Datenschutzerklärung

DAT AUTOHUS AG
An der Autobahn 11
27404 Bockel
Deutschland

E-Mail: vertrieb@autohus.de
Website: www.autohus.de
Tel.: +49 4286 / 926 0
Fax: +49 4286 / 926 499

Dr. jur. Kay Gunkel
Universitätsallee 5
28359 Bremen
Deutschland

E-Mail: kontakt@ra-gunkel.de · dsb@autohus.de

Sie können unsere Website besuchen, ohne Angaben zu Ihrer Person zu machen. Bei jedem Zugriff übermittelt Ihr Browser bzw. unsere App technische Nutzungsdaten, die in Protokolldaten (Server-Logfiles) gespeichert werden. Dazu gehören insbesondere Ihre IP-Adresse, Datum und Uhrzeit des Abrufs, die aufgerufene Adresse einschließlich etwaiger Parameter, das Ergebnis der Anfrage, die übertragene Datenmenge, die zuvor besuchte Seite (Referrer) und die Kennung Ihres Browsers bzw. Betriebssystems. Diese Daten dienen der Gewährleistung eines störungsfreien Betriebs, der Abwehr von Angriffen und der Aufklärung von Missbrauch.

Website, App-Schnittstelle und die zugehörigen Datenbanken werden für uns von einem vertraglich gebundenen Auftragsverarbeiter (Art. 28 DSGVO) auf der Infrastruktur von Amazon Web Services (AWS) betrieben. Server, Datenbanken und Protokollspeicher stehen in der AWS-Region Frankfurt am Main. Die Seiten werden über das Auslieferungsnetz Amazon CloudFront bereitgestellt, das jede Anfrage an einem möglichst nahe gelegenen Netzknoten beantwortet — bei einem Aufruf aus Europa in der Regel in Europa. Vorgeschaltet ist eine Web Application Firewall (AWS WAF), die Anfragen auf Angriffsmuster prüft. E-Mails an Sie (z. B. Bestätigungscodes, Reservierungs- und Bestellbestätigungen) versenden wir über Amazon Simple Email Service in der Region Frankfurt am Main. Rechtsgrundlage ist Art. 6 (1) f DSGVO aus dem berechtigten Interesse an einem sicheren und funktionsfähigen Webangebot; soweit E-Mails der Durchführung eines Vertrags dienen, Art. 6 (1) b DSGVO.

Wie lange wir Protokolldaten aufbewahren, hängt von ihrer Art ab:

Zugriffsprotokolle des Auslieferungsnetzes (jeder Abruf, ohne Cookies): Speicherung in Frankfurt am Main, automatische Löschung nach 90 Tagen.

Protokolle der Web Application Firewall: Sie enthalten nur Anfragen, bei denen eine Sicherheitsregel angeschlagen hat — dazu können auch gewöhnliche Aufrufe gehören, etwa aus Netzen von Rechenzentren oder Anonymisierungsdiensten —, mit IP-Adresse, aufgerufener Adresse und den Kopfzeilen der Anfrage, jedoch ohne Cookies und Anmeldedaten. Diese Protokolle werden technisch bedingt in der AWS-Region USA Ost (Nord-Virginia) gespeichert und nach 90 Tagen automatisch gelöscht.

Protokolle unserer Programmierschnittstelle: Jede ändernde Anfrage (z. B. Registrierung, Anmeldung, Reservierung, Bestellung, Formularversand) und jede fehlerhafte Anfrage wird mit IP-Adresse, Browserkennung, aufgerufener Adresse, Ergebnis und — bei angemeldeten Nutzern — der E-Mail-Adresse des Kundenkontos protokolliert. Das geschieht zum einen als Protokollzeile in Frankfurt am Main, die nach 90 Tagen automatisch gelöscht wird, zum anderen als Eintrag in unserer Datenbank in Frankfurt am Main, den wir nach zwölf Monaten automatisch löschen. Sicherungskopien der Datenbank werden 35 Tage vorgehalten.

Werden Protokolldaten zur Aufklärung eines konkreten Sicherheitsvorfalls benötigt, bewahren wir sie bis zu dessen Abschluss auf. Für die Speicherung der Firewall-Protokolle in den USA stützen wir uns auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework, unter dem Amazon Web Services zertifiziert ist; ergänzend gelten die Standardvertragsklauseln des Auftragsverarbeitungsvertrags mit AWS.

Absturzmeldungen: Tritt auf unserer Website oder in unserer App ein Programmfehler auf, sendet sie eine Fehlermeldung an unseren Server. Sie enthält den Fehlertext, den technischen Programmablauf an der Fehlerstelle, den betroffenen Bereich, die Plattform und bei der Website die aufgerufene Adresse. Wir protokollieren sie wie oben unter „Protokolle unserer Programmierschnittstelle“ beschrieben, mit denselben Löschfristen, und nutzen sie ausschließlich, um Fehler zu finden und zu beheben (Art. 6 (1) f DSGVO).

Bei der Nutzung des Kontaktformulars erheben wir Ihre personenbezogenen Daten (Name, Kontaktdaten, Nachrichtentext) nur in dem von Ihnen zur Verfügung gestellten Umfang. Die Verarbeitung dient dem Zweck der Kontaktaufnahme und erfolgt auf Grundlage von Art. 6 (1) a DSGVO mit Ihrer Einwilligung, bei vertragsbezogenen Anfragen ergänzend auf Grundlage von Art. 6 (1) b DSGVO.

