Datenschutz

Wer ist verantwortlich?

Verantwortlich für die Verarbeitung deiner Daten auf bequem-zulassen.de ist ISSA digital Solution, Inhaber Kays Darwish, Oberstraße 70, 41460 Neuss, E-Mail info@bequem-zulassen.de.

Für Fragen zum Datenschutz schreib uns an diese E-Mail-Adresse. Einen Datenschutzbeauftragten haben wir nicht benannt, weil wir dazu nicht verpflichtet sind.

Das Wichtigste in Kürze

• Wir verarbeiten deine Daten nur, um deinen Online-Auftrag zu erledigen, dir zu antworten und unsere gesetzlichen Pflichten zu erfüllen, und mit deiner Einwilligung, um die Website auszuwerten und unsere Werbung zu messen.
• Wir verkaufen keine Daten und zeigen auf unserer Website keine Werbung. Cookies für Auswertung und Werbung setzen wir nur mit deiner Einwilligung ein; du widerrufst sie jederzeit unter „Cookie-Einstellungen“.
• Sicherheitscodes speichern wir nie. Deinen Ausweis geben wir nur zur Prüfung weiter und löschen ihn danach bei uns.
• Deinen Antrag stellt unser Partner digital-zulassen.de (Quotlix GmbH) mit deiner Vollmacht bei deiner Zulassungsbehörde.
• Einige unserer Dienstleister sitzen in den USA. Wo das so ist, steht es unten, mit der rechtlichen Grundlage.

Wenn du unsere Website besuchst

Unsere Website liegt bei Vercel Inc. (USA). Die Funktionen der Website, die deine Eingaben verarbeiten, laufen in Frankfurt am Main; die Seiten und Dateien liefert Vercel über sein weltweites Netz aus, jeweils von einem Standort in deiner Nähe. Bei jedem Aufruf verarbeitet Vercel technisch nötige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Browser und Betriebssystem. Vercel bewahrt diese Protokolle [Frist] auf und nutzt sie für einen sicheren Betrieb. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren, funktionierenden Website (Art. 6 Abs. 1 lit. f DSGVO).

Tritt ein Fehler auf, schicken wir einen Fehlerbericht an Sentry (Functional Software Inc., USA; gespeichert in der EU-Region Frankfurt). Der Bericht enthält keine Eingaben aus Formularen, keine Cookies und keinen Link zu deiner Statusseite; diese Teile entfernen wir vorher. Sentry bewahrt die Berichte [Frist] auf. Rechtsgrundlage ist unser berechtigtes Interesse, Fehler schnell zu finden (Art. 6 Abs. 1 lit. f DSGVO).

Schriften und Bilder liefern wir selbst aus. Die Website lädt nichts von fremden Servern, außer im Schritt „Prüfen und zahlen“, beim zweiten Versuch auf der Statusseite und im Händlerbereich (beim Reservieren und beim Hinterlegen einer Karte) die Zahlungsfelder von Stripe und, nur mit deiner Einwilligung, die Dienste von Google und Meta (siehe „Auswertung und Werbung mit deiner Einwilligung“).

Gegen Missbrauch begrenzen wir, wie oft Formulare gesendet werden können. Dafür speichern wir einen nicht umkehrbaren Prüfwert der IP-Adresse, nie die IP-Adresse selbst (Art. 6 Abs. 1 lit. f DSGVO). Ein Zählfenster dauert höchstens 24 Stunden; danach löschen wir den Prüfwert.

Die Website kannst du ohne Angaben zu deiner Person nutzen.

Cookies und Speicher in deinem Browser

Wir legen in deinem Browser nur ab, was unbedingt nötig ist, damit ein Dienst funktioniert, den du ausdrücklich nutzt, zum Beispiel der Online-Auftrag oder das Merken deiner Eingaben (§ 25 Abs. 2 Nr. 2 TDDDG). Dazu gehört deine Wahl im Hinweis „Cookies und Messung“. Eine Einwilligung brauchen wir dafür nicht. Cookies für Auswertung und Werbung kommen nur mit deiner Einwilligung dazu (siehe „Auswertung und Werbung mit deiner Einwilligung“). Im Einzelnen:

NEXT_LOCALE (Cookie)

Merkt sich die Sprache, die du selbst gewählt hast.Dauer: Bis du den Browser schließt.

bz:consent (Speicher im Gerät)

Deine Wahl zu Auswertung und Werbung: ob du in „Statistik“ und unter „Werbung“ in Google Ads und in das Meta-Pixel eingewilligt hast, an welchem Tag und welche Dienste wir dir dabei genannt haben. Ohne Kennung; der Eintrag geht nie an unseren Server.Dauer: 12 Monate; danach fragen wir neu. Änderst du deine Wahl, ersetzen wir den Eintrag.

bz:order-draft:v1 (Speicher in diesem Tab, auf Wunsch im Gerät)

Deine Eingaben im Online-Auftrag, damit beim Neuladen nichts verloren geht. Ohne Ausweisfotos, IBAN, PIN und Sicherheitscodes.Dauer: Bis du den Tab mit dem Online-Auftrag schließt. Mit dem Haken „Eingaben 72 Stunden auf diesem Gerät merken“ liegen die Eingaben auf diesem Gerät und werden nach 72 Stunden nicht mehr verwendet und beim nächsten Öffnen des Online-Auftrags gelöscht. Nach deinem Online-Auftrag löschen wir sie.

bz:order-id-upload, bz:order-id-transmitted (Speicher in diesem Tab)

Kennung deiner hochgeladenen Ausweisfotos und ob sie schon übertragen sind; keine Bilder.Dauer: Bis du den Tab mit dem Online-Auftrag schließt.

bz:order-last-checkout (Speicher in diesem Tab)

