Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist derzeit nicht bestellt, da die gesetzlichen Voraussetzungen nach Art. 37 DSGVO und § 38 BDSG nach unserer Prüfung nicht vorliegen. Anfragen zum Datenschutz richten Sie bitte an die unter Ziffer 1 genannte E-Mail-Adresse mit dem Betreff „Datenschutz“.

3. Allgemeine Hinweise

3.1 Grundsätze

Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung unserer Leistungen erforderlich ist oder eine andere Rechtsgrundlage greift. Die Verarbeitung erfolgt auf Grundlage der DSGVO, des Bundesdatenschutzgesetzes (BDSG), des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) sowie des Digitale-Dienste-Gesetzes (DDG).

3.2 Rechtsgrundlagen im Überblick

• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung (z. B. Marketing-Cookies, Newsletter)
• Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung und vorvertragliche Maßnahmen
• Art. 6 Abs. 1 lit. c DSGVO: rechtliche Verpflichtung (z. B. Buchhaltung, Zulassung nach FZV)
• Art. 6 Abs. 1 lit. f DSGVO: berechtigtes Interesse (z. B. IT-Sicherheit, Betrugsprävention)
• Art. 9 Abs. 2 lit. g DSGVO: soweit besondere Kategorien (z. B. biometrische Identifizierungsdaten) im Rahmen hoheitlicher Aufgaben verarbeitet werden
• § 25 Abs. 1 TDDDG: Zugriff auf Informationen in Ihrer Endeinrichtung (Cookies, lokaler Speicher)

3.3 SSL-/TLS-Verschlüsselung

Diese Website nutzt aus Sicherheitsgründen eine TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie am „https://“ in der Adresszeile sowie am Schloss-Symbol Ihres Browsers.

4. Bereitstellung der Website und Server-Logfiles

Beim Aufruf unserer Website werden durch den Browser Ihres Endgeräts automatisch Informationen an den Server unseres Hostingdienstleisters gesendet und in sogenannten Logfiles vorübergehend gespeichert:

• IP-Adresse des anfragenden Endgeräts
• Datum und Uhrzeit des Zugriffs
• Name und URL der aufgerufenen Datei
• Website, von der aus der Zugriff erfolgt (Referrer)
• Verwendeter Browser sowie ggf. das Betriebssystem Ihres Endgeräts
• Name Ihres Access-Providers

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Gewährleistung eines reibungslosen Verbindungsaufbaus, einer komfortablen Nutzung sowie der Auswertung der Systemsicherheit und -stabilität. Die Daten werden nach 7 Tagen automatisch gelöscht, sofern keine Anhaltspunkte für einen Sicherheitsvorfall vorliegen.

Getrenntes Reichweiten-Protokoll: Zusätzlich führen wir ein zweites, von vornherein anonymes Zugriffsprotokoll, das ausschließlich Zeitpunkt, aufgerufenen Seitenpfad und Antwortstatus enthält, ohne IP-Adresse, ohne Browserkennung und ohne Referrer. Es dient allein der Frage, wie häufig einzelne Seiten aufgerufen werden. Ein Personenbezug ist nicht herstellbar; die Daten werden nach 7 Tagen gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der bedarfsgerechten Gestaltung unseres Angebots).

4a. Auswertung unserer Geschäftsvorgänge und Nutzungsanalyse

Wir werten aus, wie unsere Leistungen angenommen werden. Dabei unterscheiden wir zwei getrennte Verfahren:

a) Auswertung eigener Geschäftsdaten (ohne Einwilligung). Aus den Daten, die bei einer Bestellung ohnehin anfallen, bilden wir zusammengefasste Kennzahlen je Kalendertag: Anzahl der Bestellungen, Umsatz, Zahlungsart, Bearbeitungsdauer, die Leistungsart und die Herkunftskategorie des Besuchs (Ziffer 4c). Diese Auswertung erfolgt ausschließlich in aggregierter Form; die Kennzahlen lassen keinen Rückschluss auf einzelne Personen zu. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der wirtschaftlichen Steuerung und Verbesserung unseres Angebots. Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen (Kontakt siehe Ziffer 1).

