Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist derzeit nicht bestellt, da die gesetzlichen Voraussetzungen nach Art. 37 DSGVO und § 38 BDSG nach unserer Prüfung nicht vorliegen. Anfragen zum Datenschutz richten Sie bitte an die unter Ziffer 1 genannte E-Mail-Adresse mit dem Betreff „Datenschutz“.

3. Allgemeine Hinweise

3.1 Grundsätze

Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung unserer Leistungen erforderlich ist oder eine andere Rechtsgrundlage greift. Die Verarbeitung erfolgt auf Grundlage der DSGVO, des Bundesdatenschutzgesetzes (BDSG), des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) sowie des Digitale-Dienste-Gesetzes (DDG).

3.2 Rechtsgrundlagen im Überblick

• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung (z. B. Marketing-Cookies, Newsletter)
• Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung und vorvertragliche Maßnahmen
• Art. 6 Abs. 1 lit. c DSGVO: rechtliche Verpflichtung (z. B. Buchhaltung, Zulassung nach FZV)
• Art. 6 Abs. 1 lit. f DSGVO: berechtigtes Interesse (z. B. IT-Sicherheit, Betrugsprävention)
• Art. 9 Abs. 2 lit. g DSGVO: soweit besondere Kategorien (z. B. biometrische Identifizierungsdaten) im Rahmen hoheitlicher Aufgaben verarbeitet werden
• § 25 Abs. 1 TDDDG: Zugriff auf Informationen in Ihrer Endeinrichtung (Cookies, lokaler Speicher)

3.3 SSL-/TLS-Verschlüsselung

Diese Website nutzt aus Sicherheitsgründen eine TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie am „https://“ in der Adresszeile sowie am Schloss-Symbol Ihres Browsers.

4. Bereitstellung der Website und Server-Logfiles

Beim Aufruf unserer Website werden durch den Browser Ihres Endgeräts automatisch Informationen an den Server unseres Hostingdienstleisters gesendet und in sogenannten Logfiles vorübergehend gespeichert:

• IP-Adresse des anfragenden Endgeräts
• Datum und Uhrzeit des Zugriffs
• Name und URL der aufgerufenen Datei
• Website, von der aus der Zugriff erfolgt (Referrer)
• Verwendeter Browser sowie ggf. das Betriebssystem Ihres Endgeräts
• Name Ihres Access-Providers

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Gewährleistung eines reibungslosen Verbindungsaufbaus, einer komfortablen Nutzung sowie der Auswertung der Systemsicherheit und -stabilität. Die Daten werden nach 7 Tagen automatisch gelöscht, sofern keine Anhaltspunkte für einen Sicherheitsvorfall vorliegen.

Getrenntes Reichweiten-Protokoll: Zusätzlich führen wir ein zweites, von vornherein anonymes Zugriffsprotokoll, das ausschließlich Zeitpunkt, aufgerufenen Seitenpfad und Antwortstatus enthält, ohne IP-Adresse, ohne Browserkennung und ohne Referrer. Es dient allein der Frage, wie häufig einzelne Seiten aufgerufen werden. Ein Personenbezug ist nicht herstellbar; die Daten werden nach 7 Tagen gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der bedarfsgerechten Gestaltung unseres Angebots).

4a. Auswertung unserer Geschäftsvorgänge und Nutzungsanalyse

Wir werten aus, wie unsere Leistungen angenommen werden. Dabei unterscheiden wir zwei getrennte Verfahren:

a) Auswertung eigener Geschäftsdaten (ohne Einwilligung). Aus den Daten, die bei einer Bestellung ohnehin anfallen, bilden wir zusammengefasste Kennzahlen je Kalendertag: Anzahl der Bestellungen, Umsatz, Zahlungsart, Bearbeitungsdauer, die Leistungsart und die Herkunftskategorie des Besuchs (Ziffer 4c). Diese Auswertung erfolgt ausschließlich in aggregierter Form; die Kennzahlen lassen keinen Rückschluss auf einzelne Personen zu. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der wirtschaftlichen Steuerung und Verbesserung unseres Angebots. Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen (Kontakt siehe Ziffer 1).

b) Analyse des Nutzungsverhaltens (nur mit Ihrer Einwilligung). Haben Sie im Einwilligungsbanner der Kategorie Statistik zugestimmt, erfassen wir zusätzlich, an welcher Stelle unseres Bestellformulars Nutzerinnen und Nutzer abbrechen. Erhoben werden dabei ausschließlich die Bezeichnung des Formularschritts, die Verweildauer und die Art aufgetretener Eingabefehler, niemals die von Ihnen eingegebenen Inhalte und keine IP-Adresse. Zur Zuordnung der Schritte innerhalb eines Besuchs verwenden wir eine zufällige Kennung, die ausschließlich im Zwischenspeicher Ihres Browsers (sessionStorage) abgelegt wird und beim Schließen des Browser-Tabs verfällt. Eine Wiedererkennung über mehrere Besuche hinweg findet nicht statt.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG. Sie können sie jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen widerrufen; die Erfassung endet dann sofort. Die Einzeldaten werden nach 7 Tagen gelöscht, die daraus gebildeten anonymen Auswertungen nach 90 Tagen. Bei dieser Schrittmessung findet keine Übermittlung an Dritte statt. Sie läuft ausschließlich auf unseren eigenen Servern in Deutschland. Für Microsoft Clarity, das ebenfalls an der Kategorie Statistik hängt, gilt das nicht: Dort werden Daten an Microsoft übermittelt. Die Einzelheiten dazu stehen in Ziffer 4b.

4b. Microsoft Clarity (nur mit Ihrer Einwilligung)

Haben Sie im Einwilligungsbanner der Kategorie Statistik zugestimmt, setzen wir zusätzlich Microsoft Clarity ein. Anbieter für Nutzerinnen und Nutzer aus der EU ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland.

Zweck und Umfang. Clarity zeichnet den Ablauf Ihres Besuchs auf (Mausbewegungen, Klicks, Scrollen und den Seitenaufbau) und fasst diese Bewegungen zu Aufzeichnungen und sogenannten Heatmaps zusammen. Wir nutzen das ausschließlich, um zu erkennen, an welcher Stelle unsere Seiten und unser Bestellvorgang schwer verständlich sind. Ihre Eingaben in Formularfelder werden dabei ausgeblendet und nicht übertragen; das betrifft insbesondere Namen, Anschrift, Geburtsdatum, Fahrzeug-Identifizierungsnummer, eVB-Nummer, Sicherheitscodes und Zahlungsdaten. Auch die Zahlungsfelder unseres Zahlungsdienstleisters liegen in einem eigenen Rahmen und sind für Clarity technisch nicht einsehbar.

Eigene Verantwortlichkeit von Microsoft. Microsoft handelt hierbei nach eigener Angabe als eigenständig Verantwortlicher und nicht als unser Auftragsverarbeiter. Microsoft verarbeitet die Daten daher auch zu eigenen Zwecken. Für diese Verarbeitung ist Microsoft selbst verantwortlich; maßgeblich ist die Microsoft-Datenschutzerklärung.

