Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:

Dominic Diehr & Richard Wesemann GbR, Pfingstbornstraße 4, 61440 Oberursel, Deutschland. E-Mail: kontakt@autocheckdirekt.de. Telefon: 0155 10391687. Umsatzsteuer-Identifikationsnummer: DE460345410.

Bei Fragen zum Datenschutz erreichst du uns jederzeit unter der oben genannten E-Mail-Adresse.

2. Überblick der Verarbeitungen

AutoCheckDirekt ist ein Online-Dienst, der Fahrzeuginserate privater Verkäufer analysiert und Verbesserungsvorschläge erstellt. Personenbezogene Daten verarbeiten wir, wenn du unsere Website aufrufst, das Check-Formular ausfüllst, eine Bestellung abschließt, fehlende Angaben auf unserer Antwortseite nachreichst oder uns per E-Mail schreibst.

Wir veröffentlichen deine Daten nicht, wir verkaufen sie nicht und wir geben sie nicht zu Werbezwecken an Dritte weiter. Nachfolgend beschreiben wir jeden Verarbeitungsvorgang mit Zweck, Rechtsgrundlage, Empfängern und Speicherdauer.

3. Aufruf der Website und Hosting

Unsere Anwendung wird gehostet bei der Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA. Vercel verarbeitet die Daten in unserem Auftrag.

Beim Aufruf der Website verarbeitet der Server automatisch Zugriffsdaten, die dein Browser übermittelt. Dazu können gehören: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Adresse, übertragene Datenmenge, Referrer sowie Angaben zu Browser und Betriebssystem. Zweck ist die sichere, stabile und funktionsfähige Bereitstellung der Website sowie die Auswertung der Systemsicherheit. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren Bereitstellung nach Art. 6 Abs. 1 lit. f DSGVO.

Schriften binden wir nicht von externen Servern ein: Sie werden zur Bauzeit in unsere Anwendung eingebettet und von unserer eigenen Domain ausgeliefert. Beim Aufruf der Website werden deshalb zur Laufzeit keine Google-Server kontaktiert. Beim regulären Aufruf unserer Seiten binden wir keine Werbe-, Tracking-, Schrift- oder sonstigen Drittmedien-Netzwerke ein, keine Webanalyse-Dienste und keine Fehlerdiagnose-Dienste Dritter. Wie oft unsere Seiten genutzt werden, zählen wir selbst auf unserem Server, ohne Cookies (Abschnitt „Zählung ohne Cookies“). Zum Schutz vor automatisierten Anfragen setzen wir auf dem Anfrageformular eine unsichtbare Bot-Erkennung ein; Einzelheiten dazu stehen im Abschnitt „Schutz vor automatisierten Anfragen“. Werden dir Bilder aus deinem eigenen Auftrag angezeigt, liefert unser Server sie über deinen persönlichen Link oder, bis zu 24 Stunden nach der Zahlung, auf der Bestätigungsseite im Browser, in dem du bezahlt hast, aus oder dein Browser lädt sie über kurzlebige, signierte Adressen unseres Speicherdienstleisters; Einzelheiten dazu stehen im Abschnitt „Datenbank, Speicher und Zugriffsschutz“.

4. Schutz vor automatisierten Anfragen

Wenn du das Anfrageformular absendest, prüfen wir, ob die Anfrage von einem Menschen stammt. Wir nutzen dafür Vercel BotID in der Stufe „Basic“, einen Dienst unseres Hosting-Anbieters Vercel Inc., der bereits im Abschnitt „Aufruf der Website und Hosting“ genannt ist. In dieser Stufe wertet Vercel die Anfrage selbst aus; ein weiterer Empfänger kommt dadurch nicht hinzu.

Die Prüfung läuft unsichtbar ab: Du musst kein Bilderrätsel lösen und keine Schaltfläche anklicken. Ausgewertet werden technische Merkmale deines Aufrufs, etwa Angaben deines Browsers und dessen Verhalten beim Absenden des Formulars. Wir verwenden diese Merkmale ausschließlich, um automatisierte Massenanfragen abzuwehren, und nicht, um dich wiederzuerkennen, ein Profil zu bilden oder Reichweite zu messen.

Für diese Prüfung kann der Dienst technisch notwendige Informationen kurzzeitig auf deinem Endgerät ablegen oder auslesen. Sie dienen allein der Erkennung automatisierter Zugriffe und werden nicht für andere Zwecke verwendet.

Ohne diesen Schutz könnten automatisierte Anfragen unsere Auswertungen in beliebiger Zahl auslösen. Jede Auswertung verursacht bei uns Kosten und Rechenzeit; ungebremster automatisierter Zugriff würde den Dienst für dich verlangsamen oder unbezahlbar machen. Die Prüfung ist deshalb erforderlich, damit wir den von dir angeforderten Dienst überhaupt bereitstellen können.

Rechtsgrundlage für die Verarbeitung ist unser berechtigtes Interesse an einem missbrauchsfreien und verfügbaren Dienst nach Art. 6 Abs. 1 lit. f DSGVO. Soweit dabei Informationen auf deinem Endgerät gespeichert oder ausgelesen werden, stützt sich das auf § 25 Abs. 2 Nr. 2 TDDDG: Die Speicherung ist unbedingt erforderlich, damit wir den ausdrücklich gewünschten Dienst bereitstellen können. Eine Einwilligung ist dafür nicht erforderlich.

Die Prüfung findet nur auf dem Anfrageweg statt. Wenn du unsere Seiten nur liest, läuft sie nicht.

