Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Osama Shama, Peter-Thomas-Str. 1, 54296 Trier, Deutschland
E-Mail: [email protected]

2. Überblick

Klincha wird als Online-Marktplatz für Kundinnen, Kunden und geprüfte Handwerks- und Dienstleistungsbetriebe aufgebaut. In der aktuellen Startphase führen wir Konten und prüfen Betriebe sowie deren Nachweise. Funktionen zur Vermittlung von Anfragen, für Angebote und Nachrichten werden erst mit der jeweiligen Marktphase freigeschaltet. Zahlungen werden derzeit nicht über Klincha abgewickelt.

3. Welche Daten wir verarbeiten

3.1 Registrierung und Konto

Bei der Registrierung als Betrieb verarbeiten wir: E-Mail-Adresse, Passwort (gespeichert als kryptografischer Hash), Mobilfunknummer, Firmenname, Firmenbeschreibung, Geschäftsadresse einschließlich der daraus abgeleiteten Geokoordinaten, Einsatzradius, optional die Umsatzsteuer-Identifikationsnummer und optional ein Firmenlogo. Wir speichern außerdem die angenommene AGB-Fassung und den Zeitpunkt der Annahme, um die vereinbarten Bedingungen nachzuweisen.

Für die Einrichtung des Betriebskontos benötigen wir die Pflichtangaben im Registrierungsformular einschließlich der bestätigten Kontaktdaten und des Identitätsnachweises nach Ziffer 3.3. Ohne diese Angaben kann die Registrierung nicht abgeschlossen werden. Als optional gekennzeichnete Angaben können Sie weglassen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen) sowie Art. 6 Abs. 1 lit. f DSGVO für den Nachweis der vereinbarten Bedingungen.

3.2 Verifizierung per E-Mail und SMS

Zur Bestätigung von E-Mail-Adresse und Mobilfunknummer versenden wir vierstellige Einmalcodes. Der Versand erfolgt über ZeptoMail (Zoho) bzw. seven.io. Zur technischen Prüfung der Zustellbarkeit wird die E-Mail-Adresse außerdem an BulkEmailChecker übermittelt. Ohne ein eindeutiges positives Prüfergebnis wird kein Bestätigungscode per E-Mail versendet. Bei einer vorübergehenden Störung kann die Prüfung später erneut versucht werden.

ZeptoMail erhält die Empfängeradresse und die für den Versand erforderlichen Nachrichteninhalte einschließlich des Einmalcodes. seven.io erhält die Mobilfunknummer und den SMS-Text einschließlich des Einmalcodes. An BulkEmailChecker übermitteln wir zur Prüfung die E-Mail-Adresse, jedoch nicht den Einmalcode. Diese Dienste werden von unserem Server aus aufgerufen.

Zur Prüfung speichern wir den Einmalcode vorübergehend zusammen mit dem Verwendungszweck und der E-Mail-Adresse bzw. Mobilfunknummer. Der Code läuft spätestens 15 Minuten nach seiner Ausstellung ab und wird bei erfolgreichem Abschluss des zugehörigen Vorgangs verbraucht. Diese Frist betrifft unseren Prüfcode, nicht die beim Empfänger zugestellte Nachricht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Bestätigung der Kontaktdaten und Art. 6 Abs. 1 lit. f DSGVO zur Verhinderung von Missbrauch.

3.3 Identitätsnachweis

Zur Verifizierung eines Betriebs verarbeiten wir eine Kopie eines amtlichen Ausweisdokuments (Personalausweis, Reisepass, Aufenthaltstitel oder Führerschein) der Person, deren Identität wir prüfen. Die Prüfung erfolgt manuell durch unser Team. Kundinnen und Kunden wird das Dokument zu keinem Zeitpunkt angezeigt.

