Privacyverklaring

1. Verwerkingsverantwoordelijke

Verwerkingsverantwoordelijke voor de gegevensverwerking op carfalke.de, in de CarFalke-app en bij het gebruik van de CarFalke-marktzoeker in de zin van de Algemene Verordening Gegevensbescherming (AVG) is:

CarFalke GmbH, Mies-van-der-Rohe-Straße 8, 80807 München, Deutschland, e-mail: info@carfalke.de

Voor alle vragen over gegevensbescherming en over de uitoefening van uw rechten kunt u ons bereiken via datenschutz@carfalke.de.

2. Functionaris voor gegevensbescherming

Op grond van art. 37 AVG en § 38 BDSG (Duitse federale wet gegevensbescherming) zijn wij momenteel niet verplicht een functionaris voor gegevensbescherming aan te wijzen. Uw vragen over gegevensbescherming worden behandeld door ons privacyteam via datenschutz@carfalke.de.

3. Overzicht: van wie wij gegevens verwerken

CarFalke is een marktzoeker voor professionele autodealers: wij lezen openbaar toegankelijke voertuigadvertenties op portalen van derden (mobile.de, AutoScout24, Kleinanzeigen), bereiden deze op en stellen onze klanten op de hoogte van nieuwe treffers. Daarbij verwerken wij persoonsgegevens van drie groepen:

• bezoekers van onze website (punten 4, 13–15),
• contactpersonen en medewerkers van onze klanten – van de toegangsaanvraag via het gebruikersaccount tot de factuur (punten 5–12),
• aanbieders van voertuigadvertenties op de portalen, van wie wij de gegevens uit de openbare advertentie overnemen (punt 7).

Wij verwerken persoonsgegevens alleen voor zover dit nodig is voor de werking van de dienst, de uitvoering van onze overeenkomsten, de beveiliging van het platform of de nakoming van wettelijke verplichtingen, of voor zover u toestemming hebt gegeven. Wij verkopen geen persoonsgegevens, gebruiken geen advertentietrackers van derden en stellen geen advertentieprofielen op.

4. Hosting, serverlogbestanden en back-ups

De website, de database, geüploade documenten en de achtergronddiensten (crawler, meldingen) draaien op servers van Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in datacenters in Duitsland. Versleutelde back-ups worden bij Hetzner in Duitsland bewaard en uiterlijk na zes maanden overschreven. Hetzner verwerkt de gegevens uitsluitend in onze opdracht op basis van een verwerkersovereenkomst (art. 28 AVG).

Bij het bezoeken van de website of de app-interface verwerken wij automatisch technisch noodzakelijke gegevens, met name:

• IP-adres
• datum en tijdstip van het verzoek
• opgevraagde pagina of opgevraagd bestand en HTTP-statuscode
• browsertype, besturingssysteem en referrer-URL (voor zover doorgegeven)

Deze gegevens verwerken wij om de dienst te leveren, de stabiliteit en veiligheid ervan te waarborgen, aanvallen af te weren en misbruik (bijv. geautomatiseerde massaverzoeken) te beperken. Rechtsgrondslag is art. 6, lid 1, onder f, AVG; ons gerechtvaardigd belang ligt in een veilige en foutloze werking. Serverlogbestanden worden uiterlijk na 30 dagen verwijderd, tenzij ze in een individueel geval langer nodig zijn om een beveiligingsincident op te helderen.

5. Toegangsaanvraag en controle van de dealer

CarFalke staat alleen open voor professionele autodealers. Bij de toegangsaanvraag verwerken wij de gegevens over uw bedrijf (bedrijfsnaam, rechtsvorm, adres, btw-identificatienummer, zakelijk e-mailadres en telefoonnummer, optioneel website en handelsregistergegevens) en over de aanvragende persoon (voor- en achternaam, e-mailadres, wachtwoord als cryptografische hash, optioneel de functie in het bedrijf), evenals uw verklaring dat u beroepsmatig in voertuigen handelt.