5. Cookies und Speicherung auf deinem Endgerät

Wir setzen keine Tracking-, Analyse- oder Marketing-Cookies ein. Im normalen Betrieb gibt es die folgenden technisch erforderlichen Speicherungen auf Endgeräten, und keine davon dient der Reichweitenmessung oder Werbung:

• Cookies „acd_admin_session“ und „acd_admin_geraet“ (beide nur als httpOnly-Cookie, höchstens 90 Tage), kurze sessionStorage-Merker, ein Service Worker und auf Wunsch ein Push-Abo der Admin-App: ausschließlich für die Anmeldung im internen Adminbereich und für Mitteilungen an den Betreiber. Websitebesucherinnen und -besucher sind davon nicht betroffen.
• Cookie „acp_bericht_sitzung“: Nach einer bestätigten Zahlung setzen wir auf der Bestätigungsseite dieses technisch notwendige Cookie. Es sorgt dafür, dass nur der Browser, in dem du bezahlt hast, dort deinen fertigen Bericht bis zu 24 Stunden lang anzeigen kann. Es enthält nur eine verschlüsselte Auftragskennung mit Ablaufzeit.
• localStorage-Eintrag „acp_prefill_listing_url“: übernimmt den von dir eingegebenen Inserats-Link von der Startseite in das Formular. Der Eintrag wird sofort nach der Übernahme wieder gelöscht.
• sessionStorage-Eintrag „autocheck:report-upgrade-cancel“: merkt sich tabgebunden und für höchstens 2 Stunden, wohin du nach einer abgebrochenen Zahlung zurückkehren sollst.
• sessionStorage-Eintrag „autocheck:zahlung-fortsetzen“: merkt sich tabgebunden und für höchstens 60 Minuten deine Auftragskennung und das gewählte Paket, damit du eine abgebrochene Zahlung mit einem Klick fortsetzen kannst.
• Beim Absenden des Anfrageformulars können technisch notwendige Informationen der Bot-Erkennung hinzukommen, die ausschließlich der Abwehr automatisierter Anfragen dienen. Einzelheiten stehen im Abschnitt „Schutz vor automatisierten Anfragen“.

6. Rechtsgrundlage der Endgerätespeicherung und kein Einwilligungsbanner

Alle genannten Speicherungen sind unbedingt erforderlich, damit wir den von dir ausdrücklich gewünschten Dienst bereitstellen können. Die Speicherung auf deinem Endgerät stützt sich deshalb auf § 25 Abs. 2 Nr. 2 TDDDG; eine Einwilligung ist dafür nicht erforderlich.

Darüber hinaus speichern wir nichts dauerhaft auf deinem Gerät. Ist unser Dienst beim Absenden des Formulars ausnahmsweise nicht erreichbar, erhältst du eine Fehlermeldung und kannst es erneut versuchen; deine Eingaben bleiben dabei nur so lange erhalten, wie die Seite geöffnet ist.

Weil wir darüber hinaus keine einwilligungsbedürftigen Technologien einsetzen – insbesondere keine Webanalyse mit Cookies oder Gerätekennungen, keine Werbenetzwerke, keine externen Schriften und kein Zahlungsskript im Browser; die Bot-Erkennung auf dem Anfrageweg ist nach § 25 Abs. 2 Nr. 2 TDDDG unbedingt erforderlich und deshalb ebenfalls nicht einwilligungsbedürftig – benötigen wir kein Einwilligungsbanner.

7. Zählung ohne Cookies

Um zu verstehen, wie unser Angebot genutzt wird, zählen wir auf unserem eigenen Server, wie oft unsere Seiten aufgerufen werden, wie oft die Seite des Check-Formulars aufgerufen wird, wie viele kostenlose Checks entstehen und wie viele Käufe abgeschlossen werden.

Dafür setzen wir keine Cookies, speichern nichts auf deinem Gerät, lesen nichts von deinem Gerät aus und laden keine zusätzlichen Skripte oder Dienste Dritter. Gezählt wird nur anhand der Anfragen, die dein Browser beim Aufruf unserer Seiten und beim Absenden des Formulars ohnehin an unseren Server sendet, und anhand der Zahlungsbestätigung, die unser Zahlungsdienstleister an unseren Server sendet. Damit Aufrufe durch Suchmaschinen und andere automatische Programme nicht mitgezählt werden, prüfen wir dabei die Browserkennung (User-Agent), die jede dieser Anfragen ohnehin enthält; wir speichern sie dafür nicht.

Deine IP-Adresse verwenden und speichern wir für die Zählung nicht. Gespeichert werden nur vier Zahlen je Tag – Seitenaufrufe, Aufrufe der Formularseite, kostenlose Checks und Käufe; sie lassen keinen Rückschluss auf dich zu.

Rechtsgrundlage ist unser berechtigtes Interesse, unser Angebot zu verbessern und seinen Erfolg zu messen (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dieser Verarbeitung aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen (Art. 21 DSGVO).

8. Kontaktaufnahme

Wenn du uns per E-Mail (zum Beispiel an kontakt@autocheckdirekt.de) oder telefonisch kontaktierst, verarbeiten wir deine Angaben – insbesondere Name, Kontaktdaten und den Inhalt deiner Nachricht – zur Bearbeitung deiner Anfrage.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage auf einen Vertrag gerichtet ist, andernfalls unser berechtigtes Interesse an der Beantwortung von Anfragen nach Art. 6 Abs. 1 lit. f DSGVO.