Sie können Ihre Einwilligung jederzeit durch Mitteilung an uns widerrufen, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird. Ihre Kontaktdaten nutzen wir nur zur Bearbeitung Ihrer Anfrage. Zur weiteren Verarbeitung und zu den Löschfristen siehe den Abschnitt „Kundenanfragen und Lead-Bearbeitung (CRM)“.

Bei der Eröffnung eines Kundenkontos erheben wir die dort angegebenen Daten (Name, E-Mail-Adresse, Passwort, optional Telefonnummer, Anschrift und Firmenangaben) sowie Zeitpunkt und Sprache der Registrierung. Über das Kundenkonto stehen Ihnen Merkliste, gespeicherte Suchen, Anfragen, Reservierungen, Ankaufseinreichungen und Bestellungen auf Website und App zur Verfügung. Rechtsgrundlage ist Art. 6 (1) b DSGVO (Nutzungsvertrag über das Kundenkonto). Das Passwort speichern wir ausschließlich als kryptografischen Hashwert; eine Anmeldung bleibt höchstens 90 Tage gültig.

Sie können Ihr Kundenkonto jederzeit löschen — wie das geht und welche Konten wir automatisch löschen, steht im Abschnitt „Kundenkonto löschen“. Kommt es zu einem Kaufvertrag o. ä., richtet sich die Speicherung der Vertragsdaten nach den handels- und steuerrechtlichen Aufbewahrungsfristen (§ 257 HGB, § 147 AO).

Reservieren Sie ein Fahrzeug, speichern wir die Reservierung (Fahrzeug, Beginn und Ende) an Ihrem Kundenkonto. Damit das Fahrzeug nicht zeitgleich anderweitig verkauft wird, übertragen wir Ihren Namen bzw. Ihre Firma, Ihre E-Mail-Adresse und — soweit angegeben — Ihre Telefonnummer in unser internes Warenwirtschaftssystem, in dem unser Verkaufsteam die Reservierung sieht (Art. 6 (1) b DSGVO). Reservierungen sind kostenpflichtig und werden im Voraus über unseren Zahlungsdienstleister bezahlt (siehe „Online-Zahlung (Stripe)“). Sofern wir eine kostenlose Reservierungszeit anbieten, speichern wir nach deren Ende 30 Tage lang, dass Sie dieses Fahrzeug bereits reserviert hatten, damit sie je Fahrzeug nur einmal genutzt werden kann (Art. 6 (1) f DSGVO).

Wir nutzen Ihre E-Mail-Adresse unabhängig von einer Vertragsabwicklung ausschließlich für eigene Werbezwecke zum Newsletterversand, sofern Sie dem ausdrücklich zugestimmt haben (Art. 6 (1) a DSGVO). Für die Anmeldung gibt es zwei Wege: Über das Anmeldeformular auf der Website gilt das Double-Opt-in-Verfahren — Sie erhalten eine E-Mail mit einem Bestätigungslink, und erst nach dem Klick nehmen wir Sie in den Verteiler auf; unbestätigte Anmeldungen löschen wir nach 30 Tagen. In Ihrem Kundenkonto (per Häkchen bei der Registrierung oder per Schalter in den Kontoeinstellungen) entfällt die zweite Bestätigungsmail, weil Sie Ihre E-Mail-Adresse für das Konto bereits bestätigt haben; ein Häkchen bei der Registrierung wird erst mit dieser Bestätigung wirksam. Als Nachweis Ihrer Einwilligung speichern wir Zeitpunkt und IP-Adresse der Anmeldung und der Bestätigung sowie den Anmeldeweg.

Sie können die Einwilligung jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird — über den Abmeldelink in jedem Newsletter, über den Schalter in Ihrem Kundenkonto oder durch Mitteilung an uns. Sie erhalten danach keinen Newsletter mehr. Ihre E-Mail-Adresse bleibt mit dem Vermerk „abgemeldet“ und dem Zeitpunkt der Abmeldung gespeichert, damit wir den Widerruf beachten und die frühere Einwilligung nachweisen können (Art. 6 (1) f DSGVO); diesen Vermerk löschen wir — auch bei unserem Versanddienstleister — drei Jahre nach der Abmeldung. Für den Versand setzen wir CleverReach ein (siehe Abschnitt „Newsletter-Versand über CleverReach“).

Der Assistent auf unserer Website beantwortet Fragen zu Fahrzeugen und zum Bestand. Es handelt sich um ein KI-System: Die Antworten erzeugt ein Sprachmodell (Claude des Anbieters Anthropic), das wir über den Dienst Amazon Bedrock in unserem eigenen AWS-Konto nutzen. Ihre Eingaben werden dazu an unser Backend übermittelt und von dort an Amazon Bedrock in der Region Frankfurt am Main weitergegeben; über das europäische Inferenzprofil von Amazon Bedrock kann die Berechnung auf AWS-Rechenzentren in anderen Regionen innerhalb der Europäischen Union verteilt werden. Die Verarbeitung findet damit innerhalb der EU statt. Nach Angaben von AWS erhält der Modellanbieter die Inhalte nicht, und sie werden nicht zum Training von Modellen verwendet.

