Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

VisionVista Beteiligungs GmbH, Fasangasse 36, 8075 Hart bei Graz, Österreich, E-Mail: kontakt@erntbar.at (Betreiberin der Erntbar-Plattform)

Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich und wurde nicht bestellt. Für alle Anliegen zum Datenschutz erreichst du uns unter kontakt@erntbar.at.

2. Überblick: Wann verarbeiten wir Daten?

Wir verarbeiten personenbezogene Daten in folgenden Situationen, die in den nachstehenden Abschnitten im Detail beschrieben sind:

• beim Besuch unserer Website und Web-App (technische Zugriffsdaten, Cookies, Abschnitte 4 und 5);
• bei der Vorregistrierung für den Start von Erntbar (Abschnitt 6);
• bei Registrierung und Nutzung eines Nutzerkontos (Abschnitte 7 bis 14);
• bei der Kommunikation mit uns, z. B. per E-Mail (Abschnitt 15);
• bei Webanalyse (mit deiner Einwilligung), anonymer Reichweitenmessung (ohne Einwilligung, ohne Speicherung auf deinem Gerät) und Fehlerdiagnose (Abschnitte 16 und 17).

Die wichtigsten Rechtsgrundlagen sind: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags), Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen, z. B. Sicherheit und Stabilität der Plattform), Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, z. B. Webanalyse oder Erntbar-Neuigkeiten per E-Mail) und Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtungen).

3. Deine Rechte

Dir stehen hinsichtlich deiner bei uns gespeicherten personenbezogenen Daten grundsätzlich folgende Rechte zu:

• Auskunft (Art. 15 DSGVO): Du kannst Auskunft darüber verlangen, welche Daten wir über dich verarbeiten, und eine Kopie dieser Daten erhalten.
• Berichtigung (Art. 16 DSGVO): Du kannst die Berichtigung unrichtiger Daten verlangen. Profildaten kannst du jederzeit selbst in den Einstellungen ändern.
• Löschung (Art. 17 DSGVO): Du kannst die Löschung deiner Daten verlangen, soweit keine gesetzlichen Aufbewahrungspflichten oder überwiegenden berechtigten Gründe entgegenstehen. Dein Konto kannst du jederzeit selbst in den Einstellungen löschen (Abschnitt 19).
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO): Du kannst die Daten, die du uns bereitgestellt hast, in einem strukturierten, gängigen und maschinenlesbaren Format erhalten.
• Widerspruch (Art. 21 DSGVO): Verarbeitungen, die wir auf unser berechtigtes Interesse stützen, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, es liegen zwingende schutzwürdige Gründe vor.
• Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): Erteilte Einwilligungen (z. B. zur Webanalyse) kannst du jederzeit mit Wirkung für die Zukunft widerrufen, etwa über die Cookie-Einstellungen auf der Website und in der App.

Zur Ausübung deiner Rechte genügt eine formlose Nachricht an kontakt@erntbar.at. Zum Schutz deiner Daten können wir bei Zweifeln an der Identität zusätzliche Nachweise verlangen (z. B. Anfrage über die im Konto hinterlegte E-Mail-Adresse).

Wenn du der Ansicht bist, dass die Verarbeitung deiner Daten gegen Datenschutzrecht verstößt, hast du das Recht auf Beschwerde bei einer Aufsichtsbehörde. In Österreich ist dies die Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, Telefon +43 1 52 152-0, E-Mail dsb@dsb.gv.at, www.dsb.gv.at. Du kannst dich auch an die Aufsichtsbehörde deines gewöhnlichen Aufenthaltsorts wenden, in Deutschland an die Datenschutzbehörde deines Bundeslandes, in der Schweiz an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).

4. Besuch der Website und Web-App: technische Zugriffsdaten

Beim Aufruf unserer Website und Web-App werden automatisch Informationen erfasst, die dein Browser übermittelt: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite bzw. Ressource, Referrer-URL, verwendeter Browser und Betriebssystem sowie technische Statusinformationen. Diese Daten sind technisch erforderlich, um die Inhalte auszuliefern, die Sicherheit und Stabilität zu gewährleisten (z. B. Erkennung und Abwehr von Angriffen und Missbrauch, Rate-Limiting) und Fehler zu analysieren.

