Datenschutzerklärung

DATENSCHUTZERKLÄRUNG
für Website, Kundenkonto, Checkout, Lizenzserver und begleitende Dienste
Version: KFZ-Tiny-1.0.0-2026-09-04-Testerprogramm
Stand: 04.09.2026
Gültig ab: 04.09.2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Kevin Wenisch, handelnd unter der Geschäftsbezeichnung KFZ-Tiny
Gasse 38
37318 Uder
Deutschland
Telefon: +49 15679 822519
E-Mail: info@kfz-tiny.de
Website: https://kfz-tiny.de

Ein Datenschutzbeauftragter ist derzeit nicht benannt.

2. Grundsätze und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, soweit dies für die nachfolgend beschriebenen Zwecke erforderlich ist. Je nach Vorgang stützen wir die Verarbeitung insbesondere auf folgende Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche Maßnahmen und die Durchführung von Verträgen, insbesondere Konto, Bestellung, Zahlung, Lizenz, Aktivierung und vertraglichen Support;

• Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Pflichten, insbesondere handels- und steuerrechtliche Aufbewahrung sowie die technische Umsetzung gesetzlicher Verbraucherrechte;

• Art. 6 Abs. 1 lit. f DSGVO für berechtigte Interessen an einem sicheren, missbrauchsarmen und nachvollziehbaren Betrieb, an Fehleranalyse, Betrugsprävention, IT-Sicherheit und der Abwehr beziehungsweise Geltendmachung von Rechtsansprüchen, soweit die Interessen oder Grundrechte betroffener Personen nicht überwiegen;

• Art. 6 Abs. 1 lit. a DSGVO, soweit wir für freiwillige Vorgänge ausdrücklich eine Einwilligung einholen, insbesondere beim Newsletter sowie bei freiwilligen Kontakt- oder Veröffentlichungseinwilligungen im Zusammenhang mit Feedback.

Soweit eine Verarbeitung auf Einwilligung beruht, kann die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

3. Aufruf der Website und Serverprotokolle

Beim Aufruf unserer Website und serverseitigen Dienste verarbeitet die technische Infrastruktur Daten, die für die Auslieferung, Stabilität und Sicherheit erforderlich sind. Dazu können insbesondere IP-Adresse, Zeitpunkt, angeforderter Pfad, HTTP-Methode, Statuscode und weitere sicherheitsrelevante technische Metadaten gehören.

Die Produktionskonfiguration ist darauf ausgelegt, das normale Nginx-Zugriffslog zu minimieren; Querystring, Referrer und User-Agent werden dort nicht als reguläre Zugriffsdaten gespeichert. Normale Zugriffsprotokolle werden grundsätzlich 14 Tage aufbewahrt. Fehler- und operative Sicherheitsprotokolle werden grundsätzlich bis zu 30 Tage aufbewahrt, soweit kein konkreter Sicherheitsvorfall eine gesonderte, dokumentierte Sicherung erfordert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb sowie in der Erkennung und Abwehr missbräuchlicher Nutzung.

4. Cookies und lokale Browser-Speicher

KFZ-Tiny setzt nach dem aktuellen technischen Stand keine eigenen Analyse- oder Werbe-Cookies und kein eigenes Tracking ein. Für Login-, Formular-, Sicherheits- und Sitzungsfunktionen werden technisch erforderliche Session-Cookies eingesetzt. Diese Cookies sind für die vom Nutzer angeforderten Funktionen erforderlich.

Die serverseitigen Sitzungscookies werden in der Produktionskonfiguration mit Sicherheitsmerkmalen wie HttpOnly, Secure und einem angemessenen SameSite-Wert eingesetzt. Zahlungsanbieter können nach der Weiterleitung auf ihren eigenen Seiten eigene Cookies oder vergleichbare Technologien nach ihren jeweiligen Datenschutzbestimmungen verwenden.

