Datenschutzerklärung

Für die Vermittlung der THG-Quote brauchen wir deinen Fahrzeugschein. Das ist ein sensibles Dokument. Diese Erklärung beschreibt den tatsächlichen technischen Ablauf auf thgverkauf.de: was wir speichern, wo es liegt, wer es bekommt und wann wir es löschen. Es gibt auf dieser Seite kein Tracking, keine Analyse-Werkzeuge, keine Werbenetzwerke, keine Social-Media-Plugins und keine Schriftarten von fremden Servern.

1. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Philipp Schmid
Anschrift wird ergänzt
E-Mail: info@thgverkauf.de

Einen Datenschutzbeauftragten haben wir nicht benannt, weil die Voraussetzungen des § 38 Bundesdatenschutzgesetz und des Art. 37 DSGVO bei uns nicht vorliegen. Alle Anfragen zum Datenschutz gehen an die genannte E-Mail-Adresse. Weitere Angaben zum Anbieter stehen im Impressum.

2. Grundsätze

Wir verarbeiten nur die Daten, die für den Betrieb der Seite, dein Konto, die Prüfung und Weiterleitung deiner Quotenmeldung, die Auszahlung und den Marktplatz nötig sind. Wir verkaufen keine Daten, wir geben keine Daten zu Werbezwecken weiter, wir bilden keine Profile und wir holen keine Bonitätsauskünfte ein. Wo wir Dienstleister einsetzen, nennen wir sie in dieser Erklärung mit Namen, Sitz und Rolle. Alle Systeme, die wir selbst betreiben, stehen in der Europäischen Union.

thgverkauf.de und unsere Jahresseiten (zum Beispiel thg2026.de) werden von demselben Verantwortlichen betrieben und nutzen dieselbe Datenbank. Dein Konto, deine Fahrzeuge und deine Anträge sind an dein Nutzerkonto gebunden, nicht an die Seite, über die du sie angelegt hast. Wir vermerken lediglich, über welche Seite ein Datensatz entstanden ist.

3. Hosting und Server-Protokolle

Diese Seite läuft auf einem von uns gemieteten Server bei OVH SAS, 2 rue Kellermann, 59100 Roubaix, Frankreich, in einem Rechenzentrum von OVH in Frankreich. OVH stellt Hardware, Strom und Netzanbindung bereit und ist insoweit Auftragsverarbeiter nach Art. 28 DSGVO. OVH hat keinen inhaltlichen Zugriff auf die Daten der Anwendung. Die Anwendung selbst, die Datenbank und der Anmeldedienst laufen auf diesem Server unter unserer Kontrolle.

Bei jedem Aufruf einer Seite verarbeitet der Webserver (Caddy) Verbindungsdaten und schreibt sie in Protokolldateien. Dazu gehören die IP-Adresse deines Geräts, Datum und Uhrzeit des Aufrufs, die aufgerufene Adresse, der HTTP-Statuscode, die übertragene Datenmenge, der Browser-Typ mit Version und Betriebssystem sowie die zuvor besuchte Seite, sofern dein Browser sie mitschickt.

Zweck dieser Verarbeitung ist die Auslieferung der Seite, die Sicherstellung eines stabilen Betriebs, die Fehlersuche und die Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und funktionsfähigen Betrieb der Seite. Die Protokolle werden nicht mit anderen Daten zusammengeführt und nicht zur Erstellung von Nutzungsprofilen verwendet. Wir werten sie nur anlassbezogen aus und löschen sie, sobald sie für diese Zwecke nicht mehr erforderlich sind. Eine feste Löschfrist ist derzeit nicht gesetzt. Sobald sie technisch gesetzt ist, tragen wir sie hier nach.

4. Cookies und lokale Speicherung

Wir setzen ausschließlich technisch notwendige Cookies. Nach dem Anmelden legt die Anwendung Sitzungs-Cookies ab, deren Name mit sb- beginnt und auf auth-token endet. Sie enthalten dein Anmelde-Token und halten die Sitzung aufrecht. Bei jedem Aufruf eines geschützten Bereichs prüft unser Server das Token und erneuert es bei Bedarf. Ohne diese Cookies kannst du dich nicht anmelden. Die Cookies werden beim Abmelden gelöscht oder laufen nach Ablauf der Sitzung ab. Vor dem Anmelden setzen wir keine Cookies.

