Datenschutzerklärung

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne der Datenschutz-Grundverordnung ist:

carconfig.eu

Inhaber: Lukas Reinhardt

Gartenstraße 29

57614 Berod

Deutschland

Telefon: +49 1514 1650612

E-Mail: info@carconfig.eu

Stammdaten eines Mandanten: Betriebsname, Anschrift, Kontakt, Bankverbindung, Steuerangaben, Laufzeit und Website-Einstellungen. Verarbeitet werden: Firmenname und Anschrift, Kontaktdaten (Telefon, E-Mail), Bankverbindung (IBAN, BIC, Kontoinhaber), Steuernummer / USt-IdNr.. Rechtsgrundlage: Art. 6 Abs. 1 lit. b (Durchführung des Vertrags über die Website-Plattform) und lit. c für die Angaben, die auf Belegen stehen müssen (§ 14 UStG). Speicherdauer: Für die Dauer des Vertrags. Danach: Angaben mit Belegbezug (Anschrift, Steuernummer, Bankverbindung) zehn Jahre nach § 147 Abs. 1 Nr. 1 und Abs. 3 AO; der Rest wird mit der Abmeldung des Mandanten gelöscht.

Zugangskonten für Kundenbereich und Panel, einschließlich Zwei-Faktor-Einrichtung. Verarbeitet werden: Name, E-Mail-Adresse, Passwort (als scrypt-Hash, nie im Klartext), TOTP-Geheimnis der Zwei-Faktor-Anmeldung, Google-Kennung (sub), wenn das Konto verknüpft ist, Rolle im Betrieb (`panel_rolle_id`) und damit die Freigaben dieses Zugangs, Letzte Anmeldung (EIN überschriebener Zeitstempel, keine Historie), Sperrzeitpunkt und sperrendes Konto, Einladendes Konto und Einladungszeitpunkt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b (Vertrag bzw. vorvertragliche Maßnahme: ohne Konto kein Kundenbereich) sowie Art. 32 für die Sicherungsmerkmale. Für Zugänge von BESCHÄFTIGTEN eines Betriebs zusätzlich § 26 Abs. 1 BDSG (Durchführung des Beschäftigungsverhältnisses); Verantwortlicher ist dort der Betrieb, nicht der Anbieter. `letzte_anmeldung`, `gesperrt_am` und `gesperrt_von` beantworten ausschließlich „ist dieser Zugang noch in Gebrauch?“ und „wer hat ihn geschlossen?“ — es gibt je Konto genau einen überschriebenen Zeitstempel und keine Aktivitätshistorie, aus der sich Arbeitszeit oder Leistung ablesen ließe. Wo ein Betriebsrat besteht, kann die Einführung nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig sein; das entscheidet der Betrieb (docs/18 §1a).. Speicherdauer: Bis zur Löschung durch die betroffene Person (`/konto` → Daten und Löschung) oder bis zum Ende des Vertragsverhältnisses. Für Beschäftigten-Zugänge: bis zum Entfernen durch den Betrieb. Ein GESPERRTER Zugang bleibt bestehen, weil Belege, Vorgänge und Protokolle auf ihn zeigen (§ 147 AO); ein ENTFERNTER Zugang wird samt Sitzungen, Ersatzcodes und Konto-Ereignissen gelöscht (`ON DELETE CASCADE`).

Angemeldete Sitzungen. Gespeichert wird der SHA-256 des Cookie-Tokens, nie der Token. Verarbeitet werden: Kontobezug, Gerätekurzform (User-Agent, auf 120 Zeichen gekürzt), Ablaufzeit. Rechtsgrundlage: Art. 6 Abs. 1 lit. b — ohne Sitzung keine Anmeldung. Speicherdauer: Bis zum Ablauf (gleitend 8 Stunden); abgelaufene Zeilen räumt der Pflege-Lauf.

Zähler für das Ratenlimit der Anmeldung (Schlüssel: IP-Adresse und E-Mail-Adresse). Verarbeitet werden: IP-Adresse, E-Mail-Adresse, Zeitpunkt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f (berechtigtes Interesse: Schutz vor automatisierten Anmeldeversuchen) i. V. m. Art. 32. Speicherdauer: 7 Tage (Pflege-Lauf, Regel `login_versuche`).