b) Analyse des Nutzungsverhaltens (nur mit Ihrer Einwilligung). Haben Sie im Einwilligungsbanner der Kategorie Statistik zugestimmt, erfassen wir zusätzlich, an welcher Stelle unseres Bestellformulars Nutzerinnen und Nutzer abbrechen. Erhoben werden dabei ausschließlich die Bezeichnung des Formularschritts, die Verweildauer und die Art aufgetretener Eingabefehler, niemals die von Ihnen eingegebenen Inhalte und keine IP-Adresse. Zur Zuordnung der Schritte innerhalb eines Besuchs verwenden wir eine zufällige Kennung, die ausschließlich im Zwischenspeicher Ihres Browsers (sessionStorage) abgelegt wird und beim Schließen des Browser-Tabs verfällt. Eine Wiedererkennung über mehrere Besuche hinweg findet nicht statt.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG. Sie können sie jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen widerrufen; die Erfassung endet dann sofort. Die Einzeldaten werden nach 7 Tagen gelöscht, die daraus gebildeten anonymen Auswertungen nach 90 Tagen. Bei dieser Schrittmessung findet keine Übermittlung an Dritte statt. Sie läuft ausschließlich auf unseren eigenen Servern in Deutschland. Für Microsoft Clarity, das ebenfalls an der Kategorie Statistik hängt, gilt das nicht: Dort werden Daten an Microsoft übermittelt. Die Einzelheiten dazu stehen in Ziffer 4b.

4b. Microsoft Clarity (nur mit Ihrer Einwilligung)

Haben Sie im Einwilligungsbanner der Kategorie Statistik zugestimmt, setzen wir zusätzlich Microsoft Clarity ein. Anbieter für Nutzerinnen und Nutzer aus der EU ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland.

Zweck und Umfang. Clarity zeichnet den Ablauf Ihres Besuchs auf (Mausbewegungen, Klicks, Scrollen und den Seitenaufbau) und fasst diese Bewegungen zu Aufzeichnungen und sogenannten Heatmaps zusammen. Wir nutzen das ausschließlich, um zu erkennen, an welcher Stelle unsere Seiten und unser Bestellvorgang schwer verständlich sind. Ihre Eingaben in Formularfelder werden dabei ausgeblendet und nicht übertragen; das betrifft insbesondere Namen, Anschrift, Geburtsdatum, Fahrzeug-Identifizierungsnummer, eVB-Nummer, Sicherheitscodes und Zahlungsdaten. Auch die Zahlungsfelder unseres Zahlungsdienstleisters liegen in einem eigenen Rahmen und sind für Clarity technisch nicht einsehbar.

Eigene Verantwortlichkeit von Microsoft. Microsoft handelt hierbei nach eigener Angabe als eigenständig Verantwortlicher und nicht als unser Auftragsverarbeiter. Microsoft verarbeitet die Daten daher auch zu eigenen Zwecken. Für diese Verarbeitung ist Microsoft selbst verantwortlich; maßgeblich ist die Microsoft-Datenschutzerklärung.

Cookies. Clarity setzt auf unserer Website die Cookies _clck (Wiedererkennung über Besuche hinweg, Laufzeit 1 Jahr) und _clsk (Zusammenführung mehrerer Seitenaufrufe zu einer Sitzung, Laufzeit 1 Tag). Zusätzlich können auf Microsoft-Domains die Cookies CLID, MUID, ANONCHK, MR und SM gesetzt werden. Das Cookie MUID wird von Microsoft auch für Werbezwecke verwendet. Wir übermitteln Microsoft daher getrennte Einwilligungssignale: Die Speicherung zu Werbezwecken wird nur freigegeben, wenn Sie zusätzlich der Kategorie Marketing zugestimmt haben. Stimmen Sie nur der Kategorie Statistik zu, teilen wir Microsoft für den Werbebereich ausdrücklich eine Ablehnung mit.

Rechtsgrundlage und Widerruf. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG. Ohne Ihre Einwilligung wird das Clarity-Skript nicht geladen; es findet dann weder eine Datenübertragung noch ein Cookie-Zugriff statt. Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen im Seitenfuß mit Wirkung für die Zukunft widerrufen. Beim Widerruf weisen wir Microsoft an, die gesetzten Cookies zu löschen und die laufende Sitzung zu beenden; die Cookies auf unserer Domain entfernen wir selbst.

Speicherdauer und Drittlandbezug. Microsoft speichert die Aufzeichnungen nach eigener Angabe 30 Tage; als Favoriten markierte sowie eine zufällige Stichprobe von Aufzeichnungen werden bis zu 9 Monate aufbewahrt. Vertragspartner ist die Microsoft Ireland Operations Limited in Irland; zwischen dieser und der Microsoft Corporation in den USA bestehen Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Näheres unter Ziffer 8.

4c. Herkunft Ihres Besuchs (ohne Cookies)

Was wir festhalten. Wir möchten wissen, über welchen Weg Besucherinnen und Besucher zu uns kommen — über eine Suchmaschine, eine Anzeige, einen Verweis von einer anderen Website oder durch direkte Eingabe der Adresse. Dafür lesen wir beim Aufbau jeder Seite ausschließlich aus, was Ihr Browser ohnehin an unseren Server sendet: die Domain der Website, von der Sie kommen (bei Verweisen von anderen Websites zusätzlich ein Kürzel des dortigen Seitenpfads, nie die dort angehängten Parameter), die erste bei uns aufgerufene Seite, in der Adresse enthaltene Kampagnenkennzeichen (utm_source, utm_medium, utm_campaign), bei einem Anzeigenklick die Art der Klick-Kennung — nicht die Kennung selbst — und die Geräteklasse (Handy, Tablet, Desktop) aus der Fensterbreite. Daraus bilden wir eine von 16 Herkunftskategorien, etwa „Google Ads“, „Google (unbezahlt)“, „Verweis von anderer Seite“ oder „Direkt“.