Zusätzlich speichern wir im lokalen Speicher deines Browsers (localStorage) einen einzelnen Merker, wenn du den Hinweis zu Cookies geschlossen hast. Damit zeigen wir dir den Hinweis nicht bei jedem Aufruf erneut. Dieser Merker enthält keine personenbezogenen Daten, wird nicht an uns übertragen und kann von dir jederzeit über die Einstellungen deines Browsers gelöscht werden.

Rechtsgrundlage für das Speichern und Auslesen ist § 25 Abs. 2 Nr. 2 TDDDG, weil diese Speicherung unbedingt erforderlich ist, um den von dir ausdrücklich gewünschten Dienst bereitzustellen. Für die weitere Verarbeitung der Sitzungsdaten gilt Art. 6 Abs. 1 lit. b DSGVO. Eine Einwilligung ist dafür nicht nötig. Der Hinweis, den du beim ersten Besuch siehst, dient nur der Information. Er bietet keine Auswahl, weil es nichts abzulehnen gibt. Analyse-Cookies, Werbe-Cookies oder Cookies Dritter setzen wir nicht. Die Bezahlseite und die Onboarding-Seiten von Stripe sind eigene Websites von Stripe und setzen ihre Cookies dort, nicht auf thgverkauf.de.

Reichweitenmessung ohne Cookies

Wir messen selbst und ohne Dienste Dritter, wie unsere Seiten genutzt werden: welche Seite aufgerufen wurde, wie weit gescrollt wurde, wie lange die Seite sichtbar war, von welcher fremden Website der Aufruf kam (nur der Hostname), die Sprache des Browsers, die Geräteklasse aus der Fensterbreite sowie die erreichten Schritte des Antragsablaufs (etwa „Datei gewählt“ oder „Antrag gesendet“, ohne die Inhalte). Dafür setzen wir kein Cookie und legen keine dauerhafte Kennung an. Eine zufällige Sitzungsnummer liegt nur im Sitzungsspeicher deines Browsers (sessionStorage) und ist mit dem Schließen des Tabs weg. Deine IP-Adresse speichern wir nicht; wir bilden daraus einen verkürzten Hashwert mit einem täglich wechselnden Geheimnis, der sich nicht auf die Adresse zurückrechnen lässt. Adressen von Einzelseiten kürzen wir auf die Seitenart, Eingaben, Dateinamen und ausgelesene Fahrzeugscheindaten werden nicht erfasst.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, zu erkennen, welche Seiten gelesen werden und an welcher Stelle Nutzer den Antragsablauf abbrechen, um die Seite zu verbessern. Die Daten werden nicht an Dritte weitergegeben, nicht mit deinem Konto verknüpft und nicht für Werbung verwendet. Wir löschen sie nach 12 Monaten.

5. Konto und Anmeldung

Um eine Quote zu melden, brauchst du ein Konto. Die Anmeldung läuft über eine von uns selbst betriebene Authentifizierungssoftware (GoTrue) auf unserem eigenen Server. Es ist kein externer Identitätsdienst beteiligt, außer du wählst die Anmeldung mit Google (Abschnitt 6).

Du kannst dich auf drei Wegen anmelden:

Mit E-Mail-Adresse und Passwort. Das Passwort speichern wir ausschließlich als Hash. Wir können es nicht im Klartext lesen.
Mit einem Anmeldelink (Magic-Link). Du gibst deine E-Mail-Adresse ein, wir schicken dir einen Link mit einem einmaligen, zeitlich begrenzten Token. Ein Klick darauf meldet dich an.
Mit deinem Google-Konto (Abschnitt 6).