Während der Prüfung speichern wir die Dokumentkopie, die Dokumentart, Vor- und Nachname sowie das Geburtsdatum. Nach einer Annahme oder Ablehnung wird die Dokumentkopie vom Prüfdatensatz getrennt und für den weiteren Abruf gesperrt. Ihre Löschung aus dem Objektspeicher erfolgt nach dem unter Ziffer 8 beschriebenen Verfahren. Technische Dateiinformationen bleiben bis zur bestätigten Löschung erhalten. Im Prüfdatensatz bleiben Dokumentart, Vor- und Nachname, Geburtsdatum, Prüfstatus sowie, bei erfolgreicher Prüfung, der Prüfzeitpunkt gespeichert. Bei einer Ablehnung kann außerdem die Begründung gespeichert bleiben. Das Geburtsdatum bleibt für die Dauer des Kontos gespeichert, um die Identität bei einer erneuten Prüfung abzugleichen. Es wird nicht öffentlich angezeigt und bei der Kontolöschung entfernt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Betrugsprävention und am Schutz der Nutzenden).

3.4 Qualifikationsnachweise, Versicherungen, Referenzfotos

Optional hochgeladene Gewerbeanmeldungen, Meister- und Gesellenbriefe, Handwerkerausweise, Versicherungspolicen sowie Referenzfotos verarbeiten wir, um sie zu prüfen. In der aktuellen Startphase sind diese Daten für den jeweiligen Betrieb und die zuständige Verwaltung bestimmt. Eine spätere Anzeige freigegebener Angaben oder Referenzfotos in einem öffentlichen Profil wird vor Freischaltung des Marktplatzes in dieser Erklärung beschrieben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.5 Anfragen, Angebote und Nachrichten

Anfragen, Angebote und Nachrichten sind in der aktuellen Startphase nicht freigeschaltet. Vor ihrer Freischaltung ergänzen wir diese Erklärung um die tatsächlich verarbeiteten Inhalte, Sichtbarkeit und Speicherdauer.

3.6 Adresseingabe und Umkreissuche

Bei der Eingabe einer Adresse nutzen wir eine Autovervollständigung von LocationIQ. Unser Server übermittelt dafür den eingegebenen Suchtext sowie Länder- und Spracheinstellungen an diesen Dienst, sofern die Anfrage nicht aus unserem Zwischenspeicher beantwortet werden kann. Die IP-Adresse Ihres Browsers wird in diesem API-Aufruf nicht als Nutzeradresse weitergereicht. Zur gewählten Geschäftsadresse speichern wir Geokoordinaten und den Einsatzradius des Betriebs. Die spätere Vermittlung von Anfragen im Umkreis ist in der aktuellen Startphase noch nicht freigeschaltet.

Suchtexte und zugehörige Adressvorschläge werden auf unserem Server für bis zu 24 Stunden ab Speicherung zwischengespeichert, um wiederholte Anfragen schneller zu beantworten und externe Aufrufe zu begrenzen. Diese Frist betrifft den Zwischenspeicher; die im Profil gespeicherte Geschäftsadresse richtet sich nach Ziffer 8.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.7 Server-Logfiles

Beim Aufruf unserer Website werden Zugriffe über unseren Reverse-Proxy Traefik protokolliert. Dabei werden insbesondere die IP-Adresse, Zeitpunkt und Ziel der Anfrage sowie technische Angaben zur Bearbeitung erfasst. Zusätzlich entstehen Betriebs- und Fehlerprotokolle unserer Anwendungen. Diese Protokolle dienen der technischen Bereitstellung, Fehleranalyse und Sicherheit. Die derzeitigen Aufbewahrungsgrenzen sind unter Ziffer 8 beschrieben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Hosting: Hostinger; unser Server befindet sich in Frankfurt am Main, Deutschland. Diese Standortangabe gilt für unseren Server und trifft keine Aussage über die Verarbeitung durch andere eingesetzte Dienste.

3.8 Automatisierte Prüfung von Textangaben

Beim Registrieren und Bearbeiten des Betriebsprofils prüfen wir Firmenname, Unternehmensbeschreibung und Geschäftsadresse sowie beim Speichern von FAQ deren Fragen und Antworten automatisiert auf Telefonnummern, E-Mail-Adressen, Webadressen (URLs) und Bankverbindungen im IBAN-Format. Die dafür eingegebenen Texte werden an unsere selbst betriebene Presidio-Instanz auf der Hostinger-Infrastruktur übermittelt. Presidio ist dabei eine von uns eingesetzte Software und kein zusätzlicher externer Dienstanbieter.

