Datenschutz

Der Verantwortliche für die Verarbeitung deiner personenbezogenen Daten ist Pedro Pujol Garrido, eine natürliche Person mit Wohnsitz in Spanien, erreichbar unter help@garashe.com. Garashe ist ein digitaler Dienst zur Verwaltung eines persönlichen Fahrzeugportfolios, den der Verantwortliche als Anbieter von Diensten der Informationsgesellschaft (LSSI-CE) betreibt.

Kontodaten

Wenn du dich registrierst und dein Konto nutzt, verarbeiten wir:

• E-Mail-Adresse und Passwort (das Passwort wird gehasht gespeichert, niemals im Klartext).

• Benutzername, Avatar, Banner, Kurzbiografie, Lieblingsmarken und die Privatsphäre-Einstellungen, die du festlegst.

• Bevorzugte Sprache, Marktland, Währung, Einheiten und Schwellenwert für Preisalarme.

Wenn du dich mit Google (OAuth) registrierst, erhalten wir von Google: deine E-Mail-Adresse, deinen Namen, dein Profilbild und eine interne Kennung. Was Google mit uns teilt, unterliegt zusätzlich der Datenschutzerklärung von Google.

Daten deiner Fahrzeuge

Wenn du ein Auto zu deiner Garage hinzufügst, erfassen wir:

• Fahrgestellnummer (VIN), sofern du sie angibst, sowie Marke, Modell, Baujahr, Kilometerstand, Kaufpreis, Datum und Zustand des Fahrzeugs.

• Fotos, die du hochlädst.

• Informationen zur VIN-Verifizierung, falls du sie validieren lässt.

Die VIN wird dekodiert, um Marke, Modell und Baujahr des Fahrzeugs zu identifizieren. Diese Dekodierung erfolgt über externe Quellen: zunächst über die öffentliche Datenbank der NHTSA (US-Behörde, kostenlos) und als Fallback über Vincario (kostenpflichtiger Dienst mit Sitz in der Europäischen Union). Die VIN allein ist in Spanien in der Regel kein personenbezogenes Datum, kann es aber in Kombination mit deinem Konto, deinen Fotos oder deinem Standort werden. Deshalb behandeln wir sie mit derselben Sorgfalt wie deine übrigen Daten.

Nachrichten, die du uns sendest

Wenn du uns über das Hilfeformular (/help) schreibst, erheben wir deinen Namen, deine E-Mail-Adresse und den Inhalt der Nachricht. Der Inhalt der Nachricht wird zusammen mit deinem Namen und deiner E-Mail-Adresse an Anthropic (KI-Anbieter) übermittelt, um sie automatisch nach Priorität zu klassifizieren (dringend, wichtig, normal oder Spam). Das Ergebnis der Klassifizierung und die von der KI erzeugte Begründung werden zusammen mit der Originalnachricht in unserer Datenbank gespeichert. Weitere Details findest du in Abschnitt 7 (Verarbeitung durch künstliche Intelligenz).

Abonnement- und Zahlungsdaten

Wenn du den Plan Premium abschließt, wickelt Stripe (Stripe, Inc.) als Zahlungsdienstleister die Abbuchung ab. Dafür verarbeiten wir:

• Eine mit deinem Konto verknüpfte Stripe-Kundenkennung, den Status deines Abonnements (Testphase, aktiv, gekündigt), den gewählten Plan (monatlich oder jährlich) sowie die Daten für Beginn, Verlängerung und Ende des Abrechnungszeitraums.

• Die Rechnungsdaten, die du direkt auf der von Stripe gehosteten Zahlungsseite eingibst (Name, Land und gegebenenfalls Steuerdaten für die Berechnung der Mehrwertsteuer).

