Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG) ist:

Zuständige Aufsichtsbehörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Telefon: +49 981 180093-0, E-Mail: poststelle@lda.bayern.de, Website: www.lda.bayern.de.

Ein gesetzlich vorgeschriebener Datenschutzbeauftragter ist für unser Unternehmen derzeit nicht erforderlich (Art. 37 DSGVO). Bei datenschutzrechtlichen Fragen wenden Sie sich bitte direkt an uns über datenschutz@carangebot.de.

Die technische Realisierung der Plattform (Website, App und Backend) erfolgt durch die Duran Digital Solutions (Süleyman Duran), Hauptstraße 82, 63897 Miltenberg, www.durandigitalsolutions.de. Da Inhaber von CarAngebot und Duran Digital Solutions dieselbe natürliche Person sind, liegt keine Datenverarbeitung im Auftrag im Sinne des Art. 28 DSGVO vor.

2. Geltung und sukzessive Aktivierung

Diese Datenschutzerklärung informiert ausschließlich über die derzeit tatsächlich produktiven und aktiven Datenverarbeitungsvorgänge auf www.carangebot.de sowie in der CarAngebot-App. Zukünftige oder optionale Funktionen werden erst nach gesonderter rechtlicher Prüfung aktiviert und – sofern erforderlich – nur nach erneuter ausdrücklicher Einwilligung gemäß Art. 6 und Art. 7 DSGVO eingesetzt.

Bestimmte Abschnitte dieser Datenschutzerklärung beschreiben bereits Verarbeitungen, die für die Aufbauphase vorgesehen sind, technisch jedoch noch nicht aktiv geschaltet wurden. In diesen Fällen findet auch keine entsprechende Datenverarbeitung statt, bis die jeweilige Funktion offiziell freigeschaltet ist.

3. Grundsätze der Datenverarbeitung

Wir verarbeiten personenbezogene Daten ausschließlich im Rahmen der geltenden Datenschutzvorschriften der Bundesrepublik Deutschland (DSGVO und BDSG). Folgende Grundsätze leiten unsere Datenverarbeitung:

• Zweckbindung: Daten werden nur für festgelegte, eindeutige und legitime Zwecke erhoben.
• Datenminimierung: Wir erheben nur die Daten, die für den jeweiligen Zweck notwendig sind.
• Transparenz: Sie werden über alle wesentlichen Verarbeitungsvorgänge informiert.
• Sicherheit: Wir schützen Ihre Daten durch geeignete technische und organisatorische Maßnahmen.
• Keine Weitergabe ohne Basis: Eine Weitergabe Ihrer Kontaktdaten an Händler erfolgt nur mit Ihrer ausdrücklichen Zustimmung.

4. Erhobene Daten

4.1 Bei der App-Nutzung (Endkunden)

• Registrierung/Login: E-Mail-Adresse und Passwort (das Passwort wird ausschließlich verschlüsselt als Hash über Firebase Authentication gespeichert). Mit der Registrierung wird zusätzlich der Zeitpunkt Ihrer Zustimmung zur Datenschutzerklärung und zu den Nutzungsbedingungen mit Datum und Uhrzeit dokumentiert (Art. 7 Abs. 1 DSGVO).
• Profil-Daten (freiwillig): Optional können Sie in Ihrem Profil weitere Angaben hinterlegen, insbesondere einen Namen und eine Telefonnummer. Diese Angaben sind freiwillig, werden – sofern vorhanden – bei der Weitergabe an einen von Ihnen ausgewählten Händler verwendet (siehe Abschnitt 7) und können jederzeit geändert oder gelöscht werden.
• Fahrzeugdaten: Marke, Modell, Baujahr, Kilometerstand, Kraftstoff, Getriebe, Zustand, Zustandsbeschreibung, Unfallstatus, Unfallbeschreibung, Fahrtüchtigkeit, freiwillige Preisvorstellung, deutsche Postleitzahl. Bei Inzahlungnahme zusätzlich: gesuchte Marke, gesuchtes Modell (freiwillig), weitere Hinweise (freiwillig).
• Fahrzeugfotos: Bis zu 4 Pflichtfotos (Vorne, Hinten, Seitlich, Innen), gespeichert in Firebase Storage (Region: europe-west3, Frankfurt). Bei Löschung einer Anfrage werden diese Fotos physisch und unwiderruflich aus Firebase Storage entfernt (siehe Abschnitt 4.8).
• Standortdaten: Postleitzahl für die Umkreissuche nach Händlern. Es wird keine Kartenansicht (z. B. Google Maps) eingebunden – die Händler-Auswahl erfolgt anhand einer eigenen, internen PLZ-Koordinaten-Tabelle und einem Umkreis-Radius in Kilometern (Details siehe Abschnitt 4.6 und 4.7).
• Anfrage-Verlauf: Status einer Anfrage (neu, gelöscht), Anzahl eingegangener Angebote, Zeitstempel der Erstellung, eindeutige Anfrage-ID.
• Technische Daten: App-Version, Gerätetyp (iOS/Android), technische Fehlermeldungen.
• Push-Token: Bei zukünftiger Aktivierung von Push-Benachrichtigungen wird ein anonymer Geräte-Token von Firebase Cloud Messaging gespeichert (siehe Abschnitt 10).
• Kommunikation: Inhalte von Nachrichten, die Sie über die App senden.