Welcher Auftrag in diesem Tab bezahlt wird, damit danach die Bestätigung erscheint.Dauer: Bis du den Tab mit dem Online-Auftrag schließt.

bz-status-return (Speicher in diesem Tab)

Der Weg zurück zu deiner Statusseite nach der Unterschrift bei digital-zulassen.de.Dauer: Bis du den Tab schließt.

bz_dl (Cookie)

Gibt die Downloads auf deiner Statusseite frei, nachdem du den Code aus der E-Mail eingegeben hast.Dauer: 10 Minuten.

bz-dealer (Cookie)

Hält dich im Händlerbereich angemeldet (siehe „Händlerkonto“). Nur für Logins von Händlern und nur auf den Seiten des Händlerbereichs; Skripte im Browser können es nicht lesen. Ist die Anmeldung zu lang für ein Cookie, steht sie in Teilen: bz-dealer.0, bz-dealer.1 und so weiter.Dauer: Bis du dich abmeldest oder den Browser schließt.

bz-dealer-draft, bz-dealer-next (Speicher in diesem Tab)

Deine Eingaben beim Erfassen eines Auftrags im Händlerbereich, damit beim Neuladen nichts verloren geht, und ob nach „Weiteres Fahrzeug erfassen“ ein Hinweis erscheint. Ohne IBAN, PIN, Ausweisfotos und Sicherheitscodes.Dauer: Bis du den Tab schließt oder dich abmeldest.

bz-dealer-card-setup (Speicher in diesem Tab)

Die Kennung der Einrichtung einer Karte im Händlerkonto, solange deine Bank die Karte bestätigt. So schließen wir nach der Rückkehr von deiner Bank nur die Einrichtung ab, die du in diesem Tab begonnen hast. Keine Kartendaten.Dauer: Bis die Bestätigung bei deiner Bank abgeschlossen ist, längstens bis du den Tab schließt oder dich abmeldest.

bz-partner (Cookie)

Hält dich im Partnerbereich angemeldet (siehe „Zugang für Partner“). Nur für Logins von Partnern und nur auf den Seiten des Partnerbereichs; Skripte im Browser können es nicht lesen. Ist die Anmeldung zu lang für ein Cookie, steht sie in Teilen: bz-partner.0, bz-partner.1 und so weiter.Dauer: Bis du dich abmeldest oder den Browser schließt.

__stripe_mid, __stripe_sid (Cookies von Stripe)

Schutz vor Betrug beim Reservieren, nur im Schritt „Prüfen und zahlen“, beim zweiten Versuch auf der Statusseite und im Händlerbereich beim Reservieren oder beim Hinterlegen einer Karte.Dauer: 1 Jahr bzw. 30 Minuten.

Rechtsgrundlage für die Daten in diesen Einträgen ist die Anbahnung und Erfüllung deines Auftrags (Art. 6 Abs. 1 lit. b DSGVO), für die Sprache und die Cookies von Stripe gegen Betrug unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Deine Wahl unter bz:consent bleibt in deinem Browser; die Website braucht sie, um sie zu beachten (§ 25 Abs. 2 Nr. 2 TDDDG). An uns geht sie nicht.

Gemerkte Eingaben kannst du hier jederzeit löschen. Alles andere löscht dein Browser von selbst, sobald die oben genannte Dauer um ist. Du kannst die Daten dieser Website auch jederzeit selbst in deinem Browser löschen.

Auswertung und Werbung mit deiner Einwilligung

Mit deiner Einwilligung werten wir aus, wie unsere Website genutzt wird, und messen, ob unsere Werbung zu Aufträgen führt. Setzen wir Google oder Meta ein, fragen wir dich beim ersten Besuch im Hinweis „Cookies und Messung“. Mit „Nur nötige“ lehnst du alles ab; ohne deine Einwilligung lädt die Website nichts davon, und alles funktioniert genauso. Rechtsgrundlage ist deine Einwilligung: für das Speichern und Auslesen in deinem Browser nach § 25 Abs. 1 TDDDG, für die Verarbeitung der Daten nach Art. 6 Abs. 1 lit. a DSGVO. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), unten auf jeder Seite unter „Cookie-Einstellungen“; was bis dahin geschehen ist, bleibt rechtmäßig. Dort steht auch, welche der folgenden Dienste wir gerade einsetzen; einen Dienst, der dort nicht steht, setzen wir nicht ein, und gibt es den Knopf nicht, setzen wir keinen davon ein.

Deine Wahl speichern wir in deinem Browser unter bz:consent (siehe „Cookies und Speicher in deinem Browser“): deine Antworten, den Tag deiner Wahl, die Fassung des Hinweises und die Dienste, die er dir dabei genannt hat, ohne Kennung und ohne sie an uns zu senden. Nach 12 Monaten fragen wir neu, ebenso, wenn wir einen Dienst hinzunehmen oder den Hinweis neu fassen. Widerrufst du, löschen wir die Cookies von Google und Meta auf unserer Domain; lief auf der Seite schon einer dieser Dienste, lädt sie neu, damit nichts davon weiterläuft.

