Datenschutzerklärung

Stand: September 2026 · Version 2.0

1. Verantwortlicher und Geltungsbereich

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne der DSGVO ist:

PrimeLayer GmbH
Kleiststraße 4
74182 Obersulm
Deutschland
Vertreten durch: Geschäftsführer Fabian Benik
Telefon: +49 176 22 888 749
E-Mail: hej@carskeeper.de

Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich und wurde daher nicht bestellt. Bei Fragen zum Datenschutz wenden Sie sich bitte direkt an die oben genannte Adresse.

Für welche Angebote diese Erklärung gilt

• Ziffern 2 bis 12 betreffen diese Website (carskeeper.de) einschließlich Blog, Formularen und Newsletter.
• Ziffer 13 betrifft die CarsKeeper-Anwendung unter cockpit.carskeeper.de, also den Bereich hinter der Anmeldung. Dort verarbeiten wir Daten teils als Verantwortlicher (Konten der Werkstattmitarbeitenden, Abrechnung), teils als Auftragsverarbeiter im Auftrag der Werkstatt (deren eigene Kunden-, Fahrzeug- und Belegdaten). Ziffer 13 erläutert beide Rollen.

Sind Sie Endkundin oder Endkunde einer Werkstatt? Dann ist für Ihre Kunden-, Fahrzeug- und Rechnungsdaten die jeweilige Werkstatt verantwortlich, nicht wir. Richten Sie Auskunfts- und Löschanfragen bitte an die Werkstatt; wir unterstützen sie dabei als Auftragsverarbeiter.

2. Allgemeine Hinweise

Wir verarbeiten personenbezogene Daten grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist, oder soweit Sie eingewilligt haben.

Personenbezogene Daten

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, z. B. Name, E-Mail-Adresse, IP-Adresse oder Inhalte einer Nachricht.

Rechtsgrundlagen der Verarbeitung

• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung (z. B. Newsletter, Reichweitenmessung, Einbettung externer Videos).
• Art. 6 Abs. 1 lit. b DSGVO: Vertrag oder vorvertragliche Maßnahmen (z. B. Demo-Anfragen, Nutzung der Anwendung).
• Art. 6 Abs. 1 lit. c DSGVO: rechtliche Verpflichtung (z. B. handels- und steuerrechtliche Aufbewahrungspflichten).
• Art. 6 Abs. 1 lit. f DSGVO: berechtigte Interessen (z. B. sicherer Betrieb, Missbrauchsabwehr, Fehlersuche).
• Art. 28 DSGVO: Auftragsverarbeitung für Daten, die unsere Kunden in die Anwendung einstellen (siehe Ziffer 13).

TLS-Verschlüsselung

Diese Website und die Anwendung werden ausschließlich über eine TLS-verschlüsselte Verbindung ausgeliefert. Sie erkennen das am Präfix „https://" in der Adresszeile Ihres Browsers.

3. Hosting und Auslieferung der Website

Diese Website wird über die Entwicklungs- und Hosting-Plattform Lovable (Lovable AB, Schweden) bereitgestellt. Die Website ist als serverseitig gerendertes Programm gebaut, das in der Edge-Infrastruktur von Cloudflare („Cloudflare Workers") ausgeführt wird. Jede Seitenanfrage wird daher von einem Cloudflare-Rechenzentrum beantwortet, für Besucherinnen und Besucher aus Deutschland in der Regel in Frankfurt am Main.

Cloudflare: Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, sowie deren europäische Konzerngesellschaften. Cloudflare verarbeitet beim Aufruf der Website technisch notwendige Verbindungsdaten, insbesondere die IP-Adresse, Zeitstempel, die angeforderte URL und Angaben zu Browser und Betriebssystem. Cloudflare setzt zur Bot- und Missbrauchsabwehr das Cookie __cf_bm (Laufzeit 30 Minuten) sowie ein Cookie zur Zuordnung der ausgelieferten Programmversion (__dpl). Beide sind für den sicheren Betrieb erforderlich.