Verarbeitet werden deine E-Mail-Adresse, der Passwort-Hash oder die Kennung deines Google-Kontos, ein Anzeigename, sofern Google ihn liefert, der Zeitpunkt der Registrierung, die Zeitpunkte deiner Anmeldungen, die dabei verwendete IP-Adresse sowie die zur Bestätigung der E-Mail-Adresse und zum Zurücksetzen des Passworts erzeugten Token. Zu deinem Konto legen wir außerdem ein Profil mit E-Mail-Adresse und Anzeigename an, an dem Fahrzeuge, Anträge, Bestellungen und Auszahlungen hängen. Zweck ist die Bereitstellung des Kontos, die Zuordnung deiner Vorgänge und der Schutz deines Zugangs. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Protokollierung der Anmeldungen stützt sich zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse, Missbrauch des Kontos zu erkennen.

Das Konto bleibt bestehen, bis du es kündigst. Die Kündigung erklärst du per E-Mail an info@thgverkauf.de von der im Konto hinterlegten Adresse. Danach löschen wir die Kontodaten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht und kein Antrag mehr in Bearbeitung ist (Abschnitt 13).

6. Anmeldung mit Google

Wenn du dich mit Google anmeldest, leiten wir dich zu Google weiter. Anbieter für Nutzer im Europäischen Wirtschaftsraum ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Muttergesellschaft ist die Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.

Du meldest dich bei Google an und bestätigst dort, dass Google uns Daten übermitteln darf. Wir erhalten von Google eine eindeutige Kennung deines Google-Kontos, deine E-Mail-Adresse und, falls hinterlegt, deinen Anzeigenamen und die Adresse deines Profilbilds. Dein Google-Passwort sehen wir nie. Gleichzeitig erfährt Google, dass du dich bei uns anmeldest, und verarbeitet dabei deine IP-Adresse und weitere technische Daten in eigener Verantwortung.

Zweck ist die Anmeldung ohne eigenes Passwort. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil du diesen Anmeldeweg selbst wählst, um den Vertrag über dein Konto zu begründen und zu nutzen.

Bei dieser Anmeldung können Daten an die Google LLC in den USA übermittelt werden. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert. Für diese Übermittlung liegt damit ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO vor. Ergänzend stützt Google die Übermittlung auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Was Google mit den Daten in eigener Verantwortung tut, steht in der Datenschutzerklärung von Google. Wenn du diese Übermittlung vermeiden willst, nutze die Anmeldung mit E-Mail und Passwort oder den Anmeldelink. Beide Wege stehen gleichwertig zur Verfügung.

7. Fahrzeugdaten und Fahrzeugschein

Das ist der Kern dieser Erklärung. Ohne Nachweis der Halterschaft kann keine Quote gemeldet werden.

7.1 Welche Daten wir verarbeiten

Fahrzeug-Identifizierungsnummer (FIN), Kennzeichen, Fahrzeugklasse, Datum der Erstzulassung und Name des Halters, so wie du sie im Formular eingibst
Bild oder Scan der Zulassungsbescheinigung Teil I als PDF, JPG oder PNG mit einer Größe von höchstens 10 MB. Darauf stehen zusätzlich Anschrift des Halters, technische Fahrzeugdaten und die Antriebsart.
Zu jeder Datei: ursprünglicher Dateiname, Dateityp, Dateigröße und Zeitpunkt des Hochladens
Zu jedem Antrag: Quotenjahr, Bearbeitungsstand, Zeitpunkt der Einreichung, Zeitpunkt und Grund einer Ablehnung sowie die Ergebnisse unserer automatischen Vorprüfung (Abschnitt 12)

Lade bitte nur die Zulassungsbescheinigung Teil I hoch. Andere Dokumente, Ausweise oder Unterlagen mit Gesundheitsdaten brauchen wir nicht und wollen wir nicht. Erhalten wir solche Unterlagen trotzdem, löschen wir sie.