Kein Cookie, nichts im Endgerät. Diese Angaben halten wir nur im Arbeitsspeicher der geöffneten Seite; beim Schließen des Tabs sind sie weg. Erst wenn Sie eine Bestellung aufgeben, werden Herkunftskategorie, Verweis, Einstiegsseite und Geräteklasse mit der Bestellung gespeichert und fließen in die zusammengefassten Kennzahlen nach Ziffer 4a Buchstabe a ein. Es entsteht keine Kennung, mit der wir Sie bei einem späteren Besuch wiedererkennen könnten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, unsere Werbeausgaben zu steuern und zu wissen, welche Wege zu uns führen. Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen (Kontakt siehe Ziffer 1).

Mit Ihrer Einwilligung „Statistik“: Merken für die Dauer des Besuchs. Haben Sie im Einwilligungsbanner der Kategorie Statistik zugestimmt, legen wir die Herkunftsangaben zusätzlich im Sitzungsspeicher Ihres Browsers (sessionStorage) ab, damit sie ein Neuladen der Seite überstehen; die Schrittmessung nach Ziffer 4a Buchstabe b trägt dann an ihrem Startereignis die Herkunftskategorie und die Geräteklasse. Der Eintrag verfällt beim Schließen des Tabs; ein Widerruf entfernt ihn sofort. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG.

Mit Ihrer Einwilligung „Marketing“: die Klick-Kennung. Kommen Sie über eine Anzeige, hängt an der Adresse eine Klick-Kennung des Anzeigenanbieters (bei Google Ads gclid). Nur wenn Sie der Kategorie Marketing zugestimmt haben, speichern wir diese Kennung — zusammen mit dem Zeitpunkt Ihrer Einwilligung — an der Bestellung. Wir verwenden sie ausschließlich dafür, Google Ads nach einer Bestellung zu melden, dass der Anzeigenklick zu einem Kauf geführt hat: mit Zeitpunkt und Bestellwert, ohne Ihren Namen (Ziffer 7.2). Kennungen anderer Anzeigenanbieter speichern wir mit derselben Einwilligung, melden sie derzeit aber an niemanden. Ohne die Einwilligung wird keine Kennung gespeichert und keine übermittelt; ein Widerruf entfernt sie aus Ihrem Browser sofort. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG.

5. Cookies und Einwilligungs-Management

Wir setzen Cookies und vergleichbare Technologien (z. B. localStorage) ein. Soweit diese nicht zwingend für den Betrieb der Website erforderlich sind, holen wir vor dem Setzen Ihre Einwilligung über ein Consent-Banner ein (§ 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO). Technisch notwendige Cookies werden auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung gesetzt.

• Notwendige Cookies: Session, CSRF-Token, Consent-Status. Speicherdauer max. Session/12 Monate.
• Statistik: nur nach Einwilligung. Umfasst unsere eigene Schrittmessung (Ziffer 4a Buchstabe b, ohne Cookies), das Merken der Besuchsherkunft im Sitzungsspeicher (Ziffer 4c, ohne Cookies, verfällt mit dem Tab) sowie Microsoft Clarity mit den Cookies _clck (1 Jahr) und _clsk (1 Tag); Einzelheiten in Ziffer 4b.
• Marketing: Google Ads Conversion-Tracking (siehe Ziffer 7.2) und die Speicherung der Klick-Kennung eines Anzeigenklicks (Ziffer 4c). Nur nach Einwilligung.

Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie die Cookie-Einstellungen über den entsprechenden Link im Footer erneut aufrufen.

6. Verarbeitungen im Rahmen unserer Leistungen

6.1 Bestellung und Vertragsabwicklung

Zur Durchführung unserer Leistungen (Wunschkennzeichen-Reservierung, Anmeldung, Ummeldung, Halterwechsel, Abmeldung, Wiederzulassung, Lieferung von Kennzeichenschildern) verarbeiten wir insbesondere folgende Daten: Vor- und Nachname, Anschrift, E-Mail-Adresse, Telefonnummer, Geburtsdatum, Halterart, Fahrzeugidentifikationsnummer (FIN), Daten der Zulassungsbescheinigung Teil I und II inkl. Sicherheitscodes (ZB1-PIN, ZB2-Sicherheitscode), HSN/TSN, elektronische Versicherungsbestätigung (eVB-Nummer), Wunschkennzeichen sowie SEPA-Lastschriftmandat zur Erhebung der Kfz-Steuer durch das Hauptzollamt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO i. V. m. §§ 3, 6 FZV, §§ 33 ff. StVG und § 147 AO.