Hosting: Unsere Website und Web-App werden bei Vercel Inc. (440 N Barranca Ave #4133, Covina, CA 91723, USA) gehostet und über deren weltweit verteiltes Content-Delivery-Netzwerk ausgeliefert. Datenbank, Authentifizierung, Dateispeicher und Echtzeitfunktionen betreiben wir bei Supabase, Inc. (970 Toa Payoh North #07-04, Singapur); die Datenhaltung erfolgt dabei in der EU (AWS-Region Frankfurt am Main, Deutschland). Zum Schutz vor Missbrauch und zur Auslieferung nutzen wir zudem Dienste von Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA), über die Anfragen an unsere Domains geleitet werden können.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der sicheren, stabilen und performanten Bereitstellung der Plattform. Gegenüber registrierten Nutzern ist die Verarbeitung zudem für die Vertragserfüllung erforderlich (Art. 6 Abs. 1 lit. b DSGVO).

Speicherdauer: Technische Protokolldaten werden nur für kurze, rollierende Zeiträume gespeichert (in der Regel wenige Tage bis maximal 90 Tage) und anschließend gelöscht, soweit sie nicht zur Aufklärung konkreter Vorfälle länger benötigt werden.

Mit den genannten Anbietern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO; zu Übermittlungen in Drittländer siehe Abschnitt 21.

5. Cookies und lokale Speicherung

Wir verwenden nur wenige Cookies und vergleichbare Technologien (localStorage). Technisch notwendige Speicherungen setzen wir ohne Einwilligung ein (§ 165 Abs. 3 TKG); alle nicht notwendigen Speicherungen (Webanalyse) erfolgen ausschließlich nach deiner vorherigen Einwilligung über das Cookie-Banner (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG).

Solange du keine Auswahl getroffen hast, wird für die Webanalyse nichts auf deinem Gerät gespeichert — auch nicht vom Cookie-Banner selbst. Die technisch notwendigen Speicherungen aus der Tabelle unten (Login, Sicherheit) bleiben davon unberührt. Lehnst du ab, kommt ausschließlich deine Ablehnung dazu, damit wir dich nicht erneut fragen. Die anonyme Reichweitenmessung, die in diesem Fall weiterläuft, kommt ohne jede Speicherung auf deinem Gerät aus (Abschnitt 16 b).

Deine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Einstellungen“ im Footer der Website bzw. in den App-Einstellungen ändern oder widerrufen.

6. Vorregistrierung (Warteliste)

Vor dem offiziellen Start kannst du dich auf unserer Website mit deiner E-Mail-Adresse vormerken lassen. Dabei verarbeiten wir: deine E-Mail-Adresse, optional Name, Region, Interesse und eine Nachricht, den Zeitpunkt deiner Einwilligung, die Quelle der Anmeldung sowie grobe technische Geräteinformationen (Gerätetyp, Plattform, Browser, ohne genaue Kennungen).

Zweck und Rechtsgrundlage: Wir verwenden diese Daten ausschließlich, um dich per E-Mail über den Start und die Verfügbarkeit von Erntbar zu informieren. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du mit dem Absenden des Formulars erteilst und jederzeit per E-Mail an kontakt@erntbar.at widerrufen kannst.

Speicherdauer: bis zum Abschluss der Start-Kommunikation, längstens jedoch bis zu deinem Widerruf; danach werden die Daten gelöscht.

7. Registrierung und Nutzerkonto

Für die Nutzung der Plattform-Funktionen ist ein Nutzerkonto erforderlich. Bei der Registrierung verarbeiten wir: E-Mail-Adresse, Passwort (ausschließlich als kryptografischer Hash), Name bzw. Anzeigename, Land und Spracheinstellung sowie technische Konto-Metadaten (z. B. Zeitpunkt der Registrierung und letzten Anmeldung).

Anmeldung über Drittanbieter: Alternativ kannst du dich mit Google Sign-In (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) oder Apple Sign-In (Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, Irland) registrieren. Dabei erhalten wir vom jeweiligen Anbieter deine E-Mail-Adresse (bei Apple auf Wunsch eine anonymisierte Relay-Adresse), deinen Namen und eine technische Konto-Kennung. Welche Daten der jeweilige Anbieter dabei selbst verarbeitet, ergibt sich aus dessen Datenschutzerklärung (Google, Apple). Die Nutzung dieser Anmeldedienste ist freiwillig.