9. Check-Formular und Auftragsdaten

Zur Durchführung des von dir angefragten Inserat-Checks verarbeiten wir die im Formular eingegebenen Daten. Zweck ist die Anbahnung und Durchführung des Vertrags; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Pflichtangaben sind Name, E-Mail-Adresse, dein Verkaufsziel, ob du privat oder gewerblich verkaufst, und – je nach gewähltem Weg – der Inserats-Link oder Marke und Modell. Ohne diese Angaben können wir den Check nicht durchführen. Alle übrigen Angaben sind freiwillig und verbessern lediglich die Aussagekraft der Analyse. Dazu gehört ein freiwilliges Feld für die Fahrzeug-Identifizierungsnummer (FIN). Die dort eingetragene FIN speichern wir zusammen mit deinem Auftrag; in die KI-gestützte Analyse geben wir sie nicht ein. Steht eine FIN dagegen in einem Freitext oder in deinem Inserat, wird sie als Teil dieses Textes mitverarbeitet. Du kannst die FIN auch aus einem Foto deines Fahrzeugscheins übernehmen. Die Texterkennung läuft dabei vollständig auf deinem Gerät: Das Foto wird weder an uns noch an andere übertragen und nicht gespeichert. Übernommen wird nur die FIN, die du bestätigst.

Fehlen für die Analyse Angaben, bitten wir dich, sie auf einer Antwortseite nachzureichen. Diese Antworten verarbeiten wir zum selben Zweck und auf derselben Rechtsgrundlage.

Verarbeitet werden je nach gewähltem Weg insbesondere:

• Kontaktdaten: Name, E-Mail-Adresse und – optional – Telefonnummer.
• Auftragsbezug: gewähltes Paket, gebuchte Zusatzleistungen, Verkaufsziel, Verkäuferart (privat oder gewerblich) und Inserats-Link.
• Fahrzeugangaben: Marke, Modell, Erstzulassung, Kilometerstand, Kraftstoff, Getriebe, Leistung, Farbe, ungefährer Standort, Preisvorstellung, Hauptuntersuchung, Anzahl der Vorbesitzer, Unfallstatus, Servicehistorie, Nichtraucher- und Tierfrei-Status, Reifen, bekannte Mängel und Ausstattung sowie – freiwillig – die Fahrzeug-Identifizierungsnummer.
• Inseratsinhalte: vorhandener Titel und Inseratstext sowie Freitextangaben.
• Bestätigungen: Kenntnisnahme der AGB und dieser Datenschutzerklärung sowie – bei kostenpflichtigen Bestellungen – die gesonderte Zustimmung zum vorzeitigen Leistungsbeginn.

10. Import öffentlich zugänglicher Inserate

Wenn du uns den Link zu deinem Inserat bereitstellst, übernehmen wir die für die Analyse benötigten Inhalte. Inserate von AutoScout24 und Kleinanzeigen ruft unser Server dafür automatisch ab. Inserate von mobile.de übernehmen wir von Hand (Abschnitt „Übernahme von mobile.de-Inseraten“).

Verarbeitet werden dabei insbesondere der Inseratstext, strukturierte Fahrzeugdaten, Ausstattung, Preis, Angaben zur Fahrzeughistorie, die Quelladresse und – in den Paketen Basic und Premium sowie im kostenlosen Kurzcheck – die Bilder der Inseratsgalerie. Im kostenlosen Kurzcheck übernehmen wir bis zu 20 Bilder aus deinem Inserat für eine vereinfachte Bildauswertung und zeigen eines davon als Vorschaubild im Ergebnis an. Bei Inseraten von mobile.de übernehmen wir im Kurzcheck nur ein Vorschaubild, um es anzuzeigen; eine Bildauswertung findet dort nicht statt.

Beim serverseitigen Abruf kann die aufgerufene Plattform technische Verbindungsdaten unseres Servers erhalten, zum Beispiel dessen IP-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

11. Übernahme von mobile.de-Inseraten

Inserate von mobile.de übernehmen wir in allen Paketen ohne Aufpreis von Hand. Eine Person aus unserem Team öffnet dein Inserat über den von dir übermittelten öffentlichen Link auf einem unserer Geräte und überträgt von dort die Inhalte dieser einen Seite an unseren Server. Übernommen werden die öffentlich sichtbaren Inhalte, die wir für die Analyse brauchen: Fahrzeugdaten, Beschreibung, Ausstattung, Preis und bei Basic und Premium die Bilder der Galerie, höchstens so viele, wie dein Paket auswertet; im kostenlosen Kurzcheck höchstens ein Vorschaubild. Die Bilder lädt dabei unser Gerät von mobile.de; unser Server selbst ruft mobile.de nicht auf.

Die übertragene Seite selbst speichern wir nicht. Bevor wir die übernommenen Texte speichern, entfernen wir daraus Telefonnummern, E-Mail-Adressen und Links. Für die Bilder gilt dieselbe Verarbeitung wie für alle Inseratsbilder: Metadaten werden entfernt, die Ablage erfolgt in privaten Speicherbereichen.

Wir benötigen dafür keine Zugangsdaten zu deinem mobile.de-Konto, melden uns nicht in deinem Konto an und verändern dein Inserat nicht. Eine allgemeine Sammlung von Inseraten legen wir nicht an; erfasst wird ausschließlich das Inserat deines Auftrags.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die erfassten Inhalte werden zusammen mit den übrigen Auftragsdaten gelöscht.