Damit wir den Assistenten verbessern, Fehler in seinen Antworten finden und Missbrauch erkennen können, speichern wir die Gespräche auf unserer Website 30 Tage lang, gerechnet ab der letzten Nachricht; danach werden sie automatisch gelöscht. Gespeichert werden Ihre Eingaben, die Antworten des Assistenten, der Zeitpunkt, die gewählte Sprache und ob Sie in Ihrem Kundenkonto angemeldet waren — nicht Ihre IP-Adresse, nicht Ihre Browserkennung und keine Verbindung zu Ihrem Kundenkonto. Die Gespräche sind nur einer zufälligen Kennung zugeordnet, die Ihr Browser für das jeweilige Gespräch erzeugt. E-Mail-Adressen, Telefonnummern, IBAN, Fahrzeug-Identifizierungsnummern und Kennzeichen machen wir vor dem Speichern automatisch unkenntlich. Die gespeicherten Gespräche geben wir nicht an unser Verkaufsteam weiter; auswerten können sie nur wenige, dafür berechtigte Personen. Da wir die Gespräche keiner Person zuordnen, können wir sie in der Regel nicht einer bestimmten Anfrage zuordnen (Art. 11 DSGVO).

Der Gesprächsverlauf liegt außerdem im Sitzungsspeicher Ihres Browsers und wird mit jeder Frage mitgeschickt, damit der Assistent den Zusammenhang kennt. Dort wird er gelöscht, wenn Sie den Tab schließen, den Chat neu starten oder vier Stunden lang nichts schreiben. Unsere Server protokollieren jede Chat-Anfrage ohne ihren Inhalt (Zeitpunkt, IP-Adresse, Browserkennung, Ergebnis; Aufbewahrung wie unter „Hosting und Server-Logfiles“ beschrieben). Zur Abwehr von Missbrauch zählen wir die Anfragen je Tag unter einem Hashwert Ihrer IP-Adresse; dieser Zähler wird nach zwei Tagen gelöscht. Rechtsgrundlage ist Art. 6 (1) f DSGVO aus dem berechtigten Interesse an einer funktionierenden, verlässlichen und missbrauchssicheren Beratungsfunktion. Sie können der Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Bitte geben Sie im Chat keine sensiblen Daten ein — für verbindliche Auskünfte nutzen Sie bitte den Kontaktweg.

Bitten Sie im Chat über „Verkauf soll sich melden“ darum, dass sich unser Verkaufsteam bei Ihnen meldet, übermitteln wir Ihren Namen, die dort angegebene E-Mail-Adresse oder Telefonnummer und den bisherigen Gesprächsverlauf an unser Verkaufsteam; diese Angaben werden dabei nicht unkenntlich gemacht. So kann sich das Team schon vor der Kontaktaufnahme auf Ihr Anliegen einstellen. Wir verarbeiten die Anfrage wie eine Nachricht über unser Kontaktformular (Art. 6 (1) a DSGVO mit Ihrer Einwilligung, bei vertragsbezogenen Anfragen ergänzend Art. 6 (1) b DSGVO); Einzelheiten stehen im Abschnitt „Kontaktformular“. Ohne diese Bitte geben wir kein Gespräch an den Verkauf weiter.

Unsere Website verwendet Cookies und vergleichbare Speichertechniken im Browser (localStorage). Wir setzen sie ein, um Ihre Spracheinstellung, Ihre Merkliste, den Fahrzeugvergleich, den Warenkorb der Reifensuche und eine bestehende Anmeldung über den Seitenwechsel hinaus zu erhalten. Diese Speicherung ist unbedingt erforderlich, damit die von Ihnen ausdrücklich gewünschten Funktionen arbeiten; sie ist nach § 25 (2) Nr. 2 TDDDG einwilligungsfrei. Die zugehörige Verarbeitung stützen wir auf Art. 6 (1) f DSGVO.

Nicht erforderliche Speicherung findet nur nach Ihrer Einwilligung statt — derzeit betrifft das ausschließlich das unten beschriebene Interessenprofil (§ 25 (1) TDDDG, Art. 6 (1) a DSGVO). Wir setzen keine Werbe-, Tracking- oder Analysedienste Dritter ein: kein Google Analytics, kein Facebook- oder TikTok-Pixel, keine Werbenetzwerke.

Die Speicherung findet auf Ihrem Gerät statt — Sie haben die volle Kontrolle darüber. Über die Einstellungen Ihres Browsers können Sie das Setzen von Cookies einschränken oder unterbinden und bereits gespeicherte Cookies jederzeit löschen. Wir weisen darauf hin, dass dann gegebenenfalls nicht alle Funktionen dieser Website vollumfänglich nutzbar sind.

Für die Darstellung der Website binden wir Schriftarten des Dienstes Adobe Fonts der Adobe Inc. (345 Park Avenue, San José, CA 95110-2704, USA) ein. Beim Aufruf einer Seite lädt Ihr Browser die Schriftdateien von einem Server des Anbieters; dabei wird Ihre IP-Adresse an Adobe übermittelt und kann in die USA übertragen werden. Nach Angaben des Anbieters werden die Daten nicht zur Profilbildung genutzt; für die Auslieferung der Schriften setzt Adobe keine Cookies ein.