Vóór de activering controleren wij of het om een professionele dealer gaat, met name aan de hand van het handelsregister, het EU-systeem VIES voor btw-identificatienummers en uw website. Op verzoek kunnen wij bewijsstukken opvragen (bijv. een bewijs van bedrijfsregistratie (Gewerbeanmeldung) of een uittreksel uit het handelsregister). Geüploade bewijsstukken slaan wij versleuteld en niet-openbaar op; ze worden alleen door ons team ingezien. Het besluit over de activering wordt door een mens genomen.

Rechtsgrondslagen zijn art. 6, lid 1, onder b, AVG (totstandkoming en uitvoering van de overeenkomst) en art. 6, lid 1, onder f, AVG (bescherming van de dienst tegen misbruik, met name van de contactgegevens van de aanbieders). De gegevens van een geactiveerd bedrijf bewaren wij voor de duur van de overeenkomst; bewijsstukken verwijderen wij uiterlijk drie jaar na het einde van de overeenkomst, factuurbescheiden bewaren wij op grond van § 147 AO (Duits belastingwetboek) en § 257 HGB (Duits wetboek van koophandel) tien jaar. Gegevens van afgewezen of niet afgeronde aanvragen verwijderen wij zodra ze niet meer nodig zijn, uiterlijk na afloop van de gewone verjaringstermijn van drie jaar.

6. Gebruikersaccount en team

Voor het gebruik hebt u een gebruikersaccount nodig. Daarbij verwerken wij uw naam, uw e-mailadres, uw wachtwoord (uitsluitend als cryptografische hash) of uw passkey, optioneel uw telefoonnummer, uw taal, uw meldingsinstellingen en de tijdstippen waarop u inlogt.

Logt u in via Google of Apple, dan ontvangen wij van de betreffende aanbieder uw naam, uw e-mailadres en een identificatiecode; uw wachtwoord bij die aanbieder krijgen wij niet te zien. Voor de gegevensverwerking bij de aanbieder gelden diens privacybepalingen.

Teams: een dealer kan medewerkers uitnodigen of een account voor hen aanmaken. Daarbij verwerken wij naam, e-mailadres en rol van de uitgenodigde persoon zoals de dealer die opgeeft, en sturen wij deze persoon een uitnodigings- of toegangsmail. Binnen een team zijn naam en rol van de leden en hun activiteiten in de marktzoeker (punt 8) zichtbaar voor de overige leden; de dealer beheert zijn team zelf.

Rechtsgrondslag is art. 6, lid 1, onder b, AVG (gebruiksovereenkomst) en, voor de door uw werkgever uitgenodigde accounts, art. 6, lid 1, onder f, AVG (uitvoering van de overeenkomst met uw bedrijf). De accountgegevens bewaren wij totdat het account wordt verwijderd – door u onder Instellingen, door uw dealer in het team of bij het einde van de overeenkomst. Onder Instellingen kunt u bovendien een kopie van uw gegevens downloaden.

7. De marktzoeker: advertenties van portalen van derden

De kern van de dienst zijn voertuigadvertenties die aanbieders openbaar op mobile.de, AutoScout24 of Kleinanzeigen hebben gepubliceerd. Onze crawler roept deze openbaar toegankelijke pagina’s regelmatig op – zonder in te loggen bij de portalen – en slaat uit de advertentie op: de voertuiggegevens (bijv. merk, model, datum eerste toelating, kilometerstand, prijs, uitrusting, staat), de foto’s, de locatie (plaats en postcode), de link naar de originele advertentie en het prijsverloop. Over de aanbieder slaan wij de gegevens op die de advertentie zelf toont: of het om een dealer of een particulier gaat, de getoonde naam (bij particulieren doorgaans alleen de voornaam), de beoordeling van de aanbieder op het portaal en – voor zover in de advertentie gepubliceerd – het telefoonnummer.

