Datenschutzerklärung

Verantwortlicher für die von ihm verantworteten Plattformverarbeitungen ist Yakup Kazakçi, Einzelunternehmer unter der Geschäftsbezeichnung YAKAZIVO, Betreiber von CARUNIVO, Seitenstettengasse 5/37, 1010 Wien, Österreich. Datenschutzkontakt: support@carunivo.online, +43 660 5814479.

Für das Kundenkonto werden die E-Mail-Adresse und Anmeldedaten verarbeitet; im Profil werden Name und Kontaktdaten ergänzt. Die Authentifizierung erfolgt über Supabase. Optional ist eine Anmeldung über Google eingerichtet. Google Login ist keine allgemeine Einwilligung in weitere Datenverarbeitungen.

Die Verarbeitung erforderlicher Konto- und Anmeldedaten erfolgt zur Vorbereitung und Durchführung des Nutzungsverhältnisses nach Art. 6 Abs. 1 lit. b DSGVO. Sicherheits- und Missbrauchsprüfungen dienen dem berechtigten Interesse an einem sicheren Plattformbetrieb nach Art. 6 Abs. 1 lit. f DSGVO. Optionale Google-Anmeldung und ihre vom Anbieter verantworteten Verarbeitungen sind von der Plattformverarbeitung zu unterscheiden.

Bei der optionalen Google-Anmeldung werden E-Mail-Adresse und Profilinformationen für die Anmeldung angefordert (Scopes email/profile). Google erhält die technisch notwendigen Anmeldeinformationen und verarbeitet diese nach seinen eigenen Datenschutzbedingungen unter https://policies.google.com/privacy. Die Anmeldung mit E-Mail und Passwort bleibt als Alternative verfügbar.

Die Plattform verarbeitet Fahrzeugangaben, ausgewählte Leistung und Partner, Preis, Termin, Kontaktdaten und gegebenenfalls die Adresse für eine mobile Leistung. Der ausgewählte Partner erhält die für die Bearbeitung und Ausführung notwendigen Reservierungsinformationen.

Anfrage, Annahme, Ablehnung, Änderungsangebot, Storno, No-Show und Abschluss werden mit zugehörigen Status- und Prüfungsinformationen verwaltet. Reservierungsfotos dienen der Leistungsdokumentation und Klärung und sind nur für berechtigte Beteiligte und die Administration bestimmt. Freigegebene Bewertungen können im Partnerprofil öffentlich angezeigt werden. Löschung und Einschränkung können über den Datenschutzkontakt beantragt werden; erforderliche Streitnachweise werden gesondert geprüft.

Die zur Anfrage, Durchführung, Kommunikation und Klärung notwendigen Angaben werden zur Vertragsanbahnung oder Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO verarbeitet. Für verpflichtende gesetzliche Dokumentation gilt Art. 6 Abs. 1 lit. c DSGVO. Fotos sind keine allgemeine Pflicht für die Nutzung des Kundenkontos. Ohne notwendige Kontakt-, Fahrzeug-, Orts- und Termindaten kann eine entsprechende Reservierung nicht bearbeitet werden.

Für die manuelle Partnerprüfung werden Betriebsname, Rechtsform, Vertretungs- und Kontaktdaten, Geschäftsanschrift, Gewerbeangaben, Leistungen und Einsatzgebiete verarbeitet. Kontoregistrierung und Partnerfreigabe sind getrennte Vorgänge.

Die Prüfung, Aufnahme und Verwaltung eines Partners dienen der Vorbereitung und Durchführung des Partnervertrags nach Art. 6 Abs. 1 lit. b DSGVO. Erforderliche Unternehmens- und Vertretungsangaben sind Voraussetzung für die Prüfung. Ohne diese Angaben kann eine Partnerbewerbung nicht freigegeben werden. Soweit gesetzliche Nachweispflichten bestehen, beruht ihre Erfüllung auf Art. 6 Abs. 1 lit. c DSGVO.

Vercel Inc. (USA) stellt die Anwendung bereit. Die aktuellen serverseitigen Produktionsfunktionen laufen in der Region iad1 in den USA. Supabase Pte. Ltd. (Singapur) stellt Datenbank, Authentifizierung und Speicher bereit; die Datenbankregion ist eu-central-1 (Frankfurt). Eine EU-Datenbankregion bedeutet nicht, dass sämtliche Hosting-, Support- oder Unterauftragnehmerverarbeitung im EWR stattfindet.

Vercels DPA gilt für Pro- und Enterprise-Kunden; die aktuelle CARUNIVO-Nutzung erfolgt im Pro-Plan. Supabases DPA ist Bestandteil der Dienstleistungsbedingungen. Für Übermittlungen, die entsprechende Garantien benötigen, enthalten diese DPA Standardvertragsklauseln der EU-Kommission (Beschluss 2021/914), einschließlich der jeweiligen Anlagen und technischen Schutzmaßnahmen. Dies ist keine Zusicherung, dass jede Verarbeitung in einem Land mit Angemessenheitsbeschluss erfolgt.