12. Bilder und Bildmetadaten

Für hochgeladene Bilder akzeptieren wir die Formate JPG, PNG und WebP mit höchstens 10 MB je Datei und höchstens 80 MB je Auftrag. Der kostenlose Kurzcheck wertet bis zu 20 Bilder vereinfacht aus, Basic bis zu 20 und Premium bis zu 30.

Jedes Bild – egal ob hochgeladen oder aus deinem Inserat importiert – wird vor der Speicherung serverseitig neu berechnet. Dabei werden die Bildmetadaten entfernt: EXIF-, GPS-, IPTC-, XMP- und ICC-Daten sind im gespeicherten Bild nicht mehr enthalten. Die Bildausrichtung bleibt korrekt. Eine Originaldatei mit Metadaten wird nicht gespeichert.

Eine automatische Erkennung oder Unkenntlichmachung von Kfz-Kennzeichen oder Gesichtern findet nicht statt. Bitte mache Kennzeichen und abgebildete Personen selbst unkenntlich, wenn du sie nicht übermitteln möchtest.

Die Bilder liegen in nicht öffentlich zugänglichen Speicherbereichen. Der interne Zugriff erfolgt ausschließlich serverseitig oder über kurzlebige, signierte Adressen. Eine Veröffentlichung der Bilder findet nicht statt.

In Basic und Premium zeigen wir dir in deinem Report die ausgewerteten Fotos deines Inserats, jeweils mit einer kurzen, KI-erstellten Rückmeldung. Im kostenlosen Kurzcheck zeigen wir die ausgewerteten Fotos nicht einzeln, sondern nur ein Vorschaubild. Die Fotos sind nur über deinen persönlichen Report-Link oder, bis zu 24 Stunden nach der Zahlung, auf der Bestätigungsseite im Browser, in dem du bezahlt hast, abrufbar und werden von unserem Server ausgeliefert.

In Basic und Premium prüfen wir die Fotos, die wir dir im Report zeigen, zusätzlich automatisch auf typische Aufnahmefehler, etwa zu Licht, Schärfe oder Bildausschnitt, und zeigen dir dazu kurze Hinweise. Dafür übermitteln wir diese Fotos in einem eigenen Aufruf an OpenAI. Mit den Fotos geht nur eine feste Arbeitsanweisung mit der Zahl der Fotos an OpenAI – kein Inseratstext und keine Angaben wie Name, E-Mail-Adresse oder Auftragskennung. Die Antwort von OpenAI selbst speichern wir nicht. Wir speichern, ob die Prüfung gelungen ist und welche unserer vorformulierten Hinweise zu welchem Foto gehören. Diese Angaben gehören zu deinem Report und werden mit ihm gelöscht (Abschnitt „Speicherdauer und Löschung“). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; im Übrigen gilt der Abschnitt „KI-gestützte Analyse (OpenAI)“.

Im kostenlosen Kurzcheck bilden wir aus bis zu 20 Bildern deines Inserats eine vereinfachte Fotonote, die in die Gesamtnote des Kurzchecks einfließt. Dafür übermitteln wir diese Bilder in einem eigenen Aufruf an OpenAI. Mit den Bildern geht nur eine feste Arbeitsanweisung mit der Zahl der Bilder an OpenAI – kein Inseratstext und keine Angaben wie Name, E-Mail-Adresse oder Auftragskennung. Die Antwort von OpenAI selbst speichern wir nicht. Wir speichern nur, welche Fassung unserer Auswertung und welches Modell wir genutzt haben, ob die Auswertung gelungen ist (und falls nicht, eine kurze technische Begründung), die Zahl der ausgewerteten Bilder, die Teilnoten, wie viele der von uns vorgegebenen Ansichten erkannt wurden, ob die Bilder insgesamt kaum erkennbar waren, und die daraus berechneten Noten; die Bilder selbst speichern wir wie alle Inseratsbilder (siehe oben). Diese Angaben gehören zu deinem Report und werden mit ihm gelöscht (Abschnitt „Speicherdauer und Löschung“). Bei Inseraten von mobile.de findet diese Auswertung nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; im Übrigen gilt der Abschnitt „KI-gestützte Analyse (OpenAI)“.

13. KI-gestützte Analyse (OpenAI)

Die Analyse und die Textvorschläge werden ganz oder überwiegend KI-gestützt erzeugt. Dafür übermitteln wir die für den Check erforderlichen Inhalte an die Programmierschnittstelle von OpenAI. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Bei dieser Übermittlung können die Inhalte auch außerhalb des Europäischen Wirtschaftsraums verarbeitet werden, insbesondere in den USA. Unser Vertragspartner ist die OpenAI Ireland Ltd. Überträgt sie Daten an verbundene Unternehmen oder Dritte außerhalb des Europäischen Wirtschaftsraums, stützt sich das auf die Standardvertragsklauseln der Europäischen Kommission oder auf einen Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Einzelheiten stehen in den Abschnitten „Empfänger und externe Dienstleister“ und „Übermittlung in Drittländer“.

Wir übermitteln dabei weder deinen Namen noch deine E-Mail-Adresse, deine Telefonnummer oder unsere interne Auftragskennung. Aus Inseratstexten und Freitextangaben entfernen wir Kontaktdaten serverseitig, bevor etwas übermittelt wird. Eine Ausnahme betrifft die ergänzende Websuche: Für diesen Rückfallweg bleibt die öffentliche Adresse deines Inserats erhalten.