Het doel is onze klanten, gecontroleerde autodealers, in staat te stellen voertuigen te vinden die zij voor hun bedrijf willen inkopen, en het contact met de aanbieder te vergemakkelijken – precies het doel waarvoor de aanbieder de advertentie en zijn contactgegevens heeft gepubliceerd. Rechtsgrondslag is art. 6, lid 1, onder f, AVG. Ons gerechtvaardigd belang en dat van onze klanten bestaat erin de voertuigmarkt over alle portalen heen en tijdig te volgen en voertuigen in te kopen; het belang van de aanbieders om hun voertuig te verkopen loopt daarmee gelijk op. Ter bescherming van de aanbieders geldt: namen en telefoonnummers zijn alleen zichtbaar voor ingelogde medewerkers van geactiveerde dealers, nooit voor bezoekers van de website of voor zoekmachines; de gegevens worden niet aan derden doorgegeven en niet voor reclame gebruikt; onze klanten zijn contractueel verplicht de contactgegevens uitsluitend te gebruiken voor een vraag over het aangeboden voertuig.

Uit de advertenties berekenen wij statistische kengetallen – marktwaarde, prijsbeoordeling, inkooppotentieel, markttrend van een model. Deze hebben betrekking op het voertuig, niet op de persoon; er vindt geen profilering van aanbieders plaats.

Bij het oproepen van de portaalpagina’s maken wij gebruik van de dienst ScrapingBee van ScrapingBee SAS, Parijs (Frankrijk), als verwerker (art. 28 AVG); deze roept de pagina’s in onze opdracht op.

Bewaartermijn: voertuiggegevens, prijzen en prijsverloop bewaren wij voor de marktstatistieken ook na het einde van een advertentie. De naam en het telefoonnummer van de aanbieder verwijderen wij automatisch 90 dagen nadat de advertentie op het portaal niet meer bereikbaar is (verkocht of verwijderd).

Informatie op grond van art. 14 AVG: aangezien wij de aanbieders niet kennen en een individuele kennisgeving aan elke aanbieder een onevenredige inspanning zou vergen (art. 14, lid 5, onder b, AVG), informeren wij hier openbaar. Bron van de gegevens is de telkens gelinkte advertentie op het portaal. Als aanbieder van een advertentie kunt u op elk moment bezwaar maken tegen de verwerking (punt 18) – schrijf daartoe naar datenschutz@carfalke.de en vermeld de link naar de advertentie; wij verwijderen uw contactgegevens dan uit de dienst.

8. Opgeslagen zoekopdrachten, meldingen, volglijst en teamactiviteit

Voor het gebruik van de marktzoeker slaan wij de zoekcriteria van uw opgeslagen zoekopdrachten op, de bijbehorende treffers, uw volglijst met status, notities, verantwoordelijke en calculaties, evenals de activiteiten in het team (bijv. wie een voertuig op ‘Gebeld’ heeft gezet of een zoekopdracht heeft gewijzigd). Deze gegevens zijn zichtbaar voor de leden van uw team, zodat het gezamenlijk kan werken, en voor ons team, voor zover dit voor support of facturering nodig is. Gebruikt u functies die gericht portaalpagina’s oproepen (bijv. ‘Details ophalen’ of de vergelijking met het portaal), dan registreren wij wie deze wanneer heeft gestart, om het dagquotum te beheren.

Meldingen: afhankelijk van uw instellingen informeren wij u over nieuwe treffers, prijswijzigingen en terugbelherinneringen per e-mail, via webpush in de browser en via pushberichten in de CarFalke-app, en met een weekrapport. Voor webpush slaan wij het door de browser gegenereerde pushadres en de bijbehorende sleutels op, voor de app een apparaattoken en het platform en de app-versie. App-pushberichten worden via de pushdienst van Expo (650 Industries, Inc., VS) aan Apple (APNs) of Google (Firebase Cloud Messaging) doorgegeven; daarbij worden titel en tekst van het bericht en het token overgedragen, geen andere gegevens van uw account. Meldingen kunt u op elk moment uitschakelen onder Meldingen; pushtoestemmingen kunt u in de browser of op het apparaat intrekken.