Sicherheitsprotokoll eines Kontos: Anmeldung, Fehlversuch, Abmeldung, 2FA-Änderungen — und seit ADR 0028 jede Änderung an Zugängen und Rechten (eingeladen, Rolle geändert, gesperrt, entsperrt, entfernt; Rolle angelegt, geändert, gelöscht). Verarbeitet werden: Kontobezug, E-Mail-Adresse, IP-Adresse, Gerätekurzform, Zeitpunkt, Notiz zum Vorgang (bei Rechteänderungen die handelnde Konto-Nummer, nie ein Zugangsdatum und nie ein Token). Rechtsgrundlage: Art. 6 Abs. 1 lit. f i. V. m. Art. 32 (Nachvollziehbarkeit von Zugriffen); für Rechteänderungen zusätzlich Art. 5 Abs. 2 (Rechenschaftspflicht). Speicherdauer: 90 Tage (Pflege-Lauf, Regel `konto_ereignisse`). OFFEN für die DSGVO-Abnahme in Phase 5: 90 Tage sind für Anmeldungen richtig und für Rechteänderungen kurz — wer im März heimlich Rechte bekam, ist im Juli nicht mehr nachweisbar. Vorschlag: Rechte-Ereignisse 24 Monate, Anmelde-Ereignisse unverändert. Nicht eigenmächtig gesetzt; eine längere Aufbewahrung personenbezogener Daten ist eine Entscheidung.

Einmal-Ersatzcodes der Zwei-Faktor-Anmeldung, nur als Hash. Verarbeitet werden: Kontobezug, Code-Hash. Rechtsgrundlage: Art. 6 Abs. 1 lit. b i. V. m. Art. 32. Speicherdauer: Mit dem Konto; wird bei dessen Löschung mitgelöscht.

Nachweis über Support-Zugriffe des Anbieters auf die Ansicht eines Betriebs: wer, wann, wie lange, aus welchem Grund. Verarbeitet werden: Kontobezug (Anbieter und Betrieb), Zeitraum, Begründung im Klartext. Rechtsgrundlage: Art. 6 Abs. 1 lit. f (berechtigtes Interesse: Nachvollziehbarkeit fremden Zugriffs) sowie Art. 28 Abs. 3 lit. h gegenüber dem Betrieb. Speicherdauer: 12 Monate nach Ende der Sitzung (Pflege-Lauf, Regel `impersonationen`).

Anfragen und Bestellungen über die Verkaufsseite bzw. die Website eines Betriebs. Verarbeitet werden: Name des Ansprechpartners, Firmenname, E-Mail-Adresse, Telefonnummer, Wunschdomain, Freitext-Nachricht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b (vorvertragliche Maßnahme auf Anfrage der Person). Speicherdauer: Bis zur Löschung auf Verlangen. Anfragen, aus denen ein Vertrag wurde, sind als Geschäftsbrief sechs Jahre aufzubewahren (§ 147 Abs. 1 Nr. 2 und Abs. 3 AO) — der Betrieb entscheidet, ob er sie behält.

Ausgangsrechnungen mit Empfänger, Anschrift, Steuerfall und Status. Verarbeitet werden: Name und Anschrift des Empfängers, E-Mail-Adresse, Beträge, Belegdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b (Abrechnung) und lit. c (§ 14 UStG, § 147 AO — die Aufbewahrung selbst ist eine rechtliche Verpflichtung). Speicherdauer: Zehn Jahre ab Ende des Kalenderjahres der Ausstellung (§ 147 Abs. 1 Nr. 4 und Abs. 3 AO, § 14b Abs. 1 UStG). Eine Löschung auf Verlangen trennt den Beleg vom Konto (die E-Mail-Adresse entfällt), löscht ihn aber nicht.