6.2 Kontaktaufnahme

Bei Kontaktaufnahme per E-Mail oder Telefon verarbeiten wir Ihre Angaben zur Bearbeitung des Anliegens. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Kommunikation) bzw. Art. 6 Abs. 1 lit. f DSGVO. Anfragen löschen wir nach Abschluss spätestens nach drei Jahren, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

6.3 Bewerbungen und sonstige Anfragen

Bewerbungsdaten werden ausschließlich zum Zweck der Bewerber-Auswahl verarbeitet, spätestens 6 Monate nach Verfahrensabschluss gelöscht, sofern keine ausdrückliche Einwilligung zu einer längeren Speicherung erteilt wurde. Rechtsgrundlage: § 26 Abs. 1 BDSG, Art. 6 Abs. 1 lit. b DSGVO.

6.4 Foto oder Scan Ihrer Zulassungsbescheinigung Teil I (nur bei Feinstaubplakette)

Wenn Sie eine Feinstaubplakette mitbestellen, laden Sie im Bestellvorgang ein Foto oder einen Scan Ihrer Zulassungsbescheinigung Teil I hoch (Vorder- und bei Bedarf Rückseite). Das ist erforderlich, weil die Prägestelle die Plakette nur gegen Vorlage dieses Dokuments ausgeben darf — sie muss die Emissionsschlüsselnummer Ihres Fahrzeugs prüfen. Wir erheben die Datei bewusst vor der Zahlung: Andernfalls hätten Sie eine Plakette bezahlt, die niemand beschaffen kann.

Die Datei liegt auf unserem Server in Deutschland und ist über keinen Abruf-Zugang erreichbar; sie verlässt unser System ausschließlich in Richtung des unter Ziffer 7.3 beschriebenen Lieferanten, der die Plakette ausgibt. Übermittelt wird das Bild als solches, also alle darauf sichtbaren Angaben Ihrer Zulassungsbescheinigung Teil I.

Löschung: Ordnen Sie die Datei keiner Bestellung zu, löschen wir sie automatisch nach 24 Stunden. Gehört sie zu einer Bestellung, bleibt sie nur so lange erhalten, bis die Plakette beim Lieferanten beauftragt ist — danach entfernt sie ein stündlicher Lauf. Bei Zahlungsarten mit Verzögerung (SEPA-Lastschrift, Klarna) kann das einige Tage dauern, weil die Plakette erst nach Zahlungseingang beauftragt wird. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des mit Ihnen geschlossenen Vertrags).

6.5 Foto statt Abtippen (automatische Dokumenterkennung)

Felder wie die Fahrzeug-Identifizierungsnummer, die eVB-Nummer und die Sicherheitscodes Ihrer Zulassungsbescheinigung können Sie im Bestellvorgang wahlweise per Foto ausfüllen lassen, statt sie abzutippen. Nutzen Sie diese Funktion, übertragen wir das von Ihnen aufgenommene oder ausgewählte Bild — je nach Feld eine Zulassungsbescheinigung Teil I oder Teil II, eine eVB-Bestätigung oder einen Nachweis der Fahrzeug-Identifizierungsnummer — an Google (Ziffer 7.10), wo ausschließlich die genannten Feldwerte ausgelesen werden. Die Nutzung ist freiwillig: Sie können jedes Feld jederzeit von Hand ausfüllen, und das Ergebnis der Erkennung ist ein Vorschlag, den Sie vor dem Absenden prüfen und ändern können. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — die ausgelesenen Angaben sind dieselben, die wir zur Durchführung Ihres Auftrags ohnehin benötigen (Ziffer 6.1).

Übermittelt wird das Bild als solches, also alle darauf sichtbaren Angaben. Bei Bilddateien kodieren wir das Foto vorher neu und verkleinern es; enthaltene Zusatzinformationen wie Aufnahmeort und -zeit (EXIF) gehen dabei verloren und werden nicht übermittelt. Eine als PDF hochgeladene eVB-Bestätigung reichen wir unverändert weiter, weil sie sonst unlesbar würde.

Speicherung: Wir speichern das Bild nicht. Es wird ausschließlich im Arbeitsspeicher verarbeitet und mit dem Ende der Anfrage verworfen; es gibt keine Ablage auf unseren Servern, keinen Abruf-Zugang und keine Protokollierung des Bildes oder der erkannten Werte — protokolliert werden nur Dateigröße, Dateityp und Dauer. Google speichert die übermittelten Inhalte nach eigenen Angaben 55 Tage, ausschließlich zur Erkennung und Verhinderung von Verstößen gegen die Nutzungsrichtlinien sowie für gesetzlich vorgeschriebene Auskünfte. Weil wir den kostenpflichtigen Zugang nutzen, werden Ihre Inhalte nicht zum Trainieren oder Verbessern der Modelle von Google verwendet.

