Datenschutzerklärung

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie unsere Webseite bzw. Web-Applikation studio.autohub.de besuchen oder nutzen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

Datenerfassung auf unserer Webseite

Die Datenverarbeitung auf dieser Webseite erfolgt durch den Webseitenbetreiber:

Bjoern Habegger Kommunikationsberatung
Buchentalstr. 4
97816 Lohr am Main
E-Mail: datenschutz@autohub.de

Datenschutzbeauftragter: Bjoern Habegger, Anschrift wie oben, E-Mail: datenschutz@autohub.de

2. Hosting und Dateninfrastruktur

Wir hosten die Inhalte unserer Webseite und der Applikation bei folgenden Anbietern:

Vercel

Anbieter ist die Vercel Inc., 650 California St, San Francisco, CA 94108, USA. Vercel ist eine Cloud-Plattform, über die wir das Frontend und die Serverless Functions unserer Applikation bereitstellen. Bei der Nutzung werden Daten (u. a. IP-Adressen, Log-Files) an Vercel-Server übertragen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer schnellen und sicheren Bereitstellung unseres Online-Angebots). Vercel ist nach dem EU-US Data Privacy Framework zertifiziert (s. „Übermittlung in Drittländer").

Neon PostgreSQL (Datenbank)

Unsere Datenbank wird von Neon, LLC (Unternehmen der Databricks, Inc., USA) betrieben. Serverstandort für unsere Daten ist die Europäische Union (Region: eu-central-1). Hier werden Benutzerprofile, Organisationsdaten, Quotas und Verweise auf generierte Bilder gespeichert.

Vercel Blob Storage (Bildspeicher)

Die von Ihnen hochgeladenen Fahrzeugfotos, Dokumente und Sprachnotizen sowie die von der KI erzeugten Bilder und Videos werden im Vercel Blob Storage gespeichert.

Reichweiten- und Ladezeitmessung (Vercel Web Analytics & Speed Insights)

Auf studio.autohub.de messen wir mit Vercel Web Analytics und Vercel Speed Insights, welche Seiten aufgerufen werden und wie schnell sie laden. Die Messung arbeitet ohne Cookies und ohne geräteübergreifende Nutzerprofile; ausgewertet werden aggregierte Angaben wie aufgerufene Seite, Referrer, Gerätetyp, Browser, Land und Ladezeiten. Nach Angaben von Vercel werden die Messpunkte anonym und ohne Verknüpfung mit Ihrer IP-Adresse erfasst; zur Unterscheidung von Besuchen dient ein aus der jeweiligen Anfrage gebildeter Hashwert, der nach 24 Stunden verworfen wird. Auf Ihrem Endgerät werden dafür keine Informationen gespeichert und keine dort gespeicherten Informationen ausgelesen; § 25 TDDDG ist daher nicht berührt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer stabilen, schnellen und bedarfsgerechten Anwendung).

Missbrauchsschutz (Upstash)

Um die Anwendung vor Überlastung und Missbrauch zu schützen (z. B. massenhafte Anmeldeversuche), begrenzen wir die Anzahl von Anfragen je Zeitraum. Dafür werden IP-Adresse bzw. Nutzerkennung kurzzeitig als Zähler beim Dienst Upstash (Upstash, Inc., USA) verarbeitet und nach Ablauf des jeweiligen Zeitfensters verworfen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit des Dienstes).

Hintergrundverarbeitung (Inngest)

Länger laufende Aufgaben – etwa die Verarbeitung eingehender WhatsApp-Nachrichten, aufwendige Bildberechnungen oder Abgleiche mit angebundenen Diensten – steuern wir über den Dienst Inngest (Inngest Inc., USA). Dabei werden die für die jeweilige Aufgabe nötigen Angaben (z. B. Kennungen von Organisation, Fahrzeug oder Nachricht) übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3. Allgemeine Hinweise und Pflichtinformationen

Datenverarbeitung im Rahmen von B2B-Verträgen

Wenn Sie für Ihr Autohaus, Ihre Werkstatt oder Ihre Agentur ein Konto erstellen, verarbeiten wir personenbezogene Daten (z. B. Name, E-Mail-Adresse, Telefonnummer, Organisationszugehörigkeit, Rolle) zur Einrichtung des Zugangs für Ihre Organisation und Ihr Team, zur Verwaltung Ihres Markenauftritts, zur Bereitstellung der gebuchten Funktionen und zur Abrechnung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung / vorvertragliche Maßnahmen); für Rechnungsdaten zusätzlich Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten).