Medien und Schriftarten: Bilder, Videos und Schriftdateien dieser Website werden aus dem Objektspeicher der Lovable-Plattform unter dem Pfad /__l5e/ ausgeliefert. Die Auslieferung erfolgt über dieselbe Domain carskeeper.de; ein Aufbau von Verbindungen zu fremden Domains findet dabei nicht statt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht in einer sicheren, performanten und zuverlässigen Bereitstellung der Website. Mit den Anbietern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Zu Übermittlungen in Drittländer siehe Ziffer 15.

Weitere Informationen: lovable.dev/privacy und cloudflare.com/privacypolicy

4. Server-Logfiles

Beim Aufruf der Website fallen bei unserem Hosting-Dienstleister automatisch Protokolldaten an. Erfasst werden insbesondere:

• IP-Adresse des zugreifenden Geräts
• Datum und Uhrzeit der Anfrage
• Angeforderte URL und HTTP-Statuscode
• Referrer-URL (zuvor besuchte Seite), sofern übermittelt
• Browsertyp, Browserversion und Betriebssystem

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht in der technisch fehlerfreien und sicheren Bereitstellung der Website und in der Abwehr von Angriffen. Wir führen diese Protokolldaten nicht mit anderen Datenquellen zusammen und werten sie nicht personenbezogen aus. Die Protokolle entstehen und verfallen in der Infrastruktur unseres Hosting-Dienstleisters nach dessen Vorgaben; eine eigene, darüber hinausgehende Speicherung dieser Logdaten nehmen wir nicht vor.

5. Schriftarten und externe Inhalte auf den Seiten außerhalb des Blogs

Die auf dieser Website verwendeten Schriftarten (Bricolage Grotesque, Inter, JetBrains Mono) werden selbst ausgeliefert. Ihr Browser lädt sie von carskeeper.de, nicht von Google Fonts oder einem anderen fremden Anbieter. Eine Übermittlung Ihrer IP-Adresse an einen Schriftanbieter findet nicht statt.

Auf allen Seiten außerhalb des Blogs (Ziffer 12) werden keine Inhalte von fremden Domains nachgeladen.

6. Cookies und Einwilligungsverwaltung

Cookies sind kleine Textdateien, die auf Ihrem Endgerät gespeichert werden. Vergleichbar behandeln wir Informationen, die wir im lokalen Speicher (localStorage) oder Sitzungsspeicher (sessionStorage) Ihres Browsers ablegen.

Technisch notwendige Speicherung

• __cf_bm (Cloudflare, 30 Minuten): Bot- und Missbrauchsabwehr, siehe Ziffer 3.
• __dpl (Cloudflare/Lovable): Zuordnung der ausgelieferten Programmversion.
• carskeeper.cookie-consent.v2 (localStorage, dauerhaft bis zum Löschen): speichert Ihre Entscheidung im Einwilligungsbanner, damit wir sie respektieren und nicht erneut fragen. Ein älterer Eintrag carskeeper.cookie-consent.v1 wird beim ersten Aufruf gelöscht; die damalige Auswahl gilt nicht mehr als Einwilligung, deshalb fragt das Banner erneut.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG sowie Art. 6 Abs. 1 lit. f DSGVO.

Einwilligungsbedürftige Speicherung

• Statistik: Reichweitenmessung der Plattform Lovable und Google Analytics 4, siehe Ziffer 7.
• Marketing: Speicherung von Kampagnen-Parametern zur Zuordnung von Registrierungen, siehe Ziffer 8, sowie das Nachladen externer Videos im Blog, siehe Ziffer 12.

Rechtsgrundlage: § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Ohne Ihre Einwilligung werden diese Dienste nicht ausgeführt, setzen keine Cookies und übertragen keine Daten.

Einwilligungsverwaltung

Das Einwilligungsbanner ist Bestandteil dieser Website und wird von uns selbst betrieben; es werden dabei keine Daten an einen Einwilligungsdienstleister übermittelt. Beim ersten Aufruf können Sie einwilligen, ablehnen oder je Kategorie entscheiden. Ihre Entscheidung können Sie jederzeit mit Wirkung für die Zukunft ändern oder widerrufen, indem Sie den Link „Cookie-Einstellungen" im Fußbereich der Website aufrufen.