Rechtsgrundlage ist Art. 6 (1) f DSGVO aus dem berechtigten Interesse an einer einheitlichen und barrierearmen Darstellung unseres Angebots. Für Datenübermittlungen in die USA stützen wir uns auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework; ergänzend gelten die Standardvertragsklauseln. Weitere Informationen: adobe.com/de/privacy/policy.html

Auf einzelnen Seiten binden wir Videos von YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) ein. Solange Sie ein Video nicht starten, wird keinerlei Verbindung zu YouTube aufgebaut — sichtbar ist nur ein von uns selbst gehostetes Vorschaubild. Erst wenn Sie auf den Abspielknopf klicken, wird der Player im erweiterten Datenschutzmodus (youtube-nocookie.com) nachgeladen und es werden Daten, insbesondere Ihre IP-Adresse, an YouTube übermittelt.

Rechtsgrundlage für das Nachladen ist Ihre Einwilligung durch den Klick auf den Abspielknopf (Art. 6 (1) a DSGVO, § 25 (1) TDDDG). Auf die dortige Verarbeitung haben wir keinen Einfluss. Näheres in den Datenschutzhinweisen von Google: policies.google.com/privacy

Wir betten keine Google-Maps-Karten in unsere Seiten ein. Auf der Seite „Standorte“ finden Sie lediglich gewöhnliche Links zu Google Maps. Erst wenn Sie einen solchen Link anklicken, verlassen Sie unsere Website und es werden Daten an Google übermittelt; dann gelten die Datenschutzhinweise von Google (policies.google.com/privacy). Solange Sie nicht klicken, entsteht keine Verbindung zu Google.

In der Fußzeile verlinken wir unsere Profile bei Facebook, Instagram, TikTok, LinkedIn und XING. Es handelt sich um einfache Links, nicht um Social Plugins oder Pixel: Beim bloßen Aufruf unserer Website werden keine Daten an diese Netzwerke übermittelt und Ihr Besuch kann dort keinem Konto zugeordnet werden. Erst wenn Sie einen Link anklicken, gelangen Sie auf die Seiten der jeweiligen Anbieter, für deren Verarbeitung deren eigene Datenschutzbestimmungen gelten.

Kostenpflichtige Leistungen auf unserer Website und in unserer App — derzeit die Reservierung eines Fahrzeugs samt Verlängerung und der Kauf von Rädersätzen im Reifencenter — können Sie online bezahlen. Die Zahlung wickelt Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland („Stripe“) ab. Die Kasse wird entweder in unsere Seite eingebettet — die dafür nötige Programmbibliothek von Stripe laden wir erst, wenn Sie die Kasse öffnen — oder auf einer Seite von Stripe angezeigt; aus der App öffnet sie sich in einem Browserfenster.

Dabei verarbeiten wir und Stripe folgende Daten: Name, E-Mail-Adresse, Rechnungsadresse, bei Versand die Lieferadresse, die Bestelldaten (Fahrzeug und Anzahl der Tage bzw. Artikelnummern, beim Reifenkauf Hersteller- und Typschlüssel aus dem Fahrzeugschein), Betrag, Sprache und die in der Kasse eingegebenen Zahlungsdaten. Ihre Karten- oder Kontodaten geben Sie direkt bei Stripe ein; wir erhalten sie nicht. Stripe legt zu Ihrer E-Mail-Adresse ein Kundenprofil an. Wählen Sie in der Kasse eine Zahlungsart eines weiteren Anbieters, übermittelt Stripe die für die Zahlung erforderlichen Daten an diesen Anbieter; ergänzend gelten dann dessen Datenschutzhinweise.

Rechtsgrundlage ist Art. 6 (1) b DSGVO (Durchführung des Vertrags). Bestimmte Daten verarbeitet Stripe in eigener Verantwortung, etwa zur Betrugsvorbeugung und zur Erfüllung gesetzlicher Pflichten. Dafür setzt Stripe in der Kasse Cookies bzw. vergleichbare Kennungen ein, die für die von Ihnen gewünschte Zahlung erforderlich sind (§ 25 (2) Nr. 2 TDDDG). Stripe kann Daten an die Stripe, Inc. in den USA übermitteln; hierfür gilt der Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework, unter dem Stripe, Inc. zertifiziert ist, ergänzend gelten Standardvertragsklauseln. Weitere Informationen: stripe.com/de/privacy

Zahlungs- und Rechnungsdaten bewahren wir nach den handels- und steuerrechtlichen Aufbewahrungsfristen auf (§ 257 HGB, § 147 AO) und löschen sie zehn Jahre nach Ende des Kalenderjahres, in dem die Zahlung erfolgte; Rechnungen archivieren wir bis dahin unveränderbar. Nicht bezahlte Kassenvorgänge löschen wir in unserem System nach sieben Tagen.

Den Newsletter versenden wir über CleverReach GmbH & Co. KG, Schafjückenweg 2, 26180 Rastede, Deutschland („CleverReach“), die für uns als Auftragsverarbeiter tätig ist (Art. 28 DSGVO). Sobald Ihre Anmeldung bestätigt ist — über den Bestätigungslink oder über Ihr Kundenkonto —, übermitteln wir Ihre E-Mail-Adresse, Ihre Sprache und den Zeitpunkt der Anmeldung an CleverReach. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 (1) a DSGVO).