Speicherdauer

Wir speichern personenbezogene Daten, solange es für die Erfüllung des Vertrages erforderlich ist. Nach Vertragsende löschen wir sie, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (insbesondere handels- und steuerrechtliche Fristen von sechs bzw. zehn Jahren für Rechnungen und Buchungsbelege). Für einzelne Daten gelten kürzere Fristen, die in dieser Erklärung jeweils genannt sind.

Auftragsverarbeitung (AVV)

Mit den Dienstleistern, die in unserem Auftrag personenbezogene Daten verarbeiten (insbesondere Hosting, Datenbank, Speicher, E-Mail-, SMS- und WhatsApp-Versand sowie KI-Anbieter), haben wir Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO abgeschlossen bzw. nutzen die von den Anbietern hierfür bereitgestellten Vertragswerke.

Übermittlung in Drittländer

Einige der in dieser Erklärung genannten Dienstleister haben ihren Sitz außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums (insbesondere in den USA) oder können Daten dorthin übermitteln. Eine solche Übermittlung erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Je Anbieter stützen wir uns auf folgende Grundlage:

• Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO): Die folgenden Empfänger sind nach dem Data Privacy Framework zertifiziert: Vercel Inc. (Hosting, Bildspeicher, Reichweitenmessung), Databricks, Inc. einschließlich Neon, LLC (Datenbank), Upstash, Inc. (Missbrauchsschutz), Resend (E-Mail-Versand), Cloudflare, Inc. (Turnstile), Stripe, LLC (Zahlungsabwicklung, soweit Daten von Stripe Payments Europe in die USA übermittelt werden), Twilio Inc. (SMS und WhatsApp, soweit Daten von Twilio Ireland in die USA übermittelt werden), Meta Platforms, Inc. und WhatsApp LLC (WhatsApp-Zustellung, soweit Daten von WhatsApp Ireland in die USA übermittelt werden) sowie Google LLC (soweit Daten von Google Ireland in die USA übermittelt werden). Den Zertifizierungsstatus können Sie unter dataprivacyframework.gov/list einsehen.
• Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) mit ergänzenden Maßnahmen: Die folgenden Empfänger sind nicht nach dem Data Privacy Framework zertifiziert: OpenAI (Übermittlung an die US-Muttergesellschaft durch OpenAI Ireland Ltd.), Anthropic PBC, Features and Labels Inc. (fal.ai), WaveSpeed AI, Modal Labs Inc., Inngest Inc. und DataForSEO LLC. Als ergänzende Maßnahmen setzen wir ausschließlich verschlüsselte Verbindungen (TLS) ein, übermitteln nur die für die jeweilige Funktion nötigen Daten und haben die Nutzung der Daten zum Training von KI-Modellen vertraglich ausgeschlossen bzw. nutzen Anbieter, die dies in ihren Bedingungen ausschließen.
• Israel: Für Bria AI Ltd. besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

4. Datenerfassung in der Web-App (studio.autohub.de)

Registrierung und Authentifizierung (Better Auth)

Für den geschützten Bereich nutzen wir das Authentifizierungs-Framework „Better Auth". Bei der Registrierung und beim Login erfassen wir:

• E-Mail-Adresse
• Passwort (gehasht, für uns nicht einsehbar)
• Name
• Organisationsname (Autohaus / Werkstatt / Agentur)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Schutz vor automatisierten Zugriffen (Cloudflare Turnstile)

