Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:
Carposé UG (haftungsbeschränkt)
Ludwigshöheweg 34, 12559 Berlin
E-Mail: [email protected] · Tel.: +49 30 692 085 420

Ein Datenschutzbeauftragter ist gesetzlich nicht bestellt, da die Voraussetzungen hierfür derzeit nicht vorliegen. Bei Fragen zum Datenschutz erreichen Sie uns unter den vorstehenden Kontaktdaten.

2. Grundsätze und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten ausschließlich auf Grundlage der gesetzlichen Bestimmungen (DSGVO, BDSG, TDDDG). Je nach Verarbeitung stützen wir uns auf Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen (lit. b), eine rechtliche Verpflichtung (lit. c) oder unser berechtigtes Interesse (lit. f). Die Website kann grundsätzlich ohne Angabe personenbezogener Daten genutzt werden; für einzelne Funktionen ist eine Verarbeitung erforderlich.

3. Hosting und Infrastruktur

Unsere Plattform wird bei der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) in Rechenzentren in Deutschland betrieben. Auslieferung, Zwischenspeicherung (CDN), Teile der Anwendung (als Edge-Worker) sowie die Speicherung von Bilddateien (Objektspeicher) erfolgen über Cloudflare, Inc. (101 Townsend Street, San Francisco, USA; in der EU vertreten durch die Cloudflare Germany GmbH). Cloudflare ist ein US-Unternehmen; die Verarbeitung erfolgt vorrangig auf europäischer Infrastruktur, ein Zugriff aus den USA ist nicht ausgeschlossen und über den Angemessenheitsbeschluss (EU-US Data Privacy Framework) bzw. Standardvertragsklauseln abgesichert (siehe Ziffer 13). Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, performanten Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Mit den Anbietern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO.

4. Server-Logfiles

Bei jedem Zugriff werden automatisch Informationen in Server-Logfiles gespeichert: Browsertyp und -version, Betriebssystem, Referrer-URL, Hostname/IP-Adresse des zugreifenden Geräts sowie Uhrzeit der Anfrage. Diese Verarbeitung dient der Stabilität und Sicherheit und beruht auf Art. 6 Abs. 1 lit. f DSGVO. Die Logfiles werden nach spätestens 30 Tagen gelöscht, sofern nicht ein konkreter Sicherheitsvorfall eine längere Aufbewahrung erfordert.

5. Cookies und Einwilligung

Wir setzen technisch notwendige Speichertechnologien (Cookies bzw. Local-Storage-Einträge) ein, um Grundfunktionen bereitzustellen. Diese sind für den Betrieb erforderlich (Art. 6 Abs. 1 lit. f DSGVO, § 25 Abs. 2 TDDDG) und lassen sich nicht abwählen. Alle nicht notwendigen Technologien – insbesondere zur Reichweitenmessung (siehe Ziffer 6) – setzen wir erst nach Ihrer ausdrücklichen Einwilligung über unseren Consent-Banner ein (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen widerrufen.

6. Reichweitenmessung: Google Tag Manager & Google Analytics

Auf Grundlage Ihrer Einwilligung nutzen wir den Google Tag Manager und Google Analytics 4, Dienste der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Hierbei werden Nutzungsdaten (u. a. gekürzte IP-Adresse, Online-Kennungen, Interaktionen) verarbeitet, um die Nutzung der Website statistisch auszuwerten. Diese Daten ermöglichen einen Personenbezug; sie sind daher nicht anonym. Eine Übermittlung an die Google LLC in den USA ist möglich und über das EU-US Data Privacy Framework bzw. Standardvertragsklauseln abgesichert (Ziffer 13). Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die Sie jederzeit über die Cookie-Einstellungen widerrufen können.