7. Reichweitenmessung

Um zu verstehen, welche Seiten aufgerufen werden, nutzen wir die in die Lovable-Plattform integrierte Reichweitenmessung. Sie wird technisch über den Analysedienst Tinybird (Tinybird Co.) betrieben; die Messdaten werden über unsere eigene Domain carskeeper.de weitergeleitet, sodass Ihr Browser keine Verbindung zu einer fremden Domain aufbaut.

Verarbeitete Daten: eine zufällig erzeugte Sitzungskennung (Cookie session-id, Laufzeit 30 Minuten), die aufgerufene Seite und der Verweis auf die vorher besuchte Seite, Zeitpunkt, Browserkennung (User-Agent), Spracheinstellung sowie das aus der IP-Adresse abgeleitete Land. Es findet keine seitenübergreifende Wiedererkennung über die Sitzung hinaus und keine Profilbildung statt.

Rechtsgrundlage: Ihre Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Die Messung wird erst aktiviert, nachdem Sie im Banner der Kategorie „Statistik" zugestimmt haben; lehnen Sie ab oder widerrufen Sie, wird sie nicht ausgeführt und das Cookie session-id nicht gesetzt. Die Messdatei selbst wird von unserer eigenen Domain ausgeliefert und kann ohne Ihre Einwilligung weder etwas auf Ihrem Gerät speichern noch etwas übertragen.

Google Analytics 4

Mit Ihrer Einwilligung in die Kategorie „Statistik" nutzen wir außerdem Google Analytics 4, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google"). Google Analytics setzt die Cookies _ga und _ga_* (Laufzeit bis zu 2 Jahre) und verarbeitet die aufgerufenen Seiten, Verweisquelle, Zeitpunkt, Geräte- und Browserinformationen sowie eine gekürzte IP-Adresse bzw. den daraus abgeleiteten ungefähren Standort. Wir erhalten davon nur zusammengefasste Auswertungen.

Eine Übermittlung an Google LLC in den USA ist möglich. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO); ergänzend gelten die EU-Standardvertragsklauseln. Wir haben mit Google einen Vertrag zur Auftragsverarbeitung geschlossen. Die Daten werden nach 14 Monaten gelöscht.

Rechtsgrundlage: Ihre Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Das Skript von Google wird erst nach Ihrer Zustimmung geladen; ohne Einwilligung findet keinerlei Verbindung zu Google statt. Widerrufen Sie über „Cookie-Einstellungen", wird die Messung beendet und die Cookies werden gelöscht. Weitere Informationen: policies.google.com/privacy.

8. Kampagnen-Parameter und Weiterleitung zur Anwendung

Rufen Sie unsere Website über einen Werbe- oder Kampagnenlink auf, enthält die Adresse Parameter wie utm_source, utm_medium, utm_campaign oder utm_content. Diese Parameter speichern wir im Sitzungsspeicher Ihres Browsers (sessionStorage, Schlüssel ck_signup_utm), damit sie erhalten bleiben, während Sie sich auf der Website bewegen. Klicken Sie anschließend auf „30 Tage kostenlos testen", werden sie gemeinsam mit der Kennung der aufgerufenen Seite an das Registrierungsformular unter cockpit.carskeeper.de übergeben, damit wir erkennen, über welchen Weg eine Registrierung zustande gekommen ist.

Rechtsgrundlage: Ihre Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO (Kategorie „Marketing"). Ohne Einwilligung werden keine Kampagnen-Parameter gespeichert und weitergegeben; die Schaltflächen funktionieren unverändert. Die Daten im Sitzungsspeicher werden mit dem Schließen des Browser-Tabs gelöscht.

Mit dem Klick verlassen Sie diese Website. Für die Verarbeitung in der Anwendung gilt Ziffer 13.

