Privacyverklaring

2. Verzamelde gegevens

Wij verzamelen en verwerken de volgende persoonsgegevens in het kader van het gebruik van ons platform:

2.1 Bij de registratie

• Naam (voor- en achternaam)
• E-mailadres
• Wachtwoord (versleuteld opgeslagen)
• Telefoonnummer (optioneel)

2.2 Bij het gebruik van het platform

• Voertuigadvertenties en bijbehorende gegevens (foto's, beschrijvingen, prijzen)
• Koopaanvragen aan verkopers (naam, e-mailadres, optioneel telefoonnummer, bericht)
• Contactaanvragen via het contactformulier
• Favorietenlijst, zoekopdrachten en nieuwsbriefaanmelding (telkens alleen als u deze functies gebruikt)

2.3 Automatisch verzamelde gegevens

• IP-adres
• Browsertype en browserversie
• Besturingssysteem
• Datum en tijdstip van het bezoek
• Referrer-URL

2.4 Voertuigadvertenties, het uploaden van foto's en voertuigdocumenten

Wanneer u voertuigadvertenties aanmaakt, verwerken wij de door u geüploade voertuigfoto's en de advertentiegegevens (beschrijvingen, technische gegevens, prijzen, locatie). Deze verwerking is noodzakelijk voor de uitvoering van de gebruiksovereenkomst en vindt plaats op grond van artikel 6 lid 1 onder b AVG (uitvoering van een overeenkomst). Met de publicatie van de advertentie worden deze inhoud en gegevens zichtbaar voor andere gebruikers van het platform.

Bij een advertentie kunt u daarnaast voertuigdocumenten (bijv. kentekenpapieren, facturen, taxatierapporten) uploaden. Deze documenten worden niet gepubliceerd. Zij zijn alleen voor uzelf op te vragen en worden alleen aan geïnteresseerden beschikbaar gesteld als u ze bij een concrete koopaanvraag uitdrukkelijk vrijgeeft — via een in tijd beperkte link die na zeven dagen of na een beperkt aantal keren opvragen vervalt en die u op elk moment kunt intrekken. De rechtsgrondslag is artikel 6 lid 1 onder b AVG.

De rechtsgrondslag voor de verwerking is artikel 6 lid 1 onder b AVG (uitvoering van een overeenkomst) en artikel 6 lid 1 onder f AVG (gerechtvaardigd belang).

3. Cookies en toestemming

Wij gebruiken cookies op onze website. Cookies zijn kleine tekstbestanden die op uw apparaat worden opgeslagen. Technisch noodzakelijke cookies zijn nodig om basisfuncties van de website aan te bieden, met name de authenticatie en het sessiebeheer (inloggen). Deze cookies worden zonder afzonderlijke toestemming geplaatst; de rechtsgrondslag is § 25 lid 2 TDDDG in samenhang met artikel 6 lid 1 onder f AVG (gerechtvaardigd belang bij een veilige en goed werkende website).

Daarnaast plaatsen wij optionele statistiekcookies (bijv. Google Analytics 4) uitsluitend wanneer u daarvoor vooraf via onze cookiebanner uitdrukkelijk toestemming hebt gegeven. De rechtsgrondslag hiervoor is uw toestemming op grond van § 25 lid 1 TDDDG in samenhang met artikel 6 lid 1 onder a AVG. Zonder uw toestemming worden er geen statistiek- of analysecookies geplaatst.

Uw toestemming is vrijwillig en kan op elk moment worden ingetrokken, met werking voor de toekomst. U kunt uw keuze op elk moment aanpassen of intrekken via de link “Cookie-instellingen” onderaan de website. Bij het verzamelen van statistiekgegevens is de IP-anonimisering ingeschakeld.

3.1 Google Analytics

Als u in de cookiebanner toestemming hebt gegeven (“Accepteren”, of statistieken ingeschakeld in de instellingen), gebruiken wij Google Analytics 4, een webanalysedienst van Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (“Google”). Zonder uw toestemming wordt Google Analytics niet geladen: er worden geen analysecookies geplaatst en geen gebruiksgegevens aan Google doorgegeven. Google Analytics dient voor de bereikmeting en helpt ons het gebruik van onze website statistisch te analyseren en te verbeteren. Daarbij worden gebruiksgegevens (bijv. bezochte pagina’s, tijdstip en duur van het bezoek, geschatte herkomst, gebruikte apparaat- en browsertypen) verwerkt met behulp van cookies (_ga, _ga_*). Uw IP-adres wordt ingekort; Google Analytics 4 slaat geen volledige IP-adressen op. Google-signalen (apparaatoverschrijdende analyse), advertentiefuncties en het delen van gegevens met Google voor eigen doeleinden (instellingen voor het delen van gegevens) zijn uitgeschakeld. Gebeurtenisgegevens worden na 14 maanden automatisch verwijderd.