Bei der Registrierung, der Anmeldung und der Funktion „Passwort vergessen" sowie bei öffentlichen Anfrageformularen (z. B. auf Inseratsseiten oder bei Werkstatt-Anfragen) setzen wir den Dienst Cloudflare Turnstile ein (Cloudflare Inc., 101 Townsend St, San Francisco, CA 94107, USA). Turnstile prüft anhand technischer Merkmale Ihres Browsers und Ihrer Verbindung (u. a. IP-Adresse, Browser- und Geräteangaben), ob die Eingabe von einem Menschen stammt, und schützt so Ihr Konto und unsere Formulare vor automatisierten Angriffen und Spam. Dazu wird beim Aufruf des Formulars ein Skript von Cloudflare geladen. Der Zugriff auf Informationen in Ihrem Endgerät ist für die von Ihnen gewünschte Anmeldung bzw. Übermittlung des Formulars unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); einer Einwilligung bedarf es daher nicht. Rechtsgrundlage für die weitere Verarbeitung: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit unseres Dienstes und der Abwehr von Missbrauch). Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert. Weitere Informationen: cloudflare.com/privacypolicy.

E-Mail-Versand (Resend)

Für die Bestätigung der Registrierung, Passwort-Resets, Team-Einladungen sowie für Benachrichtigungen aus der Anwendung (z. B. über neue Anfragen von Interessenten oder den Stand von Werkstattaufträgen) nutzen wir den Dienst Resend (Resend Labs Inc., 2261 Market St #5059, San Francisco, CA 94114, USA). Resend verarbeitet zu diesem Zweck die Empfänger-E-Mail-Adresse und den Inhalt der Mails. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Zahlungsabwicklung (Stripe)

Für die Abrechnung der Tarife, Zusatzmodule und Credit-Pakete nutzen wir den Zahlungsdienstleister Stripe (Stripe Payments Europe Ltd., Grand Canal Harbour, Dublin, Irland). Ihre Zahlungsdaten werden direkt von Stripe erfasst; wir erhalten lediglich Statusmeldungen über Zahlungen und Abonnements, um Ihren Tarif und Ihre Credits freizuschalten. Stripe erstellt und versendet in unserem Auftrag auch die Rechnungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO.

WhatsApp und SMS (Twilio)

Nutzen Sie die Fahrzeugannahme per WhatsApp, empfangen und beantworten wir Ihre Nachrichten über den Dienst Twilio (Twilio Ireland Limited, Dublin, Irland; Muttergesellschaft Twilio Inc., USA), der die Nachrichten über die WhatsApp-Business-Schnittstelle von Meta (WhatsApp Ireland Limited, Dublin, Irland) zustellt. Verarbeitet werden die Mobilfunknummer, die Inhalte der Nachrichten sowie gesendete Fotos (z. B. Fahrzeug und Fahrzeugschein). Über denselben Weg benachrichtigen wir Sie auf Wunsch über neue Anfragen. Die hinterlegten WhatsApp-Nummern verwalten Sie in den Einstellungen Ihrer Organisation. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Fahrzeugdaten über die Fahrzeug-Identifizierungsnummer (Vincario)

Geben Sie eine Fahrzeug-Identifizierungsnummer (FIN) ein, fragen wir die technischen Fahrzeugdaten beim Dienst Vincario ab. Übermittelt wird ausschließlich die FIN, keine Angaben zu Personen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Google-Bewertungen Ihres Standorts (Google Places API)

Nutzen Sie im Cockpit die Funktionen rund um Google-Bewertungen, rufen wir über die Google Places API (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) die öffentlich sichtbaren Angaben und Bewertungen Ihres Standorts ab – einschließlich des öffentlich angezeigten Namens der Bewertenden und des Bewertungstextes –, um sie Ihnen anzuzeigen, auf Wunsch auf Ihrer Webseite darzustellen und Antwortentwürfe zu erstellen. Antworten veröffentlichen Sie selbst in Ihrem Google-Unternehmensprofil. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO gegenüber Ihnen sowie Art. 6 Abs. 1 lit. f DSGVO gegenüber den Bewertenden (berechtigtes Interesse an der Pflege des eigenen Bewertungsprofils).