Der Aussteller einer Rechnung, festgeschrieben im Moment des Ausstellens: Name mit Rechtsform-Zusatz, Anschrift, Kontakt, Steuernummer, Steuerstatus, Bankverbindung, Zahlungsbedingungen, Pflichtangaben nach § 35a GmbHG, Farbwelt und Logo. Ohne diesen Stand wanderte der Briefkopf mit den heutigen Stammdaten mit, und ein Beleg wäre nach einem Bank- oder Firmensitzwechsel nicht mehr originalgetreu herstellbar. Verarbeitet werden: Firmenname mit Rechtsform-Zusatz und Anschrift des Ausstellers, Kontaktdaten (Telefon, E-Mail), Steuernummer / USt-IdNr. und Steuerstatus nach § 19 UStG, Bankverbindung (IBAN, BIC, Kontoinhaber), Pflichtangaben mit den NAMEN der Vertretungsberechtigten (Geschäftsführer, Gesellschafter, Inhaber, Vorstand) sowie Registergericht und -nummer, Rechnungsnummer — sie verbindet die Zeile mit genau einem Beleg und damit mittelbar mit dessen Empfänger; der Empfänger selbst steht nicht hier, sondern in `rechnungen`, SHA-256 der eingefrorenen Logodatei. Die DATEI selbst liegt außerhalb der Datenbank unter `.daten/beleg-logos/<Mandant>/<SHA-256>.bin` (`BELEG_LOGO_DIR`) — nach ihrem Inhalt benannt, je Mandant getrennt, ohne Route, die dorthin zeigt. Gelesen wird sie ausschließlich beim Zeichnen eines Belegs. Sie zeigt eine Bildmarke und keine Person, teilt aber Frist und Schutz dieser Zeile: Ohne sie fehlt dem Beleg das, was auf ihm stand.. Rechtsgrundlage: Art. 6 Abs. 1 lit. c — die Speicherung IST die rechtliche Verpflichtung: § 14 Abs. 4 Nr. 1 und 2 UStG verlangen Namen, Anschrift und Steuernummer des leistenden Unternehmers auf dem Beleg, und zwar die zum Zeitpunkt der Leistung; § 147 Abs. 1 AO i. V. m. den GoBD verlangt, dass der Beleg über die Aufbewahrungsfrist unveränderbar und originalgetreu reproduzierbar bleibt. Daneben Art. 6 Abs. 1 lit. b (Abrechnung gegenüber dem Empfänger). Art. 16 (Berichtigung) wird nicht durch Überschreiben erfüllt, sondern über Storno und Neuausstellung — ein nachträglich änderbarer Belegkopf wäre der Mangel, den dieser Bestand behebt.. Speicherdauer: Zehn Jahre ab Ende des Kalenderjahres der Ausstellung — dieselbe Uhr wie die Rechnung selbst (§ 147 Abs. 1 Nr. 4 und Abs. 3 AO, § 14b Abs. 1 UStG). Die Löschung auf Verlangen ist insoweit ausgeschlossen (Art. 17 Abs. 3 lit. b): Ein Beleg ohne seinen Aussteller wäre kein Beleg mehr. Der Fristen-Lauf fasst diese Tabelle deshalb nicht an, und der Repo-Vertrag kennt keinen Weg, eine bestehende Zeile zu ändern. Die archivierte Logodatei teilt diese Frist. Zeilen mit `herkunft = 'nachgetragen'` sind beim Einführen des Bestands ergänzt worden und tragen den Stand vom Tag der Migration, nicht den vom Tag des Ausstellens — das steht ausdrücklich am Datensatz, statt stillschweigend so auszusehen, als sei es der von damals.

Nachweis, wann ein Beleg an welche Adresse und unter welchem Absender verschickt wurde — einschließlich der Fehlschläge. Verarbeitet werden: E-Mail-Adresse des Empfängers, Absenderadresse des Betriebs, Betreff und Dateiname, Ergebnis und Fehlergrund des Versenders. Rechtsgrundlage: Art. 6 Abs. 1 lit. b (Zustellung der Rechnung ist Vertragserfüllung) und lit. f — der Nachweis des Zugangs ist die Grundlage für Verzug und Mahnung (§ 286 BGB). Speicherdauer: An den Beleg gebunden: zehn Jahre wie die Rechnung selbst (§ 147 AO). Ein Nachweis, der vor dem Beleg verschwindet, wäre im Streitfall genau dann weg, wenn man ihn braucht. Der Fristen-Lauf fasst diese Tabelle deshalb nicht an.

Positionszeilen einer Rechnung. Verarbeitet werden: Leistungsbezeichnung, Nebenzeile (in der Vorlage das Kfz-Kennzeichen). Rechtsgrundlage: Art. 6 Abs. 1 lit. c (§ 14 Abs. 4 UStG). Speicherdauer: Wie die zugehörige Rechnung: zehn Jahre.

Ein Vorgang je Kundenanliegen: Terminanfrage, Ticket, Fernwartung, File-Service oder White-Label-Anfrage — von der Erstellung bis zum Abschluss. Verarbeitet werden: Name, E-Mail-Adresse, Telefonnummer, Anliegen im Freitext, art-abhängige Angaben (Termin, Fahrzeug, Leistung), Beträge und Anzahlung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b (Durchführung des Vertrags bzw. vorvertragliche Maßnahme auf Anfrage der betroffenen Person). Speicherdauer: Für die Dauer des Vorgangs und darüber hinaus, soweit er zu einem Beleg geführt hat (dann zehn Jahre nach § 147 AO). Vorgänge ohne Beleg werden mit dem Kundenkonto bzw. dem Betrieb gelöscht.