Google verwerkt de gegevens in onze opdracht; er is een verwerkersovereenkomst gesloten conform artikel 28 AVG. Daarbij kunnen gegevens ook worden doorgegeven aan Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. De doorgifte berust op het adequaatheidsbesluit van de Europese Commissie voor het EU-VS-gegevensprivacykader (EU-US Data Privacy Framework, artikel 45 AVG), waaronder Google LLC is gecertificeerd; aanvullend maken standaardcontractbepalingen van de Europese Commissie deel uit van de gegevensverwerkingsvoorwaarden van Google. De rechtsgrondslag is uitsluitend uw toestemming op grond van § 25 lid 1 TDDDG en artikel 6 lid 1 onder a AVG. U kunt deze op elk moment met werking voor de toekomst intrekken via de link “Cookie-instellingen” onderaan de website; Google Analytics wordt dan uitgeschakeld en de analysecookies worden verwijderd. Meer informatie: https://policies.google.com/privacy

4. Hosting

Onze website wordt gehost bij DigitalOcean (App Platform). De servers staan in het datacenter Frankfurt am Main, Duitsland (EU). Aanbieder is:

DigitalOcean, LLC
101 Avenue of the Americas, 10th Floor
New York, NY 10013, USA

De gegevensverwerking vindt plaats op servers binnen de Europese Unie. Met DigitalOcean is een verwerkersovereenkomst gesloten conform artikel 28 AVG. Voor zover toegang vanuit de VS, bijvoorbeeld in het kader van onderhoud of ondersteuning, niet kan worden uitgesloten, is een dergelijke doorgifte beveiligd door de in de verwerkersovereenkomst opgenomen standaardcontractbepalingen van de Europese Commissie (artikel 46 lid 2 onder c AVG). De rechtsgrondslag is artikel 6 lid 1 onder f AVG (gerechtvaardigd belang bij een betrouwbare beschikbaarheid van de website).

De database van het platform wordt als beheerde databasedienst van DigitalOcean in dezelfde regio geëxploiteerd. De aanbieder maakt dagelijks automatisch een back-up, die zeven dagen wordt bewaard en daarna wordt overschreven; back-ups dienen uitsluitend voor herstel na een storing.

Bij het bezoeken van de website ontstaan in de infrastructuur van de hostingaanbieder technische toegangs- en foutlogbestanden (IP-adres, tijdstip, opgevraagd adres, browserkenmerk). De hostingaanbieder bewaart deze slechts kortstondig voor foutanalyse en het afweren van storingen en aanvallen; wij geven ze niet door aan derden en gebruiken ze niet voor andere doeleinden.

Verzoeken aan onze website lopen via het netwerk van Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, VS, dat DigitalOcean als subverwerker inzet voor de netwerklaag van het App Platform (doorsturen, tijdelijke opslag van statische bestanden, bescherming tegen aanvallen). Daarbij worden verbindingsgegevens zoals uw IP-adres, het tijdstip en het opgevraagde adres verwerkt. Deze verwerking valt onder de verwerkersovereenkomst met DigitalOcean; voor zover gegevens naar de VS worden doorgegeven, berust dit op het adequaatheidsbesluit voor het EU-VS-gegevensprivacykader (EU-US Data Privacy Framework), waaronder Cloudflare is gecertificeerd, en op standaardcontractbepalingen. De rechtsgrondslag is artikel 6 lid 1 onder f AVG (gerechtvaardigd belang bij een veilige en snelle levering van de website).

5. Opslag van foto's en documenten (objectopslag)

Geüploade bestanden worden niet op de webserver opgeslagen, maar in de objectopslag DigitalOcean Spaces van DigitalOcean, LLC (adres: zie paragraaf 4) in de regio Frankfurt am Main, en van daaruit geleverd. Dit betreft voertuigfoto's, foto's bij magazineartikelen, profiel- en omslagfoto's, de bewijsstukken die in het kader van de dealerverificatie worden geüpload, voertuigdocumenten bij advertenties en de door ons opgestelde facturen.

Daarbij worden de bestandsinhoud zelf, een technisch gegenereerde bestandsnaam en de verbindingsgegevens die bij het opvragen ontstaan (met name IP-adres en tijdstip) verwerkt. Geüploade foto's worden vóór het opslaan op de server opnieuw berekend; de aanwezige metadata (bijv. EXIF-gegevens met GPS-coördinaten) worden daarbij niet overgenomen.

