Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher für die Datenverarbeitung auf dieser Website und in der Anwendung Listenflohmarkt ist:

NiBurhe Software UG (haftungsbeschränkt)

Ringelnatzweg 10

82256 Fürstenfeldbruck

Telefon: +49 (0) 159 06458054

E-Mail: info@listenflohmarkt.org

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen (Art. 37 DSGVO, § 38 BDSG) nicht vorliegen.

2. Überblick über die Verarbeitung

Listenflohmarkt ist eine Plattform für kommissionsbasierte Flohmärkte (z. B. Kinderkleiderbasare): Veranstalter legen Veranstaltungen an, Verkäuferinnen und Verkäufer erhalten nummerierte Listen, erfassen ihre Artikel und drucken Etiketten; am Veranstaltungstag werden die Waren angenommen, an der Kasse per Barcode verkauft und anschließend abgerechnet und ausgezahlt. Dafür verarbeiten wir im Wesentlichen:

1. Kontodaten (Name, E-Mail-Adresse, optional Telefonnummer, Ort/Umkreis für den Suchagenten, die in der App gewählte Sprache),
2. Vertrags- und Abrechnungsdaten (Listen, Artikel, Preise, Verkäufe, Auszahlungen, Rechnungen — Geldbeträge werden ausschließlich plattformintern verarbeitet, wir wickeln keine Online-Zahlungen ab),
3. technische Daten (IP-Adresse, Zugriffszeitpunkt, Browser-Informationen).

Es findet kein Profiling und keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO statt. Wir geben personenbezogene Daten nicht zu Werbezwecken an Dritte weiter.

3. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

1. Auskunft (Art. 15 DSGVO) — in der Anwendung unter „Meine Daten" jederzeit als Datenexport herunterladbar,
2. Berichtigung (Art. 16 DSGVO) — Ihre Profildaten können Sie jederzeit selbst ändern,
3. Löschung (Art. 17 DSGVO) — Ihr Konto können Sie in der Anwendung unter „Meine Daten" selbst löschen,
4. Einschränkung der Verarbeitung (Art. 18 DSGVO),
5. Datenübertragbarkeit (Art. 20 DSGVO) — derselbe Datenexport,
6. Widerspruch (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einlegen. Gegen Verarbeitung zum Zweck der Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen.
7. Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft — in der Anwendung über „Datenschutz-Einstellungen" bzw. die Opt-in-Schalter im Profil.

Sie erreichen uns für alle Anliegen auch formlos per E-Mail an info@listenflohmarkt.org.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist das Bayerische Landesamt für Datenschutz­aufsicht (BayLDA), Promenade 18, 91522 Ansbach.

4. Hosting und Infrastruktur (AWS)

Unsere Anwendung wird bei Amazon Web Services (Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg) betrieben. Sämtliche Anwendungsdaten (Datenbank, Dateispeicher, Login-Verwaltung, E-Mail-Versand) werden in der AWS-Region eu-central-1 (Frankfurt am Main) verarbeitet und gespeichert. Mit AWS besteht ein Auftragsverarbeitungsvertrag. AWS gehört zu einem US-Konzern; als Garantien bestehen die Zertifizierung nach dem EU-US Data Privacy Framework (DPF) sowie EU-Standardvertragsklauseln.

Die Auslieferung erfolgt über Amazon CloudFront. Dabei kann Ihre IP-Adresse technisch bedingt auch an einem Standort außerhalb der EU/des EWR verarbeitet werden. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und performanten Bereitstellung (Art. 6 Abs. 1 lit. f DSGVO), bei Vertragsdurchführung zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

Zugriffs-Logs: Beim Aufruf unserer Schnittstellen protokollieren wir technische Zugriffsdaten (IP-Adresse, Zeitpunkt, HTTP-Methode und -Pfad, Statuscode, Antwortgröße, Request-ID). Die Logs enthalten keine Namen, E-Mail-Adressen, Tokens oder Nachrichteninhalte und werden nach 30 Tagen automatisch gelöscht (Art. 6 Abs. 1 lit. f DSGVO).

