Datenschutzerklärung

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO ist der im Impressum genannte Betreiber von Kolibri.

2. Verarbeitete Daten und Zwecke

• Kontodaten (Name, E-Mail, ggf. Telefon, Ort) zur Bereitstellung des Nutzerkontos – Art. 6 Abs. 1 lit. b DSGVO.
• Anfrage- und Buchungsdaten (Leistung, Adresse, Termin, Preis) zur Vermittlung und Abrechnung – Art. 6 Abs. 1 lit. b DSGVO.
• Nachrichten zwischen Nutzenden zur Dokumentation von Absprachen und Missbrauchsprävention – Art. 6 Abs. 1 lit. b und f DSGVO.
• Bewertungen zur Transparenz des Marktplatzes – Art. 6 Abs. 1 lit. b und f DSGVO.
• Verifizierungsnachweise gewerblicher Anbieter zur Betrugsprävention – Art. 6 Abs. 1 lit. b und f DSGVO.
• Zahlungsdaten werden ausschließlich beim beauftragten Zahlungsdienstleister verarbeitet – Art. 6 Abs. 1 lit. b DSGVO.
• Server-Logdaten zur Sicherheit und Stabilität – Art. 6 Abs. 1 lit. f DSGVO.

3. Empfänger und Auftragsverarbeiter

Hosting, Datenbank und Authentifizierung werden über Auftragsverarbeiter mit Serverstandort in der EU betrieben (Lovable Cloud auf Basis von Supabase, Amazon Web Services EMEA, EU-Region). Die Zahlungsabwicklung erfolgt über die Stripe Payments Europe Ltd., Irland, sowie – bei Zahlung per PayPal – die PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg. E-Mail-Benachrichtigungen werden über einen Versanddienstleister mit EU-Serverstandort ausgeliefert. Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO; Stripe und PayPal handeln für die Zahlungsabwicklung als eigene Verantwortliche.

3a. Rollenverteilung und Datenweitergabe

• Für das Nutzerkonto, die Vermittlung, Nachrichten, Bewertungen und die Plattformsicherheit ist Kolibri Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO.
• Nach Zustandekommen eines Auftrags verarbeiten Anbieter die übermittelten Kundendaten (Name, Kontakt, Adresse, Auftragsdetails) zur Erbringung ihrer eigenen Leistung als eigene Verantwortliche. Kolibri ist insoweit nicht Auftragsverarbeiter der Anbieter.
• Stripe verarbeitet Zahlungs- und Identifizierungsdaten als eigener Verantwortlicher (u. a. zur Erfüllung geldwäscherechtlicher Pflichten). Kolibri erhält von Stripe nur Status- und Abrechnungsinformationen, keine vollständigen Zahlungsmittel-Daten.
• Protokolldaten zu Datei-Zugriffen, Uploads, verweigerten Zugriffen sowie Sicherheits- und Zahlungsereignissen werden zur Missbrauchs- und Betrugsprävention sowie zur Nachvollziehbarkeit gespeichert – Art. 6 Abs. 1 lit. f DSGVO, bei Zahlungsvorgängen zusätzlich lit. b und c.
• Eine Übermittlung in Drittländer findet nur auf Grundlage eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln nach Art. 46 DSGVO statt.

3b. Meldepflicht nach dem Plattformen-Steuertransparenzgesetz (PStTG/DAC7)

Kolibri ist als meldender Plattformbetreiber nach dem Plattformen-Steuertransparenzgesetz verpflichtet, Daten der Anbieter und die über die Plattform erzielten Vergütungen an das Bundeszentralamt für Steuern (BZSt) zu melden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit §§ 13 ff. PStTG.

• Gemeldet werden insbesondere Vor- und Nachname bzw. Firma, Anschrift, Geburtsdatum, Steuer-Identifikations- und ggf. Umsatzsteuer-Identifikationsnummer, Registernummer, Bankverbindungskennung sowie je Quartal die gezahlten Vergütungen, einbehaltenen Gebühren und die Anzahl der Vermittlungen.
• Anbieter sind zur Mitwirkung verpflichtet. Ohne vollständige Angaben kann das Anbieterprofil nicht veröffentlicht werden; bereits veröffentlichte Profile werden automatisch offline genommen.
• Die Meldung erfolgt jährlich bis zum 31. Januar für das Vorjahr; die Daten werden quartalsweise zusammengestellt. Anbieter werden über die zu ihnen gemeldeten Angaben informiert.
• Meldedaten werden entsprechend der steuerlichen Aufbewahrungspflichten (in der Regel 10 Jahre) gespeichert. Steuerdaten sind ausschließlich für den jeweiligen Anbieter und den Betreiber zugänglich und werden nie öffentlich angezeigt.