7.2 Wo die Datei liegt und wer sie sehen kann

Der Fahrzeugschein wird verschlüsselt an unseren Server übertragen und von dort in einem privaten Objektspeicher der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland, am Standort Falkenstein abgelegt. Der Speicher ist nicht öffentlich erreichbar. Die Datei wird unter einem zufällig erzeugten Namen gespeichert, der keinen Rückschluss auf dich zulässt. Der ursprüngliche Dateiname steht nur in unserer Datenbank. Willst du die Datei ansehen, erzeugt unser Server nach Prüfung deiner Anmeldung einen signierten Link, der nur wenige Minuten gültig ist. Auf demselben Weg greifen wir bei der Bearbeitung darauf zu. Hetzner ist insoweit Auftragsverarbeiter nach Art. 28 DSGVO und verarbeitet beim Abruf die IP-Adresse des Abrufenden und den Zeitpunkt.

Solange dein Antrag im Entwurf ist oder abgelehnt wurde, kannst du die Datei in deinem Konto selbst löschen. Nach dem Einreichen ist die Datei gesperrt, damit der Nachweis, den wir weiterleiten, dem entspricht, was du eingereicht hast.

7.3 Wozu wir sie verarbeiten

Nachweis deiner Halterschaft gegenüber dem Quotenhändler und gegenüber dem Umweltbundesamt
Prüfung, ob das Fahrzeug für die Treibhausgasminderungsquote anrechenbar sein kann
Prüfung, ob die Quote für dieses Fahrzeug im betreffenden Quotenjahr in unserem System bereits gemeldet wurde. Eine Doppelanmeldung ist unzulässig.
Bearbeitung, Rückfragen und Rückmeldung zu deinem Antrag
Abwicklung der Auszahlung, falls die Quote bestätigt wird

7.4 Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO. Die Verarbeitung der Fahrzeugdaten und des Fahrzeugscheins ist für die Erfüllung des Vermittlungsvertrags mit dir erforderlich. Ohne diese Daten können wir die Quote nicht melden. Soweit wir Belege wegen handels- und steuerrechtlicher Vorgaben aufbewahren müssen, stützt sich das auf Art. 6 Abs. 1 lit. c DSGVO. Die Prüfung auf Doppelanmeldungen stützt sich zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse, Rückforderungen und Falschmeldungen zu vermeiden.

7.5 Weitergabe an Quotenhändler und Umweltbundesamt

Zum Zweck der Quotenbescheinigung geben wir deine Fahrzeugdaten und den Fahrzeugschein an einen beim Umweltbundesamt registrierten Quotenhändler weiter. Er meldet die Quote beim Umweltbundesamt an und braucht dafür den Nachweis der Halterschaft. Das Umweltbundesamt prüft die Anrechnung und kann dafür die Zulassungsbescheinigung und die Fahrzeugdaten einsehen. Beide Stellen verarbeiten die Daten in eigener Verantwortung nach ihren eigenen Vorgaben, das Umweltbundesamt auf gesetzlicher Grundlage nach der 38. BImSchV. Rechtsgrundlage für die Übermittlung durch uns ist Art. 6 Abs. 1 lit. b DSGVO, weil sie der einzige Weg ist, den Vertrag mit dir zu erfüllen.

Den Quotenhändler benennen wir an dieser Stelle mit Namen und Anschrift, bevor wir zum ersten Mal Daten an ihn übermitteln. Solange hier kein Name steht, ist noch keine Übermittlung an einen Quotenhändler erfolgt. Wir nennen keinen Partner, mit dem noch kein Vertrag besteht.

8. Zahlung der Express-Option über Stripe

Buchst du die kostenpflichtige Express-Option, wickelt Stripe die Zahlung ab. Anbieter für Nutzer im Europäischen Wirtschaftsraum ist Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Beim Klick auf den Kaufknopf legen wir in unserer Datenbank eine Bestellung mit dem Status offen an und leiten dich auf eine von Stripe betriebene Bezahlseite. Deine Zahlungsdaten gibst du dort direkt bei Stripe ein. Sie erreichen unseren Server nicht.

An Stripe übermitteln wir deine E-Mail-Adresse, den Betrag, die Bezeichnung der Leistung und interne Kennungen (Nutzer-ID, Bestellnummer, Kennung dieser Seite). Von Stripe erhalten wir über eine signierte Rückmeldung (Webhook) die Vorgangskennung, den Betrag, den Zahlungsstatus und das Ergebnis der Zahlung. Vollständige Kartennummern sehen und speichern wir nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Zahlungsabwicklung und Art. 6 Abs. 1 lit. c DSGVO für die gesetzlichen Aufbewahrungspflichten.