Die Authentifizierung erfolgt über Supabase Auth (Abschnitt 4); kontobezogene System-E-Mails (z. B. Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts) werden darüber versendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Speicherdauer: bis zur Löschung deines Kontos (Abschnitt 19).

8. Profil und öffentliche Sichtbarkeit

In deinem Profil kannst du freiwillig weitere Angaben machen: Profilfoto, Kurzbeschreibung (Bio) und einen ungefähren Basis-Standort. Dein Anzeigename, dein Profilfoto, deine Bio, deine Bewertungen und deine aktiven Inserate sind für andere Nutzer sichtbar; bei öffentlichen Inseraten auch für nicht angemeldete Besucher.

Dein Basis-Standort bleibt privat: Andere Nutzer sehen höchstens eine grobe Regionsangabe, niemals deine genaue Adresse oder Koordinaten. Der Basis-Standort dient dazu, dir Inserate in deiner Nähe anzuzeigen und Entfernungen zu berechnen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Marktplatzfunktionen). Überlege dir, welche Informationen du in öffentlich sichtbaren Feldern (Profil, Bio, Inserate) teilst.

9. Inserate und Hofstände

Wenn du Inserate erstellst, verarbeiten wir die Inhalte des Inserats: Titel, Beschreibung, Kategorie, Menge, Preis, Fotos und den von dir gewählten Standort. Inserate sind öffentlich: sie sind samt Fotos und Standort-Markierung auf der Karte für alle Besucher der Plattform sichtbar und können von Suchmaschinen erfasst werden. Du musst nicht deine Wohnadresse angeben; ein ungefährer Standort in der Nähe genügt.

Beim Anlegen eines Hofstands (Hofladen oder Selbstbedienungs-Automat) werden Name, Adresse, Öffnungszeiten, Beschreibung, Kontaktangaben, Fotos und Produktsortiment verarbeitet und öffentlich angezeigt, das ist der Zweck eines Hofstand-Profils.

Zur Umwandlung von Adressen in Kartenkoordinaten (und umgekehrt) nutzen wir den Geocoding-Dienst von Mapbox über einen eigenen Server-Proxy; dabei wird die eingegebene Adresse, nicht aber dein Name oder Konto an Mapbox übermittelt (Abschnitt 12).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis du das Inserat bzw. den Hofstand löschst oder dein Konto endgültig gelöscht wird (Abschnitt 19).

10. KI-Bildanalyse und automatische Bildprüfung

KI-Bildanalyse (freiwillig): Beim Erstellen eines Inserats kannst du dir aus deinem Produktfoto automatisch Vorschläge für Titel, Kategorie, Beschreibung, Menge und Preis erstellen lassen. Dazu wird das Foto an die Gemini-API von Google LLC (1600 Amphitheatre Parkway, Mountain View, CA 94043, USA) übermittelt und dort ausgewertet. Übermittelt wird das Foto sowie unser Kategorienkatalog, keine Kontodaten und kein Name. Nach unserer Vereinbarung mit Google werden über die kostenpflichtige API übermittelte Inhalte nicht zum Training der Google-Modelle verwendet. Die Vorschläge sind unverbindlich und werden von dir vor Veröffentlichung geprüft.

Automatische Bildprüfung: Alle hochgeladenen Bilder (Inseratsfotos, Profil- und Hofstand-Fotos) werden automatisiert auf unzulässige Inhalte (z. B. Gewalt- oder Nacktdarstellungen) geprüft. Dazu wird das Bild an Amazon Rekognition von Amazon Web Services (AWS, Verarbeitung in der Region Frankfurt, eu-central-1; Anbieter: Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg) übermittelt und mit Inhaltskennzeichnungen versehen. Auffällige Bilder werden für eine menschliche Überprüfung markiert; endgültige Entscheidungen über Inhalte und Konten trifft ein Mensch. Es findet keine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO statt, die dir gegenüber rechtliche Wirkung entfaltet.

Rechtsgrundlagen: Für die KI-Bildanalyse Art. 6 Abs. 1 lit. b DSGVO (von dir angeforderte Funktion); für die Bildprüfung Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz der Nutzer vor rechtswidrigen und anstößigen Inhalten sowie an der Erfüllung unserer Pflichten als Hosting-Dienst). Zu Drittlandübermittlungen siehe Abschnitt 21.