Die Garantien und Informationen zu Unterauftragnehmern sind unter https://vercel.com/legal/dpa und https://security.vercel.com/ sowie https://supabase.com/legal/customer-resources/data-processing-addendum und https://supabase.com/legal/customer-resources/subprocessor-list abrufbar. Eine Kopie beziehungsweise weitere Auskunft kann auch über support@carunivo.online angefordert werden. Anbieterlisten erfassen mehrere Dienste; nicht jeder dort genannte Unterauftragnehmer erhält sämtliche CARUNIVO-Daten.

Transaktions-E-Mails werden technisch über Mailjet versandt. Zustellereignisse werden zur Bearbeitung des E-Mail-Betriebs verarbeitet. Optionale Web-Push-Benachrichtigungen verwenden die Benachrichtigungsberechtigung des Browsers und einen gespeicherten Push-Endpunkt mit den notwendigen technischen Schlüsseln.

Notwendige Transaktionsnachrichten dienen Vertragsabwicklung und Plattformbetrieb. Web Push ist optional und kann über die Browserberechtigung und die Benachrichtigungseinstellungen deaktiviert werden; erforderliche Mitteilungen bleiben im Konto oder über den vorgesehenen Kontaktweg verfügbar. Eine Browserberechtigung ist keine allgemeine Zustimmung zu weiteren Verarbeitungszwecken.

Im derzeitigen Mailjet-Free-Konto sind Öffnungs- und Klicktracking deaktiviert. Nach den Anbieterangaben werden Statistik- und Kampagnendaten 90 Tage aufbewahrt; Kontakte und Vorlagen grundsätzlich für die Laufzeit des Kontos. Die Plattform prüft erforderliche Daten im Rahmen von Löschanfragen und Kontobeendigung gesondert.

Erforderliche Transaktionsnachrichten dienen der Vertragsabwicklung nach Art. 6 Abs. 1 lit. b DSGVO. Freiwillige Push-Zustellung beruht auf deiner Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO: Du aktivierst sie gesondert; die Vertragsannahme aktiviert sie nicht. Dabei werden Push-Endpunkt, technische Schlüssel und Geräteangaben gespeichert. Je nach Browser erfolgt die Zustellung über einen Push-Dienst, etwa Google, Apple oder Mozilla; technische Übermittlungen außerhalb des EWR sind möglich. Du kannst die Einwilligung in den Profileinstellungen oder im Browser widerrufen; die Rechtmäßigkeit der bisherigen Verarbeitung bleibt unberührt. Ohne Push bleiben Konto und Reservierung nutzbar. Für notwendige Zustellfehler- und Missbrauchsprüfungen gilt Art. 6 Abs. 1 lit. f DSGVO; daraus folgt keine Erlaubnis für Werbung oder Nutzungsanalyse.

Mailjet/Sinch verarbeitet für den Versand Empfängeradresse, Nachrichteninhalt und Zustellinformationen als Dienstleister. Mailjet nennt für die Datenhaltung Google-Cloud-Rechenzentren in Deutschland und Belgien; konzerninterne Verarbeitung und Unterauftragnehmer können dennoch Drittlandbezug haben. Die Mailjet-Bedingungen beziehen die Sinch-DPA ein; deren Transferregeln enthalten EU-Standardvertragsklauseln und für Sinch Email gegebenenfalls den EU-US Data Privacy Framework. Die jeweils anwendbaren Garantien und Unterauftragnehmer sind über https://www.mailjet.com/legal/terms/ und https://sinch.com/legal/terms-and-conditions/other-sinch-terms-conditions/data-processing-agreement/ zugänglich; Kopien kannst du beim Datenschutzkontakt anfordern. Eine pauschale Zusicherung ausschließlich europäischer Verarbeitung wird nicht gegeben.

Guthabenzuordnung, Rückbuchung, Partnerausgleich und Provisionsabrechnung verwenden die jeweils erforderlichen Finanz- und Reservierungsdaten. Testdokumente werden von realen Forderungen getrennt gehalten.

Eine ausdrückliche Annahme veröffentlichter Vertragsbedingungen wird mit angemeldetem Nutzer, Dokumentversion, Inhaltsprüfsumme, Kontext und serverseitigem Zeitpunkt erfasst. Dabei wird die angezeigte Datenschutzfassung dokumentiert; dies ist keine pauschale Einwilligung in die Datenverarbeitung.

Kontodaten werden so lange verarbeitet, wie sie für das aktive Nutzungsverhältnis erforderlich sind. Buchhaltungs- und Rechnungsunterlagen werden nach den einschlägigen österreichischen Vorgaben grundsätzlich sieben Jahre ab Ende des betreffenden Kalenderjahres und bei erforderlicher gesetzlicher Verlängerung länger aufbewahrt. Nicht jede Reservierungsfotografie, Push-Information oder technische Protokollzeile unterliegt dieser Frist.