Ein Hinweis zu Angaben Dritter: Bei einer Ummeldung oder einem Halterwechsel kann auf dem fotografierten Dokument auch der Name oder die Anschrift einer anderen Person sichtbar sein, etwa der Voreigentümerin oder des Voreigentümers. Ausgelesen werden diese Angaben nicht, und gespeichert werden sie von uns ebenfalls nicht. Möchten Sie das vermeiden, decken Sie den betreffenden Bereich vor der Aufnahme ab oder füllen Sie das Feld von Hand aus. Eine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO ist mit der Erkennung nicht verbunden (Ziffer 12).

6.6 Rabattcodes im Bestellfenster eines Partnerbetriebs

Betriebe, die unser Bestellfenster auf ihrer eigenen Website einbinden, können dort Rabattcodes ausgeben und festlegen, wie oft ein Code insgesamt und je Kundin oder Kunde eingelöst werden darf. Verantwortlich für die Verarbeitung in diesem Bestellfenster sind wir (Ziffer 1): Ihr Vertragspartner ist auch dort die KGM Digital UG (haftungsbeschränkt) & Co. KG, und die Zahlung läuft über unseren Zahlungsdienstleister (Ziffer 7.1).

Lösen Sie einen Code ein, prüfen wir die Grenze „je Kunde“ nicht anhand Ihrer E-Mail-Adresse im Klartext, sondern über einen Prüfwert: einen mit einem geheimen Schlüssel gebildeten Hash (HMAC-SHA-256) der vereinheitlichten Adresse (Kleinschreibung, ohne einen mit „+“ angehängten Zusatz vor dem @). Bei der Preisauskunft im Bestellfenster berechnen wir diesen Wert nur; gespeichert wird er erst mit der Bestellung, zusammen mit dem Code, dem Rabattbetrag und dem Preis vor und nach Rabatt. Aus dem Prüfwert lässt sich Ihre Adresse nicht zurückrechnen. Die Einlösung — Code, Rabattbetrag, Bestellung — sieht auch der Betrieb, der den Code ausgegeben hat, denn der Rabatt geht zu seinen Lasten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Preisbildung des mit Ihnen geschlossenen Vertrags) sowie Art. 6 Abs. 1 lit. f DSGVO (Schutz der vom Betrieb gesetzten Einlösegrenze vor Mehrfachnutzung). Der Einlösungsvermerk wird so lange aufbewahrt wie die Bestell- und Abrechnungsdaten (Ziffer 9).

6.7 Bewertung nach abgeschlossenem Auftrag

Die Bitte um eine Bewertung. Ist Ihr Auftrag abgeschlossen, senden wir Ihnen einmalig — ein bis drei Tage nach Abschluss — eine E-Mail mit der Bitte um eine Bewertung. Das gilt nur für Aufträge, die Sie bei uns bezahlt haben und die weder storniert noch erstattet wurden; je E-Mail-Adresse fragen wir höchstens einmal in 90 Tagen. Die Mail enthält einen persönlichen Link auf eine Bewertungsseite bei uns; er gilt 30 Tage und lässt sich einmal verwenden. Das Zugangsmerkmal des Links speichern wir nur als Hash. Die Bewertung ist freiwillig und hat keinen Einfluss auf Ihren Auftrag; möchten Sie nichts sagen, müssen Sie nichts tun.

Was wir verarbeiten. Für den Versand Ihre E-Mail-Adresse, Ihren Vornamen und die Bestellnummer. Geben Sie eine Bewertung ab: die Sternzahl, einen freiwilligen Text, den Zeitpunkt und einen mit einem geheimen Schlüssel gebildeten Prüfwert (HMAC) Ihrer IP-Adresse, aus dem sich die Adresse nicht zurückrechnen lässt und der allein der Abwehr von Missbrauch des Bewertungslinks dient. Bei ein bis drei Sternen legen wir intern einen Vorgang an und melden uns innerhalb eines Werktags bei Ihnen.

Google. Auf der Bewertungsseite finden Sie unabhängig von der vergebenen Sternzahl einen Verweis auf unser Google-Unternehmensprofil; bei vier oder fünf Sternen leiten wir Sie nach einer angekündigten kurzen Wartezeit dorthin weiter. Ob Sie dort eine Bewertung abgeben, entscheiden Sie. Wir übermitteln Google keine Daten aus Ihrer Bewertung bei uns und vermerken lediglich, ob der Verweis genutzt wurde. Für alles, was Sie bei Google eingeben, ist Google in eigener Verantwortung zuständig; Datenschutzhinweise: policies.google.com/privacy.