Voertuigfoto's, magazinefoto's en profielfoto's zijn overeenkomstig hun doel openbaar toegankelijk en worden geleverd via het content delivery network (CDN) van DigitalOcean Spaces, waar een kopie tot een uur in de cache kan blijven. Blokkeert ons beheer een advertentie, dan worden ook de foto's daarvan op niet-openbaar gezet. Bewijsstukken uit de dealerverificatie, voertuigdocumenten en facturen worden uitsluitend niet-openbaar opgeslagen en alleen via gecontroleerde, ingelogde toegang geleverd: bewijsstukken aan bevoegde medewerkers, voertuigdocumenten aan de verkoper zelf en — na zijn vrijgave — via in tijd beperkte links aan geïnteresseerden (paragraaf 2.4), facturen aan de accounthouder.

De rechtsgrondslag is artikel 6 lid 1 onder b AVG (uitvoering van een overeenkomst) voor eigen uploads en artikel 6 lid 1 onder f AVG (gerechtvaardigd belang bij een snelle levering) voor het opvragen door bezoekers. De verwerkersovereenkomst met DigitalOcean conform artikel 28 AVG (paragraaf 4) omvat ook de objectopslag en het CDN.

6. E-mailverzending

Voor het verzenden van e-mails (bijv. registratiebevestigingen, het opnieuw instellen van wachtwoorden, meldingen, facturen) maken wij gebruik van de mailserver van Mittwald CM Service GmbH & Co. KG, Königsberger Straße 4–6, 32339 Espelkamp, Duitsland.

De verwerking vindt plaats in datacenters in Duitsland. Uitsluitend de voor de verzending noodzakelijke gegevens worden verwerkt.

Daarbij worden het e-mailadres van de ontvanger en de inhoud van de e-mail aan de dienstverlener doorgegeven. Er is een verwerkersovereenkomst gesloten conform artikel 28 AVG. De rechtsgrondslag is artikel 6 lid 1 onder b AVG (uitvoering van een overeenkomst).

7. Betalingsverwerking (Stripe)

Betaalde pakketten — dealerpakketten en de particuliere advertentie — rekenen wij af via de betaaldienstverlener Stripe: Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Ierland. Bij het boeken wordt u doorgestuurd naar een betaalpagina van Stripe en voert u uw betaalgegevens (kaartnummer of IBAN) daar rechtstreeks bij Stripe in. Wij ontvangen zelf geen volledige kaart- of rekeninggegevens, maar alleen de betaalmethode, de laatste vier cijfers daarvan, bij kaarten de vervaldatum en de status van de betalingen.

Aan Stripe verstrekken wij uw naam of bedrijfsnaam, uw e-mailadres, uw factuuradres, uw taal, een intern klantnummer en het geboekte pakket of de geboekte advertentie met de bedragen. Stripe verwerkt deze gegevens om de betalingen en incasso’s uit te voeren. Voor zover Stripe gegevens verwerkt ter voorkoming van fraude en ter nakoming van eigen wettelijke verplichtingen (bijvoorbeeld ter voorkoming van witwassen), is Stripe daarvoor zelf verwerkingsverantwoordelijke.

De rechtsgrond is art. 6 lid 1 sub b AVG (uitvoering van een overeenkomst) en art. 6 lid 1 sub c AVG (wettelijke verplichtingen). Stripe kan gegevens ook doorgeven aan Stripe, Inc. in de VS; de doorgifte berust op het adequaatheidsbesluit voor het EU-US Data Privacy Framework, waaronder Stripe gecertificeerd is, en op de standaardcontractbepalingen van de Europese Commissie. Meer informatie: https://stripe.com/nl/privacy

Facturen en de bijbehorende betalingsgegevens bewaren wij volgens de handels- en fiscaalrechtelijke voorschriften (zie paragraaf 9). Verwijdert u uw account, dan laten wij uw klantrecord bij Stripe verwijderen; de betalingsbewijzen blijven bij Stripe en bij ons bewaard in het kader van de wettelijke bewaarplichten. Geven dealers die in een andere EU-lidstaat zijn gevestigd een btw-identificatienummer op, dan controleren wij de geldigheid daarvan via het btw-informatie-uitwisselingssysteem (VIES) van de Europese Commissie; daarbij worden alleen dit nummer en ons eigen btw-identificatienummer doorgegeven (artikel 6 lid 1 onder b en c AVG).

