Information nach Art. 13 und 14 DSGVO · Fassung 2026-10 · Stand: 23.09.2026
Verantwortlicher: Dominik Starzengruber (Vermittco)
Verantwortlicher im Sinn des Art. 4 Z 7 DSGVO ist:
Dominik Starzengruber, Einzelunternehmen „Vermittco"
Heliosallee 106, 4030 Linz, Österreich
E-Mail: support@vermittco.com
Telefon: +43 677 63664711
Für alle Anliegen zum Datenschutz — Auskunft, Berichtigung, Löschung, Widerspruch, Widerruf — genügt eine formlose Nachricht an diese Adresse.
Ein Datenschutzbeauftragter ist nicht bestellt. Die Voraussetzungen des Art. 37 Abs 1 DSGVO liegen nicht vor: Vermittco ist keine Behörde, die Kerntätigkeit besteht nicht in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen und nicht in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten. Ansprechpartner in allen Datenschutzfragen ist der Verantwortliche selbst.
Vermittco ist ein Marktplatz. Daraus ergeben sich drei getrennte Rollen:
Eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO besteht nicht; die Zwecke werden jeweils getrennt festgelegt.
Zu jeder Verarbeitung nennen wir Zweck, verarbeitete Daten, Rechtsgrundlage und Speicherdauer. Abkürzungen: lit. a = Einwilligung, lit. b = Vertrag oder vorvertragliche Maßnahme, lit. c = rechtliche Verpflichtung, lit. f = berechtigtes Interesse — jeweils Art. 6 Abs 1 DSGVO.
Zweck: Auslieferung der Seiten, Betriebssicherheit, Abwehr von Angriffen und
Überlastung.
Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge,
Statuscode, Verweisadresse, Browser- und Betriebssystemkennung.
Empfänger: Cloudflare, Inc. — dort wird die Website gehostet und ausgeliefert
(Cloudflare Pages samt vorgelagertem Netzwerk- und Angriffsschutz). Die Datenbank und der
Dateispeicher liegen bei Supabase im Rechenzentrum Frankfurt am Main (Region eu-central-1); die
E-Mail-Postfächer betreibt IONOS SE.
Rechtsgrundlage: lit. f — berechtigtes Interesse an sicherer, störungsfreier
Auslieferung.
Speicherdauer: Server-Protokolle werden nach längstens 30 Tagen gelöscht oder
gekürzt, es sei denn, ein Sicherheitsvorfall macht eine längere Aufbewahrung erforderlich.
Zweck: Anlegen und Führen des Kontos, Anmeldung, Zuordnung von Inseraten,
Bestellungen und Nachrichten.
Daten: E-Mail-Adresse, Passwort (nur als kryptografischer Hash gespeichert, nie im
Klartext), Name, Anzeigename, Anschrift, Telefonnummer, Geburtsdatum, Kontoart (privat oder Firma),
bei Firmenkonten Firmenname, Rechtsform, UID-Nummer, Firmenbuchnummer, Ansprechpartner, optional
Profilbild, Banner und Beschreibung, gewählte Kategorien, Spracheinstellung.
Rechtsgrundlage: lit. b — ohne diese Daten kann das Konto nicht geführt werden.
Freiwillige Angaben (Profilbild, Beschreibung) beruhen auf lit. f oder lit. a.
Schutz vor automatisierten Anmeldungen: Auf den Seiten für Anmeldung und
Registrierung sowie beim Melden eines Inhalts ohne Konto (Abschnitt 4.13) ist
Cloudflare Turnstile eingebunden. Der Dienst prüft beim Laden
der Seite, ob ein Mensch oder ein Programm zugreift; dazu verarbeitet Cloudflare Ihre IP-Adresse,
Browser- und Gerätemerkmale sowie technische Signale des Seitenaufrufs. Ein Cookie wird dafür
nicht gesetzt. Rechtsgrundlage: lit. f — berechtigtes Interesse an der Abwehr automatisierter
Massenanmeldungen und Angriffe (siehe auch 4.14).
Anmeldung mit Google: Wählen Sie „Mit Google
anmelden", leitet Ihr Browser Sie zu Google (Google Ireland Limited) weiter; Google erfährt dabei,
dass Sie sich bei Vermittco anmelden. Nach Ihrer Bestätigung übermittelt Google uns Ihre
E-Mail-Adresse, Ihren Namen, die Adresse Ihres Profilbilds und eine Google-Kennung; sie werden mit
den Anmeldedaten Ihres Kontos gespeichert. Für Ihr Google-Konto selbst ist Google eigener
Verantwortlicher. Rechtsgrundlage: lit. b — Anmeldung auf Ihren Wunsch.
Anmeldung mit Apple, Facebook oder Microsoft: Diese Anmeldewege sind derzeit nicht
freigeschaltet. Ein Klick auf die entsprechende Schaltfläche führt zu einer Fehlermeldung unseres
Anmeldedienstes (Supabase); an Apple, Meta oder Microsoft werden dabei keine Daten übermittelt.
Speicherdauer: für die Dauer des Kontos. Nach der Löschung des Kontos werden die
Daten binnen 30 Tagen entfernt; ausgenommen sind Daten, die gesetzlichen Aufbewahrungspflichten
unterliegen (siehe 4.6 und 4.8 — bei Anbietern bis zu zehn Jahre) und Daten, die zur Abwehr oder
Durchsetzung von Ansprüchen erforderlich sind (bis zum Ablauf der Verjährung, in der Regel drei
Jahre).
Zweck: Bestätigung der E-Mail-Adresse, Passwort-Zurücksetzen, Erkennen unbefugter
Zugriffe, Warnung bei ungewöhnlichen Anmeldungen, automatische Abmeldung bei Untätigkeit.
Daten: Zeitpunkt der Anmeldung, gekürzte IP-Adresse (bei IPv4 wird die letzte Zahlengruppe
auf 0 gesetzt, bei IPv6 bleiben nur die ersten 48 Bit erhalten; die vollständige Adresse wird nicht
gespeichert), das Land, das unser Auslieferungsnetz (Cloudflare) aus der IP-Adresse ableitet,
Browser- und Gerätekennung, Ergebnis des Anmeldeversuchs. Diese Angaben werden nicht an Dritte
übermittelt; auch für die Auswertung im Betreiberbereich wird kein fremder Dienst abgefragt.
Rechtsgrundlage: lit. f — Schutz der Konten und der Plattform; lit. b für die
Anmeldung selbst; lit. c, soweit die Sicherheit der Verarbeitung nach Art. 32 DSGVO geboten ist.
Speicherdauer: Anmeldeereignisse 12 Monate; danach Löschung.
Zweck: Prüfung der Identität von Anbietern, bevor sie über die Plattform verkaufen,
Rückverfolgbarkeit von Unternehmern (freiwillig nach dem Vorbild von Art. 30 der Verordnung (EU)
2022/2065 — als Kleinstunternehmen ist Vermittco dazu nicht verpflichtet, Art. 29 Abs 1),
Verhinderung von Betrug und Identitätsmissbrauch, Einhaltung von Sanktionsvorschriften.
Daten: Name, Geburtsdatum, Anschrift, Ausweisdaten und Ausweisbild, Firmenbuch-
und Gewerberegisterdaten, UID-Nummer samt Ergebnis der Prüfung im Mehrwertsteuer-Informationssystem
(MIAS/VIES) der Europäischen Kommission, Zahlungskonto, Ergebnis eines Abgleichs des geprüften
Namens mit öffentlich zugänglichen Sanktions- und PEP-Listen über den Dienst OpenSanctions.
Automatisierte Vorprüfung durch Google: Beantragen Sie die Verifizierung Ihres
Firmenkontos, werden Ihre Firmen- und Kontaktangaben und die von Ihnen hochgeladenen
Nachweisdateien — je nachdem, was Sie hochgeladen haben, also etwa Firmenbuchauszug,
Gewerbeschein oder Zertifikate — an die Gemini-Schnittstelle von Google übermittelt und dort
ausgewertet. Ausweisdokumente werden nicht an Google übermittelt: Die Prüfung
Ihrer Identität erfolgt ausschließlich über Stripe Identity (siehe nächster Absatz); an die
Gemini-Schnittstelle geht nur die Aussage, ob diese Prüfung bestanden wurde, läuft oder noch
aussteht. Auch früher als Nachweis hochgeladene Ausweisbilder werden nicht übermittelt.
Welche Angaben und Dateien das im Einzelnen sind, steht in
Abschnitt 4.15; zur Übermittlung in die Vereinigten Staaten siehe Abschnitt 6. Das Ergebnis ist
eine Vorbewertung: Die Verifizierung wird nie automatisch erteilt, und auch eine negative
Vorbewertung wird unserem Team zur Prüfung vorgelegt (Abschnitt 7).
