m1d1Datenschutzerklärung
1. Verantwortlicher
hellerbit technologies UG (haftungsbeschränkt)
Zisthof 1
82377 Penzberg
Deutschland
Vertreten durch: Dr. Stephan Hellerbrand
E-Mail: info@hellerbit.com
Handelsregister: AG München, HRB 234286
2. Übersicht der Verarbeitungen
m1d1.app („die App“) ist eine Webanwendung zur Organisation des Verleihens von Gegenständen unter Privatpersonen und Organisationen (z. B. Vereinen). Nutzer erstellen Kreise, stellen Gegenstände ein und wickeln Ausleihen mit Fotodokumentation ab. Organisationen können registriert werden und sind sofort nutzbar; der Betreiber kann eine Organisation optional verifizieren.
Wir verarbeiten personenbezogene Daten ausschließlich, soweit dies für die Bereitstellung der App und ihrer Funktionen erforderlich ist.
3. Rechtsgrundlagen
| Verarbeitung | Rechtsgrundlage |
|---|---|
| Registrierung, Kontoverwaltung, Ausleihabwicklung | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Aufbewahrung der Dokumentation abgeschlossener Leihen (Name der Beteiligten sowie Abhol- und Rückgabefotos) über die Kontolöschung hinaus | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des jeweils anderen Beteiligten an einem nachvollziehbaren Beleg der Transaktion und des Zustands des Gegenstands) sowie Art. 17 Abs. 3 lit. e DSGVO (Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen) |
| Registrierung von Organisationen und Verarbeitung der Daten der vertretungsberechtigten Person | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Vertrauen und Schutz vor Identitätsmissbrauch) |
| Optionale Verifizierung von Organisationen | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) |
| Anmeldung über Google oder Microsoft SSO | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) |
| KI-Fotoanalyse („Schnell hinzufügen“) | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, nutzerseitig ausgelöst) |
| Sicherheitsprotokolle, Missbrauchsprävention | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) |
| E-Mail-Benachrichtigungen | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
4. Erhobene Daten im Detail
4.1 Kontodaten
Bei der Registrierung: E-Mail-Adresse, Anzeigename, Passwort (als kryptografischer Hash gespeichert). Bei SSO-Anmeldung: E-Mail-Adresse und Name vom Identitätsanbieter.
4.2 Profildaten
Profilbild (optional), Spracheinstellung, Benachrichtigungseinstellungen, 2FA-Status.
4.3 Inhaltsdaten
Gegenstände (Titel, Beschreibung, Kategorie, Standort, Zustandsnotizen), Fotos von Gegenständen, Abhol- und Rückgabefotos, Ausleihanfragen und -nachrichten.
4.4 Nutzungsdaten
Ausleihverlauf, Kreismitgliedschaften, Benachrichtigungsverlauf.
4.5 Technische Daten
IP-Adresse, Browser-Typ und -Version, Betriebssystem, Zeitstempel der Zugriffe. Diese Daten werden in Server-Protokollen erfasst und dienen der Sicherheit und Fehleranalyse.
4.6 KI-Fotoanalyse
Wenn du die Funktion „Schnell hinzufügen“ nutzt, wird ein Foto an einen KI-Dienst (Scaleway, EU) übermittelt, um Titel, Beschreibung und Kategorie vorzuschlagen. Das Foto wird nur für die Analyse übertragen und nicht dauerhaft beim KI-Anbieter gespeichert. Die Nutzung ist freiwillig und wird nur bei aktiver Auslösung durch den Nutzer durchgeführt.
4.7 Organisationsdaten
Bei der Registrierung einer Organisation verarbeiten wir folgende Daten zur Organisation: Name, offizieller Name, Rechtsform, Registerbehörde und Registernummer, offizielle Anschrift, Kontakt-E-Mail, Telefonnummer und Webseite. Zusätzlich verarbeiten wir Name und Funktion der vertretungsberechtigten Person. Dabei handelt es sich um eine natürliche Person, die eine andere als die Kontoinhaberin bzw. der Kontoinhaber sein kann; soweit wir diese Daten aus einer anderen Quelle als von der vertretungsberechtigten Person selbst erhalten, gelten die Informationspflichten des Art. 14 DSGVO.