Stammdaten der Vertriebspartner: Konto, Werbe-Code, Steuerstatus und Bankverbindung fuer die Auszahlung der Provision. Verarbeitet werden: Firma und Werbe-Code, Steuerlicher Status, Umsatzsteuer-Identifikationsnummer, Steuernummer, IBAN und Kontoinhaber, Vereinbarter Provisionssatz. Rechtsgrundlage: Art. 6 Abs. 1 lit. b — ohne Bankverbindung keine Auszahlung, ohne Steuerstatus keine richtige Gutschrift (§ 14 Abs. 2 UStG).. Speicherdauer: Solange die Zusammenarbeit besteht. Danach so lange, wie die Gutschriften aufzubewahren sind (§ 147 Abs. 1 Nr. 4 AO, zehn Jahre) — die Bankverbindung wird auf Verlangen frueher entfernt, sie steht nicht auf dem Beleg.

Interessenten, die ein Vertriebspartner selbst eintraegt — sein Arbeitsvorrat auf dem Weg zum Abschluss. Verarbeitet werden: Firma, Ansprechpartner, Anschrift, E-Mail und Telefonnummer, Branche, Website, Notiz des Vertriebspartners, Stand der Ansprache und erzeugte Vorschau. Rechtsgrundlage: Art. 6 Abs. 1 lit. f — Direktansprache gewerblicher Interessenten. Die Grenzen der Ansprache selbst regelt § 7 UWG; ein Eintrag hier ist noch keine Werbung.. Speicherdauer: Bis zum Abschluss oder zur Absage, danach 12 Monate. Ein Interessent, der ein Jahr lang nichts wollte, ist kein Interessent mehr.

Die Provisionsabrechnung je vermittelter Bestellung: Betrag, Faelligkeit, Auszahlung und die dazugehoerige Gutschrift. Verarbeitet werden: Bezug auf Vertriebspartner und Bestellung, Name des vermittelten Betriebs, Betraege, Zustand und Zeitpunkte, Nummer und Betraege der Gutschrift. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c — Abrechnung und steuerliche Nachweispflicht.. Speicherdauer: Zehn Jahre (§ 147 Abs. 1 Nr. 4 AO). Eine Gutschrift ist ein Buchungsbeleg; sie wird nicht auf Verlangen geloescht.

Was dem Kunden zu einem Vorgang gesagt wurde: Angebot, Zusage, Absage, Storno. Gespeichert und nicht nur versendet, weil die E-Mail-Adresse optional ist — das Portal ist der verlässliche Weg (docs/19 §4.4). Verarbeitet werden: Bezug zum Vorgang, Nachrichtentext samt Beträgen und Freitext des Betriebs, Zeitpunkt von Zustellung und Kenntnisnahme. Rechtsgrundlage: Art. 6 Abs. 1 lit. b (Durchführung des Vertrags) — die Zusage muss nachlesbar sein, sonst steht im Streitfall Aussage gegen Aussage. Speicherdauer: Mit dem Vorgang. Was einmal zugesagt wurde, bleibt unverändert stehen — eine nachträglich neu gebaute Nachricht zeigte nach einer Preisänderung einen anderen Betrag als den damals genannten.

Nachweis jedes Zustandswechsels eines Vorgangs: wer, wann, warum, über welchen Weg. Im Streitfall die einzige Grundlage dafür, ob der Kunde abgesagt hat oder der Betrieb. Verarbeitet werden: Bezug zum Vorgang, handelnde Rolle (Kunde, Betrieb, System), Zeitpunkt und Kanal, Freitext-Notiz (Ablehnungsgrund, Rückfrage). Rechtsgrundlage: Art. 6 Abs. 1 lit. b (Nachweis der Vertragsdurchführung) und lit. f (berechtigtes Interesse an der Beweisbarkeit von Absagen und Freigaben). Speicherdauer: Mit dem Vorgang. Das Protokoll wird nie geändert, nur angehängt — ein nachträglich korrigierbarer Nachweis wäre wertlos.

Kündigungserklärungen über die Kündigungsschaltfläche nach § 312k BGB, mit dem Zeitpunkt ihres Zugangs. Verarbeitet werden: Name, E-Mail-Adresse, Telefonnummer, genannte Vertragsnummer, Kündigungsgrund (Freitext, nur bei außerordentlicher Kündigung), Freitext-Anmerkung, Zeitpunkt des Zugangs. Rechtsgrundlage: Art. 6 Abs. 1 lit. b (Abwicklung des Vertrags) und lit. c (§ 312k Abs. 3 BGB: Bestätigungs- und Nachweispflicht). Speicherdauer: Als Geschäftsbrief sechs Jahre nach Ende des Vertragsjahres (§ 147 Abs. 1 Nr. 2 und Abs. 3 AO). Vorher gelöscht wäre im Streitfall nicht mehr beweisbar, wann gekündigt wurde — und das ginge zulasten beider Seiten.