Identitätsprüfung durch Stripe Identity: Die Prüfung Ihrer Identität läuft als
Live-Aufnahme über Stripe Identity, einen auf Ausweisprüfungen spezialisierten Dienst: Sie halten
Ihr amtliches Ausweisdokument vor die Kamera und nehmen ein Selfie auf. Ausweisbild, die aus dem
Dokument ausgelesenen Daten und das Selfie werden dabei an Stripe Payments Europe, Ltd. übermittelt
und dort auf Echtheit und Übereinstimmung geprüft. Wir erhalten das Ergebnis der Prüfung und die
geprüften Stammdaten (Name, Geburtsdatum) und gleichen sie mit Ihren Kontoangaben ab. Das
Ausweisbild wird von uns nicht gespeichert und an keinen weiteren Dienst weitergegeben.
Selfie-Abgleich = biometrische Daten: Beim Abgleich des Selfies mit dem Lichtbild im
Ausweis werden aus beiden Bildern Gesichtsmerkmale berechnet, um Sie eindeutig zu identifizieren. Das
sind biometrische Daten und damit eine besondere Kategorie personenbezogener Daten (Art. 9 Abs 1
DSGVO). Wir starten den Selfie-Abgleich deshalb nur, wenn Sie vorher ausdrücklich
eingewilligt haben (Art. 9 Abs 2 lit. a DSGVO); die Einwilligung wird mit Zeitpunkt, Fassung
des Einwilligungstextes und Sprache als Nachweis gespeichert (Art. 7 Abs 1 DSGVO). Ohne Einwilligung
findet kein Selfie-Abgleich statt. Möchten Sie keinen Selfie-Abgleich, schreiben Sie uns an die
Adresse in Abschnitt 1: Wir prüfen Ihre Identität dann ohne biometrischen Abgleich anhand Ihres
Ausweisdokuments durch einen Menschen; das kann länger dauern. Sie können die Einwilligung jederzeit
mit Wirkung für die Zukunft widerrufen (Art. 7 Abs 3 DSGVO); wir veranlassen dann die Löschung bei
Stripe (siehe Speicherdauer).
Eigene Verarbeitung durch Stripe: Stripe bewahrt nach eigenen Angaben eine Kopie der
bei der Prüfung übermittelten Daten auf und nutzt Angaben zu Ihrem Gerät und Betrugssignale auch für
den Betrieb und die Verbesserung seiner Dienste, insbesondere zur Betrugserkennung; um Ihre
Zustimmung, Ihre Daten auch zur Verbesserung seiner Technik für biometrische Prüfungen zu verwenden,
bittet Stripe Sie gegebenenfalls selbst. Insoweit ist Stripe eigener Verantwortlicher; es gilt die
Datenschutzerklärung von Stripe (stripe.com/privacy).
Die Löschung dieser Kopie oder den Widerruf einer Stripe gegenüber erteilten Zustimmung können Sie
über den Stripe-Support verlangen (support.stripe.com).
Rechtsgrundlage: für die Identitäts- und Unternehmensprüfung als Voraussetzung für
das Verkaufen über die Plattform lit. b; für den Schutz der Käufer und der Plattform vor Betrug und
Identitätsmissbrauch lit. f; für umsatzsteuerliche Nachweise, die Erhebung der Angaben nach dem
Digitale-Plattformen-Meldepflichtgesetz (Abschnitt 4.8) und das Sanktionsrecht lit. c; für den
Selfie-Abgleich zusätzlich Ihre ausdrückliche Einwilligung nach Art. 9 Abs 2 lit. a DSGVO.
Speicherdauer: Das Ergebnis der Prüfung und die geprüften Stammdaten für die Dauer
der Geschäftsbeziehung und sechs Monate darüber hinaus; soweit die Angaben für die Meldung nach
Abschnitt 4.8 nötig sind, nach den dort genannten Fristen. Ausweisbild und Selfie werden von uns nicht
gespeichert; die Prüfsitzung bei Stripe samt Ausweisbild, Selfie und ausgelesenen Daten lassen wir
nach abgeschlossener Prüfung, spätestens nach 90 Tagen, und bei Löschung Ihres Kontos
bei Stripe schwärzen (Löschfunktion „redact" von Stripe; die Schwärzung ist bei Stripe
nach wenigen Tagen abgeschlossen). Ein Treffer auf einer Sanktionsliste wird bis zur Klärung
dokumentiert.
Zweck: Veröffentlichung, Suche, Reihung, Anzeige von Angeboten.
Daten: alle Angaben des Inserats einschließlich Bildern, Preis, Zustand, Standort
(Ort und Postleitzahl, nicht die genaue Adresse, sofern nicht selbst angegeben), Kontaktangaben des
Anbieters, Aufrufzahlen, Zeitpunkte.
Wichtig: Inserate sind öffentlich und können von Suchmaschinen
erfasst werden. Welche Angaben in ein Inserat aufgenommen werden, entscheidet der Anbieter.
Rechtsgrundlage: lit. b.
Speicherdauer: bis zur Löschung des Inserats oder des Kontos; danach 30 Tage
Wiederherstellungsfrist, anschließend Löschung. Zu bereits abgewickelten Bestellungen gehörende
Angaben bleiben Teil der Bestellunterlagen (siehe 4.6).
Zweck: Abwicklung der Bestellung, Zahlungseinzug, Käuferschutz, Auszahlung an den
Anbieter, Erstattungen, Rückbuchungen.
Daten: Bestell- und Rechnungsnummer, gekaufter Gegenstand, Preis, Steuerangaben,
Rechnungs- und Lieferanschrift, E-Mail-Adresse, Zahlungsart, Zahlungsstatus, Zeitpunkte,
Auszahlungs- und Erstattungsdaten. Vollständige Kartendaten erhält Vermittco nicht
— sie werden unmittelbar vom Zahlungsdienstleister erhoben.
Empfänger: Stripe Payments Europe, Ltd. (Zahlungsabwicklung, Auszahlung an Anbieter,
Betrugsprävention; eigener Verantwortlicher für die Zahlungsabwicklung), bei Auszahlungen im
Creator-Programm zusätzlich PayPal, das Kreditinstitut des Empfängers, sowie der Steuerberater des
Verantwortlichen.
Rechtsgrundlage: lit. b für die Abwicklung; lit. c für Beleg- und
Aufbewahrungspflichten; lit. f für die Betrugsprävention.
Speicherdauer: Bücher, Belege und Aufzeichnungen sieben Jahre ab
Ende des Kalenderjahres (§ 132 BAO, § 212 UGB); bei anhängigen Verfahren länger. Aufzeichnungen über
Umsätze, die Vermittco als Plattform im Sinn des § 18 Abs 11 UStG unterstützt — also Angaben zum
Anbieter, zum Käufer, zur Lieferung und zum Entgelt —, werden zehn Jahre ab Ende des
Jahres aufbewahrt, in dem der Umsatz bewirkt wurde (§ 18 Abs 12 UStG). Innerhalb dieser Fristen sind
die Daten für die laufende Nutzung gesperrt; das gilt auch nach der Löschung eines Kontos.
Zweck: Erstellung von Rechnungen und Gutschriften — auch im Namen des Anbieters auf
Grundlage der Vermittlungs- und Abrechnungsvollmacht —, Umsatzsteuer-
voranmeldung, Gewinnermittlung, Übergabe an die Buchhaltung.
Daten: Rechnungsdaten nach § 11 UStG, Steuersätze, UID-Nummern, Zahlungsdaten.
Empfänger: auf ausdrückliche Veranlassung des jeweiligen Nutzers die von ihm
gewählte Buchhaltungssoftware — derzeit unterstützt: lexoffice (Lexware) und sevDesk —, sowie im
Rahmen der gesetzlichen Pflichten das Finanzamt.
Rechtsgrundlage: lit. c; für den Export in eine Buchhaltungssoftware lit. b
beziehungsweise lit. a.
Speicherdauer: sieben Jahre (siehe 4.6).
Zweck: Erfüllung der Meldepflicht als Plattformbetreiber nach dem
Digitale-Plattformen-Meldepflichtgesetz.
Daten: Name, Anschrift, Geburtsdatum oder Firmenbuchnummer,
Steueridentifikationsnummer, UID-Nummer, Bankverbindung, im Kalenderjahr erzielte Vergütungen,
einbehaltene Gebühren, Zahl der Transaktionen.
Empfänger: das österreichische Finanzamt, das die Daten an die zuständigen
Steuerbehörden anderer Mitgliedstaaten weiterleitet.
Rechtsgrundlage: lit. c.
