Datenschutz­erklärung (DSGVO)

1. Verantwortlicher

Dennis Weber, Car Care Customs (Einzelunternehmen)
Werner-von-Siemens-Str. 17a, 93413 Cham, Deutschland
E-Mail: info@carcarecustoms.com
Telefon: +49 (0) 171 1456296

2. Datenschutzbeauftragter

Es ist derzeit kein Datenschutzbeauftragter benannt. Datenschutzanfragen richten Sie bitte an den Verantwortlichen unter den oben genannten Kontaktdaten.

3. Rechtsgrundlagen, Pflichtangaben und Entscheidungen

• Vertrag und vorvertragliche Schritte: Art. 6 Abs. 1 lit. b DSGVO, insbesondere für Besichtigungsanfragen, Angebote, Aufträge, Kundenkonto und Leistungsnachweise.
• Rechtliche Pflichten: Art. 6 Abs. 1 lit. c DSGVO, insbesondere handels- und steuerrechtliche Aufbewahrungspflichten.
• Berechtigte Interessen: Art. 6 Abs. 1 lit. f DSGVO, insbesondere sicherer und stabiler Betrieb, Missbrauchsabwehr, nachvollziehbare Kommunikation, Qualitäts- und Rechtsverteidigungsdokumentation. Berechtigte Interessen werden gegen die Rechte der betroffenen Person abgewogen.
• Einwilligung: Art. 6 Abs. 1 lit. a DSGVO, wenn sie im Einzelfall ausdrücklich eingeholt wird, etwa für eine Veröffentlichung von Fahrzeugbildern. Sie kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Als Pflichtfeld bezeichnete Angaben werden benötigt, um die gewünschte Anfrage oder Leistung zu bearbeiten. Ohne diese Angaben ist die Bearbeitung gegebenenfalls nicht möglich. Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt.

4. Websiteaufruf und Server-Protokolle

Beim Aufruf verarbeitet der Server technisch erforderliche Verbindungsdaten, insbesondere IP-Adresse, Datum und Uhrzeit, angeforderte Adresse, übertragene Datenmenge, Referrer, Browser-/Gerätekennung und Statuscode. Zweck sind Auslieferung, Stabilität, Fehleranalyse, Ratenbegrenzung und Missbrauchsabwehr.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).
• Speicherdauer: Protokolle werden regelmäßig rotiert und gelöscht oder anonymisiert, sobald sie für Betrieb, Sicherheit und Fehleranalyse nicht mehr erforderlich sind. Bei einem konkreten Sicherheitsvorfall dürfen ausschließlich die hierfür erforderlichen Datensätze gesondert und zugriffsbeschränkt bis zur abschließenden Klärung aufbewahrt werden.
• Hosting: Die Anwendung wird in Oracle Cloud Infrastructure (OCI), Region Frankfurt, betrieben. Soweit Dienstleister Daten in unserem Auftrag verarbeiten, gelten Vereinbarungen zur Auftragsverarbeitung nach Art. 28 DSGVO.

5. Schutzkonfigurator, Leistungsorientierung und Besichtigungsanfrage

Unverbindliche Konfiguration

Wenn Sie einen CCC Schutz- oder Trockeneis-Konfigurator bedienen, übermittelt Ihr Browser die ausgewählten Angaben – etwa Schutzumfang, Fahrzeugklasse, Fahrzeugalter oder -zustand, Roststufe und Trockeneisoption – an unsere eigene /booking_api.php. Der Server prüft damit die Preislogik und liefert eine unverbindliche Orientierung. Dabei entsteht noch kein Terminanfrage-Datensatz; die üblichen technischen Server-Protokolldaten fallen jedoch an. Beim Wechsel zum Terminformular werden ausgewählte Werte über URL-Parameter übernommen und serverseitig erneut geprüft.

Die kostenlose CCC Leistungsorientierung arbeitet regelbasiert im Browser. Ihre Auswahl wird nicht an einen externen KI-, Analyse- oder Werbedienst übertragen.