Rechtsgrondslag is art. 6, lid 1, onder b, AVG. De gegevens bewaren wij voor de duur van de overeenkomst met uw dealer; verwijderde zoekopdrachten en verwijderde pushadressen worden onmiddellijk gewist. Opmerking over notities: vermeld in notities alleen zakelijke gegevens die voor de aankoop van het voertuig nodig zijn.

9. CarFalke-app

De CarFalke-app voor iOS en Android gebruikt dezelfde accounts en gegevens als de website. Op het apparaat slaat zij uw inlogsessie, uw taal en uw instellingen op. Daarnaast verwerkt zij geen apparaatgegevens; met name heeft zij geen toegang tot contacten, locatie of foto’s. Opent u vanuit de app een originele advertentie of belt u een telefoonnummer, dan opent de app van het portaal of de telefoon-app van uw apparaat; voor de verwerking daar is de betreffende aanbieder verantwoordelijk. Voor de app-stores (Apple App Store, Google Play) gelden hun eigen privacybepalingen; Apple en Google delen geen persoonsgegevens over u met ons.

10. Overeenkomst, facturen en betaling

Voor de uitvoering van de overeenkomst met uw dealer verwerken wij de contractgegevens (pakket, looptijd, aantal gebruikers, portalen), het factuuradres en de facturen. Facturen versturen wij per e-mail; er vindt geen betaling via de website plaats. Rechtsgrondslag is art. 6, lid 1, onder b en onder c, AVG (fiscale verplichtingen). Factuur- en boekhoudbescheiden bewaren wij op grond van § 147 AO en § 257 HGB tien jaar.

11. E-mails en berichten

Wij sturen u e-mails die voor de dienst nodig zijn: ter bevestiging van uw e-mailadres, voor het opnieuw instellen van uw wachtwoord, over het besluit op uw toegangsaanvraag, als melding van treffers (punt 8), bij facturen en bij belangrijke wijzigingen van de dienst of van deze verklaring. De verzending en het resultaat daarvan registreren wij (ontvanger, onderwerp, tijdstip, status), om bezorgproblemen te kunnen nagaan.

De verzending verloopt via Google Workspace (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ierland) als verwerker. Rechtsgrondslagen zijn art. 6, lid 1, onder b, AVG en, voor beveiligingsmeldingen, art. 6, lid 1, onder f, AVG.

Commerciële e-mails – bijvoorbeeld nieuws over het product – sturen wij alleen met uw toestemming (art. 6, lid 1, onder a, AVG) of aan bestaande klanten voor eigen soortgelijke diensten op grond van § 7 Abs. 3 UWG (Duitse wet tegen oneerlijke concurrentie); elke dergelijke e-mail bevat een afmeldlink. Voor zulke mailings kunnen wij de dienst Brevo (Sendinblue SAS, Parijs, Frankrijk) als verwerker inzetten.

12. Contactformulier en support

Als u ons via het contactformulier of per e-mail schrijft, verwerken wij uw naam, uw e-mailadres, het gekozen onderwerp, uw gegevens over het bedrijf of het dossier en de inhoud van uw bericht, om uw vraag te beantwoorden. Bent u ingelogd, dan koppelen wij de vraag aan uw account. Rechtsgrondslag is art. 6, lid 1, onder b, AVG (precontractuele of contractuele vragen) of art. 6, lid 1, onder f, AVG (ons belang om vragen te beantwoorden). Wij verwijderen de vraag zodra deze definitief is afgehandeld en er geen bewaarplichten bestaan; zakelijke correspondentie bewaren wij op grond van § 257 HGB zes jaar.

Ter bescherming van het formulier tegen geautomatiseerde verzoeken gebruiken wij Cloudflare Turnstile (punt 14).