Soweit der Zugriff auf Informationen in der Endeinrichtung technisch unbedingt erforderlich ist, erfolgt er nach den gesetzlichen Ausnahmen für ausdrücklich angeforderte digitale Dienste. Personenbezogene Folgeverarbeitungen richten sich nach den jeweils in dieser Erklärung genannten DSGVO-Rechtsgrundlagen.

5. Browser-Demo

Die Browser-Demo dient der unverbindlichen Produktdemonstration. Fachliche Demo-Daten wie Demo-Kunden, Fahrzeuge oder Aufträge werden nach dem vorgesehenen Modell nicht in eine produktive serverseitige Werkstattdatenbank übernommen. Die Demo ist flüchtig und nicht für echte Kunden-, Fahrzeug- oder Rechnungsdaten bestimmt.

6. Kundenkonto

Bei Registrierung und Nutzung des Kundenkontos verarbeiten wir insbesondere E-Mail-Adresse, optionalen Vornamen, Passwort-Hash, Verifikationsstatus, sicherheitsbezogene Zeitpunkte, Sitzungsinformationen sowie gehashte Einmal-Token für E-Mail-Verifikation oder Passwortzurücksetzung. Passwörter werden nicht im Klartext gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Sicherheitsbezogene Verarbeitung kann zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO beruhen.

Kurzlebige verwendete oder abgelaufene Verifikations- und Reset-Token werden grundsätzlich innerhalb von etwa 7 Tagen physisch bereinigt. Das Konto bleibt bestehen, solange es für die Vertragsverwaltung benötigt wird oder bis eine berechtigte Löschung beziehungsweise Pseudonymisierung erfolgt, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

7. Checkout, Vertrags- und Rechtsnachweise

Im Checkout verarbeiten wir insbesondere Name beziehungsweise Rechnungsname/Firma, E-Mail-Adresse, Rechnungsanschrift, Land, Produkt- und Preisdaten sowie die für den Vertrag erforderlichen Bestätigungen. Dazu gehören insbesondere die Kenntnisnahme der Datenschutzhinweise, die Altersbestätigung sowie – bei Verbrauchern – die besonderen Erklärungen zum vorzeitigen Beginn der digitalen Bereitstellung und zum möglichen Erlöschen des Widerrufsrechts.

Zur Nachweisbarkeit werden die jeweils verwendeten Fassungen der AGB, EULA, Widerrufsdokumente und Checkout-Erklärungen mit Version, Prüfsumme und Zeitstempeln dem Vorgang beziehungsweise Vertrag zugeordnet. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO und, soweit gesetzliche Nachweispflichten betroffen sind, Art. 6 Abs. 1 lit. c DSGVO. Für die Verteidigung und Durchsetzung von Rechtsansprüchen kann ergänzend Art. 6 Abs. 1 lit. f DSGVO einschlägig sein.

Nicht abgeschlossene Online-Checkout-Zwischenvorgänge werden grundsätzlich nach etwa 30 Tagen bereinigt, soweit kein Zahlungs-, Sicherheits- oder Rechtsvorgang eine weitere Aufbewahrung erfordert.

Für den Abschluss eines Vertrags sind insbesondere Name beziehungsweise Rechnungsname, eine erreichbare E-Mail-Adresse, die Rechnungsanschrift, das Land und die im jeweiligen Checkout als erforderlich gekennzeichneten Vertragserklärungen erforderlich. Die Länderangabe wird auch verwendet, um die für Version 1.0 vorgesehene Vertriebsbeschränkung auf Deutschland umzusetzen. Ohne die für den Vertrag erforderlichen Angaben und Erklärungen kann der jeweilige Bestell- oder Zahlungsprozess nicht abgeschlossen und kein Vertrag geschlossen werden. Daten, die der gewählte Zahlungsanbieter für die Zahlungsabwicklung zwingend benötigt, müssen dort bereitgestellt werden; andernfalls kann diese Zahlungsart nicht genutzt werden. Ein Kundenkonto ist für den erstmaligen Erwerb nicht erforderlich. Newsletter-Anmeldung, freiwilliges Feedback, optionale Namensangaben und Einwilligungen in eine Veröffentlichung sind freiwillig und keine Voraussetzung für Kauf, Aktivierung oder Nutzung einer bestehenden Lizenz.