Statistik: Willigst du in „Statistik“ ein, lädt dein Browser den Google Tag Manager und Google Analytics von Google Ireland Limited (Irland), die beide für uns als Auftragsverarbeiter arbeiten. Googles Bedingungen zur Auftragsverarbeitung sind Teil unseres Vertrags, und die Freigabe unserer Daten an Google für eigene Zwecke haben wir ausgeschaltet. Google Analytics zählt, welche Seiten du aufrufst, woher du kommst (eine fremde Website nur mit ihrer Adresse ohne Pfad, dazu die Kampagnenangaben eines Links), wie lange du bleibst, ob du bis ans Ende einer Seite scrollst, Gerät, Browser und ungefähren Ort und ob wir einen Online-Auftrag angenommen haben (der Betrag ist dann reserviert oder abgebucht). IP-Adressen von Nutzern aus der EU speichert Google Analytics nach eigenen Angaben nicht. Wir senden nie Eingaben aus Formularen wie deinen Namen oder deine E-Mail-Adresse, nie eine Auftragsnummer und nie den Link zu deiner Statusseite: Jede Adresse kürzen wir vorher auf die Seite, die Kampagnenangaben eines Links und die Klick-Kennungen von Google und Meta. Google-Signale und die Erfassung von Daten, die Nutzer selbst angeben, sind ausgeschaltet. Daten zu einzelnen Nutzern und Ereignissen löscht Google Analytics 14 Monate nach ihrer Erhebung; zusammengefasste Berichte ohne Bezug zu einzelnen Nutzern bleiben länger.

Herkunft mit dem Auftrag: Kommst du über einen Link mit Kampagnenangaben (utm_source, utm_medium, utm_campaign, etwa von einem Flyer oder einer Anzeige) und hast du in „Statistik“ eingewilligt, speichern wir diese drei Angaben mit deinem Online-Auftrag, sobald du auf „Zahlungspflichtig bestellen“ tippst. So sehen wir, welche Werbung zu Aufträgen führt. Bis dahin liegen sie nur im Speicher der geöffneten Seite, nie in einem Cookie oder einem anderen Speicher deines Browsers. Die Kampagnenangaben stammen aus dem Link, über den du kamst; enthält er ausnahmsweise einen Namen, steht dieser dann auch am Auftrag und in der Seitenadresse, die Google und Meta bekommen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Wir entfernen sie, wenn wir den Auftrag 12 Monate nach seinem Abschluss kürzen; brauchen wir den Auftrag länger, etwa wegen einer offenen Erstattung oder weil wir seine Löschung angehalten haben, bleiben sie bis zu seinem Kürzen.

Werbung: Unter „Werbung“ willigst du in jeden Dienst einzeln ein: in die Conversion-Messung von Google Ads (über den Google Tag Manager) und in das Meta-Pixel; geladen wird nur, wozu du Ja gesagt hast. Sie messen, ob ein Besuch nach einem Klick auf unsere Werbung zu einem Auftrag führt, und setzen dafür Cookies. Dabei bekommen sie die gekürzte Adresse der Seite, die Website, von der du kamst, deine IP-Adresse, Angaben zu deinem Browser und die Kennungen aus ihren Cookies; das Meta-Pixel meldet dazu jeden Seitenaufruf. Für Google Ads ist Google Ireland Limited selbst verantwortlich. Für das Erheben auf unserer Website und das Übermitteln mit dem Meta-Pixel sind wir mit Meta Platforms Ireland Limited (Irland) gemeinsam verantwortlich (Art. 26 DSGVO); das Wesentliche dieser Vereinbarung steht im Zusatz für Verantwortliche von Meta (facebook.com/legal/controller_addendum). Für die Messung und die Berichte über unsere Werbung arbeitet Meta für uns als Auftragsverarbeiter. Für alles, was Meta danach für eigene Zwecke mit den Daten macht, ist Meta allein verantwortlich. Google und Meta können dabei ein Profil über dich anlegen und es mit Daten aus deinem Konto bei ihnen und von anderen Websites anreichern, zum Beispiel für Werbung, die sie dir zeigen. Mehr dazu: policies.google.com/privacy und facebook.com/privacy/policy.

Kaufmeldung: Reservierst du den Betrag für einen Online-Auftrag und nehmen wir ihn an, melden wir das auf der Bestätigungsseite einmal den Diensten, in die du in diesem Moment eingewilligt hast, solange der Betrag reserviert oder abgebucht ist. Eine Reservierung, die aufgehoben ist oder die wir nie angenommen haben, melden wir nie, ebenso wenig einen Auftrag, der abgebrochen, gescheitert, an eine Partnerfiliale weitergegeben oder voll erstattet ist. Heben wir eine Reservierung erst nach der Meldung auf, melden wir das nicht nach. Wir melden Betrag, Währung und eine zufällige Kennung, damit ein Kauf nicht doppelt zählt, an Google Analytics dazu die feste Bezeichnung „Online-Auftrag“; nie die Auftragsnummer, deinen Namen oder Angaben zum Fahrzeug. Die Kennung und den Zeitpunkt der Meldung speichern wir am Auftrag, bis wir ihn kürzen.

Die Cookies, die Google und Meta auf unserer Domain setzen, jeweils nur mit deiner Einwilligung:

_ga, _ga_<Kennung> (Cookies von Google Analytics)

Unterscheidet Besucher und hält ihre Besuche zusammen, damit Google Analytics sie zählen kann; nur mit „Statistik“.Dauer: 2 Jahre.

_gcl_au, _gcl_aw, _gcl_gb, _gcl_dc, _gcl_gs, _gcl_ag, _gac_gb_<Kennung> (Cookies von Google Ads)

Ordnet einen Auftrag dem Klick auf unsere Anzeige bei Google zu; nur mit deinem Ja zu Google Ads unter „Werbung“.Dauer: 90 Tage.

_fbp, _fbc (Cookies von Meta)

Erkennt deinen Browser für Meta wieder und ordnet einen Besuch und einen Auftrag dem Klick auf unsere Werbung bei Meta zu; nur mit deinem Ja zum Meta-Pixel unter „Werbung“.Dauer: 90 Tage.

Google LLC und Meta Platforms, Inc. in den USA können diese Daten ebenfalls verarbeiten (siehe „Übermittlung in Länder außerhalb der EU“).