5. Registrierung und Nutzerkonto

Für die aktive Nutzung ist ein Nutzerkonto erforderlich. Die Anmeldung erfolgt über den Identitätsdienst Amazon Cognito (AWS, Region Frankfurt). Verarbeitet werden: E-Mail-Adresse, Name, Passwort (nur als kryptographischer Hash), optional Telefonnummer, ferner technische Anmeldedaten. Rechtsgrundlage ist die Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

Ihre Kontodaten speichern wir, bis Sie Ihr Konto löschen. Die Löschung führen Sie in der Anwendung unter „Meine Daten" selbst durch; alternativ genügt eine E-Mail an info@listenflohmarkt.org. Bei der Löschung werden Ihre personenbezogenen Daten unkenntlich gemacht und Ihr Login entfernt; Verkaufszahlen bleiben ohne Personenbezug für die Abrechnung der Veranstaltung erhalten. Ungenutzte Konten werden nach 36 Monaten Inaktivität automatisch auf demselben Weg pseudonymisiert. Bevor das geschieht, informieren wir Sie rund 30 Tage vorher per E-Mail an die hinterlegte Adresse; eine Anmeldung genügt, um die Frist zurückzusetzen. Wann Ihr Konto zuletzt genutzt wurde, sehen Sie jederzeit in Ihrem Profil. Konten, deren E-Mail-Adresse nie bestätigt wurde, löschen wir spätestens nach 90 Tagen vollständig. Daten, die gesetzlichen Aufbewahrungspflichten unterliegen (insbesondere Rechnungsdaten, siehe Abschnitt 15), bleiben davon ausgenommen und werden nach Fristablauf gelöscht.

6. Listen, Artikel, Verkauf und Auszahlung

Wenn Sie als Verkäuferin/Verkäufer an einer Veranstaltung teilnehmen, verarbeiten wir Ihre Listen- und Artikeldaten (Listennummer, Artikelbeschreibungen, Preise), die Verkaufsvorgänge an der Kasse (verkaufte Artikel, Beträge, Zahlungsart, Belegnummern) sowie die daraus berechnete Auszahlung. Rechtsgrundlage ist die Durchführung des Teilnahmevertrags (Art. 6 Abs. 1 lit. b DSGVO).

Bei der Anfrage einer Liste ohne bestehendes Konto verarbeiten wir die von Ihnen angegebene E-Mail-Adresse, um zu prüfen, ob bereits ein Konto besteht, und um Ihnen die Liste zuzuordnen (Vertragsanbahnung). Zum Schutz vor automatisiertem Missbrauch sind diese Formulare ratenbegrenzt und durch ein Captcha geschützt (Abschnitt 9).

Offline-Kassenmodus: Für den Kassenbetrieb am Veranstaltungstag kann das Kassengerät des Veranstalters einen lokalen Datenbestand im Browser speichern (IndexedDB), um Ausfälle der Internetverbindung zu überbrücken. Dieser Bestand ist datenminimiert — er enthält Listennummern, Artikel und Beträge, aber keine Namen, E-Mail-Adressen oder Telefonnummern der Verkäufer (§ 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. b DSGVO).

Veranstaltungsbezogene personenbezogene Daten werden 24 Monate nach Veranstaltungsende pseudonymisiert; erhalten bleiben nur aggregierte Statistikwerte ohne Personenbezug sowie Abrechnungsdaten innerhalb gesetzlicher Aufbewahrungsfristen.

7. Offenlegung gegenüber dem Veranstalter

Plattformbedingt sieht der Veranstalter einer Veranstaltung die Daten „seiner" Verkäuferinnen und Verkäufer: Name, Kontaktdaten, Listennummern, Artikel und Abrechnungsbeträge. Diese Offenlegung ist zur Durchführung der Veranstaltung erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Der Veranstalter ist für seinen Umgang mit diesen Daten datenschutzrechtlich selbst verantwortlich (eigener Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO). Wir verpflichten Veranstalter vertraglich, diese Daten ausschließlich für die Durchführung der Veranstaltung zu verwenden, vertraulich zu behandeln und anschließend zu löschen.