11. Karten und Standortdaten

Zur Darstellung interaktiver Karten verwenden wir Mapbox GL JS von Mapbox Inc. (740 15th Street NW, 5th Floor, Washington, DC 20005, USA). Beim Laden der Karte stellt dein Browser eine Verbindung zu Mapbox-Servern her; dabei werden technisch bedingt deine IP-Adresse, der Kartenausschnitt und Geräteinformationen an Mapbox übermittelt.

Deinen Gerätestandort (GPS/Browser-Geolocation) verwenden wir nur, wenn du dies über die Standortabfrage deines Browsers oder Geräts ausdrücklich erlaubst, etwa um Inserate in deiner Nähe zu sortieren. Du kannst stattdessen jederzeit einen Standort manuell wählen. Die Standortfreigabe kannst du in den Einstellungen deines Browsers bzw. Geräts jederzeit widerrufen.

Rechtsgrundlagen: Einbindung der Karten: Art. 6 Abs. 1 lit. b DSGVO (Kernfunktion der Plattform); Nutzung des Gerätestandorts: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über die Geräte-/Browserfreigabe).

12. Chat, Angebote und Abholvereinbarungen

Wenn du mit anderen Nutzern kommunizierst, verarbeiten wir deine Chat-Nachrichten, Reservierungsanfragen/Angebote (Menge, Preisvorschlag) und Abholvereinbarungen (Datum, Treffpunkt bzw. Abholadresse) sowie die zugehörigen Metadaten (Zeitpunkte, beteiligte Konten, Lese-Status). Diese Inhalte sind nur für die jeweils beteiligten Nutzer sichtbar.

Unsere Mitarbeiter nehmen Einsicht in Chat-Inhalte nur, soweit dies im Einzelfall erforderlich ist, insbesondere zur Bearbeitung einer Meldung, bei konkretem Verdacht auf Missbrauch oder aufgrund gesetzlicher Verpflichtung. Eine systematische oder anlasslose Überwachung der Chats findet nicht statt.

Bitte beachte: Die Abholadresse, die du im Rahmen einer Abholvereinbarung teilst, wird dem jeweils anderen Nutzer angezeigt. Teile sensible Informationen nur, wenn es für die Abwicklung nötig ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Einsichtnahmen zur Missbrauchsbekämpfung Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: Chats bleiben für die beteiligten Nutzer verfügbar, bis die Konten gelöscht werden; nach Kontolöschung werden deine Beiträge der Gegenseite nur noch anonymisiert angezeigt (Abschnitt 19).

13. Bewertungen und Transaktionen

Nach einer abgeschlossenen Transaktion können sich die Beteiligten gegenseitig bewerten. Wir verarbeiten dabei die abgegebene Bewertung (Sterne, optionaler Text), die Verknüpfung zur Transaktion und zu den beteiligten Konten. Bewertungen werden öffentlich in den Profilen angezeigt. Transaktionsdaten (was, wann, zwischen wem) speichern wir zur Bereitstellung der Funktion, zur Sicherstellung der Echtheit von Bewertungen und zur Missbrauchsprävention.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; hinsichtlich Echtheitssicherung und Missbrauchsprävention Art. 6 Abs. 1 lit. f DSGVO.

14. Benachrichtigungen

Über Ereignisse, die dein Konto betreffen (z. B. neue Nachrichten, Angebote, Abholvorschläge, Bewertungen, Moderationsentscheidungen), informieren wir dich über Benachrichtigungen innerhalb der Plattform. Zustellungen werden protokolliert, um Mehrfachzustellungen zu vermeiden. Werbliche Push-Benachrichtigungen senden wir nur mit deiner ausdrücklichen Einwilligung; deine Benachrichtigungs- und E-Mail-Einstellungen kannst du jederzeit in der App verwalten.

Sofern künftig Push-Benachrichtigungen angeboten werden und du sie auf deinem Gerät aktivierst, setzen wir dafür den Dienst OneSignal (OneSignal, Inc., 201 Redwood Shores Pkwy, Redwood City, CA 94065, USA) ein; dabei werden eine Geräte-Kennung (Push-Token) und Zustelldaten verarbeitet. Push-Benachrichtigungen kannst du jederzeit in den Geräte- bzw. App-Einstellungen deaktivieren.