Cookies. Clarity setzt auf unserer Website die Cookies _clck (Wiedererkennung über Besuche hinweg, Laufzeit 1 Jahr) und _clsk (Zusammenführung mehrerer Seitenaufrufe zu einer Sitzung, Laufzeit 1 Tag). Zusätzlich können auf Microsoft-Domains die Cookies CLID, MUID, ANONCHK, MR und SM gesetzt werden. Das Cookie MUID wird von Microsoft auch für Werbezwecke verwendet. Wir übermitteln Microsoft daher getrennte Einwilligungssignale: Die Speicherung zu Werbezwecken wird nur freigegeben, wenn Sie zusätzlich der Kategorie Marketing zugestimmt haben. Stimmen Sie nur der Kategorie Statistik zu, teilen wir Microsoft für den Werbebereich ausdrücklich eine Ablehnung mit.

Rechtsgrundlage und Widerruf. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG. Ohne Ihre Einwilligung wird das Clarity-Skript nicht geladen; es findet dann weder eine Datenübertragung noch ein Cookie-Zugriff statt. Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen im Seitenfuß mit Wirkung für die Zukunft widerrufen. Beim Widerruf weisen wir Microsoft an, die gesetzten Cookies zu löschen und die laufende Sitzung zu beenden; die Cookies auf unserer Domain entfernen wir selbst.

Speicherdauer und Drittlandbezug. Microsoft speichert die Aufzeichnungen nach eigener Angabe 30 Tage; als Favoriten markierte sowie eine zufällige Stichprobe von Aufzeichnungen werden bis zu 9 Monate aufbewahrt. Vertragspartner ist die Microsoft Ireland Operations Limited in Irland; zwischen dieser und der Microsoft Corporation in den USA bestehen Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Näheres unter Ziffer 8.

4c. Herkunft Ihres Besuchs (ohne Cookies)

Was wir festhalten. Wir möchten wissen, über welchen Weg Besucherinnen und Besucher zu uns kommen — über eine Suchmaschine, eine Anzeige, einen Verweis von einer anderen Website oder durch direkte Eingabe der Adresse. Dafür lesen wir beim Aufbau jeder Seite ausschließlich aus, was Ihr Browser ohnehin an unseren Server sendet: die Domain der Website, von der Sie kommen (bei Verweisen von anderen Websites zusätzlich ein Kürzel des dortigen Seitenpfads, nie die dort angehängten Parameter), die erste bei uns aufgerufene Seite, in der Adresse enthaltene Kampagnenkennzeichen (utm_source, utm_medium, utm_campaign), bei einem Anzeigenklick die Art der Klick-Kennung — nicht die Kennung selbst — und die Geräteklasse (Handy, Tablet, Desktop) aus der Fensterbreite. Daraus bilden wir eine von 17 Herkunftskategorien, etwa „Google Ads“, „ChatGPT-Anzeige“, „Google (unbezahlt)“, „Verweis von anderer Seite“ oder „Direkt“.

Kein Cookie, nichts im Endgerät. Diese Angaben halten wir nur im Arbeitsspeicher der geöffneten Seite; beim Schließen des Tabs sind sie weg. Erst wenn Sie eine Bestellung aufgeben, werden Herkunftskategorie, Kampagnenkennzeichen, Verweis, Einstiegsseite und Geräteklasse mit der Bestellung gespeichert und fließen in die zusammengefassten Kennzahlen nach Ziffer 4a Buchstabe a ein. Folgen Sie einem Link in unser Partner-Portal, geben wir diese Herkunftskategorie an das Portal weiter; registrieren Sie dort ein Konto, speichern wir sie an Ihrem Partnerkonto. Es entsteht keine Kennung, mit der wir Sie bei einem späteren Besuch wiedererkennen könnten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, unsere Werbeausgaben zu steuern und zu wissen, welche Wege zu uns führen. Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen (Kontakt siehe Ziffer 1).

Mit Ihrer Einwilligung „Statistik“: Merken für die Dauer des Besuchs. Haben Sie im Einwilligungsbanner der Kategorie Statistik zugestimmt, legen wir die Herkunftsangaben zusätzlich im Sitzungsspeicher Ihres Browsers (sessionStorage) ab, damit sie ein Neuladen der Seite überstehen; die Schrittmessung nach Ziffer 4a Buchstabe b trägt dann an ihrem Startereignis die Herkunftskategorie und die Geräteklasse, und wir ordnen der Messsitzung die Einstiegsseite und die Kampagnenkennzeichen zu. Der Eintrag verfällt beim Schließen des Tabs; ein Widerruf entfernt ihn sofort. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG.

Mit Ihrer Einwilligung „Marketing“: die Klick-Kennung. Kommen Sie über eine Anzeige, hängt an der Adresse eine Klick-Kennung des Anzeigenanbieters (bei Google Ads gclid, bei Anzeigen in ChatGPT oppref). Nur wenn Sie der Kategorie Marketing zugestimmt haben, speichern wir diese Kennung — zusammen mit dem Zeitpunkt Ihrer Einwilligung — an der Bestellung. Wir verwenden sie ausschließlich dafür, Google Ads nach einer Bestellung zu melden, dass der Anzeigenklick zu einem Kauf geführt hat: mit Zeitpunkt und Bestellwert, ohne Ihren Namen (Ziffer 7.2). Kennungen anderer Anzeigenanbieter speichern wir mit derselben Einwilligung, melden sie derzeit aber an niemanden. Ohne die Einwilligung wird keine Kennung gespeichert und keine übermittelt; ein Widerruf entfernt sie aus Ihrem Browser sofort. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG.

4d. OpenAI Ads Pixel (nur mit Ihrer Einwilligung)

Haben Sie im Einwilligungsbanner der Kategorie Marketing zugestimmt, setzen wir den OpenAI Ads Pixel ein. Anbieter ist OpenAI, USA (Datenschutzhinweise: openai.com/policies/privacy-policy).

Zweck und Umfang. Wir schalten Anzeigen in ChatGPT und möchten wissen, ob ein Klick auf eine solche Anzeige zu einer Bestellung geführt hat. Dazu meldet der Pixel an OpenAI, dass eine Seite aufgerufen wurde, dass die Kasse erreicht wurde und dass eine Bestellung bezahlt wurde; beim Kauf mit Bestellnummer und Betrag. Übertragen werden außerdem die Adresse der aufgerufenen und der zuvor besuchten Seite, jeweils ohne angehängte Parameter, eine zufällige Kennung Ihres Browsers, Ihre IP-Adresse und technische Angaben Ihres Browsers. Sind Sie über eine Anzeige in ChatGPT gekommen, hängt an der Adresse eine Klick-Kennung (oppref), die der Pixel den Meldungen beifügt. Wir übergeben dem Pixel weder Ihren Namen noch Ihre E-Mail-Adresse, Telefonnummer, Anschrift oder Ihr Kennzeichen. Die Funktion, mit der der Pixel solche Angaben selbst aus Formularfeldern auslesen könnte („automatischer Abgleich“), nutzen wir nicht: Unsere Website lädt den Pixel nur, wenn diese Funktion in unserem Konto abgeschaltet ist.