8. E-Mail-Versand, Newsletter und Suchagent

Transaktionale E-Mails (Registrierungsbestätigung, Listen-Zuteilung, Abrechnungen, Sicherheitshinweise) versenden wir über Amazon SES (AWS, Region Frankfurt) auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Versandprotokolle werden nach 30 Tagen gelöscht.

Rundmails des Veranstalters: Veranstalter können über die Plattform Rundmails an die Verkäufer ihrer Veranstaltung senden. Absenderin ist technisch die Plattform; Antworten gehen direkt an den Veranstalter. Für den Inhalt ist der Veranstalter verantwortlich (Art. 6 Abs. 1 lit. b DSGVO).

Newsletter und Suchagent (Benachrichtigung über neue Veranstaltungen in Ihrer Umgebung) erhalten Sie nur, wenn Sie sich aktiv dafür anmelden. Für den Suchagenten verarbeiten wir zusätzlich den von Ihnen gewählten Ort/Umkreis. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); Sie können sie jederzeit im Profil oder per Abmeldelink mit Wirkung für die Zukunft widerrufen.

9. Cloudflare Turnstile (Bot-Schutz)

Zum Schutz unserer Registrierungs- und Anfrageformulare vor automatisiertem Missbrauch setzen wir Cloudflare Turnstile ein, einen Captcha-Dienst der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA (EU-Vertretung: Cloudflare Portugal, Unipessoal Lda.). Beim Laden des Widgets verarbeitet Cloudflare technische Daten Ihres Endgeräts (IP-Adresse, Browser- und Geräteinformationen, Interaktionsdaten), um zu beurteilen, ob die Anfrage von einem Menschen stammt.

Turnstile kommt ausschließlich auf den geschützten Formularen zum Einsatz (Registrierung, Listenanfrage) — der übrige Datenverkehr der Anwendung läuft nicht über Cloudflare.

Rechtsgrundlagen sind unser berechtigtes Interesse an der Abwehr von Missbrauch, Spam und automatisierten Angriffen (Art. 6 Abs. 1 lit. f DSGVO) sowie § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den von Ihnen angeforderten Dienst). Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen Standardvertragsklauseln. Weitere Informationen: https://www.cloudflare.com/privacypolicy/.

10. Sentry (Fehlerdiagnose)

Zur Erkennung und Behebung technischer Fehler nutzen wir Sentry (Functional Software, Inc., 45 Fremont Street, San Francisco, CA 94105, USA). Wir verwenden ausdrücklich das EU-Hosting von Sentry (Datenresidenz Frankfurt am Main); es besteht ein Auftragsverarbeitungsvertrag, ergänzend DPF-Zertifizierung und Standardvertragsklauseln.

In der Webanwendung wird Sentry nur mit Ihrer Einwilligung geladen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG) — über die Kategorie „Fehlerdiagnose/Monitoring" im Datenschutz-Dialog, jederzeit widerruflich. Ohne Einwilligung wird kein Sentry-Code geladen und es werden keine Daten übertragen.

Serverseitig übermitteln wir bei Anwendungsfehlern technische Fehlerdaten (Fehlermeldung, Stacktrace, Request-Metadaten, interne Nutzer-ID) auf Grundlage unseres berechtigten Interesses an einem stabilen und sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

E-Mail-Adressen, Namen, Tokens und Passwörter werden vor der Übermittlung automatisiert entfernt; Session-Replay ist deaktiviert. Fehlerdaten werden nach 90 Tagen gelöscht.