8. Zahlung per Banküberweisung

Bei der Anforderung einer Bank-Zahlungsinformation verarbeiten wir insbesondere Name, E-Mail-Adresse, Rechnungsanschrift, Betrag, Zahlungsreferenz, Produktbezug und die dem Vorgang zugeordneten rechtlichen Erklärungen. Die Zahlungsinformation ist 14 Tage gültig und stellt noch keine Rechnung und keinen Vertrag dar.

Bei einem tatsächlichen Zahlungseingang können zusätzlich die von der Bank übermittelten Zahlungsdaten, insbesondere Kontoinhaber, IBAN beziehungsweise sonstige Absenderangaben, Buchungsdatum, Betrag und Verwendungszweck verarbeitet werden, soweit diese Angaben im Zahlungsverkehr bereitgestellt werden.

Nicht in einen Vertrag umgewandelte Zahlungsanfragen und die dazugehörigen Zahlungsinformationsdateien werden nach Ablauf der 14-Tage-Frist nach einer zusätzlichen technischen Nachfrist von grundsätzlich bis zu 30 Tagen gelöscht, sofern kein verspäteter Zahlungseingang, Prüfungsfall oder gesetzlicher Aufbewahrungsgrund vorliegt.

Bei bestätigtem und angenommenem Zahlungseingang werden die für Bestellung, Rechnung, Lizenz und Buchhaltung erforderlichen Daten weiterverarbeitet. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und Art. 6 Abs. 1 lit. c DSGVO.

9. Onlinezahlung über Stripe

Wenn Sie „Bequem online bezahlen“ wählen und die Stripe-Zahlungsstrecke nutzen, werden die zur Zahlungsabwicklung erforderlichen Daten an Stripe übermittelt. Dazu können insbesondere Name, E-Mail-Adresse, Rechnungsanschrift, Betrag, Währung, Bestellreferenz sowie technische Zahlungs- und Geräteinformationen gehören. Vollständige Karten- oder vergleichbare Zahlungszugangsdaten werden im Stripe-Checkout verarbeitet; KFZ-Tiny speichert diese vollständigen Zahlungsdaten nicht.

Nach dem für KFZ-Tiny maßgeblichen Stripe Data Processing Agreement vom 18.11.2025 ist für Stripe-Konten außerhalb Nord- und Südamerikas Stripe Payments Europe, Limited (Irland) Vertragspartner des DPA. Je nach konkret eingesetztem Zahlungsdienst können weitere Stripe-Gesellschaften als eigenständig oder gemeinsam Verantwortliche beteiligt sein.

Stripe verarbeitet personenbezogene Daten teilweise als Auftragsverarbeiter und teilweise in eigener datenschutzrechtlicher Verantwortlichkeit, insbesondere für Zahlungsabwicklung, Auswahl und Einbindung von Banken und Zahlungsmethoden, Betrugsprävention, Sicherheit, regulatorische Pflichten, Abrechnung und Zahlungsstreitigkeiten.

Stripe und verbundene Unternehmen beziehungsweise Unterauftragnehmer können personenbezogene Daten auch außerhalb des Europäischen Wirtschaftsraums verarbeiten, insbesondere in den USA. Stripe sieht hierfür die in seinen aktuellen Datenschutz- und Transferbedingungen beschriebenen gesetzlichen Übermittlungsmechanismen vor.

Weitere Informationen: https://stripe.com/privacy und https://stripe.com/legal/dpa

Unsere Übermittlung an Stripe erfolgt zur Durchführung der von Ihnen gewählten Zahlung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Soweit Stripe Daten für eigene Zwecke verarbeitet, bestimmt Stripe die hierfür einschlägigen Rechtsgrundlagen und Pflichten selbst.