Rechtsgrundlage und Widerspruch. Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Qualitätssicherung unserer Leistungen und darin zu erfahren, ob etwas schiefgelaufen ist. Sie können der Verarbeitung nach Art. 21 DSGVO jederzeit widersprechen (Kontakt siehe Ziffer 1); dann erhalten Sie keine weitere Bitte um eine Bewertung, und eine abgegebene Bewertung löschen wir auf Ihren Wunsch (Ziffer 10).

7. Eingesetzte Dienste und Auftragsverarbeiter

Mit allen nachstehend genannten Dienstleistern haben wir, soweit sie als Auftragsverarbeiter im Sinne des Art. 28 DSGVO tätig sind, einen entsprechenden Auftragsverarbeitungsvertrag geschlossen.

7.1 Stripe (Zahlungsabwicklung)

Anbieter: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Stripe verarbeitet im Rahmen der Zahlungsabwicklung Ihren Namen, Ihre Anschrift, E-Mail-Adresse, Zahlungsmittel- und Transaktionsdaten, IP-Adresse sowie Geräte- und Browserinformationen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (Betrugsprävention). Eine Übermittlung an die Stripe, Inc. (USA) findet statt; Stripe ist nach dem EU-U.S. Data Privacy Framework zertifiziert (Angemessenheitsbeschluss (EU) 2023/1795). Ergänzend sind Standardvertragsklauseln vereinbart. Datenschutzhinweise: stripe.com/de/privacy.

7.2 Google Tag Manager & Google Ads (Consent Mode v2)

Anbieter: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland. Der Google Tag Manager dient ausschließlich der Verwaltung anderer Tags und setzt selbst keine Tracking-Cookies. Beim Aufruf wird Ihre IP-Adresse an Google übertragen. Google Ads Conversion-Tracking (Conversion-ID AW-18341024977) ermöglicht uns die Erfolgsmessung unserer Werbeanzeigen sowie Remarketing. Es werden Cookies mit einer Laufzeit von bis zu 540 Tagen gesetzt. Wir setzen Google Consent Mode v2 ein und übermitteln die Signale ad_storage, ad_user_data und ad_personalization gemäß Ihrer Auswahl im Consent-Banner. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG. Datenübermittlung an Google LLC, USA, abgesichert über das EU-U.S. Data Privacy Framework. Datenschutzhinweise: policies.google.com/privacy.

7.3 Schilderprägebetrieb (Reservierung, Schilder, Zubehör)

Empfängerkategorie: ein auf amtliche Kfz-Kennzeichen spezialisierter Präge- und Versandbetrieb mit Sitz in Deutschland, der für uns als Auftragsverarbeiter tätig ist und zugleich die Reservierung von Wunschkennzeichen bei den Zulassungsstellen übernimmt. Zweck: Verfügbarkeitsprüfung und Reservierung Ihres Wunschkennzeichens bei der zuständigen Zulassungsstelle sowie Bestellung und Versand der geprägten Kennzeichenschilder und des mitbestellten Zubehörs. Verarbeitet werden u. a. Wunschkennzeichen, Zulassungsstelle, Bestelldaten, Liefer- und Rechnungsadresse. Bestellen Sie eine Feinstaubplakette, übermitteln wir zusätzlich das Foto oder den Scan Ihrer Zulassungsbescheinigung Teil I (Ziffer 6.4) — die Plakette darf nur gegen Vorlage dieses Dokuments ausgegeben werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. AVV nach Art. 28 DSGVO geschlossen. Den Namen des eingesetzten Betriebs teilen wir Ihnen auf Anfrage mit; im Rahmen einer Auskunft nach Art. 15 DSGVO nennen wir ihn stets.

7.4 Nect GmbH (Identifizierung des Halters und elektronische Signatur)

Anbieter: Nect GmbH, Großer Burstah 21, 20457 Hamburg. Nect ist ein qualifizierter Vertrauensdienst — ein Anbieter, der Ausweise prüfen und rechtsgültige digitale Unterschriften erstellen darf.

Warum das nötig ist. Das Kraftfahrt-Bundesamt verlangt, dass sich der Halter vor einem elektronischen Zulassungsantrag zweifelsfrei ausweist. Diese Identifizierung führen wir nicht selbst durch; sie läuft über Nect.

Wie es abläuft. Der Vorgang läuft über die Nect-App auf Ihrem Smartphone. Nect erstellt in derselben Sitzung auch die qualifizierte elektronische Signatur Ihres Antrags. Sie weisen sich also einmal aus und unterschreiben unmittelbar danach; ein zweiter Identifizierungsvorgang entfällt.

Was dabei verarbeitet wird. Verarbeitet werden mit Ihrer Zustimmung Ihre Ausweisdaten (Vor- und Nachname, Geburtsdatum, Anschrift, Ausweisnummer) sowie zum Abgleich Aufnahmen Ihres Ausweisdokuments und Ihres Gesichts. Die biometrische Prüfung findet ausschließlich bei Nect statt; wir erhalten das Ergebnis der Identifizierung, die beglaubigten Personendaten und das Signaturprotokoll.

