Datenschutzerklärung

1.Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Plattform im Sinne des Art. 4 Nr. 7 DSGVO ist Myfundus UG (haftungsbeschränkt), Fährstraße 217, 40221 Düsseldorf, Deutschland, vertreten durch Roghmal Alami.

Für Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter datenschutz@myfundus.com.

2.Grundsatz: wo Ihre Daten liegen

Unsere Datenbank, die Kontoverwaltung und die hochgeladenen Dateien liegen bei der Supabase Inc. in der Region Frankfurt am Main (eu-central-1). Die Auswahl der Region ist bewusst getroffen: Ihre Daten werden innerhalb der Europäischen Union gespeichert.

Die Auslieferung der Website erfolgt über Vercel Inc. Die Zahlungsabwicklung erfolgt über Stripe. Nähere Angaben zu allen Empfängern stehen in Abschnitt 6.

Ohne Ihre Einwilligung findet keine Reichweitenmessung statt (die Aufrufzahl je Inserat nach Abschnitt 4a ausgenommen) und werden keine Daten an Werbenetzwerke weitergegeben. Willigen Sie ein, gilt Abschnitt 13; Sie können die Einwilligung dort jederzeit widerrufen. Fremde Werbung zeigen wir auf unseren Seiten in keinem Fall an.

3.Aufruf der Website

Beim Aufruf unserer Seiten verarbeitet unser Hoster technisch notwendige Verbindungsdaten: IP-Adresse, Zeitpunkt der Anfrage, aufgerufene Adresse, übertragene Datenmenge, Statuscode sowie Browser- und Betriebssystemkennung.

• Zweck: Auslieferung der Seiten, Betriebssicherheit und Abwehr von Angriffen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einem sicheren und funktionsfähigen Angebot.
• Speicherdauer: Die Protokolle werden vom Hoster nach kurzer Zeit automatisch gelöscht; eine Zusammenführung mit Ihrem Konto findet nicht statt.

Tritt auf unseren Seiten, auf unseren Servern oder in unserer App ein Programmfehler auf, speichern wir ein Fehlerprotokoll, um den Fehler zu finden und zu beheben. Es enthält die Fehlermeldung, einen gekürzten technischen Ablauf, die aufgerufene Seite ohne Suchparameter, die Version der Anwendung, die Plattform (etwa Browser, iOS oder Android) und den Zeitpunkt.

• Nicht gespeichert werden Ihre IP-Adresse, Ihre Nutzerkennung, Ihre E-Mail-Adresse, Cookies und Formularinhalte. Kennungen in der Adresse, etwa die einer Buchung oder eines Profils, sowie E-Mail-Adressen, Zahlungskennungen und erkennbare Zugangsschlüssel in Fehlermeldungen ersetzen wir vor dem Speichern durch Platzhalter.
• Zweck: Betriebssicherheit und Fehlerbehebung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einem funktionsfähigen Angebot.
• Speicherort: Für dieses Fehlerprotokoll setzen wir keinen externen Dienst ein; zur Fehlermeldung, die Expo beim Abruf von Aktualisierungen erhält, siehe Abschnitt 6. Die Protokolle liegen in unserer Datenbank bei Supabase in Frankfurt am Main (Abschnitt 2) und werden nicht an Dritte weitergegeben. Auf Ihrem Gerät speichern wir dafür nichts, auch kein Cookie.
• Speicherdauer: Die einzelnen Fehlerprotokolle löschen wir nach 30 Tagen automatisch. Gleichartige Fehler fassen wir zusammen; diese Zusammenfassung (eine Beschreibung aus der ersten Meldung, der Zeitpunkt des ersten und des letzten Auftretens und die Anzahl) bleibt bestehen, solange der Fehler wieder auftritt, und wird 30 Tage nach seinem letzten Auftreten automatisch gelöscht.

4.Konto und Nutzung der Plattform

Die folgende Übersicht nennt für jede Verarbeitung, welche Daten anfallen, wozu und auf welcher Grundlage:

Benachrichtigungen können Sie in den Einstellungen nach Kanal und Thema abbestellen. Ausgenommen sind Mitteilungen, ohne die ein Vorgang nicht ordnungsgemäß abgewickelt werden kann — etwa zu Anfrage, Zusage oder Absage, Zahlung, Stornierung, Rückgabefrist, Übergabeprotokoll und Kaution. Diese senden wir Ihnen stets per E-Mail, auch wenn Sie E-Mail-Benachrichtigungen abbestellt haben; als Push-Nachricht erhalten Sie sie nur, solange Push-Benachrichtigungen eingeschaltet sind. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Nach Abschluss eines Vorgangs erinnern wir Sie einmal daran, die andere Seite zu bewerten, wenn Ihre Bewertung einen Tag nach dem Abschluss noch fehlt. Die gegenseitige Bewertung ist Teil jedes Vorgangs (AGB § 10). Diese Erinnerung senden wir Ihnen deshalb auch dann per E-Mail, wenn Sie E-Mail-Benachrichtigungen oder das Thema „Bewertungen“ abbestellt haben. Als Push-Nachricht erhalten Sie sie nur, solange Push-Benachrichtigungen und das Thema „Bewertungen“ eingeschaltet sind. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Entfernen wir eine Ihrer Bewertungen auf eine Meldung hin, teilen wir Ihnen das mit Begründung per E-Mail mit. Erstatten Sie selbst eine Meldung zu einer Bewertung, teilen wir Ihnen unsere Entscheidung per E-Mail mit. Beides tun wir auch dann, wenn Sie E-Mail-Benachrichtigungen oder das jeweilige Thema („Bewertungen“ bzw. „Community & Forum“) abbestellt haben; dazu verpflichtet uns die Verordnung über digitale Dienste (Art. 6 Abs. 1 lit. c DSGVO).