10. Onlinezahlung über PayPal

Wenn Sie PayPal wählen, werden die zur Zahlungsabwicklung erforderlichen Daten an PayPal übermittelt. Dazu können insbesondere Name, E-Mail-Adresse, Rechnungs- beziehungsweise Zahlerdaten, Betrag, Währung, Bestellreferenz sowie PayPal-Order- und Capture-Informationen gehören. KFZ-Tiny speichert keine PayPal-Zugangsdaten des Kunden.

Für Kunden im Europäischen Wirtschaftsraum werden die PayPal-Dienste insbesondere durch PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg, erbracht. PayPal verarbeitet personenbezogene Daten in eigener datenschutzrechtlicher Verantwortlichkeit, unter anderem zur Zahlungsabwicklung, Betrugsprävention, Erfüllung gesetzlicher und aufsichtsrechtlicher Pflichten sowie zur Bearbeitung von Zahlungsstreitigkeiten.

PayPal kann im Rahmen seiner internationalen Unternehmensgruppe und Dienstleisterstruktur Daten grenzüberschreitend verarbeiten; hierfür gelten die von PayPal beschriebenen Datenschutz- und Transfermechanismen.

Weitere Informationen: https://www.paypal.com/de/legalhub/paypal/privacy-full

Unsere Übermittlung an PayPal erfolgt zur Durchführung der von Ihnen gewählten Zahlung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

11. Bestellungen, Rechnungen und Buchhaltung

Nach Vertragsschluss verarbeiten wir die für Bestellung, Zahlung, Rechnung, Lizenzbereitstellung und Buchhaltung erforderlichen Daten, insbesondere Kundensnapshot, Rechnungsanschrift, Produkt, Preis, Umsatzsteuer, Währung, Bestell- und Zahlungsstatus, Providerreferenzen, Rechnungsnummer und Belegdaten.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO. Rechnungen sind nach der derzeit geltenden gesetzlichen Regelung grundsätzlich acht Jahre aufzubewahren, beginnend mit dem Schluss des Kalenderjahres der Ausstellung. Für andere steuer- oder handelsrechtliche Unterlagen können abweichende gesetzliche Fristen gelten.

Finalisierte Rechnungs- und Rechtsnachweise werden gegen nachträgliche unbemerkte Änderungen geschützt und erforderliche Korrekturen über gesonderte Belege dokumentiert.

12. Lizenz, Aktivierung und Gerätebindung

Zur Aktivierung übermittelt die Desktop-Anwendung den Aktivierungscode sowie technische Hardwarekennungen des vorgesehenen PCs an den Lizenzserver. Hierbei werden insbesondere Mainboard-Seriennummer, BIOS-Seriennummer und Prozessor-ID während der Aktivierungsanfrage verarbeitet.

Aus diesen Angaben wird serverseitig ein kryptografischer Gerätefingerabdruck (SHA-256) abgeleitet. Im Produktionsprozess werden die drei Hardware-Rohwerte nicht dauerhaft zur Gerätebindung gespeichert; dauerhaft benötigt wird grundsätzlich der abgeleitete Gerätefingerabdruck beziehungsweise die erforderliche Gerätebindung. Die Rohwerte werden zur Berechnung im laufenden Verarbeitungsvorgang verwendet.

Im normalen täglichen Betrieb erfolgt keine periodische Lizenz-Heartbeat-Kommunikation. Produktive Kunden-, Fahrzeug-, Teile-, Auftrags-, Wartungs- oder Werkstattrechnungsdaten, lokale Manipulationsereignisse und normale lokale App-Protokolle werden nicht automatisch an den Lizenzserver übertragen. Automatische Crash- oder Diagnoseberichte werden nicht versendet; Diagnoseinformationen werden nur aufgrund einer bewussten Nutzeraktion übermittelt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die vertragliche Gerätebindung. Maßnahmen zur Missbrauchs- und Angriffserkennung können ergänzend auf Art. 6 Abs. 1 lit. f DSGVO beruhen.

Die Gerätebindung wird während der aktiven Lizenz benötigt und nach Ablauf grundsätzlich noch bis zu 90 Tage vorgehalten. Danach wird sie minimiert beziehungsweise gelöscht, soweit kein offener Support-, Gerätewechsel-, Missbrauchs- oder dokumentierter Rechtsfall eine längere Aufbewahrung erfordert.