Service-E-Mails: Über wichtige kontobezogene Ereignisse informieren wir dich zusätzlich per E-Mail an deine hinterlegte Adresse, z. B. wenn Chat-Nachrichten längere Zeit unbeantwortet bleiben, ein Inserat abläuft oder eine Moderationsentscheidung dein Konto betrifft. Erinnerungs-E-Mails (etwa zu unbeantworteten Nachrichten oder ablaufenden Inseraten) kannst du jederzeit in den Einstellungen oder über den Abmelde-Link in der jeweiligen E-Mail abbestellen; sicherheits- und vertragsrelevante E-Mails (z. B. Passwort-Änderung, Konto-Löschung) versenden wir unabhängig davon. Die E-Mails enthalten keine Chat-Inhalte. Für den Versand setzen wir den Dienst Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) ein; der Versand erfolgt über EU-Infrastruktur (Irland), Protokoll- und Metadaten (z. B. Empfängeradresse, Betreff, Zustellstatus) werden beim Anbieter in den USA verarbeitet (Abschnitte 18 und 21).

Erntbar-Neuigkeiten (Newsletter): Wenn du dem ausdrücklich zustimmst, senden wir dir einige Male pro Jahr eine E-Mail über die Weiterentwicklung von Erntbar — neue Funktionen, neue Regionen und saisonale Tipps. Diese Einwilligung ist freiwillig und für die Nutzung der Plattform nicht erforderlich; sie ist standardmäßig deaktiviert. Wir versenden diese E-Mails an die bereits bestätigte E-Mail-Adresse deines Kontos und ausschließlich in eigenem Namen — es findet keine Werbung für Dritte statt und wir geben deine Adresse nicht zu Werbezwecken weiter. Du kannst die Einwilligung jederzeit und ohne Angabe von Gründen widerrufen: über den Schalter „Erntbar-Neuigkeiten" in den Einstellungen oder über den Abmelde-Link in jeder dieser E-Mails. Der Widerruf gilt ab sofort; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Nachweis der Einwilligung: Um deine Einwilligung belegen zu können (Art. 7 Abs. 1 DSGVO), protokollieren wir jede Entscheidung — Zustimmung wie Widerruf — mit Zeitpunkt, der Fassung des Einwilligungstexts sowie IP-Adresse und Browser-/App-Kennung der Anfrage. Diese Protokolle dienen ausschließlich dem Nachweis und werden nicht für Werbung verwendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für optionale Push-Kanäle die von dir erteilte Aktivierung (Art. 6 Abs. 1 lit. a DSGVO); für Erntbar-Neuigkeiten deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 174 TKG 2021 bzw. § 7 UWG) und für die Nachweisprotokolle unsere rechtliche Verpflichtung und unser berechtigtes Interesse an der Nachweisbarkeit (Art. 6 Abs. 1 lit. c und f DSGVO). Speicherdauer: Benachrichtigungs-Ereignisse bis zu 90 Tage, Zustellprotokolle bis zu 30 Tage; Einwilligungs-Protokolle für die Dauer der Einwilligung und darüber hinaus, solange dies zum Nachweis erforderlich ist.

15. Meldungen, Moderation und Kommunikation mit uns

Meldungen: Wenn du Inhalte oder Nutzer meldest (Art. 16 DSA), verarbeiten wir den gemeldeten Inhalt, den Meldegrund, deine Begründung, dein Konto (bzw. bei E-Mail-Meldungen deine Kontaktdaten) sowie unsere Entscheidung und deren Begründung. Diese Daten verwenden wir zur Prüfung und Bearbeitung der Meldung, zur Information der Beteiligten und zur Dokumentation unserer Moderationsentscheidungen. Die Identität der meldenden Person wird dem betroffenen Nutzer gegenüber nicht offengelegt, außer wir sind dazu gesetzlich verpflichtet.

Sperren: Zur Durchsetzung unserer Nutzungsbedingungen speichern wir Sperr- und Maßnahmenvermerke zum Konto (z. B. Zeitpunkt und Grund einer Sperre).