3c. Postleitzahlprüfung über Zippopotam.us

Zur Plausibilitätsprüfung von Postleitzahl und Ort ruft unser Server die offene Schnittstelle zippopotam.us (Zippopotamus, USA) auf. Übermittelt wird ausschließlich Land und Postleitzahl, keine Namen, Adressen oder Nutzerkennungen; die IP-Adresse der Nutzenden wird nicht weitergegeben, da die Abfrage Server-zu-Server erfolgt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO (korrekte Vermittlung, Vermeidung von Fehleingaben). Die Übermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln bzw. – weil nur ein Postleitzahlwert ohne Personenbezug übermittelt wird – ohne Personenbezug im Sinne des Art. 44 DSGVO. Ergebnisse werden nicht dauerhaft gespeichert.

3d. Drittlandtransfer bei Stripe

Zahlungsdienstleister ist die Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin, Irland. Stripe kann Daten an die Stripe, Inc. in den USA übermitteln. Grundlage sind die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO in Verbindung mit dem EU-US Data Privacy Framework, dem Stripe, Inc. beigetreten ist (Angemessenheitsbeschluss der Kommission vom 10. Juli 2023), sowie zusätzliche technische und organisatorische Schutzmaßnahmen. Übermittelt werden Zahlungs-, Identifizierungs- und Transaktionsdaten.

3e. Profillevel und Erfahrungspunkte (Gamification, Rankingwirkung)

Für Anbieterprofile berechnen wir aus geprüften Ereignissen (abgeschlossene Aufträge, Bewertungen, Antwortverhalten, Verifizierungen) Erfahrungspunkte und ein Profillevel. Das Level beeinflusst die Reihenfolge in Suchergebnissen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO (Betrieb eines funktionsfähigen Marktplatzes, Qualitätssicherung). Die verwendete Logik ist im Transparenzbericht offengelegt. Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO statt: Level und Ranking betreffen allein die Darstellungsreihenfolge, Sperrungen und Beschränkungen werden stets von einem Menschen entschieden und begründet. Anbieter können der Gewichtung nach Art. 21 DSGVO widersprechen; in diesem Fall wird das Profil ohne Levelbonus dargestellt.

4. Weitergabe zwischen Nutzenden

Nach einer Anfrage erhält der ausgewählte Anbieter die zur Leistungserbringung erforderlichen Daten (Name, Kontakt, Adresse, Auftragsdetails). Vor der Anfrage werden keine Kontaktdaten offengelegt.

5. Speicherdauer

Kontodaten bis zur Löschung des Kontos; Buchungs- und Rechnungsdaten entsprechend der handels- und steuerrechtlichen Aufbewahrungspflichten (in der Regel 6 bis 10 Jahre); Logdaten kurzfristig.

5a. Speicherdauer der Einwilligungs- und Protokolldaten

• Einwilligungs- und Consent-Protokolle (Zustimmung oder Ablehnung von Cookie-Kategorien, Zeitpunkt, Richtlinienversion, Sprache, User-Agent) werden zum Nachweis nach § 25 TDDDG und Art. 7 Abs. 1 DSGVO drei Jahre nach Ablauf des Jahres der Erteilung bzw. des Widerrufs gespeichert und dann gelöscht.
• Protokolle über Datei-Zugriffe, Sicherheits- und Zahlungsereignisse: 12 Monate; Zahlungs- und Rechnungsprotokolle entsprechend der steuerlichen Aufbewahrungspflicht.
• Server-Logdaten: in der Regel 30 Tage.

6. Ihre Rechte

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18)
• Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21)
• Widerruf erteilter Einwilligungen jederzeit mit Wirkung für die Zukunft
• Beschwerderecht bei einer Datenschutzaufsichtsbehörde

Betroffenenrechte machen Sie am einfachsten per E-Mail an kontakt@kolibri-hilfe.de oder schriftlich an die im Impressum genannte Anschrift geltend; alternativ über das Kontaktformular. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Ein Datenschutzbeauftragter ist gesetzlich nicht zu benennen (§ 38 BDSG). Zuständige Aufsichtsbehörde ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

7. Cookies und Tracking

Kolibri setzt technisch notwendige Speicherung für Anmeldung und Spracheinstellung ein. Ein Einsatz von Marketing- oder Analyse-Cookies erfolgt nur nach ausdrücklicher Einwilligung.