Datenschutzerklärung

2. Erhobene Daten

Wir erheben und verarbeiten die folgenden personenbezogenen Daten im Rahmen der Nutzung unserer Plattform:

2.1 Bei der Registrierung

• Name (Vor- und Nachname)
• E-Mail-Adresse
• Passwort (verschlüsselt gespeichert)
• Telefonnummer (optional)

2.2 Bei der Nutzung der Plattform

• Fahrzeuginserate und zugehörige Daten (Bilder, Beschreibungen, Preise)
• Kaufanfragen an Verkäufer (Name, E-Mail-Adresse, optional Telefonnummer, Nachricht)
• Kontaktanfragen über das Kontaktformular
• Merkliste, Suchaufträge und Newsletter-Anmeldung (jeweils nur, wenn Sie diese Funktionen nutzen)

2.3 Automatisch erhobene Daten

• IP-Adresse
• Browsertyp und -version
• Betriebssystem
• Datum und Uhrzeit des Zugriffs
• Referrer-URL

2.4 Fahrzeuginserate, Bild-Uploads und Fahrzeugdokumente

Wenn Sie Fahrzeuginserate erstellen, verarbeiten wir die von Ihnen hochgeladenen Fahrzeugbilder sowie die Inseratsdaten (Beschreibungen, technische Angaben, Preise, Standort). Diese Verarbeitung ist zur Erfüllung des Nutzungsvertrags erforderlich und erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Inhalte werden im Rahmen der Veröffentlichung des Inserats für andere Nutzer der Plattform sichtbar.

Zu einem Inserat können Sie zusätzlich Fahrzeugdokumente (z. B. Fahrzeugpapiere, Rechnungen, Gutachten) hochladen. Diese Dokumente werden nicht veröffentlicht. Sie sind nur für Sie selbst abrufbar und werden Interessenten nur dann zugänglich gemacht, wenn Sie sie zu einer konkreten Kaufanfrage ausdrücklich freigeben — über einen zeitlich befristeten Link, der nach sieben Tagen oder einer begrenzten Zahl von Abrufen erlischt und den Sie jederzeit zurückziehen können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Die Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

3. Cookies und Einwilligung

Wir verwenden auf unserer Website Cookies. Cookies sind kleine Textdateien, die auf Ihrem Endgerät gespeichert werden. Technisch notwendige Cookies sind erforderlich, um grundlegende Funktionen der Website bereitzustellen, insbesondere die Authentifizierung und die Sitzungsverwaltung (Login). Diese Cookies werden ohne gesonderte Einwilligung gesetzt; Rechtsgrundlage ist § 25 Abs. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und funktionsfähigen Bereitstellung der Website).

Darüber hinaus setzen wir optionale Statistik-Cookies (z. B. Google Analytics 4) ausschließlich dann ein, wenn Sie zuvor über unseren Cookie-Banner ausdrücklich eingewilligt haben. Rechtsgrundlage hierfür ist Ihre Einwilligung gemäß § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO. Ohne Ihre Einwilligung werden keine Statistik- oder Analyse-Cookies gesetzt.

Ihre Einwilligung ist freiwillig und kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Sie können Ihre Auswahl jederzeit über den Link „Cookie-Einstellungen“ im Footer der Website anpassen oder widerrufen. Bei der Erhebung von Statistikdaten ist die IP-Anonymisierung aktiviert.

3.1 Google Analytics

Sofern Sie im Cookie-Banner eingewilligt haben („Annehmen“ oder Statistik in den Einstellungen aktiviert), nutzen wir Google Analytics 4, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Ohne Ihre Einwilligung wird Google Analytics nicht geladen: Es werden keine Analyse-Cookies gesetzt und keine Nutzungsdaten an Google übermittelt. Google Analytics dient der Reichweitenmessung und hilft uns, die Nutzung unserer Website statistisch auszuwerten und zu verbessern. Dabei werden Nutzungsdaten (z. B. aufgerufene Seiten, Zeitpunkt und Dauer des Besuchs, ungefähre Herkunft, verwendete Geräte- und Browsertypen) mithilfe von Cookies (_ga, _ga_*) verarbeitet. Ihre IP-Adresse wird gekürzt; Google Analytics 4 speichert keine vollständigen IP-Adressen. Google-Signale (geräteübergreifende Auswertung), Werbefunktionen und die Weitergabe von Daten an Google für eigene Zwecke (Einstellungen zur Datenfreigabe) sind deaktiviert. Die Ereignisdaten werden nach 14 Monaten automatisch gelöscht.