8. Lettertypen en ingebedde afbeeldingen

De op deze website gebruikte lettertypen (Cormorant, Inter en JetBrains Mono) worden lokaal vanaf onze eigen server geleverd. Zij worden al bij het bouwen van de applicatie meegeleverd; bij het openen van de website wordt geen verbinding met Google Fonts of een andere lettertypedienst gemaakt. Uw IP-adres wordt daarom niet aan een aanbieder van lettertypen doorgegeven.

Ook pictogrammen en landenvlaggen worden als onderdeel van de pagina zelf geleverd en niet bij een externe afbeeldingendienst opgehaald.

Bij het bezoeken van de website ontstaan verbindingen met diensten buiten de onder punt 4 en 5 beschreven hostinginfrastructuur uitsluitend door de onder punt 3.1 beschreven bereikmeting — en daar pas na uw uitdrukkelijke toestemming. Bij het boeken van een betaald pakket wordt u bovendien doorgestuurd naar de betaalpagina van Stripe (punt 7).

9. Bewaartermijnen en verwijdering

Wij bewaren persoonsgegevens niet langer dan nodig is voor het betreffende doel of dan wettelijke bewaarplichten voorschrijven. In detail:

• Accountgegevens: zolang de gebruiksrelatie bestaat. Na een verzoek tot verwijdering — via de accountinstellingen of per e-mail — worden alle identificerende gegevens (naam, e-mailadres, telefoonnummer, adresgegevens, profiel- en bedrijfsgegevens, inloggegevens inclusief tweede factoren) onherroepelijk overschreven; het geanonimiseerde record blijft alleen bewaard voor zover dat nodig is om al afgeronde transacties (zoals facturen) te kunnen toewijzen. Accounts waarvan het e-mailadres 30 dagen na de registratie niet is bevestigd, en onbevestigde accounts zonder eigen inhoud waarop sinds 90 dagen niet is ingelogd, verwijderen wij automatisch.
• Geblokkeerde accounts: Een account dat wij wegens een overtreding van de gebruiksvoorwaarden hebben geblokkeerd, blijft met zijn gegevens en advertenties bewaard zolang dat nodig is om de zaak traceerbaar te houden en misbruik te voorkomen – in het bijzonder zodat de blokkering niet door een nieuwe registratie kan worden omzeild –, maar niet langer dan drie jaar na de blokkering; het is uitgezonderd van de automatische verwijdering. Daarna beperken wij de opgeslagen gegevens tot wat nodig is om de blokkering te handhaven (e-mailadres, tijdstip en reden van de blokkering). Wordt een blokkering opgeheven, dan gelden weer de overige termijnen van dit punt.
• Voertuigadvertenties: voor de looptijd van het gekozen pakket (particuliere advertentie: 90 dagen). Daarna worden zij automatisch gedeactiveerd en blijven zij bewaard zodat de verkoper ze opnieuw kan activeren. Bij verwijdering van het account worden foto's en voertuigdocumenten verwijderd; de advertentie wordt gedeactiveerd en ontdaan van chassisnummer, locatie en beschrijving.
• Inlog- en sessietokens: Een aanmelding blijft zonder verder gebruik maximaal zeven dagen geldig; verlopen tokens worden automatisch door een dagelijkse onderhoudstaak verwijderd. Bij uitloggen of verwijdering van het account worden zij onmiddellijk verwijderd.
• Eenmalige links en tokens: Links ter bevestiging van het e-mailadres zijn zeven dagen geldig, links voor het opnieuw instellen van het wachtwoord één uur, links ter bevestiging van een adreswijziging 24 uur. Verlopen tokens worden uiterlijk bij de volgende dagelijkse onderhoudstaak verwijderd.
• Koopaanvragen aan verkopers en berichten via het contactformulier: twaalf maanden na ontvangst; daarna worden zij automatisch verwijderd. Koopaanvragen die een verkoper heeft ontvangen, worden bovendien verwijderd bij de verwijdering van zijn account.
• Vrijgaven van voertuigdocumenten: Een link waarmee een verkoper voertuigdocumenten aan een geïnteresseerde toestuurt, is zeven dagen geldig en beperkt tot een bepaald aantal keren opvragen; elke opvraging wordt met tijdstip geregistreerd. De vrijgave en het opvraaglogboek worden 30 dagen na het verlopen of intrekken verwijderd.
• Nieuwsbrief: tot het intrekken van de toestemming. Na afmelding blijft de vermelding als afgemeld geregistreerd, zodat hetzelfde adres niet opnieuw wordt aangeschreven; een aanmelding die niet binnen 30 dagen wordt bevestigd, wordt verwijderd.
• Bewijsstukken voor de dealerverificatie: tot de controle is afgerond en zolang de relatie met de dealer bestaat, als bewijs dat wij aan onze controleplicht hebben voldaan. Zij worden verwijderd 90 dagen na het einde van de dealerrelatie, 30 dagen na een afwijzing, na 90 dagen zonder beslissing over het bewijsstuk en onmiddellijk bij de verwijdering van het account.
• Meldingen van advertenties, dealers en aanvragen: Meldingen en de afhandeling ervan bewaren wij zolang dat nodig is om aan te tonen dat meldingen van illegale inhoud zijn behandeld (Verordening (EU) 2022/2065, Digital Services Act) en om herhaalde overtredingen te voorkomen, maar niet langer dan twaalf maanden na afronding van de behandeling. Verwijdert de melder zijn account, dan wordt zijn koppeling aan de melding verwijderd.
• Beheerlogboek: Handelingen van onze medewerkers aan accounts en advertenties (zoals goedkeuringen, blokkeringen, controlenotities) worden met tijdstip, betrokken record en ingekort IP-adres van de handelende persoon geregistreerd en na twaalf maanden verwijderd.
• Serverlogbestanden: Toegangs- en foutlogbestanden ontstaan bij de hostingaanbieder en worden daar slechts kortstondig voor foutanalyse bewaard (paragraaf 4). Onze applicatie zelf slaat IP-adressen alleen tijdelijk in het werkgeheugen op, om het aantal aanvragen per afzender te beperken (bescherming tegen misbruik), en in ingekorte vorm in het beheerlogboek.
• Back-ups: De database wordt door de hostingaanbieder dagelijks automatisch geback-upt; elke back-up wordt zeven dagen bewaard en daarna overschreven. Verwijderde gegevens kunnen daardoor tot zeven dagen in een back-up aanwezig blijven; back-ups worden uitsluitend gebruikt voor herstel na een storing.
• Bereikmeting (alleen met toestemming): Gebeurtenisgegevens in Google Analytics worden na 14 maanden automatisch verwijderd. De analysecookies (_ga, _ga_*) verlopen uiterlijk na twee jaar en worden verwijderd wanneer u uw toestemming intrekt. Uw keuze in de cookiebanner bewaren wij zes maanden in de strikt noodzakelijke cookie “stern_consent”.
• Documenten met een wettelijke bewaarplicht: Facturen en boekhoudkundig relevante documenten worden op grond van § 147 AO en § 257 HGB acht respectievelijk tien jaar bewaard — ook na verwijdering van het account. Gedurende deze periode is de verwerking beperkt tot het bewaren.