Cookies und Browser-Speicher. Der Pixel setzt auf unserer Website die Cookies __oppref (Klick-Kennung aus der Anzeige, Laufzeit 30 Tage) und __obref (zufällige Kennung Ihres Browsers für unsere Website, Laufzeit 1 Jahr) sowie __oaiq_consent (Ihre Einwilligungsentscheidung für den Pixel, Laufzeit 30 Tage) und legt dieselbe Entscheidung unter oaiq_consent im Browser-Speicher (localStorage) ab.

Rechtsgrundlage und Widerruf. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG. Ohne Ihre Einwilligung wird der Pixel nicht geladen; es findet dann weder eine Übertragung an OpenAI noch ein Cookie-Zugriff statt. Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen im Seitenfuß mit Wirkung für die Zukunft widerrufen. Danach sendet der Pixel keine Meldungen mehr, und wir entfernen die Cookies __oppref und __obref; die Ablehnung selbst bleibt gespeichert, damit der Pixel sich daran hält.

Verantwortlichkeit und Drittlandbezug. Nach den Bedingungen von OpenAI für seine Werbewerkzeuge verarbeitet OpenAI die über den Pixel erhobenen Daten als eigenständig Verantwortlicher, nicht als unser Auftragsverarbeiter; für die Verarbeitung bei OpenAI gelten deshalb dessen Datenschutzhinweise. Die Daten werden in die USA übermittelt. OpenAI ist nicht unter dem EU-U.S. Data Privacy Framework zertifiziert; die Übermittlung stützt sich auf die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO), die OpenAI in diesen Bedingungen vorsieht.

5. Cookies und Einwilligungs-Management

Wir setzen Cookies und vergleichbare Technologien (z. B. localStorage) ein. Soweit diese nicht zwingend für den Betrieb der Website erforderlich sind, holen wir vor dem Setzen Ihre Einwilligung über ein Consent-Banner ein (§ 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO). Technisch notwendige Cookies werden auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung gesetzt.

• Notwendige Cookies: Session, CSRF-Token, Consent-Status. Speicherdauer max. Session/12 Monate.
• Statistik: nur nach Einwilligung. Umfasst unsere eigene Schrittmessung (Ziffer 4a Buchstabe b, ohne Cookies), das Merken der Besuchsherkunft im Sitzungsspeicher (Ziffer 4c, ohne Cookies, verfällt mit dem Tab) sowie Microsoft Clarity mit den Cookies _clck (1 Jahr) und _clsk (1 Tag); Einzelheiten in Ziffer 4b.
• Marketing: Google Ads Conversion-Tracking (siehe Ziffer 7.2), der OpenAI Ads Pixel mit den Cookies __oppref (30 Tage), __obref (1 Jahr) und __oaiq_consent (30 Tage; Ziffer 4d) und die Speicherung der Klick-Kennung eines Anzeigenklicks (Ziffer 4c). Nur nach Einwilligung.

Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie die Cookie-Einstellungen über den entsprechenden Link im Footer erneut aufrufen.

6. Verarbeitungen im Rahmen unserer Leistungen

6.1 Bestellung und Vertragsabwicklung

Zur Durchführung unserer Leistungen (Wunschkennzeichen-Reservierung, Anmeldung, Ummeldung, Halterwechsel, Abmeldung, Wiederzulassung, Lieferung von Kennzeichenschildern und der Feinstaubplakette) verarbeiten wir insbesondere folgende Daten: Vor- und Nachname, Anschrift, E-Mail-Adresse, Telefonnummer, Geburtsdatum, Halterart, Fahrzeugidentifikationsnummer (FIN), Daten der Zulassungsbescheinigung Teil I und II inkl. Sicherheitscodes (ZB1-PIN, ZB2-Sicherheitscode), HSN/TSN, elektronische Versicherungsbestätigung (eVB-Nummer), Wunschkennzeichen sowie SEPA-Lastschriftmandat zur Erhebung der Kfz-Steuer durch das Hauptzollamt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO i. V. m. §§ 3, 6 FZV, §§ 33 ff. StVG und § 147 AO.

Entwurf vor der Zahlung. Angaben, die Sie im Bestellvorgang eingeben, speichern wir ab dem Kontakt-Schritt als Entwurf für 30 Tage, damit wir Ihnen bei Rückfragen helfen und den Vorgang abschließen können — etwa wenn Sie den Bestellvorgang vor der Zahlung abbrechen und uns anrufen. Der Entwurf umfasst Ihre Kontaktdaten und die bis dahin eingegebenen Fahrzeug- und Auftragsangaben; Zahlungsdaten gehören nicht dazu. Er wird verschlüsselt gespeichert und nach 30 Tagen ohne Bestellung automatisch gelöscht; kommt eine Bestellung zustande, wird er ihr zugeordnet und nach 90 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage). Auf Wunsch löschen wir den Entwurf jederzeit sofort (Kontakt siehe Ziffer 1). Haben Sie den letzten Schritt erreicht und nicht bestellt, erinnern wir Sie außerdem an die offene Bestellung (Ziffer 6.8).

6.2 Kontaktaufnahme

Bei Kontaktaufnahme per E-Mail oder Telefon verarbeiten wir Ihre Angaben zur Bearbeitung des Anliegens. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Kommunikation) bzw. Art. 6 Abs. 1 lit. f DSGVO. Anfragen löschen wir nach Abschluss spätestens nach drei Jahren, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

6.3 Bewerbungen und sonstige Anfragen

Bewerbungsdaten werden ausschließlich zum Zweck der Bewerber-Auswahl verarbeitet, spätestens 6 Monate nach Verfahrensabschluss gelöscht, sofern keine ausdrückliche Einwilligung zu einer längeren Speicherung erteilt wurde. Rechtsgrundlage: § 26 Abs. 1 BDSG, Art. 6 Abs. 1 lit. b DSGVO.

6.4 Foto oder Scan Ihrer Zulassungsbescheinigung Teil I (nur bei Feinstaubplakette)

Wenn Sie eine Feinstaubplakette bestellen, einzeln oder zusammen mit einer anderen Leistung, laden Sie im Bestellvorgang ein Foto oder einen Scan der Vorderseite Ihrer Zulassungsbescheinigung Teil I (Fahrzeugschein) hoch. Das ist erforderlich, weil die Plakette nur gegen Vorlage dieses Dokuments ausgegeben werden darf: Die ausgebende Stelle prüft daran die Emissionsschlüsselnummer Ihres Fahrzeugs und trägt das Kennzeichen auf die Plakette ein. Wir erheben die Datei bewusst vor der Zahlung: Andernfalls hätten Sie eine Plakette bezahlt, die niemand beschaffen kann. Wir verwenden die Datei ausschließlich für die Beschaffung der Plakette.