Wenn du einen Online-Auftrag startest

Für deinen Auftrag verarbeiten wir:

• Angaben zur Halterin oder zum Halter: Name, Geburtsdatum, Geburtsort, Geschlecht, Anschrift, E-Mail-Adresse und Handynummer;
• Angaben zum Fahrzeug: Fahrzeug-Identnummer, bisheriges Kennzeichen, Nummer der Zulassungsbescheinigung Teil II, Antriebsart, eVB-Nummer und Wunschkennzeichen;
• deine Bankverbindung (IBAN und Kontoinhaber) für die Kfz-Steuer;
• Fotos deines Ausweises;
• die Sicherheitscodes von Fahrzeugschein, Fahrzeugbrief und Plaketten;
• deine Antworten auf die Prüffragen, die gewählte Leistung, Preise, Zahlung, Lieferadresse und den Verlauf deines Auftrags.

Rechtsgrundlage ist die Erfüllung unseres Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO).

So gehen wir mit besonders schutzwürdigen Angaben um:

• Sicherheitscodes speichern und protokollieren wir nie. Sie gehen über unseren Server direkt an digital-zulassen.de.
• Ausweisfotos speichern wir verschlüsselt, nur bis sie bei digital-zulassen.de zur Prüfung angekommen sind, längstens 72 Stunden nach dem Absenden. digital-zulassen.de löscht sie nach eigenen Angaben nach vier Tagen.
• IBAN und Reservierungs-PIN speichern wir verschlüsselt und löschen sie, sobald sie an digital-zulassen.de übermittelt sind. Danach sehen wir nur noch die gekürzte IBAN.

Diese Stellen bekommen deine Angaben:

• Quotlix GmbH (digital-zulassen.de), Hegelstraße 31, 27721 Ritterhude: prüft deinen Ausweis, holt deine Unterschrift unter die Vollmacht ein (dafür schickt dir ihr Signaturdienst selbst eine E-Mail mit dem Link zum Unterschreiben, und du bekommst eine SMS an deine Handynummer), stellt deinen Antrag und lässt bei Standardversand die Kennzeichen an deine Lieferadresse liefern. Sie handelt mit deiner Vollmacht in eigener Verantwortung.
• Kraftfahrt-Bundesamt und deine Zulassungsbehörde: Das Kraftfahrt-Bundesamt betreibt die Großkundenschnittstelle, über die dein Antrag an deine Zulassungsbehörde geht. Die Zulassungsbehörde entscheidet in eigener Verantwortung. Die Zulassungsbehörde gibt deine Bankverbindung für die Kfz-Steuer an den Zoll weiter.
• Dienstleister, die für uns arbeiten: Vercel (Hosting), Supabase (Datenbank, Server in Frankfurt am Main), Stripe (Zahlung), Resend (E-Mail), mailbox.org (Heinlein Hosting GmbH; E-Mail-Eingang, Rechenzentren in Berlin) und Sentry (Fehlerberichte), jeweils mit einem Vertrag zur Auftragsverarbeitung.

Mit deiner Vollmacht teilt die Zulassungsbehörde der Quotlix GmbH auch mit, ob du Kfz-Steuer schuldest und welche Gebühren du in welcher Höhe noch nicht bezahlt hast, soweit das für deinen Antrag nötig ist. Scheitert dein Antrag, erfahren wir über digital-zulassen.de den Grund, den die Behörde nennt.

Geben wir deinen Auftrag mit deiner ausdrücklichen Zustimmung an eine Partnerfiliale weiter, bekommt sie Name, Kontakt, Fahrzeug, Leistung und den Grund, nie deinen Ausweis, deine Bankverbindung oder Sicherheitscodes. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du auf der Statusseite mit einem Haken gibst. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), zum Beispiel mit einer Nachricht an uns; was bis dahin geschehen ist, bleibt rechtmäßig. Die Filiale arbeitet danach in eigener Verantwortung. Eine Kopie der weitergegebenen Angaben behalten wir 12 Monate, um mit der Filiale abzurechnen, auch nach einem Widerruf (unser berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO); danach nur noch Datum, Partnerfiliale, Leistung, Grund und Stand.

Statusseite und Downloads

Nach deinem Online-Auftrag bekommst du einen persönlichen Link zu deiner Statusseite. Er funktioniert ohne Passwort; halte ihn deshalb geheim. Die Seite zeigt keine Anschrift, keine Bankverbindung und keine Ausweisdaten. Den vorläufigen Nachweis und die Rechnung lädst du nur mit einem sechsstelligen Code herunter, den wir an die E-Mail-Adresse deines Auftrags schicken; er gilt 10 Minuten.

Die Statusseite gibt beim Öffnen von Links ihre Adresse nicht an andere Seiten weiter und ist für Suchmaschinen gesperrt. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

Bezahlen

Zahlungen mit Karte, Apple Pay, Google Pay, PayPal oder Klarna wickelt Stripe Payments Europe Limited (Irland) ab. Im Schritt „Prüfen und zahlen“ lädt dein Browser die Zahlungsfelder direkt von Stripe; deine Kartendaten kommen nie zu uns. Beim Reservieren im Online-Auftrag, beim zweiten Versuch auf der Statusseite und im Händlerbereich setzt Stripe Cookies gegen Betrug (siehe oben). Stripe sieht dabei die Adresse deiner Statusseite, auf die PayPal und Klarna dich zurückschicken. Stripe verarbeitet Zahlungsdaten teils in eigener Verantwortung, etwa zur Betrugsabwehr und für gesetzliche Pflichten. Mehr dazu: stripe.com/de/privacy.

