Datenschutzerklärung

1. Verantwortlicher

Für die Daten von Interessent:innen der Autohäuser (Teil D) ist nicht wir, sondern das jeweilige Autohaus Verantwortlicher; wir handeln dort als Auftragsverarbeiter.

2. Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten auf Grundlage von

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung,
• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung und vorvertragliche Maßnahmen,
• Art. 6 Abs. 1 lit. c DSGVO – rechtliche Verpflichtung (z. B. steuer- und unternehmensrechtliche Aufbewahrungspflichten),
• Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse (z. B. sicherer und stabiler Betrieb, Missbrauchsabwehr).

Welche Grundlage im Einzelfall gilt, ist bei der jeweiligen Verarbeitung angegeben.

3. Empfänger und Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen – soweit erforderlich – Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO bestehen:

• IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland — Hosting von Website und Anwendung, Datenbank, KI-Sprachmodelle (IONOS AI Model Hub). Ort der Verarbeitung: Deutschland / EU
• Superchat (SuperX GmbH), Berlin, Deutschland — WhatsApp-Kommunikation (WhatsApp Business API). Ort der Verarbeitung: EU
• OpenAI Ireland Ltd., Dublin, Irland — KI-Sprachmodelle und Transkription von Sprachnachrichten – nur, wenn ein Autohaus OpenAI ausdrücklich als KI-Anbieter wählt. Ort der Verarbeitung: EU / USA (siehe Ziffer 4)
• Close (Elastic Inc.) — CRM für Anfragen über das Kontaktformular der Website. Ort der Verarbeitung: USA (siehe Ziffer 4)

Verbindet ein Autohaus sein eigenes Microsoft-365-Konto, ein eigenes E-Mail-Postfach (IMAP/SMTP) oder seinen Google-Kalender mit Carmazing, greifen wir in dessen Auftrag auf dieses Postfach bzw. diesen Kalender zu. Über Google greifen wir dabei ausschließlich auf den Kalender zu, nicht auf E-Mails. Diese Dienste sind Systeme des Autohauses; das Vertragsverhältnis mit Microsoft, Google bzw. dem E-Mail-Anbieter besteht direkt zwischen Autohaus und Anbieter.

4. Übermittlung in Drittländer

Einige Anbieter (OpenAI, Microsoft, Google, Close) haben Konzerngesellschaften in den USA, sodass eine Übermittlung dorthin nicht ausgeschlossen werden kann. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter zertifiziert ist, und im Übrigen auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Unser Standard-KI-Anbieter ist IONOS mit Rechenzentrum in Deutschland. Eine Verarbeitung durch OpenAI findet nur statt, wenn ein Autohaus dies selbst in seinen Einstellungen wählt und dafür einen eigenen OpenAI-Zugang hinterlegt.

5. Ihre Rechte

Sie haben das Recht auf

• Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Wenden Sie sich dazu an support@carmazing.eu. Betrifft Ihr Anliegen Daten, die Sie einem Autohaus übermittelt haben (Teil D), richten Sie es bitte an das jeweilige Autohaus; wenn Sie es an uns richten, leiten wir es unverzüglich weiter und unterstützen das Autohaus bei der Erledigung.

6. Beschwerderecht

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen das Datenschutzrecht verstößt, können Sie sich bei der Aufsichtsbehörde beschweren:

Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien
www.dsb.gv.at

7. Datensicherheit

Wir übertragen alle Daten verschlüsselt (TLS/HTTPS). Passwörter speichern wir ausschließlich als kryptografischen Hash (bcrypt), nie im Klartext. Die Daten jedes Autohauses liegen in einem logisch getrennten Arbeitsbereich; kein Autohaus kann auf Daten eines anderen zugreifen.

8. Keine Pflicht zur Bereitstellung, keine automatisierten Einzelentscheidungen

Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne die für einen Vertrag oder eine Anfrage nötigen Daten können wir bzw. das Autohaus die Anfrage jedoch nicht bearbeiten.