Die Datei liegt auf unserem Server in Deutschland und ist über keinen Abruf-Zugang erreichbar; sie verlässt unser System ausschließlich in Richtung des unter Ziffer 7.3 beschriebenen Lieferanten, der die Plakette ausgibt. Übermittelt wird das Bild als solches, also alle darauf sichtbaren Angaben Ihrer Zulassungsbescheinigung Teil I.

Löschung: Sobald die Plakette beim Lieferanten beauftragt ist, löschen wir die Datei. Ordnen Sie die Datei keiner Bestellung zu, löschen wir sie nach 24 Stunden. Kommt die Bestellung nicht zustande oder wird sie storniert, löschen wir die Datei ebenfalls, frühestens 24 Stunden nach dem Hochladen. 30 Tage nach der Bestellung löschen wir sie in jedem Fall. Diese Fälle erledigt ein stündlicher Lauf. Beauftragt wird die Plakette erst, wenn Ihre Zahlung angenommen ist; bei Zahlungsarten mit späterem Zahlungseingang kann das einige Tage dauern. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des mit Ihnen geschlossenen Vertrags).

Plakette nach der Zulassung: Bekommt Ihr Fahrzeug bei der Zulassung ein neues Kennzeichen, steht dieses noch in keinem Fahrzeugschein. Dann bestellen wir die Plakette erst, wenn die Zulassungsstelle über Ihren Antrag positiv entschieden hat. Dazu übermitteln wir dem unter Ziffer 7.3 beschriebenen Lieferanten den Zulassungsbescheid oder den vorläufigen Zulassungsnachweis der Zulassungsstelle, aus denen FIN, neues Kennzeichen und, je nach Zulassungsstelle, Emissionsklasse und Erstzulassung hervorgehen. Genügen diese Angaben nicht, übermitteln wir zusätzlich das Foto der Vorderseite Ihres bisherigen Fahrzeugscheins, das Sie vor der Zahlung hochgeladen haben. Dieses Foto bewahren wir bis zur Beauftragung der Plakette auf, höchstens 60 Tage ab Ihrer Zahlung; danach löschen wir es in jedem Fall. Kommt bis dahin kein Auftrag zustande, entfällt die Plakette und Sie erhalten den Betrag zurück. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des mit Ihnen geschlossenen Vertrags).

Foto des neuen Fahrzeugscheins: Haben Sie zu Ihrer Zulassung eine Feinstaubplakette bestellt und enthält der Zulassungsbescheid nicht alle dafür nötigen Angaben, bitten wir Sie per E-Mail um ein Foto der Vorderseite Ihres neuen Fahrzeugscheins. Wir lesen darauf Kennzeichen und Fahrzeug-Identifizierungsnummer, um die Plakette zu bestellen, und geben das Foto dazu an den unter Ziffer 7.3 beschriebenen Lieferanten weiter. Gelesen wird mit unserer automatischen Dokumenterkennung (Ziffer 7.10); anders als dort geschieht das bei jedem Foto, das Sie über diesen Link hochladen. Für die Löschung gilt der Absatz „Löschung“ oben. Rechtsgrundlage ist die Erfüllung Ihres Auftrags (Art. 6 Abs. 1 lit. b DSGVO).

Auswertung je Zulassungsstelle: Lesen wir für Ihre Plakette einen Zulassungsbescheid, zählen wir für die Zulassungsstelle, die ihn ausgestellt hat, ob er die nötigen Angaben enthält. Gespeichert werden nur Zahlen je Zulassungsstelle, nicht Ihr Name, Ihr Kennzeichen, Ihre Bestellung oder die Kennung des Bescheids. Damit derselbe Bescheid nicht doppelt gezählt wird, legen wir ein Prüfzeichen ab, das mit einem geheimen Schlüssel aus der Kennung des Bescheids berechnet wird und ohne diesen Schlüssel keinem Bescheid zugeordnet werden kann; es wird nach 90 Tagen gelöscht. Zweck ist, zu erkennen, bei welchen Zulassungsstellen wir die Plakette ohne weitere Unterlagen bestellen können. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, die Plakette verlässlich und ohne unnötige Unterlagen zu beschaffen.

6.5 Foto statt Abtippen (automatische Dokumenterkennung)

Felder wie die Fahrzeug-Identifizierungsnummer, die eVB-Nummer und die Sicherheitscodes Ihrer Zulassungsbescheinigung können Sie im Bestellvorgang wahlweise per Foto ausfüllen lassen, statt sie abzutippen. Nutzen Sie diese Funktion, übertragen wir das von Ihnen aufgenommene oder ausgewählte Bild — je nach Feld eine Zulassungsbescheinigung Teil I oder Teil II, eine eVB-Bestätigung oder einen Nachweis der Fahrzeug-Identifizierungsnummer — an Google (Ziffer 7.10), wo ausschließlich die genannten Feldwerte ausgelesen werden. Die Nutzung ist freiwillig: Sie können jedes Feld jederzeit von Hand ausfüllen, und das Ergebnis der Erkennung ist ein Vorschlag, den Sie vor dem Absenden prüfen und ändern können. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — die ausgelesenen Angaben sind dieselben, die wir zur Durchführung Ihres Auftrags ohnehin benötigen (Ziffer 6.1).

Übermittelt wird das Bild als solches, also alle darauf sichtbaren Angaben. Bei Bilddateien kodieren wir das Foto vorher neu und verkleinern es; enthaltene Zusatzinformationen wie Aufnahmeort und -zeit (EXIF) gehen dabei verloren und werden nicht übermittelt. Eine als PDF hochgeladene eVB-Bestätigung reichen wir unverändert weiter, weil sie sonst unlesbar würde.

Speicherung: Wir speichern das Bild nicht. Es wird ausschließlich im Arbeitsspeicher verarbeitet und mit dem Ende der Anfrage verworfen; es gibt keine Ablage auf unseren Servern, keinen Abruf-Zugang und keine Protokollierung des Bildes oder der erkannten Werte — protokolliert werden nur Dateigröße, Dateityp und Dauer. Google speichert die übermittelten Inhalte nach eigenen Angaben 55 Tage, ausschließlich zur Erkennung und Verhinderung von Verstößen gegen die Nutzungsrichtlinien sowie für gesetzlich vorgeschriebene Auskünfte. Weil wir den kostenpflichtigen Zugang nutzen, werden Ihre Inhalte nicht zum Trainieren oder Verbessern der Modelle von Google verwendet.

Ein Hinweis zu Angaben Dritter: Bei einer Ummeldung oder einem Halterwechsel kann auf dem fotografierten Dokument auch der Name oder die Anschrift einer anderen Person sichtbar sein, etwa der Voreigentümerin oder des Voreigentümers. Ausgelesen werden diese Angaben nicht, und gespeichert werden sie von uns ebenfalls nicht. Möchten Sie das vermeiden, decken Sie den betreffenden Bereich vor der Aufnahme ab oder füllen Sie das Feld von Hand aus. Eine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO ist mit der Erkennung nicht verbunden (Ziffer 12).