CleverReach wertet aus, ob ein Newsletter zugestellt und geöffnet wurde und welche Links darin angeklickt wurden; dazu enthalten die Newsletter ein Zählpixel und Links, die über CleverReach geleitet werden. Wir sehen diese Auswertung zusammengefasst je Versand und nutzen sie, um den Newsletter zu verbessern. Die Auswertung ist Teil des Newsletters, in den Sie eingewilligt haben; widerrufen Sie die Einwilligung, endet auch sie.

Melden Sie sich ab — über den Abmeldelink im Newsletter, in Ihrem Kundenkonto oder durch Mitteilung an uns —, wird Ihre E-Mail-Adresse bei CleverReach als abgemeldet gekennzeichnet und erhält keinen Newsletter mehr. Abmeldungen, die direkt bei CleverReach eingehen, gleichen wir stündlich mit unserem System ab.

Wenn Sie uns in der App ein Fahrzeug zum Ankauf anbieten, können Sie die Fahrzeug-Identifizierungsnummer (FIN) fotografieren, statt sie einzutippen. Das Foto wird an unser Backend übermittelt und dort an ein KI-Modell zur Bilderkennung (Claude des Anbieters Anthropic, genutzt über Amazon Bedrock; Anfrage an die Region Frankfurt am Main, Verarbeitung über das europäische Inferenzprofil innerhalb der EU) weitergegeben, das die 17 Zeichen ausliest. Das Foto wird dabei nicht gespeichert — weder von uns noch zum Training von Modellen. Die erkannte FIN geht nur an die App zurück; wir schreiben sie nicht in unsere Protokolle. Gespeichert wird sie erst, wenn Sie Ihre Ankaufsanfrage abschicken.

Fotografieren Sie den Fahrzeugschein, können auf dem Bild weitere Angaben zu sehen sein, etwa Name und Anschrift des Halters. Auch sie werden nur für die Erkennung übermittelt und nicht gespeichert; decken Sie sie nach Möglichkeit ab. Die Nutzung ist freiwillig, die FIN können Sie jederzeit von Hand eingeben. Der FIN-Scan steht nur mit einem bestätigten Kundenkonto zur Verfügung; zur Begrenzung von Missbrauch zählen wir die Scans je Kundenkonto und Tag (E-Mail- Adresse und Anzahl) und löschen diesen Zähler nach 90 Tagen.

Den Fahrzeugschein (Zulassungsbescheinigung Teil I) können Sie Ihrer Ankaufsanfrage als Foto beifügen. Name, Vorname und Anschrift des Halters (Felder C.1.1 bis C.1.3) benötigen wir für die Bewertung nicht und machen sie deshalb vor der Speicherung unkenntlich: Direkt nach der Aufnahme übermittelt die App das Foto an unser Backend, das mit dem Texterkennungsdienst Amazon Textract (Region Frankfurt am Main) die aufgedruckten Feldbezeichnungen findet und diese Felder mit einem schwarzen Balken überdeckt. Sie sehen das Ergebnis sofort in der App; nur dieses geschwärzte Bild wird mit Ihrer Anfrage übertragen und gespeichert. Das ursprüngliche Foto und der erkannte Text werden nicht gespeichert, und Amazon Web Services verwendet sie nicht zur Verbesserung seiner Dienste. Lässt sich der Fahrzeugschein nicht sicher erkennen, verwirft die App das Foto; Sie können ein neues aufnehmen oder ohne Fahrzeugschein fortfahren. Die Prüfung steht nur mit einem bestätigten Kundenkonto zur Verfügung; zur Begrenzung von Missbrauch zählen wir die Prüfungen je Kundenkonto und Tag (E-Mail-Adresse und Anzahl) und löschen diesen Zähler nach zwei Tagen. Rechtsgrundlage ist Art. 6 (1) b DSGVO, für den Zähler Art. 6 (1) f DSGVO (berechtigtes Interesse am Schutz vor Missbrauch).

Rechtsgrundlage für den FIN-Scan ist Art. 6 (1) b DSGVO (Anbahnung eines Vertrags auf Ihre Anfrage), für den Zähler Art. 6 (1) f DSGVO (berechtigtes Interesse am Schutz vor Missbrauch). Welche Daten Ihre Ankaufsanfrage selbst enthält, wer sie bearbeitet und wann wir sie löschen, beschreiben wir im Abschnitt „Ankauf-Anfrage mit Fotos“.

Wenn Sie in unserer App Mitteilungen einschalten, erzeugt Ihr Gerät eine Gerätekennung für Push-Mitteilungen (Push-Token). Wir speichern dieses Token zusammen mit der App-Sprache, der Plattform (iOS oder Android) und dem Zeitpunkt der Registrierung — ohne Verknüpfung mit Ihrem Kundenkonto. Die Mitteilungen versenden wir über den Push-Dienst von Expo (650 Industries, Inc., USA), der sie an den Apple Push Notification Service (Apple Inc.) bzw. an Firebase Cloud Messaging (Google) weiterreicht; dabei werden das Token und der Inhalt der Mitteilung übermittelt, auch in die USA.