Verarbeitete Stripe-Webhooks — die Idempotenz-Quelle des Zahlungsflusses. Verarbeitet werden: Stripe-Ereigniskennung, Bezug zur Anfragenummer, Zeitpunkt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c. Speicherdauer: Mit dem zugehörigen Beleg: zehn Jahre.

Recherchierte Kfz-Betriebe für die eigene Kundenansprache: öffentlich zugängliche Firmen- und Kontaktdaten, Bewertung der bestehenden Website. Verarbeitet werden: Firmenname und Anschrift, Name des Inhabers (eigene Spalte, einzeln löschbar), Telefonnummer und E-Mail-Adresse, Website und deren Bewertung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f — berechtigtes Interesse an der Ansprache gewerblicher Interessenten; die Quellen sind öffentlich (OpenStreetMap, Impressum). Die Interessenabwägung ist vom Verantwortlichen zu dokumentieren.. Speicherdauer: Unbearbeitete Leads (Status „offen“) 24 Monate ab Fund (Pflege-Lauf, Regel `leads_unbearbeitet`). Bearbeitete Leads bleiben, bis der Vorgang abgeschlossen ist.

Widerspruch gegen die Aufnahme in die Lead-Recherche. Wirkt als Ausschluss in jeder Abfrage, nicht als Anzeigefilter. Verarbeitet werden: Firmenname und Ort, Grund und Datum der Sperre. Rechtsgrundlage: Art. 21 Abs. 3 — der Widerspruch muss wirksam bleiben. Speicherdauer: Dauerhaft. Ein gelöschter Sperreintrag hieße, dass derselbe Betrieb beim nächsten Scan wieder aufgenommen wird — der Widerspruch wäre dann folgenlos.

Protokoll der nächtlichen Lead-Scans samt Auszug der neuen Funde. Verarbeitet werden: Firmennamen und Orte der Funde, Zeitpunkt, Zählwerte. Rechtsgrundlage: Art. 6 Abs. 1 lit. f. Speicherdauer: 90 Tage (Pflege-Lauf, Regel `lead_scan_laeufe`).

Nachweis über erteilte Auskünfte und ausgeführte Löschungen. Verarbeitet werden: SHA-256 der Kennung (nie die Adresse selbst), Zeitpunkt, Zählwerte. Rechtsgrundlage: Art. 5 Abs. 2 i. V. m. Art. 6 Abs. 1 lit. c (Rechenschaftspflicht). Speicherdauer: Drei Jahre — so lange, wie ein Anspruch aus der Verarbeitung geltend gemacht werden kann (§ 195 BGB). Der Eintrag enthält keine Klartext-Kennung.

Zum Betrieb dieser Website setzen wir Dienstleister ein, die Daten in unserem Auftrag und nach unseren Weisungen verarbeiten (Art. 28 DSGVO):

Hosting des Servers: Hostinger International Ltd. (Rechenzentrum in der EU)

Datenbank: Neon Inc. (verwalteter PostgreSQL-Dienst)

Zahlungsabwicklung: Stripe Payments Europe Ltd. — nur bei kostenpflichtigen Vorgängen

Bildgenerierung: Replicate Inc. — nur für erzeugte Motive, ohne Personenbezug

Eine Übermittlung an andere Empfänger findet nicht statt, soweit sie nicht gesetzlich vorgeschrieben ist.

Sie haben das Recht auf Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO), auf Berichtigung unrichtiger Daten (Art. 16), auf Löschung (Art. 17), auf Einschränkung der Verarbeitung (Art. 18) und auf Datenübertragbarkeit (Art. 20).

Soweit wir Daten auf Grundlage eines berechtigten Interesses verarbeiten, können Sie der Verarbeitung widersprechen (Art. 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen; die bis dahin erfolgte Verarbeitung bleibt davon unberührt.

Wenden Sie sich dafür an die oben genannten Kontaktdaten. Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO).

Diese Website verwendet keine Analyse- oder Tracking-Dienste, bindet keine Schriften oder Inhalte von fremden Servern ein und setzt keine Cookies zu Werbezwecken. Technisch notwendige Cookies werden nur gesetzt, wenn Sie sich anmelden.