13. Rate-Limits und Sicherheitsmaßnahmen

Zum Schutz von Login, Passwortreset, Aktivierung, Checkout und anderen sicherheitsrelevanten Funktionen werden Rate-Limits eingesetzt. Hierfür können IP-bezogene Merkmale pseudonymisiert beziehungsweise gehasht verarbeitet werden. Abgelaufene Rate-Limit-Daten werden grundsätzlich innerhalb weniger Tage, derzeit etwa drei Tage nach dem jeweiligen Fenster, bereinigt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser Interesse liegt im Schutz vor Missbrauch, automatisierten Angriffen und übermäßiger Belastung der Systeme.

14. Transaktionale E-Mails und verschlüsselte Outbox

Vertrags-, Lizenz-, Sicherheits-, Support- und andere notwendige E-Mails werden über eine serverseitige Versandwarteschlange verarbeitet. Hierbei können insbesondere Empfängeradresse, Ereignistyp, Bestell-, Lizenz- oder Supportbezug, erforderliche Nachrichtendaten, Zustellstatus, Fehler- und Wiederholungsinformationen verarbeitet werden.

Die Outbox-Payloads werden verschlüsselt gespeichert. Nach erfolgreicher Zustellung werden die Nutzdaten grundsätzlich nach 30 Tagen gelöscht oder auf notwendige Metadaten minimiert, soweit kein offener Zustell-, Sicherheits- oder Rechtsfall besteht.

Der E-Mail-Versand erfolgt über Dienste der IONOS SE.

15. Support

Bei Supportanfragen verarbeiten wir insbesondere Name, E-Mail-Adresse, Kategorie, Betreff, Nachricht, Ticketnummer, Status, Bearbeitungszeiten, gegebenenfalls Bezug zu Konto oder Lizenz und interne Bearbeitungsnotizen. Bei bewusst übermittelten Diagnose- oder Supportdateien können zusätzlich die darin enthaltenen technischen Informationen verarbeitet werden.

Rechtsgrundlage ist regelmäßig Art. 6 Abs. 1 lit. b DSGVO, soweit der Support der Vertragsdurchführung dient. Für allgemeine Fehleranalyse, Missbrauchsschutz und Rechtsverteidigung kann ergänzend Art. 6 Abs. 1 lit. f DSGVO einschlägig sein.

Geschlossene Supportfälle werden grundsätzlich 90 Tage nach Fallabschluss personenbezogen minimiert. Intern dem Supportfall zugeordnete Anhänge werden grundsätzlich nach 90 Tagen gelöscht. Ein dokumentierter Legal Hold oder ein offener Rechts-/Sicherheitsfall kann eine längere Aufbewahrung erforderlich machen.

16. Feedback

Über das Feedbackformular können insbesondere E-Mail-Adresse, optionaler Name, Kundenstatus, Produktversion, Themenbereich, Nutzungskontext, Feedbacktext, Verbesserungsvorschläge und gegebenenfalls Schritte zu einem Fehler übermittelt werden.

Die Verarbeitung des freiwillig übermittelten Feedbacks erfolgt grundsätzlich auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO im berechtigten Interesse an Produktverbesserung und Fehleranalyse. Soweit Sie ausdrücklich einer Kontaktaufnahme oder einer namentlichen Veröffentlichung zustimmen, beruht diese zusätzliche Verarbeitung auf Art. 6 Abs. 1 lit. a DSGVO.

Feedback- und Kontaktinformationen werden grundsätzlich bis zu 12 Monate aufbewahrt, soweit sie nicht früher entbehrlich sind oder eine gesonderte Einwilligung beziehungsweise ein Rechtsgrund eine abweichende Aufbewahrung trägt. Technische Idempotenznachweise werden grundsätzlich nach etwa 7 Tagen bereinigt. Öffentliche Feedbackveröffentlichungen erfolgen standardmäßig anonym; eine Namensnennung erfolgt nur auf Grundlage einer gesonderten Zustimmung.