Rechtsgrundlage ist Ihre Einwilligung durch das Einschalten der Mitteilungen (Art. 6 (1) a DSGVO, § 25 (1) TDDDG). Sie können sie jederzeit in der App oder in den Einstellungen Ihres Geräts ausschalten; schalten Sie sie in der App aus, löschen wir das Token sofort. Die App erneuert das Token bei jedem Start; wird es 180 Tage lang nicht erneuert, löschen wir es automatisch. Für Übermittlungen in die USA stützen wir uns auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework, soweit der jeweilige Anbieter zertifiziert ist, und im Übrigen auf Standardvertragsklauseln.

Sie können Ihr Kundenkonto jederzeit löschen: in der App im Bereich „Konto“, auf der Website in Ihrem Kundenkonto (jeweils mit Bestätigung durch Ihr Passwort) oder durch eine E-Mail an die oben unter „Verantwortlicher“ genannte Adresse. Website und App nutzen dasselbe Kundenkonto; die Löschung gilt für beide. Auf der Seite „Konto löschen“ beschreiben wir alle Wege Schritt für Schritt.

Mit der Löschung entfernen wir Ihr Kundenkonto und die daran gespeicherten Daten — insbesondere Merkliste, gespeicherte Suchen, Reservierungen (das Fahrzeug wird freigegeben), Ankaufseinreichungen samt Fotos und Ihre Newsletter-Anmeldung — und beenden alle Anmeldungen. Einträge in unserer Protokolldatenbank, die Ihre E-Mail-Adresse enthalten, pseudonymisieren wir; bereits geschriebene Protokollzeilen laufen mit der im Abschnitt „Hosting und Server-Logfiles“ genannten Frist ab. Daten zu Bestellungen und Zahlungen, die wir aufgrund gesetzlicher Aufbewahrungspflichten (§ 257 HGB, § 147 AO) aufbewahren müssen, trennen wir von Ihrem Konto und löschen sie nach Ablauf dieser Fristen. Ankaufsanfragen, deren Angebot Sie bereits angenommen haben, bleiben für die Abwicklung erhalten und werden nach der im Abschnitt „Ankauf-Anfrage mit Fotos“ genannten Frist gelöscht.

Kundenkonten löschen wir nicht automatisch — auch nicht, wenn sie länger nicht genutzt werden. Ihr Kundenkonto bleibt bestehen, bis Sie es selbst löschen oder uns um die Löschung bitten.

Wenn Sie uns in der App ein Fahrzeug zum Ankauf anbieten, übermitteln Sie uns die Fahrzeug-Identifizierungsnummer (FIN), den Kilometerstand, weitere Angaben zum Fahrzeug, Ihre Telefonnummer und Fotos des Fahrzeugs; Name und E-Mail-Adresse übernehmen wir aus Ihrem Kundenkonto. Die Fotos nehmen Sie mit der Kamera in der App auf, die Sie dabei durch die nötigen Ansichten von außen und innen führt; auf die Fotomediathek Ihres Geräts greift die App nicht zu. Bitte achten Sie darauf, dass auf den Fotos keine anderen Personen zu erkennen sind. Zum Foto des Fahrzeugscheins siehe den Abschnitt „FIN-Scan und Fahrzeugschein in der App“. Eine Ankaufsanfrage ist nur mit einem bestätigten Kundenkonto möglich.

Anfrage und Fotos speichern wir in der AWS-Region Frankfurt am Main. Über den Eingang benachrichtigen wir unser Verkaufsteam per E-Mail; bearbeitet wird die Anfrage von unserem Einkaufsteam in unserem internen Verwaltungssystem, das ebenfalls in Frankfurt am Main betrieben wird. Ein Angebot von uns sehen Sie in der App bei Ihrer Einreichung. Solange Sie in der App angemeldet sind, fragt die App Ihr Kundenkonto dazu von Zeit zu Zeit im Hintergrund ab und weist Sie mit einer Mitteilung auf dem Gerät auf ein neues Angebot hin.

Rechtsgrundlage ist Art. 6 (1) b DSGVO (Anbahnung eines Vertrags auf Ihre Anfrage). Eine Anfrage, deren Angebot Sie noch nicht angenommen haben, können Sie in der App jederzeit löschen; sie verschwindet dann aus Ihrem Kundenkonto. Intern bleibt sie als zurückgezogen vermerkt, damit unser Einkaufsteam das nachvollziehen kann, und wird nach der folgenden Frist gelöscht. Kommt es nicht zum Ankauf, löschen wir die Anfrage samt Fotos sechs Monate nach der letzten Änderung (etwa Ihrer letzten Angabe, unserem letzten Angebot oder dem Zurückziehen). Kommt es zum Ankauf, bewahren wir sie im Rahmen der gesetzlichen Aufbewahrungsfristen (§ 257 HGB, § 147 AO) auf und löschen sie zehn Jahre nach Ende des Jahres, in dem der Ankauf vereinbart wurde. Löschen Sie Ihr Kundenkonto, entfernen wir nicht angenommene Anfragen samt Fotos mit der Löschung.