5. Verarbeitung von Bilddaten durch KI-Provider

WICHTIGER HINWEIS: Die Kernfunktion von AUTOHUB Studiobesteht darin, hochgeladene Fahrzeugbilder mittels Künstlicher Intelligenz zu manipulieren und in neue Hintergründe einzubetten. Die von Ihnen hochgeladenen Bilder werden an externe KI-Schnittstellen (APIs) übertragen.

Je nach gewählter Funktion übermitteln wir Bild-, Text- oder Audiodaten an folgende Anbieter:

• Google Gemini API (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) – für die Bilderstellung im Modus „Snap", bei Bildserien und in Einzelfällen im Modus „Smart" (z. B. bei Innenraumbildern), die Bildprüfung, das Auslesen von Fahrzeugschein, Tacho und Belegen, Inseratstexte und weitere KI-Textfunktionen (z. B. auf der Webseite oder für Antwortentwürfe auf Bewertungen) sowie für die Umwandlung von Sprachnotizen in Text.
• OpenAI API (OpenAI Ireland Ltd., Dublin, Irland) – für die Bilderstellung in den Modi „Smart" und „Studio": Das Fahrzeugfoto wird analysiert, die Szene geplant und das Bild erzeugt.
• fal.ai (Features and Labels Inc., USA) – für Video-Clips aus einem erzeugten Bild, die HD-Vergrößerung von Bildern sowie für das optionale Training eines Fahrzeug-Zwillings.
• WaveSpeedAI (WaveSpeed AI, USA) – für die optionale Video-Funktion „Show-Clip", sofern sie angeboten wird: Ein bereits erzeugtes Bild wird zur Erzeugung eines kurzen Social-Media-Clips mit kreativer Kamerabewegung übermittelt.
• Bria AI (Bria AI Ltd., Tel Aviv, Israel) – für die pixelgenauen Modi „Signature" und „Signature Express", sofern sie angeboten werden: Das Fahrzeugfoto wird übermittelt, um den Hintergrund durch ein neutrales Studio zu ersetzen, während das Fahrzeug unverändert bleibt. Beim Modus „Signature" läuft die Verarbeitung zusätzlich über einen von uns betriebenen Rechenserver bei Modal Labs Inc. (USA).
• Anthropic (Claude) & OpenAI (GPT) (Anthropic PBC, USA; OpenAI Ireland Ltd., Dublin, Irland) – für eine interne Sicherheitsprüfung: Leitet das System aus den Betriebsdaten eines Händlers eine Arbeitsregel ab, prüfen zwei Sprachmodelle verschiedener Anbieter unabhängig voneinander deren Unbedenklichkeit, bevor sie ohne menschliche Freigabe wirksam wird. Übermittelt wird ausschließlich die abgeleitete Aussage – keine personenbezogenen Rohdaten und keine Kundenidentität.

Datenschutz-Garantie bei API-Nutzung

Wir nutzen ausschließlich die kommerziellen API-Schnittstellen dieser Anbieter. Laut den Nutzungsbedingungen der Provider (Google Cloud, OpenAI API, fal.ai, Bria, Anthropic) werden über die API übermittelte Daten nicht zum Trainieren derer öffentlichen KI-Modelle verwendet.

Die Übermittlung erfolgt ausschließlich zur Bereitstellung der jeweiligen Bildbearbeitungsfunktion (Inferenz). Eine Nutzung der Bilddaten zum Training der KI-Modelle durch die genannten Provider ist vertraglich ausgeschlossen.

Rechtsgrundlage für diese Verarbeitung ist die Vertragserfüllung gem. Art. 6 Abs. 1 lit. b DSGVO. Für Übermittlungen in die USA gelten die Ausführungen unter „Übermittlung in Drittländer". Für Israel besteht ein Angemessenheitsbeschluss der EU-Kommission.