Wir speichern deine Kartendaten nicht. Kartennummer und Zahlungsdaten werden in der Infrastruktur von Stripe eingegeben und verwahrt, die nach dem PCI-DSS-Standard zertifiziert ist; Garashe bekommt sie zu keinem Zeitpunkt zu sehen und speichert sie nicht. Rechtsgrundlage dieser Verarbeitung ist die Erfüllung des Abonnementvertrags (Art. 6.1.b DSGVO). Details zur internationalen Datenübermittlung findest du in Abschnitt 8 (Auftragsverarbeiter).

Technische Daten und Nutzungsdaten

• Deine IP-Adresse, wenn du mit dem Dienst interagierst. Wir nutzen sie, um Ratenbegrenzungen (Rate Limits) für sensible Aktionen wie VIN-Dekodierung oder das Senden von Nachrichten anzuwenden, und bewahren sie zusammen mit der Nachricht aus dem Hilfeformular als technischen Nachweis für den Fall von Missbrauch auf.

• Unbedingt erforderliche Cookies (siehe Abschnitt 10).

• Aggregierte Nutzungsdaten, die Vercel Analytics und Vercel Speed Insights ohne Tracking-Cookies und ohne persönliche Kennungen erheben (siehe Abschnitt 8).

• Datum und Version der Einwilligung, die du bei der Registrierung erteilt hast.

Was wir NICHT tun

Wir verwenden keine Werbe- oder Tracking-Cookies. Wir verkaufen deine Daten nicht an Dritte. Wir teilen sie nicht mit sozialen Netzwerken für Werbezwecke. Wir senden dir weder Newsletter noch Werbung Dritter. Die einzigen E-Mails, die du erhältst, sind betriebsbedingt (Willkommensnachricht, Passwort-Wiederherstellung, E-Mail-Bestätigung, Verwaltung deines Premium-Abonnements, von dir aktivierte Preisalarme sowie menschliche Antworten auf deine Korrespondenz mit help@garashe.com). Wenn du dich freiwillig in die Launch-Liste eingetragen hast, erhältst du außerdem die Eröffnungsbenachrichtigung, der du beim Hinterlassen deiner E-Mail-Adresse ausdrücklich zugestimmt hast; du kannst dich jederzeit abmelden, indem du auf diese E-Mail antwortest.

Wir verarbeiten deine Daten auf Grundlage der folgenden Rechtsgrundlagen der DSGVO (Art. 6):

• Vertragserfüllung(Art. 6.1.b): um dir den Dienst bereitzustellen, den du mit deiner Registrierung abgeschlossen hast.
• Einwilligung(Art. 6.1.a): für spezifische Handlungen wie das Akzeptieren dieser Erklärung und der Nutzungsbedingungen bei der Registrierung.
• Berechtigtes Interesse(Art. 6.1.f): um die Sicherheit des Dienstes zu gewährleisten, Missbrauch und Betrug vorzubeugen und die unter /help eingehenden Nachrichten nach Priorität zu klassifizieren.
• Rechtliche Verpflichtung(Art. 6.1.c): wenn eine Rechtsvorschrift uns verpflichtet, Informationen aufzubewahren oder herauszugeben (zum Beispiel bei einer gerichtlichen Anordnung).

Konto- und FahrzeugdatenSolange dein Konto aktiv ist, bewahren wir deine Daten auf, um dir den Dienst bereitstellen zu können. Wenn du die Löschung deines Kontos beantragst:

• Dein Konto tritt in eine Schonfrist von 30 Tagen ein. Während dieser 30 Tage ist dein Profil nicht mehr öffentlich sichtbar, die Daten existieren aber weiterhin in unserer Datenbank.

• Wenn du uns innerhalb dieser 30 Tage an help@garashe.com schreibst und die Rücknahme der Löschung beantragst, können wir dein Konto wiederherstellen.

• Nach Ablauf der 30 Tage führen wir die endgültige physische Löschung durch: Dein Profil, deine Fahrzeuge, historischen Bewertungen, Fotos, Einstellungen und das Authentifizierungskonto werden unwiderruflich gelöscht.

