Datenschutzerklärung

1. Verantwortlicher

Ouchiner — vereinfachte Aktiengesellschaft mit einem Alleingesellschafter (SASU) mit einem Stammkapital von 1.000 €, eingetragen im Handels- und Gesellschaftsregister Épinal unter der Nummer 106 905 938, Sitz: 39 rue Alix le Clerc, 88500 Poussay, Frankreich, vertreten durch ihren Präsidenten Herrn Stéphane Perry.
Kontakt: [email protected] — Website: ouchiner.com

2. Erhobene Daten

Daten	Zweck	Rechtsgrundlage	Speicherdauer
E-Mail-Adresse	Kontoerstellung, transaktionsbezogene Mitteilungen	Vertragserfüllung	Bis zur Löschung des Kontos
Passwort (gehasht, PBKDF2 mit 100.000 Iterationen)	Authentifizierung (Profi-, Shop- und Botschafterbereich)	Vertragserfüllung	Dauer des Kontos
Telefonnummer (Pro-Benachrichtigungen mit SMS-Option)	Versand der Benachrichtigungen per SMS	Vertragserfüllung	Dauer des Kontos; in Protokollen maskiert (letzte 4 Ziffern gespeichert)
Shop- und Veranstaltungsangaben	Anzeige auf der Karte	Vertragserfüllung	Dauer des Abonnements
Hochgeladene Fotos	Bebilderung des Eintrags	Vertragserfüllung	Dauer des Abonnements
Über den Nachrichtendienst ausgetauschte Nachrichten, Fotos und PDFs	Direkte Kommunikation zwischen Sammlern und Händlern (Kontaktaufnahme zu einem Eintrag)	Vertragserfüllung	365 Tage, danach automatische Löschung; Anhänge bei Cloudflare (R2) gespeichert; alles wird bei Kontolöschung entfernt
Zahlungsdaten	Zahlungsabwicklung (über Stripe)	Rechtliche Verpflichtung	10 Jahre (handelsrechtliche Aufbewahrungspflicht)
GPS-Standort (optional)	Funktion „In meiner Nähe“	Einwilligung	Nicht gespeichert — nur für die Sitzung
IP-Adresse bei der Registrierung	Nachweis der Einwilligung, Missbrauchsbekämpfung	Berechtigtes Interesse	Höchstens 13 Monate

3. Cookies und Tracker

OuChiner verwendet keine Werbe-Cookies und keine Profiling-Tracker, und es ist kein Einwilligungsbanner erforderlich: Wir setzen ausschließlich technisch notwendige Cookies (Sitzung, Einstellungen) sowie Werkzeuge zur Reichweiten- und Qualitätsmessung ein, die ohne Cookies und ohne personenbezogene Daten arbeiten. Eine Ausnahme, die in der nachstehenden Tabelle erläutert wird: Die Kartenbibliothek Mapbox schreibt eine technische Kennung in den lokalen Speicher Ihres Browsers, sobald eine Karte angezeigt wird.

Cookie / Werkzeug	Art	Dauer	Zweck
session, admin_session, amb_session	Notwendig	Sitzung (8 Std. bis 30 Tage)	Aufrechterhaltung der Anmeldung
localStorage (Token, Standort)	Notwendig	Dauerhaft	PWA-Authentifizierung + zwischengespeicherter Standort für die Funktion „In meiner Nähe“
localStorage mapbox.eventData	Von Mapbox gesetzt	Dauerhaft	Technische Kennung, die die Kartenbibliothek Mapbox beim Anzeigen einer Karte für ihre eigene Nutzungsmessung schreibt. Kann durch Löschen der Website-Daten im Browser entfernt werden. Datenschutzerklärung: mapbox.com/legal/privacy
Plausible Analytics	Anonyme Statistiken	Keine Cookies	Zählung der Besuche, ohne individuelles Tracking und ohne Profilbildung. Von der Einwilligungspflicht befreit (gemäß CNIL).
Cloudflare Web Analytics	Anonyme Statistiken	Keine Cookies	Leistung und Besucheraufkommen, ohne individuelles Tracking
Sentry	Fehlerüberwachung (ohne Cookies)	30 Tage	Erkennung von JavaScript-Fehlern im Modus ohne personenbezogene Daten (keine IP-Adresse, keine Identität, keine Sitzungsaufzeichnung). Grundlage: berechtigtes Interesse.