Standort: Die App verwendet Ihren Standort nur mit Ihrer Freigabe und nur, während Sie sie benutzen — eine Ortung im Hintergrund findet nicht statt. Sie braucht ihn für zwei Funktionen: Unter „Standorte“ zeigt sie die Entfernung zu unseren Häusern an, und die Platzkarte führt Sie auf unserem Gelände zu dem gesuchten Fahrzeug; dafür liest sie zusätzlich die Kompassrichtung Ihres Geräts. Die Berechnung findet ausschließlich auf Ihrem Gerät statt: Ihr Standort wird weder an uns noch an Dritte übermittelt und nicht gespeichert. Rechtsgrundlage für den Zugriff ist Ihre Einwilligung über die Abfrage Ihres Geräts (§ 25 (1) TDDDG). Sie können die Freigabe jederzeit in den Einstellungen Ihres Geräts zurücknehmen; die übrigen Funktionen der App bleiben nutzbar.

Kamera: Auch die Kamera nutzt die App nur mit Ihrer Freigabe — zum Scannen des QR-Codes an einem Fahrzeug auf unserem Gelände (der Code wird auf dem Gerät ausgewertet, danach öffnet die App das Fahrzeug), für den FIN-Scan und den Fahrzeugschein sowie für die Fotos einer Ankauf-Anfrage. Übertragen werden nur die in den Abschnitten „FIN-Scan und Fahrzeugschein in der App“ und „Ankauf-Anfrage mit Fotos“ beschriebenen Aufnahmen. Ton nimmt die App nicht auf, und auf Ihre Fotomediathek greift sie nicht zu.

Bestandswache und Preisalarm: Schalten Sie diese Funktionen ein, ruft die App im Hintergrund von Zeit zu Zeit unseren öffentlichen Fahrzeugbestand ab und vergleicht ihn auf Ihrem Gerät mit Ihrem Suchprofil. Suchprofil, Preisgrenzen und die Liste bereits gemeldeter Fahrzeuge bleiben auf dem Gerät; der Abruf des Bestands enthält außer den technischen Protokolldaten (siehe „Hosting und Server-Logfiles“) keine Angaben zu Ihnen. Treffer meldet die App mit einer Mitteilung, die sie direkt auf dem Gerät erzeugt, ohne Push-Dienst. Merkliste, gespeicherte Suchen, Reservierungen und den Reifen-Warenkorb gleicht die App nur dann mit unserem Server ab, wenn Sie mit Ihrem Kundenkonto angemeldet sind (siehe „Kundenkonto („Mein Parkplatz“)“). Rechtsgrundlage für diese von Ihnen gewünschten Funktionen ist Art. 6 (1) b DSGVO.

Wenn Sie eine Fahrzeug-Anfrage stellen — über unser Kontaktformular, telefonisch oder über ein Fahrzeugportal (z. B. mobile.de, AutoScout24) — verarbeiten wir die dabei übermittelten Daten (Name, Kontaktdaten, Anliegen, betreffendes Fahrzeug) in unserem Kundenverwaltungssystem, um Ihre Anfrage zu bearbeiten und Sie zu beraten (Art. 6 (1) b DSGVO; ergänzend Art. 6 (1) f DSGVO für die interne Organisation, etwa die Zusammenführung mehrfacher Anfragen derselben Person). Portal-Anfragen erreichen uns als E-Mail und werden automatisiert in unser System übernommen.

Bei eingehenden Anrufen gleicht unsere Telefonanlage die Rufnummer mit offenen Vorgängen ab, damit die richtige Ansprechperson Sie betreuen kann; zu unbekannten Rufnummern werden dabei keine dauerhaften Daten gespeichert.

Speicherdauer: Anfragen speichern wir, solange sie für Beratung und Betreuung in einer bestehenden oder angebahnten Kundenbeziehung erforderlich sind; auf Ihren Wunsch löschen oder anonymisieren wir sie (Art. 17 DSGVO), soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Daten zu Kaufvorgängen bewahren wir im Rahmen der handels- und steuerrechtlichen Fristen (§ 257 HGB, § 147 AO) auf. Werbliche Ansprache per E-Mail oder Telefon erfolgt nur mit gesonderter Einwilligung bzw. im gesetzlich zugelassenen Rahmen (§ 7 UWG).

Für den technischen Betrieb setzen wir einen vertraglich gebundenen Auftragsverarbeiter ein (Art. 28 DSGVO); die Verarbeitung findet auf Servern in der EU (Region Frankfurt am Main) statt.

Eingehende Anfrage-E-Mails ordnet ein KI-Sprachmodell vor (Claude des Anbieters Anthropic, genutzt über Amazon Bedrock mit Verarbeitung innerhalb der EU), etwa um Kundenanfragen von Abwesenheitsnotizen zu unterscheiden. Außerhalb unserer Öffnungszeiten kann dasselbe Modell eine automatische Eingangsantwort mit passenden Fahrzeugangaben formulieren; sie ist als automatisch erstellt gekennzeichnet, und am nächsten Werktag meldet sich jemand aus unserem Team bei Ihnen. Die Protokolle dieser automatischen Antworten löschen wir nach 90 Tagen (Art. 6 (1) f DSGVO, berechtigtes Interesse an einer schnellen und geordneten Bearbeitung).

Wenn Sie über unser Banner eingewilligt haben, speichern wir, welche Fahrzeug-Detailseiten Sie aufrufen und wie lange Sie sie ansehen (Art. 6 (1) a DSGVO). Ohne Konto geschieht das unter einer zufälligen Geräte-Kennung; mit Konto wird das Profil Ihrem Konto zugeordnet. Wir nutzen diese Daten ausschließlich intern, um Sie bei einer Anfrage besser beraten zu können — keine Weitergabe an Dritte, keine Werbenetzwerke. Anonyme Profile löschen wir automatisch nach 6 Monaten, Profile an einem Kundenkonto 12 Monate nach der letzten Aktualisierung.