Nachrichten aus dem HilfeformularNachrichten, die du uns über /help sendest, werden ab Eingang höchstens 24 Monate aufbewahrt, zusammen mit ihrer automatischen Klassifizierung und der Begründung der KI. Du kannst die vorzeitige Löschung deiner Nachrichten beantragen, indem du uns an help@garashe.com schreibst und eine nachvollziehbare Referenz angibst (zum Beispiel die E-Mail-Adresse, mit der du sie gesendet hast).

Rechnungs- und AbonnementdatenDie Daten zu deinem Premium-Abonnement und zu den Zahlungen (Rechnungen, Stripe-Kundenkennung, Beträge und Daten) werden so lange aufbewahrt, wie es die anwendbaren spanischen Steuer- und Handelsvorschriften verlangen (in der Regel bis zu 6 Jahre), auch wenn du dein Konto vorher löschst, da sie einer eigenständigen rechtlichen Verpflichtung unterliegen (Art. 6.1.c DSGVO). Stripe bewahrt die Zahlungsdaten seinerseits gemäß seinen eigenen Richtlinien auf.

Sicherungskopien und technische ProtokolleDie routinemäßigen Sicherungskopien unserer Anbieter können deine Daten einige zusätzliche Tage bis zum nächsten Löschzyklus vorhalten; sie werden ausschließlich zur Wiederherstellung nach Zwischenfällen verwendet. IP-Protokolle für Rate Limits werden höchstens 90 Tage aufbewahrt.

Rechtliche VerpflichtungenGetrennt davon bewahren wir für die gesetzlich vorgeschriebene Dauer die Mindestdaten auf, die zur Erfüllung rechtlicher Verpflichtungen erforderlich sind.

Als betroffene Person stehen dir die Rechte aus der DSGVO (Art. 15 bis 22) zu:

• Auskunft und Datenübertragbarkeit(Art. 15 und 20): du kannst alle deine Daten im JSON-Format herunterladen, unter Einstellungen → Privatsphäre & Daten → Meine Daten herunterladen.
• Berichtigung(Art. 16): du kannst dein Profil, deine Einstellungen und deine Fahrzeugdaten direkt in der Anwendung ändern. Für Änderungen, die die Oberfläche nicht zulässt, schreib uns.
• Löschung / Recht auf Vergessenwerden(Art. 17): du kannst dein Konto löschen, unter Einstellungen → Privatsphäre & Daten → Mein Konto löschen. Es gilt die im vorigen Abschnitt beschriebene Schonfrist von 30 Tagen.
• Einschränkung der Verarbeitung(Art. 18): du kannst uns bitten, die Verarbeitung bestimmter Daten auszusetzen.
• Widerspruch(Art. 21): du kannst Verarbeitungen widersprechen, die auf berechtigtem Interesse beruhen, einschließlich der automatischen Klassifizierung deiner Support-Nachrichten.
• Automatisierte Entscheidungen und menschliche Überprüfung(Art. 22): die automatische Klassifizierung der Nachrichten, die du uns an /help sendest, kann beeinflussen, mit welcher Priorität wir antworten, und sogar, ob sie überhaupt geprüft werden (bei als Spam klassifizierten Nachrichten). Du hast das Recht, eine menschliche Überprüfung zu verlangen, deinen Standpunkt darzulegen und die Entscheidung anzufechten. Dafür genügt eine E-Mail an help@garashe.com mit Verweis auf die ursprüngliche Nachricht. Die Marktbewertungen der Fahrzeuge sind ebenfalls automatisierte Berechnungen, sie sind jedoch rein informativ und entfalten keine rechtlichen Wirkungen dir gegenüber (siehe Abschnitt 6).

Um eines dieser Rechte auszuüben, kannst du die in die Anwendung integrierten Werkzeuge nutzen oder uns an help@garashe.com schreiben. Wir antworten innerhalb von höchstens einem Monat ab der Anfrage.