Wir treffen keine ausschließlich automatisierten Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Die KI-Kommunikation (Teil D) dient der Beantwortung von Fragen und der Terminvereinbarung; über Kauf, Preise oder Finanzierung entscheiden Menschen.

9. Hosting und Server-Logfiles

Die Website wird bei IONOS SE in Deutschland gehostet. Bei jedem Aufruf werden automatisch erfasst: IP-Adresse (gekürzt), Datum und Uhrzeit des Zugriffs, aufgerufene Seite, übertragene Datenmenge, Referrer-URL, Browsertyp und Betriebssystem.

Zweck: Auslieferung der Website, Sicherheit und Fehleranalyse.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Speicherdauer: Logfiles werden nach kurzer Zeit automatisch gelöscht, sofern sie nicht zur Aufklärung eines Sicherheitsvorfalls benötigt werden.

10. Cookies und lokale Speicherung

Die Website speichert Ihre Entscheidung zu optionalen Diensten im lokalen Speicher Ihres Browsers (localStorage-Eintrag cm-cookie-consent). Dieser Eintrag ist technisch erforderlich, um Ihre Wahl zu respektieren (§ 165 Abs. 3 TKG 2021).

Optionale Dienste werden nur nach Ihrer ausdrücklichen Einwilligung geladen (Art. 6 Abs. 1 lit. a DSGVO). Sie können Ihre Entscheidung jederzeit über die Cookie-Einstellungen der Website ändern oder den Eintrag in Ihrem Browser löschen.

11. Kontaktformular

Wenn Sie uns über das Formular kontaktieren, verarbeiten wir Name, Telefonnummer, Name des Autohauses, E-Mail-Adresse und Ihre Nachricht, um Ihre Anfrage zu beantworten. Die Daten können dazu an unser CRM-System Close übermittelt werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen), im Übrigen Art. 6 Abs. 1 lit. f DSGVO (Beantwortung von Anfragen).
Speicherdauer: bis zur abschließenden Bearbeitung Ihrer Anfrage; kommt ein Vertrag zustande, für die Dauer der Geschäftsbeziehung und der gesetzlichen Aufbewahrungsfristen.

12. Kontakt per WhatsApp

Kontaktieren Sie uns per WhatsApp, läuft die Kommunikation über Superchat (SuperX GmbH, Berlin) und die WhatsApp Business API von Meta. Mit Superchat besteht ein Vertrag zur Auftragsverarbeitung. Für die Nutzung von WhatsApp selbst gelten zusätzlich die Datenschutzbestimmungen von WhatsApp Ireland Ltd.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

13. Google Fonts

Die Website verwendet Schriftarten von Google Fonts (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland). Beim Laden wird Ihre IP-Adresse an Google übermittelt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), soweit die Schriften erst nach Einwilligung geladen werden, andernfalls Art. 6 Abs. 1 lit. f DSGVO (einheitliche Darstellung).

Die Anwendung unter app.carmazing.eu steht ausschließlich unseren Geschäftskunden (Autohäusern) und deren Mitarbeiter:innen zur Verfügung.

14. Konto und Anmeldung

Für das Konto eines Autohauses verarbeiten wir: Firmenname, Anschrift, E-Mail-Adresse, Passwort (nur als Hash), Telefonnummer sowie die Einstellungen des Arbeitsbereichs.

Zur Absicherung der Anmeldung verwenden wir eine Zwei-Faktor-Bestätigung: Wir senden einen einmaligen Code an die hinterlegte E-Mail-Adresse. Codes für die Anmeldung und Links zum Zurücksetzen des Passworts sind nur kurz gültig und verfallen danach.