E-Mail-Kontakt: Wenn du uns kontaktierst (z. B. an kontakt@erntbar.at), verarbeiten wir deine Angaben zur Bearbeitung der Anfrage und für mögliche Anschlussfragen.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. c DSGVO (Pflichten nach dem DSA), Art. 6 Abs. 1 lit. f DSGVO (Sicherheit der Plattform, Dokumentation) und Art. 6 Abs. 1 lit. b DSGVO (Bearbeitung deiner Anliegen). Speicherdauer: solange dies für die Bearbeitung, Dokumentation und Verteidigung gegen Ansprüche erforderlich ist.

16. Webanalyse und Reichweitenmessung (PostHog)

Zur Verbesserung unseres Angebots setzen wir den Analysedienst PostHog ein (PostHog, Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA). Die Analysedaten werden in der PostHog EU-Cloud (Frankfurt am Main, Deutschland) verarbeitet. Wir unterscheiden dabei zwei Fälle, die sich deutlich voneinander unterscheiden: die Webanalyse mit deiner Einwilligung und die anonyme Reichweitenmessung ohne Einwilligung.

a) Webanalyse mit deiner Einwilligung. Willigst du über das Cookie-Banner ein, setzt PostHog Cookies bzw. localStorage-Einträge auf deinem Gerät und vergibt eine wiedererkennbare pseudonyme Kennung. Erfasst werden u. a. aufgerufene Seiten, Interaktionen, ungefährer Standort (auf Basis einer gekürzten IP), Geräte- und Browserinformationen. Dadurch können wir Besuche über mehrere Sitzungen hinweg zusammenführen und ausgewertete Verläufe (z. B. Registrierungsstrecken) nachvollziehen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG). Du kannst sie jederzeit mit Wirkung für die Zukunft über die „Cookie-Einstellungen“ im Footer bzw. in den App-Einstellungen widerrufen.

b) Anonyme Reichweitenmessung ohne Einwilligung. Lehnst du ab oder triffst du keine Auswahl, findet keine Speicherung auf deinem Gerät und keine Wiedererkennung über den Tag hinaus statt — wir messen aber weiterhin, wie oft unsere Seiten aufgerufen werden. Dafür nutzen wir den cookielosen Modus von PostHog: Für die Messung selbst werden weder Cookies noch localStorage oder sessionStorage verwendet und keine Gerätekennung gesetzt oder ausgelesen (§ 165 Abs. 3 TKG ist damit nicht einschlägig). Ausgelesen wird lediglich deine unter Punkt 5 beschriebene Einwilligungsentscheidung selbst — sie muss gespeichert bleiben, damit wir dich nicht bei jedem Besuch erneut fragen, und ist als unbedingt erforderlich von der Einwilligungspflicht ausgenommen. Stattdessen bildet PostHog serverseitig einen nicht umkehrbaren Hashwert aus IP-Adresse, Browserkennung und Domain, gemischt mit einem geheimen Zufallswert, der täglich wechselt und danach gelöscht wird. Die IP-Adresse wird dabei verworfen und nicht gespeichert; eine Standortbestimmung findet in diesem Modus nicht statt.

Der Hashwert lässt keinen Rückschluss auf dich zu und ist am Folgetag ein anderer, sodass keine Profile über einen Tag hinaus entstehen. Rechtsgrundlage für diese kurzzeitige Verarbeitung ist unser berechtigtes Interesse an einer datensparsamen Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO). Unser Interesse besteht darin, überhaupt beurteilen zu können, wie unser Angebot genutzt wird; dem stehen keine überwiegenden Interessen entgegen, weil nichts auf deinem Gerät gespeichert wird, keine geräteübergreifende Zusammenführung möglich ist, keine Profilbildung und keine Werbung stattfinden und die Daten nicht an Dritte weitergegeben oder verkauft werden.