Absenden einer Anfrage

Erst beim Absenden einer Besichtigungs-, Termin- oder Serviceanfrage speichern wir die eingegebenen Kontakt-, Fahrzeug-, Leistungs-, Zustands- und Terminangaben, Ihre Nachricht sowie bestätigte Hinweise. Der aktuelle öffentliche Anfrageweg verlangt keine digitale Unterschrift. Der frühere Signatur-Anfrageweg ist deaktiviert und nimmt keine neuen Vorgänge an.

• Zweck: persönliche Prüfung, Angebotserstellung, Besichtigungs- und Terminabstimmung, Kommunikation und nachvollziehbare Dokumentation der angezeigten Hinweise.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und – für Sicherheits- und Nachweiszwecke – Art. 6 Abs. 1 lit. f DSGVO.
• Empfänger: intern berechtigte Personen, OCI als Hosting-Dienstleister sowie – wenn eine Nachricht versandt wird – Brevo, Cloudflare Email Routing und Google Gmail entsprechend Abschnitt 7.
• Reine Terminanfragen: Der operative Terminanfrage-Datensatz wird nach 90 Tagen automatisch gelöscht, wenn die Anfrage ausdrücklich als beendet oder abgelehnt dokumentiert wurde, nicht zu einem Vertrag geführt hat und nicht zur Dokumentation eines Nichterscheinens benötigt wird. Eine zwischenzeitliche Zuordnung zum Kundenkonto verhindert diese Löschung nicht. Die Frist beginnt mit dem dokumentierten Abschluss der Anfrage. Separat übermittelte E-Mails, Versandprotokolle und zugriffsbeschränkte Sicherheitskopien unterliegen ihren jeweils eigenen, in dieser Erklärung beschriebenen Zwecken und Löschkriterien.
• Andere Terminvorgänge: Offene, alternative oder bestätigte Terminanfragen sowie Vorgänge ohne dokumentierten Abschluss fallen nicht unter diese automatische 90-Tage-Löschung. Sie werden nur so lange gespeichert, wie dies für Terminabstimmung, Vertragsdurchführung, Kontozuordnung oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.
• Vertrags- und Nachweisdaten: Sie werden nach dem Vertragszweck, einschlägigen gesetzlichen Aufbewahrungspflichten sowie der Erforderlichkeit zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen gespeichert und anschließend gelöscht.

6. Kundenkonto, ServicePass, Wagenpass sowie Foto- und Videoakte

Für Registrierung, Aktivierung und Anmeldung verarbeiten wir Name, E-Mail-Adresse, optional Telefonnummer, Verifizierungsstatus, gehashte Zugangsdaten, Sitzungs- und Sicherheitsdaten, Kontostatus sowie – bei Nutzung – CarCoins-Stand und Aktivitätshistorie. Passwörter werden nicht im Klartext gespeichert. Aktivierungslinks sind persönlich, einmal verwendbar und 24 Stunden gültig; serverseitig wird nur eine kryptografische Prüfsumme des Tokens gespeichert.

Wenn bei der Registrierung freiwillig ein CCC-Empfehlungscode verwendet wird, speichern wir den eingegebenen Code, die zugehörige CCC-Kennung des Empfehlenden, den zulässigen Seitenkontext der Registrierung, Zeitpunkt und Verifizierungsstatus. Die Zuordnung wird erst nach erfolgreicher E-Mail-Aktivierung bestätigt, dient der nachvollziehbaren Empfehlungsfunktion und wird nicht an andere Kunden ausgegeben. Wir lesen dafür keine Kontakte, Adressbücher oder Social-Media-Freundeslisten aus.