7. Google-Nutzerdaten in Carposé Insights und Carposé Ads

Dieser Abschnitt betrifft nicht die Reichweitenmessung auf dieser Website (dazu Ziffer 6), sondern zwei Funktionen unserer Plattform, mit denen ein Autohaus sein eigenes Google-Konto mit Carposé verbindet: Carposé Insights (Auswertung der Fahrzeugsuche auf Basis von Google Analytics 4 und Google Tag Manager) und Carposé Ads (Anmeldung des Fahrzeug-Feeds im Google Merchant Center des Autohauses). Beide Verbindungen sind freiwillig, werden vom Autohaus selbst hergestellt und können jederzeit getrennt werden. Es handelt sich um zwei getrennte Einwilligungen: Wer nur eine der beiden Funktionen nutzt, wird nicht nach den Berechtigungen der anderen gefragt.

Bei diesen Verarbeitungen ist das jeweilige Autohaus der Verantwortliche; Carposé handelt als dessen Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags.

a) Welche Google-Nutzerdaten wir verarbeiten

Die Berichtsdaten aus Google Analytics rufen wir ausschließlich in aggregierter Form ab (Tageswerte, Kanalgruppen, Fahrzeug- und Suchtext-Auswertungen). Wir rufen keine Nutzerkennungen, keine Client-IDs, keine IP-Adressen und keine Merkmale einzelner Website-Besucher ab. Freitext-Suchanfragen speichern wir ohne jeden Personenbezug, gekürzt und erst ab einer Mindesthäufigkeit.

b) Wofür wir diese Daten verwenden

Ausschließlich, um dem verbundenen Autohaus die von ihm gebuchten Funktionen bereitzustellen: die Darstellung seiner Kennzahlen im Carposé-Adminbereich einschließlich der daraus abgeleiteten Hinweise, PDF-Berichte und der wöchentlichen Zusammenfassungsmail, die Einrichtung der Messung in seiner eigenen Property und seinem eigenen Container sowie die Anmeldung und Überwachung seines Fahrzeug-Feeds im eigenen Merchant Center. Eine andere Verwendung findet nicht statt.

c) An wen wir Google-Nutzerdaten weitergeben

Wir verkaufen keine Google-Nutzerdaten. Wir verwenden sie nicht für Werbung, nicht für Profilbildung, nicht zur Bonitätsbewertung und nicht zum Trainieren von KI-Modellen. Insbesondere werden Google-Nutzerdaten nicht an die in Ziffer 10 genannten KI-Dienstleister (Anthropic, OpenAI) übermittelt.

Eine Weitergabe erfolgt ausschließlich an die folgenden Empfänger und ausschließlich zu den genannten Zwecken:

Kein Autohaus sieht die Google-Nutzerdaten eines anderen. Eine einzige Ausnahme besteht in stark aggregierter Form: Für den freiwilligen Branchenvergleich in Carposé Insights berechnen wir aus den Werten aller teilnehmenden Autohäuser einen Median. Er wird nur gebildet und angezeigt, wenn mindestens zehn Autohäuser teilnehmen, und es werden ausschließlich zwei Zahlen ausgegeben: der Medianwert und die Zahl der Teilnehmer. Namen, Einzelwerte oder Zuordnungen zu einzelnen Autohäusern werden dabei zu keinem Zeitpunkt offengelegt.

d) Speicherung, Schutz, Aufbewahrung und Löschung

• Speicherort: Alle aus Google bezogenen Daten werden in unserer Datenbank auf Servern in Deutschland gespeichert. Eine Übermittlung an Google selbst erfolgt nur dort, wo Sie uns beauftragt haben, in Ihrem Konto etwas anzulegen oder zu veröffentlichen.
• Schutz der Zugangsdaten: Aktualisierungstoken (Refresh Tokens) werden ausschließlich verschlüsselt gespeichert (libsodium, je Autohaus eigener abgeleiteter Schlüssel). Zugangstoken (Access Tokens) werden gar nicht dauerhaft gespeichert. Token erscheinen weder in Protokolldateien noch in Fehlermeldungen.
• Aufbewahrung: Die abgerufenen Tageswerte bleiben gespeichert, solange die Verbindung besteht – sie bilden die Zeitreihe, die die Auswertung überhaupt erst aussagekräftig macht.
• Löschung: Trennen Sie die Verbindung im Adminbereich, widerrufen wir das Token bei Google und löschen Token, Konto-E-Mail-Adresse, ausgewählte Property sowie sämtliche daraus gewonnenen Messdaten. Bei Carposé Ads werden die Datenquellen bei Google entfernt oder deren Abruf abgeschaltet. Mit Beendigung des Vertragsverhältnisses werden alle verbleibenden Daten gelöscht. Unabhängig davon können Sie den Zugriff jederzeit auch direkt in Ihrem Google-Konto unter myaccount.google.com/permissions entziehen.