6.6 Rabattcodes im Bestellfenster eines Partnerbetriebs

Betriebe, die unser Bestellfenster auf ihrer eigenen Website einbinden, können dort Rabattcodes ausgeben und festlegen, wie oft ein Code insgesamt und je Kundin oder Kunde eingelöst werden darf. Verantwortlich für die Verarbeitung in diesem Bestellfenster sind wir (Ziffer 1): Ihr Vertragspartner ist auch dort die KGM Digital UG (haftungsbeschränkt) & Co. KG, und die Zahlung läuft über unseren Zahlungsdienstleister (Ziffer 7.1).

Lösen Sie einen Code ein, prüfen wir die Grenze „je Kunde“ nicht anhand Ihrer E-Mail-Adresse im Klartext, sondern über einen Prüfwert: einen mit einem geheimen Schlüssel gebildeten Hash (HMAC-SHA-256) der vereinheitlichten Adresse (Kleinschreibung, ohne einen mit „+“ angehängten Zusatz vor dem @). Bei der Preisauskunft im Bestellfenster berechnen wir diesen Wert nur; gespeichert wird er erst mit der Bestellung, zusammen mit dem Code, dem Rabattbetrag und dem Preis vor und nach Rabatt. Aus dem Prüfwert lässt sich Ihre Adresse nicht zurückrechnen. Die Einlösung — Code, Rabattbetrag, Bestellung — sieht auch der Betrieb, der den Code ausgegeben hat, denn der Rabatt geht zu seinen Lasten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Preisbildung des mit Ihnen geschlossenen Vertrags) sowie Art. 6 Abs. 1 lit. f DSGVO (Schutz der vom Betrieb gesetzten Einlösegrenze vor Mehrfachnutzung). Der Einlösungsvermerk wird so lange aufbewahrt wie die Bestell- und Abrechnungsdaten (Ziffer 9).

6.7 Bewertung nach abgeschlossenem Auftrag

Die Bitte um eine Bewertung. Ist Ihr Auftrag abgeschlossen, senden wir Ihnen frühestens drei Tage nach Ihrer Bezahlung eine E-Mail mit der Bitte um eine Bewertung; ist der Auftrag dann noch nicht abgeschlossen, nach dem Abschluss, aber nie später als 21 Tage nach der Bezahlung. Haben Sie fünf Tage nach dieser E-Mail weder einen Stern gewählt noch den Link geöffnet, erinnern wir Sie ein einziges Mal; danach fragen wir zu diesem Auftrag nicht mehr. Das gilt nur für Aufträge, die Sie bei uns bezahlt haben und die weder storniert noch erstattet wurden; je E-Mail-Adresse fragen wir höchstens einmal in 90 Tagen. Die Mail enthält einen persönlichen Link auf eine Bewertungsseite bei uns; er gilt 30 Tage und lässt sich einmal verwenden; der Link der Erinnerung endet mit derselben Frist. Das Zugangsmerkmal des Links speichern wir nur als Hash. Die Bewertung ist freiwillig und hat keinen Einfluss auf Ihren Auftrag; möchten Sie nichts sagen, müssen Sie nichts tun.

Was wir verarbeiten. Für den Versand Ihre E-Mail-Adresse, Ihren Vor- und Nachnamen, Ihre Anrede (nur wenn Sie „Herr“ oder „Frau“ angegeben haben, für die Anrede im Betreff) und die Bestellnummer. Geben Sie eine Bewertung ab: die Sternzahl, einen freiwilligen Text, den Zeitpunkt und einen mit einem geheimen Schlüssel gebildeten Prüfwert (HMAC) Ihrer IP-Adresse, aus dem sich die Adresse nicht zurückrechnen lässt und der allein der Abwehr von Missbrauch des Bewertungslinks dient. Bei ein bis drei Sternen legen wir intern einen Vorgang an und melden uns innerhalb eines Werktags bei Ihnen.

Ob die E-Mail geöffnet wurde. Die Bitte und die Erinnerung enthalten je ein unsichtbares Bild, das Ihr E-Mail-Programm beim Anzeigen von unserem Server lädt. Wird es geladen, speichern wir zu dieser E-Mail den Zeitpunkt des ersten Abrufs und die Zahl der Abrufe, ohne IP-Adresse und ohne Angaben zu Ihrem Gerät; in den Server-Logfiles fällt der Abruf wie jeder andere an (Ziffer 4). So erfahren wir, ob unsere Bitte überhaupt gelesen wird. Das Ergebnis ist ungenau, weil manche Programme Bilder vorab oder gar nicht laden. Laden Sie Bilder in E-Mails nicht nach, findet keine Messung statt. Außerdem vermerken wir, wann die Bewertungsseite zum ersten Mal über den Link geöffnet wurde, damit Sie danach keine Erinnerung bekommen.

Google. Auf der Bewertungsseite finden Sie unabhängig von der vergebenen Sternzahl einen Verweis auf unser Google-Unternehmensprofil; bei vier oder fünf Sternen leiten wir Sie nach einer angekündigten kurzen Wartezeit dorthin weiter. Ob Sie dort eine Bewertung abgeben, entscheiden Sie. Wir übermitteln Google keine Daten aus Ihrer Bewertung bei uns und vermerken lediglich, ob der Verweis genutzt wurde. Für alles, was Sie bei Google eingeben, ist Google in eigener Verantwortung zuständig; Datenschutzhinweise: policies.google.com/privacy.

Rechtsgrundlage und Widerspruch. Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Qualitätssicherung unserer Leistungen und darin zu erfahren, ob etwas schiefgelaufen ist. Sie können der Verarbeitung nach Art. 21 DSGVO jederzeit widersprechen (Kontakt siehe Ziffer 1); dann erhalten Sie keine weitere Bitte um eine Bewertung, und eine abgegebene Bewertung löschen wir auf Ihren Wunsch (Ziffer 10).

6.8 Erinnerung an eine nicht abgeschlossene Bestellung

Die Erinnerung. Haben Sie im Bestellvorgang den letzten Schritt erreicht und nicht bezahlt, erinnern wir Sie per E-Mail an die offene Bestellung: frühestens vier Stunden danach mit einem Rabattcode über 5 Prozent und, wenn Sie bis dahin nicht bestellt haben, frühestens 48 Stunden danach ein zweites Mal mit einem Rabattcode über 10 Prozent. Danach schreiben wir nicht mehr. Je E-Mail-Adresse senden wir höchstens zwei solche E-Mails in 30 Tagen. Wer über das Bestellfenster eines Partnerbetriebs bestellt, bekommt diese E-Mails nicht.

Der Rabattcode. Der Code gilt sieben Tage, lässt sich einmal verwenden und nur mit der E-Mail-Adresse, an die wir ihn geschickt haben. Der Knopf in der E-Mail führt über einen persönlichen Link zurück zu Ihrer Bestellung und trägt den Code ein. Das Zugangsmerkmal dieses Links speichern wir nur als Hash, und der Code steht danach nicht mehr in der Adresszeile Ihres Browsers.