Zweck: Bereitstellung des Kontos, Schutz vor unbefugtem Zugriff.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), Art. 6 Abs. 1 lit. f DSGVO (Sicherheit).
Speicherdauer: für die Dauer des Vertragsverhältnisses; nach Vertragsende werden die Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

15. Sitzungs-Cookie

Nach der Anmeldung setzt die Anwendung ein technisch notwendiges Sitzungs-Cookie (token). Es enthält ein signiertes Anmelde-Token, ist für JavaScript nicht lesbar (httpOnly) und läuft spätestens nach 7 Tagen ab bzw. wird beim Abmelden gelöscht. Weitere Cookies, Tracking- oder Analyse-Dienste setzt die Anwendung nicht ein.

Rechtsgrundlage: § 165 Abs. 3 TKG 2021 (technisch erforderlich), Art. 6 Abs. 1 lit. b DSGVO.

16. System-E-Mails

Anmeldecodes, Links zum Zurücksetzen des Passworts, Einladungen und sonstige Nachrichten zu Ihrem Konto versenden wir über unser eigenes E-Mail-Konto. Verarbeitet werden dabei die Empfängeradresse und der Inhalt der Nachricht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

17. Mitarbeiterdaten

Autohäuser können in Carmazing ihre Verkäufer:innen anlegen – mit Name, E-Mail-Adresse, Verknüpfung zum Superchat-Benutzer und freien Wochentagen. Diese Daten werden genutzt, um Anfragen fair an verfügbare Mitarbeiter:innen zu verteilen. Verantwortlicher dafür ist das jeweilige Autohaus; wir verarbeiten sie in dessen Auftrag.

18. Verbindung mit E-Mail-Postfächern, Microsoft 365 und Google-Kalender

Für E-Mails kann das Autohaus Carmazing mit einem E-Mail-Postfach (IMAP/SMTP) oder seinem Microsoft-365-Konto verbinden, für Termine mit seinem Microsoft-365- oder Google-Kalender. Über die Google-Verbindung greifen wir ausschließlich auf den Kalender zu; E-Mails werden darüber weder gelesen noch versendet. Die Verbindung erfolgt ausschließlich durch aktive Freigabe des Autohauses (bei Microsoft über die Zustimmung des IT-Administrators) und lässt sich auf das gewählte Postfach bzw. den gewählten Kalender beschränken. Die dafür nötigen Zugangsdaten bzw. Zugangsschlüssel speichern wir, um E-Mails zu empfangen und zu versenden sowie Termine im Kalender einzutragen. Die Verbindung kann jederzeit getrennt werden.

18a. Weitergabe von Google-Nutzerdaten

Über die Google-Verbindung erhalten wir die E-Mail-Adresse des Google-Kontos, die belegten Zeiten des Hauptkalenders (nur Zeitfenster, keine Titel, Beschreibungen oder Teilnehmer) und die von Carmazing selbst angelegten Termine. Diese Google-Nutzerdaten geben wir nur an folgende Empfänger weiter, soweit es für die Terminfunktion nötig ist:

• IONOS SE (Deutschland) – Hosting und Datenbank sowie KI-Sprachmodelle: Der KI-Assistent erhält die belegten Zeitfenster, um freie Termine vorzuschlagen.
• OpenAI – nur, wenn das Autohaus OpenAI selbst als KI-Anbieter gewählt hat; dann erhält OpenAI statt IONOS die belegten Zeitfenster.

An weitere Dritte geben wir keine Google-Nutzerdaten weiter. Unsere Erklärung zur eingeschränkten Nutzung (Limited Use) finden Sie in den AGB.

19. Nutzungsdaten und Abrechnung

Für die Abrechnung erfassen wir je Arbeitsbereich die Menge der verbrauchten KI-Rechenleistung (Anzahl verarbeiteter Tokens bzw. Credits) mit Zeitpunkt und Zweck. Inhalte der Gespräche fließen in diese Abrechnung nicht ein.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Dieser Teil richtet sich an Personen, die ein Autohaus kontaktieren, das Carmazing einsetzt – etwa über eine Anfrage auf AutoScout24, willhaben oder einem anderen Portal, per E-Mail oder per WhatsApp.

