Datenschutz­erklärung (DSGVO)

1. Verantwortlicher

Dennis Weber, Car Care Customs (Einzelunternehmen)
Werner-von-Siemens-Str. 17a, 93413 Cham, Deutschland
E-Mail: info@carcarecustoms.com
Telefon: +49 (0) 171 1456296

2. Datenschutzbeauftragter

Es ist derzeit kein Datenschutzbeauftragter benannt. Datenschutzanfragen richten Sie bitte an den Verantwortlichen unter den oben genannten Kontaktdaten.

3. Rechtsgrundlagen, Pflichtangaben und Entscheidungen

• Vertrag und vorvertragliche Schritte: Art. 6 Abs. 1 lit. b DSGVO, insbesondere für Besichtigungsanfragen, Angebote, Aufträge, Kundenkonto und Leistungsnachweise.
• Rechtliche Pflichten: Art. 6 Abs. 1 lit. c DSGVO, insbesondere handels- und steuerrechtliche Aufbewahrungspflichten.
• Berechtigte Interessen: Art. 6 Abs. 1 lit. f DSGVO, insbesondere sicherer und stabiler Betrieb, Missbrauchsabwehr, nachvollziehbare Kommunikation, Qualitäts- und Rechtsverteidigungsdokumentation. Berechtigte Interessen werden gegen die Rechte der betroffenen Person abgewogen.
• Einwilligung: Art. 6 Abs. 1 lit. a DSGVO, wenn sie im Einzelfall ausdrücklich eingeholt wird, etwa für eine Veröffentlichung von Fahrzeugbildern. Sie kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Als Pflichtfeld bezeichnete Angaben werden benötigt, um die gewünschte Anfrage oder Leistung zu bearbeiten. Ohne diese Angaben ist die Bearbeitung gegebenenfalls nicht möglich. Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt.

4. Websiteaufruf und Server-Protokolle

Beim Aufruf verarbeitet der Server technisch erforderliche Verbindungsdaten, insbesondere IP-Adresse, Datum und Uhrzeit, angeforderte Adresse, übertragene Datenmenge, Referrer, Browser-/Gerätekennung und Statuscode. Zweck sind Auslieferung, Stabilität, Fehleranalyse, Ratenbegrenzung und Missbrauchsabwehr.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).
• Speicherdauer: Protokolle werden regelmäßig rotiert und gelöscht oder anonymisiert, sobald sie für Betrieb, Sicherheit und Fehleranalyse nicht mehr erforderlich sind. Bei einem konkreten Sicherheitsvorfall dürfen ausschließlich die hierfür erforderlichen Datensätze gesondert und zugriffsbeschränkt bis zur abschließenden Klärung aufbewahrt werden.
• Hosting: Die Anwendung wird in Oracle Cloud Infrastructure (OCI), Region Frankfurt, betrieben. Soweit Dienstleister Daten in unserem Auftrag verarbeiten, gelten Vereinbarungen zur Auftragsverarbeitung nach Art. 28 DSGVO.

5. Schutzkonfigurator, CCC Berater und Besichtigungsanfrage

Unverbindliche Konfiguration

Wenn Sie einen CCC Schutz- oder Trockeneis-Konfigurator bedienen, übermittelt Ihr Browser die ausgewählten Angaben – etwa Schutzumfang, Fahrzeugklasse, Fahrzeugalter oder -zustand, Roststufe und Trockeneisoption – an unsere eigene /booking_api.php. Der Server prüft damit die Preislogik und liefert eine unverbindliche Orientierung. Dabei entsteht noch kein Terminanfrage-Datensatz; die üblichen technischen Server-Protokolldaten fallen jedoch an. Beim Wechsel zum Terminformular werden ausgewählte Werte über URL-Parameter übernommen und serverseitig erneut geprüft.

Der kostenlose CCC Berater arbeitet regelbasiert im Browser. Seine Dialogauswahl wird nicht an einen externen KI-, Analyse- oder Werbedienst übertragen.

Absenden einer Anfrage

Erst beim Absenden einer Besichtigungs-, Termin- oder Serviceanfrage speichern wir die eingegebenen Kontakt-, Fahrzeug-, Leistungs-, Zustands- und Terminangaben, Ihre Nachricht sowie bestätigte Hinweise. Der aktuelle öffentliche Anfrageweg verlangt keine digitale Unterschrift. Der frühere Signatur-Anfrageweg ist deaktiviert und nimmt keine neuen Vorgänge an.