Nach einem Auftrag kann ein CCC Wagenpass als Leistungs- und Zustandsnachweis entstehen. Eine freiwillige Garantie wird ausschließlich für separat vereinbartes CCC Keramik Protect · 2 Schichten dokumentiert. Fahrzeug, Auftrag, ausgeführte Leistungen, Kilometerstand, Befunde, Arbeitsschritte, Pflegehinweise, Dokumente, Statusereignisse und gegebenenfalls Service- oder Garantiezeitpunkte werden dem Kundenkonto ausschließlich über serverseitige Nutzer- und Fahrzeug-IDs zugeordnet.

Für vereinbarte Leistungen – insbesondere Keramik, PPF, Trockeneis, Innenraum- sowie Unterboden-/Hohlraumschutz – können relevante Bereiche vor, während und nach der Ausführung fotografisch und, soweit für den internen Nachweis erforderlich, per Video dokumentiert werden. Diese Akte dient Leistungs-, Zustands-, Qualitäts- und gegebenenfalls Garantieabwicklung. Eine Werbenutzung erfolgt nur auf gesonderter Rechtsgrundlage. Für das Kundenkonto werden ausschließlich einzeln geprüfte und freigegebene Fotos bereitgestellt. Interne Werkstattnotizen, nicht freigegebene Bilder und Beweisvideos werden nicht an Kunden ausgeliefert. Beweisvideos können in einem getrennten lokalen Beweisarchiv gespeichert werden. Die Onlineakte enthält in diesem Fall nur die technischen Nachweisdaten, insbesondere Dateiname, Dateigröße, Prüfsumme, zugeordneter Arbeitsschritt und interne Speicherreferenz.

Öffentliche QR-Nachweise verwenden zufällige Kennungen und zeigen einen strikt datenreduzierten Prüfnachweis. Öffentlich erscheinen ausschließlich der Nachweistyp und – bei einer freiwilligen Garantie – deren aktueller Status und die hierfür erforderlichen Garantiezeitpunkte. Nicht öffentlich erscheinen insbesondere Marke und Modell, Erstzulassungsjahr, Auftragsstatus oder Abschlussdatum, Name, E-Mail, Telefonnummer, Kennzeichen, FIN, Kundenbilder oder hinterlegte Dokumente. Neue öffentliche ServicePass-Kennungen können widerrufen und ersetzt werden. Bereits früher ausgegebene Wagenpass-Kennungen sind beständig und derzeit nicht technisch widerrufbar; auch sie liefern ausschließlich den minimierten öffentlichen Prüfnachweis. Persönliche Akten und Bilder sind nur nach Anmeldung und geprüfter serverseitiger Zuordnung sichtbar. Beim Kamera-Scan wird nur der lokal dekodierte Code verarbeitet; Kamerabilder des Scanvorgangs werden nicht an uns übertragen.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag/Nutzungsverhältnis) und Art. 6 Abs. 1 lit. f DSGVO (Dokumentation).
• Empfänger: intern berechtigte Personen und OCI. Transaktionale Benachrichtigungen werden über Brevo versandt.
• Speicherdauer: Konto, Wagenpass, Foto- und Videoakte sowie Garantieunterlagen werden nur so lange gespeichert, wie dies für das Nutzungs- oder Vertragsverhältnis, vereinbarte Service-/Garantiezeiträume, gesetzliche Pflichten oder Rechtsansprüche erforderlich ist. Danach werden Datensätze und Dateien gelöscht oder – soweit zulässig – anonymisiert.

7. Kontaktlose Zahlung vor Ort

Wenn Sie ein tatsächlich angebotenes kontaktloses Zahlungsmittel wählen, verarbeiten der eingesetzte Terminal-/Zahlungsdienst, das kartenausgebende Institut und gegebenenfalls weitere am Zahlungsverkehr Beteiligte die für Autorisierung und Abrechnung erforderlichen Daten, etwa Betrag, Zeitpunkt, Zahlungsreferenz und Zahlungsmedium. CCC erhält grundsätzlich keine vollständige Kartennummer und keine PIN. Der konkrete Zahlungsanbieter und seine datenschutzrechtliche Rolle werden vor Inbetriebnahme des Terminals dokumentiert; bis dahin steht die Barzahlung zur Verfügung.