4.2 Bei der Website-Nutzung

• Server-Logs: IP-Adresse (anonymisiert), Datum/Uhrzeit des Zugriffs, aufgerufene Seiten, Browser-Typ, Betriebssystem, Referrer-URL.
• Kontaktaufnahme per E-Mail: Name, E-Mail-Adresse, Nachrichteninhalt, optional Telefonnummer (siehe Abschnitt 4.5).
• Cookies: Aktueller Stand Juni 2026: Auf www.carangebot.de werden ohne Ihre Einwilligung keine Cookies gesetzt. Aktuell sind die Kategorien Statistik und Marketing im Cookie-Banner deaktiviert; es kommen keine Analyse- oder Werbe-Tools zum Einsatz (siehe Abschnitt 12 und 13).

4.3 Bei der Händler-Registrierung

Bei der Registrierung als Händler werden folgende Daten erhoben:

• Unternehmensname, Ansprechpartner, E-Mail-Adresse, Telefonnummer, Adresse (Straße, PLZ, Ort), Unternehmensart.
• Angaben zum Tätigkeitsbereich: Ankauf von Gebrauchtwagen (ja/nein), Inzahlungnahme (ja/nein).
• Markenpräferenzen: entweder Auswahl konkreter Marken oder Auswahl "alle Marken".
• Service-Optionen-Auswahl: Bei der Registrierung wählt der Händler aus, welche zusätzlichen Services er den Verkäufern anbieten möchte (z. B. Abholservice, Abmeldeservice, Inzahlungnahme, Garantie, Wochenend-Termine). Diese Auswahl wird in der Firestore-Collection haendler gespeichert und im Angebot an den Verkäufer als Information mitgesendet (Details siehe Abschnitt 8).
• Gewerbenachweis-Upload: Hochgeladene Gewerbenachweise (PDF, JPG oder PNG, max. 5 MB) werden in Firebase Storage (Region: europe-west3, Frankfurt) im händlerbezogenen Ordner haendler-gewerbescheine/[Händler-ID]/ gespeichert. Zugriff hat ausschließlich der jeweilige Händler sowie der Plattform-Betreiber zur Prüfung der Gewerbeberechtigung.
• Speicherung der Felder gewerbeschein_status, gewerbeschein_url, gewerbeschein_dateiname und gewerbeschein_upload_datum in der Firestore-Collection haendler.
• Zustimmungs-Dokumentation: Bei der Registrierung werden der digitale Kooperationsvertrag, die AGB und die Datenschutzerklärung mit Zeitstempel und Versionsnummer dokumentiert.
• H2H-Fahrzeuginserate: Stellt der Händler eigene Fahrzeuge über die Händler-zu-Händler-Funktion ein, werden die jeweiligen Fahrzeugdaten, Fotos und die Postleitzahl in der Firestore-Datenbank gespeichert und anderen Händlern zunächst anonymisiert angezeigt (siehe Abschnitt 7).
• Diese Daten dienen der Prüfung und Aktivierung des Händler-Zugangs sowie dem Nachweis der ordnungsgemäßen Gewerbeanmeldung gemäß den geltenden gewerberechtlichen Vorschriften:
  • 🇩🇪 § 14 GewO (Gewerbeanmeldung)
  • 🇩🇪 § 38 Abs. 1 Nr. 1b GewO (überwachungsbedürftiges Gewerbe für An- und Verkauf von Kraftfahrzeugen)

4.4 Bei der Abo-Zahlung (Händler)

• Zahlungsdaten werden ausschließlich von Stripe verarbeitet – CarAngebot speichert keine Kreditkartendaten.
• CarAngebot erhält von Stripe nur die Bestätigung einer erfolgreichen Zahlung sowie eine Kunden-ID.

4.5 Bei Kontaktaufnahme per E-Mail

Auf unserer Website wird kein Kontaktformular eingesetzt. Eine Kontaktaufnahme erfolgt ausschließlich über die angegebenen E-Mail-Adressen (für allgemeine Anliegen die im Impressum genannte Kontakt-Adresse, für Datenschutzanliegen datenschutz@carangebot.de). Wenn Sie uns eine E-Mail schreiben, verarbeiten wir die von Ihnen mitgeteilten Daten:

• Übermittelte Daten: Ihre E-Mail-Adresse, Ihr Name (sofern angegeben), der Nachrichteninhalt sowie eine ggf. von Ihnen genannte Telefonnummer.
• Technische Daten: Datum und Uhrzeit des E-Mail-Eingangs.

Speicherort: Eingehende E-Mails werden in unserem E-Mail-Postfach bei unserem E-Mail-Hosting-Anbieter (Strato, Serverstandort Deutschland) verarbeitet und gespeichert.

Zweck: Bearbeitung Ihres Anliegens und Kommunikation mit Ihnen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung/Erfüllung eines Vertrags) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Speicherdauer: Ihre E-Mail wird gelöscht, sobald Ihr Anliegen abschließend bearbeitet wurde – spätestens jedoch nach 6 Monaten, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Sie können jederzeit die Löschung Ihrer Nachricht verlangen.