Speicherdauer: Die gemeldeten Angaben werden zehn Jahre nach Ablauf
des Meldezeitraums gelöscht, auf den sie sich beziehen (§ 15 Abs 3 DPMG). Löscht ein Anbieter sein
Konto vorher, bewahren wir die für Meldung und Nachweis nötigen Angaben (Name, Anschrift,
Geburtsdatum oder Firmenbuchnummer, Steueridentifikationsnummer, UID-Nummer, Bankverbindung,
Vergütungen und Transaktionen) bis dahin gesperrt auf. Anbieter erhalten vor jeder Meldung die sie
betreffenden zu meldenden Angaben mitgeteilt (§ 15 Abs 2 DPMG).
Zweck: Erstellen von Versandetiketten, Verfolgen der Sendung, Auslösen der
Auszahlung nach Zustellung, Bewertungseinladung nach Zustellung.
Daten: Name und Anschrift des Empfängers, Gewicht und Maße, Sendungsnummer,
Statusmeldungen des Zustellers, Zustellzeitpunkt.
Empfänger: Sendcloud (Erzeugen von Versandetiketten), AfterShip (Abruf des
Sendungsstatus) sowie der jeweils gewählte Zustelldienst.
Rechtsgrundlage: lit. b.
Speicherdauer: als Teil der Bestellunterlagen sieben Jahre, soweit sie zu den
Aufzeichnungen nach § 18 Abs 11 UStG gehören zehn Jahre (siehe 4.6); Statusmeldungen werden
nach Abschluss der Bestellung nicht weiter aktualisiert.
Zweck: Kommunikation zwischen Käufern und Anbietern sowie mit dem Support.
Daten: Inhalt der Nachricht, Zeitpunkt, Beteiligte, Anhänge, Sprachaufnahmen,
Lesestatus.
Verschlüsselung: Der Text von Nachrichten im
Nutzer-zu-Nutzer-Chat wird Ende-zu-Ende-verschlüsselt übertragen und gespeichert; Vermittco kann
ihn im Regelbetrieb nicht mitlesen und prüft ihn nicht. Bilder und andere Anhänge sind
davon ausgenommen: Sie werden transportverschlüsselt übertragen und in einem privaten,
zugriffsgeschützten Speicher abgelegt, sind aber nicht Ende-zu-Ende-verschlüsselt. Bilder aus
Chat-Nachrichten werden automatisiert auf offensichtlich rechtswidrige Darstellungen geprüft
(siehe 4.15). Verkehrsdaten (wer wann mit wem) fallen dennoch an und sind für den Betrieb
erforderlich.
Rechtsgrundlage: lit. b und lit. f.
Speicherdauer: bis zur Löschung durch die Beteiligten oder bis zur Löschung des
Kontos; Nachrichten, die zu einer Bestellung gehören, bleiben als Nachweis bis zum Ablauf der
Gewährleistungs- und Verjährungsfristen erhalten.
Zweck: Veröffentlichung von Bewertungen zu Anbietern und Angeboten.
Daten: Bewertungstext, Sterne, gegebenenfalls Bilder, Anzeigename, Zeitpunkt; zur
Prüfung des Kennzeichens „Verifizierter Kauf" wird beim Abgeben automatisch abgefragt, ob eine über die
Plattform bezahlte Bestellung des Verfassers zu diesem Angebot oder bei diesem Anbieter vorliegt;
bei Bewertungen über einen Einladungslink die Angaben aus der Einladung des Anbieters (Name des
Eingeladenen). Wer unter welchen Voraussetzungen bewerten darf, steht in
§ 8 der AGB.
Rechtsgrundlage: lit. b für die Abgabe und Zuordnung der Bewertung; lit. f für die
Veröffentlichung und die Prüfung des Kaufkennzeichens — berechtigtes Interesse an echten,
nachvollziehbaren Bewertungen für andere Nutzer (§ 2 Abs 6b UWG).
Speicherdauer: bis zum Widerruf durch den Verfasser oder bis zur Löschung des
Kontos; danach anonymisiert oder gelöscht.
Transaktions-E-Mails (Bestellbestätigung, Rechnung, Versandmeldung, Mahnung, Sicherheitshinweis) beruhen auf lit. b beziehungsweise lit. c. Sie können nicht abbestellt werden, solange das zugrunde liegende Vertragsverhältnis besteht.
Newsletter wird nur nach ausdrücklicher Anmeldung versendet und die Anmeldung wird über einen Bestätigungslink überprüft (Double-Opt-in). Gespeichert werden E-Mail-Adresse, Zeitpunkt von Anmeldung und Bestätigung sowie der Bestätigungsvorgang als Nachweis (Art. 7 Abs 1 DSGVO). Rechtsgrundlage: lit. a. Der Widerruf ist über den Abmeldelink in jeder Nachricht und über die Konto-Einstellungen jederzeit möglich und wirkt für die Zukunft.
Empfehlungen und Hinweise an Bestandskunden zu ähnlichen eigenen Leistungen werden nur versendet, wenn die Voraussetzungen des § 174 Abs 4 TKG 2021 vorliegen — Adresse aus einem Verkauf, Hinweis auf die Abmeldemöglichkeit bei Erhebung und in jeder Nachricht, kein Eintrag in der ECG-Liste. Rechtsgrundlage: lit. f. Ein Widerspruch ist jederzeit möglich.
Empfänger: Brevo (Sendinblue GmbH / Brevo SAS) als Versanddienstleister für alle
E-Mails; IONOS SE für die Postfächer der Korrespondenz.
Zustellung, Öffnungen und Klicks: Brevo protokolliert für jede E-Mail, ob sie zugestellt
wurde. Je nach Einstellung des Brevo-Kontos kann Brevo außerdem erfassen, ob eine E-Mail geöffnet
wurde (über ein unsichtbares Bild, das beim Anzeigen der E-Mail geladen wird) und ob ein Link darin
angeklickt wurde (über eine Weiterleitung des Links über Brevo); dabei erfährt Brevo Ihre IP-Adresse,
Browser- bzw. Programmkennung und den Zeitpunkt. Wir rufen Öffnungen und Klicks nicht ab,
speichern sie nicht in unserer Datenbank und werten sie nicht aus. An unsere Datenbank
meldet Brevo nur dauerhafte Zustellfehler, Spam-Beschwerden und Abmeldungen; die betroffene Adresse
kommt auf eine Sperrliste, damit an sie nichts mehr versandt wird (lit. f — Zustellbarkeit und
Schutz vor unerwünschten E-Mails; lit. c, soweit eine Abmeldung zu beachten ist). Sie können das
Nachladen von Bildern in Ihrem E-Mail-Programm abschalten; die E-Mails bleiben dann vollständig
lesbar.
Speicherdauer: Newsletter-Daten bis zur Abmeldung, der Nachweis der Einwilligung
drei Jahre darüber hinaus; Versandprotokolle 90 Tage; Einträge auf der Sperrliste für unzustellbare
oder abgemeldete Adressen, solange die Sperre besteht.
Zweck: Bearbeitung von Anfragen, Beschwerden und Meldungen.
Daten: Name, E-Mail-Adresse, gegebenenfalls Telefonnummer, Inhalt der Anfrage,
Verlauf der Bearbeitung, zugeordnete Bestellung.
E-Mails an support@vermittco.com nimmt Cloudflare entgegen (E-Mail-Weiterleitung) und
legt sie als Anfrage in unserer Datenbank an. Die Anfrage wird automatisch einem Thema zugeordnet und,
soweit möglich, sofort automatisch beantwortet (Abschnitt 4.28); auf Wunsch bearbeitet sie ein Mensch.
Scheitert die Übergabe, wird die E-Mail an das Postfach support@vermittco.com weitergeleitet, das bei
Google geführt wird (Abschnitt 5).
Meldungen rechtswidriger Inhalte (Art. 16 DSA): Name und E-Mail-Adresse der meldenden
Person (entbehrlich bei Meldungen zu sexuellem Missbrauch von Kindern), der Meldegrund, die
Begründung, die Fundstelle, die Erklärung guten Glaubens, bei Meldungen ohne Konto das Ergebnis der
Prüfung durch Cloudflare Turnstile (Abschnitt 4.2) sowie Eingangsbestätigung, Entscheidung und deren
Mitteilung. Zur Vorsortierung kann eine Meldung samt dem gemeldeten Inserat automatisiert über die
Gemini-Schnittstelle von Google ausgewertet werden (Abschnitt 4.15) — ausgenommen Meldungen zu
sexuellem Missbrauch von Kindern; entschieden wird jede Meldung von einem Menschen. Der betroffene
Anbieter erfährt den Inhalt einer Meldung, soweit das für die Begründung einer Maßnahme nötig ist; den
Namen der meldenden Person nur, wenn das unbedingt erforderlich ist (Art. 17 Abs 3 lit. b DSA).