Google verarbeitet die Daten in unserem Auftrag; es besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Dabei können Daten auch an die Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA übermittelt werden. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), unter dem die Google LLC zertifiziert ist; ergänzend sind Standardvertragsklauseln der EU-Kommission Bestandteil der Datenverarbeitungsbedingungen von Google. Rechtsgrundlage ist ausschließlich Ihre Einwilligung gemäß § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Sie können sie jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Einstellungen“ im Footer widerrufen; Google Analytics wird dann abgeschaltet, und die Analyse-Cookies werden gelöscht. Weitere Informationen: https://policies.google.com/privacy

4. Hosting

Unsere Website wird bei DigitalOcean (App Platform) gehostet. Die Server befinden sich im Rechenzentrum Frankfurt am Main, Deutschland (EU). Anbieter ist:

DigitalOcean, LLC
101 Avenue of the Americas, 10th Floor
New York, NY 10013, USA

Die Datenverarbeitung erfolgt auf Servern innerhalb der Europäischen Union. Es besteht ein Auftragsverarbeitungsvertrag (AVV) mit DigitalOcean gemäß Art. 28 DSGVO. Soweit ein Zugriff aus den USA, etwa im Rahmen von Wartung oder Support, nicht ausgeschlossen werden kann, ist eine solche Übermittlung durch die in den AVV einbezogenen Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) abgesichert. Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer zuverlässigen Bereitstellung der Website).

Die Datenbank der Plattform wird als verwalteter Datenbankdienst von DigitalOcean in derselben Region betrieben. Der Anbieter erstellt täglich automatisch eine Sicherungskopie, die sieben Tage vorgehalten und danach überschrieben wird; Sicherungskopien dienen ausschließlich der Wiederherstellung nach einem Ausfall.

Beim Aufruf der Website fallen in der Infrastruktur des Hosting-Anbieters technische Zugriffs- und Fehlerprotokolle an (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung). Sie werden vom Hosting-Anbieter nur kurzfristig zur Fehleranalyse und zur Abwehr von Störungen und Angriffen vorgehalten; wir leiten sie nicht an Dritte weiter und werten sie nicht zu anderen Zwecken aus.

Anfragen an unsere Website laufen über das Netzwerk der Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, die DigitalOcean als Unterauftragsverarbeiter für die Netzwerkschicht der App Platform einsetzt (Weiterleitung, Zwischenspeicherung statischer Dateien, Schutz vor Angriffen). Dabei werden Verbindungsdaten wie Ihre IP-Adresse, der Zeitpunkt und die aufgerufene Adresse verarbeitet. Die Verarbeitung ist vom AVV mit DigitalOcean umfasst; soweit Daten in die USA übermittelt werden, stützt sich dies auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, unter dem Cloudflare zertifiziert ist, sowie auf Standardvertragsklauseln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und schnellen Auslieferung der Website).

5. Bild- und Dokumentenspeicher (Objektspeicher)

Hochgeladene Dateien werden nicht auf dem Webserver, sondern im Objektspeicher DigitalOcean Spaces der DigitalOcean, LLC (Anschrift siehe Ziffer 4) in der Region Frankfurt am Main abgelegt und von dort ausgeliefert. Betroffen sind Fahrzeugbilder, Bilder für Magazinbeiträge, Profil- und Titelbilder, die im Rahmen der Händlerverifizierung hochgeladenen Nachweise, Fahrzeugdokumente zu Inseraten sowie die von uns erstellten Rechnungen.

Verarbeitet werden dabei der Dateiinhalt selbst, ein technisch erzeugter Dateiname sowie die beim Abruf anfallenden Verbindungsdaten (insbesondere IP-Adresse und Zeitpunkt). Hochgeladene Bilder werden vor der Speicherung serverseitig neu berechnet; enthaltene Metadaten (z. B. EXIF-Daten mit GPS-Koordinaten) werden dabei nicht übernommen.