9. Kontaktaufnahme per E-Mail und Telefon

Wenn Sie uns per E-Mail (z. B. an hej@carskeeper.de) oder telefonisch kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage und für den Fall von Anschlussfragen.

Unsere E-Mail-Postfächer werden über Google Workspace betrieben (Anbieter für EU-Nutzer: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Konzernmutter Google LLC, USA). Mit Google besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Zu Drittlandübermittlungen siehe Ziffer 15.

Rechtsgrundlage ist bei vorvertraglichen Anfragen Art. 6 Abs. 1 lit. b DSGVO, im Übrigen Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: Wir löschen die Daten, sobald sie für den Zweck ihrer Erhebung nicht mehr erforderlich sind, spätestens nach Ablauf etwaiger gesetzlicher Aufbewahrungsfristen.

10. Formularanfragen (Demo und Rückruf)

Auf den Seiten „Demo buchen" und auf unserer Kampagnen-Landingpage können Sie uns über ein Formular kontaktieren. Verarbeitet werden die von Ihnen eingegebenen Angaben: Name, Firma, Telefonnummer, optional E-Mail-Adresse, Ihr Anliegen und Ihre Nachricht.

Die Absendung erfolgt an unseren Server, der die Angaben unmittelbar als E-Mail an unsere Geschäftsadresse weiterleitet. Eine Speicherung in einer Datenbank findet nicht statt.

Für den Versand dieser E-Mail setzen wir den Versanddienstleister Mailgun in dessen EU-Region ein (Anbieter: Mailgun Technologies, Inc., ein Unternehmen der Sinch-Gruppe; Verarbeitung über Server in der Europäischen Union). Mailgun verarbeitet dabei den Inhalt der Nachricht sowie die technischen Versanddaten. Mit Mailgun besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Im Anschluss liegt die Nachricht in unserem E-Mail-Postfach (Google Workspace, Ziffer 9).

Rechtsgrundlage ist bei vorvertraglichen Anfragen Art. 6 Abs. 1 lit. b DSGVO, im Übrigen Art. 6 Abs. 1 lit. f DSGVO.

11. Newsletter

Wenn Sie unseren Newsletter beziehen möchten, benötigen wir Ihre E-Mail-Adresse und Ihre Einwilligung.

Double-Opt-In-Verfahren

Die Anmeldung erfolgt im Double-Opt-In-Verfahren: Nach Ihrer Anmeldung erhalten Sie eine Bestätigungs-E-Mail mit einem Bestätigungslink. Erst nach Aufruf dieses Links wird Ihre Adresse in den Verteiler aufgenommen. Bis dahin ist die Anmeldung nur vorgemerkt.

Verarbeitete Daten und Speicherung

Gespeichert werden: Ihre E-Mail-Adresse, der Status der Anmeldung, der Zeitpunkt der Anmeldung und der Bestätigung, die IP-Adresse und die Browserkennung (User-Agent) zum Zeitpunkt der Anmeldung sowie zufällig erzeugte Kennungen für die Bestätigung und die spätere Abmeldung. Die IP-Adresse und die Browserkennung dienen als Nachweis der Einwilligung.

Diese Daten liegen in einer Datenbank des Dienstes Supabase (Anbieter: Supabase, Inc.), die wir über die Lovable-Plattform nutzen. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Zu Drittlandübermittlungen siehe Ziffer 15.

Versand

Für den technischen Versand nutzen wir Mailgun in dessen EU-Region (siehe Ziffer 10). Dabei fallen Versand- und Zustellungsinformationen an, etwa ob eine Nachricht zugestellt werden konnte (Bounces).

Rechtsgrundlage, Widerruf und Löschung

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO; für die Nachweisdaten zusätzlich Art. 6 Abs. 1 lit. f und lit. c DSGVO. Sie können den Newsletter jederzeit abbestellen, über den Abmeldelink in der Newsletter-E-Mail oder per Nachricht an hej@carskeeper.de. Nach der Abmeldung speichern wir Ihre Adresse nur noch, soweit das zum Nachweis der erteilten und widerrufenen Einwilligung erforderlich ist; im Übrigen löschen wir sie.