Rechtsgrundlage: lit. b bei Vertragsbezug, sonst lit. f — berechtigtes Interesse an
der Beantwortung von Anfragen; für Meldungen, Entscheidungsmitteilungen und Begründungen nach dem
Gesetz über digitale Dienste (Art. 16 und 17 DSA) lit. c.
Speicherdauer: drei Jahre ab Abschluss der Bearbeitung, längstens bis zum Ablauf
der Verjährung möglicher Ansprüche; Meldungen und Beschwerden nach dem DSA sechs Monate über die
Entscheidung hinaus für das Beschwerdeverfahren, statistische Kennzahlen anonymisiert länger.
Kündigungen und Widerrufe über die Schaltflächen „Verträge hier kündigen" und „Vertrag widerrufen"
sind in Abschnitt 4.27 beschrieben.
Zweck: Erkennen und Verhindern von Betrug, Spam, Mehrfachkonten, Zahlungsmissbrauch
und Angriffen; Durchsetzung der Plattformregeln.
Daten: Konto- und Nutzungsdaten, Zeitpunkte, gekürzte IP-Adressen, Geräte- und
Browsermerkmale, Auffälligkeitsmerkmale (etwa auffällige Häufungen von Anmeldeversuchen, Inseraten
oder Meldungen), Sperrgründe und Sperrdauer.
Rechtsgrundlage: lit. f — berechtigtes Interesse am Schutz der Nutzer und des
Betriebs; lit. c, soweit Pflichten nach Art. 23 der Verordnung (EU) 2022/2065 oder Art. 32 DSGVO
bestehen.
Begründungen von Maßnahmen: Wird ein Inhalt eingeschränkt oder ein Konto gesperrt,
speichern wir die Begründung, die Sie nach Art. 17 DSA erhalten (Maßnahme, Reichweite und Dauer,
Tatsachen, Anlass, Einsatz automatisierter Mittel, Rechts- oder Vertragsgrundlage), samt Zeitpunkt der
Mitteilung; Rechtsgrundlage lit. c. Die Begründung erhalten Sie per E-Mail; eine Kopie können Sie
jederzeit bei uns anfordern.
Speicherdauer: Sperreinträge für die Dauer der Sperre und drei Jahre danach zur
Verhinderung der Umgehung; Begründungen von Maßnahmen drei Jahre ab der Entscheidung (Beschwerde,
Streitbeilegung, Abwehr von Ansprüchen); Auffälligkeitsprotokolle 12 Monate.
Zweck: automatisierte Prüfung neuer Inserate auf offensichtlich unzulässige
Inhalte; automatisierte Prüfung von Beiträgen, Antworten, Kommentaren, Bewertungen, Profilbildern,
Firmenlogos, Stories und von Bildern aus Chat-Nachrichten auf offensichtlich rechtswidrige oder
schwer anstößige Inhalte (etwa pornografische oder gewaltverherrlichende Darstellungen); Erzeugen
von Untertiteln für hochgeladene Videos; Verstehen von Suchanfragen in natürlicher Sprache,
Vorschläge beim Erstellen von Inseraten, Vorschläge für Antworten, Auswertung eingehender
Angebotsmails, Unterstützung im Support.
Daten bei Inseraten, Suche und Support: nur der jeweils übermittelte Text oder das
Bild — also Inseratstexte, Suchanfragen, Support-Anfragen.
Daten bei der Prüfung von Beiträgen, Bewertungen und Bildern: der Text des Beitrags,
der Antwort, des Kommentars oder der Bewertung und die dazugehörigen Bilder; bei Chat-Nachrichten
ausschließlich das Bild, nie der verschlüsselte Nachrichtentext. Für Untertitel
wird die Tonspur des hochgeladenen Videos verarbeitet. Name, E-Mail-Adresse und andere Kontoangaben werden dabei nicht
mitgesendet. Diese Prüfungen laufen über Cloudflare Workers AI (Sprach- und
Bildmodelle, die Cloudflare in seinem Netzwerk betreibt); Cloudflare verwendet die Inhalte nach
seinen Bedingungen nicht zum Training von Modellen.
Daten bei der Firmen- und Identitätsprüfung (Abschnitt 4.4): hier geht deutlich
mehr an die Schnittstelle, und wir benennen das offen: das vollständige Firmenprofil
(Firmenname, Rechtsform, Anschrift, Website, E-Mail-Adresse und Telefonnummer der Firma,
Ansprechpartner, Name des Geschäftsführers oder Inhabers, UID-Nummer, Firmenbuch- und
Gewerbenummer, Gründungsjahr, Angaben zur Firmengröße, Firmenbeschreibung sowie die E-Mail-Adresse
Ihres Kontos), das Ergebnis unserer eigenen Vorprüfungen (Abfrage der UID-Nummer im EU-System
VIES, ein Auszug aus dem Impressum der angegebenen Website, ob die E-Mail-Domain Post empfangen
kann, ob ein Stripe-Zahlungskonto verbunden und von Stripe geprüft ist, ob die Identitätsprüfung
über Stripe Identity bestanden wurde) und bis zu sechs der von Ihnen hochgeladenen
Nachweisdateien mit ihrem vollständigen Dateiinhalt — ausgenommen
Ausweisdokumente: Dateien aus dem Bereich „Ausweis / Identität" und Dateien, deren Name
auf ein Ausweisdokument hinweist, werden nicht übermittelt. Zur Plausibilitätsprüfung
kann die Schnittstelle zu diesen Angaben zusätzlich eine Google-Suche durchführen.
Nicht übermittelt werden Zahlungsdaten wie Karten- oder Kontonummern; vom
Zahlungskonto wird ausschließlich übergeben, ob es besteht und von Stripe geprüft wurde.
Empfänger: Google Cloud EMEA Limited, Dublin (Gemini-Schnittstelle von Google; sie
ist der Hauptdienst für die Suche in eigenen Worten, die Vorprüfung von Inseraten, Meldungen und
Firmenkonten, Vorschläge beim Erstellen von Inseraten und für Antworten, die Auswertung eingehender
Angebotsmails, die Einstufung von Support-Anfragen und den Chat-Assistenten), Cloudflare, Inc.
(Workers AI für die Prüfung von Beiträgen, Bewertungen und Bildern sowie für Untertitel) und
Anthropic Ireland, Limited, Dublin (Antworten auf Support-Anfragen sowie Übersetzung der Namen von
Kategorien; eine Weiterverarbeitung bei Anthropic PBC in den USA ist möglich, siehe Abschnitt 6).
Die Anbieter verwenden die übermittelten Inhalte nach ihren Geschäftsbedingungen für die
kostenpflichtige Schnittstellennutzung nicht zum Training ihrer Modelle.
Rechtsgrundlage: lit. f — berechtigtes Interesse an einer funktionierenden
Moderation und Suche; lit. b, soweit die Funktion Teil der vertraglichen Leistung ist; lit. c für
die Moderationspflichten aus der Verordnung (EU) 2022/2065.
Was die automatisierte Prüfung bewirkt: Stuft die Prüfung ein Inserat als
eindeutig unzulässig ein, wird es automatisch nicht veröffentlicht
beziehungsweise aus der Anzeige genommen; ist das Ergebnis unsicher, entscheidet ein Mensch. Ein
Beitrag, eine Bewertung oder ein Bild mit einem eindeutig unzulässigen Inhalt wird automatisch
nicht gespeichert oder wieder entfernt; eine Chat-Nachricht mit einem solchen Bild wird geleert.
Der Grund wird Ihnen sofort mitgeteilt — bei Inseraten direkt beim Inserat in Ihrem Konto, sonst
als Mitteilung — und Sie können eine Überprüfung durch einen Menschen verlangen
(siehe Abschnitt 7). Ist der
Prüfdienst nicht erreichbar, wird nichts gesperrt. Eine Kontosperre wird nie
allein durch ein automatisiertes Ergebnis ausgelöst.
Speicherdauer: Das Prüfergebnis wird beim Inserat vermerkt und mit diesem gelöscht;
bei Beiträgen, Bewertungen und Bildern wird nur das Ergebnis samt Grund protokolliert. Bei den
Anbietern werden die Inhalte für die Dauer der Verarbeitung verarbeitet; darüber hinaus protokolliert
Google Anfragen und Antworten der kostenpflichtigen Gemini-Schnittstelle nach seinen Bedingungen für
eine begrenzte Zeit ausschließlich zur Erkennung von Missbrauch, und bei Anfragen mit Abgleich über
die Google-Suche (etwa bei der Vorprüfung von Firmenkonten und Meldungen) speichert Google Anfrage und
Ergebnis bis zu 30 Tage. Für Anthropic und Cloudflare gelten deren Bedingungen zur Aufbewahrung.