So kennzeichnen wir KI-erzeugte Bilder

Jedes mit AUTOHUB Studio erzeugte Bild trägt unsichtbare, digital signierte Herkunftsangaben nach dem offenen Content-Credentials-Standard (C2PA). Sie können jedes Bild ohne unser Zutun unter contentcredentials.org/verify prüfen und sehen dort, dass es mit KI erstellt wurde, mit welchem System und wann. Bilder, bei denen die KI das Fahrzeug selbst neu darstellt, tragen zusätzlich das sichtbare „AI"-Zeichen der EU direkt im Bild; bei Studioszenen, die Ihre Originalaufnahme des Fahrzeugs unverändert lassen und nur den Hintergrund ersetzen, entfällt das sichtbare Zeichen. Verantwortlich für diese Kennzeichnung ist die Bjoern Habegger Kommunikationsberatung als Anbieterin von AUTOHUB Studio.

AutoPlan – Marketing-Datenquellen (Wachstums-Analyse, optional)

Das optionale Cockpit-Modul „AutoPlan" leitet aus Ihrem Fahrzeugbestand und aus Nachfrage-Signalen Marketing-Empfehlungen ab. Nur sofern Sie eine Datenquelle aktiv verbinden, beziehen bzw. übermitteln wir Daten von folgenden Diensten:

• DataForSEO (DataForSEO LLC, USA) – Abruf von Suchvolumen und Wettbewerbskennzahlen zu Fahrzeugmodellen. Übermittelt werden ausschließlich Modell-Suchbegriffe (z. B. „VW Golf Leasing") – keine personenbezogenen Daten Ihrer Kunden.
• Google Search Console API & Google Ads API (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) – nur nach Ihrer ausdrücklichen Einwilligung (OAuth): Wir rufen ausschließlich lesend die Statistiken Ihres eigenen Google-Kontos ab (Such-Impressionen, -Klicks und -Positionen Ihrer Händlerseite bzw. Kennzahlen Ihrer eigenen Werbekampagnen), um daraus Handlungsempfehlungen abzuleiten. Sie können die Verbindung jederzeit im Cockpit trennen oder in Ihrem Google-Konto widerrufen.

Google API Services – eingeschränkte Nutzung (Limited Use): Die Nutzung der von Google-APIs empfangenen Informationen durch AUTOHUB Studio entspricht der Google API Services User Data Policy einschließlich der Anforderungen zur eingeschränkten Nutzung. Die über diese Schnittstellen empfangenen Daten werden ausschließlich zur Bereitstellung der von Ihnen aktivierten AutoPlan-Analyse verwendet, nicht an Dritte weitergegeben und weder für Werbezwecke noch zum Training von KI-Modellen genutzt.

Schutzmaßnahmen für Google-Nutzerdaten (Datensicherheit)

Für sensible Daten, die wir über Google-APIs erhalten, setzen wir folgende technische und organisatorische Schutzmechanismen ein:

• Verschlüsselung bei der Übertragung: Sämtliche Kommunikation mit Google-APIs und mit Ihrem Browser erfolgt ausschließlich über verschlüsselte Verbindungen (HTTPS/TLS).
• Verschlüsselung bei der Speicherung: Von den OAuth-Zugangsdaten speichern wir ausschließlich das Refresh-Token, und zwar mit AES-256-GCM verschlüsselt (authentifizierte Verschlüsselung) in unserer Datenbank (Rechenzentrum in der EU, Frankfurt). Kurzlebige Access-Tokens werden für jeden Abruf neu bezogen und niemals dauerhaft gespeichert. Aus den APIs übernehmen wir nur aggregierte Statistik-Kennzahlen (z. B. Impressionen, Klicks, Kosten) – keine Inhalte und keine personenbezogenen Daten Ihrer Endkunden.
• Zugriffskontrolle: Die Daten sind strikt mandantengetrennt je Organisation gespeichert. Eine Google-Verbindung kann nur von berechtigten Administratoren Ihrer Organisation hergestellt, genutzt oder getrennt werden. Der interne Zugriff auf Produktionssysteme ist nach dem Prinzip der minimalen Rechtevergabe beschränkt.
• Datenminimierung: Wir fordern je Datenquelle nur den einen dafür erforderlichen Berechtigungsumfang (Scope) an und greifen ausschließlich lesend zu; es werden keine Änderungen in Ihrem Google-Konto vorgenommen.
• Löschung und Widerruf: Trennen Sie die Verbindung im Cockpit, werden die gespeicherten Zugangsdaten (das verschlüsselte Refresh-Token) unverzüglich und unwiderruflich aus unserer Datenbank gelöscht. Zusätzlich können Sie den Zugriff jederzeit in Ihren Google-Sicherheitseinstellungen (myaccount.google.com/permissions) widerrufen. Abgeleitete aggregierte Kennzahlen werden spätestens mit der Löschung Ihrer Organisation bzw. Ihres Kontos entfernt.
• Meldung von Sicherheitsvorfällen: Im Fall einer Verletzung des Schutzes personenbezogener Daten informieren wir die zuständige Aufsichtsbehörde und betroffene Nutzer gemäß Art. 33 und 34 DSGVO.

