgrundlage sind die Schritte vor einem Vertrag, die Sie anfragen, und die Erfüllung des Mitgliedsvertrags (Art. 6 Abs. 1 b DSGVO).

Ein Konto, mit dem keine Mitgliedschaft gekauft wurde, wird nach 30 Tagen ohne Nutzung mit seinen Sitzungen gelöscht. Wir behalten ein solches Konto, solange Stripe dafür ein Guthaben oder einen ungeklärten Zahlungsvorgang führt. Wir bewahren eine Kopie eines gelöschten Kontos 30 Tage lang auf, damit wir es bei einem Fehler wiederherstellen können. Danach löschen wir die Kopie. Die Datenbank läuft auf Neon (Neon, Inc., USA), der Anmelde-Code wird über Resend zugestellt. Die Speicherung in den USA stützt sich auf die mit diesen Anbietern vereinbarten EU-Standardvertragsklauseln. Sie können Ihr Konto und seine Daten jederzeit löschen lassen, mit einer Nachricht an die obige Adresse.

Schutz vor Bots

Bevor ein Anmelde-Code versendet wird, prüft Cloudflare Turnstile, ob die Anfrage von einem Menschen kommt, damit über die Seite keine Mails an fremde Adressen gehen. Die Prüfung läuft nur, wenn Sie einen Code anfordern. Ihr Browser lädt dann ein Skript von Cloudflare (Cloudflare, Inc., USA), das Ihre IP-Adresse und technische Daten über Ihren Browser und Ihr Gerät erhält und meist ohne Klick entscheidet. Turnstile setzt dafür kein Cookie. Rechtsgrundlage ist das berechtigte Interesse, die Anmeldung und die E-Mail-Adresse dieser Seite vor Missbrauch zu schützen (Art. 6 Abs. 1 f DSGVO); das Auslesen der Browserdaten ist für die von Ihnen gewünschte Anmeldung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Cloudflare nimmt am EU-US Data Privacy Framework teil. Einzelheiten in der Datenschutzerklärung von Cloudflare.

Zahlungen

Wenn Sie eine Mitgliedschaft kaufen, wird die Zahlung über Stripe abgewickelt (Stripe Payments Europe, Ltd., Irland, mit der US-Schwester Stripe, LLC). TBR verkauft die Mitgliedschaft; Stripe ist Zahlungsdienstleister. Wenn Sie einen Kauf beginnen, übergibt TBR Ihre E-Mail-Adresse und Ihre TBR-Kontonummer an Stripe. Die Kontonummer ordnet die Zahlung Ihrem TBR-Konto zu. Ihre Karten- oder Zahlungsdaten, Ihren Namen und Ihre Rechnungsadresse geben Sie auf der eigenen Kasse von Stripe ein, einer Seite von Stripe mit eigenen Cookies; Zahlungsdaten erreichen die Server von TBR nie. Bei Ihrem ersten Kauf legt Stripe einen Kundendatensatz erst an, wenn Sie bezahlen. Name und Rechnungsadresse werden in Ihrem Kundendatensatz bei Stripe gespeichert und stehen auf Ihrer Rechnung. Auch der Zeitpunkt, zu dem Sie den sofortigen Beginn verlangt haben, wird bei Ihrem Abonnement bei Stripe gespeichert. Stripe verarbeitet die für Zahlung und Betrugsabwehr nötigen Daten und gibt an TBR nur zurück, was zur Freischaltung und Verwaltung Ihres Zugangs nötig ist: eine Kunden- und Abonnement-Kennung, Ihre E-Mail-Adresse, den Zahlungsstatus und das Datum, bis zu dem Ihr Zugang läuft.

Rechtsgrundlagen sind die Erfüllung des Mitgliedsvertrags (Art. 6 Abs. 1 b DSGVO), das berechtigte Interesse an sicherer Zahlung und Betrugsabwehr (Art. 6 Abs. 1 f DSGVO) und die Erfüllung gesetzlicher Aufbewahrungspflichten (Art. 6 Abs. 1 c DSGVO). Zahlungs- und Rechnungsunterlagen bewahren wir so lange auf, wie das deutsche Steuer- und Handelsrecht es verlangt (bis zu 10 Jahre nach § 147 AO und § 257 HGB), danach werden sie gelöscht; allein für Ihre Mitgliedschaft benötigte Daten löschen wir mit Ende der Mitgliedschaft.

Soweit Daten in den USA verarbeitet werden, stützt sich das auf das EU-US Data Privacy Framework (Stripe, LLC ist zertifiziert) und ergänzend auf die EU-Standardvertragsklauseln. Stripe ist für Zahlung, Betrugsabwehr und regulatorische Zwecke eigener Verantwortlicher; für diese Verarbeitung siehe die Datenschutzerklärung von Stripe. Für die Verarbeitung im Auftrag von TBR gilt ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Was TBR nicht tut

Kein Profiling, keine automatisierten Entscheidungen, keine Nutzung personenbezogener Daten für Werbung und keine Weitergabe an Dritte über den Host, den Datenbank-Anbieter, den E-Mail-Anbieter, die Bot-Prüfung und den Zahlungsdienstleister hinaus, die oben genannt sind.

Aufbewahrung

Personenbezogene Daten werden nur so lange aufbewahrt, wie es für den Zweck nötig ist oder das Gesetz es verlangt. Ein Konto ohne Kauf wird nach 30 Tagen ohne Nutzung gelöscht. Wir behalten es, solange Stripe dafür ein Guthaben oder einen ungeklärten Zahlungsvorgang führt. Zahlungs- und Rechnungsunterlagen bewahren wir für die gesetzlichen steuer- und handelsrechtlichen Fristen auf, wie oben unter Zahlungen dargestellt.

Ihre Rechte

Nach der DSGVO haben Sie das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen eine auf berechtigtem Interesse beruhende Verarbeitung (Art. 21). Schreiben Sie dafür an contact@thebuiltreview.com.

Sie haben außerdem das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Zuständig ist das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach, Deutschland.

Änderungen

Ändert sich diese Erklärung, ersetzt die neue Fassung diese auf dieser Seite.