Was wir verarbeiten. Aus dem Entwurf Ihrer Bestellung (Ziffer 6.1) Ihre E-Mail-Adresse, Ihren Vornamen, die gewählte Leistung und den Betrag, der zuletzt dastand. Für Versand und Einlösung speichern wir Ihre Adresse nicht noch einmal im Klartext, sondern einen mit einem geheimen Schlüssel gebildeten Prüfwert (HMAC-SHA-256), aus dem sich die Adresse nicht zurückrechnen lässt. Dazu kommen der Code, der Zeitpunkt des Versands und ob Sie den Link geöffnet, den Code im Bestellvorgang verwendet und damit bestellt haben. Daraus zählen wir je Erinnerung, wie oft sie zu einer Bestellung geführt hat.

Abbestellen. Jede dieser E-Mails enthält den Link „Erinnerungen abbestellen“; viele E-Mail-Programme zeigen dafür zusätzlich einen eigenen Knopf. Ein Klick genügt, danach senden wir an diese Adresse keine Erinnerung mehr. E-Mails zu einer Bestellung, die Sie aufgeben, etwa die Bestellbestätigung, erhalten Sie weiterhin.

Speicherdauer. Versandvermerke und Codes, mit denen nicht bezahlt wurde, löschen wir nach 90 Tagen. Ein Code, mit dem Sie bezahlt haben, bleibt so lange wie die Bestelldaten, weil er den Preis Ihrer Bestellung erklärt (Ziffer 9). Haben Sie die Erinnerungen abbestellt, bewahren wir den Prüfwert Ihrer Adresse dauerhaft in einer Sperrliste auf; ohne sie würden wir Sie wieder anschreiben.

Rechtsgrundlage und Widerspruch. Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Direktwerbung für eine Leistung, die Sie selbst begonnen haben (Erwägungsgrund 47 DSGVO). Sie können dieser Verarbeitung nach Art. 21 Abs. 2 DSGVO jederzeit widersprechen, über den Link in der E-Mail oder formlos (Kontakt siehe Ziffer 1).

6.9 Bewertungen auf unserer Website

Auf unserer Startseite, auf unseren Leistungsseiten und an der Kasse zeigen wir Bewertungen aus unserem Google-Unternehmensprofil. Wir übernehmen sie wörtlich, mit Vorname und gekürztem Nachnamen der Verfasser. Ob die Verfasser bei uns bestellt haben, prüfen wir nicht.

7. Eingesetzte Dienste und Auftragsverarbeiter

Mit allen nachstehend genannten Dienstleistern haben wir, soweit sie als Auftragsverarbeiter im Sinne des Art. 28 DSGVO tätig sind, einen entsprechenden Auftragsverarbeitungsvertrag geschlossen.

7.1 Stripe (Zahlungsabwicklung)

Anbieter: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Stripe verarbeitet im Rahmen der Zahlungsabwicklung Ihren Namen, Ihre Anschrift, E-Mail-Adresse, Zahlungsmittel- und Transaktionsdaten, IP-Adresse sowie Geräte- und Browserinformationen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (Betrugsprävention). Eine Übermittlung an die Stripe, Inc. (USA) findet statt; Stripe ist nach dem EU-U.S. Data Privacy Framework zertifiziert (Angemessenheitsbeschluss (EU) 2023/1795). Ergänzend sind Standardvertragsklauseln vereinbart. Datenschutzhinweise: stripe.com/de/privacy.

7.2 Google Tag Manager & Google Ads (Consent Mode v2)

Anbieter: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland. Der Google Tag Manager dient ausschließlich der Verwaltung anderer Tags und setzt selbst keine Tracking-Cookies. Beim Aufruf wird Ihre IP-Adresse an Google übertragen. Google Ads Conversion-Tracking (Conversion-ID AW-18341024977) ermöglicht uns die Erfolgsmessung unserer Werbeanzeigen sowie Remarketing. Es werden Cookies mit einer Laufzeit von bis zu 540 Tagen gesetzt. Wir setzen Google Consent Mode v2 ein und übermitteln die Signale ad_storage, ad_user_data und ad_personalization gemäß Ihrer Auswahl im Consent-Banner. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG. Datenübermittlung an Google LLC, USA, abgesichert über das EU-U.S. Data Privacy Framework. Datenschutzhinweise: policies.google.com/privacy.

7.3 Schilderprägebetrieb (Reservierung, Schilder, Zubehör, Feinstaubplakette)

Empfängerkategorie: ein auf amtliche Kfz-Kennzeichen spezialisierter Präge- und Versandbetrieb mit Sitz in Deutschland, der für uns als Auftragsverarbeiter tätig ist und zugleich die Reservierung von Wunschkennzeichen bei den Zulassungsstellen übernimmt. Zweck: Verfügbarkeitsprüfung und Reservierung Ihres Wunschkennzeichens bei der zuständigen Zulassungsstelle sowie Bestellung und Versand der geprägten Kennzeichenschilder, des mitbestellten Zubehörs und der Feinstaubplakette, auch wenn Sie diese einzeln bestellen. Verarbeitet werden u. a. Wunschkennzeichen, Zulassungsstelle, Bestelldaten, Liefer- und Rechnungsadresse. Bestellen Sie eine Feinstaubplakette, übermitteln wir zusätzlich das Foto oder den Scan Ihrer Zulassungsbescheinigung Teil I (Ziffer 6.4) — die Plakette darf nur gegen Vorlage dieses Dokuments ausgegeben werden. Kommt die Plakette nach der Zulassung, übermitteln wir stattdessen oder zusätzlich den Zulassungsbescheid oder den vorläufigen Zulassungsnachweis der Zulassungsstelle (Ziffer 6.4). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. AVV nach Art. 28 DSGVO geschlossen. Den Namen des eingesetzten Betriebs teilen wir Ihnen auf Anfrage mit; im Rahmen einer Auskunft nach Art. 15 DSGVO nennen wir ihn stets.

7.4 Identifizierung und Unterschrift über einen Vertrauensdienst (Nect GmbH, Youtrust SAS)

Anbieter. Für die Identifizierung des Halters und die qualifizierte elektronische Signatur arbeiten wir mit zwei qualifizierten Vertrauensdiensten. Das sind Anbieter, die Ausweise prüfen und rechtsgültige elektronische Unterschriften erstellen dürfen. Ihren Vorgang übernimmt immer nur einer von beiden; welcher, steht in der E-Mail mit Ihrem Unterschriftslink.

• Nect GmbH, Großer Burstah 21, 20457 Hamburg.
• Youtrust SAS (früher Yousign SAS), Rue de Suède, Avenue Pierre Berthelot, 14000 Caen, Frankreich, Handelsregister Caen 794 513 986.

Warum das nötig ist. Das Kraftfahrt-Bundesamt verlangt, dass sich der Halter vor einem elektronischen Zulassungsantrag zweifelsfrei ausweist und die Vollmacht qualifiziert elektronisch unterschreibt. Diese Identifizierung führen wir nicht selbst durch.

