Datenschutzerklärung

1. Verantwortlicher

2. Welche Daten wir erheben

Bei Registrierung als Kunde:

• Name, E-Mail-Adresse, Telefonnummer
• Rechnungsadresse
• Buchungsdaten (Leistung, Datum, Ort)

Hinweis zu Gast-Buchungen: Wenn du als Gast (ohne vorheriges Konto) buchst, wird automatisch ein Kundenkonto für dich angelegt. Die Verarbeitung deiner Daten ist erforderlich zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Du bekommst per E-Mail einen Link, mit dem du ein eigenes Passwort setzen kannst. Dein Konto kannst du jederzeit über die Profileinstellungen löschen lassen.

Bei Registrierung als Gartenbruder (Dienstleister):

• Name, E-Mail-Adresse, Telefonnummer
• Ausweiskopie (Personalausweis oder Reisepass)
• Steuernummer oder Steuer-ID
• Umsatzsteuerlicher Status
• Bankverbindung (IBAN)
• Tätigkeitsgebiet (Postleitzahlen)
• IP-Adresse und Zeitstempel der Selbstverpflichtungserklärung

Automatisch erhobene Daten:

• IP-Adresse, Browsertyp, Betriebssystem
• Datum und Uhrzeit des Zugriffs
• Referrer-URL

3. Zweck und Rechtsgrundlage der Verarbeitung

4. Profilbilder der Gartenbrüder

Hinweis für Gartenbrüder: Du kannst dein Profilbild jederzeit in deinem Profil unter Profilbild → Löschen entfernen. Der Widerruf der Einwilligung hat keine negativen Folgen für die weitere Nutzung der Plattform.

5. Weitergabe an Dritte

Zur Erbringung unserer Leistungen setzen wir sorgfältig ausgewählte Auftragsverarbeiter ein, mit denen jeweils ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO besteht. Eine Weitergabe erfolgt nur, soweit dies zur Vertragserfüllung, aufgrund einer gesetzlichen Pflicht oder auf Basis eines berechtigten Interesses zulässig ist:

• Supabase, Inc. — Datenbank-Hosting; auf den hierüber betriebenen Servern werden sämtliche Stamm-, Konto- und Buchungsdaten (einschließlich Name, Kontaktdaten, Adresse, Bankverbindung und Steuerdaten der Gartenbrüder) gespeichert. Der Serverstandort liegt im Vereinigten Königreich (AWS-Region eu-west-2, London). Das Vereinigte Königreich gilt seit dem Austritt aus der Europäischen Union als Drittland; die Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission für das Vereinigte Königreich gemäß Art. 45 DSGVO, ergänzend abgesichert durch Standardvertragsklauseln gemäß Art. 46 DSGVO. Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO
• Stripe, Inc. (USA) — Zahlungsabwicklung; Datenübertragung in Drittstaaten erfolgt auf Basis von Standardvertragsklauseln gemäß Art. 46 DSGVO. Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO
• Resend, Inc. (USA) — E-Mail-Versand (Buchungsbestätigungen, Benachrichtigungen); übermittelt werden E-Mail-Adresse, Name und der jeweilige Nachrichteninhalt. Übertragung in Drittstaaten auf Basis von Standardvertragsklauseln gemäß Art. 46 DSGVO. Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO
• Vercel Inc. (USA) — Hosting der Anwendung, Blob-Speicher (Profilbilder) sowie cookielose Reichweitenmessung (Vercel Web Analytics: keine Cookies, keine geräteübergreifende Wiedererkennung, keine Speicherung der IP-Adresse; nur nach erteilter Einwilligung, Art. 6 Abs. 1 lit. a DSGVO); Übertragung in Drittstaaten auf Basis von Standardvertragsklauseln gemäß Art. 46 DSGVO
• Functional Software, Inc. (Sentry) (USA) — technisches Fehler- und Performance-Monitoring zur Sicherstellung des stabilen Plattformbetriebs; es findet keine Sitzungsaufzeichnung (Session Replay) statt. Das Monitoring wird nur nach erteilter Einwilligung geladen (Art. 6 Abs. 1 lit. a DSGVO); Übertragung in Drittstaaten auf Basis von Standardvertragsklauseln gemäß Art. 46 DSGVO
• Upstash, Inc. (USA) — Schutz vor missbräuchlicher Nutzung und Brute-Force-Angriffen durch Zugriffsratenbegrenzung (Rate Limiting). Hierfür werden IP-Adressen und E-Mail-Adressen kurzzeitig als technische Schlüssel in einem Redis-Zwischenspeicher verarbeitet und nach Ablauf des jeweiligen Zeitfensters automatisch gelöscht. Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Plattformsicherheit); Übertragung in Drittstaaten auf Basis von Standardvertragsklauseln gemäß Art. 46 DSGVO
• OpenStreetMap Foundation (Nominatim, Vereinigtes Königreich) und openPLZ API (openplzapi.org) — Orts- und Postleitzahlensuche als Eingabehilfe bei der Buchung. Übermittelt wird ausschließlich die von dir eingegebene Orts- bzw. Postleitzahlenanfrage; es werden keine Konto- oder Bestandsdaten weitergegeben. Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) und lit. f DSGVO (berechtigtes Interesse an einer korrekten Adresserfassung). Für das Vereinigte Königreich gilt der Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO
• Bundeszentralamt für Steuern — jährliche Meldung gemäß PSttG (Plattformen-Steuertransparenzgesetz)
• Behörden — soweit gesetzlich verpflichtet