4.6 Geocoding der Postleitzahlen (Region-Erkennung)

Damit Anfragen passenden Händlern in der Region zugeordnet werden können, werden die angegebenen Postleitzahlen (sowohl bei Anfragen als auch bei Händler-Registrierungen) in geografische Koordinaten (Breitengrad/Längengrad) umgewandelt. Diese Umwandlung erfolgt ausschließlich intern:

• Keine Drittland-Übermittlung: Es wird kein externer Geocoding-Dienstleister (z. B. Google Maps API, Mapbox, Bing Maps) eingebunden. Die Postleitzahl verlässt zu keinem Zeitpunkt unsere eigene Infrastruktur.
• Interne PLZ-Tabelle: Die Umwandlung erfolgt über eine in der Firestore-Datenbank gespeicherte Tabelle (plz_koordinaten) mit deutschen Postleitzahlen und zugehörigen Koordinaten.
• Datenquelle der PLZ-Tabelle: Die Grunddaten der PLZ-Tabelle stammen aus dem öffentlich verfügbaren Datensatz GeoNames, der unter der Lizenz Creative Commons Attribution 4.0 International (CC BY 4.0) bereitgestellt wird. Es handelt sich um statische geografische Referenzdaten ohne Personenbezug.
• Verarbeitung in Cloud Functions: Die Zuordnung PLZ → Koordinaten erfolgt automatisiert in Firebase Cloud Functions in der Region europe-west1 (Belgien). Die Funktion liest ausschließlich aus der internen PLZ-Tabelle in unserer Firestore-Datenbank und schreibt das Ergebnis (Lat/Lng und den Ortsnamen) zurück zum jeweiligen Anfrage- bzw. Händler-Datensatz.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Vermittlung von Anfragen an passende Händler in der Region).

4.7 Matching von Anfragen mit Händlern

Sobald eine Anfrage mit Koordinaten versehen ist (siehe Abschnitt 4.6), führt eine automatisierte Funktion ein Matching mit den registrierten Händlern durch. Ziel ist es, Ihre Anfrage nur den Händlern anzuzeigen, die für Sie regional und fachlich relevant sind.

• Umkreis-Filter: Es werden ausschließlich Händler in einem Radius von max. 200 km um die Postleitzahl der Anfrage berücksichtigt – ausschließlich innerhalb Deutschlands.
• Berechnung: Die Entfernung wird mit der sogenannten Haversine-Formel berechnet, die die Erdkrümmung berücksichtigt. Es werden keine Routen oder Adressen abgerufen – nur die Luftlinie zwischen zwei Koordinaten.
• Marken-Filter: Bei einer reinen Verkaufs-Anfrage wird die Fahrzeugmarke des angebotenen Fahrzeugs herangezogen. Bei Inzahlungnahme wird zusätzlich die vom Verkäufer gesuchte Marke berücksichtigt. Nur Händler, die die jeweilige Marke führen (oder die Option "alle Marken" gewählt haben), erhalten die Anfrage.
• Status-Filter: Berücksichtigt werden ausschließlich Händler mit dem Status aktiv und erfolgreich abgeschlossener Geokodierung. In einer späteren Phase wird zusätzlich der Status der Gewerbenachweis-Hinterlegung als Filter eingesetzt.
• Ergebnis: Die Liste der passenden Händler wird im jeweiligen Anfrage-Datensatz in Firestore gespeichert (Felder passende_haendler, passende_haendler_anzahl) und ist die Grundlage dafür, welche Händler Ihre Anfrage zu sehen bekommen.

Keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO: Dieses Matching ist eine rein technische Vorauswahl auf Basis Region und Marke. Es findet weder ein Scoring noch eine Bewertung einzelner Personen statt. Die eigentliche Angebots-Erstellung erfolgt durch den einzelnen Händler.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Vermittlung von Fahrzeug-Anfragen).

4.8 Speicherdauer und Löschung von Anfragen

Damit Anfragen aktuell bleiben und nicht unnötig lange gespeichert werden, gelten folgende Regeln:

• 14-Tage-Frist: Eine Anfrage ist 14 Tage ab Erstellung aktiv und für Händler sichtbar. Nach Ablauf dieser Frist wird die Anfrage automatisch nicht mehr in Ihrer Übersicht angezeigt.
• Gleichzeitig-Limit: Pro Nutzer können maximal 2 Anfragen gleichzeitig aktiv sein.
• Jahres-Limit: Pro Kalenderjahr sind maximal 3 Anfragen pro Nutzer möglich. Diese Begrenzung dient dem Schutz vor missbräuchlicher Nutzung und entspricht der gesetzlichen Privatverkäufer-Grenze. Wer regelmäßig Fahrzeuge verkauft, ist als Händler einzuordnen.
• Manuelle Löschung durch Sie: Sie können Ihre Anfrage jederzeit selbst über die App löschen. In diesem Fall werden:
  • die Fahrzeugfotos aus Firebase Storage physisch und unwiderruflich gelöscht;
  • das Datenbank-Dokument der Anfrage erhält den Status geloescht und wird Ihnen sowie den Händlern nicht mehr angezeigt;
  • das Dokument selbst bleibt in technisch reduzierter Form (ohne Foto-URLs) erhalten, ausschließlich zur Kontrolle des oben genannten Jahres-Limits. Sobald die Limit-Frist abgelaufen ist, kann das Dokument im Rahmen der allgemeinen Speicherdauer (siehe Abschnitt 14) endgültig gelöscht werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Missbrauchsprävention und ordnungsgemäßer Vermittlung).