Wählst du PayPal oder Klarna, gibt Stripe die nötigen Angaben an diese Anbieter weiter; für ihre eigene Prüfung sind sie selbst verantwortlich. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

E-Mails

Unsere E-Mails verschicken wir über Resend (Resend Inc., USA) aus der Versandregion Irland. Kontodaten, Metadaten wie Empfänger und Betreff sowie Protokolle speichert Resend nach eigenen Angaben in den USA; auch die E-Mails selbst können dort verarbeitet werden. Resend bewahrt diese Daten [Frist] auf. Klick- und Öffnungsverfolgung haben wir ausgeschaltet. Rechtsgrundlage für die E-Mails ist die Erfüllung des Vertrags und, bei Pflichtmitteilungen wie der Widerrufsbestätigung, unsere gesetzliche Pflicht (Art. 6 Abs. 1 lit. b und c DSGVO).

Wir selbst führen ein Versandprotokoll ohne E-Mail-Adresse und ohne Inhalt: welche Nachricht wann zu welchem Auftrag ging; nur der Hinweis an die frühere Adresse einer Händlerfirma trägt diese Adresse verschlüsselt, bis die Mail versendet ist (siehe „Händlerkonto“). Das Versandprotokoll führen wir, um belegen zu können, dass eine Nachricht verschickt wurde (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen es nach 12 Kalendermonaten.

Kontaktformular und Postfach

Schreibst du uns über das Kontaktformular, über „Schreib uns“ auf deiner Statusseite, als Händler im Händlerbereich oder per E-Mail an info@bequem-zulassen.de, speichern wir deinen Namen, deine E-Mail-Adresse, deine Nachricht, eine Auftragsnummer, wenn du eine angibst oder wir die Nachricht deinem Auftrag zuordnen, und Anhänge (Bilder und PDF bis 4 MB je Datei, verschlüsselt gespeichert), um dir zu antworten. Unsere Antworten speichern wir mit, ebenso Nachrichten, mit denen wir dich zu deinem Auftrag anschreiben. Rechtsgrundlage ist die Anbahnung oder Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO), sonst unser berechtigtes Interesse, dir zu antworten (Art. 6 Abs. 1 lit. f DSGVO).

E-Mails an uns nimmt mailbox.org (Heinlein Hosting GmbH, Rechenzentren in Berlin) für uns entgegen, mit einem Vertrag zur Auftragsverarbeitung; wir holen sie dort jede Minute ab. Eine abgeholte E-Mail bleibt dort im Ordner „Verarbeitet“ und wird nach etwa einer Woche gelöscht; eine E-Mail mit einer E-Rechnung als XML bleibt im Ordner „Rechnungen“, bis wir sie in unsere Buchhaltung übernommen haben. Eine E-Mail, die wir nicht übernehmen können, bleibt dort im Ordner „Nicht verarbeitet“, bis wir sie von Hand geprüft und gelöscht haben. Um Spam und gefälschte Absender zu erkennen, werten wir die Prüfergebnisse aus, die mailbox.org zu jeder E-Mail schreibt (SPF, DKIM, DMARC), und wie viele E-Mails dieselbe Adresse an einem Tag schickt, gezählt mit einem Prüfwert, nie mit der Adresse selbst, den wir nach Ablauf des Tages löschen (Art. 6 Abs. 1 lit. f DSGVO). Spam, auf den wir nicht geantwortet haben, löschen wir 30 Tage nach dem Eingang.

Schick uns bitte keine Sicherheitscodes, keine Fotos von Ausweisen anderer Personen und keine Angaben zu deiner Gesundheit. Kommt so etwas trotzdem an, entfernen wir es. Bilder im Postfach löschen wir 90 Tage nach ihrer Nachricht.

Wie lange wir eine Unterhaltung aufbewahren, richtet sich nach ihrem Inhalt: Betrifft sie einen Auftrag, etwa eine Reklamation oder eine Erstattung, kann sie ein Geschäftsbrief sein, den wir bis zu sechs Jahre nach Ende des Kalenderjahres aufbewahren müssen (§ 147 AO, Art. 6 Abs. 1 lit. c DSGVO). Welche Unterhaltungen das sind, legen wir mit unserem Steuerberater fest; bis er das bestätigt hat, löschen wir außer Spam keine Unterhaltung von selbst. Danach löschen wir jede Unterhaltung, die wir nicht aufbewahren müssen, 12 Monate nach dem letzten Austausch, ob eingegangen oder gesendet. Verlangst du die Löschung (Art. 17 DSGVO), löschen wir eine Unterhaltung oder den Text einer Nachricht, soweit keine Pflicht zur Aufbewahrung entgegensteht und wir sie nicht für einen Rechtsanspruch brauchen (Art. 17 Abs. 3 lit. b und e DSGVO). Die Nachrichten liegen bei Supabase (Datenbank, Server in Frankfurt am Main), die Seiten laufen bei Vercel (Hosting), beide mit einem Vertrag zur Auftragsverarbeitung.

Widerruf

Widerrufst du über „Vertrag widerrufen“, speichern wir deine Angaben (Name, Angaben zum Vertrag, Teil des Vertrags, E-Mail-Adresse, Zeitpunkt des Eingangs) und schicken dir die gesetzliche Eingangsbestätigung (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 356a BGB). Wir bewahren den Widerruf drei Jahre ab Ende des Jahres auf, in dem er eingegangen ist, damit wir ihn belegen können (Art. 6 Abs. 1 lit. c und f DSGVO). Dabei helfen uns Vercel (Hosting), Supabase (Datenbank) und Resend (Eingangsbestätigung per E-Mail), jeweils mit einem Vertrag zur Auftragsverarbeitung.

Gehen an eine E-Mail-Adresse, zu der kein Auftrag passt, ungewöhnlich viele Bestätigungen, halten wir weitere zurück und prüfen sie von Hand, damit niemand über unser Formular fremde Postfächer füllt.