9. Auszahlung über Stripe Connect

Die Auszahlung deiner Vergütung läuft über Stripe Connect. Damit wir dir Geld überweisen können, legen wir bei Stripe ein Auszahlungskonto für dich an. Dabei übermitteln wir an Stripe deine E-Mail-Adresse, das Land Deutschland, die Angabe, dass du als Privatperson handelst, und interne Kennungen (Nutzer-ID, Kennung dieser Seite). Anschließend leiten wir dich zu Stripe weiter. Dort gibst du direkt bei Stripe die Angaben ein, die Stripe als Zahlungsdienstleister gesetzlich erheben muss, insbesondere Name, Anschrift, Geburtsdatum und Bankverbindung, und gegebenenfalls einen Identitätsnachweis. Diese Angaben erhebt und prüft Stripe in eigener Verantwortung nach dem Geldwäschegesetz und den Vorgaben seiner Aufsicht. Sie erreichen unseren Server nicht. Wir speichern die Kennung deines Auszahlungskontos bei Stripe, ob Auszahlungen darauf möglich sind, und als Anzeigehilfe höchstens die letzten vier Stellen der hinterlegten Bankverbindung.

Beantragst du eine Auszahlung, legen wir dafür einen Datensatz mit Betrag, Antrag und Auszahlungskonto an. Geld fließt erst nach manueller Freigabe durch uns. An Stripe übermitteln wir dann den Betrag und die Kennung deines Auszahlungskontos.

Zweck ist die Auszahlung der Vergütung und die Erfüllung der gesetzlichen Pflichten des Zahlungsdienstleisters. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Abwicklung und Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Pflichten aus dem Geldwäsche- und Steuerrecht. Stripe verarbeitet die Daten als eigenständiger Verantwortlicher und kann sie an die Stripe, Inc. in den USA übermitteln. Grundlage sind das EU-US Data Privacy Framework, unter dem Stripe, Inc. zertifiziert ist, und ergänzend Standardvertragsklauseln nach Art. 46 DSGVO.

10. Marktplatz für Unternehmen

Der Marktplatz richtet sich ausschließlich an Unternehmen. Er wird gemeinsam über thgverkauf.de und unsere Jahresseiten (zum Beispiel thg2026.de) betrieben. Bedarfe, die über eine dieser Seiten eingestellt werden, sind auf allen diesen Seiten sichtbar.

10.1 Firmendaten

Zur Verifizierung deiner Firma verarbeiten wir Firmenname, Rechtsform, Anschrift, Land, Umsatzsteuer-Identifikationsnummer (USt-IdNr), Steuernummer, Registergericht und Registernummer sowie Name, E-Mail-Adresse und Telefonnummer eines Ansprechpartners und die Webadresse. Verarbeitet werden außerdem Status und Zeitpunkt der Verifizierung, der Grund einer Ablehnung und das Ergebnis der USt-IdNr-Prüfung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es sich um Daten natürlicher Personen handelt, etwa des Ansprechpartners oder eines Einzelunternehmers. Für die Prüfung von Falschangaben stützen wir uns zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse, den Marktplatz vor Missbrauch zu schützen.

10.2 Prüfung der USt-IdNr über VIES

Beim Einreichen der Firma prüfen wir die USt-IdNr über das Mehrwertsteuer-Informationsaustauschsystem (VIES) der Europäischen Kommission. Dazu übermitteln wir das Länderkürzel und die Nummer an die Schnittstelle der Europäischen Kommission, Generaldirektion Steuern und Zollunion, die die Anfrage an die zuständige nationale Finanzverwaltung weiterleitet. Wir erhalten zurück, ob die Nummer gültig ist, und, soweit der Mitgliedstaat das herausgibt, den dort hinterlegten Namen und die Anschrift. Die Antwort speichern wir zusammen mit dem Prüfzeitpunkt. Weitere Daten übermitteln wir nicht. Ist VIES nicht erreichbar, bleibt die Prüfung offen und wird später wiederholt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse, nur tatsächlich bestehende Unternehmen zuzulassen. Die Europäische Kommission verarbeitet die Anfrage in eigener Verantwortung.

