Datenschutzerklärung

Datenschutzerklärung

Stand: 14. Oktober 2026

VitrinCar ist die Plattform der Vitrin Network GmbH für Autohäuser, Privatverkäufer, Betriebe rund ums Auto und Autofahrer – als Website (www.vitrincar.com), als App für iOS und Android und als mobile Webansicht. Diese Erklärung informiert Sie darüber, welche personenbezogenen Daten wir verarbeiten, zu welchen Zwecken, auf welcher Rechtsgrundlage und welche Rechte Sie haben. Wir verarbeiten personenbezogene Daten nach der Datenschutz-Grundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG) und dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).

1. Verantwortlicher

Vitrin Network GmbH, Zollstockgürtel 65, 50969 Köln, Deutschland, vertreten durch die Geschäftsführer Amin Fardin und Shahab Mollaian (Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO). Für alle Anliegen zum Datenschutz erreichen Sie uns unter info@vitrincar.com oder postalisch unter der genannten Anschrift.

2. Welche Daten wir verarbeiten

Je nachdem, wie Sie VitrinCar nutzen, verarbeiten wir:

• Kontodaten: Name, E-Mail-Adresse, Telefonnummer, Passwort (nur als Hash), bevorzugte Sprache, bei Händlern und Betrieben zusätzlich Firmenname, Anschrift, Standort, Logo, Öffnungszeiten, Website und Ansprechpartner.
• Inserats- und Profildaten: Fahrzeugdaten, Fotos, Videos, 360°-Aufnahmen, Beschreibungen, Preise, Ausstattung, Fahrzeughistorie, Standort des Fahrzeugs, Leistungen eines Betriebs.
• Kommunikationsdaten: Nachrichten zwischen Interessenten und Anbietern, Anfragen, Probefahrt-Anfragen, Gebote und Preisvorschläge, Bewertungen, Support-Anfragen.
• Nutzungsdaten: aufgerufene Seiten und Inserate, Suchanfragen und Filter, Favoriten, gespeicherte Suchen, zuletzt angesehene Fahrzeuge, Zeitpunkt und Dauer der Nutzung, Gerätetyp, Betriebssystem, Browser, Sprache, IP-Adresse (gekürzt für die Reichweitenmessung), Fehlerberichte.
• Standortdaten: nur mit Ihrer Erlaubnis im Gerät oder Browser (siehe Ziffer 7).
• Vertrags- und Zahlungsdaten: gebuchte Pakete und Zusatzleistungen, Rechnungen, Zahlungsstatus. Zahlungsmittel-Daten (z. B. Kartennummer) werden ausschließlich vom jeweiligen Zahlungsdienstleister verarbeitet und nicht bei uns gespeichert.
• Daten verbundener Dienste: wenn Sie sich mit Google, Apple oder Facebook anmelden oder ein Instagram-Konto verbinden (siehe Ziffern 5 und 11).

3. Zwecke und Rechtsgrundlagen

• Bereitstellung der Plattform und Erfüllung des Nutzungsvertrags (Konto, Inserate, Suche, Nachrichten, Probefahrten, Favoriten, Benachrichtigungen, Pakete, Rechnungen): Art. 6 Abs. 1 lit. b DSGVO.
• Sicherheit, Betrugs- und Missbrauchsprävention, Fehleranalyse, Reichweitenmessung, Weiterentwicklung: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionierenden und verständlichen Dienst).
• Standortfunktionen, Push-Benachrichtigungen, Newsletter und Informationsmails, Verbindung von Social-Media-Konten, optionale Cookies: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung, jederzeit widerrufbar).
• Gesetzliche Pflichten (z. B. handels- und steuerrechtliche Aufbewahrung von Rechnungen, Auskunftspflichten): Art. 6 Abs. 1 lit. c DSGVO.

4. Hosting, Sicherheit und Inhalte-Auslieferung

Die Plattform wird auf Servern in Rechenzentren innerhalb der Europäischen Union betrieben. Zum Schutz vor Angriffen und zur schnellen Auslieferung setzen wir Cloudflare, Inc. (101 Townsend St., San Francisco, CA 94107, USA) als Content-Delivery- und Sicherheitsdienst ein; dabei werden Verbindungsdaten (IP-Adresse, Anfragedaten) über das Cloudflare-Netz geleitet. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert; zusätzlich gelten die EU-Standardvertragsklauseln. Server-Logs mit IP-Adresse, Zeitpunkt, aufgerufener Adresse und User-Agent werden zur Störungs- und Angriffsanalyse kurzfristig gespeichert und spätestens nach 30 Tagen gelöscht, soweit sie nicht zur Verfolgung eines konkreten Vorfalls benötigt werden.