12. Blog: externe Inhalte, Bilder und Videos

Die Beiträge in unserem Blog werden über den externen Inhaltsdienst BabyLoveGrowth (babylovegrowth.ai) erstellt und automatisiert in unsere Datenbank übernommen. Die Beitragstexte liegen anschließend bei Supabase (siehe Ziffer 11) und werden von unserem Server ausgeliefert. Beim Lesen eines Beitrags werden keine Daten an BabyLoveGrowth übermittelt.

Beitragsbilder werden nicht von uns gespeichert, sondern beim Aufruf einer Blogseite direkt von der Speicherinfrastruktur des Inhaltsdienstes (ein Supabase-Projekt unter der Domain supabase.co) nachgeladen. Dabei wird Ihre IP-Adresse an diesen Anbieter übermittelt, und es kann ein technisches Cookie dieses Anbieters gesetzt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht in der bebilderten Darstellung der Beiträge.

Videos aus einzelnen Beiträgen (YouTube, Anbieter: Google Ireland Limited; Vimeo, Anbieter: Vimeo.com, Inc.) werden nicht automatisch geladen. Sie sehen zunächst eine Vorschaufläche. Erst wenn Sie diese anklicken und damit ausdrücklich einwilligen, wird das Video vom jeweiligen Anbieter geladen; dabei werden Ihre IP-Adresse und Gerätedaten an den Anbieter übermittelt und Cookies gesetzt. Rechtsgrundlage ist dann Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Ohne Klick findet keine Übermittlung statt.

13. Die CarsKeeper-Anwendung (cockpit.carskeeper.de)

Diese Ziffer beschreibt die Verarbeitung im angemeldeten Bereich der Software. Sie richtet sich an Werkstätten und Autohäuser, die CarsKeeper nutzen, sowie an deren Mitarbeitende.

13.1 Unsere beiden Rollen

• Verantwortlicher sind wir für die Daten, die für den Betrieb des Vertragsverhältnisses anfallen: Benutzerkonten, Anmeldung und Sicherheit, Abrechnung, Support und Betriebsüberwachung.
• Auftragsverarbeiter nach Art. 28 DSGVO sind wir für alle Daten, die unsere Kunden in die Anwendung einstellen, insbesondere deren eigene Kunden-, Fahrzeug-, Auftrags- und Belegdaten. Hierüber schließen wir mit jedem Kunden einen Auftragsverarbeitungsvertrag (AVV), der in der Anwendung zur Unterzeichnung bereitsteht. Für diese Daten entscheidet die Werkstatt über Zweck und Mittel, nicht wir.

13.2 Konto, Anmeldung und Sicherheit

Für ein Benutzerkonto verarbeiten wir Name, E-Mail-Adresse, Benutzername, einen kryptografischen Hash des Passworts sowie die Zugehörigkeit zu einem Betrieb und die dort vergebene Rolle. Für die Absicherung der Anmeldung verarbeiten wir zusätzlich, je nachdem, was Sie einrichten, Daten zu Zwei-Faktor-Verfahren (verschlüsselt gespeicherte TOTP-Geheimnisse), registrierte Sicherheitsschlüssel und Passkeys (WebAuthn), Wiederherstellungscodes und die Kennung vertrauenswürdiger Browser.

Anmeldung über Google oder Apple (SSO): Optional können Sie sich mit einem Google- oder Apple-Konto anmelden oder ein solches mit Ihrem CarsKeeper-Konto verknüpfen. Dabei erhalten wir von Google Ireland Limited bzw. Apple Inc. die zur Identifizierung erforderlichen Angaben (Kennung des Kontos, E-Mail-Adresse, Name). Andere Anmeldeverfahren als Google und Apple bieten wir derzeit nicht an. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

13.3 Unterschriften am Tablet

Unterschreibt eine Kundin oder ein Kunde einen Auftrag digital, speichern wir zum Nachweis neben der Unterschrift den Zeitpunkt, das eingefrorene Belegdokument, dessen Prüfsumme und die IP-Adresse des unterschreibenden Geräts. Eine grobe Ortsangabe wird, sofern eingerichtet, lokal auf unserem Server aus einer MaxMind-GeoLite2-Datenbank ermittelt; die IP-Adresse wird dabei nicht an MaxMind übermittelt. Es handelt sich um eine einfache elektronische Signatur im Sinne des Art. 25 Abs. 1 eIDAS-VO, nicht um eine qualifizierte Signatur.