Entfernen wir eines Ihrer Inserate, auf eine Meldung hin oder aus eigener Initiative, teilen wir Ihnen das mit Begründung per E-Mail mit. Das tun wir auch dann, wenn Sie E-Mail-Benachrichtigungen abbestellt haben; dazu verpflichtet uns die Verordnung über digitale Dienste (Art. 6 Abs. 1 lit. c DSGVO).

Entfernen wir Angaben aus Ihrem Profil auf eine Meldung hin, teilen wir Ihnen das mit Begründung per E-Mail mit, auch wenn Sie E-Mail-Benachrichtigungen abbestellt haben. Erstatten Sie selbst eine Meldung zu einem Profil, teilen wir Ihnen unsere Entscheidung per E-Mail mit, auch wenn Sie E-Mail-Benachrichtigungen oder das Thema „Community & Forum“ abbestellt haben. Zu beidem verpflichtet uns die Verordnung über digitale Dienste (Art. 6 Abs. 1 lit. c DSGVO).

Pflichtangaben sind in den Formularen als solche gekennzeichnet. Ohne sie können wir den jeweiligen Vorgang nicht durchführen; alle übrigen Angaben sind freiwillig.

4a.Aufrufzahlen der Inserate

Damit Anbieter einschätzen können, wie oft ihre Inserate gesehen werden, zählen wir, wie viele verschiedene Personen ein Inserat an einem Kalendertag aufgerufen haben. Gezählt wird, wenn Sie die Seite eines Inserats auf der Website aufrufen oder ein Inserat in der App öffnen, auch ohne Anmeldung. Ihre eigenen Inserate zählen nicht mit, solange Sie angemeldet sind.

Dafür bildet unser Server bei jedem Aufruf einen Prüfwert aus einem Tagesschlüssel, der Kennung des Inserats und, wenn Sie angemeldet sind, Ihrer Nutzerkennung, sonst Ihrer IP-Adresse und der Kennung Ihres Browsers bzw. der App (User-Agent). Gespeichert werden nur dieser Prüfwert, die Kennung des Inserats und der Tag; Ihre Nutzerkennung, Ihre IP-Adresse und die Browser- bzw. App-Kennung speichern wir dafür nicht. Nach Ablauf des Kalendertags (deutsche Zeit) überschreiben wir den Tagesschlüssel, spätestens in der folgenden Nacht, mit einem neuen. Nach dem Wechsel des Tagesschlüssels lassen sich Ihre Aufrufe verschiedener Inserate nicht mehr miteinander verbinden, weil die Kennung des Inserats in den Prüfwert eingeht. Der alte Tagesschlüssel liegt danach nur noch in unseren Datenbanksicherungen, bis diese nach höchstens 8 Tagen gelöscht werden; dort verwenden wir ihn nicht, um Prüfwerte zuzuordnen. Ist auch die letzte Sicherung mit diesem Schlüssel gelöscht, lässt sich ein Prüfwert keiner Person mehr zuordnen, auch von uns nicht. Ein eigenes Cookie oder eine eigene Kennung auf Ihrem Gerät setzen wir für die Zählung nicht.

• Zweck: Anbietern zeigen, wie oft ihre Inserate gesehen werden. Abrufen können sie nur die Zahlen ihrer eigenen Inserate. In der App und auf der Website zeigen wir die Zahlen der letzten 30 Tage erst, wenn ein Inserat an mindestens einem dieser Tage von mindestens fünf Personen aufgerufen wurde. Wer ein Inserat angesehen hat, erfahren Anbieter nicht.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse und das der Anbieter an einer Rückmeldung, ob ein Inserat gesehen wird.
• Daten: der Prüfwert, die Kennung des Inserats und der Kalendertag.
• Empfänger: Den Prüfwert bildet unser Server bei Vercel, gespeichert wird er bei Supabase in Frankfurt am Main (Abschnitte 2 und 6). An Dritte geben wir ihn nicht weiter; Anbieter erhalten nur die Zahlen.
• Speicherdauer: Die Prüfwerte löschen wir nach 90 Tagen automatisch. Die Zahl der Personen je Inserat und Tag bewahren wir ohne Frist auf; sie hat keinen Bezug zu einer Person.

Ab dem Zeitpunkt, an dem auch die Sicherungen mit dem alten Tagesschlüssel gelöscht sind, können wir einen gespeicherten Prüfwert keiner Person mehr zuordnen, auch dann nicht, wenn Sie uns dafür Angaben machen. Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit (Art. 15 bis 20 DSGVO) können wir für diese Werte deshalb nicht erfüllen; darüber unterrichten wir Sie hiermit nach Art. 11 Abs. 2 DSGVO.

4b.Ausweisprüfung über Stripe Identity

Sie können Ihre Identität freiwillig über Stripe Identity prüfen lassen („verifizieren“). Danach zeigt ein Abzeichen „Verifiziert“ etwa an Ihrem Profil, Ihren Anfragen, Nachrichten und Inseraten, dass die Prüfung bestanden ist. Nötig ist die Prüfung an zwei Stellen: Artikel von Anbietern, die nur an verifizierte Mieter vermieten, können Sie erst danach anfragen, und die Community steht nur verifizierten Mitgliedern offen (Abschnitt 14a). Verifiziert ist auch, wer bei Stripe ein Auszahlungskonto eingerichtet hat.