8. E-Mail, Telefon, WhatsApp und interne Benachrichtigung

Aktivierungslinks, Anfragen, Status- und Serviceinformationen werden über den SMTP-Versanddienst Brevo zugestellt. Dafür werden je nach Vorgang Empfängeradresse, Name, Betreff, Inhalt und ein persönlicher Aktivierungs- oder Vorgangslink an Brevo übermittelt. Betriebliche Kopien und Antworten gelangen in das Inhaberpostfach bei Google Gmail; Nachrichten an info@carcarecustoms.com werden hierfür über Cloudflare Email Routing weitergeleitet. Die beteiligten Dienste verarbeiten dabei die für Übermittlung, Zustellung, Spam- und Missbrauchsschutz erforderlichen Nachrichten- und Verbindungsdaten.

Brevo kann bei transaktionalen E-Mails abhängig von der Kontokonfiguration Zustell-, Öffnungs- und Klickereignisse protokollieren. CCC verwendet solche Ereignisse nicht zur Profilbildung oder personalisierten Werbung. Vor der produktiven Nutzung werden das individuelle Öffnungs-/Klicktracking deaktiviert beziehungsweise anonymisiert, eine angemessen kurze Aufbewahrungsfrist für Transaktionsprotokolle festgelegt und die Speicherung von E-Mail-Vorschauen deaktiviert. Falls diese Konfiguration später geändert wird, aktualisieren wir diese Erklärung vorab.

Wenn Sie uns per E-Mail, Telefon oder WhatsApp kontaktieren, verarbeiten wir Ihre Kontaktdaten und den Inhalt der Kommunikation zur Bearbeitung Ihres Anliegens. Bei WhatsApp werden Ihre Mobilnummer, Profilangaben und Nachrichten außerdem durch WhatsApp Ireland Limited nach deren eigenen Bedingungen verarbeitet. Der WhatsApp-Link auf unserer Website stellt erst nach dem Anklicken eine Verbindung zu WhatsApp her. Alternativ können Sie jederzeit E-Mail oder Telefon nutzen.

Für rein betriebliche Soforthinweise verwenden wir gegebenenfalls ntfy.sh. An ntfy wird ausschließlich der generische Hinweis „Neue Anfrage im geschützten CCC-Adminportal“ mit einer geheimen Themenkennung übermittelt – keine Namen, Kontaktdaten, Buchungsnummern, Leistungen oder Wunschzeiten. Abhängig vom eingesetzten Mobilgerät kann die Benachrichtigungszustellung zusätzlich über den Pushdienst des Betriebssystemanbieters erfolgen.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche und vertragliche Kommunikation; ergänzend Art. 6 Abs. 1 lit. f DSGVO für sichere Zustellung, Missbrauchsschutz und eine zeitnahe betriebliche Bearbeitung.
• Speicherdauer: Kommunikationsinhalte werden nach dem jeweiligen Anfrage- oder Vertragszweck, gesetzlichen Aufbewahrungspflichten und der Erforderlichkeit für Rechtsansprüche gespeichert und anschließend gelöscht.
• Anbieterinformationen: Brevo, Cloudflare, Google, ntfy und WhatsApp.

9. Cookies und lokaler Speicher (TDDDG)

Ohne Aktivierung der optionalen Google-Karte laden wir keine Analyse-, Marketing-, Profiling- oder Drittanbieter-Cookies. Nach deren Aktivierung kann Google Cookies und ähnliche Techniken einsetzen; siehe Abschnitt 12. Die nachfolgende eigene Speicherung ist für Anmeldung, ausdrücklich gewählte Anfrage- und Kontofunktionen, Sicherheitszustand oder die offlinefähige interne Werkstattanwendung erforderlich. Dafür ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich; die anschließende Verarbeitung personenbezogener Daten richtet sich nach den oben genannten DSGVO-Rechtsgrundlagen.