13.4 Abrechnung

Für die kostenpflichtige Nutzung verarbeiten wir Rechnungsdaten des Betriebs (Firmierung, Anschrift, Umsatzsteuer-Identifikationsnummer, Anzahl der Nutzerkonten) sowie Zahlungsdaten über unsere Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd., Irland, und Stripe, Inc., USA) und PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg). Zahlungsmittel wie Kartennummern werden ausschließlich beim Zahlungsdienstleister eingegeben und gespeichert, nicht bei uns. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DSGVO.

13.5 E-Mail, WhatsApp und Brief

• E-Mail: Sämtliche aus der Anwendung versandten Nachrichten (z. B. Rechnungen, Mahnungen, Terminerinnerungen, Unterschriftsanforderungen, Systembenachrichtigungen) werden über Mailgun in dessen EU-Region versendet (siehe Ziffer 10).
• WhatsApp: Auf Wunsch der Werkstatt kann die Benachrichtigung „Fahrzeug ist abholbereit" über die offizielle WhatsApp Business Platform von Meta (Meta Platforms Ireland Ltd., Irland; technische Verarbeitung auch durch Meta Platforms, Inc., USA) versendet werden. Der Versand erfolgt nur, wenn die Werkstatt die Funktion aktiviert hat und für die betroffene Person eine dokumentierte Einwilligung für diesen Kanal hinterlegt ist. Übermittelt werden Vorname, Kennzeichen, Name des Betriebs und je nach Vorlage die Öffnungszeiten oder die Telefonnummer des Betriebs.
• Brief: Nutzt eine Werkstatt den Versand von Belegen als Papierbrief, übermitteln wir das Dokument und die Empfängeranschrift an unseren Druck- und Versanddienstleister (eBrief). Ohne Nutzung dieser Funktion findet keine Übermittlung statt.

13.6 Bankverbindung (PSD2)

Verbindet eine Werkstatt ein eigenes Geschäftskonto, werden Kontosalden und Kontoumsätze über den von der BaFin beaufsichtigten Kontoinformationsdienst finAPI GmbH, Adams-Lehmann-Straße 44, 80797 München, abgerufen. Der Zugriff ist rein lesend, erfolgt nur nach ausdrücklicher Freigabe je Bankverbindung und starker Kundenauthentifizierung bei der Bank und kann jederzeit getrennt werden. Bankzugangsdaten werden von uns zu keinem Zeitpunkt erhoben oder gespeichert. Ohne Nutzung dieser Funktion findet keine Verarbeitung durch diesen Dienstleister statt.

13.7 Betriebsüberwachung und Fehlersuche

Für den sicheren und stabilen Betrieb erheben wir Protokolle, Fehlermeldungen, Leistungsdaten (Traces) und anonyme Betriebskennzahlen. Diese Telemetrie wird an Grafana Cloud (Grafana Labs, betrieben in der AWS-Region Deutschland, eu-central-1) übermittelt und dort 14 Tage aufbewahrt. Dieselbe Übermittlung erfolgt für Fehler, die im Browser auftreten (Grafana Faro).

Transparenzhinweis: Diese Telemetrie wird derzeit nicht anonymisiert übertragen. Sie kann daher Benutzernamen, E-Mail-Adressen, IP-Adressen, Browserkennungen und Aufrufpfade enthalten, die Kunden- oder Fahrzeugkennungen unserer Kunden einschließen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb, Fehlerbehebung) bzw. Art. 28 DSGVO, soweit Kundendaten betroffen sind.