Für die Prüfung fotografieren Sie Ihren Ausweis und nehmen ein Selfie auf. Stripe liest die Angaben aus dem Ausweis aus, gleicht Ihr Gesicht auf dem Selfie mit dem Foto im Ausweis ab und bildet dafür biometrische Merkmale Ihres Gesichts. Vorher bittet Stripe Sie im Ablauf um Ihre Einwilligung. Ob die Prüfung bestanden ist, entscheidet Stripe automatisiert; in Zweifelsfällen prüfen Dienstleister von Stripe nach. Schlägt sie fehl, können Sie sie wiederholen.

In unsere Anwendung übernehmen wir weder Ihren Ausweis noch Ihr Selfie noch die ausgelesenen Angaben: Wir übergeben Stripe nur eine interne Kennung Ihres Kontos, und unsere Anwendung erfährt nur, ob die Prüfung bestanden ist. Einsehen können die Prüfdaten (Ausweisbilder, Selfie, ausgelesene Angaben, Ergebnis) bei uns nur Personen mit Zugang zu unserem Konto bei Stripe, solange Stripe sie in unserem Auftrag aufbewahrt.

• Zweck: Ihre Identität bestätigen, damit andere Nutzerinnen und Nutzer sehen, dass hinter dem Konto eine geprüfte Person steht, und damit Sie die Community nutzen und Artikel von Anbietern anfragen können, die nur an verifizierte Mieter vermieten.
• Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), für den Abgleich Ihres Gesichts Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Beide Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.
• Daten bei Stripe: Bilder Ihres Ausweises (bei Ausweiskarten Vorder- und Rückseite), Ihr Selfie und die daraus gebildeten biometrischen Merkmale, die Angaben aus dem Ausweis (etwa Name, Anschrift, Geburtsdatum und Ausweisnummer) sowie Angaben zu Ihrem Gerät und Ihre IP-Adresse.
• Daten in unserer Anwendung: die Kennung des Prüfvorgangs, sein Stand und das Datum. Für andere sichtbar ist nur das Abzeichen.
• Empfänger: Stripe (Vertragspartner: Stripe Payments Europe, Limited, Irland). Stripe führt die Prüfung in unserem Auftrag durch. Daneben verarbeitet Stripe die Daten als eigenständig Verantwortlicher zur Erfüllung eigener gesetzlicher Pflichten sowie zur Betrugsabwehr und Sicherheit. Zur Verbesserung der eigenen Prüftechnik nutzt Stripe sie nur mit Ihrer gesonderten Einwilligung, die Sie im Ablauf ablehnen können.
• Drittland: Stripe verarbeitet und speichert die Prüfdaten in den USA (Stripe, LLC). Grundlage ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, unter dem Stripe, LLC zertifiziert ist; entfällt er, gelten die Standardvertragsklauseln.
• Speicherdauer: In unserer Anwendung bis zur Löschung Ihres Kontos. Bei Stripe: Die biometrischen Merkmale löscht Stripe nach eigenen Angaben spätestens ein Jahr nach der Prüfung. Die übrigen Prüfdaten bewahrt Stripe in unserem Auftrag sieben Jahre nach der Prüfung auf, auch wenn Sie Ihr Konto vorher löschen; daneben darf Stripe für eigene Zwecke eine Kopie aufbewahren, solange das Gesetz es erlaubt.

Ihre Rechte (Abschnitt 8) können Sie bei uns geltend machen, auch für die Daten, die Stripe in unserem Auftrag aufbewahrt; deren Löschung können nur wir bei Stripe veranlassen. Soweit Stripe eigenständig verantwortlich ist, verarbeitet Stripe die Daten nach der eigenen Datenschutzerklärung (stripe.com/privacy) und den Bedingungen für Stripe Identity; insoweit und für den Widerruf Ihrer Einwilligung in die Biometrie wenden Sie sich direkt an Stripe.

5.Was andere Nutzer sehen

Der Marktplatz ist öffentlich. Für jede Person, die Ihr Inserat oder Ihr Profil aufruft, sind sichtbar: Ihr Anzeigename, Ihr Profilbild, Ihre Bewertungen und die von Ihnen veröffentlichten Inserate einschließlich der dort angegebenen ungefähren Ortsangabe.

Erst wenn ein Vorgang zustande kommt, erhält Ihre Vertragspartnerin oder Ihr Vertragspartner die für die Abwicklung nötigen weiteren Angaben — insbesondere den zur Übergabe erforderlichen Kontakt und die vereinbarte Anschrift.

Bevor ein Text gespeichert wird, den andere sehen können — Titel, Beschreibung und weitere Angaben eines Inserats samt Lieferumfang, Bildbeschreibungen und Namen von Unterlagen, Bewertungen, Ihr Anzeigename, Ihr Profilname (@-Name) und Ihr Profiltext sowie die Angaben eines Gewerbekontos (Firmenname, Geschäftsbedingungen, rechtliche Hinweise, Widerrufsbelehrung, Website) —, prüfen wir ihn automatisch auf eindeutig anstößige Begriffe. Enthält er einen, wird er nicht gespeichert, und Sie erhalten den Hinweis, ihn umzuformulieren. Ausnahmen ohne Hinweis: Eine automatisch erzeugte Bildbeschreibung oder ein Dateiname entfällt, das Bild bzw. die Unterlage wird ohne sie gespeichert. Enthält bei der Registrierung Ihr Profilname einen solchen Begriff, legen wir Ihr Profil ohne Profilnamen an; enthält ihn Ihr Anzeigename, ohne Anzeigenamen und ohne Profilnamen. Beides können Sie im Profil nachtragen. Enthält der Firmenname bei der Registrierung einen solchen Begriff, legen wir das Gewerbekonto erst an, wenn Sie in den Gewerbe-Angaben Ihres Profils einen anderen Namen eintragen. Den Text und den gefundenen Begriff halten wir dabei nicht fest; darüber hinaus hat der Treffer keine Folgen für Ihr Konto. Die Prüfung bewertet nur den Text, nicht Sie als Person. Bereits veröffentlichte Texte haben wir einmal auf dieselbe Weise geprüft. Die Prüfung dient dem Schutz der Nutzerinnen und Nutzer vor solchen Inhalten (Art. 6 Abs. 1 lit. f DSGVO).