11. Google Analytics

Sofern Sie darin eingewilligt haben, nutzen wir Google Analytics 4, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google Analytics verwendet Cookies bzw. vergleichbare Wiedererkennungstechnologien, die eine Analyse Ihrer Nutzung der Anwendung ermöglichen. Dabei können Daten an Server der Google LLC in die USA übertragen werden; Google ist nach dem EU-US Data Privacy Framework zertifiziert, ergänzend bestehen Standardvertragsklauseln. IP-Adressen werden von Google Analytics 4 nicht gespeichert und bereits bei der Erhebung gekürzt.

Der Einsatz erfolgt ausschließlich mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG) über die Kategorie „Statistik" im Datenschutz-Dialog. Ohne Einwilligung wird das Analytics-SDK nicht geladen, es werden keine Cookies gesetzt und es fließen keine Daten an Google. Sie können Ihre Einwilligung jederzeit in den Datenschutz-Einstellungen mit Wirkung für die Zukunft widerrufen.

Wir übermitteln dabei nur den aufgerufenen Seitenpfad ohne Abfrageparameter — Bestätigungs- und Zurücksetzen-Links enthalten Einmal-Token, die Google nie erreichen. Der Pfad wird zusätzlich verallgemeinert: Nummern in der Adresse werden durch Platzhalter ersetzt, sodass statt „/listen/4711" nur „/listen/:id" übermittelt wird.

Neben den Seitenaufrufen erfassen wir, WELCHE Funktionen der Anwendung genutzt werden — beispielsweise das Drucken von Etiketten oder Listen, das Anlegen und Bearbeiten von Artikeln, das Anlegen und Veröffentlichen einer Veranstaltung, Check-in und Auszahlung sowie Verkaufsvorgänge an der Kasse. Übermittelt werden dabei ausschließlich fest im Programmcode hinterlegte technische Bezeichner und Größenklassen (etwa „11-25 Artikel"). Es werden keine von Ihnen eingegebenen Inhalte, keine Suchbegriffe, keine Namen, keine Beträge und keine Kennungen einzelner Listen oder Artikel übertragen; eine Zuordnung zu Ihrer Person findet nicht statt. Erfasst wird zudem, über welchen Weg Sie zu einer Veranstaltung gelangt sind (etwa über einen gedruckten QR-Code oder einen geteilten Link).

Werbe- und Personalisierungssignale sind deaktiviert. Die Aufbewahrungsdauer der Analysedaten bei Google ist auf 14 Monate eingestellt; es besteht ein Auftragsverarbeitungsvertrag. Weitere Informationen: https://policies.google.com/privacy.

12. OpenStreetMap-Karte und Adresssuche

Kartenanzeige: Zur Darstellung von Veranstaltungsorten binden wir Kartenkacheln von OpenStreetMap ein (OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich; Angemessenheitsbeschluss der EU-Kommission). Beim Laden der Karte wird Ihre IP-Adresse an die Server der OSMF übertragen. Die Karte wird nur mit Ihrer Einwilligung geladen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG) — Kategorie „Karten" im Datenschutz-Dialog, jederzeit widerruflich. Ohne Einwilligung zeigt die Anwendung die Veranstaltungsorte als Liste ohne Karte.

Adresssuche: Wenn Sie in einem Formular aktiv eine Adresse oder PLZ suchen, wird Ihre Eingabe an den Nominatim-Dienst der OSMF übermittelt, um Adressvorschläge und Koordinaten zu erhalten. Diese Anfrage erfolgt nur auf Ihre aktive Eingabe hin und ist für die gewünschte Funktion erforderlich (Art. 6 Abs. 1 lit. b bzw. f DSGVO).

13. YouTube-Videos

Zur Erklärung der Anwendung binden wir Videos von YouTube ein, einem Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Wir nutzen dabei ausschließlich den erweiterten Datenschutzmodus („youtube-nocookie.com"): YouTube speichert erst dann Informationen auf Ihrem Gerät, wenn Sie ein Video tatsächlich abspielen. Beim Laden des Players wird Ihre IP-Adresse an Google übertragen; dabei können Daten an Server der Google LLC in die USA übertragen werden (EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln). Sind Sie bei YouTube angemeldet, kann Google die Wiedergabe Ihrem Konto zuordnen.