Eine öffentliche Identitätsauswahl – Name der Organisation, Rechtsform, Ort und Land, Webseite, Name und Funktion der vertretungsberechtigten Person sowie der Verifizierungsstatus – wird anderen Nutzern angezeigt, wo die Organisation erscheint (etwa in einem gemeinsamen Kreis), damit Mitglieder einschätzen können, mit wem sie teilen. Die Kontaktdaten der Organisation (Anschrift, E-Mail, Telefon) und die Registerangaben dienen der Prüfung und sind nur für Administratoren sichtbar.
5. Auftragsverarbeiter und Drittanbieter
| Anbieter | Zweck | Standort |
|---|---|---|
| DigitalOcean, LLC | Server-Infrastruktur (Hosting) | Frankfurt, Deutschland (EU) |
| Scaleway SAS | KI-Inferenz für Fotoanalyse | EU |
| Google Ireland Ltd. | OAuth-Authentifizierung (optional) | Irland (EU); Datenverarbeitung möglicherweise auch USA |
| Microsoft Ireland Operations Ltd. | OAuth-Authentifizierung (optional) | Irland (EU); Datenverarbeitung möglicherweise auch USA |
| E-Mail-Dienstleister (SMTP) | Versand von Benachrichtigungs-E-Mails | Gemäß Konfiguration des Betreibers |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung für kostenpflichtige Abonnements | Irland (EU) |
Bei kostenpflichtigen Abonnements werden Abrechnungsdaten (Name, E-Mail-Adresse, Rechnungsanschrift und Zahlungsdaten) von unserem Zahlungsdienstleister Stripe in unserem Auftrag als Auftragsverarbeiter verarbeitet. Verkäufer und Vertragspartner sind wir; wir stellen die Rechnung und führen die Umsatzsteuer ab. Stripe kann Daten an Stripe, Inc. (USA) auf Grundlage von Standardvertragsklauseln übermitteln. Bei Zahlung per SEPA-Lastschrift werden hierfür deine IBAN und Mandatsdaten durch Stripe verarbeitet. Vollständige Zahlungsdaten (z. B. Kartennummern) werden von uns nicht gespeichert.
Alle Schriftarten und statischen Ressourcen werden von unseren eigenen Servern ausgeliefert; es wird kein externes Content-Delivery-Network (CDN) verwendet.
6. Datenübermittlung in Drittländer
Die Kerndatenverarbeitung (Hosting, Datenbank, Medienablage, KI-Inferenz) erfolgt ausschließlich innerhalb der EU.
Bei der Nutzung von Google- oder Microsoft-SSO können Daten im Rahmen des Authentifizierungsvorgangs an Server in den USA übermittelt werden. Google und Microsoft stellen die Übermittlung auf Grundlage von EU-Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO sicher. Die Nutzung von SSO ist freiwillig; eine Registrierung mit E-Mail und Passwort ist jederzeit möglich.
7. Cookies und lokale Speicherung
| Name / Typ | Zweck | Speicherdauer | Kategorie |
|---|---|---|---|
| Refresh-Token (httpOnly Cookie) | Authentifizierung, automatische Token-Erneuerung | 7 Tage | Technisch notwendig |
leihkatalog_lang (localStorage) | Spracheinstellung des Nutzers | Unbegrenzt / bis Löschung | Technisch notwendig |
leihkatalog_theme_mode (localStorage) | Hell-/Dunkelmodus-Einstellung | Unbegrenzt / bis Löschung | Technisch notwendig |
Es werden keine Tracking-Cookies, Analyse-Tools oder Werbe-Tracker eingesetzt.