Da kein Tracking-Cookie gesetzt wird, ist keine Einwilligungsentscheidung zu verwalten. Um der Verarbeitung zur Reichweiten- oder Qualitätsmessung (berechtigtes Interesse) zu widersprechen, schreiben Sie an [email protected].

4. Weitergabe der Daten — Auftragsverarbeiter

Ihre Daten werden niemals verkauft. Sie können an die folgenden Auftragsverarbeiter weitergegeben werden, und zwar ausschließlich im für die Leistungserbringung erforderlichen Umfang:

• Stripe (Zahlungen) — E-Mail-Adresse und Kartendaten werden bei einer Zahlung übermittelt. Datenschutzerklärung: stripe.com/privacy
• Resend (Transaktions-E-Mails) — E-Mail-Adresse zur Versendung von Bestätigungen, Benachrichtigungen und Hinweisen. Datenschutzerklärung: resend.com/legal/privacy-policy
• OVH SMS (SMS-Versand für Pro-Abonnenten mit SMS-Option) — die Telefonnummer wird ausschließlich im Moment des Versands übermittelt. Datenschutzerklärung: ovhcloud.com/de/personal-data-protection
• Mapbox (Karten und Geokodierung) — Adresssuchanfragen können die von Ihnen eingegebenen Begriffe enthalten. Datenschutzerklärung: mapbox.com/legal/privacy
• Cloudflare (Hosting und Datenbank) — sämtliche Daten des Dienstes werden bei Cloudflare gehostet. Datenschutzerklärung: cloudflare.com/privacypolicy
• Sentry (Überwachung von JavaScript-Fehlern, im Modus ohne personenbezogene Daten) — Datenschutzerklärung: sentry.io/privacy
• Plausible / Cloudflare Web Analytics (anonyme Statistiken ohne Cookies, siehe §3)
• Open-Meteo (Wettervorhersagen für Flohmarkt-Benachrichtigungen) — es werden die ungefähren GPS-Koordinaten der Veranstaltung übermittelt. Keine personenbezogenen Daten. Nutzungsbedingungen: open-meteo.com/en/terms
• Anthropic (Unterstützung durch künstliche Intelligenz — Claude-API) — je nach Funktion können übermittelt werden: Beschreibungen und Fotos der von Händlern veröffentlichten Objekte und Einträge (Analyse und Verfassen von Anzeigen), der Inhalt eingereichter Veranstaltungsmeldungen, die öffentlichen Beiträge unserer Social-Media-Konten sowie die auf diesen Konten eingehenden Nachrichten (Text und öffentlicher Anzeigename des Absenders), um einen Antwortentwurf vorzubereiten. Diese Daten werden nicht zum Training der Modelle verwendet. Datenschutzerklärung: anthropic.com/legal/privacy
• OpenAI (Erstellung der Illustrationen für unsere Social-Media-Beiträge) — es werden keine Nutzerdaten übermittelt, sondern ausschließlich von OuChiner verfasste Bildbeschreibungen. Datenschutzerklärung: openai.com/policies/privacy-policy
• DataForSEO (Keyword-Recherche für den Blog) — es werden keine Nutzerdaten übermittelt
• Französische Unternehmenssuch-API (annuaire-entreprises.data.gouv.fr) — die von einem Partner-Botschafter eingegebene SIRET-Nummer wird an diese öffentliche staatliche Schnittstelle übermittelt, um Bestehen und Tätigkeit des Betriebs zu prüfen und dessen Firmenbezeichnung und Anschrift abzurufen.
• Billit (zugelassene Plattform für die elektronische Rechnungsstellung) — ausschließlich für Partner-Botschafter und nur zum Zeitpunkt einer Auszahlung: Firmenbezeichnung, SIRET-Nummer, Anschrift, gegebenenfalls Umsatzsteuer-Identifikationsnummer sowie Bankverbindung, soweit für die Gutschriftsanzeige erforderlich. Datenschutzerklärung: billit.eu/de-de/privacy

Programm „Partner-Botschafter“

Wenn Sie der vergüteten Stufe des Botschafterprogramms beitreten, erheben wir zusätzlich die folgenden Angaben, um Sie bezahlen und Rechnungen in Ihrem Namen ausstellen zu können (Gutschriftsvereinbarung):

• Ihre SIRET-Nummer sowie Firmenbezeichnung und Anschrift Ihres Betriebs, automatisch aus dem SIRENE-Register abgerufen — Pflichtangaben auf einer Rechnung.
• Ihre Umsatzsteuer-Identifikationsnummer, aus Ihrer SIREN-Nummer abgeleitet, sofern Sie angeben, Umsatzsteuer in Rechnung zu stellen.
• Ihre Bankverbindung (IBAN und Kontoinhaber), in der Datenbank verschlüsselt gespeichert und ausschließlich im Moment einer Überweisung entschlüsselt. Jeder Zugriff wird protokolliert.