10. Rechten van betrokkenen

Op grond van de AVG hebt u de volgende rechten met betrekking tot uw persoonsgegevens:

10.1 Recht op inzage (artikel 15 AVG)

U hebt het recht om uitsluitsel te verkrijgen over de vraag of wij persoonsgegevens van u verwerken. Is dat het geval, dan hebt u recht op inzage in die gegevens en op de informatie die in artikel 15 AVG is genoemd.

10.2 Recht op rectificatie (artikel 16 AVG)

U hebt het recht om rectificatie van onjuiste persoonsgegevens en aanvulling van onvolledige persoonsgegevens te verlangen.

10.3 Recht op gegevenswissing (artikel 17 AVG)

U hebt het recht om wissing van uw persoonsgegevens te verlangen, voor zover een van de in artikel 17 AVG genoemde gronden van toepassing is.

10.4 Recht op beperking van de verwerking (artikel 18 AVG)

U hebt het recht om beperking van de verwerking van uw gegevens te verlangen wanneer aan een van de in artikel 18 AVG genoemde voorwaarden is voldaan.

10.5 Recht op overdraagbaarheid van gegevens (artikel 20 AVG)

U hebt het recht om uw persoonsgegevens in een gestructureerde, gangbare en machineleesbare vorm te ontvangen en deze gegevens aan een andere verwerkingsverantwoordelijke over te dragen.

10.6 Recht van bezwaar (artikel 21 AVG)

U hebt het recht om vanwege met uw specifieke situatie verband houdende redenen op elk moment bezwaar te maken tegen de verwerking van u betreffende persoonsgegevens.

Daarnaast hebt u het recht om bij een toezichthoudende autoriteit voor gegevensbescherming een klacht in te dienen over de verwerking van uw persoonsgegevens.

11. Contact voor privacyvragen

Voor vragen over gegevensbescherming of over de uitoefening van uw rechten als betrokkene kunt u contact opnemen met:

Markus Kalweit
sternclassics Media UG (haftungsbeschränkt)
An der Germania Brauerei 7
48159 Münster
E-mail: datenschutz@everstern.eu