5. Rechtsgrundlagen der Verarbeitung

Die Verarbeitung Ihrer personenbezogenen Daten erfolgt auf Basis folgender Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung: Für Push-Benachrichtigungen und die Weitergabe Ihrer Kontaktdaten an Händler.
• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung: Für die Bereitstellung der App-Funktionen (Fahrzeugvermittlung, Geocoding, Matching), Profil-Verwaltung sowie für die Abwicklung von Händler-Abonnements über Stripe.
• Art. 6 Abs. 1 lit. c DSGVO – Rechtliche Verpflichtung: Soweit gesetzliche Aufbewahrungspflichten bestehen (insbesondere gewerberechtliche Nachweise von Händlern; steuer- und handelsrechtliche Aufbewahrungsfristen nach HGB und AO).
• Art. 6 Abs. 1 lit. f DSGVO – Berechtigte Interessen: Für technisch notwendige Cookies, Sicherheitsmaßnahmen, Missbrauchsprävention (Limits, Plausibilitätsprüfung) und die Verbesserung unserer Dienste.

6. Keine automatisierten Entscheidungen / kein Profiling

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO statt. Entscheidungen mit rechtlicher Wirkung oder vergleichbar erheblichen Auswirkungen auf die betroffene Person erfolgen nicht automatisiert.

Die Verteilung der Anfragen an passende Händler erfolgt automatisiert (regelbasiert nach Region und Marke, siehe Abschnitt 4.7). Sie ist eine rein technische Vorauswahl und entfaltet keine rechtliche oder vergleichbar erhebliche Wirkung gegenüber der betroffenen Person. CarAngebot behält sich vor, Anfragen bei Auffälligkeiten (z. B. Spam, offensichtlich missbräuchliche Inhalte) im Einzelfall zu prüfen und von der Vermittlung auszuschließen; eine solche Maßnahme erfolgt nicht vollautomatisiert mit rechtlich bindender Wirkung gegenüber der betroffenen Person.

Das in Abschnitt 4.7 beschriebene Matching (Region + Marke) ist eine rein technische Vorauswahl ohne Scoring oder Bewertung von Personen.

Algorithmische Bewertungen einzelner Nutzer (z. B. „Schrott-Verkäufer-Score" o. ä.) finden ausdrücklich nicht statt.

7. Datenweitergabe an Händler

Die Fahrzeugvermittlung erfolgt in zwei klar getrennten Phasen:

Die eingebundenen Händler sind vertraglich verpflichtet, Ihre Daten ausschließlich für die Fahrzeugvermittlung zu nutzen und die datenschutzrechtlichen Bestimmungen einzuhalten.

Anfragen-Verteilung: Die Verteilung der Anfragen an passende Händler erfolgt automatisiert nach den in Abschnitt 4.7 beschriebenen Regeln (Region 200 km, Marken-Filter). CarAngebot behält sich vor, Anfragen bei Auffälligkeiten (z. B. Spam, offensichtlich missbräuchliche oder unplausible Inhalte) zu prüfen und von der Vermittlung auszuschließen.

Soweit ein beteiligter Händler als Einzelunternehmer auftritt, können die offengelegten Angaben personenbezogene Daten darstellen. Rechtsgrundlage der Identitäts-Freigabe ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des zwischen den Händlern angebahnten Vertrags) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Durchführung der Vermittlung). Einzelheiten zur H2H-Funktion regelt § 11a der AGB.

8. Service-Optionen der Händler

Händler mit hinterlegtem Gewerbenachweis können bei ihrer Registrierung sowie jederzeit später in ihrem Händler-Portal angeben, welche zusätzlichen Services sie über die reine Fahrzeugübernahme hinaus anbieten. Diese Service-Angaben werden dem Verkäufer im jeweiligen Angebot als informative Zusatzleistung des Händlers angezeigt.

8.1 Welche Service-Optionen kann ein Händler angeben?

Die nachfolgende Liste beschreibt die in der Plattform vorgesehenen Service-Optionen. Welche davon ein einzelner Händler tatsächlich anbietet, entscheidet der Händler eigenverantwortlich.

• Bürokratie: Abmeldeservice bei der Zulassungsstelle, Vorbereitung der Verkaufsunterlagen.
• Logistik: Abholservice mit eigenem Fahrzeug/Hänger, Hol- und Bringservice bei Inzahlungnahmen.
• Inzahlungnahme: Anrechnung des bisherigen Fahrzeugs beim Kauf eines anderen Fahrzeugs beim Händler.
• Garantie: Werksgarantie bei Neufahrzeugen (Hersteller), Gebrauchtwagengarantie über externe Garantiepartner des Händlers.
• Termine: Wochenend-Termine, Abendtermine, kostenlose Vor-Ort-Bewertung.