Zweck: Verstehen, welche Seiten genutzt werden; Empfehlungen und zuletzt angesehene
Inserate.
Daten: Seitenaufrufe und Aufrufe einzelner Inserate, ungefähre Region (abgeleitet
aus Sprache und Zeitzone) und das Land, das unser Auslieferungsnetz (Cloudflare) aus der
IP-Adresse ableitet, Gerätetyp, Browser, Betriebssystem, Sprache, Verweisadresse, Uhrzeit, eine
zufällige Sitzungskennung; bei angemeldeten Nutzern die Zuordnung zum Konto. Die
IP-Adresse selbst wird dabei nicht gespeichert. Die Messung erfolgt in unserer
eigenen Datenbank; es findet keine Weitergabe an Dritte statt.
Rechtsgrundlage: lit. a — Ihre Einwilligung über den Cookie-Hinweis
(Kategorie „Statistik" beziehungsweise „Funktional & Präferenzen"). Ohne Einwilligung findet
keine Messung statt, und angesehene Inserate und Suchen werden nicht aufgezeichnet — ausgenommen die
anonyme Suchstatistik (nächster Absatz), die keiner Person zugeordnet wird.
Anpassung der Reihenfolge: Wie Empfehlungen und Trefferlisten an Sie angepasst werden
(höchstens drei Plätze nach vorne, nie eine andere Treffermenge), steht in
§ 14 der AGB. Sind Sie angemeldet, können dafür auch Ihre Merkliste, Ihre
gespeicherten Suchen und Ihre Käufe herangezogen werden, die in Ihrem Konto ohnehin gespeichert sind;
das geschieht auch ohne die Einwilligung „Funktional & Präferenzen" (lit. f — berechtigtes Interesse
an passenden Vorschlägen; Sie können jederzeit widersprechen). Mit „Personalisierung pausieren" im
Bereich der Empfehlungen schalten Sie jede Anpassung ab.
Speicherdauer: Ereignisdaten 14 Monate, danach nur noch aggregierte, nicht
personenbezogene Kennzahlen. Widerruf jederzeit über die
Cookie-Einstellungen.
Anonyme Suchstatistik: Um die Suche und das Angebot an Kategorien zu verbessern, speichern wir jede Suchanfrage in unserer Datenbank — nur den Suchbegriff (höchstens 100 Zeichen), die Kategorie bzw. Seite und die Zahl der Treffer, ohne Bezug zu Ihrem Konto, Ihrer IP-Adresse oder Ihrem Gerät. Die Einträge werden ausgewertet, um fehlende Kategorien und häufig gesuchte Begriffe zu erkennen — gesammelte Suchbegriffe auch automatisiert über die Gemini-Schnittstelle von Google (Abschnitt 4.15) —, und nach 14 Monaten gelöscht. Bitte geben Sie in das Suchfeld keine Angaben über sich oder andere Personen ein. Rechtsgrundlage: lit. f — berechtigtes Interesse an einer brauchbaren Suche.
Reihung nach Nähe (ungefährer Standort): Damit Angebote aus Ihrer Umgebung zuerst erscheinen, ermittelt unser Auslieferungsnetz (Cloudflare) beim Aufruf von Übersichts- und Kategorieseiten aus Ihrer IP-Adresse Land, Region und Stadt und gibt diese drei Angaben an die Seite in Ihrem Browser zurück. Sie werden nur für die Reihung der Treffer und zur Vorbelegung des Landes im Bestellformular in Ihrem Browser verwendet, nicht in unserer Datenbank gespeichert und keinem Konto zugeordnet. Nur wenn Sie der Kategorie „Funktional & Präferenzen" zugestimmt haben, merkt sich Ihr Browser die Angabe für die Dauer der Sitzung; sonst wird sie bei jedem Seitenaufruf neu ermittelt. Wählen Sie selbst einen Ort, gilt Ihre Wahl statt des ermittelten Standorts. Rechtsgrundlage: lit. f — berechtigtes Interesse an einer für Sie brauchbaren Reihung (siehe § 14 der AGB); Sie können der Verarbeitung widersprechen (Abschnitt 9).
Zweck: Finanzierung des Angebots durch Werbeplätze und Partnerangebote.
Empfänger: Google Ireland Limited (AdSense) und CHECK24 (Vergleichsrechner). Diese
Anbieter können eigene Cookies setzen und sind für ihre Verarbeitung eigene Verantwortliche.
Rechtsgrundlage: lit. a — Kategorie „Marketing". Ohne Einwilligung werden diese
Dienste nicht geladen.
Speicherdauer: nach den Angaben des jeweiligen Anbieters; die Einwilligung selbst
wird sechs Monate gespeichert und danach neu abgefragt.
Zweck: Übernahme von Artikel- und Bestelldaten aus dem System eines Anbieters,
Rückmeldung von Bestellungen und Lagerständen.
Daten: Artikel- und Bestelldaten; bei Bestellungen auch Name und Anschrift der
Endkunden des Anbieters.
Herkunft der Daten (Art. 14 DSGVO): Diese Daten stammen nicht von der betroffenen
Person selbst, sondern aus dem System des jeweiligen Anbieters — etwa aus einem Shopify-Shop, einer
Warenwirtschaft oder einem Produktdatenfeed.
Rolle: Insoweit verarbeitet Vermittco die Daten im Auftrag des
Anbieters; es gilt die Auftragsverarbeitungsvereinbarung. Für die Information
seiner Kunden ist der Anbieter verantwortlich. Richtet Vermittco eine Anbindung für ein von ihm
eingerichtetes Konto ein, gilt das erst ab der Übernahme des Kontos; bis dahin siehe 4.26.
Speicherdauer: nach Weisung des Anbieters, längstens bis zur Beendigung der
Anbindung.
Kartendarstellung: Wo eine Karte angezeigt wird — auf Übersichts- und
Kategorieseiten, in der Detailansicht eines Inserats, im Profil eines Anbieters und auf der
Bestellseite —, werden die Kartenausschnitte (Kacheln) grundsätzlich von den Servern der
OpenStreetMap Foundation geladen. Technisch bedingt erfährt die
OpenStreetMap Foundation dabei Ihre IP-Adresse, die abgerufenen Kachelkoordinaten — also den
dargestellten Ausschnitt — und Browsermerkmale. Die Kartensoftware selbst liegt auf unserem
Server, sie wird nicht von Dritten nachgeladen. Auf den Übersichts- und Kategorieseiten öffnet
sich die Karte erst, wenn Sie sie anfordern; auf der Bestellseite wird sie zusammen mit den
Sendungsdaten angezeigt. Um Inserate auf der Karte zu verorten, fragt Ihr Browser die Ortsangabe des
Inserats (Ort, Postleitzahl, Land) bei Nominatim (OpenStreetMap Foundation) ab; das
Ergebnis wird im Speicher Ihres Browsers zwischengespeichert. Rechtsgrundlage für die
OpenStreetMap-Karte: lit. b, soweit die Karte zur Bestellabwicklung gehört, sonst lit. f —
verständliche Darstellung von Standorten.
Karte von Google Maps in einzelnen Detailansichten: Auf den Kategorieseiten
Elektrogeräte, Immobilien, Maschinen, Software, Verpackungen, Werkstoffe sowie auf
den Seiten der übrigen (dynamisch angelegten) Kategorien wird in der Detailansicht eines Inserats, das eine Ortsangabe
enthält, derzeit noch ein Kartenausschnitt von Google Maps eingebettet
(Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Verarbeitung auch durch
Google LLC in den Vereinigten Staaten). Dabei baut Ihr Browser unmittelbar eine
Verbindung zu Google auf und übermittelt Ihre IP-Adresse, Browsermerkmale und die
im Kartenaufruf enthaltene Ortsangabe des Inserats; Google kann dabei Cookies setzen oder Angaben
aus Ihrem Endgerät auslesen und Sie, wenn Sie gleichzeitig bei Google angemeldet sind, Ihrem
Google-Konto zuordnen. Für diese eigene Verarbeitung ist Google eigener Verantwortlicher; es gilt
die Datenschutzerklärung von Google (policies.google.com/privacy). Rechtsgrundlage: Ihre Einwilligung
— § 165 Abs 3 TKG 2021 für den Zugriff auf Ihr Endgerät, Art. 6 Abs 1 lit. a DSGVO für die
Übermittlung; zur Übermittlung in die Vereinigten Staaten siehe Abschnitt 6. Wir weisen
ausdrücklich darauf hin, dass diese Einbettung derzeit noch ohne vorherige Einwilligung geladen
wird. Wir stellen die betroffenen Seiten auf die oben beschriebene OpenStreetMap-Karte um;
bis dahin können Sie die Übermittlung nur verhindern, indem Sie die Detailansicht dieser Seiten
nicht aufrufen oder Verbindungen zu Google in Ihrem Browser blockieren. Ein Link
„In Google Maps öffnen" führt darüber hinaus erst nach Ihrem Klick zu Google.