Wann es entfällt. Bei Abmeldungen sowie bei der reinen Wunschkennzeichen-Reservierung und der Bestellung von Kennzeichenschildern ist keine Identifizierung erforderlich; in diesen Fällen werden keine Daten an Nect übermittelt.

Rechtsgrundlage. Art. 6 Abs. 1 lit. c DSGVO i. V. m. §§ 6, 38 FZV, für biometrische Daten zusätzlich Art. 9 Abs. 2 lit. g DSGVO. Eine Datenübermittlung in Drittländer findet nicht statt. Datenschutzhinweise: nect.com/privacy.

7.5 Qualifizierte elektronische Signatur Ihres Antrags

Warum unterschrieben werden muss. Ein Zulassungsantrag muss elektronisch qualifiziert signiert werden. Das ist die digitale Entsprechung Ihrer Unterschrift und ihr nach Art. 25 Abs. 2 eIDAS-Verordnung rechtlich gleichgestellt. Die Signatur erstellt der unter Ziffer 7.4 genannte Vertrauensdienst auf Grundlage der dort durchgeführten Identifizierung; wir übermitteln dafür die zu signierenden Antragsdaten.

Der Ablauf. Nach Ihrer Zahlung legen wir den Signaturvorgang an und senden Ihnen einen Signierlink. Sie sehen jedes Dokument vollständig, bevor Sie unterschreiben: die Vollmacht und, sofern erforderlich, das SEPA-Mandat für die Kfz-Steuer. Erst nach Ihrer Unterschrift geht der Antrag an die zuständige Zulassungsbehörde.

Was verarbeitet wird. Ihre Identifikationsdaten, das Signaturzertifikat und das Signaturprotokoll. Das Signaturprotokoll bewahren wir zehn Jahre auf — es ist Ihr Nachweis, dass der Antrag mit Ihrer Zustimmung gestellt wurde.

Wann es entfällt. Für Abmeldungen, Wunschkennzeichen-Reservierungen und die reine Bestellung von Kennzeichenschildern ist keine Signatur erforderlich.

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 38 Abs. 2 FZV. Eine Datenübermittlung in Drittländer findet nicht statt.

7.6 Kraftfahrt-Bundesamt & Zulassungsstellen

Zur Durchführung der hoheitlichen Zulassung übermitteln wir die nach §§ 6, 38 FZV erforderlichen Daten (insb. Halter- und Fahrzeugdaten, FIN, eVB-Nummer, ZB1/ZB2-Codes, SEPA-Mandat, Wunschkennzeichen) über die Großkundenschnittstelle (GKS) an das Kraftfahrt-Bundesamt (KBA), Fördestraße 16, 24944 Flensburg sowie an die jeweils zuständige örtliche Zulassungsbehörde. Empfänger sind weiterhin das Hauptzollamt (Kfz-Steuer) sowie der von Ihnen benannte Versicherer (eVB-Abgleich). Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. §§ 6, 33, 38 FZV, §§ 33 ff. StVG. Diese Daten werden im Rahmen der gesetzlichen Aufbewahrungsfristen vorgehalten.

7.7 E-Mail-Versand und E-Mail-Postfach

Versand. Für den Versand transaktionaler E-Mails (Bestellbestätigungen, Statusupdates, Rechnungen) nutzen wir den Dienst SMTP2GO der Sand Dune Mail Ltd., 96–106 Manchester Street, Christchurch 8011, Neuseeland. Verarbeitet werden Ihre E-Mail-Adresse sowie der Inhalt der Nachricht. Der Versand läuft über den EU-Zugang des Anbieters; personenbezogene Daten von Nutzern im Europäischen Wirtschaftsraum werden nach Angabe des Anbieters ausschließlich innerhalb des EWR gespeichert (Rechenzentrum Amsterdam). Soweit für Betrieb und Unterstützung ein Zugriff aus Neuseeland erfolgt, ist dies zulässig, weil die Europäische Kommission für Neuseeland ein angemessenes Datenschutzniveau festgestellt hat (Durchführungsbeschluss 2013/65/EU vom 19. Dezember 2012; in der Überprüfung der Kommission von 2024 bestätigt). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (zuverlässiger Mailtransport). AVV nach Art. 28 DSGVO geschlossen.

Postfach und Domain. Das Postfach, in dem Ihre Antworten und Anfragen eingehen, sowie die Verwaltung unserer Domainnamen liegen bei der Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern. Verarbeitet werden dabei Ihre E-Mail-Adresse und der Inhalt Ihrer Nachricht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO. AVV nach Art. 28 DSGVO geschlossen.