Hinweis: CarAngebot bietet keine Vermittlung von Finanzierungen oder Leasing-Verträgen an. CarAngebot ist kein Finanzdienstleister und tritt nicht als Kredit- oder Finanzanlagenvermittler auf. Etwaige Finanzierungsangelegenheiten klären Verkäufer und Händler ausschließlich untereinander; CarAngebot ist daran in keiner Form beteiligt.

8.2 Welche Daten werden im Zusammenhang mit Service-Optionen verarbeitet?

• Auf Händler-Seite: Die Auswahl der Service-Optionen wird in der Firestore-Collection haendler in einem dedizierten Feld (z. B. service_optionen) als Liste gespeichert. Es handelt sich dabei um Selbstauskunft des Händlers, nicht um geprüfte Eigenschaften.
• Auf Verkäufer-Seite: Die Service-Auswahl des Händlers wird im Angebot angezeigt (z. B. als Service-Badges). Der Verkäufer kann zusätzlich nach bestimmten Services filtern (z. B. „nur Händler mit Abholservice"). Es findet keine separate Speicherung von Filter-Einstellungen statt, die über die normale Sitzung hinausgeht.

8.3 Datenfluss bei Inanspruchnahme einzelner Services

Wenn der Verkäufer ein Angebot annimmt und der Händler einzelne Services tatsächlich erbringt, fließen die hierfür notwendigen Daten direkt zwischen Verkäufer und Händler. CarAngebot ist an dieser Datenverarbeitung nicht beteiligt:

• Abmeldeservice: Fahrzeugdokumente (Zulassungsbescheinigung Teil I und II) und Kennzeichen werden vom Verkäufer direkt an den Händler übergeben. CarAngebot speichert keine Fahrzeug-Dokumente.
• Abholservice / Hol- und Bringservice: Der Händler kontaktiert den Verkäufer auf Basis der nach Annahme freigegebenen Kontaktdaten direkt zur Terminabsprache. CarAngebot speichert keine Termin- oder Routendaten.
• Inzahlungnahme: Die Bewertung und Verrechnung erfolgt im Händlerbetrieb. CarAngebot erhält keine Information über den endgültigen Inzahlungnahme-Preis.
• Garantie: Die Garantieabwicklung erfolgt zwischen Verkäufer/Käufer und dem jeweiligen Garantieanbieter (Hersteller bzw. externes Garantieunternehmen). CarAngebot ist kein Garantieanbieter und tritt nicht in Garantiefragen ein.

8.4 Rechtsgrundlage

Die Speicherung und Anzeige der Service-Optionen-Auswahl der Händler erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung im Rahmen des Händler-Abonnements) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer aussagekräftigen, vergleichbaren Angebotsdarstellung für Verkäufer). Bei der konkreten Inanspruchnahme einzelner Services durch den Verkäufer ist der jeweilige Händler eigenverantwortlicher Verantwortlicher im Sinne der DSGVO.

9. Auftragsverarbeiter und Drittanbieter

Zur technischen Bereitstellung unserer Dienste setzen wir folgende vertraglich gebundene Dienstleister ein. Mit allen Auftragsverarbeitern wurden Datenverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO abgeschlossen oder diese unterliegen geeigneten Garantien für Drittlandtransfers.

9.1 Google Firebase (Google Ireland Ltd. / Google LLC)

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (für EU-Nutzer); Mutterunternehmen: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.

Zweck: Nutzer-Authentifizierung (Firebase Authentication), Datenbank (Firestore), Dateispeicherung (Firebase Storage – Fahrzeugfotos, Gewerbenachweise, Logo), Push-Benachrichtigungen (Firebase Cloud Messaging), serverseitige Funktionen (Firebase Functions – u. a. PLZ-Geocoding und Händler-Matching), Hosting der Website, technische Fehlermeldungen.

Übermittelte Daten: E-Mail-Adresse, Nutzer-ID, Profil-Daten (freiwillig: Name, Telefonnummer), Fahrzeugdaten, Fahrzeugfotos, Gewerbenachweise (Händler), Push-Token, Inhalte von Anfragen und Kontaktnachrichten, technische Gerätedaten.

Technische Einbindung auf der Website: Auf einzelnen Seiten werden technisch notwendige Firebase-JavaScript-Bibliotheken von www.gstatic.com (Google) nachgeladen, damit interaktive Funktionen (z. B. der Händler-Login) bereitgestellt werden können. Beim Laden dieser Bibliotheken wird – technisch unvermeidbar – Ihre IP-Adresse an Google übertragen. Da die IP-Adresse ein personenbezogenes Datum ist, weisen wir hierauf ausdrücklich hin: Eine damit verbundene Übermittlung in die USA ist über das EU-US Data Privacy Framework (DPF) sowie ergänzende EU-Standardvertragsklauseln (SCC) abgesichert (siehe unten). Dabei werden keine Cookies gesetzt und keine weiteren Inhalts- oder Profildaten an Google übermittelt.

Speicherort der Hauptdaten:

• Firestore-Datenbank (inkl. users, haendler, anfragen, angebote, plz_koordinaten): Region eur3 (Multi-Region Belgien und Niederlande)
• Firebase Storage (Bilder, PDFs, Gewerbenachweise): Region europe-west3 (Frankfurt am Main, Deutschland)
• Cloud Functions (Geocoding + Matching): Region europe-west1 (Belgien)
• Hosting: Globales Google CDN, Inhalte primär aus EU-Rechenzentren ausgeliefert
• Firebase Authentication / Cloud Messaging / Crashlytics: Diese Dienste werden technisch bedingt in den USA betrieben. Google LLC ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert; zusätzlich greifen die EU-Standardvertragsklauseln (SCCs).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); für USA-Transfer: EU-US DPF (Art. 45 DSGVO) bzw. Standardvertragsklauseln (Art. 46 DSGVO).