Jeder Aufruf erfolgt mit der Einstellung „store: false“, sodass die Anfragen nicht dauerhaft in unserem OpenAI-Konto gespeichert werden. Unabhängig davon kann OpenAI den Inhalt einer Anfrage – auch übermittelte Fotos – technisch zwischenspeichern und bei einer gleichen Anfrage darauf zurückgreifen; wie lange, legt OpenAI fest. Nach der Dokumentation von OpenAI werden über die Schnittstelle übermittelte Inhalte nicht zum Training der Modelle verwendet; OpenAI kann Inhalte jedoch für einen begrenzten Zeitraum von bis zu 30 Tagen zur Erkennung und Verhinderung von Missbrauch vorhalten. Eine Vereinbarung über eine vollständige Nichtspeicherung (Zero Data Retention) setzen wir nicht als bestehend voraus.

Kurzcheck und Basic werden vollautomatisiert erstellt. Bei Premium wird zusätzlich die Preiseinschätzung manuell erstellt beziehungsweise ergänzt; die übrigen Reportbestandteile werden auch dort automatisiert erzeugt. Eine ausschließlich automatisierte Entscheidung im Einzelfall mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne des Art. 22 DSGVO findet nicht statt: Unsere Analyse entscheidet nichts über dich, sondern liefert dir eine unverbindliche Einschätzung zu deinem Fahrzeuginserat, über deren Verwendung du selbst entscheidest.

An folgenden Stellen kennzeichnen wir zusätzlich maschinenlesbar, dass der Inhalt KI-erzeugt ist. Die Reportseite, das PDF des Reports und die Seite nach der Zahlung senden die Kopfzeile „X-AI-Generated-Content“. Die Reportseite und die Seite nach der Zahlung tragen zusätzlich im Seitenkopf die Angabe „ai-generated-content“. Das PDF des Reports enthält in seinen Metadaten den IPTC-Wert „trainedAlgorithmicMedia“ für KI-erzeugte Inhalte. Die Beschreibung in Basic und Premium endet in der Reportansicht, im Kopiertext und im PDF mit dem Satz „Bei diesem Inserat wurde KI verwendet.“ Diese Angaben sind feste Werte und enthalten keine Daten über dich.

14. Werksdaten zur Fahrzeug-Identifizierungsnummer (One Auto API)

Buchst du Basic oder Premium und gibst eine Fahrzeug-Identifizierungsnummer (FIN) an, fragen wir damit bei der One Auto API Limited, 3b Swallowfield Courtyard, Wolverhampton Road, Oldbury, West Midlands, B69 2JG, Vereinigtes Königreich, die Werksdaten des Herstellers zu diesem Fahrzeug ab – etwa die Ausstattung ab Werk. Zweck ist, die Angaben deines Inserats mit den Angaben des Herstellers abzugleichen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Angabe der FIN ist freiwillig. Ohne sie und beim kostenlosen Kurzcheck findet keine Abfrage statt.

Übermittelt wird ausschließlich die FIN – weder dein Name noch deine E-Mail-Adresse, deine Telefonnummer oder unsere interne Auftragskennung. Die One Auto API Limited verarbeitet die FIN weisungsgebunden für uns. Für die Abfrage gibt sie die FIN an ihre Datenpartner im Vereinigten Königreich und in der Europäischen Union weiter; zum Abruf der Werksdaten erhält sie auch der jeweilige Fahrzeughersteller, dem die FIN aus der Herstellung bereits bekannt ist.

Aus der Antwort übernehmen wir nur die Angaben, die wir für dein Ergebnis ableiten; die ursprüngliche Antwort des Anbieters bewahren wir nicht auf. Die abgeleiteten Angaben – nie die FIN – fließen in die KI-gestützte Analyse ein. Sie gehören zu deinem Auftrag; es gelten die Fristen im Abschnitt „Speicherdauer und Löschung“.

Die abgeleiteten Werksangaben – etwa die Ausstattung ab Werk, ohne deinen Namen, deine Kontaktdaten oder sonstige Angaben zu deinem Auftrag – bewahren wir außerdem bis zu 12 Monate nach der Abfrage auf. Wir speichern sie unter einem Prüfwert, den wir mit einem geheimen Schlüssel aus der FIN bilden; die FIN selbst speichern wir dafür nicht. Geht in dieser Zeit erneut ein Auftrag mit derselben FIN ein – auch von einer anderen Person –, verwenden wir diese Angaben, statt die Werksdaten noch einmal abzufragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, wiederholte kostenpflichtige Abfragen zu vermeiden und zum selben Fahrzeug gleichbleibende Werksangaben zu liefern.

Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO.

15. Erstellung und Bereitstellung des Ergebnisses

Aus der Analyse erstellen wir deinen Report und – im Paket Premium – ein PDF. Im Premium-Paket erstellen beziehungsweise ergänzen wir zusätzlich die Preiseinschätzung manuell; dabei können interne Notizen und Bearbeitungsstände entstehen. Die übrigen Reportbestandteile werden auch bei Premium automatisiert erzeugt.

Den Report rufst du über einen persönlichen Link ab. Von dem darin enthaltenen Zugriffsschlüssel speichern wir ausschließlich einen SHA-256-Hashwert, nicht den Schlüssel selbst. Die Gültigkeit beträgt 90 Tage und wird in der Datenbank durchgesetzt.