Betriebsmeldungen an den Betreiber: Ausgewählte Ereignisse (z. B. Registrierung eines neuen Betriebs, Ende einer Testphase, technische Störungen) werden zusätzlich als Nachricht in einen internen Chat über den Dienst Telegram (Telegram FZ-LLC, Vereinigte Arabische Emirate) gesendet. Übermittelt werden dabei der Name des Betriebs, der Ort, der Tarif, das Ende der Testphase, die Herkunft der Registrierung und ein Link in die Anwendung. Kundendaten unserer Kunden werden über diesen Weg nicht übermittelt. Da ein Betriebsname zugleich ein Personenname sein kann, handelt es sich um eine Übermittlung in ein Drittland ohne Angemessenheitsbeschluss; siehe Ziffer 15.

13.8 Wo die Anwendung läuft

Die Anwendung, die Datenbank, die Volltextsuche (MeiliSearch), die PDF-Erzeugung (Gotenberg), die Texterkennung für den Fahrzeugschein und die Backups laufen auf dedizierten Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Diese Server werden ausschließlich von uns administriert; Hetzner stellt Hardware, Netzwerk und Rechenzentrumsbetrieb in Deutschland bereit und hat keinen Zugriff auf die verarbeiteten Inhalte.

Nicht aktiv: Die Anwendung enthält eine Schnittstelle zur elektronischen Übermittlung der Umsatzsteuer-Voranmeldung an die Finanzverwaltung (ELSTER/ERiC). Diese Funktion ist im Produktivbetrieb derzeit nicht freigeschaltet; es findet über sie keine Datenübermittlung statt.

13.9 Speicherdauer in der Anwendung

• Inhalte, die unsere Kunden einstellen, speichern wir für die Dauer des Vertrags nach deren Weisung; Einzelheiten und die Löschung nach Vertragsende regelt der AVV.
• Abgeschlossene Belege unterliegen den gesetzlichen Aufbewahrungsfristen (insbesondere § 147 AO, § 14b UStG) und können vorher nicht gelöscht werden.
• Erstellte Datenexporte stehen sieben Tage zum Download bereit und werden danach automatisch gelöscht.
• Abgerufene Kontoumsätze werden zehn Jahre nach Ablauf des Kalenderjahres der Buchung automatisch gelöscht.
• Telemetrie wird nach 14 Tagen gelöscht (Ziffer 13.7).

14. Eingesetzte Dienstleister im Überblick

Mit allen nachstehend genannten Auftragsverarbeitern bestehen, soweit nicht ausdrücklich anders vermerkt, Verträge nach Art. 28 DSGVO.

Website (carskeeper.de)

• Lovable AB, Schweden: Plattform, Auslieferung der Website, Medien- und Schriftspeicher, Reichweitenmessung.
• Cloudflare, Inc., USA: Ausführung und Auslieferung der Website, Bot- und Missbrauchsabwehr.
• Supabase, Inc.: Datenbank für Newsletter-Anmeldungen und Blogbeiträge.
• Mailgun Technologies, Inc. (EU-Region): E-Mail-Versand für Formularanfragen und Newsletter.
• Google Ireland Limited: E-Mail-Postfächer (Google Workspace).
• Tinybird Co.: technische Reichweitenmessung, nur nach Einwilligung.
• Google Ireland Limited: Webanalyse (Google Analytics 4), nur nach Einwilligung.
• BabyLoveGrowth: Erstellung und Bereitstellung der Blogbeiträge und Beitragsbilder.
• Google Ireland Limited (YouTube) und Vimeo.com, Inc.: eingebettete Videos im Blog, nur nach Klick.