Die Google-Karte ist zunächst gesperrt. Die freiwillige Einwilligung erfolgt direkt am Kartenfeld über „Google Maps aktivieren“, nicht durch ein allgemeines Banner. Über „Karte deaktivieren“ kannst du sie für die Zukunft widerrufen. Wir speichern diese Entscheidung nicht in Cookies oder im lokalen Speicher; bei einem erneuten Seitenaufruf bleibt die Karte wieder gesperrt. Lokale Daten können über die Browser-Einstellungen gelöscht werden; dadurch können Warenkorb-, Login- oder Offlinefunktionen verloren gehen.

10. Empfänger, Hosting und Drittlandtransfers

Externe Empfänger sind – je nach Funktion – Oracle Cloud Infrastructure für Hosting, Brevo für transaktionale E-Mail, Cloudflare Email Routing und Google Gmail für das Inhaberpostfach, ntfy für generische betriebliche Pushhinweise, WhatsApp Ireland Limited bei einer von Ihnen begonnenen WhatsApp-Kommunikation sowie – abhängig vom betrieblichen Mobilgerät – dessen Betriebssystem-Pushdienst. Bei ausdrücklicher Aktivierung der eingebetteten Karte kommt Google Ireland Limited als Empfänger hinzu (Abschnitt 12). Dienstleister erhalten nur die für ihre Aufgabe erforderlichen Daten. Soweit sie in unserem Auftrag verarbeiten, gelten die Anforderungen des Art. 28 DSGVO. Ein Support- oder Unterauftragnehmerzugriff außerhalb des Europäischen Wirtschaftsraums kann nicht allein durch die gewählte Region ausgeschlossen werden. Soweit eine Drittlandübermittlung stattfindet, erfolgt sie nur nach Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien wie EU-Standardvertragsklauseln. Informationen zu den einschlägigen Garantien können angefordert werden.

11. Sicherheitskopien und frühere Anfragearchive

Zugriffsbeschränkte betriebliche Sicherheitskopien können Daten vorübergehend noch enthalten, nachdem diese im aktiven System gelöscht wurden. Sie werden nicht für den laufenden Kundenkontakt oder Werbezwecke verwendet, sondern ausschließlich zur Wiederherstellung und Integritätsprüfung, und gelöscht, sobald ihr Sicherungszweck und entgegenstehende gesetzliche Pflichten entfallen. Der frühere Signatur-Anfrageweg ist deaktiviert. Bestehende Altarchive werden gesondert auf Erforderlichkeit für Nachweis- oder Rechtsverteidigungszwecke geprüft und anschließend gelöscht; eine neue Signatur wird darüber nicht erhoben.

12. Optionale Karte, externe Links und selbst gehostete Inhalte

Google Maps

Im Kontaktbereich bieten wir eine interaktive Google-Karte an. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Beim bloßen Aufruf unserer Seite wird keine Verbindung zu Google Maps hergestellt: Das Kartenfeld enthält zunächst ausschließlich eigene Inhalte. Erst mit „Google Maps aktivieren“ lädst du die Einbettung von Google und willigst in die damit verbundene Datenverarbeitung ein (Art. 6 Abs. 1 lit. a DSGVO; soweit auf deinem Gerät Informationen gespeichert oder ausgelesen werden, § 25 Abs. 1 TDDDG). Google erhält dabei insbesondere deine IP-Adresse, Browser- und Verbindungsinformationen sowie die Herkunftswebsite. Je nach Browser, Google-Konto und Einstellungen können Cookies oder ähnliche Techniken eingesetzt, Aktivitäten einem Konto zugeordnet und Daten auch außerhalb der EU, insbesondere in den USA, verarbeitet werden. Unsere Website fordert dafür keinen Zugriff auf deinen Gerätestandort an.