Ihre E-Mail-Adresse, Ihre Zahlungsdaten und Ihre vollständige Anschrift sind für andere Nutzerinnen und Nutzer zu keinem Zeitpunkt einsehbar. Was in der Community sichtbar ist, steht in Abschnitt 14a.

6.Empfänger und Auftragsverarbeiter

Wir geben Daten nur weiter, soweit es für den Betrieb erforderlich ist. Mit den nachfolgenden Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO, soweit sie in unserem Auftrag verarbeiten:

Stripe verarbeitet Ihre Zahlungsdaten in eigener Verantwortung als Zahlungsdienstleister und unterliegt dabei eigenen gesetzlichen Pflichten, insbesondere aus dem Geldwäschegesetz. Kartennummern und Bankverbindungen erreichen unsere Systeme nicht.

Zeigen wir Ihnen eine Karte (in der Kartenansicht, am Inserat oder beim Abholort), lädt Ihr Gerät die Karte direkt beim Kartendienst und überträgt ihm dabei Ihre IP-Adresse: auf der Website und in der App für Android bei Google, in der App für das iPhone bei Apple (Apple Maps). Geben Sie eine Anschrift ein und nutzen die Vorschläge, wird der eingegebene Text an Photon übermittelt.

Öffnen Sie in der App den Marktplatz, fragen wir mit Ihrer Erlaubnis den Standort Ihres Geräts ab, um Artikel in Ihrer Nähe zu zeigen. Haben Sie es erlaubt, geschieht das bei jedem Start der App. Auf der Website geschieht es nur, wenn Sie auf die Standort-Schaltfläche tippen. Wir runden ihn vorher auf ein Raster von etwa einem Kilometer. An unseren Datenbank-Dienstleister Supabase (Frankfurt) gehen nur daraus abgeleitete Suchgrenzen, in Ihrem Konto speichern wir ihn nicht. Auf der Website steht der gerundete Wert in der Adresszeile und damit im Zugriffsprotokoll unseres Hosters (Abschnitt 3). In der App ermittelt das Betriebssystem (Apple oder Google) aus dem gerundeten Wert den Ortsnamen, den die App anzeigt.

Darüber hinaus geben wir Daten weiter, wenn wir gesetzlich dazu verpflichtet sind — auf Anordnung von Strafverfolgungsbehörden und, als regelmäßige Übermittlung, an das Bundeszentralamt für Steuern. Diese Meldung ist keine Auftragsverarbeitung, sondern eine eigene gesetzliche Pflicht; was dabei übermittelt wird, steht in Abschnitt 12.

7.Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen es verlangen:

8.Ihre Rechte

Ihnen stehen gegenüber uns die folgenden Rechte zu:

• Auskunft (Art. 15 DSGVO) — welche Daten wir zu Ihnen verarbeiten. Die Auskunft über Ihre Bewertungsstufe und deren Zustandekommen können Sie unmittelbar in der Anwendung abrufen.
• Berichtigung (Art. 16 DSGVO) — unrichtige Angaben korrigieren zu lassen. Profil- und Anschriftsdaten können Sie selbst jederzeit ändern.
• Löschung (Art. 17 DSGVO) — Ihre Daten löschen zu lassen, soweit keine Aufbewahrungspflicht entgegensteht.
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO) — die von Ihnen bereitgestellten Daten in einem gängigen Format zu erhalten.
• Widerspruch (Art. 21 DSGVO) — gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen.
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO).

Zur Ausübung genügt eine Nachricht an datenschutz@myfundus.com. Wir antworten innerhalb eines Monats; ist eine Anfrage besonders umfangreich, informieren wir Sie innerhalb dieser Frist über die Verlängerung.

Für uns zuständige Aufsichtsbehörde ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf. Sie können sich auch an die Aufsichtsbehörde Ihres Aufenthaltsorts wenden.