Anwendung (cockpit.carskeeper.de)

• Hetzner Online GmbH, Deutschland: Serverinfrastruktur.
• Mailgun Technologies, Inc. (EU-Region): Versand aller E-Mails aus der Anwendung.
• Grafana Labs (AWS eu-central-1, Deutschland): Protokolle, Traces, Browser-Fehler.
• Telegram FZ-LLC: interne Betriebsmeldungen an den Betreiber.
• Stripe Payments Europe, Ltd. / Stripe, Inc. und PayPal (Europe) S.à r.l. et Cie, S.C.A.: Abrechnung des Abonnements.
• Google Ireland Limited und Apple Inc.: Anmeldung über Google bzw. Apple, sofern genutzt.
• Meta Platforms Ireland Ltd.: WhatsApp-Benachrichtigungen, sofern von der Werkstatt aktiviert und vom Empfänger eingewilligt.
• eBrief: Druck und Versand von Papierbriefen, sofern genutzt.
• finAPI GmbH, Deutschland: Abruf von Kontoumsätzen, sofern eine Bankverbindung verknüpft wird.

Datenbank, Volltextsuche, PDF-Erzeugung und Texterkennung betreiben wir selbst auf der oben genannten Infrastruktur; hierfür sind keine weiteren Dienstleister eingebunden. Die MaxMind-GeoLite2-Datenbank wird auf unseren Server geladen und dort lokal ausgewertet, sodass keine Daten an MaxMind übermittelt werden.

15. Datenübermittlung in Drittländer

Ein Teil der eingesetzten Dienstleister hat seinen Sitz außerhalb der EU bzw. des EWR oder gehört zu einem Konzern mit Sitz in den USA. Eine Übermittlung personenbezogener Daten in ein Drittland findet daher statt oder kann nicht ausgeschlossen werden bei:

• Cloudflare, Inc. (USA): Auslieferung der Website.
• Google LLC (USA): Google Workspace, YouTube-Videos nach Klick, Anmeldung über Google.
• Apple Inc. (USA): Anmeldung über Apple.
• Mailgun Technologies, Inc. (USA): Verarbeitung findet in der EU-Region statt; der Zugriff durch die US-Muttergesellschaft ist vertraglich beschränkt, aber nicht vollständig ausgeschlossen.
• Supabase, Inc.: Datenbank für Newsletter und Blog.
• Stripe, Inc. (USA) und PayPal: Abwicklung von Zahlungen.
• Meta Platforms, Inc. (USA): technische Abwicklung von WhatsApp-Nachrichten.
• Vimeo.com, Inc. (USA): eingebettete Videos nach Klick.
• Telegram FZ-LLC (Vereinigte Arabische Emirate): interne Betriebsmeldungen.

Grundlage dieser Übermittlungen ist, je nach Anbieter:

• eine Zertifizierung unter dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023), oder
• Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO nebst ergänzenden Schutzmaßnahmen, oder
• bei den eingebetteten Videos Ihre ausdrückliche Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO.

Für die Übermittlung an Telegram (Vereinigte Arabische Emirate) besteht kein Angemessenheitsbeschluss. Wir stützen diese Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO und beschränken den Inhalt der Meldungen auf die in Ziffer 13.7 genannten Angaben.

Nicht zutreffend ist die Aussage, dass keine Daten in die USA gelangen. Die Anwendung selbst wird in Deutschland betrieben; einzelne Dienstleister sind jedoch US-Unternehmen oder Tochtergesellschaften davon.

16. Ihre Rechte als Betroffene

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO)
• Widerrufsrecht für erteilte Einwilligungen (Art. 7 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an die unter Ziffer 1 genannte Adresse oder per E-Mail an hej@carskeeper.de.

Betreffen Ihre Daten die Kundendatei einer Werkstatt, die CarsKeeper nutzt, ist diese Werkstatt Ihr Ansprechpartner (siehe Ziffer 1). Wir leiten solche Anfragen an die Werkstatt weiter und unterstützen sie bei der Beantwortung.

17. Beschwerderecht bei der Aufsichtsbehörde

Sie haben gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.

Zuständige Aufsichtsbehörde:
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Königstraße 10a
70173 Stuttgart
Telefon: +49 711 615541-0
Web: baden-wuerttemberg.datenschutz.de

18. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die rechtlichen Anforderungen oder unsere Leistungen ändern, insbesondere, wenn ein Dienstleister hinzukommt oder entfällt. Für Ihren erneuten Besuch gilt die jeweils aktuelle Fassung.

Stand: September 2026 · Version 2.0