17. Newsletter

Der Newsletter ist freiwillig und vollständig vom Kauf getrennt. Wir verarbeiten hierfür E-Mail-Adresse, optionalen Vornamen, Quelle der Anmeldung, Einwilligungsfassung, Anfrage-/Bestätigungs-/Abmeldezeitpunkte und einen gehashten Double-Opt-in-Token.

Der Newsletter wird erst nach Bestätigung des Double-Opt-in aktiviert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kann jederzeit über den vorgesehenen Abmeldelink oder per Nachricht an info@kfz-tiny.de widerrufen werden.

Nach einer Abmeldung wird die Adresse nicht mehr für Newsletterversand verwendet. Erforderliche Nachweis- oder Sperrinformationen können für einen begrenzten Zeitraum weiter vorgehalten werden, soweit dies zur Dokumentation der Einwilligung, zur Beachtung des Widerspruchs oder zur Abwehr von Rechtsansprüchen erforderlich ist.

18. Lizenz-Ablaufhinweise

Aktive Kunden können unabhängig von einem Newsletter-Abonnement eine sachliche Erinnerung zum bevorstehenden Lizenzende erhalten. Die Nachricht nennt insbesondere das Ablaufdatum, weist darauf hin, dass keine automatische Verlängerung erfolgt, und kann neutral auf die Verlängerungsmöglichkeit verweisen.

Diese Verarbeitung dient der Durchführung beziehungsweise geordneten Beendigung des bestehenden Lizenzverhältnisses und beruht grundsätzlich auf Art. 6 Abs. 1 lit. b DSGVO.

19. Elektronische Widerrufsfunktion

Für online geschlossene Verbraucherverträge stellt KFZ-Tiny eine elektronische Widerrufsfunktion unter https://license.kfz-tiny.de/vertrag-widerrufen bereit. Dabei werden insbesondere Name, Vertrags- beziehungsweise Bestellidentifikation, E-Mail-Adresse beziehungsweise elektronischer Bestätigungsweg, Inhalt der Widerrufserklärung, Datum und Uhrzeit sowie Bearbeitungsstatus verarbeitet.

Die Verarbeitung erfolgt zur Erfüllung gesetzlicher Verbraucherpflichten auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO und zur Abwicklung des Vertrags auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Der Eingang wird auf einem dauerhaften Datenträger bestätigt. Der Widerrufseingang wird auch dann technisch entgegengenommen, wenn anschließend zu prüfen ist, ob das Widerrufsrecht bereits erloschen war.

20. Hosting und E-Mail bei IONOS

KFZ-Tiny nutzt Dienste der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, insbesondere für VPS-Hosting, Webhosting und E-Mail. Der für den Lizenzserver eingesetzte VPS ist im IONOS Cloud Panel der Region „Europa“ zugeordnet.

Soweit IONOS personenbezogene Daten für KFZ-Tiny im Auftrag verarbeitet, besteht eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO. Die aktuell geprüfte IONOS-AVV-Fassung ist Version 1.3, Stand 03/2026.

Nach dieser Vereinbarung findet die vertraglich vereinbarte Auftragsverarbeitung grundsätzlich in einem Mitgliedstaat der Europäischen Union oder einem anderen Vertragsstaat des Europäischen Wirtschaftsraums statt, sofern nicht zur Leistungserbringung ein Drittstaatentransfer erforderlich ist. Für einen erforderlichen Drittstaatentransfer verpflichtet sich IONOS zur Einhaltung der Voraussetzungen nach Art. 44 ff. DSGVO. IONOS kann nach Maßgabe des AVV weitere Auftragsverarbeiter einsetzen.

Die Verarbeitung durch die IONOS-Infrastruktur dient – je nach Vorgang – insbesondere der Bereitstellung der Website und des Lizenzservers, der Vertragsdurchführung, dem E-Mail-Versand sowie dem sicheren technischen Betrieb. Die jeweilige Rechtsgrundlage ergibt sich aus den in dieser Datenschutzerklärung beschriebenen Verarbeitungsvorgängen; das Auftragsverarbeitungsverhältnis wird durch Art. 28 DSGVO geregelt.