5. Registrierung, Anmeldung über Google, Apple und Facebook

Bei der Registrierung erheben wir die in Ziffer 2 genannten Kontodaten. Händler- und Unternehmenskonten können wir vor der Freischaltung prüfen; dazu gleichen wir die Angaben mit öffentlich zugänglichen Quellen (z. B. Handelsregister, Website, Google-Brancheneintrag) ab (Art. 6 Abs. 1 lit. b und f DSGVO).

Wenn Sie sich mit einem Google-, Apple- oder Facebook-Konto anmelden, erhalten wir vom jeweiligen Anbieter Ihren Namen, Ihre E-Mail-Adresse und eine Kennung des Kontos – mehr nicht. Die Anmeldung findet beim Anbieter statt; Ihr Passwort dort sehen wir nicht. Für die Datenverarbeitung beim Anbieter gelten dessen Datenschutzbestimmungen (Google Ireland Ltd., Apple Distribution International Ltd., Meta Platforms Ireland Ltd.).

6. Inserate, Profile und Nachrichten – was öffentlich ist

Inserate, Händler- und Betriebsprofile (Firmenname, Anschrift, Öffnungszeiten, Logo, Bewertungen, Fahrzeuge) sind öffentlich sichtbar – auf der Website, in der App, auf der Karte und auf der eigenen Seite des Anbieters (vitrincar.com/‹name›). Bei Privatverkäufern werden Name bzw. Anzeigename und Ort angezeigt; Telefonnummer und E-Mail-Adresse nur, wenn Sie das im Inserat freigeben. Nachrichten, Anfragen und Probefahrt-Anfragen übermitteln wir an den jeweiligen Anbieter, der sie zur Beantwortung nutzt. Bewertungen werden mit dem Anzeigenamen des Bewertenden veröffentlicht.

7. Standort

Für Funktionen wie „Fahrzeuge in meiner Nähe“, die Live-Karte, Umkreissuche und die Sortierung nach Entfernung fragen die App bzw. der Browser Ihre Erlaubnis zur Nutzung des Gerätestandorts. Die Position wird nur zur Berechnung von Entfernungen und zur Kartenanzeige verwendet und nicht dauerhaft Ihrem Konto zugeordnet. Ohne Erlaubnis verwenden wir ersatzweise den Ort, den Sie eingeben, oder eine grobe, aus der IP-Adresse abgeleitete Region. Sie können die Erlaubnis jederzeit in den Einstellungen Ihres Geräts oder Browsers widerrufen.

8. Karten

Karten in der App und der mobilen Webansicht werden mit Kartenkacheln von OpenStreetMap (OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich) dargestellt; dabei wird Ihre IP-Adresse an die OSM-Server übermittelt. Auf der Website nutzen einzelne Seiten (z. B. die Live-Karte, die Adresseingabe beim Einstellen eines Fahrzeugs oder bei der Registrierung eines Betriebs) Google Maps und Google Places (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland); dabei werden IP-Adresse und die eingegebene Adresse an Google übermittelt. Rechtsgrundlage ist Ihre Einwilligung bzw. unser berechtigtes Interesse an einer verständlichen Standortdarstellung (Art. 6 Abs. 1 lit. a und f DSGVO).

9. Push-Benachrichtigungen

Wenn Sie Push-Benachrichtigungen in der App erlauben, speichern wir ein Geräte-Token und senden Nachrichten (z. B. neue Antworten, Preisänderungen bei Favoriten, Treffer gespeicherter Suchen) über Apple Push Notification Service (Apple) bzw. Firebase Cloud Messaging (Google). Die Anbieter erhalten dabei das Token und den Nachrichteninhalt. Sie können Push-Benachrichtigungen jederzeit in den Geräteeinstellungen oder im Konto abschalten.

10. E-Mails, Newsletter und Einladungen

Transaktions-E-Mails (Registrierung, Passwort-Zurücksetzen, Antworten auf Anfragen, Rechnungen, Sicherheitshinweise) senden wir auf Grundlage des Nutzungsvertrags.

Informationen und Neuigkeiten (z. B. Tipps für mehr Anfragen, neue Funktionen, Angebote) senden wir nur mit Ihrer Einwilligung, die Sie uns im Double-Opt-in-Verfahren erteilen; wir protokollieren Zeitpunkt, Adresse und IP-Adresse der Bestätigung. Jede E-Mail enthält einen Abmeldelink; die Einwilligung können Sie damit jederzeit mit einem Klick widerrufen.