Rechtsgrundlage: Erfüllung des zwischen uns bestehenden Vertrags (Art. 6 Abs. 1 lit. b DSGVO) sowie Erfüllung unserer handels- und steuerrechtlichen Pflichten (Art. 6 Abs. 1 lit. c). Diese Daten werden für die Dauer der Geschäftsbeziehung und anschließend für die gesetzliche Aufbewahrungsfrist von Rechnungen gespeichert. Ihre Bankverbindung wird unmittelbar bei Schließung Ihres Kontos gelöscht, ebenso Ihre Rechnungsidentität, sofern keine Auszahlung stattgefunden hat.

Die über Ihren Link vermittelten Besuche werden ohne Cookies gezählt: Wir speichern einen nicht umkehrbaren Fingerabdruck der IP-Adresse des Besuchers (gesalzener Hash), der ausschließlich dazu dient, dieselbe Person nicht doppelt zu zählen, und niemals ihrer Identifizierung.

Übermittlungen außerhalb der Europäischen Union

Einige dieser Auftragsverarbeiter haben ihren Sitz in den Vereinigten Staaten oder übermitteln möglicherweise Daten dorthin — insbesondere Cloudflare, Stripe, Sentry, Mapbox, Resend, Anthropic und OpenAI. Diese Übermittlungen stützen sich je nach Anbieter auf den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 zum Datenschutzrahmen EU—USA (Data Privacy Framework), sofern der Anbieter danach zertifiziert ist, und/oder auf die in seinen Auftragsverarbeitungsvertrag einbezogenen Standardvertragsklauseln der Europäischen Kommission. Eine Kopie der für einen bestimmten Anbieter geltenden Garantien erhalten Sie unter [email protected].

Die übrigen genannten Anbieter — OVH, Plausible Analytics und Open-Meteo — haben ihren Sitz in der Europäischen Union.

5. Ihre Rechte

Nach der DSGVO stehen Ihnen die folgenden Rechte zu:

• Auskunftsrecht — eine Kopie Ihrer Daten erhalten
• Recht auf Berichtigung — unrichtige Daten korrigieren lassen
• Recht auf Löschung — die Löschung Ihres Kontos und Ihrer Daten verlangen
• Recht auf Datenübertragbarkeit — Ihre Daten in einem strukturierten Format erhalten
• Widerspruchsrecht — bestimmten Verarbeitungen widersprechen
• Recht auf Einschränkung der Verarbeitung — die vorübergehende Sperrung der Nutzung Ihrer Daten verlangen, etwa solange wir deren Richtigkeit prüfen (Art. 18 DSGVO)
• Recht auf Widerruf Ihrer Einwilligung — jederzeit, für Verarbeitungen, die auf einer Einwilligung beruhen. Dies betrifft den GPS-Standort: Es genügt, die Standortberechtigung in Ihrem Browser oder Gerät zu entziehen. Der Widerruf berührt nicht die Rechtmäßigkeit der zuvor erfolgten Verarbeitung.

Zur Ausübung dieser Rechte: [email protected]
Wir verpflichten uns, jede Anfrage innerhalb von höchstens 1 Monat nach Eingang zu beantworten.
Sie können außerdem Beschwerde bei der französischen Aufsichtsbehörde CNIL einlegen oder bei der Aufsichtsbehörde des Mitgliedstaats Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO).

6. Sicherheit

Passwörter werden gehasht gespeichert, mittels PBKDF2-SHA256 mit 100.000 Iterationen und einem eindeutigen Salt. Einmalcodes (SMS, E-Mail) werden von einem CSPRNG (crypto.getRandomValues) erzeugt, sind auf 3 Versuche begrenzt und verfallen nach 10 Minuten. Die Daten werden auf der Cloudflare-Infrastruktur mit TLS-Verschlüsselung gehostet. Der Zugriff auf die Daten ist allein dem Verantwortlichen vorbehalten.

7. Datenschutzkontakt

Zuständig für den Datenschutz: Stéphane Perry — [email protected]