10.3 Nachweisdokumente

Zur Verifizierung lädst du Nachweise hoch, etwa einen Handelsregisterauszug, eine Gewerbeanmeldung oder eine Vollmacht, als PDF, JPG oder PNG mit höchstens 10 MB je Datei und höchstens 10 Dateien je Firma. Diese Dateien liegen wie der Fahrzeugschein im privaten Objektspeicher bei Hetzner (Abschnitt 7.2) unter einem zufälligen Namen und sind nur über kurzlebige signierte Links erreichbar. Wir prüfen beim Hochladen, ob der Dateiinhalt zum angegebenen Dateityp passt. Auf den Nachweisen können personenbezogene Daten von Geschäftsführern, Inhabern oder Bevollmächtigten stehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

10.4 Bedarfe und Anfragen

Stellt deine Firma einen Bedarf ein, speichern wir Quotenjahr, Zertifikatsart, Menge, eine Notiz und, falls angegeben, eine Preisobergrenze. Andere verifizierte Firmen sehen den Bedarf nur in anonymisierter Form: Quotenjahr, Zertifikatsart, Menge, Datum der Veröffentlichung, Land und bei deutschen Firmen die ersten beiden Ziffern der Postleitzahl. Firmenname, Notiz, Preisobergrenze und Ansprechpartner werden anderen Firmen nie angezeigt. Stellt eine Firma eine Anfrage auf einen Bedarf, speichern wir die Anfrage mit Nachricht, Zeitpunkt und Status. Die anfragende Firma bleibt gegenüber dem Bedarfsinhaber anonym, bis wir den Kontakt herstellen. Jede Änderung an einem Bedarf protokollieren wir mit Zeitpunkt und handelndem Konto. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

11. E-Mail-Versand und Kontakt

Bestätigungsmails, Anmeldelinks, Links zum Zurücksetzen des Passworts, Statusmeldungen zu deinem Antrag und Zahlungsbelege versenden wir über einen eigenen Mailserver (Stalwart), der auf einem von uns gemieteten Server bei OVH am Standort Warschau, Polen, läuft. Ein externer Versanddienst ist nicht beteiligt. Für den Versand verarbeiten wir deine E-Mail-Adresse, den Inhalt der Nachricht und die Zustellprotokolle. Jede versendete Mail vermerken wir mit Empfänger, Vorlage, Zeitpunkt und Ergebnis in unserer Datenbank, damit wir bei Rückfragen nachvollziehen können, welche Nachricht dich erreicht hat. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Werbliche E-Mails versenden wir nicht.

Schreibst du uns eine E-Mail, verarbeiten wir deine Adresse, deinen Namen, soweit du ihn angibst, und den Inhalt der Nachricht, um deine Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um deinen Vertrag oder dessen Anbahnung geht, sonst Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse an der Beantwortung. Wir löschen die Korrespondenz, sobald der Vorgang erledigt ist und keine Aufbewahrungspflicht besteht.

12. Automatische Vorprüfung, keine automatisierte Entscheidung

Nach dem Einreichen eines Antrags läuft eine automatische Vorprüfung. Sie prüft das Format der FIN, ob dieselbe FIN für dasselbe Quotenjahr in unserem System bereits eingereicht wurde, ob die Fahrzeugklasse grundsätzlich anrechenbar ist und ob die Angaben in sich stimmig sind. Das Ergebnis wird zum Antrag gespeichert und dient ausschließlich der Vorbereitung unserer manuellen Prüfung. Ob ein Antrag abgelehnt wird, entscheidet ein Mensch. Ob die Quote angerechnet wird, entscheidet das Umweltbundesamt. Eine Entscheidung mit rechtlicher Wirkung, die ausschließlich auf automatisierter Verarbeitung beruht, findet bei uns nicht statt (Art. 22 DSGVO). Profilbildung findet nicht statt.