9.Löschung des Kontos

Sie können Ihr Konto in den Einstellungen löschen. Dabei geschieht Folgendes:

• Ihre Profilangaben, Ihr Profilbild, Ihre Anschriften, Ihr Warenkorb, Ihre Merkliste und Ihre Gespräche mit dem KI-Berater werden entfernt. Ihre Inserate werden zurückgezogen und sind für niemanden mehr auffindbar.
• Ihre Beiträge, Kommentare und Fotos in der Community werden gelöscht. Gemeldete oder von uns entfernte Inhalte bewahren wir bis zum Ende der Frist aus Abschnitt 14a auf; sichtbar sind sie dann nur für die prüfenden Personen.
• Ihr Profileintrag selbst wird nicht gelöscht, sondern anonymisiert: Alle Angaben zu Ihrer Person werden geleert, der Eintrag bleibt als namenloser Platzhalter bestehen. Das ist technisch notwendig, weil abgeschlossene Verträge auf ihn verweisen — ein echtes Entfernen würde die Vorgangshistorie Ihrer Vertragspartner zerreißen.
• Bewertungen, die Sie über andere abgegeben haben, bleiben bestehen, verlieren aber den Bezug auf Sie — andernfalls würde die Löschung eines Kontos die Bewertungsgrundlage anderer Personen verändern.
• Fotos aus Übergabeprotokollen bleiben erhalten und verlieren den Bezug auf Sie. Sie sind ein zweiseitiger Nachweis: Ihre Löschung würde der Gegenseite den Beleg für dieselbe Übergabe nehmen.
• Belege und Zahlungsvorgänge bleiben für die Dauer der steuerlichen Aufbewahrungsfrist erhalten (Abschnitt 7). Sie werden dabei so weit wie möglich von Ihren übrigen Daten getrennt und nur noch zu diesem Zweck vorgehalten.
• Laufende Vorgänge müssen vorher abgeschlossen sein — solange ein Gegenstand nicht zurückgegeben oder Geld nicht abgerechnet ist, ist eine Löschung nicht möglich (Art. 17 Abs. 1 lit. a und Abs. 3 lit. e DSGVO).

Was nach einer Löschung im System verbleibt, trägt keinen Bezug mehr auf Sie, abgesehen von Community-Inhalten unter Prüfungsvorbehalt (Abschnitt 14a). Nach Namen, E-Mail-Adresse oder Anschrift ist nichts davon mehr auffindbar.

10.Sicherheit

Die Übertragung erfolgt ausschließlich verschlüsselt über TLS. Der Zugriff auf Daten ist in der Datenbank zeilenweise beschränkt: Jede Abfrage prüft, wer sie stellt, und liefert nur, was diese Person sehen darf. Passwörter speichern wir ausschließlich als kryptografischen Hashwert und können sie nicht einsehen.

Zahlungsdaten werden nach dem Sicherheitsstandard der Kartenindustrie ausschließlich bei unserem Zahlungsdienstleister verarbeitet.

11.Newsletter

Einen Newsletter erhalten Sie nur dann, wenn Sie dem ausdrücklich zugestimmt haben. Ohne Ihre Einwilligung senden wir Ihnen keine Werbung per E-Mail. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO, für den Versand selbst § 7 Abs. 2 Nr. 2 UWG.

Sie können die Einwilligung jederzeit und ohne Angabe von Gründen widerrufen; der Widerruf wirkt für die Zukunft, die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO). Es genügt eine Nachricht an datenschutz@myfundus.com, und jede Newsletter-E-Mail enthält einen Abmeldelink. Der Widerruf ist damit genauso einfach wie die Einwilligung — das ist keine Kulanz, sondern die Vorgabe des Gesetzes.

Zum Nachweis der Einwilligung (Art. 7 Abs. 1 DSGVO) halten wir fest, wann Sie zugestimmt oder widerrufen haben, auf welche Fassung dieser Erklärung sich Ihre Angabe bezog und über welchen Weg sie bei uns eingegangen ist. Jede Änderung wird als neuer Eintrag angefügt; frühere Einträge werden nicht überschrieben. Deshalb bleibt auch Ihr Widerruf gespeichert.

Übernahme aus unserem bisherigen System: Hatten Sie dort in den Newsletter eingewilligt, führen wir diese Einwilligung fort und kennzeichnen sie als übernommen. Hatten Sie dort widersprochen oder wurden Sie nie gefragt, übernehmen wir nichts — Sie erhalten in diesem Fall keinen Newsletter, solange Sie uns Ihre Einwilligung nicht erteilt haben.

Die Einwilligung ist freiwillig und von der Nutzung der Plattform unabhängig. Wer sie nicht erteilt oder sie widerruft, kann alle Funktionen unverändert nutzen; ein Nachteil entsteht daraus nicht (Art. 7 Abs. 4 DSGVO).

12.Meldung an das Bundeszentralamt für Steuern

Das Plattformen-Steuertransparenzgesetz (PStTG) setzt die EU-Richtlinie DAC7 um und verpflichtet uns als Betreiber, über bestimmte Anbieter Angaben zu erheben, auf Plausibilität zu prüfen und einmal jährlich an das Bundeszentralamt für Steuern zu übermitteln. Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. c DSGVO — die Erfüllung einer rechtlichen Verpflichtung.

Das Gesetz zählt vier meldepflichtige Tätigkeiten abschließend auf, und nur wer eine davon ausübt, wird gemeldet:

Das Vermieten beweglicher Sachen, die keine Verkehrsmittel sind, steht nicht auf dieser Liste. Wer über uns Werkzeug, Kameras, Partyzubehör oder Sportgeräte verleiht, wird deshalb nicht gemeldet — und wir fragen ihn auch nicht nach seiner Steuer-Identifikationsnummer. Wer nur mietet oder kauft, ist ohnehin nicht betroffen.

Sind Sie betroffen, sind diese Angaben nicht freiwillig: Ohne sie dürfen wir Ihnen keine Einnahmen auszahlen. Das ist keine Entscheidung von uns, sondern eine Vorgabe des Gesetzes.

Erhoben und gemeldet werden:

Über den Inhalt der Sie betreffenden Meldung unterrichten wir Sie; das Gesetz sieht diese Unterrichtung ausdrücklich vor. Sie erfahren also, was übermittelt wurde, und müssen es nicht bei der Behörde erfragen.