7.8 Zahlungseingänge (Qonto)

Geschäftskonto bei der Olinda S.A.S. (Qonto), 18 rue de Navarin, 75009 Paris, Frankreich. Qonto verarbeitet Zahlungsverkehrsdaten in eigener Verantwortlichkeit als Zahlungsdienstleister. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO i. V. m. § 147 AO. Datenschutzhinweise: qonto.com/de/legal-documents/privacy-notice.

7.9 Hosting der Webanwendung

Unsere Webanwendung wird auf Servern eines in Deutschland ansässigen Hostingdienstleisters betrieben. Verarbeitet werden Zugriffs- und Bestelldaten zur Bereitstellung der Plattform. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. AVV nach Art. 28 DSGVO geschlossen, technische und organisatorische Maßnahmen (TOM) sind dokumentiert.

7.10 Google (automatische Dokumenterkennung, nur auf Ihre Auswahl)

Anbieter: Google. Vertragspartner für die kostenpflichtige Nutzung ist die für unseren Sitz zuständige Google-Gesellschaft mit Sitz in Irland; die Verarbeitung erfolgt auch durch die Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Zweck: Auslesen einzelner Feldwerte aus einem von Ihnen hochgeladenen Dokumentfoto (Ziffer 6.5). Verarbeitet wird das Bild mit allen darauf sichtbaren Angaben sowie die daraus erzeugte Antwort. Diese Verarbeitung findet nur statt, wenn Sie die Funktion aktiv nutzen; wer die Felder von Hand ausfüllt, übermittelt nichts an Google. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Google wird insoweit als Auftragsverarbeiter tätig; ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist geschlossen. Die Übermittlung in die USA ist über das EU-U.S. Data Privacy Framework abgesichert (Ziffer 8). Speicherdauer bei Google: 55 Tage zur Missbrauchskontrolle; eine Nutzung zum Training der Modelle findet auf dem von uns genutzten kostenpflichtigen Zugang nicht statt. Datenschutzhinweise: policies.google.com/privacy; Bedingungen der Programmierschnittstelle: ai.google.dev/gemini-api/terms.

8. Drittlandübermittlungen

Soweit wir personenbezogene Daten an Empfänger in den USA übermitteln (insb. Stripe, Google, Microsoft), erfolgt dies auf Grundlage des Angemessenheitsbeschlusses (EU) 2023/1795 der Europäischen Kommission zum EU-U.S. Data Privacy Framework. Die genannten Unternehmen sind unter diesem Rahmen zertifiziert. Ergänzend sind Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO vereinbart. Eine Übersicht über den Zertifizierungsstatus finden Sie unter dataprivacyframework.gov/list.

Für den Versand transaktionaler E-Mails setzen wir einen Anbieter mit Sitz in Neuseeland ein (Ziffer 7.7). Auch für Neuseeland hat die Europäische Kommission ein angemessenes Datenschutzniveau festgestellt (Durchführungsbeschluss 2013/65/EU vom 19. Dezember 2012), sodass es für diese Übermittlung keiner zusätzlichen Garantien bedarf; die Daten von Nutzern aus dem EWR werden nach Angabe des Anbieters innerhalb des EWR gespeichert.

9. Speicher- und Löschfristen

10. Ihre Rechte als betroffene Person

Ihnen stehen die folgenden Rechte zu:

• Auskunft (Art. 15 DSGVO): über die zu Ihrer Person gespeicherten Daten
• Berichtigung (Art. 16 DSGVO): unrichtiger oder unvollständiger Daten
• Löschung (Art. 17 DSGVO): soweit keine Aufbewahrungspflichten entgegenstehen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO): in einem strukturierten, gängigen Format
• Widerspruch (Art. 21 DSGVO): gegen Verarbeitungen auf Grundlage berechtigter Interessen, insbesondere Direktwerbung
• Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): mit Wirkung für die Zukunft
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

11. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderweitiger Rechtsbehelfe steht Ihnen das Recht zu, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist:

12. Automatisierte Entscheidungsfindung

Eine ausschließlich auf einer automatisierten Verarbeitung — einschließlich Profiling — beruhende Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt. Eine vollumfängliche manuelle Prüfung Ihres Antrags durch unsere Mitarbeitenden und die zuständige Zulassungsbehörde ist sichergestellt.

13. Werbewiderspruch

Der Nutzung der im Rahmen der Impressumspflicht veröffentlichten Kontaktdaten zur Übersendung von nicht ausdrücklich angeforderter Werbung und Informationsmaterialien wird hiermit widersprochen. Wir behalten uns ausdrücklich rechtliche Schritte im Falle der unverlangten Zusendung von Werbeinformationen vor.

14. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder Änderungen unserer Leistungen abbildet. Für Ihren erneuten Besuch gilt die jeweils aktuelle, an dieser Stelle abrufbare Fassung.