Datenschutzerklärung

1. Verantwortliche Stelle

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist die im Impressum genannte Stelle. Kontakt für Datenschutz-Anliegen über die dort angegebenen Kommunikationswege.

2. Welche Daten wir wofür verarbeiten

2.1 Aufruf der Website

Beim Aufruf werden technische Daten verarbeitet, die dein Browser automatisch übermittelt: IP-Adresse, Zeitpunkt, URL, Referrer, User-Agent. Diese Daten werden vom Hosting-Anbieter (Vercel) für maximal 30 Tage in Server-Logs gespeichert, um Verfügbarkeit, Sicherheit (Abwehr von Angriffen, Rate-Limiting) und Stabilität zu gewährleisten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb der Website).

2.2 Registrierung und Nutzerkonto

Für ein Nutzerkonto verarbeiten wir: E-Mail-Adresse, Anzeigename (optional), Profilbild-URL (bei Google-OAuth), Account- Einstellungen (Theme, Sprache, Standort-Land für Such-Bias), Garage-Inhalt (selbst angelegte Fahrzeuge), Projekte/ Wunschlisten, gespeicherte Suchen, Benachrichtigungen, Aktivitäts-Zeitstempel. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – die Bereitstellung der Funktionen, für die du dich registrierst). Die Daten werden gespeichert, solange dein Konto besteht; bei Konto-Löschung erfolgt eine irreversible Entfernung innerhalb von 30 Tagen, soweit keine gesetzlichen Aufbewahrungsfristen entgegenstehen.

2.3 Authentifizierung (Auth0)

Login und Session-Verwaltung erfolgen über Auth0 Inc. (USA). Auth0 verarbeitet zur Identitäts-Prüfung deine E-Mail-Adresse und – bei Google- Anmeldung – die von Google freigegebenen Profilinformationen (Name, Profilbild). Ein Session-Cookie wird gesetzt, um dich eingeloggt zu halten (technisch erforderlich, kein Consent nötig). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Auth0 ist nach dem EU-US Data Privacy Framework zertifiziert.

2.4 Standort-Land

Wir verarbeiten dein selbst angegebenes Standort-Land (ISO- 3166-Code, z.B. „DE“), um Suchergebnisse auf deinen Heimatmarkt zu priorisieren. Dies geschieht ausschließlich auf Basis deiner ausdrücklichen Eingabe in den Kontoeinstellungen — eine automatische Erfassung via Browser-Geolocation findet nicht statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Eingabe; jederzeit widerrufbar durch Entfernen der Angabe).

2.5 Klassifikation und Discovery

Zur Suche nach Teilen rufen wir öffentliche Web-Suche (Serper.dev) auf und übergeben dein Such-Stichwort sowie Fahrzeug-Kontext (Modell/Generation) an einen KI-Klassifikator (DeepSeek). Diese Anfragen enthalten keine personenbezogenen Daten über dich; übermittelt werden ausschließlich der Suchstring und öffentlich verfügbare Fahrzeug-/Teile-Metadaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

2.6 Voice-Suche (optional)

Wenn du die Voice-Such-Funktion nutzt, wird die Audio-Aufnahme an OpenAI Whisper übergeben, um sie in Text zu transkribieren. Die Aufnahme wird weder bei uns noch bei OpenAI dauerhaft gespeichert; der transkribierte Text wird wie eine Text-Eingabe behandelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Voice-Nutzung).

2.7 Benachrichtigungen

Wenn du eine SavedSearch anlegst oder ein Listing trackst, entstehen aus Treffer-/Preis-Änderungen In-App- Benachrichtigungen, die wir bis zu deiner Quittierung in deinem Konto speichern. Ein E-Mail-Versand findet derzeit nicht statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

2.8 Verkäufer-Profile und Inserate

Freigeschaltete Nutzer können ein öffentliches Verkäufer-Profil anlegen und darin eigene Inserate veröffentlichen. Die dabei angegebenen Daten — insbesondere Anzeigename, WhatsApp-Telefonnummer, optional Ort, Beschreibung, Website und Profil-/Inseratsbilder — werden auf der öffentlichen Verkäuferseite für jeden sichtbar dargestellt, damit Kaufinteressenten direkt Kontakt aufnehmen können. Die Telefonnummer wird als WhatsApp-Kontaktlink verlinkt; mit dem Anlegen des Profils willigst du in diese öffentliche Anzeige ein. Gib daher nur Daten an, die du öffentlich teilen möchtest. Du kannst Inserate jederzeit löschen (7-Tage-Papierkorb, danach endgültige Löschung) und dein Profil samt aller Inserate vollständig entfernen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Veröffentlichung) bzw. lit. b (Vertragsdurchführung). Aufrufe eines Inserats werden anonym aggregiert gezählt (nur Anzahl, keine Profile der Betrachter) und ausschließlich dem Inserenten als Statistik angezeigt.