13. Speicherdauer und Löschung

Server-Protokolle: nur so lange, wie sie für Betrieb, Fehlersuche und Sicherheit nötig sind, danach Löschung.
Kontodaten: bis zur Kündigung des Kontos.
Reichweitenmessung: 12 Monate, danach Löschung.
Fahrzeugschein: Wir löschen die Datei, sobald der Nachweis gegenüber Quotenhändler und Umweltbundesamt für das betreffende Quotenjahr erbracht und die Auszahlung abgeschlossen ist, spätestens aber mit Ablauf der Aufbewahrungsfrist, wenn die Datei zugleich Buchungsbeleg ist. Wird der Antrag abgelehnt oder zurückgezogen, löschen wir die Datei, sobald mögliche Rückfragen geklärt sind. Solange der Antrag im Entwurf ist, kannst du sie jederzeit selbst löschen.
Fahrzeugstammdaten und Antragsstatus: für das laufende Verfahren und danach so lange, wie es nötig ist, um eine unzulässige Doppelanmeldung im selben Quotenjahr zu erkennen, längstens bis zum Ende der Aufbewahrungsfrist der zugehörigen Belege.
Bestell-, Zahlungs- und Auszahlungsdaten: nach § 147 Abgabenordnung und § 257 Handelsgesetzbuch je nach Art des Belegs sechs oder zehn Jahre ab dem Ende des Kalenderjahrs, in dem der Beleg entstanden ist. In dieser Zeit sind die Daten gesperrt.
Firmendaten und Nachweise im Marktplatz: für die Dauer der Teilnahme. Nach Beendigung löschen wir Nachweisdokumente, sobald keine Rückfragen mehr offen sind. Bei einer Sperre wegen Falschangaben behalten wir Firmenname, USt-IdNr und Sperrgrund, um eine erneute Anmeldung zu erkennen.
Bedarfe und Anfragen: bis zum Abschluss oder Rückzug des Bedarfs, danach so lange, wie es für die Nachvollziehbarkeit von Streitigkeiten zwischen den beteiligten Firmen nötig ist.
Mailprotokoll und E-Mail-Korrespondenz: bis der Vorgang erledigt ist, sofern keine Aufbewahrungspflicht besteht.

Du kannst die Löschung jederzeit verlangen. Wir setzen sie um, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht, und sagen dir, was aus welchem Grund bleiben muss.

14. Empfänger deiner Daten

OVH SAS, Frankreich, als Hosting-Anbieter für Anwendung, Datenbank, Anmeldedienst und Mailserver (Auftragsverarbeiter)
Hetzner Online GmbH, Deutschland, als Anbieter des Objektspeichers für Fahrzeugscheine und Nachweisdokumente (Auftragsverarbeiter)
der beim Umweltbundesamt registrierte Quotenhändler, sobald er hier benannt ist (eigenständiger Verantwortlicher)
das Umweltbundesamt (Behörde, eigenständiger Verantwortlicher)
Stripe Payments Europe, Limited, Irland, für Zahlung und Auszahlung (eigenständiger Verantwortlicher)
Google Ireland Limited und Google LLC, nur wenn du dich mit Google anmeldest (eigenständiger Verantwortlicher)
die Europäische Kommission für die VIES-Abfrage, nur bei Teilnahme am Marktplatz
andere verifizierte Firmen, nur in der in Abschnitt 10.4 beschriebenen anonymisierten Form
Steuerberatung, Behörden und Gerichte, soweit wir gesetzlich dazu verpflichtet sind

Eine weitere Weitergabe findet nicht statt. Fahrzeugscheine gehen weder an Stripe noch an Google noch an andere Firmen im Marktplatz.

15. Übermittlung in Drittländer

Unsere eigenen Systeme stehen ausschließlich in der Europäischen Union. Eine Übermittlung in Länder außerhalb des Europäischen Wirtschaftsraums findet nur bei der Anmeldung mit Google (Abschnitt 6) und bei Zahlung und Auszahlung über Stripe (Abschnitte 8 und 9) statt. In beiden Fällen ist der Empfänger in den USA unter dem EU-US Data Privacy Framework zertifiziert, sodass ein Angemessenheitsbeschluss nach Art. 45 DSGVO vorliegt. Ergänzend bestehen Standardvertragsklauseln nach Art. 46 DSGVO. Der Fahrzeugschein verlässt die Europäische Union nicht.