• Zweck: persönliche Prüfung, Angebotserstellung, Besichtigungs- und Terminabstimmung, Kommunikation und nachvollziehbare Dokumentation der angezeigten Hinweise.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und – für Sicherheits- und Nachweiszwecke – Art. 6 Abs. 1 lit. f DSGVO.
• Empfänger: intern berechtigte Personen, OCI als Hosting-Dienstleister sowie – wenn eine Nachricht versandt wird – Brevo, Cloudflare Email Routing und Google Gmail entsprechend Abschnitt 7.
• Reine Terminanfragen: Der operative Terminanfrage-Datensatz wird nach 90 Tagen automatisch gelöscht, wenn die Anfrage ausdrücklich als beendet oder abgelehnt dokumentiert wurde, nicht zu einem Vertrag geführt hat und nicht zur Dokumentation eines Nichterscheinens benötigt wird. Eine zwischenzeitliche Zuordnung zum Kundenkonto verhindert diese Löschung nicht. Die Frist beginnt mit dem dokumentierten Abschluss der Anfrage. Separat übermittelte E-Mails, Versandprotokolle und zugriffsbeschränkte Sicherheitskopien unterliegen ihren jeweils eigenen, in dieser Erklärung beschriebenen Zwecken und Löschkriterien.
• Andere Terminvorgänge: Offene, alternative oder bestätigte Terminanfragen sowie Vorgänge ohne dokumentierten Abschluss fallen nicht unter diese automatische 90-Tage-Löschung. Sie werden nur so lange gespeichert, wie dies für Terminabstimmung, Vertragsdurchführung, Kontozuordnung oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.
• Vertrags- und Nachweisdaten: Sie werden nach dem Vertragszweck, einschlägigen gesetzlichen Aufbewahrungspflichten sowie der Erforderlichkeit zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen gespeichert und anschließend gelöscht.

6. Kundenkonto, ServicePass, Wagenpass und Fotoakte

Für Registrierung, Aktivierung und Anmeldung verarbeiten wir Name, E-Mail-Adresse, optional Telefonnummer, Verifizierungsstatus, gehashte Zugangsdaten, Sitzungs- und Sicherheitsdaten, Kontostatus sowie – bei Nutzung – CarCoins-Stand und Aktivitätshistorie. Passwörter werden nicht im Klartext gespeichert. Aktivierungslinks sind persönlich, einmal verwendbar und 24 Stunden gültig; serverseitig wird nur eine kryptografische Prüfsumme des Tokens gespeichert.

Wenn bei der Registrierung freiwillig ein CCC-Empfehlungscode verwendet wird, speichern wir den eingegebenen Code, die zugehörige CCC-Kennung des Empfehlenden, den zulässigen Seitenkontext der Registrierung, Zeitpunkt und Verifizierungsstatus. Die Zuordnung wird erst nach erfolgreicher E-Mail-Aktivierung bestätigt, dient der nachvollziehbaren Empfehlungsfunktion und wird nicht an andere Kunden ausgegeben. Wir lesen dafür keine Kontakte, Adressbücher oder Social-Media-Freundeslisten aus.

Nach einem Auftrag kann ein CCC Wagenpass als Leistungs- und Zustandsnachweis entstehen. Eine freiwillige Garantie wird ausschließlich für separat vereinbartes CCC Keramik Protect · 2 Schichten dokumentiert. Fahrzeug, Auftrag, ausgeführte Leistungen, Kilometerstand, Befunde, Arbeitsschritte, Pflegehinweise, Dokumente, Statusereignisse und gegebenenfalls Service- oder Garantiezeitpunkte werden dem Kundenkonto ausschließlich über serverseitige Nutzer- und Fahrzeug-IDs zugeordnet.

Für vereinbarte Leistungen – insbesondere Keramik, PPF, Trockeneis, Innenraum- sowie Unterboden-/Hohlraumschutz – können relevante Bereiche vor, während und nach der Ausführung fotografisch dokumentiert werden. Diese Fotoakte dient Leistungs-, Zustands-, Qualitäts- und gegebenenfalls Garantieabwicklung. Eine Werbenutzung erfolgt nur auf gesonderter Rechtsgrundlage. Interne Ateliernotizen und nicht freigegebene Bilder werden nicht an andere Kunden ausgeliefert.