Unabhängig davon führen wir anonyme Statistiken darüber, wie oft ein Fahrzeug insgesamt in der Liste erscheint, angesehen, gemerkt, reserviert oder angefragt wird und wie oft dabei die Bildergalerie, der Finanzierungsrechner, der Gebrauchtwagenbericht-Download, die Telefonnummer oder die Teilen-Funktion genutzt werden; dazu kommen Suchbegriffe mit ihrer Trefferzahl und die Herkunft des Besuchs (reine Zählwerte, ohne Kennung, ohne IP-Speicherung, Art. 6 (1) f DSGVO) — daraus lässt sich kein Bezug zu Ihrer Person herstellen. Dieselben anonymen Zählwerte erheben wir in unserer App; ein persönliches Interessenprofil wie oben entsteht dort nicht.

Sie können die Einwilligung hier jederzeit mit Wirkung für die Zukunft ändern:

Nur wenn Sie über unser Banner in die Kategorie „Statistik“ eingewilligt haben, binden wir Google Analytics 4 ein (Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Art. 6 (1) a DSGVO). Vor Ihrer Einwilligung wird kein Google-Script geladen und keine Verbindung zu Google aufgebaut — auch Ihre IP-Adresse erreicht Google dann nicht. Nach der Einwilligung erhebt Google für uns, welche Seiten aufgerufen werden, wie lange Besucher bleiben, über welche Quelle sie zu uns kommen sowie ungefähre Standort- und Geräteangaben. Ihre IP-Adresse wird dabei gekürzt und nicht dauerhaft gespeichert. Wir werten ausschließlich zusammengefasste Berichte aus; Werbefunktionen (Google Signals, Remarketing, Datenweitergabe an Werbedienste) sind abgeschaltet.

Google setzt dafür die Cookies _ga und _ga_<Kennung der Property> mit einer Laufzeit von bis zu 24 Monaten. Wie lange Google die erhobenen Daten aufbewahrt, ist in der Property eingestellt (höchstens 14 Monate). Eine Übermittlung in die USA an Google LLC ist nicht ausgeschlossen; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten die Standardvertragsklauseln der EU-Kommission (Art. 46 (2) c DSGVO). Trotz dieser Garantien lässt sich ein Zugriff US-amerikanischer Behörden nicht vollständig ausschließen. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen; die Cookies werden dann gelöscht und es werden keine weiteren Daten erhoben.

Sie können die Einwilligung in die Reichweitenmessung hier jederzeit mit Wirkung für die Zukunft ändern:

Ihnen stehen bei Vorliegen der gesetzlichen Voraussetzungen folgende Rechte nach Art. 15 bis 20 DSGVO zu:

• Recht auf AuskunftArt. 15 DSGVO
• Recht auf BerichtigungArt. 16 DSGVO
• Recht auf LöschungArt. 17 DSGVO
• Recht auf Einschränkung der VerarbeitungArt. 18 DSGVO
• Recht auf DatenübertragbarkeitArt. 20 DSGVO
• Recht auf WiderspruchArt. 21 DSGVO

Außerdem steht Ihnen nach Art. 21 (1) DSGVO ein Widerspruchsrecht gegen die Verarbeitungen zu, die auf Art. 6 (1) f DSGVO beruhen, sowie gegen die Verarbeitung zum Zwecke von Direktwerbung.

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten durch uns zu beschweren. (Art. 77 DSGVO)

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5
30159 Hannover
poststelle@lfd.niedersachsen.de

Auf den von uns genutzten Grundstücken setzen wir eine Videoüberwachung ein. Sie erfolgt zur Wahrnehmung des Hausrechts, zur Verhinderung von Straftaten sowie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Rechtsgrundlage ist Art. 6 (1) f DSGVO; soweit besondere Kategorien personenbezogener Daten verarbeitet werden, Art. 9 (2) f DSGVO.

Eine Weitergabe der Daten erfolgt an von uns beauftragte Dienstleister, die Überwachungsaufgaben für unser Unternehmen wahrnehmen. Im Falle des Verdachts strafbarer Handlungen geben wir die Daten zudem ggf. an Rechtsanwältinnen und Rechtsanwälte, Versicherungsunternehmen und Strafverfolgungsbehörden weiter. Ansonsten werden die Daten nur weitergegeben, wenn es dafür eine Rechtsgrundlage gibt — insbesondere wenn Polizei oder sonstige Sicherheitsbehörden im Rahmen der Gefahrenabwehr Zugriff verlangen. Eine Verarbeitung außerhalb der Europäischen Union findet im Rahmen der Videoüberwachung nicht statt.

Aufnahmen aus der Videoüberwachung werden grundsätzlich nach Ablauf von 72 Stunden gelöscht. Eine längere Speicherung kann anlassbezogen erfolgen, wenn Tatsachen die Annahme rechtfertigen, dass auf Aufnahmen aus einem eingegrenzten Zeitraum Handlungen zu sehen sind, die als Straftat verfolgt oder zur Geltendmachung zivilrechtlicher Ansprüche genutzt werden sollen.