English summary (for Google API verification): Sensitive data obtained via Google APIs is protected as follows: all transfers use HTTPS/TLS encryption; the only stored credential is the OAuth refresh token, encrypted at rest with AES-256-GCM (EU data center, Frankfurt); access tokens are short-lived and never persisted; access is restricted per organization to authorized administrators; we request only the minimum read-only scopes required; disconnecting the source immediately and permanently deletes the stored credentials, and access can additionally be revoked at myaccount.google.com/permissions; personal-data breaches are notified in accordance with Art. 33/34 GDPR.

Schutz von Rechten Dritter (Personen und Kennzeichen)

Kennzeichen-Schutz: AUTOHUB Studio verfügt über technische Vorkehrungen, um Kennzeichen unleserlich zu machen oder zu ersetzen, um die Privatsphäre zu wahren.

Nutzer-Pflichten: Als B2B-Kunde sind Sie verpflichtet, vor dem Upload von Bildern sicherzustellen, dass keine Rechte Dritter (insb. Urheberrechte von Fotografen oder Persönlichkeitsrechte von Personen, die auf den Fotos erkennbar sind) verletzt werden. Der integrierte Bildprüfung weist Sie auf erkannte Personen hin und blockiert ggf. die Bilderstellung (Ampel-System).

6. Veröffentlichung von Inseraten auf Fahrzeugplattformen

Auf Ihre Veranlassung übertragen wir Inserate aus AUTOHUB Studio an die von Ihnen gewählten Plattformen. Zweck ist die Ausspielung Ihrer Inserate auf diesen Plattformen, damit Ihre Fahrzeuge dort von Kaufinteressenten gefunden werden (Reichweite). Übermittelt werden die Inseratsdaten (Fahrzeugdaten, Bilder, Preis-, Finanzierungs- und Pflichtangaben) sowie die Anbieter- und Kontaktdaten Ihres Betriebs, die dort angezeigt werden sollen (z. B. Firmierung, Anschrift, Telefonnummer, E-Mail-Adresse), gegebenenfalls auch Name und Kontaktdaten der für das Fahrzeug zuständigen Mitarbeiterin oder des zuständigen Mitarbeiters.

• AutoHub-Marktplatz (autohub.de) – ein Angebot der Bjoern Habegger Kommunikationsberatung.
• mobile.de (mobile.de GmbH, Marktplatz 1, 14532 Europarc Dreilinden) – über die Händler-Schnittstelle von mobile.de für Ihr Händlerkonto.
• AutoScout24 (AutoScout24 GmbH, Bothestraße 11–15, 81675 München) – über die Partner-Schnittstelle von AutoScout24, nachdem Sie AUTOHUB dort für Ihr Händlerkonto freigegeben haben und wir die Verbindung freigeschaltet haben.