Die Prüfung dient der Durchsetzung der Inhaltsregeln unserer AGB. Bei einem Treffer wird die Speicherung abgelehnt; auch bei einer technischen Störung wird die Speicherung nicht freigegeben. Die Erkennung kann fehlerhaft sein. Bei Rückfragen zu einer Ablehnung können Sie sich an [email protected] wenden. Die Entscheidung über eingereichte Nachweise und Referenzfotos treffen weiterhin Personen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Durchsetzung der Inhaltsregeln und der Verhinderung ihres Missbrauchs).

3.9 Vorübergehende Daten zur Begrenzung von Anfragen

Zur Verhinderung von Missbrauch begrenzen wir insbesondere den Versand von Bestätigungscodes und Datei-Uploads. Dafür verarbeiten wir die IP-Adresse vorübergehend in Redis zusammen mit Zählern und, je nach Prüfung, den angesprochenen E-Mail-Adressen oder Mobilfunknummern. Bei angemeldeten Uploads verwenden wir eine Kontozuordnung. Die IP-bezogenen Begrenzungen arbeiten mit Zeitfenstern von einer Stunde; die zugehörigen Redis-Einträge laufen automatisch ab. Diese Daten sind von den Zugriffs- und Betriebsprotokollen getrennt und dienen nicht der Erstellung einer Besuchshistorie.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor missbräuchlichen Anfragen und an der Verfügbarkeit des Dienstes).

4. Cookies und lokaler Browserspeicher

Wir verwenden technisch notwendige Cookies und lokale Speicherungen für Anmeldung, Sitzungsschutz, Sprachauswahl und das Merken ausgeblendeter Hinweise. Eine Einwilligung ist hierfür nach § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich.

Wir setzen keine Analyse-, Marketing- oder Tracking-Cookies ein. Sollte sich dies ändern, holen wir Ihre Einwilligung vorab über ein Einwilligungsbanner ein.

5. Schriftarten

Die Schriftdateien werden zusammen mit unserer Website ausgeliefert. Ihr Browser ruft dafür keinen externen Schriftanbieter wie Google Fonts auf. Für die Auslieferung unserer Website nutzen wir die unter Ziffer 6 beschriebenen Infrastruktur-Anbieter.

6. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, soweit dies zur Erbringung unserer Leistungen erforderlich ist. Technisch eingesetzte Dienste:

• Hosting: Hostinger; eigener Server in Frankfurt am Main, Deutschland
• Auslieferung und Schutz der Website: Cloudflare (Cloudflare, Inc.)
• Dateispeicherung: Cloudflare R2 (Cloudflare, Inc.)
• E-Mail-Versand: ZeptoMail (Zoho Corporation)
• E-Mail-Zustellbarkeitsprüfung: BulkEmailChecker
• SMS-Versand: seven.io (seven communications GmbH & Co. KG, Deutschland)
• Adress-Autovervollständigung: LocationIQ (Unwired Labs (India) Pvt Ltd, Indien)

6.1 Auslieferung und Schutz der Website

Cloudflare vermittelt die Anfragen zwischen Ihrem Browser und unserem Server und schützt unsere Website vor Angriffen und missbräuchlichen Zugriffen. Dabei verarbeitet Cloudflare insbesondere Ihre IP-Adresse, Verbindungs- und Anfragedaten sowie die über diese Verbindung übertragenen Inhalte, soweit dies für die Bereitstellung und den Schutz des Dienstes erforderlich ist.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der sicheren und zuverlässigen Bereitstellung unserer Website. Weitere Informationen zur Verarbeitung durch Cloudflare finden Sie in der Datenschutzerklärung von Cloudflare.

6.2 Speicherung hochgeladener Dateien

Hochgeladene Dateien speichern wir bei Cloudflare R2 in einem auf die Europäische Union (EU) beschränkten Speicherbereich. Diese Festlegung betrifft den Speicherort der hochgeladenen Dateien. Die Dateien sind nicht öffentlich abrufbar. Der Zugriff erfolgt über unsere Anwendung nach Prüfung der jeweiligen Berechtigung.