Dein Widerspruchsrecht (Art. 21 DSGVO): Du kannst dieser Verarbeitung jederzeit widersprechen. Sendet dein Browser das Signal „Do Not Track“ (bzw. „Nicht verfolgen“), werten wir das als Widerspruch: Die Analyse-Software wird dann gar nicht erst gestartet, es werden also keinerlei Analysedaten erhoben — auch keine anonymen. Das gilt selbst dann, wenn du zuvor zugestimmt hast. Alternativ genügt eine formlose Nachricht an kontakt@erntbar.at.

c) Auswertung des Cookie-Banners. Um zu erkennen, ob unser Cookie-Banner verständlich ist, erfassen wir, wie oft es angezeigt wurde und wie oft zugestimmt bzw. abgelehnt wurde. Diese Meldung wird von unserem eigenen Server ausgelöst und enthält ausschließlich: die Oberfläche (Website, Web-App, iOS, Android), den Auslöser, die Entscheidung, die Anzeigedauer bis zum Klick sowie eine einmalige Zufalls-ID, die nur die Anzeige mit der zugehörigen Entscheidung verknüpft. Diese Zufalls-ID wird bei PostHog gemeinsam mit diesen beiden Meldungen gespeichert, damit sie einander zugeordnet werden können; sie wird für nichts anderes verwendet, nicht wiederverwendet und lässt keinen Rückschluss auf dich zu. IP-Adresse und Nutzerprofil werden gegenüber PostHog ausdrücklich unterdrückt. Die Meldung geht bewusst ohne Cookies und ohne Referrer an unseren Server; wie bei jedem Seitenaufruf ist dabei technisch deine IP-Adresse sichtbar, sie wird jedoch nicht gespeichert und nicht weitergegeben. Auf deinem Gerät wird für diese Auswertung nichts gespeichert oder ausgelesen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Nachweis und Verbesserung eines rechtskonformen Einwilligungsprozesses).

Speicherdauer: Analysedaten werden auf Ebene des Dienstes aggregiert bzw. pseudonymisiert ausgewertet und von uns nicht länger als erforderlich, höchstens jedoch 24 Monate, aufbewahrt.

17. Fehler- und Stabilitätsdiagnose (Sentry)

Um Fehler und Stabilitätsprobleme zu erkennen und zu beheben, nutzen wir Sentry (Functional Software, Inc. dba Sentry, 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA). Tritt ein technischer Fehler auf, werden Fehlermeldungen samt technischem Kontext übermittelt: Browser- und Geräteinformationen, betroffene Seite bzw. Funktion, Zeitpunkt sowie eine pseudonyme Ereignis-Kennung. Wir haben die Übermittlung personenbezogener Inhalte so weit wie möglich reduziert: Es werden keine Kontodaten als Standard-Identifikatoren mitgesendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einer fehlerfreien, sicheren Plattform. Speicherdauer: Fehlerdaten werden bei Sentry in der Regel nach 90 Tagen automatisch gelöscht. Zu Drittlandübermittlungen siehe Abschnitt 21.

18. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, soweit dies in dieser Erklärung beschrieben ist, du eingewilligt hast oder wir gesetzlich dazu verpflichtet sind (z. B. gegenüber Gerichten oder Behörden). Mit allen eingesetzten Dienstleistern bestehen, soweit erforderlich, Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Überblick über die eingesetzten Dienstleister:

Andere Nutzer und Öffentlichkeit: Bestimmte Daten sind funktionsbedingt für andere Nutzer bzw. öffentlich sichtbar, siehe Abschnitte 8, 9, 12 und 13.

19. Speicherdauer und Kontolöschung

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Dein Konto kannst du jederzeit in den Einstellungen löschen. Der Ablauf:

• Nach Beantragung der Löschung wird dein Konto deaktiviert. Innerhalb von 30 Tagen kannst du es durch erneute Anmeldung reaktivieren (Schutz vor versehentlicher oder missbräuchlicher Löschung).
• Nach Ablauf der Frist wird dein Konto endgültig gelöscht und anonymisiert: Name, Profilfoto, Bio, Standort- und Adressdaten werden entfernt; dein Profil erscheint anderen Nutzern nur noch als neutraler Platzhalter („Gelöschter Nutzer“). Deine Anmeldedaten werden gelöscht.
• Deine Inserate werden entfernt (Status „gelöscht“, Standort- und Adressdaten werden gelöscht).
• Chat-Verläufe, Bewertungen und Transaktionsdaten bleiben dem jeweils anderen beteiligten Nutzer in anonymisierter Form erhalten, ohne deinen Namen und ohne dein Profil. Das ist erforderlich, um die Integrität der Plattform (z. B. Echtheit von Bewertungen, Nachvollziehbarkeit für die Gegenseite) zu wahren (Art. 6 Abs. 1 lit. f DSGVO).
• Produktfotos ohne Personenbezug können gespeichert bleiben; enthält ein Foto ausnahmsweise personenbezogene Inhalte, kannst du jederzeit dessen Löschung unter kontakt@erntbar.at verlangen.
• Sperrvermerke zu missbräuchlich genutzten Konten können wir in dem Umfang aufbewahren, der zur Verhinderung erneuten Missbrauchs erforderlich ist (Art. 6 Abs. 1 lit. f DSGVO).
• Daten in Sicherungskopien (Backups) werden mit deren rollierender Überschreibung gelöscht (kurze, technisch bedingte Zeiträume).