Übernehmen Sie bestehende Inserate von mobile.de oder AutoScout24, rufen wir die Inseratsdaten und Bilder Ihres Händlerkontos dort ab; für AutoScout24 rufen wir außerdem Statistiken zu Ihren Inseraten (z. B. Aufrufe) ab. Richten Sie einen Fahrzeug-Feed für Google Fahrzeuganzeigen ein, stellen wir Ihre Inseratsdaten unter einer Feed-Adresse bereit, die Google abruft.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrages mit Ihnen). Ab der Übermittlung ist die jeweilige Plattform für die Verarbeitung eigenständig verantwortlich und verarbeitet die Daten nach ihren eigenen Datenschutzbestimmungen; eine gemeinsame Verantwortlichkeit besteht nicht. Für den AutoHub-Marktplatz ist die Bjoern Habegger Kommunikationsberatung selbst Verantwortliche; dort gilt die Datenschutzerklärung von autohub.de.

7. Anfragen von Interessenten

Über Inseratsseiten, Ihre Händler- bzw. Werkstatt-Webseite und Modellseiten können Interessenten Anfragen an Ihren Betrieb senden (z. B. Name, Kontaktdaten, Nachricht, Fahrzeugbezug). Wir speichern diese Anfragen, zeigen sie Ihnen im Cockpit an und benachrichtigen Sie per E-Mail und auf Wunsch per WhatsApp. Für diese Daten sind Sie der Verantwortliche im Sinne der DSGVO; wir handeln als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage unseres Auftragsverarbeitungsvertrags. Die Formulare sind mit Cloudflare Turnstile gegen Spam geschützt (s. Abschnitt 4).

8. AUTOHUB Service – Daten der Werkstattkundschaft

Betreiben Sie mit AUTOHUB Studio eine Werkstatt (Modul „AUTOHUB Service"), verarbeiten wir Daten Ihrer eigenen Kundinnen und Kunden – Name, Kontaktdaten, Fahrzeug- und Auftragsdaten. Für diese Daten sind Sie der Verantwortliche im Sinne der DSGVO; wir handeln ausschließlich weisungsgebunden als Auftragsverarbeiter nach Art. 28 DSGVO. Grundlage ist unser Auftragsverarbeitungsvertrag (Anlage B Werkstatt und AUTOHUB Service).

Was verarbeitet wird

• Auftrag und Fahrzeug: Kennzeichen, FIN, Kilometerstand, beauftragte Arbeiten mit Bruttopreisen, Freigaben Ihrer Kundschaft (jeweils mit Zeitpunkt und angezeigtem Preis als Nachweis) sowie das Auftragsprotokoll.
• Befunde aus der Werkstatt: Fotos, Sprachnotizen und deren Transkripte. Fotos und Sprachnotizen werden 180 Tage nach der Abholung automatisch gelöscht.
• Anfragen über den Concierge-Link: Fotografiert Ihre Kundschaft Fahrzeugschein oder Tacho, werten wir das Bild einmalig aus, um die Fahrzeugdaten zu übernehmen – das Foto selbst wird nicht gespeichert. Für die Auswertung wird es an die Google Gemini API (Google Ireland Limited, Dublin) übermittelt.
• Benachrichtigungen: E-Mail über Resend, SMS und WhatsApp über Twilio (Twilio Ireland Limited, Dublin). WhatsApp nur bei ausdrücklicher, dokumentierter Einwilligung der betroffenen Person (§ 7 UWG); ohne Einwilligung greifen SMS und E-Mail.
• KI-Erklärungen: Befundtexte für die Kundenseite werden mit der Google Gemini API erzeugt, sind als KI-gestützt gekennzeichnet und werden fachlich von der Werkstatt verantwortet.
• Digitales Serviceheft: Abgeschlossene Aufträge werden als Serviceheft-Einträge (Datum, Kilometerstand, Arbeiten, Betriebsstoffe) dokumentiert. Laden Sie alte Scheckhefte oder Fremdrechnungen hoch, werden die Einträge mit der Google Gemini API ausgelesen; unsichere Angaben bleiben leer, und Teil des Hefts wird ein Eintrag erst nach Ihrer Prüfung und Bestätigung. Der hochgeladene Beleg selbst ist nur für Ihre Werkstatt abrufbar, nie über den Kunden-Link.
• Lexware-Anbindung (optional): Verbinden Sie Ihr eigenes Lexware-Office-Konto, lesen wir dort auf Ihre Weisung Rechnungs- und Kontaktdaten aus und spiegeln sie als Serviceheft-Einträge in die Fahrzeug-Akte. Der API-Schlüssel wird verschlüsselt gespeichert und beim Trennen sofort gelöscht; Ihr Rechnungswesen und das GoBD-Archiv bleiben vollständig bei Lexware.

