Datenschutzerklärung
Stand: Oktober 2026
1. Verantwortlicher
AI Verticals GmbH
Im Mediapark 5D, 50670 Köln, Deutschland
E-Mail: hello@carstaiging.com
2. In welcher Rolle wir Daten verarbeiten
Das ist bei Carstaiging nicht durchgehend gleich, und der Unterschied ist
wichtig:
Für Ihr Konto und die Website sind wir Verantwortlicher. Registrierung,
Anmeldung, Abrechnung, Support — dafür entscheiden wir über Zwecke und Mittel.
**Für die hochgeladenen Fahrzeugfotos eines Geschäftskunden sind wir
Auftragsverarbeiter.** Welche Fahrzeuge fotografiert und welche Bilder
hochgeladen werden, entscheidet allein der Kunde; wir verarbeiten sie
weisungsgebunden. Grundlage ist der Auftragsverarbeitungsvertrag nach Art. 28
DSGVO, den wir jedem Geschäftskunden zur Verfügung stellen. Für diese Daten
gilt die Datenschutzerklärung des jeweiligen Kunden.
**Nutzen Privatpersonen den Dienst, sind wir auch für die Bilder
Verantwortlicher**, weil hier kein Auftragsverhältnis zwischen Unternehmen
besteht.
3. Welche Daten wir verarbeiten
3.1 Beim Aufruf der Website
Beim Aufruf werden technisch notwendige Daten verarbeitet: IP-Adresse,
Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Browsertyp und
Betriebssystem. Ohne diese Daten lässt sich eine Seite nicht ausliefern.
- Zweck: Auslieferung, Stabilität, Abwehr von Angriffen
- Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am
sicheren Betrieb)
- Speicherdauer: 14 Tage
Schriftarten werden von unserem eigenen Server ausgeliefert. Es entsteht keine
Verbindung zu Google Fonts oder einem anderen fremden Server.
3.2 Cookies
Wir setzen ein einziges Cookie: cs_session. Es enthält eine zufällige
Zeichenfolge, die Ihre Sitzung wiedererkennt, ist für Skripte im Browser nicht
lesbar (httpOnly) und läuft nach 30 Tagen ab, bei einer noch nicht durch den
zweiten Faktor bestätigten Anmeldung nach zehn Minuten.
Dieses Cookie ist technisch notwendig, um eine ausdrücklich gewünschte
Funktion — die Anmeldung — bereitzustellen. Es bedarf deshalb nach § 25 Abs. 2
Nr. 2 TDDDG keiner Einwilligung. **Wir setzen keine Analyse-, Werbe- oder
Trackingdienste ein und binden keine fremden Skripte ein.** Ein Cookie-Banner
ist daher nicht erforderlich.
3.3 Bei der Registrierung und Kontoführung
| Daten | Zweck |
|---|---|
| E-Mail-Adresse, Name | Zugang, Ansprache, Support |
| Passwort (nur als bcrypt-Hash gespeichert, nie im Klartext) | Anmeldung |
| Geheimnis für die Zwei-Faktor-Anmeldung, Notfallcodes (gehasht) | Absicherung des Kontos |
| Zeitpunkt der Registrierung, IP-Adresse dabei | Nachweis des Vertragsschlusses, Missbrauchsabwehr |
| Zeitpunkt der letzten Anmeldung, IP-Adresse und Browserkennung der Sitzung | Sicherheit, Erkennen fremder Zugriffe |
| Bei Unternehmen zusätzlich: Firmenname, Anschrift, Telefonnummer, Umsatzsteuer-Identifikationsnummer, Handelsregisternummer, Webseite | Vertrag, Rechnungsstellung, gesetzliche Pflichtangaben |
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), für die
Sicherheitsangaben zusätzlich lit. f (berechtigtes Interesse am Schutz der
Konten)
Geben Sie bei der Registrierung die Adresse Ihrer Webseite an, rufen wir diese
einmalig auf, um ein dort veröffentlichtes Logo zu finden und zu übernehmen.
Das erspart Ihnen den Upload. Dabei wird die Webseite so abgerufen, wie es auch
ein Besucher täte; Ihre Daten geben wir dabei nicht weiter.