21. Empfänger und Kategorien von Empfängern

Personenbezogene Daten erhalten nur Stellen, die sie für den jeweiligen Zweck benötigen. Hierzu können insbesondere gehören:

• Hosting- und E-Mail-Dienstleister, insbesondere IONOS SE;

• Zahlungsdienstleister Stripe und PayPal bei Auswahl der jeweiligen Zahlungsart;

• Banken bei Banküberweisungen und Rückzahlungen;

• Finanzbehörden, Steuerberatung oder sonstige gesetzlich berechtigte Stellen, soweit dies zur Erfüllung rechtlicher Pflichten erforderlich ist;

• technisch interne Buchhaltungs-/Accounting-Systeme und von uns eingesetzte Auftragsverarbeiter, soweit dies für Vertrag, Abrechnung oder Betrieb erforderlich ist.

Eine Weitergabe zu fremden Werbezwecken findet nicht statt.

22. Übermittlungen in Drittländer

Der Lizenzserver wird bei IONOS in der Region „Europa“ betrieben. Nach dem IONOS-AVV findet die vertraglich vereinbarte Auftragsverarbeitung grundsätzlich in der EU beziehungsweise im EWR statt, soweit für die konkrete Leistung kein erforderlicher Drittstaatentransfer erfolgt.

Bei international tätigen Zahlungsdienstleistern können personenbezogene Daten auch außerhalb des Europäischen Wirtschaftsraums verarbeitet werden. Stripe weist in seinem DPA insbesondere auf mögliche Übermittlungen an Stripe, LLC in den USA sowie an verbundene Unternehmen und Unterauftragnehmer in anderen Staaten hin.

PayPal verarbeitet Daten im Rahmen seiner internationalen Unternehmensgruppe und stützt entsprechende Übermittlungen auf die von PayPal beschriebenen Schutzmechanismen, einschließlich seiner Datenschutzregelungen für konzerninterne Übermittlungen.

Soweit für eine Übermittlung in ein Drittland ein besonderer Übermittlungsmechanismus erforderlich ist, richtet sich die Verarbeitung nach den gesetzlichen Voraussetzungen der Art. 44 ff. DSGVO, insbesondere nach einem anwendbaren Angemessenheitsbeschluss oder geeigneten Garantien wie Standardvertragsklauseln beziehungsweise anderen zulässigen Transfermechanismen.

23. Automatisierte Entscheidungen

KFZ-Tiny selbst trifft nach dem vorgesehenen Produktmodell keine ausschließlich automatisierten Entscheidungen, die gegenüber Kunden rechtliche Wirkung entfalten oder sie in vergleichbarer Weise erheblich beeinträchtigen. Zahlungsanbieter können für ihre eigenen Zahlungs-, Risiko- oder Betrugsprüfungen automatisierte Verfahren einsetzen; hierfür gelten deren eigene Datenschutzhinweise und Verantwortlichkeiten.

24. Kontolöschung und Datenminimierung

Eine Kontolöschung kann über info@kfz-tiny.de beantragt werden. Nach berechtigter Prüfung werden insbesondere Loginzugang, Passwort-Hash, Sessions und nicht mehr benötigte Profildaten gelöscht oder pseudonymisiert.

Eine bereits bezahlte aktive Lizenz wird nicht allein durch die Kontolöschung vernichtet. Soweit technisch erforderlich, kann die Lizenz vom aktiven Benutzerkonto entkoppelt beziehungsweise pseudonymisiert weitergeführt werden.

Rechnungen, Bestellungen, Zahlungsnachweise und andere gesetzlich aufzubewahrende Daten bleiben für den vorgeschriebenen Zeitraum getrennt erhalten und werden nicht für andere Zwecke weiterverwendet.

25. Ihre Rechte

Betroffene Personen haben nach den gesetzlichen Voraussetzungen insbesondere das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. e oder f DSGVO beruhen. Bei einer Verarbeitung auf Einwilligungsbasis besteht das Recht, die Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen.