Datenschutzerklärung: https://policies.google.com/privacy

9.2 EmailJS (EmailJS Pte Ltd, Singapur)

Anbieter: EmailJS Pte Ltd, Singapur.

Zweck: Automatischer E-Mail-Versand – Bestätigungs-E-Mails an Nutzer (z. B. Anfrage-Eingang, Annahme/Ablehnung von Angeboten) sowie interne Benachrichtigungen an CarAngebot.

Übermittelte Daten: E-Mail-Adresse des Empfängers, Name (sofern angegeben), Inhalt der jeweiligen Nachricht, ggf. Firebase-Links zu Fotos.

Speicherung: EmailJS speichert E-Mail-Inhalte temporär für den Versandprozess. Es findet keine dauerhafte Datenspeicherung durch EmailJS statt.

Serverseitige Einbindung: Der E-Mail-Versand wird ausschließlich serverseitig aus unseren Firebase Functions (Region europe-west1) ausgelöst. Es findet keine direkte Verbindung Ihres Endgeräts zu EmailJS statt; insbesondere wird Ihre IP-Adresse nicht an EmailJS übertragen.

Unternehmenssitz, anwendbares Recht und Drittland: EmailJS Pte Ltd hat ihren Sitz in Singapur; auf den Dienstleistungsvertrag ist das Recht Singapurs anwendbar. Für Singapur besteht kein Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO. Die technische Bereitstellung des Dienstes erfolgt zudem über Server in den USA. Die Übermittlung personenbezogener Daten an EmailJS (Singapur und USA) wird daher auf die EU-Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO gestützt.

Datenverarbeitungsvereinbarung (DPA): Mit EmailJS wurde eine Datenverarbeitungsvereinbarung (DPA) gemäß Art. 28 DSGVO abgeschlossen (Stand: 08.03.2024), die ausdrücklich die EU-Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO für die Übermittlung personenbezogener Daten in Drittländer einbezieht. EmailJS verpflichtet sich darin u. a. zur Vertraulichkeit, zu angemessenen technischen und organisatorischen Sicherheitsmaßnahmen (Art. 32 DSGVO), zur Unterstützung bei Betroffenenanfragen, zur unverzüglichen Meldung von Datenschutzverletzungen sowie zur Löschung der personenbezogenen Daten nach Beendigung der Dienstleistung (spätestens 30 Werktage).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); für die Drittland-Übermittlung (Singapur und USA): Standardvertragsklauseln gemäß Art. 46 DSGVO.

Kontakt EmailJS für Datenschutzanfragen: gdpr@emailjs.zendesk.com

Datenschutzerklärung: https://www.emailjs.com/legal/privacy-policy/

9.3 Expo (Expo Inc., USA)

Zweck: Technische Grundlage der mobilen App für iOS und Android (React Native Framework).

Übermittelte Daten: Technische Fehlermeldungen, App-Performance-Daten, keine direkten Nutzerdaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb der App).

Datenschutzerklärung: https://expo.dev/privacy

9.4 Apple App Store / Google Play Store

Zweck: Distribution und technische Bereitstellung der App.

Apple und Google erheben im Rahmen der App-Verteilung und -Nutzung eigene Daten (z. B. Gerätedaten, Download-Informationen). Diese Datenverarbeitung unterliegt den jeweiligen Datenschutzrichtlinien von Apple (privacy.apple.com) und Google (policies.google.com/privacy).

9.5 Stripe (Stripe Payments Europe Ltd. / Stripe Inc.)

Anbieter: Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland (für EU-Nutzer); Mutterunternehmen: Stripe Inc., 510 Townsend Street, San Francisco, CA 94103, USA.

Status: Stripe ist aktiv. Die Abwicklung der Händler-Abonnements erfolgt über Stripe; eine Datenübermittlung findet ausschließlich im Rahmen des Bezahlvorgangs statt.

Zweck: Abwicklung der Abonnement-Zahlungen von Autohändlern. Stripe verarbeitet Zahlungsdaten für das monatliche Abonnement (39,00 €/Monat) und das Jahresabonnement (390 €/Jahr) des Händler-Portals.

Übermittelte Daten: E-Mail-Adresse des Händlers, Zahlungsdaten (Kreditkartendaten oder SEPA-Daten), Rechnungsadresse, Abonnement-Typ. Wichtig: Kreditkartendaten werden ausschließlich von Stripe verarbeitet und gespeichert – CarAngebot hat keinen Zugriff auf vollständige Zahlungsdaten.

Speicherort: Primär EU-Rechenzentren (Irland). Bei Übermittlungen an die US-Muttergesellschaft greift das EU-US Data Privacy Framework (DPF) sowie die Standardvertragsklauseln der EU.