Bevor wir dein Ergebnis speichern und dir zustellen, prüfen wir die erzeugten Texte automatisch auf Kontaktangaben – etwa Telefonnummern und E-Mail-Adressen – und schwärzen sie gegebenenfalls. Dabei wird nichts verworfen: Der Report entsteht und wird zugestellt, lediglich die betroffene Stelle wird unkenntlich gemacht.

Das Kunden-PDF wird serverseitig ausgeliefert und niemals über eine Speicheradresse verlinkt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Eine darüber hinausgehende Auswertung deiner Angaben – etwa zu Werbe- oder Trainingszwecken – findet nicht statt. Für unsere Statistik zählen wir nur, wie viele kostenlose Checks und Käufe es gibt, ohne Bezug zu deiner Person (Abschnitt „Zählung ohne Cookies“).

16. Zahlungsabwicklung (Stripe)

Für kostenpflichtige Bestellungen wickeln wir die Bezahlung über Stripe ab. Zuständig sind die Stripe Payments Europe, Limited und die Stripe Technology Europe, Limited, One Wilton Park, Dublin 2, D02 FX04, Irland.

Nach deinem Klick auf „Weiter zur sicheren Zahlung“ erstellen wir serverseitig eine Zahlungssitzung und leiten dich auf die von Stripe gehostete Bezahlseite weiter. Die Eingabe und Verarbeitung von Zahlungsmitteldaten erfolgt ausschließlich bei Stripe; wir speichern keine vollständigen Kartendaten. Ein Zahlungsskript von Stripe wird auf unserer Website nicht eingebunden.

Zur Zuordnung der Zahlung übermitteln wir an Stripe die dafür erforderlichen Angaben, insbesondere deine E-Mail-Adresse, den Betrag und eine interne Vorgangskennung. Stripe teilt uns – auch über eine signaturgeprüfte serverseitige Benachrichtigung – den Zahlungs- und Rückerstattungsstatus sowie technische Zahlungskennungen, Betrag und Währung mit. Diese Angaben speichern wir beim jeweiligen Vorgang.

Rechtsgrundlagen sind die Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO), die Erfüllung gesetzlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO) sowie unser berechtigtes Interesse an sicherer Zahlungsabwicklung und Betrugsprävention (Art. 6 Abs. 1 lit. f DSGVO). Der kostenlose Kurzcheck löst keine Zahlung und keine Übermittlung an Stripe aus.

17. E-Mail-Versand

Für den Versand transaktionaler E-Mails – Bestellbestätigung, Bereitstellung des Reports, Eingangsbestätigung eines Widerrufs und interne Benachrichtigungen – setzen wir die Plus Five Five, Inc. („Resend“), 2261 Market Street #5039, San Francisco, CA 94114, USA ein.

Verarbeitet werden dabei die für den Versand erforderlichen Daten, insbesondere deine E-Mail-Adresse, dein Name und der Inhalt der jeweiligen Nachricht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für vertragsbezogene Nachrichten und Art. 6 Abs. 1 lit. f DSGVO für interne Benachrichtigungen zur zeitnahen Bearbeitung.

Zu jeder versendeten Vertragsbestätigung speichern wir zusätzlich die technische Nachrichtenkennung des Versanddienstleisters und dessen Zustellmeldung – also ob die Nachricht dem Mailserver deines Anbieters übergeben, vorübergehend verzögert oder dauerhaft abgewiesen wurde. Wir brauchen diese Angabe, weil unsere Bestätigung zugleich die Vertragsannahme ist: Erreicht sie dich nicht, kommt kein kostenpflichtiger Vertrag zustande und wir erstatten den gezahlten Betrag. Inhalte deiner Rückmeldungen an den Versanddienstleister und Fehlertexte speichern wir dabei nicht. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. c DSGVO.

Auch zu jeder E-Mail, mit der wir dir deinen Report bereitstellen, speichern wir die Nachrichtenkennung und die Zustellmeldung. So merken wir, wenn dein Report dich nicht erreicht hat, und können uns darum kümmern.

Wir werten nicht aus, ob du eine E-Mail geöffnet oder einen Link darin angeklickt hast.

Wir versenden keine Werbe-E-Mails und keinen Newsletter. Deshalb gibt es in unseren E-Mails keinen Abmeldelink.

18. Bestellnachweise und Widerruf

Zum Nachweis der gesetzlich vorgeschriebenen Bestellangaben speichern wir, welche Erklärung du wann bestätigt hast – die AGB-Anerkennung und, sofern gesetzt, die gesonderte Zustimmung zum vorzeitigen Leistungsbeginn – jeweils mit dem Zeitpunkt. Bei einer kostenpflichtigen Bestellung im Formular speichern wir dazu die geltende Fassung der AGB, der Widerrufsbelehrung und der Erstattungsregeln; beim Upgrade im Report speichern wir nur deine Zustimmung zum vorzeitigen Leistungsbeginn mit dem Zeitpunkt.

Erklärst du den Widerruf über die elektronische Widerrufsfunktion, speichern wir deine Erklärung, den serverseitig erfassten Zeitpunkt des Zugangs und eine Vorgangskennung und senden dir eine Eingangsbestätigung per E-Mail.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. c DSGVO (Erfüllung gesetzlicher Nachweis- und Informationspflichten) und Art. 6 Abs. 1 lit. b DSGVO.

19. Datenbank, Speicher und Zugriffsschutz

Datenbank und Dateispeicher betreiben wir bei der Supabase Pte. Ltd, 65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513. Grundlage ist der Auftragsverarbeitungsvertrag von Supabase; für Übermittlungen in Drittländer sind darin die Standardvertragsklauseln der EU-Kommission vereinbart.