Fahrzeug-, Magazin- und Profilbilder sind bestimmungsgemäß öffentlich abrufbar und werden über das Content Delivery Network (CDN) von DigitalOcean Spaces ausgeliefert; dort kann eine Kopie bis zu einer Stunde zwischengespeichert bleiben. Sperrt unsere Verwaltung ein Inserat, werden auch seine Bilder auf nicht-öffentlich gesetzt. Nachweise aus der Händlerverifizierung, Fahrzeugdokumente und Rechnungen werden ausschließlich nicht-öffentlich gespeichert und nur über geprüfte, angemeldete Zugänge ausgeliefert: Nachweise an berechtigte Mitarbeitende, Fahrzeugdokumente an den Verkäufer selbst und — nach seiner Freigabe — über befristete Links an Interessenten (Ziffer 2.4), Rechnungen an den Kontoinhaber.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für eigene Uploads und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer performanten Auslieferung) für den Abruf durch Besucher. Der Auftragsverarbeitungsvertrag mit DigitalOcean gemäß Art. 28 DSGVO (Ziffer 4) umfasst auch den Objektspeicher und das CDN.

6. E-Mail-Versand

Für den Versand von E-Mails (z. B. Registrierungsbestätigungen, Passwort-Zurücksetzungen, Benachrichtigungen, Rechnungen) nutzen wir den E-Mail-Server der Mittwald CM Service GmbH & Co. KG, Königsberger Straße 4–6, 32339 Espelkamp, Deutschland.

Die Verarbeitung erfolgt in Rechenzentren in Deutschland. Es werden ausschließlich die für den Versand erforderlichen Daten verarbeitet.

Dabei werden die E-Mail-Adresse des Empfängers sowie der Inhalt der E-Mail an den Dienstleister übermittelt. Es besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

7. Zahlungsabwicklung (Stripe)

Kostenpflichtige Pakete — Händlerpakete und das Privatinserat — rechnen wir über den Zahlungsdienstleister Stripe ab: Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Bei der Buchung werden Sie auf eine Bezahlseite von Stripe weitergeleitet und geben Ihre Zahlungsdaten (Kartennummer bzw. IBAN) dort direkt bei Stripe ein. Wir selbst erhalten keine vollständigen Karten- oder Kontodaten, sondern nur die Zahlungsart, deren letzte vier Ziffern, bei Karten das Ablaufdatum sowie den Status der Zahlungen.

An Stripe übermitteln wir Ihren Namen bzw. Firmennamen, Ihre E-Mail-Adresse, Ihre Rechnungsanschrift, Ihre Sprache, eine interne Kundennummer sowie das gebuchte Paket bzw. Inserat und die Beträge. Stripe verarbeitet diese Daten zur Durchführung der Zahlungen und des Lastschrifteinzugs. Soweit Stripe Daten zur Betrugsprävention und zur Erfüllung eigener gesetzlicher Pflichten (etwa zur Geldwäscheprävention) verarbeitet, ist Stripe dafür selbst verantwortlich.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten). Stripe kann Daten auch an die Stripe, Inc. in den USA übermitteln; die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, unter dem Stripe zertifiziert ist, sowie auf Standardvertragsklauseln der EU-Kommission. Weitere Informationen: https://stripe.com/de/privacy

Rechnungen und die zugehörigen Zahlungsdaten bewahren wir nach den handels- und steuerrechtlichen Vorschriften auf (siehe Ziffer 9). Löschen Sie Ihr Konto, veranlassen wir die Löschung Ihres Kundendatensatzes bei Stripe; die Zahlungsbelege bleiben bei Stripe und bei uns im Rahmen der gesetzlichen Aufbewahrungspflichten erhalten. Geben Händler mit Sitz im EU-Ausland eine Umsatzsteuer-Identifikationsnummer an, prüfen wir deren Gültigkeit über das Mehrwertsteuer-Informationsaustauschsystem (VIES) der Europäischen Kommission; dabei werden nur diese Nummer und unsere eigene Umsatzsteuer-Identifikationsnummer übermittelt (Art. 6 Abs. 1 lit. b und c DSGVO).

8. Schriftarten und eingebundene Grafiken

Die auf dieser Website verwendeten Schriftarten (Cormorant, Inter und JetBrains Mono) werden lokal von unserem Server ausgeliefert. Sie werden bereits beim Erstellen der Anwendung eingebunden; beim Aufruf der Website wird keine Verbindung zu Google Fonts oder einem anderen Schriften-Dienst hergestellt. Ihre IP-Adresse wird daher nicht an einen Schriftanbieter übertragen.

Ebenso werden Symbole und Länderflaggen als Bestandteil der Seite selbst ausgeliefert und nicht von einem externen Bilddienst nachgeladen.