Verarbeitete Daten bei CarAngebot: CarAngebot speichert lediglich die von Stripe bereitgestellte Kunden-ID (Stripe Customer ID) sowie den Abonnement-Status zur technischen Zugriffsverwaltung des Händler-Portals.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Abwicklung des Abonnements); für USA-Transfer: EU-US DPF (Art. 45 DSGVO) bzw. Standardvertragsklauseln (Art. 46 DSGVO).

Widerspruch / Kündigung: Händler können ihr Abonnement jederzeit über das Händler-Portal oder per E-Mail an datenschutz@carangebot.de kündigen. Die Löschung der Stripe-Kundendaten kann ebenfalls beantragt werden.

Datenschutzerklärung Stripe: https://stripe.com/de/privacy

10. Push-Benachrichtigungen (mobile App)

In der CarAngebot-App können Sie freiwillig Push-Benachrichtigungen aktivieren, um z. B. über neue Angebote für Ihr Fahrzeug informiert zu werden.

10.1 Funktionsweise

• Push-Benachrichtigungen werden über Firebase Cloud Messaging (FCM) versendet (Anbieter: Google Ireland Ltd. / Google LLC – siehe Abschnitt 9.1). FCM wird technisch in den USA betrieben; Absicherung über EU-US DPF und EU-Standardvertragsklauseln.
• Sie erhalten maximal eine Push-Benachrichtigung pro Tag, in der alle neuen Angebote des Tages gesammelt enthalten sind. Wir versenden bewusst keine Einzel-Pushs, um Sie nicht mit Benachrichtigungen zu überfluten.
• Die Aktivierung erfolgt durch ausdrückliche Zustimmung im Berechtigungsdialog Ihres Geräts (iOS bzw. Android).

10.2 Verarbeitete Daten

• Push-Token: Ein anonymer, gerätespezifischer Token, mit dem die Benachrichtigung an Ihr Gerät zugestellt werden kann. Der Token enthält keine personenbezogenen Klartextdaten.
• Inhalt der Benachrichtigung: Anzahl und Eckdaten der neuen Angebote für Ihre Anfrage.

10.3 Deaktivierung

Sie können Push-Benachrichtigungen jederzeit über die App-Einstellungen Ihres Smartphones (iOS / Android) oder in den CarAngebot-Einstellungen deaktivieren. Bei Deaktivierung wird der gespeicherte Push-Token aus unserer Datenbank entfernt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über Systemdialog) und Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Vermittlung von Angeboten).

11. Automatische Status-Mails

Im Rahmen des Vermittlungsprozesses versendet CarAngebot automatisierte E-Mails. Diese dienen ausschließlich der Vertragserfüllung:

• Statusmitteilungen: Bestätigung bei Versand der Anfrage, Information bei Eingang neuer Angebote (sofern Push nicht aktiv), Bestätigung der Annahme/Ablehnung.
• System-Mails: Passwort-Zurücksetzen, Account-Bestätigung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Versand: Der Versand erfolgt serverseitig über Firebase Functions (Region europe-west1) unter Einbindung von EmailJS (siehe Abschnitt 9.1 und 9.2). Eine direkte Verbindung Ihres Endgeräts zu EmailJS findet dabei nicht statt.

12. Statistik und Analyse

Im Cookie-Banner ist die Kategorie „Statistik" daher derzeit deaktiviert und nicht aktivierbar (analog zur Kategorie „Marketing"). Auch ohne Aktivierung dieser Kategorie funktionieren alle wesentlichen Funktionen unserer Website uneingeschränkt.

Falls wir zukünftig Statistik-Tools einsetzen, werden wir ausschließlich datenschutzfreundliche, in der EU gehostete Lösungen (z. B. Plausible Analytics oder Matomo) verwenden und Sie an dieser Stelle sowie über den Cookie-Banner informieren. Eine Aktivierung erfolgt nur mit Ihrer ausdrücklichen Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.

13. Cookies und Cookie-Einwilligung

Cookies sowie LocalStorage sind kleine Speichereinträge, die im Browser gespeichert werden. Die Speicherung von bzw. der Zugriff auf Informationen in Ihrer Endeinrichtung richtet sich nach § 25 TDDDG. Technisch notwendige Speichervorgänge sind nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei zulässig, da sie unbedingt erforderlich sind, damit wir den von Ihnen ausdrücklich gewünschten Dienst bereitstellen können. Für alle nicht notwendigen Cookies holen wir vorab Ihre Einwilligung nach § 25 Abs. 1 TDDDG ein. Wir unterscheiden:

Einwilligung erteilen/widerrufen: Beim ersten Besuch erscheint unser Cookie-Banner mit granularer Auswahl (Essentiell / Statistik / Marketing). Aktuell sind die Kategorien Statistik und Marketing deaktiviert. Ihre Entscheidung können Sie jederzeit über den Link „Cookie-Einstellungen" im Footer der Website ändern oder durch Löschen der Cookies in Ihrem Browser zurücksetzen.

Wir verwenden keine Tracking-Cookies für Werbezwecke und betreiben kein Remarketing oder verhaltensbasiertes Targeting.

14. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen:

15. Ihre Rechte (DSGVO Art. 15–21)

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten. Alle Anfragen richten Sie bitte an datenschutz@carangebot.de. Wir antworten in der Regel innerhalb von 30 Tagen.