Empfänger ist ausschließlich das Bundeszentralamt für Steuern. Es verarbeitet die Angaben in eigener Verantwortung und leitet sie im Rahmen des zwischenstaatlichen Auskunftsaustauschs an die Finanzverwaltung des Staates weiter, in dem Sie ansässig sind. Eine Weitergabe an andere Stellen findet aus diesem Anlass nicht statt.

Wie lange wir diese Angaben aufbewahren, steht in Abschnitt 7. Die Aufbewahrungsfrist ist gesetzlich vorgegeben; ein Löschverlangen nach Art. 17 DSGVO verkürzt sie nicht. Unberührt bleibt Ihr Recht, unrichtige Angaben berichtigen zu lassen (Art. 16 DSGVO) — bei einer Steuer-Identifikationsnummer ist das der praktisch wichtigste Fall.

13.Reichweitenmessung und Werbung

Keiner der hier genannten Dienste wird geladen, bevor Sie eingewilligt haben. Ohne Ihre Einwilligung findet keine Messung statt und werden keine Daten an diese Empfänger übermittelt.

Stimmen Sie im Einwilligungsbanner zu, setzen wir die folgenden Dienste ein. Sie können Ihre Auswahl jederzeit auf der Seite „Cookies“ ändern oder vollständig widerrufen; der Widerruf ist so einfach wie die Zustimmung und wirkt für die Zukunft. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.

Übermittelt werden dabei insbesondere Ihre IP-Adresse, Angaben zu Browser und Gerät, die aufgerufenen Seiten sowie eine Kennung, unter der Ihre Besuche zusammengeführt werden. Sehen Sie einen Artikel an oder legen Sie ihn in den Warenkorb, wird zusätzlich gemeldet, um welchen Artikel es geht und ob Sie ihn mieten oder kaufen möchten. Legen Sie ein Konto an, wird gemeldet, ob Sie sich als Privatperson oder als Unternehmen registrieren. Senden Sie eine Mietanfrage, werden die Artikel-IDs der angefragten Artikel gemeldet. Beginnen Sie die Bezahlung oder kommt eine Buchung zustande, wird der Vorgang mit seiner Nummer und seinem Betrag gemeldet, damit der Erfolg einer Anzeige messbar ist.

Kommt eine Buchung zustande, melden wir den Kauf zusätzlich direkt von unserem Server an Meta (Conversions API) und an Google Analytics 4 (Measurement Protocol) — auch dann, wenn Ihr Browser die Meldung nicht mehr selbst absenden konnte, etwa weil Sie die Seite bereits geschlossen haben oder ein Werbeblocker sie verhindert. Beide Meldungen tragen dieselbe Kennung wie die Meldung aus dem Browser, damit der Kauf nur einmal gezählt wird. Die serverseitige Meldung findet nur statt, wenn Sie bei der Bestellung in die jeweilige Kategorie eingewilligt hatten:

Ein Prüfwert ist keine Anonymisierung: Meta kann ihn mit den Angaben eines bei Meta bestehenden Kontos abgleichen und den Kauf so einer Anzeige zuordnen. Ihre IP-Adresse übermitteln wir bei der serverseitigen Meldung nicht. Ihre E-Mail-Adresse speichern wir dafür nicht gesondert; sie wird erst beim Absenden gelesen und nur als Prüfwert übertragen. Die übrigen Angaben — Ihre Auswahl im Einwilligungsbanner zum Zeitpunkt der Bestellung, die genannten Browser-Kennungen und den User-Agent — halten wir höchstens sieben Tage vor und löschen sie, sobald die Meldung erfolgt ist. Ohne Einwilligung speichern wir diese Angaben gar nicht.

Google, Meta und Vercel verarbeiten Daten auch in den Vereinigten Staaten. Grundlage der Übermittlung sind die Standardvertragsklauseln der Europäischen Kommission sowie die Zertifizierung der Empfänger unter dem EU-US Data Privacy Framework.

Hotjar speichert die Daten in der Europäischen Union (Irland). Nach dem Auftragsverarbeitungsvertrag können Unterauftragnehmer von Hotjar, etwa für Hosting, Wartung und Kundensupport, auch von außerhalb der EU darauf zugreifen, unter anderem aus den Vereinigten Staaten. Grundlage sind dann die Standardvertragsklauseln der Europäischen Kommission, bei Empfängern in den Vereinigten Staaten auch das EU-US Data Privacy Framework.

Auch mit diesen Grundlagen lässt sich nicht ausschließen, dass US-Behörden auf die Daten zugreifen und Ihnen dagegen kein Rechtsbehelf zur Verfügung steht, der europäischen Maßstäben entspricht. Dieses Risiko ist Teil dessen, worin Sie einwilligen.

Auch wenn Sie ablehnen, erhält Google cookiefreie Angaben zum Seitenaufruf und bildet daraus Schätzwerte. Dabei wird nichts auf Ihrem Gerät gespeichert oder ausgelesen, woran Sie wiedererkannt werden könnten.

Auf unseren Seiten wird keine fremde Werbung angezeigt. Wir setzen weder Werbebanner Dritter noch Empfehlungsdienste ein.

14.KI-Berater

Der KI-Berater hilft Ihnen, zu einem Vorhaben passende Artikel aus unserem Katalog zusammenzustellen. Er steht nur angemeldeten Nutzern zur Verfügung.