Versanddienstleister: Für Newsletter, Einladungen und Bestätigungs-E-Mails nutzen wir Brevo (Brevo GmbH, Köpenicker Straße 126, 10179 Berlin). Brevo verarbeitet E-Mail-Adresse, Name, Firmenname, Ort und den Inhalt der Nachricht in unserem Auftrag (Art. 28 DSGVO). Zur Qualitätssicherung messen wir, ob eine E-Mail geöffnet und ob ein Link geklickt wurde; Sie können die Nachverfolgung verhindern, indem Sie das Laden externer Bilder in Ihrem E-Mail-Programm abschalten.

Einladungen an Unternehmen (Art. 14 DSGVO): Um Autohäuser und Betriebe rund ums Auto auf VitrinCar einzuladen, verarbeiten wir geschäftliche Kontaktdaten von Unternehmen (Firmenname, Anschrift, Telefonnummer, geschäftliche E-Mail-Adresse, Website, Branche). Diese Daten stammen aus öffentlich zugänglichen Quellen – insbesondere OpenStreetMap, Overture Maps, Foursquare Open Places, Branchenverzeichnissen sowie dem Impressum und der Kontaktseite der jeweiligen Unternehmenswebsite. Rechtsgrundlage ist unser berechtigtes Interesse an der Gewinnung von Geschäftskunden (Art. 6 Abs. 1 lit. f DSGVO). Per Post versenden wir Einladungen an die Geschäftsadresse; per E-Mail nur, wenn eine Einwilligung vorliegt. Sie können der Verarbeitung jederzeit widersprechen – über den Link in jeder Nachricht oder per E-Mail an info@vitrincar.com; wir nehmen Ihr Unternehmen dann aus dem Verzeichnis und sperren die Adresse gegen weitere Einladungen.

11. Instagram und Meta (Veröffentlichung durch Händler)

Händler können ihr eigenes Instagram-Professional-Konto mit VitrinCar verbinden, um Inhalte aus VitrinCar heraus zu veröffentlichen und zu verwalten. Dafür nutzen wir die offizielle Instagram Graph API. Die Verbindung starten Sie selbst und melden sich auf der Anmeldeseite von Instagram an – Ihr Instagram-Passwort sehen oder speichern wir nie.

Nur mit Ihrer ausdrücklichen Freigabe greifen wir auf folgende Daten zu und verarbeiten sie:

• Basisprofil (instagram_business_basic) – Ihre Instagram-Nutzer-ID, Ihr Nutzername und der Kontotyp, damit Sie das verbundene Konto bestätigen können.
• Veröffentlichen von Inhalten (instagram_business_content_publish) – wir veröffentlichen die Stories und Beiträge, die Sie auswählen (z. B. in VitrinCar erstellte Fahrzeugmotive), auf Ihrem Konto, auf Ihre Anweisung.
• Nachrichten (instagram_business_manage_messages) – wir zeigen Story-Antworten und Direktnachrichten Ihres Kontos an, damit Sie sie in VitrinCar lesen und beantworten können, und helfen – nur wenn Sie es einschalten – beim Entwurf von Antworten.
• Kommentare (instagram_business_manage_comments) – wir zeigen Kommentare zu Ihren Inhalten an, damit Sie sie moderieren und beantworten können.

Wir nutzen diese Daten ausschließlich für die von Ihnen aktivierten Veröffentlichungs- und Nachrichtenfunktionen. Wir verkaufen sie nicht, nutzen sie nicht für Werbung und geben sie nicht an Dritte weiter, mit Ausnahme der Infrastrukturanbieter, die VitrinCar in unserem Auftrag betreiben. Zugriffstoken werden verschlüsselt gespeichert und nur für Aufrufe der Instagram-API für Ihr Konto verwendet. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können die Verbindung jederzeit auf der Seite „Mit Instagram verbinden“ in Ihrem Händlerpanel trennen – das löscht das gespeicherte Token sofort – oder den Zugriff bei Instagram unter „Einstellungen → Apps und Websites“ widerrufen.

12. KI-Funktionen

VitrinCar bietet KI-gestützte Funktionen an, z. B. Textvorschläge für Inserate, Preiseinschätzungen, Marktanalysen, automatische Übersetzungen von Inseraten und Bildwerkzeuge. Dafür übermitteln wir die für die jeweilige Funktion nötigen Inhalte (z. B. Fahrzeugdaten, den zu übersetzenden Text, ein Foto) an einen KI-Dienstleister, derzeit OpenAI, L.L.C. (1455 3rd Street, San Francisco, CA 94158, USA), auf Grundlage eines Auftragsverarbeitungsvertrags mit EU-Standardvertragsklauseln. Kontodaten wie Name oder E-Mail-Adresse werden dabei nicht übermittelt; die Inhalte werden vom Dienstleister nicht zum Training seiner Modelle verwendet. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags, soweit Sie die Funktion selbst auslösen (Art. 6 Abs. 1 lit. b DSGVO), im Übrigen unser berechtigtes Interesse an verständlichen, mehrsprachigen Inseraten (Art. 6 Abs. 1 lit. f DSGVO).