Wie es bei Nect abläuft. Der Vorgang läuft über die Nect-App auf Ihrem Smartphone. Nect erstellt in derselben Sitzung auch die qualifizierte elektronische Signatur. Sie weisen sich einmal aus und unterschreiben unmittelbar danach.

Wie es bei Youtrust abläuft. Der Vorgang läuft im Browser Ihres Smartphones, eine App brauchen Sie nicht. Sie nehmen Ihren Ausweis und Ihr Gesicht per Video auf. Youtrust gleicht die Aufnahmen ab und lässt sie zusätzlich von einem Menschen prüfen. Danach unterschreiben Sie im selben Ablauf.

Was wir übermitteln und erhalten. An Youtrust übermitteln wir Ihren Vor- und Nachnamen, Ihre E-Mail-Adresse und die zu unterschreibenden Unterlagen: die Vollmacht mit den Angaben zu Ihrer Person und zum Vorgang und, soweit erforderlich, das SEPA-Lastschriftmandat mit Ihrer Bankverbindung. Den Abgleich von Gesicht und Ausweis nimmt allein der jeweilige Dienst vor; wir erhalten keine Aufnahmen und keine biometrischen Daten. Von Nect erhalten wir das Ergebnis der Identifizierung, die von Nect bestätigten Personendaten und das Signaturprotokoll. Von Youtrust erhalten wir das Ergebnis der Identifizierung, die unterschriebenen Unterlagen, das Signaturprotokoll und, wenn Ihr Name im Ausweis anders geschrieben ist als in Ihrem Auftrag, den Namen laut Ausweis. Den Prüfbericht mit den Aufnahmen Ihres Ausweises, den Youtrust bereithält, rufen wir nicht ab.

Wer wofür verantwortlich ist. Die Prüfung Ihrer Identität und die Ausstellung des Signaturzertifikats nimmt Youtrust als qualifizierter Vertrauensdienst in eigener Verantwortung vor (Art. 24 der Verordnung (EU) Nr. 910/2014); dafür gelten die Datenschutzhinweise von Youtrust. Den technischen Ablauf der Unterschrift übernimmt Youtrust für uns als Auftragsverarbeiter.

Wie lange Youtrust speichert. Nach seinen Datenschutzhinweisen (Stand 2. Juli 2026) bewahrt Youtrust die Identitätsdaten für das Zertifikat sieben Jahre nach Ablauf des Zertifikats auf, die Nachweise der Unterschrift zehn Jahre ab der Unterschrift und Verbindungsprotokolle sechs Monate.

Ort der Verarbeitung. Bei Nect findet eine Datenübermittlung in Drittländer nicht statt. Youtrust betreibt seine Infrastruktur in Frankreich. Nach der Liste seiner Unterauftragnehmer können dabei Dienstleister in der Schweiz und in den USA tätig werden. Für die Schweiz hat die Europäische Kommission ein angemessenes Datenschutzniveau festgestellt (Entscheidung 2000/518/EG). Übermittlungen in die USA stützen sich auf den Angemessenheitsbeschluss (EU) 2023/1795 für dort zertifizierte Unternehmen oder auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Die Liste finden Sie unter youtrust.com/de-de/unterauftragnehmer.

Wann es entfällt. Bei Abmeldungen sowie bei der reinen Wunschkennzeichen-Reservierung und der Bestellung von Kennzeichenschildern ist keine Identifizierung erforderlich; in diesen Fällen werden keine Daten an Nect oder Youtrust übermittelt.

Rechtsgrundlage. Die Übermittlung an den Vertrauensdienst und den Erhalt des Ergebnisses stützen wir auf Art. 6 Abs. 1 lit. b DSGVO, weil Ihr Auftrag ohne Identifizierung und Unterschrift nicht ausführbar ist; soweit das Zulassungsrecht die Identifizierung vorschreibt, zusätzlich auf Art. 6 Abs. 1 lit. c DSGVO. Für den biometrischen Abgleich bei Nect gilt Art. 9 Abs. 2 lit. g DSGVO. Den Abgleich bei Youtrust verantwortet Youtrust selbst; die Grundlage nennt Youtrust in seinen Datenschutzhinweisen.

Datenschutzhinweise der Dienste: nect.com/privacy und youtrust.com/de-de/datenschutz.

7.5 Qualifizierte elektronische Signatur Ihres Antrags

Warum unterschrieben werden muss. Ein Zulassungsantrag muss elektronisch qualifiziert signiert werden. Das ist die digitale Entsprechung Ihrer Unterschrift und ihr nach Art. 25 Abs. 2 eIDAS-Verordnung rechtlich gleichgestellt. Die Signatur erstellt der Vertrauensdienst, der Ihren Vorgang übernimmt (Nect oder Youtrust, Ziffer 7.4), auf Grundlage der dort durchgeführten Identifizierung; wir übermitteln dafür die zu unterschreibenden Unterlagen.

Der Ablauf. Nach Ihrer Zahlung legen wir den Signaturvorgang an und senden Ihnen einen Signierlink. Sie sehen jedes Dokument vollständig, bevor Sie unterschreiben: die Vollmacht und, sofern erforderlich, das SEPA-Mandat für die Kfz-Steuer. Erst nach Ihrer Unterschrift geht der Antrag an die zuständige Zulassungsbehörde.

Was verarbeitet wird. Ihre Identifikationsdaten, das Signaturzertifikat und das Signaturprotokoll. Das Signaturprotokoll und die unterschriebene Vollmacht bewahren wir bis zum Ende des dritten Jahres nach dem Jahr der Unterschrift auf; sie sind Ihr und unser Nachweis, dass Sie die Vollmacht selbst unterschrieben haben. Läuft zu diesem Zeitpunkt ein Streit über den Auftrag, bewahren wir sie bis zu dessen Ende auf. Rechtsgrundlage der Aufbewahrung nach Abschluss des Auftrags ist unser berechtigtes Interesse, Ansprüche aus dem Auftrag nachweisen oder abwehren zu können (Art. 6 Abs. 1 lit. f DSGVO); die Frist folgt der regelmäßigen Verjährung (§§ 195, 199 BGB). Der Vertrauensdienst bewahrt seine eigenen Nachweise länger auf (Ziffer 7.4).

Wann es entfällt. Für Abmeldungen, Wunschkennzeichen-Reservierungen und die reine Bestellung von Kennzeichenschildern ist keine Signatur erforderlich.

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 38 Abs. 2 FZV. In Drittländer gehen Daten dabei nur, soweit Ziffer 7.4 es für Youtrust beschreibt.