Wenn Sie den Berater nutzen, übermitteln wir Ihre Nachrichten, den bisherigen Verlauf des Gesprächs und die dazu gefundenen Katalogangaben an ein Sprachmodell. Ihren Namen, Ihre E-Mail-Adresse, Ihre Anschrift und Ihre Nutzerkennung übermitteln wir dabei nicht. Senden Sie ein Foto, wird es vorher neu kodiert, wobei eingebettete Angaben wie der Aufnahmeort entfernt werden; das Foto geht nur mit der Nachricht, zu der es gehört, an das Sprachmodell und wird von uns nicht gespeichert. Bitte geben Sie in Ihren Nachrichten keine persönlichen Angaben an, die für Ihr Vorhaben nicht nötig sind.

Die Anfragen leiten wir über das AI Gateway der Vercel Inc. an das Sprachmodell weiter; das Modell rechnet ausschließlich in Rechenzentren in der Europäischen Union (Abschnitt 6). Wir verwenden Ihre Nachrichten nicht, um ein Sprachmodell zu trainieren. In der App fragen wir Sie vor der ersten Anfrage einmal, ob Ihre Nachrichten an das Sprachmodell gesendet werden sollen. Mit „Senden“ bestätigen Sie den Vorgang; das ist keine Einwilligung, die Rechtsgrundlage ist die unten genannte.

Dabei speichern wir die folgenden Angaben:

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Ihre Anfragen zu beantworten und Ihnen passende Artikel vorzuschlagen, die Nutzung des Beraters je Konto zu begrenzen und den Berater und unser Angebot anhand dessen zu verbessern, was tatsächlich gefragt wird. Die Gesprächsverläufe können nur Mitarbeitende einsehen, denen dafür ein eigenes Zugriffsrecht erteilt wurde.

Mit der Löschung Ihres Kontos werden Ihre Gesprächsverläufe und Ihr Zähler gelöscht (Abschnitt 9); die Suchsignale tragen keinen Bezug zu Ihrer Person und bleiben bis zum Ablauf ihrer Frist bestehen. Sie können jederzeit die Löschung Ihrer Gesprächsverläufe verlangen (Art. 17 DSGVO) und der Speicherung nach Art. 21 DSGVO widersprechen. Eine Nachricht an datenschutz@myfundus.com genügt.

14a.Community

Wenn Sie die Community nutzen (AGB § 10a), verarbeiten wir dafür:

• Ihre Beiträge und Kommentare: Text, Titel, Art und Themenraum, Zeitpunkt der Veröffentlichung;
• Fotos, die Sie hochladen. Beim Hochladen entfernen wir eingebettete Metadaten wie Aufnahmeort, Aufnahmezeit und Gerätekennung;
• Ihre Reaktionen auf Beiträge;
• bei „Hier gemietet“ die Verknüpfung mit dem gemieteten Inserat. Das Inserat zeigt wie im Marktplatz seinen aktuellen Preis und die anbietende Person; den gezahlten Betrag und den Mietzeitraum zeigen wir nicht;
• Ihre Stadt bzw. Gemeinde und der Name Ihres Stadtteils, ermittelt aus der in Ihrem Konto hinterlegten Anschrift. Die Anschrift selbst und die Postleitzahl werden dafür nicht angezeigt;
• Meldungen, die Sie erstatten oder die zu Ihren Inhalten eingehen, unsere Entscheidungen darüber und Ihre Widersprüche;
• einen Zähler je Tag, um Massenveröffentlichungen zu begrenzen.

Wer was sieht: Ihre Beiträge und Kommentare sehen nur angemeldete Mitglieder mit geprüfter Identität (Abschnitt 4b) — nicht die Öffentlichkeit und keine Suchmaschinen. Angezeigt werden dabei Ihr Anzeigename und Ihr Profilbild, an Beiträgen außerdem Ihre Stadt und der Name Ihres Stadtteils. Daran ist für andere Mitglieder erkennbar, in welcher Stadt und in welchem Stadtteil Sie wohnen. Ihr Anzeigename führt auf Ihr öffentliches Profil im Marktplatz. Weil Sie nur in der Community Ihres Wohnorts schreiben können, lässt auch ein Kommentar Ihre Stadt erkennen, nicht aber Ihren Stadtteil. Ihre Anschrift und Ihre Postleitzahl werden nicht angezeigt. Wer einen Ihrer Inhalte gemeldet hat, erfahren Sie nicht.

Zweck und Rechtsgrundlage: Die Community ist Teil des Nutzungsvertrags; die Verarbeitung Ihrer Inhalte für die Anzeige stützen wir auf Art. 6 Abs. 1 lit. b DSGVO. Meldungen prüfen, Entscheidungen begründen, Widersprüche bearbeiten und die dafür nötigen Inhalte aufbewahren tun wir, um unsere Pflichten aus der Verordnung (EU) 2022/2065 über digitale Dienste zu erfüllen (Art. 6 Abs. 1 lit. c DSGVO) und um die Mitglieder vor rechtswidrigen Inhalten zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Die automatische Prüfung auf Kontaktdaten dient dem Schutz vor Betrug bei Absprachen außerhalb der Plattform, die Prüfung auf eindeutig anstößige Begriffe dem Schutz der Mitglieder vor solchen Inhalten (jeweils Art. 6 Abs. 1 lit. f DSGVO). Beide Prüfungen bewerten nur den Text, nicht Sie als Person.

Kein Profiling: Beiträge erscheinen in der Reihenfolge ihrer Veröffentlichung. Wir werten Ihre Nutzung der Community nicht aus, um Ihnen Inhalte vorzuschlagen, und nutzen sie nicht für Werbung.