Besucherinnen und Besucher der Website erhalten keinen direkten Zugriff auf die Datenbank. Zugriffe der Anwendung erfolgen serverseitig; die Tabellen sind zusätzlich durch Zugriffskontrollen auf Zeilenebene geschützt, die keine Freigaben für nicht angemeldete oder angemeldete Besucher vorsehen. Die Speicherbereiche für Dateien sind nicht öffentlich; Zugriffe laufen über kurzlebige, signierte Adressen.

Zur Abwehr von Missbrauch und zur Begrenzung der Anfragehäufigkeit verarbeiten wir technische Merkmale wie IP-Adresse und Zeitpunkt. Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit und Verfügbarkeit des Dienstes nach Art. 6 Abs. 1 lit. f DSGVO.

20. Empfänger und externe Dienstleister

Für den Betrieb unseres Dienstes arbeiten wir mit den folgenden externen Dienstleistern zusammen. Vercel, Supabase, OpenAI, Resend und One Auto API verarbeiten die Daten weisungsgebunden für uns. Stripe verarbeitet einen Teil der Zahlungsdaten weisungsgebunden für uns, entscheidet aber über bestimmte Verarbeitungen – etwa zur Betrugsprävention und zur Erfüllung eigener aufsichtsrechtlicher Pflichten – eigenverantwortlich; Einzelheiten dazu findest du in der Datenschutzerklärung von Stripe.

• Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA – Hosting der Anwendung.
• Supabase Pte. Ltd, 65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513 – Datenbank und Dateispeicher.
• OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland; technisch verarbeitend die OpenAI OpCo, LLC, 1455 3rd Street, San Francisco, CA 94158, USA – KI-gestützte Analyse.
• Plus Five Five, Inc. („Resend“), 2261 Market Street #5039, San Francisco, CA 94114, USA – Versand transaktionaler E-Mails.
• One Auto API Limited, 3b Swallowfield Courtyard, Wolverhampton Road, Oldbury, West Midlands, B69 2JG, Vereinigtes Königreich – Abfrage von Werksdaten des Herstellers anhand der Fahrzeug-Identifizierungsnummer.
• Stripe Payments Europe, Limited und Stripe Technology Europe, Limited, One Wilton Park, Dublin 2, D02 FX04, Irland – Zahlungsabwicklung.

21. Taunus Auto Vermittlung

Taunus Auto Vermittlung ist eine gesonderte Leistung desselben Unternehmens. Eine Kontaktaufnahme erfolgt nur, wenn du selbst danach fragst.

Es handelt sich nicht um ein fremdes Partnerunternehmen und damit nicht um eine Weitergabe deiner Daten an einen Dritten. Wir sprechen dich nicht von uns aus dazu an, wir holen dafür keine Werbeeinwilligung ein und wir versenden dazu keine Werbe-E-Mails.

22. Übermittlung in Drittländer

Ein Teil unserer Dienstleister sitzt außerhalb der Europäischen Union oder kann dort verarbeiten. Wir beschreiben deshalb für jeden Empfänger, worauf sich die Übermittlung stützt.

Vercel und Resend sitzen in den USA. Soweit ein Empfänger nach dem EU-US Data Privacy Framework zertifiziert ist, besteht ein Angemessenheitsbeschluss der Europäischen Kommission; den aktuellen Zertifizierungsstand kannst du unter dataprivacyframework.gov nachsehen. Andernfalls stützen wir die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Supabase ist eine Gesellschaft mit Sitz in Singapur. Für Singapur besteht kein Angemessenheitsbeschluss der Europäischen Kommission. Die Übermittlung stützt sich deshalb auf die Standardvertragsklauseln, die Bestandteil des mit Supabase geschlossenen Auftragsverarbeitungsvertrags sind. Die Daten werden in der von uns gewählten Region gespeichert; unabhängig davon kann ein Zugriff aus Singapur oder aus den USA nicht ausgeschlossen werden, weshalb die Standardvertragsklauseln auch diesen Fall abdecken.

OpenAI ist uns gegenüber über die OpenAI Ireland Ltd. mit Sitz in Irland vertraglich verbunden; technisch kann eine Verarbeitung in den USA erfolgen. Überträgt die OpenAI Ireland Ltd. Daten an verbundene Unternehmen oder Dritte außerhalb des Europäischen Wirtschaftsraums, stützt sich das auf die Standardvertragsklauseln der Europäischen Kommission oder auf einen Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO).

Die One Auto API Limited sitzt im Vereinigten Königreich. Dafür besteht ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO (siehe „Werksdaten zur Fahrzeug-Identifizierungsnummer (One Auto API)“).

Die für die Zahlungsabwicklung zuständigen Stripe-Gesellschaften sitzen in Irland. Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums ist möglich und erfolgt dann auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO.

Eine Kopie der jeweils vereinbarten Garantien stellen wir dir, soweit sie uns vorliegen, auf Anfrage an kontakt@autocheckdirekt.de zur Verfügung.