„Karte deaktivieren“ entfernt die Einbettung und beendet ihre Nutzung auf dieser Seite. Die Einwilligung wird nicht dauerhaft gespeichert; auch nach einem Neuladen bleibt die Karte gesperrt. Bereits an Google übermittelte Daten oder von Google gesetzte Cookies werden dadurch nicht rückwirkend gelöscht. Diese kannst du über die Browser- und Google-Einstellungen verwalten. Die Website, Kontaktaufnahme und Terminvereinbarung funktionieren auch ohne Karte. Alternativ führen Anfahrts- und Bewertungslinks direkt zu Google Maps; erst beim Öffnen eines solchen Links wird Google aufgerufen. Die angegebene Bewertungszahl ist eine datierte Momentaufnahme, kein automatisch geladenes Bewertungs-Widget. Informationen zu Googles Verarbeitung, Speicherdauer und möglichen Drittlandübermittlungen findest du in den Datenschutzhinweisen von Google.

Instagram und Facebook

Die Werkstattbilder neben dem Instagram-Link werden von unserem eigenen Server geladen. Es handelt sich um eine eigene Projektauswahl, nicht um einen automatisch geladenen Instagram-Feed. Unsere Instagram- und Facebook-Profile werden ausschließlich als externe Links eingebunden. Beim bloßen Aufruf unserer Website entsteht deshalb keine Verbindung zu Meta. Erst wenn du einen solchen Link öffnest, verlässt du unsere Website; Meta verarbeitet dann in eigener Verantwortung insbesondere technische Verbindungsdaten und gegebenenfalls weitere Daten abhängig von deinen Einstellungen oder einem angemeldeten Konto. Weitere Informationen findest du in der Datenschutzrichtlinie von Meta/Instagram und in der Facebook-Datenschutzrichtlinie.

Im Kundenkonto kannst du deinen persönlichen Empfehlungslink freiwillig kopieren, über die Freigabefunktion deines Geräts teilen oder nach eigener Auswahl an WhatsApp beziehungsweise den Facebook-Share-Dialog übergeben. Eine Verbindung zu diesen Anbietern entsteht erst durch deinen Klick; wir veröffentlichen nichts automatisch und lesen keine Kontakte aus. Für Instagram wird nur ein Text mit @carcarecustomsgermany in die Zwischenablage kopiert, ohne Instagram aufzurufen. Die Parameter mode, source und ref dienen ausschließlich dazu, die freiwillige Kontoeröffnung und eine eingegebene Empfehlung zuzuordnen. Ein gültiger Empfehlungscode wird bis zur Registrierung nur im Arbeitsspeicher der Seite gehalten und bei der Registrierung an den CCC-Server gesendet.

Schriften, Icons und technische Bibliotheken

Schriften, Icons, QR-/3D-Bibliotheken, Bilder und die 3D-Modelldatei werden von unserem eigenen Server ausgeliefert. Beim Laden wird keine Verbindung zu Google Fonts, Font Awesome, einem QR-CDN oder einem 3D-Bibliotheks-CDN aufgebaut. Bei reduzierter Bewegung, Datensparmodus, langsamer Verbindung oder geringer Geräteleistung wird anstelle der interaktiven 3D-Darstellung eine statische Variante verwendet.

13. Rechte betroffener Personen

• Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20).
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21).
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3).
• Beschwerde bei einer Datenschutzaufsichtsbehörde (Art. 77), insbesondere beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

14. Sicherheit

Die Website erzwingt HTTPS/TLS. Zusätzlich setzen wir unter anderem rollen- und ID-gebundene Zugriffe, sichere Sitzungscookies, Passkey-Schutz im Inhaberbereich, Zugriffsbeschränkungen, serverseitige Zuordnungen, Protokollierung sicherheitsrelevanter Vorgänge sowie getrennte nicht öffentliche Medienablagen ein.

15. Änderungen

Wir passen diese Erklärung an, wenn sich Funktionen, Empfänger, Rechtslage oder Verarbeitungen ändern. Maßgeblich ist die jeweils veröffentlichte Version; bereits erteilte Einwilligungen werden dadurch nicht rückwirkend erweitert.