Zur Ausübung Ihrer Rechte können Sie sich an info@kfz-tiny.de wenden. Zur Vermeidung unberechtigter Offenlegung können wir eine angemessene Identitätsprüfung verlangen.

26. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für den Verantwortlichen in Thüringen ist insbesondere folgende Behörde erreichbar:

Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit (TLfDI)
Häßlerstraße 8
99096 Erfurt
E-Mail: poststelle@datenschutz.thueringen.de
Telefon: +49 (361) 57-3112900

27. KFZ-Tiny Testerprogramm

Für das zeitlich begrenzte KFZ-Tiny Testerprogramm verarbeiten wir den angegebenen Vornamen und die E-Mail-Adresse. Postleitzahl sowie Firma beziehungsweise Werkstatt können freiwillig angegeben werden. Zusätzlich speichern wir Anmelde- und Bestätigungszeitpunkte, die verwendete Fassung der Teilnahmebedingungen, den Status der E-Mail-Bestätigung, die serverseitige Zuordnung eines Tester-Aktivierungscodes sowie technische Versand- und Statusinformationen, soweit dies für die Durchführung und Absicherung des Testerprogramms erforderlich ist.

Die Pflichtangaben und die Codezuordnung werden zur Durchführung des angeforderten Testerprogramms verarbeitet. Sicherheitsbezogene Vorgänge wie Missbrauchsschutz, Rate-Limits und nachvollziehbare Zustände dienen dem sicheren Betrieb.

Eine E-Mail mit einem freiwilligen Feedback-Fragebogen ungefähr 28 Tage nach bestätigter Teilnahme wird nur versendet, wenn im Anmeldeformular eine gesonderte freiwillige Einwilligung erteilt wurde. Hierzu speichern wir, ob die Einwilligung erteilt wurde, den Zeitpunkt und die verwendete Textfassung. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft über den persönlichen Widerrufslink aus der Willkommensmail widerrufen werden. Der Widerruf hat keinen Einfluss auf die bereits gewährte kostenlose Jahreslizenz. Nach einem Widerruf werden noch nicht abgeschlossene automatische Feedback-Versandvorgänge soweit technisch möglich abgebrochen und der Widerrufszeitpunkt dokumentiert. Eine bereits technisch angenommene oder im Versand befindliche Nachricht kann nicht zurückgeholt werden.

Der freiwillige Tester-Fragebogen verarbeitet die dort eingegebenen Bewertungen und Freitexte. Die Beantwortung ist freiwillig. Es erfolgt dadurch keine Newsletter-Anmeldung und keine automatische Veröffentlichung.

Die Daten des Testerprogramms werden in einer getrennten serverseitigen Datenhaltung verarbeitet. Bestätigungs-, Feedback- und Widerrufstoken werden nicht im Klartext in der Datenbank gespeichert. Aktivierungscodes werden serverseitig verschlüsselt gespeichert und nur dem jeweils bestätigten Teilnehmer zugeordnet.

Die konkrete Aufbewahrung richtet sich nach dem Zweck, technischen Sicherheitsanforderungen sowie gesetzlichen Nachweis- und Aufbewahrungspflichten. Nicht bestätigte Anmeldungen und abgelaufene technische Token werden nach den im System vorgesehenen kurzen Fristen bereinigt; bestätigte Teilnehmerdaten und Feedback werden nach den dokumentierten Aufbewahrungsfristen gelöscht oder anonymisiert, sofern keine vorrangigen gesetzlichen Gründe entgegenstehen.

28. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung wird angepasst, wenn sich Datenverarbeitungen, Dienstleister oder die Rechtslage ändern. Für bereits geschlossene Verträge bleiben die jeweils dokumentierten Vertrags- und Einwilligungsfassungen nachvollziehbar archiviert. Wesentliche neue Datenverarbeitungen werden nicht allein durch eine Textänderung eingeführt, sondern müssen technisch und rechtlich gesondert umgesetzt werden.