Öffentliche QR-Nachweise verwenden zufällige Kennungen und zeigen einen strikt datenreduzierten Prüfnachweis. Öffentlich erscheinen ausschließlich der Nachweistyp und – bei einer freiwilligen Garantie – deren aktueller Status und die hierfür erforderlichen Garantiezeitpunkte. Nicht öffentlich erscheinen insbesondere Marke und Modell, Erstzulassungsjahr, Auftragsstatus oder Abschlussdatum, Name, E-Mail, Telefonnummer, Kennzeichen, FIN, Kundenbilder oder hinterlegte Dokumente. Neue öffentliche ServicePass-Kennungen können widerrufen und ersetzt werden. Bereits früher ausgegebene Wagenpass-Kennungen sind beständig und derzeit nicht technisch widerrufbar; auch sie liefern ausschließlich den minimierten öffentlichen Prüfnachweis. Persönliche Akten und Bilder sind nur nach Anmeldung und geprüfter serverseitiger Zuordnung sichtbar. Beim Kamera-Scan wird nur der lokal dekodierte Code verarbeitet; Kamerabilder des Scanvorgangs werden nicht an uns übertragen.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag/Nutzungsverhältnis) und Art. 6 Abs. 1 lit. f DSGVO (Dokumentation).
• Empfänger: intern berechtigte Personen und OCI. Transaktionale Benachrichtigungen werden über Brevo versandt.
• Speicherdauer: Konto, Wagenpass, Fotoakte und Garantieunterlagen werden nur so lange gespeichert, wie dies für das Nutzungs- oder Vertragsverhältnis, vereinbarte Service-/Garantiezeiträume, gesetzliche Pflichten oder Rechtsansprüche erforderlich ist. Danach werden Datensätze und Dateien gelöscht oder – soweit zulässig – anonymisiert.

7. Kontaktlose Zahlung vor Ort

Wenn Sie ein tatsächlich angebotenes kontaktloses Zahlungsmittel wählen, verarbeiten der eingesetzte Terminal-/Zahlungsdienst, das kartenausgebende Institut und gegebenenfalls weitere am Zahlungsverkehr Beteiligte die für Autorisierung und Abrechnung erforderlichen Daten, etwa Betrag, Zeitpunkt, Zahlungsreferenz und Zahlungsmedium. CCC erhält grundsätzlich keine vollständige Kartennummer und keine PIN. Der konkrete Zahlungsanbieter und seine datenschutzrechtliche Rolle werden vor Inbetriebnahme des Terminals dokumentiert; bis dahin steht die Barzahlung zur Verfügung.

8. E-Mail, Telefon, WhatsApp und interne Benachrichtigung

Aktivierungslinks, Anfragen, Status- und Serviceinformationen werden über den SMTP-Versanddienst Brevo zugestellt. Dafür werden je nach Vorgang Empfängeradresse, Name, Betreff, Inhalt und ein persönlicher Aktivierungs- oder Vorgangslink an Brevo übermittelt. Betriebliche Kopien und Antworten gelangen in das Inhaberpostfach bei Google Gmail; Nachrichten an info@carcarecustoms.com werden hierfür über Cloudflare Email Routing weitergeleitet. Die beteiligten Dienste verarbeiten dabei die für Übermittlung, Zustellung, Spam- und Missbrauchsschutz erforderlichen Nachrichten- und Verbindungsdaten.

Brevo kann bei transaktionalen E-Mails abhängig von der Kontokonfiguration Zustell-, Öffnungs- und Klickereignisse protokollieren. CCC verwendet solche Ereignisse nicht zur Profilbildung oder personalisierten Werbung. Vor der produktiven Nutzung werden das individuelle Öffnungs-/Klicktracking deaktiviert beziehungsweise anonymisiert, eine angemessen kurze Aufbewahrungsfrist für Transaktionsprotokolle festgelegt und die Speicherung von E-Mail-Vorschauen deaktiviert. Falls diese Konfiguration später geändert wird, aktualisieren wir diese Erklärung vorab.