Umgebung bei Immobilien: In der Detailansicht einer Immobilie zeigt die Seite
Einrichtungen in der Nähe (etwa Haltestellen, Schulen, Geschäfte). Dazu fragt Ihr Browser mit den
Koordinaten des Objekts die öffentliche Overpass-Schnittstelle zu
OpenStreetMap-Daten (overpass-api.de) ab; technisch bedingt erfährt der Betreiber dieser
Schnittstelle dabei Ihre IP-Adresse und Browsermerkmale. Rechtsgrundlage: lit. f — vollständige
Darstellung des Angebots.
Zur Plausibilitätsprüfung eingegebener Anschriften werden die eingegebene Straße, Postleitzahl und
der Ort an Nominatim (OpenStreetMap Foundation) und an
openPLZ übermittelt; weitere Angaben werden nicht übertragen und die Prüfung
blockiert eine Eingabe nie. Bei Fahrzeugen kann eine eingegebene Fahrgestellnummer an die
öffentliche Datenbank der US-Verkehrsbehörde (NHTSA vPIC) übermittelt werden, um
Fahrzeugmerkmale zu ergänzen. Preise werden immer in Euro angezeigt; zusätzlich kann ein
umgerechneter Richtwert in einer anderen Währung erscheinen (gewählt von Ihnen oder passend zu Ihrem
ungefähren Standort, den Ihr Browser über seine Zeitzone mitteilt — diese Angabe verlässt Ihr Gerät
dafür nicht). Den dafür nötigen Tageskurs (Referenzkurs der Europäischen Zentralbank) ruft Vermittco
über den eigenen Server (Auftragsverarbeiter Supabase, siehe oben) ab; dabei werden
keine Angaben über Sie an Dritte übermittelt. Nur wenn dieser Abruf scheitert und Sie
selbst eine andere Anzeigewährung als Euro gewählt haben, fragt Ihr Browser den Kurs direkt bei
frankfurter.dev ab; technisch bedingt erfährt dieser Dienst dann Ihre IP-Adresse und
Browsermerkmale, weitere Angaben werden nicht übertragen. Der Kurs wird nur dann in Ihrem Browser
zwischengespeichert, wenn Sie der Kategorie „Funktional & Präferenzen" zugestimmt haben.
Abgerechnet wird in Euro. Zahlen Sie über die gesicherte Kasse von Stripe, kann Stripe Ihnen den
Betrag – je nach Karte und Land, das Stripe anhand Ihrer Verbindung ermittelt – auch in Ihrer
Landeswährung anbieten und dafür selbst umrechnen (Stripe-Kurs inklusive Umrechnungsgebühr); das
geschieht als eigene Verarbeitung von Stripe (Abschnitt 4.6). Rechtsgrundlage jeweils lit. b und lit. f.
Guthaben und Bewegungen des Vermittco-Coin werden im Konto geführt (Rechtsgrundlage lit. b). Zur Nachweissicherung wird in regelmäßigen Abständen ein kryptografischer Prüfwert des Buchungsbestands über den Dienst OpenTimestamps in einer öffentlichen Blockchain verankert. Dabei werden keine personenbezogenen Daten veröffentlicht — der Prüfwert lässt keine Rückrechnung auf Inhalte oder Personen zu. Rechtsgrundlage: lit. f — Nachweisbarkeit und Manipulationsschutz.
Schriftarten und Programmbibliotheken liefern wir grundsätzlich von unserem eigenen
Server aus. Ausnahmen: Die Ansicht für 3D-Modelle und die Gestaltung personalisierter
Produkte lädt die Programmbibliothek three.js vom Dienst unpkg.com; fehlt dort eine
Schriftdatei auf unserem Server, lädt Ihr Browser sie ersatzweise von GitHub
(raw.githubusercontent.com, GitHub, Inc., USA). Technisch bedingt erfahren diese Dienste dabei Ihre
IP-Adresse und Browsermerkmale; weitere Angaben werden nicht übertragen. Rechtsgrundlage: lit. f —
Darstellung der von Ihnen aufgerufenen 3D- und Gestaltungsfunktion.
Bilder in Inseraten liegen in der Regel in unserem eigenen Speicher. Hat ein
Anbieter seinen Shop oder einen Produktdatenfeed angebunden (Abschnitt 4.18), können einzelne
Produktbilder direkt vom Server dieses Anbieters oder seiner Shop-Plattform geladen werden;
einzelne Beispielbilder stammen von Unsplash. In diesen Fällen wird technisch
bedingt Ihre IP-Adresse samt Browsermerkmalen an den jeweiligen Server übertragen. Rechtsgrundlage:
lit. f — vollständige Darstellung der Angebote. Wir stellen diese Bilder schrittweise auf den
eigenen Speicher um, um die Übertragungen zu vermeiden.
Von der Datenbank werden regelmäßig verschlüsselte Sicherungskopien erstellt, um Datenverlust zu vermeiden (lit. f, Art. 32 DSGVO). Sicherungskopien werden nach 30 Tagen überschrieben. Wird eine Löschung verlangt, werden die Daten aus dem Wirkbestand entfernt; aus Sicherungskopien verschwinden sie mit deren Ablauf.
Zweck: Anzeige der Seiten in einer anderen Sprache als Deutsch.
Wann das geschieht: nur dann, wenn Sie in den Einstellungen Ihres Kontos
ausdrücklich eine Fremdsprache wählen und in die Cookie-Kategorie „Funktional"
eingewilligt haben. Ohne beides wird der Übersetzer nicht geladen; die Sprache Ihres Browsers
allein löst ihn nicht aus. Die Rechtstexte (Datenschutz, AGB, Impressum und die übrigen
Rechtsseiten) sind von der maschinellen Übersetzung ausgenommen — verbindlich ist die deutsche
Fassung.
Daten: Wird der Übersetzer geladen, setzen wir das Cookie
googtrans (Sitzungscookie, hält Ihre
Sprachwahl fest) und binden ein Skript von translate.google.com ein. Dabei werden
Ihre IP-Adresse, Browsermerkmale und der zu übersetzende Text der aufgerufenen Seite an Google
übertragen.
Rechtsgrundlage: Ihre Einwilligung — § 165 Abs 3 TKG 2021 für das Cookie,
Art. 6 Abs 1 lit. a DSGVO für die Übermittlung. Sie können die Einwilligung jederzeit über
„Cookie-Einstellungen" im Fußbereich widerrufen; das Cookie wird dann entfernt.
Speicherdauer: Das Cookie endet mit der Browsersitzung oder mit dem Widerruf.
Wie lange Google die übermittelten Daten verarbeitet, entzieht sich unserem Einfluss; siehe
Abschnitt 6.
Zweck: Erkennen und Beheben von Programmfehlern auf den Seiten.
Wann das geschieht: Tritt auf der Startseite, den Kategorieseiten, der Anmeldung
oder der Registrierung ein Programmfehler auf, wird ein Fehlerbericht an den Dienst
Sentry (Functional Software, Inc.) übermittelt; die Verarbeitung erfolgt in der
EU-Datenregion des Anbieters (Frankfurt am Main). Zusätzlich führen wir ein eigenes
Fehlerprotokoll in unserer Datenbank.
Daten: Fehlermeldung und Stelle im Programm, Adresse der aufgerufenen Seite,
Zeitpunkt, Browser- und Betriebssystemkennung sowie die letzten Bedienschritte vor dem Fehler
(etwa angeklickte Schaltflächen und aufgerufene Adressen). Die Übermittlung von IP-Adressen und
Personendaten an den Dienst ist abgeschaltet; technisch bedingt erreicht die Anfrage den Dienst
dennoch über Ihre IP-Adresse. Cookies werden dafür nicht gesetzt.
Rechtsgrundlage: lit. f — berechtigtes Interesse an einem fehlerfreien und
sicheren Betrieb.
Speicherdauer: Fehlerberichte längstens 90 Tage.
Zweck: Durchführung zeitlich begrenzter Gewinnaktionen (Glücksrad) für angemeldete
Nutzer.
Daten: Konto, Zeitpunkt der Teilnahme, Ergebnis und der gegebenenfalls gewonnene
Gutschein samt Einlösung.
Rechtsgrundlage: lit. b — Durchführung der Aktion nach den
Teilnahmebedingungen; lit. f für die Abwehr von
Mehrfachteilnahmen.
Speicherdauer: bis zum Ende der Aktion und drei Jahre darüber hinaus (Verjährung
möglicher Ansprüche); Gutscheine, die zu einer Bestellung geführt haben, nach 4.6.