23. Speicherdauer und Löschung

Wir verarbeiten personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist. Danach löschen wir sie. Es gelten folgende Fristen:

• Report, PDF, Hashwert des Zugriffsschlüssels, Bilder, Inserats-Snapshots, Vergleichsinserate und Analyseartefakte: 90 Tage nach der endgültigen Bereitstellung des Reports; stellen wir keinen Report bereit, 90 Tage nach Eingang deines Auftrags.
• Abgeleitete Werksangaben zu einer FIN (ohne Bezug zu dir oder deinem Auftrag): 12 Monate nach der Abfrage.
• Daten zur Missbrauchserkennung und zur Begrenzung der Anfragehäufigkeit: 30 Tage.
• Unbezahlte, verwaiste Uploads: 30 Tage.
• Technische Zustellereignisse deiner Vertragsbestätigung (siehe „E-Mail-Versand“): 90 Tage.
• Allgemeine Auftragsdaten ohne Zahlungsbezug: bis zum Ablauf des dritten auf den Vertragsabschluss folgenden Kalenderjahres.
• Nachweis über Vertragsschluss, Zustellung der Vertragsbestätigung, Zustimmung zum vorzeitigen Leistungsbeginn sowie über einen erklärten Widerruf: bis zum Ablauf der gesetzlichen Verjährungs- und Nachweisfristen.
• Bezahlte Aufträge: Aufbewahrt werden die steuerlich erforderlichen Angaben – insbesondere Betrag, Datum, Steuerausweis und Zahlungsreferenz. Buchungsbelege bewahren wir 8 Jahre auf, Handels- und Geschäftsbriefe 6 Jahre, Bücher und Abschlüsse 10 Jahre (§ 147 AO, § 257 HGB). Reportinhalte, Bilder und Fahrzeugfreitexte gehören nicht dazu und werden nach den oben genannten Fristen gelöscht. Rechtsgrundlage ist insoweit Art. 6 Abs. 1 lit. c DSGVO.

24. Daten dritter Personen

Zwei Arten fremder Daten können bei uns ankommen, ohne dass wir sie bei den betroffenen Personen selbst erhoben haben. Wir behandeln sie getrennt, weil sich die Informationspflichten unterscheiden.

Erstens: In Bildern, die du hochlädst oder die aus deinem Inserat stammen, können zufällig Personen abgebildet oder Kfz-Kennzeichen sichtbar sein. Wir verarbeiten sie ausschließlich zur Erstellung deines Reports, veröffentlichen sie nicht und löschen sie zusammen mit den übrigen Auftragsdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Analyse des Bildmaterials, das dein Inserat tatsächlich zeigt. Eine unmittelbare Benachrichtigung dieser Personen ist uns nicht möglich, weil wir weder ihre Identität noch Kontaktdaten kennen und auch nicht ermitteln; wir informieren deshalb über diesen Abschnitt (Art. 14 Abs. 5 lit. b DSGVO).

Zweitens: Bei den für Premium recherchierten Vergleichsinseraten stammen die Angaben von anderen Anbietern. Hier setzen wir zuerst bei der Datenmenge an: Wir übernehmen ausschließlich Fahrzeug- und Preisangaben sowie die öffentliche Adresse des Inserats. Kontaktdaten übernehmen wir nicht, und Beschreibungstexte werden vor der Speicherung automatisch um Telefonnummern, E-Mail-Adressen und vergleichbare Angaben bereinigt. Bleibt danach überhaupt ein Personenbezug, informieren wir ebenfalls über diesen Abschnitt.

Anders liegt es bei der Übernahme deines mobile.de-Inserats: Dort geht es um dein eigenes Inserat. Die dabei verarbeiteten Verkäuferangaben sind deine eigenen; sie stammen von dir und fallen nicht unter Art. 14 DSGVO.

Bilder fremder Inserate laden wir nicht herunter.

Bitte reiche keine Inhalte ein, an denen du nicht berechtigt bist, und mache Kennzeichen und abgebildete Personen unkenntlich, wenn du sie nicht übermitteln möchtest.

25. Keine besonderen Datenkategorien

Für unsere Leistung benötigen wir keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO und keine Ausweisdokumente. Bitte reiche solche Inhalte nicht ein.

26. Rechtsgrundlagen im Überblick

Die von uns herangezogenen Rechtsgrundlagen sind:

• Art. 6 Abs. 1 lit. b DSGVO – Anbahnung und Durchführung des Vertrags: Formular, Inseratsimport, Bildverarbeitung, KI-Analyse, Report, Zahlung und vertragsbezogene E-Mails.
• Art. 6 Abs. 1 lit. c DSGVO – gesetzliche Nachweis-, Informations- und Aufbewahrungspflichten.
• Art. 6 Abs. 1 lit. f DSGVO – sichere und stabile Bereitstellung, Schutz vor missbräuchlicher Nutzung, die Wiederverwendung abgeleiteter Werksangaben zu derselben FIN sowie die Zählung ohne Cookies.
• § 25 Abs. 2 Nr. 2 TDDDG – unbedingt erforderliche Speicherung auf deinem Endgerät.

27. Deine Rechte

Du hast im Rahmen der gesetzlichen Voraussetzungen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO) sowie ein Widerspruchsrecht gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO).

Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Zur Ausübung deiner Rechte genügt eine Nachricht an kontakt@autocheckdirekt.de.

28. Beschwerderecht bei der Aufsichtsbehörde

Dir steht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu. Die für uns zuständige Behörde ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Wilhelmstraße 7, 65185 Wiesbaden (Postfach 3163, 65021 Wiesbaden). Telefon: 0611 1408-0. E-Mail: poststelle@datenschutz.hessen.de.

29. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Datenverarbeitung ändert oder neue gesetzliche Vorgaben dies erfordern.

Es gilt die jeweils auf dieser Seite veröffentlichte Fassung. Die vorliegende Fassung trägt die Kennung 2026-10-31.