6.3 Verarbeitung außerhalb des Europäischen Wirtschaftsraums

Bei der Nutzung von Cloudflare kann eine Verarbeitung personenbezogener Daten auch außerhalb des Europäischen Wirtschaftsraums (EWR), insbesondere in den USA, stattfinden. Auch bei Hostinger kann der Einsatz von Unterauftragsverarbeitern eine Verarbeitung außerhalb des EWR umfassen. Der Standort unseres Servers in Deutschland und der EU-Speicherbereich für Dateien bedeuten daher nicht, dass sämtliche Verarbeitung durch diese Anbieter auf die EU beschränkt ist.

Für solche Übermittlungen sehen die Auftragsverarbeitungsbedingungen von Cloudflare und Hostinger insbesondere die EU-Standardvertragsklauseln vor, soweit diese für die jeweilige Übermittlung erforderlich sind. Diese Klauseln verpflichten die Empfänger zum Schutz der übermittelten personenbezogenen Daten. Die Regelungen und ergänzenden Schutzmaßnahmen können Sie in den Auftragsverarbeitungsbedingungen von Cloudflare und den Auftragsverarbeitungsbedingungen von Hostinger einsehen. Weitere Informationen oder eine Kopie der für Ihre Daten maßgeblichen Garantien erhalten Sie auf Anfrage unter [email protected].

6.4 E-Mail-, SMS- und Adressdienste

Für ZeptoMail beschreibt Zoho eine vom jeweiligen Konto abhängige Rechenzentrumsregion. Auch bei einer EU-Region kann ein beschränkter Supportzugriff durch Zoho in Indien erfolgen; Zoho beschreibt hierfür Standardvertragsklauseln und ergänzende Schutzmaßnahmen. Informationen finden Sie in den Datenschutzhinweisen und Vertragsinformationen von Zoho.

BulkEmailChecker betreibt seinen Dienst aus den USA. Die zur Prüfung übermittelte E-Mail-Adresse kann dort sowie in weiteren Ländern seiner Dienstleister verarbeitet werden. Der Anbieter nennt für relevante Übermittlungen aus dem EWR unter anderem Standardvertragsklauseln als Schutzmaßnahme. Einzelheiten enthalten seine Datenschutzerklärung und die Datenverarbeitungsregelungen in den Nutzungsbedingungen.

seven.io ist ein deutscher Anbieter und nennt für sein Hosting Hetzner in Deutschland. Zur Zustellung der SMS sind außerdem die beteiligten Telekommunikationsanbieter eingebunden. Informationen finden Sie in der Datenschutzerklärung und der Übersicht der Unterauftragnehmer von seven.io.

LocationIQ wird von Unwired Labs (India) Pvt Ltd in Indien angeboten. Der EU-Speicherort unserer hochgeladenen Dateien gilt nicht für diesen Adressdienst. Informationen zur Verarbeitung stellt LocationIQ in seiner Datenschutzerklärung und seiner Auftragsverarbeitungsvereinbarung bereit. Für Fragen zu den bei diesen Diensten maßgeblichen Garantien können Sie uns unter [email protected] kontaktieren.

7. Datenaustausch zwischen Kundschaft und Betrieb

Ein Datenaustausch zwischen Kundschaft und Betrieb ist in der aktuellen Startphase nicht freigeschaltet. Die derzeitige Sichtbarkeit von Nachweisen und Profilangaben ist unter Ziffern 3.3 und 3.4 beschrieben.