3.4 Fahrzeugdaten und Fotos
Sie legen zu jedem Fahrzeug Angaben an und laden Fotos hoch. Diese können
personenbezogene Daten enthalten:
- Amtliches Kennzeichen und Fahrzeug-Identifizierungsnummer lassen sich
einem Halter zuordnen und sind damit personenbezogen.
- Auf Fotos abgebildete Personen — Passanten, Mitarbeitende — sowie
Kennzeichen anderer Fahrzeuge im Hintergrund.
Wir werten diese Inhalte nicht aus und suchen nicht nach Personen. Verarbeitet
werden sie ausschließlich, um daraus die von Ihnen beauftragten Bilder zu
erzeugen.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO im Verhältnis zu Ihnen; für
die abgebildeten Dritten liegt die Rechtsgrundlage bei Ihnen als
hochladender Stelle (siehe § 5 der AGB und der
Auftragsverarbeitungsvertrag).
Aufbewahrung: Originalfotos werden nach Ablauf der von Ihnen eingestellten
Frist gelöscht (wahlweise 90, 180 oder 365 Tage; ohne Einstellung unbegrenzt).
Die daraus erzeugten Bilder bleiben erhalten — sie sind das Arbeitsergebnis,
für das Sie bezahlt haben. Wir empfehlen, eine Frist zu setzen.
3.5 Bildgenerierung durch künstliche Intelligenz
Zur Erzeugung der Bilder übermitteln wir das hochgeladene Foto und eine
Beschreibung der gewünschten Umgebung an einen Anbieter von KI-Modellen (siehe
Nummer 4). Ohne diese Übermittlung ist die Leistung nicht erbringbar.
Es findet keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO
statt. Das Modell erzeugt Bilder; es trifft keine Entscheidungen über Personen.
3.6 Fotografieren mit dem Mobiltelefon
Sie können am Rechner einen QR-Code erzeugen und mit dem Telefon aufnehmen, um
Fotos direkt hochzuladen. Der Link enthält eine zufällige Zeichenfolge, die bei
uns nur als Hashwert liegt, gilt 45 Minuten und nur für ein Fahrzeug. Zugriff
auf Kamera oder Fotos erhält ausschließlich Ihr Browser und nur, wenn Sie es
dort erlauben.
3.7 Abrechnung
Zahlungsdaten werden von unserem Zahlungsdienstleister verarbeitet (siehe
Nummer 4). **Kreditkartennummern und Bankverbindungen erreichen unsere Systeme
nicht.** Wir speichern, welches Paket Sie gebucht haben, den Zustand des Abos
und die verbrauchten Credits.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Aufbewahrung von
Rechnungen Art. 6 Abs. 1 lit. c in Verbindung mit § 147 AO und § 257 HGB
3.8 Protokollierung sicherheitsrelevanter Vorgänge
Anmeldeversuche, Einladungen, Änderungen an Konten und ähnliche Vorgänge werden
mit Zeitpunkt und IP-Adresse protokolliert. Zur Abwehr automatisierter Angriffe
zählen wir Anfragen je IP-Adresse; diese Zähler liegen nur im Arbeitsspeicher
und verschwinden nach kurzer Zeit von selbst.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO
- Speicherdauer: 90 Tage. Ausgenommen sind Einträge, die einen Nachweis
festhalten und deshalb bleiben: Ihre Zustimmung zu diesen Texten bei der
Registrierung, Beginn und Ende einer Rollenansicht in Ihr Konto sowie
einmalig bezahlte Buchungen.
4. Empfänger und Auftragsverarbeiter
| Empfänger | Zweck | Ort | Grundlage |
|---|---|---|---|
| Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Server und Objektspeicher | Deutschland (Rechenzentrum Nürnberg) | Auftragsverarbeitung, Art. 28 DSGVO |
| Google Ireland Limited / Google LLC | Bildgenerierung und Bilderkennung (Gemini API) | EU und USA | Auftragsverarbeitung, Art. 28; Drittland siehe Nummer 5 |
| Namecheap, Inc., 4600 East Washington Street, Suite 300, Phoenix, AZ 85034, USA | Registrierung und Verwaltung der Domain (DNS), E-Mail-Postfach sowie Versand von Bestätigungs- und Systemnachrichten (Private Email) | USA | Auftragsverarbeitung, Art. 28 DSGVO (Data Processing Addendum); Drittland siehe Nummer 5 |
Eine Weitergabe zu Werbezwecken findet nicht statt. Wir verkaufen keine Daten.