Händleranfrage

Fragst du als Händler einen Zugang an, speichern wir Firma, Anschrift, Ansprechperson, E-Mail-Adresse, Telefon und deinen Gewerbenachweis, um die Anfrage zu prüfen (Art. 6 Abs. 1 lit. b DSGVO). Den Gewerbenachweis löschen wir 30 Tage nach unserer Entscheidung, die Anfrage 12 Monate danach. Die Anfrage läuft bei Vercel (Hosting) und liegt bei Supabase (Datenbank), beide mit einem Vertrag zur Auftragsverarbeitung.

Händlerkonto

Schalten wir deinen Betrieb frei, übernehmen wir Firma, Anschrift, Ansprechperson, E-Mail-Adresse und Telefon aus der Anfrage in dein Händlerkonto, dazu einen Prüfvermerk zu deinem Gewerbenachweis (Art des Nachweises, ausstellende Stelle oder Register mit Nummer, Datum). Für jede Person mit Login speichern wir Name, E-Mail-Adresse, den Stand des Logins und die Zeit der letzten Anmeldung, um dir und deinen Leuten den Zugang zu geben (Art. 6 Abs. 1 lit. b DSGVO). Das Passwort liegt bei Supabase (Anmeldedienst, Rechenzentrum in Frankfurt, mit einem Vertrag zur Auftragsverarbeitung) nur als nicht umkehrbarer Hash (bcrypt); wir sehen es nie. Bei jeder Anmeldung speichert Supabase zur Sitzung die IP-Adresse und die Kennung deines Browsers; endet deine Anmeldung, löschen wir diese Sitzungsdaten bei Supabase, spätestens 30 Tage nach deinem letzten Aufruf. Supabase führt außerdem ein Anmeldeprotokoll mit der IP-Adresse; wie lange es aufbewahrt wird, legen wir vor dem Start fest. Ändern wir die E-Mail-Adresse deiner Firma, schreiben wir an die alte und an die neue Adresse, damit niemand sie unbemerkt ändert (Art. 6 Abs. 1 lit. f DSGVO).

Zum Schutz deines Zugangs (Art. 6 Abs. 1 lit. f DSGVO) zählen wir Anmeldeversuche je Gerät und falsche Anmeldeversuche je E-Mail-Adresse, und zwar mit einem Prüfwert, nie mit der Adresse selbst; weitere Zähler, etwa für Aktionen und neue Links zum Passwort, führen wir nur mit der Kennung des Logins oder der Sitzung. Die Zähler löschen wir nach ihrem Zeitfenster, höchstens nach 24 Stunden. Anmeldungen, Abmeldungen, Passwortänderungen und abgewiesene Zugriffe halten wir in einem Protokoll fest, das nur Kennungen und feste Codes enthält, auch wenn ein Konto des Händlerbereichs versucht, ins Büro zu kommen.

Links zum Festlegen des Passworts gelten 48 Stunden; wir löschen sie 30 Tage nach Nutzung oder Ablauf. Anmeldungen löschen wir 30 Tage nach ihrem Ende, das Protokoll drei Jahre nach Ende des Jahres, Einträge zu Zahlungen nach zehn Jahren. Das Händlerkonto bleibt, solange wir zusammenarbeiten. Endet die Zusammenarbeit, sperren wir das Konto; Logins und Kontaktdaten löschen wir, wenn mögliche Ansprüche verjährt sind, in der Regel drei Jahre nach Ende des Jahres, in dem die Zusammenarbeit endete. Firma und Anschrift stehen auf unseren Rechnungen und bleiben so lange wie diese.

Hinterlegte Karte und Stripe-Kunde: Gehst du im Händlerbereich zum ersten Mal zur Zahlung oder hinterlegst du im Konto eine Karte, legt unser Zahlungsdienstleister Stripe deine Firma mit Firmenname und Firmen-E-Mail-Adresse als Kunde an. Hinterlegst du eine Karte, speichert Stripe sie dort. Wir speichern nur die Kennungen von Kunde und Karte und den Zeitpunkt deiner Zustimmung; Marke, letzte vier Ziffern und Ablauf rufen wir zum Anzeigen bei Stripe ab. Reserviert wird mit der Karte nur, wenn jemand aus deiner Firma im Händlerbereich auf „Zahlungspflichtig bestellen“ tippt; abgebucht wird, wenn das Fahrzeug zugelassen ist, spätestens am 6. Tag. Rechtsgrundlage ist der Vertrag mit deiner Firma (Art. 6 Abs. 1 lit. b DSGVO). Entfernst du die Karte, löst Stripe sie von deiner Firma; den Kunden bei Stripe löschen wir mit den übrigen Kontaktdaten der Firma.

Aufträge auf deine Firma: Damit du Fahrzeuge auf deine Firma zulassen oder Firmenfahrzeuge abmelden kannst („Eigene Firma“), tragen wir in dein Händlerkonto ein: die Rechtsform, bei einer Firma mit Registereintrag Registerart und Registernummer, den Wirtschaftszweig, Straße und Hausnummer der Firma und bei einem Einzelunternehmen Vor- und Nachname und Geschlecht der Inhaberin oder des Inhabers. Wählst du in einem Auftrag „Eigene Firma“, geben wir diese Angaben mit Firmenname, Postleitzahl, Ort, E-Mail-Adresse und Telefon der Firma als Angaben zum Halter an die Quotlix GmbH (digital-zulassen.de) weiter, die als Bevollmächtigte den Antrag bei der Zulassungsbehörde stellt, und an die zuständige Zulassungsbehörde; bei einer Zulassung auch die Bankverbindung für die Kfz-Steuer, die du im Auftrag eingibst und die wir nach der Übergabe bei uns löschen. Gehen Papiere an deine Firma, bekommt die Quotlix GmbH Firmenname, Straße, Hausnummer, Postleitzahl, Ort, E-Mail-Adresse und Telefon der Firma als Empfänger. Rechtsgrundlage ist der Vertrag mit deiner Firma (Art. 6 Abs. 1 lit. b DSGVO). Im Auftrag entfernen wir diese Angaben 12 Monate nach seinem Abschluss; im Händlerkonto löschen wir sie mit den übrigen Kontaktdaten der Firma.