Garashe zeigt für viele Fahrzeuge einen geschätzten Marktwert an. Es ist wichtig, dass du verstehst, was diese Zahl ist und was sie nicht ist:

• Sie ist eine algorithmische Schätzung, berechnet auf Basis öffentlicher Verkaufsanzeigen von Fahrzeugen, die mit deinem vergleichbar sind.

• Für die Berechnung stützen wir uns auf zahlreiche öffentliche Marktquellen: Auktionsergebnisse, Verkaufsanzeigen und Daten von Spezialisten. Wir gleichen jede Zahl mit vielen verschiedenen Quellen ab, damit sie so verlässlich wie möglich ist, und überprüfen sie regelmäßig.

• Wir wenden Filter und statistische Anpassungen an, um einen Vertrauensbereich statt eines einzelnen Preises anzugeben.

• Sie ist kein offizielles Wertgutachten. Sie ersetzt nicht das fachliche Urteil eines Sachverständigen, Gutachters, Verkäufers oder Händlers. Du solltest Kauf-, Verkaufs-, Versicherungs- oder Finanzierungsentscheidungen nicht allein auf diese Zahl stützen.

• Wir übernehmen keine Verantwortung für wirtschaftliche Folgen, die daraus entstehen, dass diese Bewertungen als einzige Referenz für eine Transaktion verwendet werden.

Wenn du besser verstehen möchtest, wie die Berechnung funktioniert, schreib uns an help@garashe.com.

Wir nutzen Modelle künstlicher Intelligenz von Anthropic (Anthropic, PBC, USA) für vier spezifische Aufgaben. Die Anfragen werden im Rahmen eines kommerziellen Vertrags an die API von Anthropic übermittelt: Die Eingaben werden nicht zum Training der Modelle verwendet und zur Missbrauchserkennung bis zu 30 Tage aufbewahrt, gemäß den jeweils geltenden Bedingungen des Dienstes.

• Klassifizierung der Nachrichten aus dem Hilfeformular. Wenn du uns an /help schreibst, senden wir deinen Namen, deine E-Mail-Adresse und den Inhalt deiner Nachricht an das Modell von Anthropic, um eine automatische Priorität zuzuweisen (dringend, wichtig, normal oder Spam). Das Ergebnis und die von der KI erzeugte Begründung werden zusammen mit der Originalnachricht in unserer Datenbank gespeichert. Rechtsgrundlage: berechtigtes Interesse (Art. 6.1.f DSGVO) an einer effizienten Bearbeitung des Supports. Dein Recht auf menschliche Überprüfung ist in Abschnitt 5 beschrieben.
• Wöchentliche Zusammenfassung für den Verantwortlichen. Einmal pro Woche übermittelt ein automatisierter Prozess die in den letzten sieben Tagen eingegangenen Nachrichten aus dem Hilfeformular (einschließlich Namen, E-Mail-Adressen und Inhalten) an Anthropic, um eine Zusammenfassung zu erstellen, die der Verantwortliche erhält. Das bedeutet, dass Daten mehrerer Nutzer in einer einzigen Anfrage zu Zwecken der internen Verwaltung verarbeitet werden können. Rechtsgrundlage: berechtigtes Interesse an der Überprüfung der Aktivität des Dienstes.
• Historische Informationen zu Fahrzeugmodellen. Wenn du das Datenblatt eines Autos oder einer Generation aufrufst, können wir Marke, Modell und Baujahr (öffentliche Fahrzeuginformationen) an Anthropic senden, um eine kurze historische Zusammenfassung zu erstellen. Bei diesem Vorgang werden keine personenbezogenen Daten übermittelt.
• Concierge (Premium-Konversationsassistent). Wenn du den Concierge nutzt (Premium-Funktion), werden deine Anfragen und die Daten deiner eigenen Garage (Identifikation deiner Autos, Bewertungen, Kilometerstände sowie Kauf- oder Verkaufspreise; niemals deine Notizen oder deine VIN) an Anthropic gesendet, um die Antworten zu erzeugen. Der Concierge greift nur auf deine eigenen Informationen und den öffentlichen Katalog zu, niemals auf Daten anderer Nutzer, und wir speichern den Gesprächsverlauf nicht. Rechtsgrundlage: Erfüllung des Premium-Abonnementvertrags (Art. 6.1.b DSGVO).