Worum es geht: Auf ausdrücklichen Auftrag eines Anbieters in Textform richtet
Vermittco ein Konto für ihn ein, befüllt es mit seinen Angaben und Inseraten und übergibt es ihm
anschließend (§ 3 Abs 7 der AGB,
§ 10 der Vermittlungs- und Abrechnungsvollmacht). Ohne
dokumentierten Auftrag wird kein Konto eingerichtet und kein Übernahme-Link versandt.
Zweck: Einrichtung des Kontos im Auftrag des Anbieters, Übergabe an ihn und Nachweis
von Auftrag und Übergabe.
Daten: Firmen- bzw. Personenangaben des Anbieters (etwa Firmenname, Rechtsform,
UID-Nummer, Firmenbuchnummer, Geschäftsführer, Anschrift, Website, Name und Telefonnummer der
Ansprechperson); die Angaben zum Einrichtungsauftrag (wer ihn wann auf welchem Weg erteilt hat);
Inhalte und Bilder der Inserate; Anfragen und Nachrichten von Interessenten, die während der
Einrichtung eingehen; ein Protokoll über Einrichtung, jeden Wechsel von Vermittco in das Konto und
die Übergabe (Zeitpunkte, die E-Mail-Adresse, an die der Übernahme-Link ging, die gewählte
Anmeldeart, IP-Adresse und Browserkennung bei der Annahme sowie die dabei beendeten Zugänge).
Herkunft der Daten (Art. 14 DSGVO): vom Anbieter selbst oder seinen Mitarbeitern,
aus seiner öffentlich zugänglichen Website oder seinem Shop- bzw. Produktdatenfeed sowie aus
öffentlichen Registern (Firmenbuch, Abfrage der UID-Nummer).
Rolle: Bis zur Übernahme ist Vermittco für diese Verarbeitung selbst
Verantwortlicher. Die Auftragsverarbeitungsvereinbarung gilt erst, wenn der
Anbieter ihr bei der Übernahme zustimmt.
Rechtsgrundlage: lit. b — Durchführung des vom Anbieter erteilten
Einrichtungsauftrags und vorvertragliche Maßnahmen zum Plattform-Nutzungsvertrag; soweit Daten von
Mitarbeitern oder Ansprechpersonen des Anbieters betroffen sind, die nicht selbst Vertragspartner
sind, lit. f — berechtigtes Interesse an der Durchführung des Auftrags. Das Protokoll beruht auf
lit. f — Nachweis von Auftrag und Übergabe sowie Abwehr von Ansprüchen.
E-Mails und Nachrichten während der Einrichtung: Bis zur Übernahme ist das Konto
mit einer internen Adresse von Vermittco angemeldet. Benachrichtigungen über Anfragen, Nachrichten
und Preisvorschläge an das Konto gehen deshalb an das Postfach von Vermittco (Abschnitt 1).
Nachrichten, die in dieser Zeit Ende-zu-Ende-verschlüsselt eingehen, sind an die Geräte gebunden, auf
denen sie entschlüsselt werden; nach der Übernahme können sie auf den Geräten des Anbieters technisch
unlesbar sein.
Übergabe: Zur Übernahme bestätigt der Anbieter seine E-Mail-Adresse mit einem
Einmal-Code und legt eine eigene Anmeldung fest (Passwort oder
Anmeldung mit Google). Mit der Übernahme beendet Vermittco alle
Anmeldungen, die es für die Einrichtung genutzt hat, und entfernt die in dieser Zeit angelegten Zugänge
(Sitzungen, Zwei-Faktor-Verfahren, Geräteschlüssel für verschlüsselte Nachrichten, Push-Geräte, ein
verbundenes Auszahlungskonto). Auf Anfrage erhält der Anbieter eine Aufstellung des Protokolls
(Art. 15 DSGVO).
Keine Veröffentlichung der Anmelde-Adresse: Die E-Mail-Adresse, mit der sich der
Anbieter bei der Übernahme anmeldet, wird nicht veröffentlicht. Eine Kontakt-Adresse für Käufer wird
nur angezeigt, wenn der Anbieter sie selbst ausdrücklich als öffentliche Kontakt-Adresse angibt.
Speicherdauer: Die Daten werden für die Dauer des Einrichtungsauftrags gespeichert.
Wird das Konto übernommen, gelten ab dann die Speicherdauern der übrigen Abschnitte (insbesondere 4.2
und 4.5). Endet der Auftrag ohne Übernahme — weil der Anbieter ihn widerruft oder weil Vermittco ihn
beendet, da das Konto nicht übernommen wird (§ 3 Abs 7 der AGB) —, nehmen
wir die Inserate unverzüglich aus der Anzeige und löschen das Konto samt Inhalten, soweit keine
Aufbewahrungspflicht entgegensteht. Das Protokoll über Auftrag und Übergabe ist technisch gegen
Änderung und versehentliches Löschen gesichert; es wird als Nachweis drei Jahre ab dem Ende der
Einrichtung aufbewahrt (Verjährung möglicher Ansprüche) und danach in einem gesonderten
Löschvorgang entfernt.
Widerspruch: Soweit die Verarbeitung auf lit. f beruht, können Sie ihr jederzeit
widersprechen (Art. 21 DSGVO, Abschnitt 9).
Zweck: Entgegennahme von Kündigungs- und Widerrufserklärungen über die
Schaltflächen „Verträge hier kündigen" und „Vertrag widerrufen"
(vertraege.html), sofortige Eingangsbestätigung, Zuordnung zum
betroffenen Vertrag, Ausführung der Erklärung und Nachweis ihres Zugangs.
Daten: Art der Erklärung (ordentliche oder außerordentliche Kündigung, Widerruf),
Name, E-Mail-Adresse, die Angabe zum Vertrag (etwa Vertrags-, Kunden- oder Rechnungsnummer), der
gewünschte Zeitpunkt, bei einer außerordentlichen Kündigung der angegebene Grund, Datum und Uhrzeit
des Eingangs nach der Serverzeit, IP-Adresse und Browserkennung, das zugeordnete Konto samt Stand des
Abos und Ergebnis der Bearbeitung sowie der Zeitpunkt der Bestätigungs-E-Mail. Name und
E-Mail-Adresse sind nötig, damit wir die Erklärung zuordnen und bestätigen können; beim Widerruf auch
die Angabe zum Vertrag.
Ablauf: Ist die angegebene E-Mail-Adresse genau einem Konto zugeordnet, verknüpfen
wir die Erklärung mit diesem Konto; eine ordentliche Kündigung eines über den Zahlungsdienstleister
Stripe laufenden Abos wird dann in der Regel sofort zum Ende der Abrechnungsperiode vorgemerkt.
Alle anderen Erklärungen — insbesondere Widerrufe und außerordentliche Kündigungen — prüft Vermittco
von Hand.
Die Eingangsbestätigung geht an die angegebene E-Mail-Adresse, eine Mitteilung über die Erklärung an
das Postfach von Vermittco (Abschnitt 1). Zum Schutz vor Missbrauch ist die Zahl der Erklärungen je
IP-Adresse und je E-Mail-Adresse begrenzt (Abschnitt 4.14).
Empfänger: Supabase (Speicherung), Brevo (E-Mail-Versand), Stripe (Vormerken der
Kündigung eines Abos) — siehe Abschnitt 5.
Rechtsgrundlage: lit. c — gesetzliche Pflicht, diese Schaltflächen bereitzustellen
und den Eingang sofort zu bestätigen (§ 312k und § 356a BGB, § 13a FAGG); lit. b — Durchführung und
Beendigung des Vertrags; lit. f — Nachweis des Zugangs (Serverzeit, IP-Adresse, Browserkennung),
Abwehr von Ansprüchen und Schutz vor missbräuchlichen Erklärungen.
Speicherdauer: Die Erklärung wird samt Eingangszeitpunkt, IP-Adresse und
Browserkennung als Nachweis drei Jahre ab dem Ende des Kalenderjahres aufbewahrt, in dem sie
eingegangen ist (Verjährung von Ansprüchen aus dem Vertrag und seiner Beendigung). Hat sie zu einer
Erstattung oder Buchung geführt, gehört sie zu den Buchungsunterlagen und wird sieben Jahre
aufbewahrt (§ 132 BAO). Die Einträge sind technisch gegen versehentliches Löschen gesichert; nach
Ablauf der Frist werden sie in einem gesonderten Löschvorgang entfernt.
Widerspruch: Soweit die Verarbeitung auf lit. f beruht, können Sie ihr jederzeit
widersprechen (Art. 21 DSGVO, Abschnitt 9); den Nachweis des Zugangs einer Erklärung benötigen wir
jedoch zur Abwehr von Ansprüchen (Art. 21 Abs 1 Satz 2 DSGVO).