Beim Aufruf der Website entstehen Verbindungen zu Diensten außerhalb der unter Ziffer 4 und 5 beschriebenen Hosting-Infrastruktur ausschließlich durch die unter Ziffer 3.1 beschriebene Reichweitenmessung — und dort erst nach Ihrer ausdrücklichen Einwilligung. Bei der Buchung eines kostenpflichtigen Pakets werden Sie außerdem auf die Bezahlseite von Stripe weitergeleitet (Ziffer 7).

9. Speicherdauer und Löschfristen

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Im Einzelnen:

• Kontodaten: für die Dauer des Nutzungsverhältnisses. Nach einer Löschanfrage — über die Kontoeinstellungen oder per E-Mail — werden alle identifizierenden Angaben (Name, E-Mail, Telefonnummer, Anschriftsdaten, Profil- und Firmenangaben, Anmeldedaten einschließlich zweiter Faktoren) unwiderruflich überschrieben; der anonymisierte Datensatz bleibt nur erhalten, soweit dies zur Zuordnung bereits abgeschlossener Vorgänge (etwa Rechnungen) nötig ist. Konten, deren E-Mail-Adresse 30 Tage nach der Registrierung nicht bestätigt wurde, sowie unbestätigte Konten ohne eigene Inhalte, in denen seit 90 Tagen keine Anmeldung erfolgt ist, löschen wir automatisch.
• Gesperrte Konten: Ein Konto, das wir wegen eines Verstoßes gegen die Nutzungsbedingungen gesperrt haben, bleibt mit seinen Daten und Inseraten gespeichert, solange dies zur Nachvollziehbarkeit des Vorgangs und zur Abwehr von Missbrauch erforderlich ist – insbesondere, damit die Sperre nicht durch eine erneute Registrierung umgangen werden kann –, längstens drei Jahre nach der Sperre; es ist von der automatischen Löschung ausgenommen. Danach beschränken wir die gespeicherten Daten auf das, was zur Durchsetzung der Sperre erforderlich ist (E-Mail-Adresse, Zeitpunkt und Grund der Sperre). Wird eine Sperre aufgehoben, gelten wieder die übrigen Fristen dieser Ziffer.
• Fahrzeuginserate: für die Laufzeit des gebuchten Pakets (Privatinserat: 90 Tage). Danach werden sie automatisch deaktiviert und bleiben für eine Reaktivierung durch den Verkäufer gespeichert. Mit der Löschung des Kontos werden Bilder und Fahrzeugdokumente gelöscht; das Inserat wird deaktiviert und um Fahrgestellnummer, Standort und Beschreibung bereinigt.
• Anmelde- und Sitzungstoken: Eine Anmeldung bleibt längstens sieben Tage ohne erneute Nutzung gültig; abgelaufene Token werden von einem täglichen Wartungslauf automatisch gelöscht. Bei Abmeldung oder Löschung des Kontos werden sie sofort entfernt.
• Einmal-Links und -Token: Links zur Bestätigung der E-Mail-Adresse sind sieben Tage gültig, Links zum Zurücksetzen des Passworts eine Stunde, Links zur Bestätigung eines Adresswechsels 24 Stunden. Abgelaufene Token werden spätestens vom nächsten täglichen Wartungslauf gelöscht.
• Kaufanfragen an Verkäufer und Nachrichten über das Kontaktformular: zwölf Monate ab Eingang; danach werden sie automatisch gelöscht. Kaufanfragen, die ein Verkäufer erhalten hat, werden zudem mit der Löschung seines Kontos gelöscht.
• Freigaben von Fahrzeugdokumenten: Ein Link, mit dem ein Verkäufer einem Interessenten Fahrzeugdokumente zusendet, ist sieben Tage gültig und auf eine begrenzte Zahl von Abrufen beschränkt; die Abrufe werden mit ihrem Zeitpunkt protokolliert. Freigabe und Abrufprotokoll werden 30 Tage nach Ablauf oder Rücknahme gelöscht.
• Newsletter: bis zum Widerruf der Einwilligung. Nach der Abmeldung wird der Eintrag als abgemeldet geführt, damit dieselbe Adresse nicht erneut angeschrieben wird; eine Anmeldung, die nicht innerhalb von 30 Tagen bestätigt wird, wird gelöscht.
• Nachweise zur Händlerverifizierung: bis zum Abschluss der Prüfung und für die Dauer der Händlerbeziehung als Nachweis der Prüfpflicht. Gelöscht werden sie 90 Tage nach dem Ende der Händlerbeziehung, 30 Tage nach einer Ablehnung, nach 90 Tagen ohne Entscheidung über den Nachweis sowie sofort mit der Löschung des Kontos.
• Meldungen zu Inseraten, Händlern und Anfragen: Meldungen und ihre Bearbeitung bewahren wir auf, solange dies zum Nachweis der Bearbeitung von Hinweisen auf rechtswidrige Inhalte (Verordnung (EU) 2022/2065, Digital Services Act) und zur Abwehr wiederholter Verstöße erforderlich ist, längstens zwölf Monate nach Abschluss der Bearbeitung. Löscht die meldende Person ihr Konto, wird ihr Bezug zur Meldung entfernt.
• Protokoll der Verwaltung: Eingriffe unserer Mitarbeitenden in Konten und Inserate (etwa Freigaben, Sperren, Prüfvermerke) werden mit Zeitpunkt, betroffenem Datensatz und gekürzter IP-Adresse der bearbeitenden Person protokolliert und nach zwölf Monaten gelöscht.
• Server-Protokolle: Zugriffs- und Fehlerprotokolle fallen beim Hosting-Anbieter an und werden dort nur kurzfristig zur Fehleranalyse vorgehalten (Ziffer 4). Unsere Anwendung selbst speichert IP-Adressen nur vorübergehend im Arbeitsspeicher, um die Zahl der Anfragen je Absender zu begrenzen (Schutz vor Missbrauch), sowie in gekürzter Form im Protokoll der Verwaltung.
• Sicherungskopien: Die Datenbank wird vom Hosting-Anbieter täglich automatisch gesichert; jede Sicherungskopie wird sieben Tage vorgehalten und danach überschrieben. Gelöschte Daten können daher bis zu sieben Tage in einer Sicherungskopie verbleiben; Sicherungskopien werden ausschließlich zur Wiederherstellung nach einem Ausfall verwendet.
• Reichweitenmessung (nur mit Einwilligung): Ereignisdaten in Google Analytics werden nach 14 Monaten automatisch gelöscht. Die Analyse-Cookies (_ga, _ga_*) verfallen nach spätestens zwei Jahren und werden beim Widerruf der Einwilligung gelöscht. Ihre Auswahl im Cookie-Banner speichern wir sechs Monate in dem technisch notwendigen Cookie „stern_consent“.
• Unterlagen mit gesetzlicher Aufbewahrungspflicht: Rechnungen und buchungsrelevante Unterlagen werden nach § 147 AO und § 257 HGB acht bzw. zehn Jahre aufbewahrt — auch nach Löschung des Kontos. Für diese Zeit ist die Verarbeitung auf die Aufbewahrung beschränkt.