Wenn Sie uns per E-Mail, Telefon oder WhatsApp kontaktieren, verarbeiten wir Ihre Kontaktdaten und den Inhalt der Kommunikation zur Bearbeitung Ihres Anliegens. Bei WhatsApp werden Ihre Mobilnummer, Profilangaben und Nachrichten außerdem durch WhatsApp Ireland Limited nach deren eigenen Bedingungen verarbeitet. Der WhatsApp-Link auf unserer Website stellt erst nach dem Anklicken eine Verbindung zu WhatsApp her. Alternativ können Sie jederzeit E-Mail oder Telefon nutzen.

Für rein betriebliche Soforthinweise verwenden wir gegebenenfalls ntfy.sh. An ntfy wird ausschließlich der generische Hinweis „Neue Anfrage im geschützten CCC-Adminportal“ mit einer geheimen Themenkennung übermittelt – keine Namen, Kontaktdaten, Buchungsnummern, Leistungen oder Wunschzeiten. Abhängig vom eingesetzten Mobilgerät kann die Benachrichtigungszustellung zusätzlich über den Pushdienst des Betriebssystemanbieters erfolgen.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche und vertragliche Kommunikation; ergänzend Art. 6 Abs. 1 lit. f DSGVO für sichere Zustellung, Missbrauchsschutz und eine zeitnahe betriebliche Bearbeitung.
• Speicherdauer: Kommunikationsinhalte werden nach dem jeweiligen Anfrage- oder Vertragszweck, gesetzlichen Aufbewahrungspflichten und der Erforderlichkeit für Rechtsansprüche gespeichert und anschließend gelöscht.
• Anbieterinformationen: Brevo, Cloudflare, Google, ntfy und WhatsApp.

9. Cookies und lokaler Speicher (TDDDG)

Wir verwenden aktuell keine Analyse-, Marketing-, Profiling- oder Drittanbieter-Cookies. Die nachfolgende Speicherung ist für Anmeldung, ausdrücklich gewählte Warenkorb-/Portal-Funktionen, Sicherheitszustand oder die offlinefähige interne Atelier-Anwendung erforderlich. Dafür ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich; die anschließende Verarbeitung personenbezogener Daten richtet sich nach den oben genannten DSGVO-Rechtsgrundlagen.

Weil auf der Website keine optionalen Tracking-Technologien aktiv sind, zeigen wir derzeit kein Einwilligungsbanner. Falls künftig optionale Analyse- oder Marketingtechnologien hinzukommen, werden sie erst nach vorheriger Einwilligung aktiviert und eine jederzeit erreichbare Auswahl angeboten. Lokale Daten können über die Browser-Einstellungen gelöscht werden; dadurch können Warenkorb-, Login- oder Offlinefunktionen verloren gehen.

10. Empfänger, Hosting und Drittlandtransfers

Externe Empfänger sind – je nach Funktion – Oracle Cloud Infrastructure für Hosting, Brevo für transaktionale E-Mail, Cloudflare Email Routing und Google Gmail für das Inhaberpostfach, ntfy für generische betriebliche Pushhinweise, WhatsApp Ireland Limited bei einer von Ihnen begonnenen WhatsApp-Kommunikation sowie – abhängig vom betrieblichen Mobilgerät – dessen Betriebssystem-Pushdienst. Dienstleister erhalten nur die für ihre Aufgabe erforderlichen Daten. Soweit sie in unserem Auftrag verarbeiten, gelten die Anforderungen des Art. 28 DSGVO. Ein Support- oder Unterauftragnehmerzugriff außerhalb des Europäischen Wirtschaftsraums kann nicht allein durch die gewählte Region ausgeschlossen werden. Soweit eine Drittlandübermittlung stattfindet, erfolgt sie nur nach Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien wie EU-Standardvertragsklauseln. Informationen zu den einschlägigen Garantien können angefordert werden.