Der Player wird ausschließlich mit Ihrer Einwilligung geladen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG) — Kategorie „Videos" im Datenschutz-Dialog, jederzeit widerruflich. Ohne Einwilligung wird kein Code von YouTube geladen und es geht keine Anfrage an Google; an der Stelle des Videos steht ein Hinweis mit einem Link zu den Datenschutz-Einstellungen. Weitere Informationen: https://policies.google.com/privacy.

14. Cookies und lokale Speicherung (§ 25 TDDDG)

Wir setzen keine Tracking-Cookies ohne Einwilligung.

Der Datenschutz-Dialog erscheint beim ersten Besuch; „Speichern" ohne Auswahl ist dem „Alle akzeptieren" gleichwertig möglich. Sie können Ihre Auswahl jederzeit über „Datenschutz-Einstellungen" im Menü ändern.

15. Speicherdauern im Überblick

16. Datei-Uploads und Malware-Prüfung

Veranstalter können Dateien zu ihrer Veranstaltung hochladen (z. B. Lagepläne, Aushänge). Diese werden in Amazon S3 (Region Frankfurt) gespeichert und automatisch durch Amazon GuardDuty Malware Protection auf Schadsoftware geprüft; infizierte Dateien werden entfernt. Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit der Plattform (Art. 6 Abs. 1 lit. f DSGVO).

17. Datensicherheit

Die Übertragung erfolgt ausschließlich TLS-verschlüsselt (HTTPS). Passwörter werden ausschließlich als Hash beim Identitätsdienst verwaltet. Der Zugriff der Systemkomponenten ist nach dem Prinzip der geringsten Rechte beschränkt. Geldbeträge werden plattformintern verarbeitet; die Zahlungsabwicklung gegenüber Käufern (bar oder Kartenterminal des Veranstalters) findet außerhalb der Plattform statt.

18. Amazon-Partnerprogramm (Partnerlinks)

In einigen Ratgebern und Hilfetexten verlinken wir Produkte bei Amazon über sogenannte Partnerlinks. Diese Links sind als Werbung gekennzeichnet. Wir nehmen am Partnerprogramm von Amazon Europe Core S.à r.l. (38 avenue John F. Kennedy, L-1855 Luxemburg) teil; als Amazon-Partner verdienen wir an qualifizierten Verkäufen. Am Preis ändert sich für Sie nichts.

Solange Sie einen Partnerlink nicht anklicken, wird nichts an Amazon übertragen; wir binden keine Inhalte von Amazon ein. Erst mit dem Klick öffnet sich die Website von Amazon in einem neuen Fenster. Amazon erhebt dann die bei jedem Seitenaufruf anfallenden Daten (u. a. IP-Adresse und Zeitpunkt) und erkennt über ein Merkmal in der Adresse bzw. ein Cookie, dass Sie über unseren Link gekommen sind, um uns eine Provision zuzuordnen. Für die Verarbeitung auf der Website von Amazon ist Amazon verantwortlich. Wir erhalten von Amazon keine Daten, die Sie identifizieren, sondern nur zusammengefasste Klick- und Bestellzahlen. Rechtsgrundlage für das Setzen der Links ist unser berechtigtes Interesse an der Finanzierung des Angebots (Art. 6 Abs. 1 lit. f DSGVO). Weitere Informationen: https://www.amazon.de/gp/help/customer/display.html?nodeId=GX7NJQ4ZB8MHFRNJ.

19. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage, die Anwendung oder die eingesetzten Dienste ändern. Für Ihren Besuch gilt die jeweils aktuelle, hier veröffentlichte Fassung. Über wesentliche Änderungen informieren wir registrierte Nutzer in der Anwendung.