Vertrags- und Streitnachweise werden auf das für bestehende Rechte und Pflichten notwendige Maß begrenzt. Fotos, Zustellinformationen und technische Daten werden auf ihre weitere Erforderlichkeit überprüft. Bei Kontobeendigung oder einem Löschverlangen werden offene Reservierungen, verbleibendes Guthaben, Geldansprüche und gesetzliche Aufbewahrung gesondert geprüft; nicht mehr notwendige Angaben sind zu löschen oder zu minimieren. Die Erledigung erfolgt administrativ und wird nicht als automatische Sofortlöschung aller Backups dargestellt.

Guthaben und vertragliche Abrechnung werden zur Durchführung der jeweiligen Vertragsverhältnisse nach Art. 6 Abs. 1 lit. b DSGVO verarbeitet. Für gesetzlich erforderliche Buchhaltungs- und Rechnungsunterlagen gilt Art. 6 Abs. 1 lit. c DSGVO. Notwendige Vertragsannahmen und Streitnachweise dienen dem berechtigten Interesse, Vertragsschlüsse nachzuweisen sowie berechtigte Ansprüche geltend zu machen oder abzuwehren, nach Art. 6 Abs. 1 lit. f DSGVO. Dabei wird nur das für diesen Zweck erforderliche Maß an Daten verwendet.

Anwendungsdaten und Auth-/Storage-Daten bleiben gespeichert, solange das aktive Konto, ein offener Vorgang, ein notwendiger Vertragsnachweis oder eine gesetzliche Pflicht sie erfordert. Bei einer Konto- oder Löschanfrage wird dies je Kategorie geprüft. Fotos werden nur für Leistungsdokumentation oder eine offene Klärung benötigt; entfällt dieser Zweck und besteht keine weitere Pflicht, sind sie zu entfernen. Push-Endpunkte werden bei Deaktivierung beziehungsweise erkannter Ungültigkeit deaktiviert; Zustell- und Fehlerdaten werden vom notwendigen Vertragsnachweis getrennt geprüft. Diese Kriterien sind keine automatische Löschroutine und keine pauschale Siebenjahresfrist für alle Daten.

Nach den derzeitigen Anbieterangaben beträgt die Standardaufbewahrung von Vercel-Pro-Runtime-Logs einen Tag; Zusatzprodukte können abweichen. Supabase Free nennt für API-/Datenbanklogs einen Tag und für Auth-Audit-Logs eine Stunde. Diese Angaben betreffen Anbieterprotokolle, nicht die Datensätze in der CARUNIVO-Datenbank oder zusätzliche Exporte. Mailjet-Free-Statistik-/Kampagnendaten werden laut Anbieter 90 Tage, Kontakte und Vorlagen für die Konto-Laufzeit aufbewahrt. Eigene CARUNIVO-Zustellnachweise werden gesondert nach ihrer Erforderlichkeit geprüft.

Supabase Free enthält keinen zugesicherten automatischen Backup-Service; die Sieben-Tage-Aufbewahrung täglicher Backups des Pro-Plans gilt hierfür nicht. Datenbankbackups enthalten außerdem keine Storage-Dateiinhalte. Eine Löschung aktiver Daten ist keine Zusicherung sofortiger Löschung sämtlicher Sicherungskopien. Bei Wiederherstellung sind bereits erledigte Lösch- und Einschränkungsanfragen erneut anzuwenden. Bei Beendigung des Anbieter-Vertrags sieht Supabase eine 30-tägige Rückgabephase und anschließende Löschung vor; Sinch nennt für DPA-Daten bis zu 90 Tage nach Kontobeendigung, vorbehaltlich gesetzlicher Pflichten. Vercel sieht die Löschung von Kundendaten innerhalb eines wirtschaftlich angemessenen Zeitraums vor. Diese Vertragsendfristen ersetzen nicht die Prüfung einzelner Betroffenenanfragen.

Die Anwendung verwendet die zur Anmeldung erforderliche Sitzungsverwaltung und PWA-Funktionen. Diese Funktionen sichern beziehungsweise ermöglichen den angeforderten Dienst. Eine Browserfreigabe für Push ist freiwillig. Werden künftig nicht notwendige Cookies oder optionale Analyse-/Werbedienste eingesetzt, sind deren Informationen und erforderliche Auswahlmöglichkeiten getrennt bereitzustellen; eine AGB-Annahme ersetzt dies nicht.

Zur Ausübung der anwendbaren Datenschutzrechte kannst du dich an support@carunivo.online wenden. Dazu gehören nach den gesetzlichen Voraussetzungen Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und der Widerruf einer erteilten Einwilligung.

Du kannst Beschwerde bei der österreichischen Datenschutzbehörde erheben: Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at, www.dsb.gv.at. Datenschutzanfragen werden nach Identitäts- und Umfangsprüfung innerhalb der gesetzlichen Frist beantwortet. Eine erforderliche Verlängerung oder Einschränkung wird begründet. Es erfolgen keine allein automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne von Art. 22 DSGVO; Partnerfreigaben, No-Show-Streitfälle und erhebliche Klärungen werden administrativ bearbeitet.