e) Eingeschränkte Nutzung (Google API Services User Data Policy)

Die Nutzung der von Google APIs empfangenen Daten durch Carposé sowie deren Übertragung an andere Anwendungen unterliegt der Google API Services User Data Policy einschließlich der darin enthaltenen Anforderungen zur eingeschränkten Nutzung (Limited Use).

8. Kontaktaufnahme und Fahrzeuganfragen

Wenn Sie über unsere Plattform Kontakt zu einem Autohaus aufnehmen oder uns per Kontaktformular schreiben, verarbeiten wir die von Ihnen angegebenen Daten (insbesondere Name, E-Mail-Adresse, Telefonnummer und Ihre Nachricht), um Ihre Anfrage zu bearbeiten bzw. an das jeweilige Autohaus weiterzuleiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen) sowie Art. 6 Abs. 1 lit. f DSGVO (effiziente Vermittlung von Fahrzeuganfragen). Zum Schutz vor Spam und missbräuchlicher automatisierter Nutzung setzen wir bei unseren Formularen den Dienst Cloudflare Turnstile ein; dabei wird Ihre IP-Adresse an Cloudflare übermittelt (Art. 6 Abs. 1 lit. f DSGVO).

Das von Ihnen kontaktierte Autohaus ist eigenständig Verantwortlicher für die weitere Verarbeitung Ihrer Anfrage; es gelten insoweit dessen Datenschutzhinweise. Einfache Kontaktanfragen löschen wir nach spätestens 30 Tagen. Nutzt das Autohaus unser Lead-Management, wird Ihre Anfrage dort zur Bearbeitung gespeichert und nach den gesetzlichen Fristen bzw. auf Ihr Verlangen (Art. 17 DSGVO) gelöscht.

9. E-Mail-Versand

Für den Versand von Bestätigungs- und Benachrichtigungs-E-Mails setzen wir den Dienst Brevo (Sendinblue GmbH, Köpenicker Str. 126, 10179 Berlin) ein. Dabei werden die zur Zustellung erforderlichen Daten (E-Mail-Adresse, Inhalt) verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO; es besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

10. KI-Funktionen

a) KI-gestützte Fahrzeugsuche. Für die KI-gestützte Fahrzeugsuche und Suchvorschläge verarbeiten wir Ihre Sucheingaben mithilfe von OpenAI (OpenAI Ireland Ltd, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland). Da Sie in das Suchfeld freien Text eingeben können, kann dieser im Einzelfall personenbezogene Angaben enthalten. Die Verarbeitung erfolgt auf europäischer Infrastruktur; ein Zugriff aus den USA im Rahmen des Konzerns ist über Standardvertragsklauseln bzw. das EU-US Data Privacy Framework abgesichert (Ziffer 13). Ihre Eingaben werden nicht zum Training der Modelle verwendet. Rechtsgrundlage ist unser berechtigtes Interesse an einer leistungsfähigen Suche (Art. 6 Abs. 1 lit. f DSGVO); es besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Eine ausschließlich automatisierte Entscheidung im Einzelfall mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung (Art. 22 DSGVO) findet nicht statt.