8. Aufbewahrungsfristen
| Datenart | Aufbewahrung |
|---|---|
| Kontodaten | Bis zur Kontolöschung durch den Nutzer |
| Organisationsdaten | Bis zur Löschung der Organisation durch eine Organisationsadministratorin bzw. einen Organisationsadministrator |
| Gegenstände und Fotos von Gegenständen | Bis zur Löschung des Gegenstands oder des Kontos |
| Ausleihverlauf (Vorgänge ohne tatsächliche Übergabe: Anfragen, abgelehnte oder stornierte Vorgänge) | Bis zur Kontolöschung; danach anonymisiert („Deleted User“) |
| Dokumentation abgeschlossener Leihen (Name der Beteiligten sowie Abhol-/Rückgabefotos) | Bleibt auch nach der Kontolöschung erhalten, solange der Leih-Datensatz besteht, und ist nur für den jeweils anderen Beteiligten der betreffenden Leihe sichtbar |
| Server-Protokolle (IP, User Agent) | 90 Tage |
Bei Löschung des Kontos werden die personenbezogenen Daten unverzüglich gelöscht bzw. anonymisiert. Hiervon ausgenommen ist die Dokumentation bereits abgeschlossener Leihen: Damit der jeweils andere Beteiligte einen abgewickelten Vorgang und den Zustand des Gegenstands weiterhin belegen kann, bleiben bei diesen Leihen der Name der Beteiligten und die Abhol-/Rückgabefotos erhalten und werden ausschließlich dem anderen Beteiligten dieser Leihe angezeigt. Die Kontolöschung kann jederzeit in den Profileinstellungen der App vorgenommen werden.
9. Automatisierte Entscheidungsfindung
Die KI-Fotoanalyse („Schnell hinzufügen“) schlägt Titel, Beschreibung und Kategorie für Gegenstände vor. Diese Vorschläge sind unverbindlich und können vom Nutzer jederzeit geändert oder verworfen werden. Die optionale Verifizierung von Organisationen erfolgt manuell durch eine Administratorin bzw. einen Administrator und ist keine Voraussetzung für die Nutzung. Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt, die rechtliche Wirkung gegenüber dem Nutzer entfaltet.
10. Deine Rechte
Du hast gemäß der DSGVO folgende Rechte:
- Auskunft (Art. 15 DSGVO) – Du kannst Auskunft über deine gespeicherten Daten verlangen.
- Berichtigung (Art. 16 DSGVO) – Du kannst die Berichtigung unrichtiger Daten verlangen.
- Löschung (Art. 17 DSGVO) – Du kannst die Löschung deiner Daten verlangen. Die Kontolöschung ist direkt in der App möglich. Ausgenommen bleibt die Dokumentation bereits abgeschlossener Leihen (Name der Beteiligten und Abhol-/Rückgabefotos): Diese bleibt auf Grundlage des berechtigten Interesses des jeweils anderen Beteiligten (Art. 6 Abs. 1 lit. f, Art. 17 Abs. 3 lit. e DSGVO) erhalten und ist nur diesem sichtbar.
- Einschränkung (Art. 18 DSGVO) – Du kannst die Einschränkung der Verarbeitung verlangen.
- Datenübertragbarkeit (Art. 20 DSGVO) – Du kannst verlangen, deine Daten in einem strukturierten Format zu erhalten.
- Widerspruch (Art. 21 DSGVO) – Du kannst der Verarbeitung auf Grundlage berechtigter Interessen widersprechen.
- Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) – Erteilte Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden.
Zur Ausübung deiner Rechte wende dich bitte an: info@hellerbit.com
11. Aufsichtsbehörde
Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
www.lda.bayern.de
12. Änderungen dieser Erklärung
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder Änderungen der App anzugleichen. Die aktuelle Fassung ist stets unter dieser Adresse abrufbar. Das Datum der letzten Änderung findest du am Anfang dieses Dokuments.