11. Sicherheitskopien und frühere Anfragearchive

Zugriffsbeschränkte betriebliche Sicherheitskopien können Daten vorübergehend noch enthalten, nachdem diese im aktiven System gelöscht wurden. Sie werden nicht für den laufenden Kundenkontakt oder Werbezwecke verwendet, sondern ausschließlich zur Wiederherstellung und Integritätsprüfung, und gelöscht, sobald ihr Sicherungszweck und entgegenstehende gesetzliche Pflichten entfallen. Der frühere Signatur-Anfrageweg ist deaktiviert. Bestehende Altarchive werden gesondert auf Erforderlichkeit für Nachweis- oder Rechtsverteidigungszwecke geprüft und anschließend gelöscht; eine neue Signatur wird darüber nicht erhoben.

12. Externe Links und selbst gehostete Inhalte

Google Maps

Standort- und Routenhinweise zu Google Maps werden als externe Links bereitgestellt. Beim bloßen Aufruf unserer Seiten wird deshalb keine Verbindung zu Google Maps hergestellt und es werden durch uns keine Daten an Google übertragen. Erst wenn du einen solchen Link anklickst, verlässt du unsere Website und rufst Google Maps auf. Google verarbeitet dann in eigener Verantwortung insbesondere technische Verbindungsdaten wie deine IP-Adresse und kann – abhängig von deinen Einstellungen und einem möglichen Google-Konto – weitere Daten verarbeiten. Dabei kann es auch zu einer Verarbeitung in Drittstaaten kommen. Weitere Informationen findest du in den Datenschutzhinweisen von Google.

Instagram und Facebook

Unsere Instagram- und Facebook-Profile werden ausschließlich als externe Links eingebunden. Beim bloßen Aufruf unserer Website entsteht deshalb keine Verbindung zu Meta. Erst wenn du einen solchen Link öffnest, verlässt du unsere Website; Meta verarbeitet dann in eigener Verantwortung insbesondere technische Verbindungsdaten und gegebenenfalls weitere Daten abhängig von deinen Einstellungen oder einem angemeldeten Konto. Weitere Informationen findest du in der Datenschutzrichtlinie von Meta/Instagram und in der Facebook-Datenschutzrichtlinie.

Im Kundenkonto kannst du deinen persönlichen Empfehlungslink freiwillig kopieren, über die Freigabefunktion deines Geräts teilen oder nach eigener Auswahl an WhatsApp beziehungsweise den Facebook-Share-Dialog übergeben. Eine Verbindung zu diesen Anbietern entsteht erst durch deinen Klick; wir veröffentlichen nichts automatisch und lesen keine Kontakte aus. Für Instagram wird nur ein Text mit @carcarecustomsgermany in die Zwischenablage kopiert, ohne Instagram aufzurufen. Die Parameter mode, source und ref dienen ausschließlich dazu, die freiwillige Kontoeröffnung und eine eingegebene Empfehlung zuzuordnen. Ein gültiger Empfehlungscode wird bis zur Registrierung nur im Arbeitsspeicher der Seite gehalten und bei der Registrierung an den CCC-Server gesendet.

Schriften, Icons und technische Bibliotheken

Schriften, Icons, QR-/3D-Bibliotheken, Bilder und die 3D-Modelldatei werden von unserem eigenen Server ausgeliefert. Beim Laden wird keine Verbindung zu Google Fonts, Font Awesome, einem QR-CDN oder einem 3D-Bibliotheks-CDN aufgebaut. Bei reduzierter Bewegung, Datensparmodus, langsamer Verbindung oder geringer Geräteleistung wird anstelle der interaktiven 3D-Darstellung eine statische Variante verwendet.

13. Rechte betroffener Personen

• Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20).
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21).
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3).
• Beschwerde bei einer Datenschutzaufsichtsbehörde (Art. 77), insbesondere beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

14. Sicherheit

Die Website erzwingt HTTPS/TLS. Zusätzlich setzen wir unter anderem rollen- und ID-gebundene Zugriffe, sichere Sitzungscookies, Passkey-Schutz im Ownerbereich, Zugriffsbeschränkungen, serverseitige Zuordnungen, Protokollierung sicherheitsrelevanter Vorgänge sowie getrennte nicht öffentliche Medienablagen ein.

15. Änderungen

Wir passen diese Erklärung an, wenn sich Funktionen, Empfänger, Rechtslage oder Verarbeitungen ändern. Maßgeblich ist die jeweils veröffentlichte Version; bereits erteilte Einwilligungen werden dadurch nicht rückwirkend erweitert.