16. Pflicht zur Bereitstellung

Du bist weder gesetzlich noch vertraglich verpflichtet, uns Daten bereitzustellen. Ohne E-Mail-Adresse können wir aber kein Konto anlegen, ohne Fahrzeugschein keine Quote melden und ohne Auszahlungskonto bei Stripe keine Vergütung überweisen.

Automatisches Auslesen des Fahrzeugscheins

Wenn du auf der Seite "Hochladen" ein Foto oder einen Scan deiner Zulassungsbescheinigung Teil I einreichst, können wir die Felder E (FIN), A (Kennzeichen), J (Fahrzeugklasse), B (Erstzulassung), C.1.1 (Halter) und P.3 (Antriebsart) automatisch auslesen lassen, damit du sie nicht abtippen musst. Dazu übermitteln wir das Bild an OpenAI (OpenAI Ireland Ltd., Dublin, Irland, mit Verarbeitung auch in den USA auf Grundlage der EU-Standardvertragsklauseln). Das Bild wird dort nur zur Erkennung verarbeitet und nicht zum Training verwendet. Wir speichern das Bild bei diesem Schritt nicht; gespeichert wird erst, wenn du das Fahrzeug anlegst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung). Du kannst die Felder auch von Hand ausfüllen, dann findet keine Übermittlung statt.

17. Deine Rechte

Auskunft nach Art. 15 DSGVO über die Daten, die wir zu dir verarbeiten, sowie eine Kopie dieser Daten
Berichtigung unrichtiger oder unvollständiger Daten nach Art. 16 DSGVO
Löschung nach Art. 17 DSGVO, soweit keine Aufbewahrungspflicht oder ein anderer gesetzlicher Grund entgegensteht
Einschränkung der Verarbeitung nach Art. 18 DSGVO
Datenübertragbarkeit nach Art. 20 DSGVO in einem gängigen, maschinenlesbaren Format
Widerspruch nach Art. 21 DSGVO gegen Verarbeitungen, die wir auf Art. 6 Abs. 1 lit. f DSGVO stützen, aus Gründen, die sich aus deiner besonderen Situation ergeben

Für all das reicht eine E-Mail an info@thgverkauf.de. Wir antworten innerhalb eines Monats nach Art. 12 Abs. 3 DSGVO. Zur Sicherheit können wir dich bitten, deine Identität nachzuweisen, etwa durch eine Nachricht von der im Konto hinterlegten E-Mail-Adresse. Einwilligungen holen wir derzeit nicht ein, deshalb gibt es auch nichts zu widerrufen.

18. Beschwerderecht bei einer Aufsichtsbehörde

Du hast nach Art. 77 DSGVO das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Eine Liste der deutschen Aufsichtsbehörden veröffentlicht der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit. Welche Behörde für uns zuständig ist, ergänzen wir zusammen mit der Anschrift.

19. Sicherheit

Alle Verbindungen zu dieser Seite sind mit TLS verschlüsselt. Passwörter speichern wir ausschließlich als Hash. Fahrzeugscheine und Nachweise liegen in einem privaten Objektspeicher und sind nur über kurzlebige signierte Links erreichbar, die unser Server nach Prüfung der Anmeldung erzeugt. Dateinamen im Speicher werden zufällig vergeben. Rückmeldungen von Stripe nehmen wir nur an, wenn ihre Signatur stimmt. Zugriff auf die Datenbank hat nur der Verantwortliche. Wir halten die eingesetzte Software aktuell.

20. Änderungen dieser Erklärung

Ändert sich der technische Ablauf oder kommt ein neuer Empfänger hinzu, insbesondere sobald der Quotenhändler feststeht, passen wir diese Erklärung an, bevor die neue Verarbeitung beginnt. Es gilt die Fassung, die hier veröffentlicht ist.

Die anderen Rechtstexte

Diese Texte sind nicht anwaltlich geprüft.