20. Rollenverteilung

Verantwortlicher für Ihre Daten ist das Autohaus, an das Sie Ihre Anfrage gerichtet haben. Carmazing verarbeitet diese Daten ausschließlich im Auftrag und nach Weisung des Autohauses (Art. 28 DSGVO) auf Grundlage eines Vertrags zur Auftragsverarbeitung. Informationen zu Rechtsgrundlage und Speicherdauer erhalten Sie in der Datenschutzerklärung des jeweiligen Autohauses.

21. Welche Daten verarbeitet werden

• Kontaktdaten: Vor- und Nachname, E-Mail-Adresse, Telefonnummer
• Anfragedaten: angefragtes Fahrzeug, Fahrzeugdetails und -bild, Ihre Nachricht, Angaben zu Inzahlungnahme oder Finanzierung/Leasing, sofern Sie diese machen
• Kommunikationsverlauf: alle E-Mails und WhatsApp-Nachrichten mit dem Autohaus, einschließlich der vom KI-Assistenten verfassten Antworten
• Sprachnachrichten, die Sie per WhatsApp senden, sowie deren Abschrift
• Termindaten: vereinbarte Besichtigungstermine

22. Wozu die Daten verarbeitet werden

1. Anfrage erkennen: Eingehende E-Mails werden automatisch daraufhin geprüft, ob es sich um eine Fahrzeuganfrage handelt; Werbung und automatische Nachrichten werden aussortiert.
2. Antworten: Ein KI-Assistent beantwortet Ihre Fragen im Namen des Autohauses per E-Mail und WhatsApp.
3. Termin vereinbaren: Auf Wunsch wird ein Besichtigungstermin im Kalender des Autohauses eingetragen; Sie erhalten eine Bestätigung und Erinnerungen.
4. Nachfassen: Antworten Sie nicht, kann das Autohaus eine begrenzte Anzahl Erinnerungsnachrichten schicken lassen.
5. Übergabe an Mitarbeiter:innen: Das Gespräch wird an eine:n Verkäufer:in des Autohauses übergeben, spätestens nach einer vom Autohaus festgelegten Zeit.

23. Einsatz künstlicher Intelligenz

Zur Erkennung von Anfragen, zur Erstellung von Antworten und zur Abschrift von Sprachnachrichten setzen wir KI-Sprachmodelle ein. Standardmäßig verarbeitet IONOS SE diese Daten in Rechenzentren in Deutschland. Hat das Autohaus OpenAI als Anbieter gewählt, werden die Daten stattdessen an OpenAI übermittelt (siehe Ziffer 4); die Abschrift von Sprachnachrichten ist nur in diesem Fall verfügbar.

Nach Angaben der Anbieter werden die über ihre Schnittstellen übermittelten Daten nicht zum Training ihrer Modelle verwendet.

Sie kommunizieren dabei mit einem KI-System. Sie können jederzeit verlangen, mit einem Menschen zu sprechen, oder die KI-Kommunikation beenden – etwa indem Sie dies dem Assistenten mitteilen. Das Gespräch wird dann an das Autohaus übergeben bzw. der Assistent antwortet nicht mehr.

24. Speicherdauer

Wir speichern Ihre Daten, solange das Autohaus dies im Rahmen des Auftrags vorsieht, und löschen sie auf dessen Weisung. Autohäuser können Kontakte samt Verlauf und Terminen jederzeit in der Anwendung löschen. Endet der Vertrag mit dem Autohaus, werden die Daten gelöscht oder dem Autohaus zurückgegeben.

25. Ihre Rechte

Ihre Rechte nach Ziffer 5 machen Sie bitte gegenüber dem Autohaus geltend. Wenden Sie sich an uns (support@carmazing.eu), leiten wir Ihr Anliegen an das zuständige Autohaus weiter.