Hinweis nach Art. 50 Abs 1 der Verordnung (EU) 2024/1689: Der Chat-Assistent unten
rechts auf der Website („Vermittco-Assistent") ist ein KI-System. Sie kommunizieren
dort mit einem Computerprogramm, nicht mit einem Menschen. Einfache Fragen (Begrüßung, Bedienung,
Suche nach Angeboten) beantwortet es selbst; alle übrigen Fragen gibt es an ein Sprachmodell weiter.
Die Antworten können Fehler enthalten und sind unverbindlich (§ 2 Abs 7
der AGB). Erste Antworten auf E-Mails an den Support können ebenfalls automatisch erzeugt werden
(Abschnitt 4.13); wer in der E-Mail ausdrücklich einen Menschen wünscht, erhält die Antwort von einem
Mitglied des Teams.
Zweck: Beantwortung von Fragen zur Plattform und Hinweise auf passende Angebote.
Daten: Ihre Nachrichten im Chat und die bisherigen Nachrichten desselben Gesprächs
(bis zu 20), die aufgerufene Seite, eine zufällige Sitzungskennung und — zur Begrenzung der Zahl der
Anfragen je Anschluss (Abschnitt 4.14) — Ihre IP-Adresse. Bitte geben Sie im Chat keine sensiblen
Angaben wie Passwörter, Zahlungs- oder Ausweisdaten ein.
Empfänger: Fragen, die das Programm nicht selbst beantwortet, gehen mit dem
Gesprächsverlauf an die Gemini-Schnittstelle von Google (Google Cloud EMEA Limited, Abschnitt 4.15).
Automatische Antworten im E-Mail-Support erzeugt Anthropic Ireland, Limited; die Einstufung der
Anfrage erfolgt über die Gemini-Schnittstelle.
Rechtsgrundlage: lit. f — berechtigtes Interesse an einer schnellen Beantwortung von
Fragen; lit. b, soweit die Frage einen Vertrag betrifft.
Speicherdauer: Das laufende Gespräch hält Ihr Browser nur für die Dauer der Sitzung
(Sitzungsspeicher). Eine Mitschrift (Frage, Antwort, Seite, Sitzungskennung — ohne Bezug zu Ihrem
Konto) speichern wir, um Fehler und Missbrauch zu erkennen und die Antworten zu verbessern; sie wird
gelöscht, sobald sie dafür nicht mehr benötigt wird, spätestens nach zwölf Monaten.
Zweck: Benachrichtigung über neue Nachrichten, Anfragen, Bestellungen und andere
Vorgänge in Ihrem Konto, wenn Sie Mitteilungen im Browser oder in der Vermittco-App eingeschaltet
haben.
Daten: Im Browser die Adresse des Push-Dienstes Ihres Browsers samt den zugehörigen
Schlüsseln, in der App eine Gerätekennung für Mitteilungen (Push-Token) und die Spracheinstellung, jeweils
Ihrem Konto zugeordnet; der Inhalt der Mitteilung (Titel und Text, bei Nachrichten der Name des
Absenders und eine kurze Vorschau von höchstens 120 Zeichen — bei Ende-zu-Ende-verschlüsselten
Nachrichten nur „Neue Nachricht", nie der Inhalt).
Empfänger: Im Browser stellt der Push-Dienst des Browserherstellers die Mitteilung zu
(etwa Google, Apple, Mozilla oder Microsoft). In der App übermitteln wir die Mitteilung an den Dienst
Expo (650 Industries, Inc., USA), der sie über den Push-Dienst von Apple (iPhone)
oder Google (Android) an Ihr Gerät weiterleitet.
Rechtsgrundlage: lit. b — die Mitteilungen sind eine von Ihnen eingeschaltete
Funktion Ihres Kontos; die Erlaubnis zum Anzeigen erteilen Sie in Ihrem Browser bzw. Gerät.
Speicherdauer: bis Sie die Mitteilungen ausschalten, sich abmelden oder der
Push-Dienst die Kennung als ungültig meldet; danach wird sie gelöscht.
Dienstleister, die Daten ausschließlich in unserem Auftrag verarbeiten, sind unten als Auftragsverarbeiter gekennzeichnet; mit ihnen bestehen Verträge nach Art. 28 DSGVO. Die übrigen Empfänger verarbeiten die Daten in eigener Verantwortung. Eingesetzt werden derzeit:
Eine Weitergabe zu Werbezwecken an Dritte findet nicht statt. Daten werden nicht verkauft.
Einzelne der genannten Empfänger haben ihren Sitz außerhalb des Europäischen Wirtschaftsraums oder verarbeiten Daten dort:
Trotz dieser Garantien lässt sich ein Zugriff durch Behörden des Empfängerstaates nicht in jedem Fall ausschließen; das Schutzniveau kann von dem der Europäischen Union abweichen. Eine Kopie der jeweils herangezogenen Garantien stellen wir auf Anfrage zur Verfügung.
Wir setzen automatisierte Verfahren ein. Überwiegend sind das Vorbewertungen, über die ein Mensch entscheidet; in einem Fall — der Prüfung von Inhalten auf eindeutig unzulässige Inhalte — wirkt das Ergebnis sofort:
Ihre Rechte bei der automatisierten Inhaltsprüfung (Art. 22 Abs 3 DSGVO): Sie
erfahren den Grund sofort und können jederzeit verlangen, dass ein Mensch die Entscheidung
überprüft, Ihren Standpunkt darlegen und die Entscheidung anfechten. Über Beschwerden
entscheidet nie allein ein automatisiertes Verfahren (Art. 20 Abs 6 der Verordnung (EU) 2022/2065);
der Weg dafür steht in § 16 der AGB.
Alle übrigen belastenden Maßnahmen — insbesondere die Sperre eines Kontos, das
Aussetzen einer Auszahlung oder die Ablehnung einer Verifizierung — werden von einer natürlichen
Person geprüft, entschieden und begründet.
Die Bereitstellung personenbezogener Daten ist gesetzlich nur dort vorgeschrieben, wo dies ausdrücklich genannt ist (insbesondere 4.4, 4.7 und 4.8). Im Übrigen ist sie für den Abschluss und die Durchführung des Vertrags erforderlich: Ohne die als Pflichtfeld gekennzeichneten Angaben kann kein Konto geführt, keine Bestellung abgewickelt und keine Auszahlung veranlasst werden. Freiwillige Angaben sind als solche erkennbar; ihr Fehlen hat keine Nachteile.
Sie haben jederzeit das Recht auf:
Widerspruchsrecht (Art. 21 DSGVO). Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender Daten Widerspruch einzulegen, die auf Art. 6 Abs 1 lit. f DSGVO beruht. Wir verarbeiten diese Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Werden Ihre Daten für Direktwerbung verarbeitet, können Sie jederzeit ohne Angabe von Gründen widersprechen; danach findet keine Verarbeitung zu diesem Zweck mehr statt.
Zur Ausübung genügt eine formlose Nachricht an support@vermittco.com. Wir antworten binnen eines Monats; diese Frist kann bei komplexen Anträgen um zwei Monate verlängert werden, worüber wir Sie informieren. Zur Identitätsprüfung können wir zusätzliche Angaben verlangen.
Unbeschadet anderer Rechtsbehelfe haben Sie das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Zuständig ist in Österreich:
Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien
Telefon: +43 1 52 152-0 · E-Mail:
dsb@dsb.gv.at ·
dsb.gv.at
Sie können sich auch an die Aufsichtsbehörde Ihres Aufenthaltsorts oder Ihres Arbeitsplatzes wenden.
Die Website wird ausschließlich verschlüsselt übertragen (TLS). Passwörter werden nur als kryptografischer Hash gespeichert. Der Zugriff auf Daten ist über Rollen und Zeilenschutzregeln in der Datenbank begrenzt; Zugriffe des Betreibers auf einzelne Konten werden protokolliert. Nachrichteninhalte im Nutzer-zu-Nutzer-Chat sind Ende-zu-Ende-verschlüsselt. Sicherungskopien sind verschlüsselt. Die Maßnahmen werden laufend an den Stand der Technik angepasst (Art. 32 DSGVO).
Diese Website enthält Links zu Websites Dritter. Auf deren Inhalte und Datenverarbeitung haben wir keinen Einfluss; es gilt die Datenschutzerklärung des jeweiligen Anbieters.
Diese Erklärung wird angepasst, wenn sich die Verarbeitung oder die Rechtslage ändert. Die jeweils geltende Fassung steht auf dieser Seite und trägt oben ein Datum. Bei wesentlichen Änderungen informieren wir angemeldete Nutzer zusätzlich per E-Mail oder im Konto.
© 2026 Vermittco · Startseite · Impressum · AGB