Daten von Käuferinnen und Käufern

Händler, die mit uns zusammenarbeiten, beauftragen bei uns Zulassungen für ihre Kundinnen und Kunden. Dafür gibt der Händler in seinem Händlerbereich die Daten des Käufers ein: Name, Anschrift, Geburtsdatum, Geburtsort, Geschlecht, E-Mail-Adresse und Handynummer, dazu die Angaben zum Fahrzeug und die Bankverbindung für die Kfz-Steuer. Den Ausweis lädt der Händler nie hoch.

Nach dem Reservieren schicken wir dem Käufer eine E-Mail mit einem Link, der nur für diesen Auftrag gilt. Auf dieser Seite liest er zuerst unsere Hinweise zum Datenschutz und gibt seine Einwilligung; erst danach lädt er seinen Ausweis selbst hoch (§ 20 Abs. 2 Personalausweisgesetz). Bei einer Abmeldung braucht es keinen Ausweis; dann willigt er nur in die Übermittlung seiner Angaben ein. Erst danach geben wir etwas weiter. Später unterschreibt er dort den Antrag. Weitere Mails bekommt er nur zu diesem Link (Ausweis noch einmal, Unterschrift).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse und das des Händlers ist, die Zulassung durchzuführen, die der Händler bei uns beauftragt hat und die der Käufer mit ihm vereinbart hat; der Käufer will sein Fahrzeug zugelassen haben. Für die Bilder des Ausweises gilt seine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); er kann sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), zum Beispiel mit einer Nachricht an uns. Was bis dahin geschehen ist, bleibt rechtmäßig.

Wir geben die Daten an Quotlix GmbH (digital-zulassen.de) weiter, die als Bevollmächtigte des Käufers den Antrag bei der Zulassungsbehörde stellt, und an die zuständige Zulassungsbehörde. Der Händler sieht in seinem Händlerbereich, wie weit der Auftrag ist; die Bilder des Ausweises sieht er nie. An eine Partnerfiliale geben wir die Daten des Käufers nicht weiter. Die Bilder des Ausweises speichern wir bis zur Übermittlung an digital-zulassen.de, längstens 72 Stunden nach dem Absenden; danach löschen wir sie bei uns. Die Bankverbindung speichern wir verschlüsselt und löschen sie nach der Übergabe.

Die Kundendaten im Auftrag entfernen wir 12 Monate nach seinem Abschluss, unbezahlte Aufträge nach 30 Tagen; Rechnungen an den Händler bewahren wir nach den Fristen des Handels- und Steuerrechts auf, die Daten des Käufers stehen darin nicht. Die Rechte aus dem Abschnitt „Deine Rechte“ hat auch der Käufer, besonders das Recht auf Widerspruch (Art. 21 DSGVO).

Zugang für Partner

Unsere Partnerbetriebe und Partnerfilialen melden sich in unserem Partnerbereich mit E-Mail-Adresse und Passwort an. Für jeden Login speichern wir Name, E-Mail-Adresse, den Stand des Logins und die Zeit der letzten Anmeldung. Den Login legen wir an; das Passwort legt die Person selbst über einen Link fest, der 48 Stunden gilt. Das Passwort liegt bei Supabase (Anmeldedienst, Rechenzentrum in Frankfurt, mit einem Vertrag zur Auftragsverarbeitung) nur als nicht umkehrbarer Hash (bcrypt); wir sehen es nie. Bei jeder Anmeldung speichert Supabase zur Sitzung die IP-Adresse und die Kennung des Browsers; endet die Anmeldung, löschen wir diese Sitzungsdaten bei Supabase, spätestens 30 Tage nach dem letzten Aufruf. Supabase führt außerdem ein Anmeldeprotokoll mit der IP-Adresse; wie lange es aufbewahrt wird, legen wir vor dem Start fest. Gehört der Login dem Partner selbst, ist die Rechtsgrundlage der Vertrag mit ihm (Art. 6 Abs. 1 lit. b DSGVO); gehört er einer Mitarbeiterin oder einem Mitarbeiter des Partners, unser berechtigtes Interesse an der Zusammenarbeit mit dem Partner (Art. 6 Abs. 1 lit. f DSGVO).

Zum Schutz des Zugangs (Art. 6 Abs. 1 lit. f DSGVO) zählen wir Anmeldeversuche je Gerät und falsche Anmeldeversuche je E-Mail-Adresse, und zwar mit einem Prüfwert, nie mit der Adresse selbst; weitere Zähler, etwa für Aktionen und neue Links zum Passwort, führen wir nur mit der Kennung des Logins oder der Sitzung. Die Zähler löschen wir nach ihrem Zeitfenster, höchstens nach 24 Stunden. Anmeldungen, Abmeldungen, „Liegt bereit“, „Abgeholt“ und abgewiesene Zugriffe halten wir in einem Protokoll fest, das nur Kennungen und feste Codes enthält, keine Namen von Kunden.

Links zum Festlegen des Passworts löschen wir 30 Tage nach Nutzung oder Ablauf, Anmeldungen 30 Tage nach ihrem Ende, das Protokoll drei Jahre nach Ende des Jahres. Logins bleiben, solange wir zusammenarbeiten; endet die Zusammenarbeit, sperren wir sie und löschen sie, wenn mögliche Ansprüche verjährt sind.