Eine Weitergabe zu Werbezwecken oder an sonstige Dritte findet nicht statt.

6. Speicherdauer

• Buchungsdaten: 10 Jahre (handels- und steuerrechtliche Aufbewahrungspflicht)
• PSttG-Meldedaten: 10 Jahre nach Übermittlung ans Bundeszentralamt
• Kontodaten: bis zur Löschung des Kontos, mindestens jedoch für die Dauer gesetzlicher Aufbewahrungspflichten
• Server-Logfiles: 7 Tage

Löschkonzept: Wir unterscheiden zwischen steuer- und handelsrechtlich aufbewahrungspflichtigen Daten (insbesondere Rechnungs- und Transaktionsdaten) und übrigen Daten. Aufbewahrungspflichtige Daten werden nach Wegfall des ursprünglichen Zwecks nicht weiterverarbeitet, sondern für die Dauer der gesetzlichen Frist (i. d. R. 10 Jahre) in der Verarbeitung eingeschränkt/gesperrt (Art. 18 DSGVO) und anschließend gelöscht. Nicht aufbewahrungspflichtige Daten (z. B. Nachrichteninhalte, Bewertungstexte, nicht abrechnungsrelevante Profil-/ Nutzungsdaten) werden bei Konto-Löschung oder Zweckwegfall vollständig gelöscht (Art. 17 DSGVO) — nicht lediglich pseudonymisiert.

7. Cookies & Einwilligung

Technisch notwendige Cookies setzen wir für die Session-Verwaltung (Authentifizierung) und die sichere Zahlungsabwicklung über Stripe ein. Für diese Cookies ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich. Es werden keine Werbe-Cookies eingesetzt.

Optionale Dienste mit Einwilligung: Eine cookielose Reichweitenmessung (Vercel Web Analytics) sowie ein anonymisiertes Fehler- und Performance-Monitoring (Sentry, ohne Sitzungsaufzeichnung) laden wir ausschließlich, wenn du im Cookie-Banner ausdrücklich zustimmst (§ 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO). Lehnst du ab, werden diese Dienste nicht geladen — die Nutzung der Plattform bleibt vollständig möglich.

Deine Entscheidung wird lokal in deinem Browser gespeichert. Du kannst sie jederzeit widerrufen, indem du die Website-Daten dieser Seite in deinem Browser löschst; beim nächsten Besuch fragen wir erneut.

8. Deine Rechte

Du hast gemäß DSGVO folgende Rechte:

• Auskunft (Art. 15 DSGVO) — welche Daten wir über dich gespeichert haben
• Berichtigung (Art. 16 DSGVO) — Korrektur unrichtiger Daten
• Löschung (Art. 17 DSGVO) — Löschung deiner Daten, sofern keine Aufbewahrungspflicht besteht
• Einschränkung (Art. 18 DSGVO) — Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO) — Herausgabe deiner Daten in maschinenlesbarem Format
• Widerspruch (Art. 21 DSGVO) — Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen

Zur Ausübung deiner Rechte wende dich an: info@garten-brueder.de

Du hast außerdem das Recht, dich bei der zuständigen Datenschutzaufsichtsbehörde zu beschweren.

9. Datensicherheit

Alle Daten werden verschlüsselt übertragen (TLS/HTTPS). Passwörter werden ausschließlich als bcrypt-Hash gespeichert. Zahlungsdaten werden nicht auf unseren Servern gespeichert, sondern direkt von Stripe verarbeitet.

Die dauerhafte Speicherung deiner Daten erfolgt in einer von der Supabase, Inc. betriebenen Datenbank mit Serverstandort im Vereinigten Königreich (Region eu-west-2, London). Die Anwendung selbst wird in einem Rechenzentrum in Frankfurt am Main (Deutschland) betrieben. Einzelheiten zur Drittlandübermittlung findest du unter Ziffer 5.