10. Betroffenenrechte

Sie haben gemäß DSGVO folgende Rechte in Bezug auf Ihre personenbezogenen Daten:

10.1 Recht auf Auskunft (Art. 15 DSGVO)

Sie haben das Recht, eine Bestätigung darüber zu verlangen, ob personenbezogene Daten von Ihnen verarbeitet werden. Ist dies der Fall, haben Sie ein Recht auf Auskunft über diese Daten und die in Art. 15 DSGVO genannten Informationen.

10.2 Recht auf Berichtigung (Art. 16 DSGVO)

Sie haben das Recht, die Berichtigung unrichtiger oder die Vervollständigung unvollständiger personenbezogener Daten zu verlangen.

10.3 Recht auf Löschung (Art. 17 DSGVO)

Sie haben das Recht, die Löschung Ihrer personenbezogenen Daten zu verlangen, sofern einer der in Art. 17 DSGVO genannten Gründe zutrifft.

10.4 Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer Daten zu verlangen, wenn eine der in Art. 18 DSGVO genannten Voraussetzungen gegeben ist.

10.5 Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie haben das Recht, Ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und diese Daten einem anderen Verantwortlichen zu übermitteln.

10.6 Widerspruchsrecht (Art. 21 DSGVO)

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen.

Darüber hinaus haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren.

11. Kontakt für Datenschutzanfragen

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Betroffenenrechte wenden Sie sich bitte an:

Markus Kalweit
sternclassics Media UG (haftungsbeschränkt)
An der Germania Brauerei 7
48159 Münster
E-Mail: datenschutz@everstern.eu