13. Cookies en lokale opslag

Welke cookies en opslagtechnologieën wij gebruiken, hoe lang ze worden bewaard en hoe u uw keuze wijzigt, staat beschreven in ons cookiebeleid. Noodzakelijke opslag (inloggen, taal, uw cookiekeuze, thema, de instellingen van de live-cockpit) vindt plaats zonder toestemming op grond van § 25 Abs. 2 Nr. 2 TDDDG (Duitse wet inzake gegevensbescherming in telecommunicatie en digitale diensten) en art. 6, lid 1, onder b resp. f, AVG. Google Analytics gebruiken wij alleen met uw toestemming.

14. Webanalyse (Google Analytics), botbescherming, geen advertentiediensten

Google Analytics 4: met uw toestemming (§ 25 Abs. 1 TDDDG, art. 6, lid 1, onder a, AVG) gebruiken wij Google Analytics 4 van Google Ireland Limited om het gebruik van onze openbare pagina’s statistisch te analyseren (bezochte pagina’s, verblijfsduur, globale herkomst, apparaattype). Advertentiefuncties, Google-signalen en de personalisatie van advertenties zijn uitgeschakeld; IP-adressen worden door Google Analytics 4 niet opgeslagen. Zonder toestemming wordt het script niet geladen en geen cookie geplaatst. De gegevens kunnen worden doorgegeven aan Google LLC in de VS; Google is gecertificeerd onder het EU-US Data Privacy Framework, aanvullend gelden de standaardcontractbepalingen. Uw toestemming kunt u op elk moment intrekken via ‘Cookie-instellingen’ in de voettekst van de pagina.

Cloudflare Turnstile: bij het inloggen, de toegangsaanvraag, het opnieuw instellen van het wachtwoord en in het contactformulier controleert Cloudflare Turnstile (Cloudflare, Inc., VS) op de achtergrond of het verzoek van een mens afkomstig is. Daarbij worden uw IP-adres en technische kenmerken van de browser verwerkt; Turnstile plaatst geen cookies. Rechtsgrondslag is art. 6, lid 1, onder f, AVG (bescherming tegen geautomatiseerd misbruik); de doorgifte naar de VS berust op het EU-US Data Privacy Framework en de standaardcontractbepalingen.

Wij gebruiken geen advertentienetwerken, geen retargeting en geen social plug-ins.

15. Ontvangers

Binnen CarFalke GmbH hebben alleen de medewerkers toegang tot persoonsgegevens die zij voor hun taak nodig hebben (support, controle van dealers, technisch beheer, boekhouding). Daarnaast maken wij gebruik van de volgende verwerkers, die contractueel gebonden zijn op grond van art. 28 AVG:

• Hetzner Online GmbH, Gunzenhausen (Duitsland): hosting, database, documentopslag, back-ups
• ScrapingBee SAS, Parijs (Frankrijk): oproepen van de openbare portaalpagina’s voor de crawler
• Google Ireland Limited, Dublin (Ierland): verzending van e-mails (Google Workspace) en – alleen met toestemming – Google Analytics
• Cloudflare, Inc. (VS): botbescherming Turnstile
• 650 Industries, Inc. (Expo, VS) alsmede Apple Inc. en Google LLC: bezorging van pushberichten aan de app
• Sendinblue SAS (Brevo, Parijs, Frankrijk): commerciële mailings, voor zover wij die versturen

Verder geven wij gegevens alleen aan derden door als wij daartoe wettelijk verplicht zijn (bijv. aan autoriteiten), ter handhaving van onze rechten of met uw toestemming. Binnen een dealer zijn teamgegevens, zoals beschreven in de punten 6 en 8, zichtbaar voor de teamleden.