Statusseite und Löschung

Die Statusseite Ihrer Kundschaft ist nur über einen unguessbaren Link erreichbar, für Suchmaschinen gesperrt und erlischt 30 Tage nach der Abholung. Verlangt eine Ihrer Kundinnen oder Kunden die Löschung, können Sie den Auftrag samt Befunden, Fotos und Protokoll direkt in der Auftragsansicht endgültig löschen.

Serviceheft-Link: dauerhaft statt befristet

Anders als die Auftrags-Statusseite erlischt der Link zum digitalen Serviceheft eines Fahrzeugs nicht: das Heft ist die dauerhafte Servicehistorie und gehört dem Fahrzeughalter — auch nach einem Werkstattwechsel. Die Heft-Seite zeigt dafür bewusst nur Datum, Kilometerstand, Arbeiten, Betriebsstoffe und den ausführenden Betrieb — keine Preise, keine Kontaktdaten, keine Fotos oder Belege. Der Link ist jederzeit erneuerbar (der alte wird sofort ungültig), und einzelne Einträge oder das ganze Heft können auf Verlangen des Halters in der Heft-Ansicht gelöscht werden.

9. Cookies und LocalStorage

Unsere Webseite nutzt technisch notwendige Speicherverfahren:

• Better Auth Cookies: Erforderlich, um Ihren Login-Status über Sessions hinweg aufrechtzuerhalten.
• LocalStorage (LegalConsent): Wir speichern Ihre Bestätigung des Rechtssicherheits-Layers (Konsent-Modal vor Studio-Nutzung) lokal in Ihrem Browser, damit Sie diesen nicht bei jedem Besuch neu bestätigen müssen.

Partner-Links (Affiliate)

Auf unserer Startseite und im Bereich „Schnittstellen“ weisen wir als Anzeige gekennzeichnet auf das Angebot unseres Partners carVertical (Fahrzeughistorie-Prüfung) hin. Solange Sie die Anzeige lediglich sehen, werden keine Daten an den Partner übermittelt — es werden weder Skripte noch Zählpixel des Partners geladen und keine Cookies für diesen gesetzt. Erst wenn Sie den Link anklicken, rufen Sie die Seite des Partners auf; dieser erhält dabei Ihre IP-Adresse und Browserangaben und setzt gegebenenfalls eigene Cookies, um eine Provision zuzuordnen. Ab diesem Zeitpunkt ist ausschließlich der Partner Verantwortlicher; es gilt dessen Datenschutzerklärung. Rechtsgrundlage für die Einbindung des Links ist unser berechtigtes Interesse an der Refinanzierung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO). Wir selbst protokollieren den Klick nicht.

10. Ihre Rechte

Sie haben das Recht:

• Auskunft über Ihre bei uns gespeicherten Daten zu erhalten (Art. 15 DSGVO).
• Die Berichtigung unrichtiger Daten zu verlangen (Art. 16 DSGVO).
• Die Löschung Ihrer Daten zu verlangen („Recht auf Vergessenwerden" – Art. 17 DSGVO). Hinweis: Sie können in Ihrem Profil einen Soft-Delete durchführen, der Ihre E-Mail-Adresse maskiert und Ihre Sessions widerruft.
• Die Einschränkung der Verarbeitung zu verlangen (Art. 18 DSGVO).
• Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten (Art. 20 DSGVO).
• Einer Verarbeitung, die auf Art. 6 Abs. 1 lit. f DSGVO beruht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, zu widersprechen (Art. 21 DSGVO).
• Eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO).
• Sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

Betrifft Ihr Anliegen Daten, die wir im Auftrag eines Autohauses oder einer Werkstatt verarbeiten (Abschnitte 7 und 8), wenden Sie sich bitte an den jeweiligen Betrieb; wir unterstützen ihn bei der Bearbeitung.