7.6 Kraftfahrt-Bundesamt & Zulassungsstellen

Zur Durchführung der hoheitlichen Zulassung übermitteln wir die nach §§ 6, 38 FZV erforderlichen Daten (insb. Halter- und Fahrzeugdaten, FIN, eVB-Nummer, ZB1/ZB2-Codes, SEPA-Mandat, Wunschkennzeichen) über die Großkundenschnittstelle (GKS) an das Kraftfahrt-Bundesamt (KBA), Fördestraße 16, 24944 Flensburg sowie an die jeweils zuständige örtliche Zulassungsbehörde. Empfänger sind weiterhin das Hauptzollamt (Kfz-Steuer) sowie der von Ihnen benannte Versicherer (eVB-Abgleich). Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. §§ 6, 33, 38 FZV, §§ 33 ff. StVG. Diese Daten werden im Rahmen der gesetzlichen Aufbewahrungsfristen vorgehalten.

7.7 E-Mail-Versand und E-Mail-Postfach

Versand. Für den Versand transaktionaler E-Mails (Bestellbestätigungen, Statusupdates, Rechnungen) nutzen wir den Dienst SMTP2GO der Sand Dune Mail Ltd., 96–106 Manchester Street, Christchurch 8011, Neuseeland. Verarbeitet werden Ihre E-Mail-Adresse sowie der Inhalt der Nachricht. Der Versand läuft über den EU-Zugang des Anbieters; personenbezogene Daten von Nutzern im Europäischen Wirtschaftsraum werden nach Angabe des Anbieters ausschließlich innerhalb des EWR gespeichert (Rechenzentrum Amsterdam). Soweit für Betrieb und Unterstützung ein Zugriff aus Neuseeland erfolgt, ist dies zulässig, weil die Europäische Kommission für Neuseeland ein angemessenes Datenschutzniveau festgestellt hat (Durchführungsbeschluss 2013/65/EU vom 19. Dezember 2012; in der Überprüfung der Kommission von 2024 bestätigt). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (zuverlässiger Mailtransport). AVV nach Art. 28 DSGVO geschlossen.

Postfach und Domain. Das Postfach, in dem Ihre Antworten und Anfragen eingehen, sowie die Verwaltung unserer Domainnamen liegen bei der Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern. Verarbeitet werden dabei Ihre E-Mail-Adresse und der Inhalt Ihrer Nachricht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO. AVV nach Art. 28 DSGVO geschlossen.

7.8 Zahlungseingänge (Qonto)

Geschäftskonto bei der Olinda S.A.S. (Qonto), 18 rue de Navarin, 75009 Paris, Frankreich. Qonto verarbeitet Zahlungsverkehrsdaten in eigener Verantwortlichkeit als Zahlungsdienstleister. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO i. V. m. § 147 AO. Datenschutzhinweise: qonto.com/de/legal-documents/privacy-notice.

7.9 Hosting der Webanwendung

Unsere Webanwendung wird auf Servern eines in Deutschland ansässigen Hostingdienstleisters betrieben. Verarbeitet werden Zugriffs- und Bestelldaten zur Bereitstellung der Plattform. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. AVV nach Art. 28 DSGVO geschlossen, technische und organisatorische Maßnahmen (TOM) sind dokumentiert.

7.10 Google (automatische Dokumenterkennung, nur auf Ihre Auswahl)

Anbieter: Google. Vertragspartner für die kostenpflichtige Nutzung ist die für unseren Sitz zuständige Google-Gesellschaft mit Sitz in Irland; die Verarbeitung erfolgt auch durch die Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Zweck: Auslesen einzelner Feldwerte aus einem von Ihnen hochgeladenen Dokumentfoto (Ziffer 6.5). Verarbeitet wird das Bild mit allen darauf sichtbaren Angaben sowie die daraus erzeugte Antwort. Diese Verarbeitung findet nur statt, wenn Sie die Funktion aktiv nutzen; wer die Felder von Hand ausfüllt, übermittelt nichts an Google. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Google wird insoweit als Auftragsverarbeiter tätig; ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist geschlossen. Die Übermittlung in die USA ist über das EU-U.S. Data Privacy Framework abgesichert (Ziffer 8). Speicherdauer bei Google: 55 Tage zur Missbrauchskontrolle; eine Nutzung zum Training der Modelle findet auf dem von uns genutzten kostenpflichtigen Zugang nicht statt. Datenschutzhinweise: policies.google.com/privacy; Bedingungen der Programmierschnittstelle: ai.google.dev/gemini-api/terms.

8. Drittlandübermittlungen

Soweit wir personenbezogene Daten an Empfänger in den USA übermitteln (insb. Stripe, Google, Microsoft), erfolgt dies auf Grundlage des Angemessenheitsbeschlusses (EU) 2023/1795 der Europäischen Kommission zum EU-U.S. Data Privacy Framework. Die genannten Unternehmen sind unter diesem Rahmen zertifiziert. Ergänzend sind Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO vereinbart. Eine Übersicht über den Zertifizierungsstatus finden Sie unter dataprivacyframework.gov/list.

Für OpenAI (Ziffer 4d) gilt das nicht: OpenAI ist nicht unter dem Data Privacy Framework zertifiziert. Die Übermittlung an OpenAI stützt sich allein auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Für den Versand transaktionaler E-Mails setzen wir einen Anbieter mit Sitz in Neuseeland ein (Ziffer 7.7). Auch für Neuseeland hat die Europäische Kommission ein angemessenes Datenschutzniveau festgestellt (Durchführungsbeschluss 2013/65/EU vom 19. Dezember 2012), sodass es für diese Übermittlung keiner zusätzlichen Garantien bedarf; die Daten von Nutzern aus dem EWR werden nach Angabe des Anbieters innerhalb des EWR gespeichert.

9. Speicher- und Löschfristen

10. Ihre Rechte als betroffene Person

Ihnen stehen die folgenden Rechte zu:

• Auskunft (Art. 15 DSGVO): über die zu Ihrer Person gespeicherten Daten
• Berichtigung (Art. 16 DSGVO): unrichtiger oder unvollständiger Daten
• Löschung (Art. 17 DSGVO): soweit keine Aufbewahrungspflichten entgegenstehen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO): in einem strukturierten, gängigen Format
• Widerspruch (Art. 21 DSGVO): gegen Verarbeitungen auf Grundlage berechtigter Interessen, insbesondere Direktwerbung
• Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): mit Wirkung für die Zukunft
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

11. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderweitiger Rechtsbehelfe steht Ihnen das Recht zu, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist:

12. Automatisierte Entscheidungsfindung

Eine ausschließlich auf einer automatisierten Verarbeitung — einschließlich Profiling — beruhende Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt. Eine vollumfängliche manuelle Prüfung Ihres Antrags durch unsere Mitarbeitenden und die zuständige Zulassungsbehörde ist sichergestellt.

13. Werbewiderspruch

Der Nutzung der im Rahmen der Impressumspflicht veröffentlichten Kontaktdaten zur Übersendung von nicht ausdrücklich angeforderter Werbung und Informationsmaterialien wird hiermit widersprochen. Wir behalten uns ausdrücklich rechtliche Schritte im Falle der unverlangten Zusendung von Werbeinformationen vor.

14. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder Änderungen unserer Leistungen abbildet. Für Ihren erneuten Besuch gilt die jeweils aktuelle, an dieser Stelle abrufbare Fassung.