16. Bewaartermijn

Voor zover in de afzonderlijke punten niet anders is vermeld, geldt:

• serverlogbestanden: 30 dagen
• account- en teamgegevens: tot de verwijdering van het account of tot het einde van de overeenkomst
• opgeslagen zoekopdrachten, volglijst, activiteiten, pushadressen: voor de duur van de overeenkomst
• naam en telefoonnummer van een aanbieder: 90 dagen na het einde van zijn advertentie op het portaal
• bewijsstukken voor de controle van dealers: tot drie jaar na het einde van de overeenkomst
• factuur- en boekhoudbescheiden: tien jaar (§ 147 AO, § 257 HGB); zakelijke correspondentie: zes jaar
• back-ups: maximaal zes maanden

Na afloop verwijderen of anonimiseren wij de gegevens, tenzij een lopende procedure een langere bewaring vereist.

17. Doorgifte naar derde landen

Onze gegevens worden in Duitsland of in de Europese Unie opgeslagen. Een doorgifte naar de VS vindt alleen plaats in de genoemde gevallen (Google Analytics met uw toestemming, Cloudflare Turnstile, pushberichten aan de app). Deze berust op het adequaatheidsbesluit van de Europese Commissie inzake het EU-US Data Privacy Framework, voor zover de ontvanger gecertificeerd is, en aanvullend op de standaardcontractbepalingen van de Europese Commissie (art. 46, lid 2, onder c, AVG).

18. Uw rechten

U hebt jegens ons de volgende rechten met betrekking tot uw persoonsgegevens:

• inzage (art. 15 AVG) – als gebruiker kunt u via Instellingen op elk moment een kopie van uw gegevens downloaden
• rectificatie (art. 16 AVG)
• wissing (art. 17 AVG) – uw account kunt u onder Instellingen zelf verwijderen
• beperking van de verwerking (art. 18 AVG)
• overdraagbaarheid van gegevens (art. 20 AVG)
• intrekking van een gegeven toestemming met ingang van dat moment (art. 7, lid 3, AVG)

Recht van bezwaar (art. 21 AVG): voor zover wij gegevens verwerken op grond van art. 6, lid 1, onder f, AVG, kunt u om redenen die verband houden met uw specifieke situatie op elk moment bezwaar maken; wij verwerken de gegevens dan niet langer, tenzij wij dwingende gerechtvaardigde gronden aantonen die zwaarder wegen dan uw belangen. Dit geldt met name voor aanbieders van advertenties (punt 7). Tegen direct marketing kunt u op elk moment zonder opgave van redenen bezwaar maken.

Voor de uitoefening van uw rechten volstaat een e-mail aan datenschutz@carfalke.de. Daarnaast hebt u het recht een klacht in te dienen bij een toezichthoudende autoriteit voor gegevensbescherming, met name in de lidstaat van uw verblijfplaats, uw werkplek of de plaats van de vermoedelijke inbreuk. De voor ons bevoegde toezichthoudende autoriteit is: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

19. Verplichting tot verstrekking

Voor een toegangsaanvraag en een gebruikersaccount zijn de als verplicht gemarkeerde gegevens vereist; zonder deze gegevens kunnen wij uw bedrijf niet controleren en geen toegang inrichten. Alle overige gegevens zijn vrijwillig.

20. Geautomatiseerde besluitvorming

Een besluit met rechtsgevolgen dat uitsluitend gebaseerd is op geautomatiseerde verwerking (art. 22 AVG) vindt niet plaats. Over de activering van een dealer beslist een mens; prijsbeoordelingen en marktwaarden zijn schattingen over voertuigen, geen besluiten over personen.

21. Gegevensbeveiliging

De overdracht tussen uw apparaat en onze servers is met TLS versleuteld. Wachtwoorden slaan wij uitsluitend als hash op, geüploade bewijsstukken versleuteld. De toegang tot persoonsgegevens is beperkt tot de medewerkers die deze nodig hebben; beheerderstoegang wordt gelogd. Wij passen onze technische en organisatorische maatregelen voortdurend aan de stand van de techniek aan.

22. Wijzigingen

Wij passen deze privacyverklaring aan wanneer de dienst of de rechtssituatie verandert. De actuele versie vindt u op carfalke.de; de datum van de laatste wijziging staat bovenaan deze pagina. Over wezenlijke wijzigingen informeren wij gebruikers per e-mail.