13. Zahlungen und Rechnungen

Kostenpflichtige Pakete und Zusatzleistungen rechnen wir über Zahlungsdienstleister ab (z. B. Stripe Payments Europe Ltd., Dublin, oder PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg). Diese erhalten die für die Zahlung erforderlichen Daten (Name, E-Mail-Adresse, Betrag, Zahlungsmittel) und sind für die Zahlungsabwicklung selbst verantwortlich; Zahlungsmittel-Daten werden bei uns nicht gespeichert. Rechnungen bewahren wir nach den handels- und steuerrechtlichen Vorschriften zehn Jahre auf (Art. 6 Abs. 1 lit. c DSGVO).

14. Cookies und lokale Speicherung

Wir verwenden technisch notwendige Cookies und vergleichbare Speichertechniken (z. B. Local Storage): für die Anmeldung und Sitzung, die gewählte Sprache und das gewählte Design, Favoriten und Vergleichslisten vor einer Anmeldung, den Schutz vor Angriffen (Cloudflare) und die Wahl zwischen klassischer Website und mobiler Webansicht. Diese Speicherung ist für den Betrieb des Dienstes erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO). Cookies von Werbenetzwerken setzen wir nicht ein. Optionale Cookies und Dienste, die eine Einwilligung erfordern, aktivieren wir nur nach Ihrer Zustimmung. Einzelheiten finden Sie in unserer Cookie-Richtlinie.

15. Reichweitenmessung und Statistiken

Wir messen die Nutzung der Plattform mit eigenen Mitteln auf unseren Servern (Seitenaufrufe, Inserats-Aufrufe, Suchanfragen, Anfragen), ohne Tracking-Dienste Dritter und mit gekürzter IP-Adresse. Anbieter sehen in ihrem Panel ausschließlich zusammengefasste Zahlen zu ihren eigenen Inseraten (z. B. Aufrufe, Anfragen, Regionen), aus denen keine einzelne Person erkennbar ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

16. Empfänger und Auftragsverarbeiter

Personenbezogene Daten geben wir nur weiter, soweit es für die beschriebenen Zwecke nötig ist: an Anbieter, mit denen Sie Kontakt aufnehmen; an Auftragsverarbeiter, die uns beim Betrieb unterstützen (Hosting-Rechenzentren in der EU, Cloudflare, Brevo, Apple und Google für Push und Anmeldung, Zahlungsdienstleister, KI-Dienstleister); an Partnerportale, wenn Sie als Händler einen Export Ihrer Inserate aktivieren; an Behörden, wenn wir gesetzlich dazu verpflichtet sind. Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Soweit Daten in Staaten außerhalb des Europäischen Wirtschaftsraums übermittelt werden (insbesondere USA), geschieht dies auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework) oder der EU-Standardvertragsklauseln.

17. Speicherdauer

Kontodaten speichern wir, solange Ihr Konto besteht. Inserate bleiben nach ihrem Ende in Ihrem Konto als Entwurf oder Archiv, bis Sie sie löschen oder Ihr Konto schließen. Nachrichten werden mit der Löschung des Kontos entfernt. Rechnungs- und Buchungsdaten bewahren wir nach den gesetzlichen Fristen (in der Regel zehn Jahre) auf. Server-Logs löschen wir nach spätestens 30 Tagen, Einwilligungsnachweise bewahren wir für die Dauer der Einwilligung und drei Jahre darüber hinaus auf. Daten aus dem Unternehmensverzeichnis (Ziffer 10) halten wir, solange das Unternehmen besteht und kein Widerspruch vorliegt; nach einem Widerspruch speichern wir nur die Adresse in einer Sperrliste.

18. Löschung Ihres Kontos

Sie können Ihr Konto jederzeit in den Einstellungen (App: Konto → Profil bearbeiten; Panel: Einstellungen) löschen oder uns per E-Mail an info@vitrincar.com um die Löschung bitten. Wir führen bestätigte Anträge innerhalb von 30 Tagen aus; Daten, die wir aufgrund gesetzlicher Pflichten aufbewahren müssen, werden gesperrt und nach Ablauf der Frist gelöscht.

19. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Zur Ausübung Ihrer Rechte genügt eine E-Mail an info@vitrincar.com. Außerdem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren; für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

20. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Dienste oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung; das Datum am Anfang zeigt den Stand.