b) KI-Assistenz im Händler-Portal. Innerhalb der Plattform unterstützen KI-Funktionen die Autohäuser bei der Bearbeitung von Anfragen: Zusammenfassung des bisherigen Verlaufs, Entwürfe für Antwortschreiben, Priorisierung eingehender Anfragen sowie das Auslesen von Anfragen aus E-Mails. Hierfür nutzen wir Anthropic (Anthropic Ireland, Limited, 6th Floor South Bank House, Barrow Street, Dublin 4, Irland; Konzern mit Sitz in den USA). Bei diesen Verarbeitungen ist das jeweilige Autohaus der Verantwortliche und Carposé sein Auftragsverarbeiter; die Informationspflicht gegenüber den Interessenten obliegt dem Autohaus. Vor der Übermittlung entfernen wir Namen, E-Mail-Adressen und Telefonnummern aus den Inhalten, soweit die Funktion sie nicht zwingend benötigt — das Auslesen von Anfragen aus E-Mails erfordert die Kontaktdaten naturgemäß. Die Eingaben werden nicht zum Training der Modelle verwendet. Eine Verarbeitung in den USA bzw. ein Zugriff aus den USA im Rahmen des Konzerns ist über Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO abgesichert (Ziffer 13). Erzeugte Zusammenfassungen und Entwürfe werden dem Autohaus lediglich vorgeschlagen und vor einer Verwendung von einem Menschen geprüft; eine ausschließlich automatisierte Entscheidung im Einzelfall (Art. 22 DSGVO) findet nicht statt.

11. Fehler- und Sicherheitsmonitoring

Zur Erkennung und Behebung technischer Fehler setzen wir – soweit aktiviert – ein Fehler-Monitoring (Sentry, Functional Software Inc., USA) ein. Dabei können technische Informationen und im Fehlerfall enthaltene Daten verarbeitet werden. Rechtsgrundlage ist unser berechtigtes Interesse an einem stabilen und sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO); eine Übermittlung in die USA ist über das EU-US Data Privacy Framework bzw. Standardvertragsklauseln abgesichert.

12. Benachrichtigungen per WhatsApp

Sofern ein Autohaus dies anbietet und Sie einen entsprechenden Alarm (z. B. Preis- oder Wunschauto-Alarm) aktivieren, versenden wir Benachrichtigungen über den Dienst WhatsApp Business (Meta Platforms Ireland Ltd). Dabei wird Ihre Telefonnummer verarbeitet; eine Übermittlung in die USA ist möglich und über das EU-US Data Privacy Framework bzw. Standardvertragsklauseln abgesichert. Rechtsgrundlage ist Ihre Einwilligung bzw. die Durchführung des von Ihnen gewünschten Dienstes (Art. 6 Abs. 1 lit. a bzw. lit. b DSGVO).

13. Übermittlung in Drittländer

Einige der vorstehend genannten Dienstleister (insbesondere Cloudflare, Google, Anthropic und ggf. OpenAI, Sentry und Meta) sind Unternehmen mit Sitz oder Konzernbezug in den USA. Soweit dabei Daten in ein Drittland übermittelt werden, erfolgt dies auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-US Data Privacy Framework (für zertifizierte Empfänger) oder auf Grundlage von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO nebst ergänzenden Schutzmaßnahmen.

14. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen (z. B. handels- und steuerrechtlich) dies vorsehen. Anschließend werden die Daten gelöscht. Konkrete Fristen sind bei den jeweiligen Verarbeitungen genannt.

15. Ihre Rechte

Sie haben nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, einer Verarbeitung auf Grundlage berechtigter Interessen zu widersprechen (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Zur Ausübung genügt eine formlose Mitteilung an die in Ziffer 1 genannten Kontaktdaten.

Unabhängig davon haben Sie das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Die für uns zuständige Behörde ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin.

16. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um Ihre Daten gegen Verlust, Manipulation und unberechtigten Zugriff zu schützen. Die Übertragung erfolgt verschlüsselt (TLS/HTTPS). Unsere Maßnahmen werden fortlaufend an den Stand der Technik angepasst.

17. Widerspruch gegen Werbemails

Der Nutzung von im Rahmen der Impressumspflicht veröffentlichten Kontaktdaten zur Übersendung von nicht ausdrücklich angeforderter Werbung wird widersprochen. Im Falle unverlangter Zusendung von Werbeinformationen behalten wir uns rechtliche Schritte vor.

18. Aktualität und Änderungen

Diese Datenschutzerklärung ist aktuell gültig (Stand: Juli 2026). Durch die Weiterentwicklung unserer Website oder geänderte gesetzliche Vorgaben kann eine Anpassung erforderlich werden; es gilt jeweils die auf dieser Seite abrufbare Fassung.