3. Auftragsverarbeiter und Empfänger

Zur Bereitstellung der Plattform setzen wir folgende Dienste ein. Mit allen genannten Anbietern bestehen Auftragsverarbeitungs-Verträge gemäß Art. 28 DSGVO bzw. werden vor Live-Gang abgeschlossen; alle US-Anbieter sind nach dem EU-US Data Privacy Framework zertifiziert oder verwenden EU- Standardvertragsklauseln (Art. 46 DSGVO):

• Vercel Inc. (USA) — Hosting der Website und Server-Logs
• Convex Inc. (USA) — Datenbank (content-giraffe-17.convex.cloud) und Backend-Funktionen
• Auth0, Inc. (Okta) (USA) — Login und Session-Verwaltung
• DeepSeek — Klassifikator-API für Such- Treffer-Analyse (keine personenbezogenen Daten)
• Serper Inc. (USA) — Web-Discovery-API (keine personenbezogenen Daten)
• Anthropic PBC (USA) — Vision-API für Bildanalyse (keine personenbezogenen Daten)
• OpenAI, L.L.C. (USA) — optionale Voice- Transkription (Whisper)
• Google LLC (USA) — optionale OCR (Cloud Vision); Google-OAuth bei Anmeldung
• eBay Inc. (international) — Browse-API für Item-Details der angezeigten Treffer (keine personenbezogenen Daten)
• Upstash Inc. (USA/EU) — Rate-Limit-Cache (IP-Adressen, kurzfristig)

4. Cookies und lokale Speicherung

Wir verwenden ausschließlich technisch erforderliche Cookies und LocalStorage-Einträge im Sinne von § 25 Abs. 2 Nr. 2 TTDSG — eine Einwilligung („Cookie-Banner“) ist hierfür nicht erforderlich:

• Auth0-Session-Cookie — Login-Zustand (Lebensdauer: Session, max. wenige Stunden)
• NEXT_LOCALE — gewählte Sprache (1 Jahr)
• Theme-Präferenz in LocalStorage — dunkel/hell/System
• Auto-Refresh-Gate in LocalStorage — Cost- Schutz gegen wiederholte Discovery-Aufrufe (24h)

Wir verwenden keine Analyse-Cookies, kein Tracking durch Dritte, kein Re-Targeting, kein Werbe-Pixel. Sollten in Zukunft solche Verarbeitungen eingeführt werden, integrieren wir vorher ein Consent-Management-Tool und holen deine ausdrückliche Einwilligung ein.

5. Affiliate-Programme

Klickst du einen Affiliate-Link an, wirst du zur externen Plattform (z.B. eBay, AliExpress, Amazon) weitergeleitet. Die externe Plattform setzt eigenständig Tracking-Cookies, um die Provision unserer Verlinkung zuzuordnen — auf deren Inhalt und Speicherdauer haben wir keinen Einfluss. Die jeweils geltende Datenschutzerklärung der externen Plattform ist maßgeblich. Affiliate-Links sind im Interface mit einem Hinweis („Werbung“ / „Provisions-Link“) gekennzeichnet.

6. Übermittlung in Drittländer

Die oben genannten Auftragsverarbeiter haben ihren Sitz überwiegend in den USA. Übermittlungen erfolgen auf Basis eines Angemessenheitsbeschlusses der EU-Kommission (EU-US Data Privacy Framework, Beschluss vom 10. Juli 2023) und/oder EU-Standardvertragsklauseln (Art. 46 DSGVO). Du kannst die jeweils aktuellen Garantien beim Anbieter oder bei uns auf Anfrage einsehen.

7. Speicherdauern

• Server-Logs (Vercel): max. 30 Tage
• Kontodaten: bis zur Löschung deines Kontos; danach Entfernung innerhalb von 30 Tagen, soweit keine gesetzlichen Aufbewahrungsfristen entgegenstehen
• Listings, Suchergebnisse und Klassifikationen werden zeitlich begrenzt vorgehalten (siehe Retention-Logik in der Plattform-Architektur; mindestens 60 Tage nach letzter Sichtung). Personenbezug entsteht hier nicht
• Rate-Limit-Daten (Upstash): max. 24 Stunden
• Affiliate-Cookies externer Anbieter: gemäß deren Vorgaben

8. Deine Rechte als betroffene Person

Nach DSGVO stehen dir die folgenden Rechte zu:

• Auskunft über deine gespeicherten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung („Recht auf Vergessenwerden“, Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen eine auf Art. 6 Abs. 1 lit. f gestützte Verarbeitung (Art. 21)
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77) — in Deutschland bei der für deinen Wohnort zuständigen Landesdatenschutzbehörde

Du kannst dein Konto und alle damit verknüpften Daten jederzeit eigenständig in den Kontoeinstellungen löschen. Für sonstige Anliegen wende dich an die im Impressum angegebene E-Mail-Adresse.

9. Änderungen dieser Datenschutzerklärung

Wir aktualisieren diese Datenschutzerklärung, wenn sich die Verarbeitungen ändern (z.B. neue Auftragsverarbeiter, zusätzliche Funktionen). Bei wesentlichen Änderungen informieren wir dich rechtzeitig (z.B. per Hinweis auf der Plattform). Der oben angegebene Stand zeigt die letzte Aktualisierung.