Wir setzen in Produktion keine KI-Dienste von OpenAI oder anderen Anbietern ein. Sollten wir künftig weitere Anbieter oder Abläufe einführen, aktualisieren wir diese Erklärung.

Um dir den Dienst bereitzustellen, arbeiten wir mit den folgenden Auftragsverarbeitern zusammen. Alle sind durch Auftragsverarbeitungsverträge gebunden (Art. 28 DSGVO), und wenn sie Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, geschieht dies auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (SCC):

• Supabase. Supabase Inc., USA, mit Daten auf europäischer Infrastruktur: Authentifizierung, relationale Datenbank und Bildspeicherung.
• Vercel. Vercel Inc., USA, unter SCC: Hosting des Frontends, Auslieferung von Inhalten, Vercel Analytics (aggregierte Analysen ohne Tracking-Cookies) und Vercel Speed Insights (Performance-Metriken).
• Stripe. Stripe, Inc., USA, unter SCC: Zahlungsdienstleister, der die Abbuchungen des Premium-Abonnements verarbeitet und die Kartendaten nach dem PCI-DSS-Standard verwahrt. Stripe erhält deine E-Mail-Adresse, deine Rechnungsdaten und die Abonnementkennung; Garashe speichert deine Kartendaten nicht. Stripe handelt darüber hinaus als eigenständiger Verantwortlicher für die Betrugsprävention und die Erfüllung seiner finanzrechtlichen Pflichten.
• Resend. Resend, Inc., USA, unter SCC: Versand aller transaktionalen E-Mails (Registrierung, Passwort-Wiederherstellung, E-Mail-Bestätigung, von dir aktivierte Preisalarme sowie Zustellung der Nachrichten aus dem Hilfeformular an das Verwaltungspostfach). Resend ist als SMTP-Anbieter von Supabase Auth konfiguriert und deckt daher auch die von der Authentifizierungsschicht erzeugten E-Mails ab.
• Zoho Mail. Zoho Corporation, Indien / USA, unter SCC: menschlich betreutes Postfach von help@garashe.com, in dem die Nachrichten aus dem Hilfeformular eingehen und von dem aus der Verantwortliche manuell antwortet.
• Anthropic. Anthropic, PBC, USA, unter SCC: Modelle künstlicher Intelligenz für die in Abschnitt 7 beschriebenen Aufgaben.
• Apify. Apify Technologies s.r.o., Tschechische Republik, EU: führt in unserem Auftrag die automatisierte Erhebung öffentlicher Anzeigen von AutoScout24 durch. Apify greift nicht auf personenbezogene Daten unserer Nutzer zu; wir nennen den Dienst dennoch als Auftragsverarbeiter, wegen der Abfragen, die er im Namen von Garashe ausführt.
• Vincario. Litauen, EU: optionale VIN-Dekodierung beim Hinzufügen eines Fahrzeugs, um Marke, Modell und Baujahr zu identifizieren.

Wenn wir künftig Anbieter hinzufügen oder ersetzen, aktualisieren wir diese Liste.

Um den Dienst anzureichern, greifen wir auf verschiedene öffentliche Quellen zu, die keine personenbezogenen Daten von dir verarbeiten, sondern öffentlich verfügbare Informationen. Wir nennen sie aus Gründen der Transparenz:

• AutoScout24: öffentliche Verkaufsanzeigen von Fahrzeugen, die als Grundlage für die Marktbewertungen dienen (Abschnitt 6).