Personen auf Fotos: Zeigt ein Foto andere Personen, ist die veröffentlichende Person dafür verantwortlich, dass diese einverstanden sind (AGB § 10a). Erkennen Sie sich auf einem Foto und sind damit nicht einverstanden, melden Sie den Beitrag; wir entfernen ihn nach Prüfung.

Mitteilungen: Kommentiert jemand Ihren Beitrag, benachrichtigen wir Sie in der Anwendung und, wenn Sie Push-Mitteilungen erlaubt haben, auf Ihrem Gerät. Das Thema „Community“ können Sie in den Mitteilungs-Einstellungen jederzeit abschalten. Über unsere Entscheidung zu einer Meldung, die Sie erstattet haben, und über die Entfernung eines Ihrer Inhalte informieren wir Sie per E-Mail auch dann, wenn Sie das Thema abgeschaltet haben; dazu verpflichtet uns die Verordnung über digitale Dienste.

Empfänger: Die Inhalte liegen bei unserem Hosting-Dienstleister in der Europäischen Union (Abschnitte 2 und 6). An Dritte geben wir sie nicht weiter, außer an Behörden, soweit wir gesetzlich dazu verpflichtet sind — etwa bei Hinweisen auf eine Straftat, die das Leben oder die Sicherheit von Personen bedroht (Art. 18 der Verordnung über digitale Dienste).

Löschen Sie Ihr Konto, werden Ihre Beiträge, Kommentare und Fotos in der Community gelöscht; an der Stelle eines Beitrags bleibt nur der Hinweis, dass er nicht mehr verfügbar ist. Für gemeldete oder entfernte Inhalte gilt die Frist aus der Tabelle; danach werden auch sie gelöscht.

14b.„Mit KI ausfüllen“ beim Anlegen eines Inserats

Beim Anlegen eines Inserats können Sie Ihre Fotos mit „Mit KI ausfüllen“ auswerten lassen. Ein Sprachmodell erkennt darauf den Artikel und schlägt Ihnen Titel, Beschreibung, Kategorie, Transportgröße, Lieferumfang, Bildbeschreibungen und Hinweise für bessere Fotos vor; den Preis berechnen wir nicht mit dem Sprachmodell, sondern aus den Tagespreisen vergleichbarer veröffentlichter Inserate. Die Funktion steht nur angemeldeten Nutzern zur Verfügung.

Dafür übermitteln wir bis zu drei der Fotos, die Sie für das Inserat ausgewählt haben, an das Sprachmodell. Andere Angaben von Ihnen übermitteln wir dabei nicht, insbesondere nicht Ihren Namen, Ihre E-Mail-Adresse, Ihre Anschrift, Ihre Nutzerkennung oder Ihre Eingaben im Formular. Die Fotos werden vorher auf Ihrem Gerät verkleinert und neu kodiert, wobei eingebettete Angaben wie der Aufnahmeort entfernt werden; lässt sich ein Foto nicht neu kodieren, wird es nicht übermittelt. Unser Server kodiert jedes Foto vor der Weitergabe zusätzlich neu. Wie beim KI-Berater leiten wir die Anfrage über das AI Gateway der Vercel Inc. an das Sprachmodell weiter; das Modell rechnet ausschließlich in Rechenzentren in der Europäischen Union (Abschnitt 6). Bitte verwenden Sie Fotos, auf denen der Artikel zu sehen ist, und keine Personen, Kennzeichen oder Dokumente.

Die für die KI verkleinerten Fotos speichern wir nicht; sie werden nur für die Beantwortung der Anfrage verarbeitet. Wir verwenden sie nicht, um ein Sprachmodell zu trainieren. Anders als beim KI-Berater legen wir weder Suchsignale noch einen Verlauf ab. In unseren Protokollen halten wir nur technische Zahlen fest, etwa die Zahl der Fotos, ob ein Artikel erkannt wurde, und die Dauer der Anfrage, nicht die Fotos und nicht die Vorschläge. Jede Anfrage zählt zu demselben Tageskontingent wie der KI-Berater; dafür speichern wir Ihre Nutzerkennung, den Tag und die Zahl Ihrer Anfragen für 30 Tage (Abschnitt 14).

Die Fotos, die Sie auswählen, sind zugleich die Bilder Ihres Inserats. In unseren Dateispeicher gelangen sie erst, wenn Sie das Inserat anlegen, und dann wie jedes Inseratsfoto (Abschnitt 4), unabhängig davon, ob Sie die KI genutzt haben. Die Vorschläge stehen zunächst nur in Ihrem Formular; Teil Ihres Inserats werden sie erst, wenn Sie es anlegen. Die Felder können Sie vorher ändern; die Bildbeschreibungen werden mit den Fotos gespeichert und lassen sich danach ändern.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Ihnen das Anlegen eines Inserats zu erleichtern und die Nutzung je Konto zu begrenzen.

Die Nutzung ist freiwillig. Ihre Fotos gehen nur an das Sprachmodell, wenn Sie „Mit KI ausfüllen“ wählen; in der App fragen wir Sie vor dem ersten Mal einmal, ob sie gesendet werden sollen (eine Bestätigung, keine Einwilligung). Sie können Ihr Inserat auch ohne die KI-Hilfe ausfüllen; alle Felder lassen sich von Hand eintragen.

15.Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich unser Angebot oder die Rechtslage ändert. Es gilt die jeweils an dieser Stelle veröffentlichte Fassung; das Datum des Standes steht am Anfang der Seite.