5. Übermittlung in Drittländer
Die Bildgenerierung erfolgt über Dienste von Google. Dabei können Daten in den
Vereinigten Staaten verarbeitet werden. Die Google LLC ist nach dem EU-US Data
Privacy Framework zertifiziert; die Europäische Kommission hat mit
Angemessenheitsbeschluss vom 10. Juli 2023 festgestellt, dass dort ein
angemessenes Schutzniveau besteht. Ergänzend gelten die Standardvertragsklauseln.
Für die Registrierung und Verwaltung unserer Domain sowie für unseren
E-Mail-Dienst nutzen wir Dienstleistungen der Namecheap, Inc., 4600 East
Washington Street, Suite 300, Phoenix, AZ 85034, USA. Dabei können
personenbezogene Daten — insbesondere E-Mails mit Ihrer E-Mail-Adresse — in die
USA übermittelt und dort verarbeitet werden. Soweit Namecheap personenbezogene
Daten in unserem Auftrag verarbeitet, erfolgt dies auf Grundlage eines Data
Processing Addendum (DPA) als Vertrag zur Auftragsverarbeitung nach Art. 28
DSGVO. Für Übermittlungen in die USA bzw. andere Drittländer ohne
Angemessenheitsbeschluss sieht das DPA die Standardvertragsklauseln der
Europäischen Kommission vor (Art. 46 Abs. 2 lit. c DSGVO;
Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021, Modul 2 „Verantwortlicher
an Auftragsverarbeiter").
6. Speicherdauer im Überblick
| Daten | Dauer |
|---|---|
| Konto und Stammdaten | Bis zur Löschung des Kontos |
| Originalfotos | Nach eingestellter Frist (90/180/365 Tage), sonst unbegrenzt |
| Erzeugte Bilder | Bis zur Löschung durch Sie oder des Kontos |
| Sitzungen | 30 Tage, danach automatisch entfernt |
| Rechnungen und Buchungsbelege | 10 Jahre (§ 147 AO) |
| Handelsbriefe, etwa Vertragskorrespondenz | 6 Jahre (§ 257 HGB) |
| Sicherheitsprotokolle | 90 Tage; Nachweise über Zustimmung, Rollenansicht und bezahlte Buchungen bleiben |
Nach Beendigung des Vertrags löschen wir Ihre Daten, soweit keine gesetzliche
Aufbewahrungspflicht entgegensteht. Für die Dauer einer solchen Pflicht wird
die Verarbeitung eingeschränkt.
7. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16),
Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18),
Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO).
Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft
widerrufen.
Wenden Sie sich dafür an hello@carstaiging.com.
Sie haben außerdem das Recht, sich bei einer Aufsichtsbehörde zu beschweren.
Zuständig ist die Behörde an Ihrem Wohnsitz oder an unserem Sitz:
Landesbeauftragte für Datenschutz und Informationsfreiheit
Nordrhein-Westfalen
Postfach 20 04 44
40102 Düsseldorf
Telefon: +49 211 38424-0
Widerspruchsrecht: Soweit wir Daten auf Grundlage berechtigter Interessen
verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), können Sie dagegen Widerspruch
einlegen, wenn sich aus Ihrer besonderen Situation Gründe ergeben.
8. Sicherheit
Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO.
Insbesondere:
- Übertragung ausschließlich verschlüsselt (TLS)
- Passwörter nur als Hash mit bcrypt, nie im Klartext
- Zwei-Faktor-Anmeldung für alle Konten
- Trennung der Mandanten auf Datenbankebene; jede Abfrage ist an das jeweilige
Konto gebunden
- Bilder werden nie über offene Adressen ausgeliefert, sondern nur nach
Prüfung der Zugehörigkeit
- Begrenzung der Anfragen je Absender gegen automatisierte Angriffe
9. Pflicht zur Bereitstellung
Die Angaben bei der Registrierung sind für den Vertragsschluss erforderlich.
Ohne sie können wir keinen Zugang einrichten. Weitergehende Angaben — etwa
Telefonnummer oder Webseite — sind freiwillig.
10. Änderungen
Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert, etwa weil
eine neue Funktion hinzukommt. Es gilt die jeweils hier veröffentlichte Fassung.