• NHTSA (National Highway Traffic Safety Administration, USA): öffentliche Dekodierung von VIN-Nummern.

• API Ninjas und Car2DB: öffentliche Kataloge von Fahrzeugmodellen und technischen Spezifikationen.

• Frankfurter API: von der Europäischen Zentralbank veröffentlichte Wechselkurse.

Keine dieser Quellen erhält personenbezogene Daten unserer Nutzer.

Garashe verwendet ausschließlich unbedingt erforderliche Cookies für den Betrieb des Dienstes:

• NEXT_LOCALE: merkt sich die von dir gewählte Sprache.

• Sitzungs-Cookies von Supabase (sb-*): halten deine Sitzung angemeldet.

Vercel Analytics und Vercel Speed Insights, die wir nutzen, um die aggregierte Nutzung des Dienstes und seine Performance zu verstehen, verwenden keine Tracking-Cookies und erlauben es nicht, dich persönlich zu identifizieren.

Wir verwenden keine Werbe-, Social-Media- oder Drittanbieter-Cookies zu Tracking-Zwecken. Aus diesem Grund zeigen wir kein Cookie-Banner an: Die Agencia Española de Protección de Datos erlaubt den Betrieb ohne Banner, wenn alle Cookies unbedingt erforderlich sind, um den vom Nutzer angeforderten Dienst bereitzustellen.

Sollten wir irgendwann nicht essenzielle Cookies oder Technologien hinzufügen (Analytik mit Tracking, Werbe-Pixel usw.), führen wir zuvor ein konformes Einwilligungsmanagement ein. Weitere Details findest du auf der eigenen Cookie-Seite unter /cookies.

Wir wenden angemessene technische und organisatorische Maßnahmen an, um deine Daten zu schützen:

• Verschlüsselte Kommunikation über HTTPS im gesamten Dienst.

• Passwörter werden mit modernen Hashing-Verfahren gespeichert (nicht im Klartext).

• Datenbankzugriff, beschränkt durch Sicherheitsregeln auf Zeilenebene (Row Level Security).

• Administrativer Zugriff, beschränkt auf den Verantwortlichen.

• Ratenbegrenzungen (Rate Limits) pro IP-Adresse an sensiblen Endpunkten, um Missbrauch vorzubeugen.

Keine Sicherheitsmaßnahme ist perfekt. Wenn du ein Problem oder eine Schwachstelle entdeckst, schreib uns an help@garashe.com.

Garashe richtet sich nicht an Personen unter 16 Jahren, entsprechend den spanischen Rechtsvorschriften über die digitale Einwilligung Minderjähriger. Wenn du jünger als 16 Jahre bist, darfst du dich nicht registrieren und keine personenbezogenen Daten über den Dienst bereitstellen. Stellen wir fest, dass ein Konto einer minderjährigen Person unter diesem Alter ohne Zustimmung der Erziehungsberechtigten angelegt wurde, löschen wir es.

Wenn wir diese Erklärung wesentlich ändern, benachrichtigen wir dich per E-Mail an die Adresse, mit der du registriert bist, und bitten dich gegebenenfalls um eine erneute Zustimmung. Kleinere Änderungen (Formulierungen, Klarstellungen, Aktualisierung der Anbieterliste) werden direkt auf dieser Seite veröffentlicht, indem das Datum "zuletzt aktualisiert" angepasst wird.

Diese Erklärung unterliegt spanischem Recht und dem Recht der Europäischen Union: der Datenschutz-Grundverordnung (DSGVO), dem spanischen Organgesetz 3/2018 über den Schutz personenbezogener Daten und die Gewährleistung digitaler Rechte (LOPDGDD) und dem spanischen Gesetz 34/2002 über Dienste der Informationsgesellschaft und den elektronischen Geschäftsverkehr (LSSI-CE).