8. Speicherdauer

• Ausweisdokumentkopien: Nach Annahme oder Ablehnung wird der Zugriff gesperrt und die Kopie zur Löschung vorgemerkt. Die im Prüfdatensatz verbleibenden Angaben sind unter Ziffer 3.3 beschrieben und werden bei Kontolöschung entfernt.
• Konto- und Profildaten: für die Dauer des Kontos. Bei Kontolöschung wird das Konto deaktiviert, bestehende Anmeldesitzungen werden ungültig und identifizierende Angaben werden entfernt oder durch Platzhalter ersetzt. Die Fragen und Antworten des Betriebs (FAQ) und seine Dokumentdatensätze werden gelöscht. Konto- und Profileinträge bleiben mit den ersetzten Angaben erhalten; zugehörige Dateien werden nach dem unten beschriebenen Verfahren gelöscht.
• Nachweis der AGB-Annahme: für die Dauer des Kontos und anschließend drei Jahre nach Ablauf des Kalenderjahres der Kontolöschung. Maßgeblich ist die deutsche Ortszeit. Gespeichert bleiben die angenommene Fassung, der Annahmezeitpunkt und die Zuordnung zum verbleibenden Kontoeintrag. Nach Fristablauf wird der Nachweis im nächsten erfolgreichen täglichen Bereinigungslauf gelöscht. Die AGB-Dokumente selbst bleiben erhalten.
• Zugriffsprotokolle unseres Servers: Traefik protokolliert Zugriffe im JSON-Format. Eine tägliche Bereinigung behält die letzten 1.000 Einträge. Dies ist eine Begrenzung nach Anzahl und keine Löschung aller Einträge, die älter als 24 Stunden sind. Bei wenigen Zugriffen können Einträge entsprechend länger erhalten bleiben.
• Betriebsprotokolle von Backend, Frontend und Presidio: Die Docker-Protokollierung rotiert je Anwendung mit höchstens drei Dateien zu jeweils 10 MB. Die Aufbewahrung richtet sich nach dem anfallenden Datenvolumen; eine feste Löschfrist in Tagen ist damit nicht eingestellt.
• Diese Grenzen betreffen die von uns verwalteten Serverprotokolle. Sie gelten nicht pauschal für interne Protokolle von Hostinger, Cloudflare oder anderen Dienstanbietern. Insbesondere lässt sich daraus für deren Protokolle keine Löschung nach 24 Stunden ableiten.

Dateilöschung: Ein automatischer Bereinigungslauf wird alle 24 Stunden ausgeführt. Er erfasst Dateien, die keinem gespeicherten Inhalt mehr zugeordnet sind und deren Upload mehr als 10 Stunden zurückliegt. Das gilt auch für bereits zur Löschung vorgemerkte Dateien. Uploads, die bis dahin keinem Inhalt zugeordnet wurden, werden im regulären Betrieb üblicherweise zwischen 10 und 34 Stunden nach dem Upload gelöscht. Wird eine Datei erst später von einem Inhalt getrennt, wird sie im nächsten Lauf nach Erfüllung der Altersgrenze gelöscht. Das Alter wird ab dem Upload gerechnet, nicht erneut ab der Vormerkung zur Löschung. Noch zugeordnete Dateien bleiben von dieser Bereinigung ausgenommen.

Die technischen Dateiinformationen werden erst entfernt, wenn der Objektspeicher die Löschung bestätigt hat. Bei Fehlern oder einer unklaren Antwort bleiben diese Informationen für einen erneuten Versuch im nächsten Lauf erhalten. Störungen können die Löschung über die genannten Zeiträume hinaus verzögern.

9. Ihre Rechte

Unter den jeweiligen gesetzlichen Voraussetzungen haben Sie das Recht auf:

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Widerspruch gegen Verarbeitungen aufgrund berechtigter Interessen

Sie können aus Gründen Ihrer besonderen Situation jederzeit einer Verarbeitung widersprechen, die wir auf Art. 6 Abs. 1 lit. f DSGVO stützen. Wir verarbeiten die Daten dann nur weiter, wenn wir zwingende schutzwürdige Gründe nachweisen können, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient.

Ausübung Ihrer Rechte

Sie können Ihr Konto jederzeit selbst in den Kontoeinstellungen schließen. Die Folgen der Kontoschließung und die Löschung Ihrer Daten sind unter Ziffer 8 beschrieben. Eine automatisierte Exportfunktion gibt es in der Startphase nicht. Eine Kopie Ihrer Daten stellen wir Ihnen auf Anfrage in einem gängigen, maschinenlesbaren Format zur Verfügung.

Anfragen außerhalb der Kontoschließung bearbeiten wir in der Startphase manuell. Zur Ausübung Ihrer Rechte genügt eine Nachricht an [email protected]. Wir antworten innerhalb der gesetzlichen Fristen.

10. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Behörde ist:
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz.
Kontakt zur Aufsichtsbehörde

11. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, sobald sich unsere Verarbeitung ändert. Die jeweils aktuelle Fassung ist stets auf dieser Seite abrufbar.