Unabhängig davon gelten die in den jeweiligen Abschnitten genannten kürzeren Fristen (z. B. Protokolldaten, Benachrichtigungen, Fehlerdiagnose). Gesetzliche Aufbewahrungspflichten (z. B. aus Steuer- oder Unternehmensrecht) bleiben unberührt.

20. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um deine Daten gegen Verlust, Missbrauch und unbefugten Zugriff zu schützen, unter anderem: Verschlüsselung der Datenübertragung (TLS), Speicherung von Passwörtern ausschließlich als kryptografische Hashes, ein mehrschichtiges Berechtigungsmodell auf Datenbankebene (Row Level Security), Zugriff auf personenbezogene Daten nur nach dem Need-to-know-Prinzip sowie laufende Protokollierung und Überwachung sicherheitsrelevanter Ereignisse. Unsere Infrastrukturanbieter sind nach anerkannten Standards zertifiziert (z. B. ISO 27001, SOC 2).

21. Datenübermittlung in Drittländer

Unsere Kerndaten (Datenbank, Dateispeicher, Analysedaten) werden in der EU (Frankfurt am Main) verarbeitet. Einzelne Dienstleister haben ihren Sitz in den USA oder verarbeiten Daten auch außerhalb des EWR (siehe Tabelle in Abschnitt 18). In diesen Fällen stützen wir die Übermittlung auf:

• den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (DPF) für dort zertifizierte Anbieter (Art. 45 DSGVO), derzeit u. a. Vercel, Cloudflare, Google, Mapbox, Sentry und AWS;
• die Standardvertragsklauseln der Europäischen Kommission (SCC) samt erforderlichenfalls ergänzender Maßnahmen (Art. 46 Abs. 2 lit. c DSGVO);
• in Einzelfällen deine ausdrückliche Einwilligung oder die Erforderlichkeit zur Vertragserfüllung (Art. 49 DSGVO).

Für Nutzer in der Schweiz gelten die entsprechenden Mechanismen (Swiss-US DPF bzw. SCC mit Schweiz-Anpassungen). Kopien der maßgeblichen Garantien stellen wir auf Anfrage unter kontakt@erntbar.at zur Verfügung.

22. Pflicht zur Bereitstellung; keine automatisierte Entscheidungsfindung

Die Bereitstellung deiner Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne die bei der Registrierung abgefragten Pflichtangaben (E-Mail-Adresse, Name) können wir den Nutzungsvertrag jedoch nicht erfüllen; ohne Standortangaben können Umkreis-Funktionen nicht genutzt werden. Alle weiteren Angaben sind freiwillig.

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO, die dir gegenüber rechtliche Wirkung entfaltet oder dich ähnlich erheblich beeinträchtigt, findet nicht statt. Die automatische Bildprüfung (Abschnitt 10) markiert Inhalte lediglich für eine menschliche Überprüfung.

23. Minderjährige

Unser Angebot richtet sich ausschließlich an Personen ab 18 Jahren. Wir verarbeiten wissentlich keine Daten von Kindern. Sollten wir Kenntnis erlangen, dass ein Konto von einer minderjährigen Person registriert wurde, werden wir es löschen.

24. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Datenverarbeitung oder die Rechtslage ändert (z. B. bei neuen Funktionen wie Push-Benachrichtigungen oder mobilen Apps). Die jeweils aktuelle Fassung ist unter erntbar.at/privacy abrufbar. Über wesentliche Änderungen informieren wir registrierte Nutzer in geeigneter Weise.