• Auskunftsrecht (Art. 15 DSGVO): Auskunft über alle gespeicherten personenbezogenen Daten.
• Berichtigungsrecht (Art. 16 DSGVO): Berichtigung unrichtiger oder unvollständiger Daten.
• Recht auf Löschung (Art. 17 DSGVO): Löschung Ihrer Daten, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Recht auf Einschränkung (Art. 18 DSGVO): Einschränkung der Verarbeitung Ihrer Daten.
• Datenübertragbarkeit (Art. 20 DSGVO): Ihre Daten in einem maschinenlesbaren Format (z. B. JSON) erhalten.
• Widerspruchsrecht (Art. 21 DSGVO): Widerspruch gegen die Datenverarbeitung auf Basis berechtigter Interessen.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen (z. B. Push-Benachrichtigungen).
• Beschwerderecht (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren – insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Die für uns zuständige Behörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

16. Datenschutz für Minderjährige

Unser Angebot richtet sich ausschließlich an Personen ab 18 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Minderjährigen. Falls uns bekannt wird, dass eine minderjährige Person Daten übermittelt hat, werden diese unverzüglich gelöscht. Erziehungsberechtigte wenden sich bitte an datenschutz@carangebot.de.

17. Datensicherheit

Wir verwenden geeignete technische und organisatorische Maßnahmen zum Schutz Ihrer Daten (Art. 32 DSGVO):

• Verschlüsselung: Alle Datenübertragungen erfolgen über TLS/SSL (HTTPS). Firebase und Stripe verwenden verschlüsselte Verbindungen. Daten werden zusätzlich verschlüsselt im Ruhezustand (at rest) gespeichert.
• HTTP-Sicherheits-Header: Strict-Transport-Security (HSTS mit includeSubDomains), X-Content-Type-Options, X-Frame-Options (SAMEORIGIN), Referrer-Policy und Permissions-Policy sind aktiviert.
• EU-Datenstandorte: Die Hauptdaten werden in Frankfurt (europe-west3), Belgien (europe-west1) und in der EU-Multi-Region eur3 (Belgien/Niederlande) gespeichert bzw. verarbeitet.
• Zugriffskontrollen: Der Zugang zu Nutzerdaten ist auf autorisiertes Personal beschränkt. Hochgeladene Gewerbenachweise sind in Firebase Storage durch händlerbezogene Sicherheitsregeln (Firebase Security Rules) geschützt – Zugriff ausschließlich durch den jeweiligen Händler und den Plattform-Betreiber.
• Passwörter: Passwörter werden ausschließlich als Hash (durch Firebase Authentication) gespeichert.
• Re-Authentifizierung: Bei sensiblen Aktionen (z. B. Konto-Löschung) wird das Passwort erneut abgefragt.
• Datei-Limits: Bilder max. 10 MB, Gewerbenachweise max. 5 MB (PDF/JPG/PNG) – verhindert Missbrauch des Storage.
• Honeypot-Schutz: Eingabeformulare (z. B. bei der Registrierung) verfügen über unsichtbare Felder zur Spam-Bot-Erkennung.
• Zahlungssicherheit: Zahlungsdaten werden ausschließlich über Stripe verarbeitet – PCI-DSS-konform.
• Regelmäßige Überprüfung: Wir überprüfen unsere Sicherheitsmaßnahmen und Storage-Regeln regelmäßig. Ein Verzeichnis von Verarbeitungstätigkeiten (VVT) gemäß Art. 30 DSGVO wird intern geführt und mindestens jährlich aktualisiert.

Im unwahrscheinlichen Fall einer Datenschutzverletzung werden wir die zuständige Aufsichtsbehörde (BayLDA) und betroffene Nutzer gemäß Art. 33/34 DSGVO unverzüglich informieren.

18. Haftung und Zuständigkeit Dritter

Für Leistungen, Inhalte und Datenverarbeitungen eigenständiger Dritter tragen diese die datenschutzrechtliche Verantwortung. Dies betrifft insbesondere:

• Händler mit hinterlegtem Gewerbenachweis, die personenbezogene Daten von Privatpersonen im Rahmen der Vermittlung erhalten und eigenständig verarbeiten;
• Zahlungsdienstleister (insbesondere Stripe), die Zahlungen abwickeln;
• App-Stores (Apple App Store, Google Play Store), die die CarAngebot-App vertreiben;
• Kommunikationsdienste (z. B. EmailJS), die zum Versand genutzt werden;
• Garantiepartner der Händler, sofern entsprechende Service-Optionen in Anspruch genommen werden (siehe Abschnitt 8).

Die genannten Dritten sind eigenständig Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO. Soweit diese personenbezogene Daten verarbeiten, gelten deren jeweilige Datenschutzerklärungen.

CarAngebot übernimmt keine Haftung für Datenschutzverstöße oder Schäden, die durch eigenständige Verarbeitungen Dritter entstehen.

19. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich rechtliche Anforderungen ändern, neue Dienste eingesetzt werden oder sich die Datenverarbeitung ändert. Die jeweils aktuelle Version ist stets unter www.carangebot.de/datenschutz.html abrufbar.

Bei wesentlichen Änderungen werden registrierte Nutzer per E-Mail informiert.