Link zu unserem Versicherungspartner

Hast du noch keine eVB-Nummer, zeigen wir dir einen WhatsApp- und einen Telefon-Link zu einer Versicherungsagentur. Wir geben dabei keine Daten weiter. Tippst du auf den Link, öffnet sich WhatsApp (Meta) oder dein Telefon; was du dort schreibst, geht direkt an die Agentur.

Wie lange wir Daten speichern

Online-Aufträge ohne Zahlung

30 Tage nach dem Anlegen.

Nicht angenommene, erstattete Aufträge

30 Tage nach der Erstattung.

Ausweisfotos

Bis zur Übermittlung an digital-zulassen.de, längstens 72 Stunden nach dem Absenden.

IBAN und Reservierungs-PIN

Bis zur Übermittlung an digital-zulassen.de.

Abgeschlossene Aufträge

12 Monate; danach entfernen wir Name, Anschrift, Kennzeichen und Fahrzeugdaten.

Rechnungen

acht Jahre ab Ende des Jahres, in dem die Rechnung ausgestellt wurde (§ 14b UStG, § 147 AO).

Nachrichten im Postfach

Eine Unterhaltung, die wir nicht als Geschäftsbrief aufbewahren müssen, 12 Monate nach dem letzten Austausch, eingegangen oder gesendet; ein Geschäftsbrief zu einem Auftrag bis zu sechs Jahre (§ 147 AO); bis der Steuerberater das bestätigt hat, außer Spam keine Löschung von selbst.Bilder 90 Tage nach ihrer Nachricht.Spam, auf den wir nicht geantwortet haben, 30 Tage nach dem Eingang.Die Kopie bei mailbox.org etwa eine Woche nach dem Eingang.

Widerrufe

drei Jahre ab Ende des Jahres des Eingangs.

Versandprotokoll der E-Mails

12 Kalendermonate.

Protokolle bei Vercel

Vercel bewahrt sie [Frist] auf.

Fehlerberichte bei Sentry

Sentry bewahrt sie [Frist] auf.

Protokolle und E-Mails bei Resend

Resend bewahrt sie [Frist] auf.

Prüfwert der IP-Adresse

Ein Zählfenster lang, höchstens 24 Stunden; danach löschen wir ihn.

Händleranfragen

12 Monate nach unserer Entscheidung; Gewerbenachweis 30 Tage.

Händlerkonto

Anmeldungen (auch die Sitzung bei Supabase mit IP-Adresse und Browserkennung) 30 Tage nach dem Ende; Protokoll drei Jahre ab Ende des Jahres, Zahlungen zehn Jahre; Links zum Passwort 30 Tage nach Nutzung oder Ablauf; Logins und Kontaktdaten in der Regel drei Jahre nach Ende des Jahres, in dem die Zusammenarbeit endete.

Zugang für Partner

Anmeldungen (auch die Sitzung bei Supabase mit IP-Adresse und Browserkennung) 30 Tage nach dem Ende; Links zum Passwort 30 Tage nach Nutzung oder Ablauf; Protokoll drei Jahre ab Ende des Jahres; Logins, solange wir zusammenarbeiten.

Weitergabe an eine Partnerfiliale

Unsere Kopie der weitergegebenen Angaben 12 Monate, danach nur Datum, Partnerfiliale, Leistung, Grund und Stand.

Deine Wahl im Hinweis „Cookies und Messung“

12 Monate in deinem Browser; danach fragen wir neu und entfernen den alten Eintrag.

Google Analytics

Daten zu einzelnen Nutzern und Ereignissen 14 Monate nach der Erhebung, zusammengefasste Berichte länger; die Cookies 2 Jahre.

Kampagnenangaben und Kaufmeldung am Auftrag

Mit dem Auftrag: Einen unbezahlten Auftrag löschen wir 30 Tage nach dem Anlegen, einen nicht angenommenen, dessen Reservierung wir aufgehoben oder den wir erstattet haben, 30 Tage danach, jeweils mit diesen Angaben. Sonst entfernen wir sie beim Kürzen 12 Monate nach dem Abschluss; brauchen wir einen Auftrag länger (etwa wegen einer offenen Erstattung oder einer angehaltenen Löschung), erst wenn wir ihn kürzen.

Übermittlung in Länder außerhalb der EU

Vercel, Supabase, Resend und Sentry sind Unternehmen aus den USA; Stripe arbeitet mit Stripe, Inc. in den USA zusammen. Mit deiner Einwilligung bekommen auch Google LLC und Meta Platforms, Inc. in den USA Daten (siehe „Auswertung und Werbung mit deiner Einwilligung“). Dorthin können Daten übermittelt werden, auch wenn sie in der EU gespeichert sind. Grundlage ist der Angemessenheitsbeschluss der EU-Kommission zum Datenschutzrahmen EU-USA (Durchführungsbeschluss (EU) 2023/1795), soweit der Empfänger danach zertifiziert ist, sonst die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), die wir mit jedem dieser Anbieter vereinbart haben. Eine Kopie bekommst du auf Anfrage.

Deine Rechte

Du hast das Recht auf

• Auskunft über deine Daten (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO) und
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO).

Schreib uns dafür an info@bequem-zulassen.de.

Widerspruchsrecht: Verarbeiten wir Daten auf Grund unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Postfach 20 04 44, 40102 Düsseldorf, www.ldi.nrw.de. Du kannst dich auch an die Aufsichtsbehörde an deinem Wohnort wenden.

Pflicht zur Angabe und automatisierte Entscheidungen

Für einen Online-Auftrag musst du die abgefragten Angaben machen; ohne sie können wir die Zulassung nicht beantragen.

Wir treffen keine automatisierten Entscheidungen über dich. Die Zulassungsbehörde entscheidet über Anträge aus dem Internet teils automatisiert; das liegt in ihrer Verantwortung.

Ändert sich etwas an dieser Erklärung, steht oben ein neues Datum.