Datenschutzerklärung
Der Schutz deiner personenbezogenen Daten ist uns wichtig. Nachfolgend informieren wir dich gemäß Art. 13, 14 der Datenschutz-Grundverordnung (DSGVO) über die Verarbeitung deiner Daten bei der Nutzung der Plattform Nutze.app.
1. Verantwortlicher
Verantwortlicher im Sinne der DSGVO ist:
Chris Wernsmann
Vennstr. 3
48619 Heek
Deutschland
E-Mail: hello@nutze.app
2. Welche Daten wir verarbeiten und zu welchen Zwecken
Je nach Nutzung der Plattform verarbeiten wir folgende Daten:
- Konto- und Profildaten: Name, E-Mail-Adresse, verschlüsseltes Passwort (bei klassischer E-Mail-Anmeldung), Telefonnummer, Profilbild. Zweck: Bereitstellung des Nutzerkontos und Kommunikation. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
- Inserats- und Buchungsdaten: Titel, Beschreibungen, Fotos, Preise, Standort des Gegenstands, Chat-Nachrichten zwischen den Parteien. Zweck: Abwicklung von Mietverträgen zwischen Nutzern. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
- Übergabe- und Rückgabeprotokolle: Fotos vom Zustand der Gegenstände, Zeitstempel und Bestätigungen (digitaler Handschlag). Zweck: Beweissicherung und Vertragsabwicklung. Rechtsgrundlage: Berechtigtes Interesse an der Streitbeilegung (Art. 6 Abs. 1 lit. f DSGVO) sowie Vertragserfüllung.
- Zahlungsdaten: Informationen über abgewickelte Zahlungen. Hinweis: Wir speichern selbst keine vollständigen Kreditkartendaten. Zweck: Zahlungsabwicklung. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
- Gesetzlich aufzubewahrende Buchungs- und Zahlungsunterlagen: Buchungs-, Rechnungs- und Zahlungsangaben, die wir über den Vertragszweck hinaus weiter aufbewahren müssen. Zweck: Erfüllung steuer- und handelsrechtlicher Aufbewahrungspflichten. Rechtsgrundlage: Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) in Verbindung mit § 147 AO und § 24 Abs. 3 PStTG. Diese Aufbewahrung ist der Grund, warum ein gelöschtes Konto anonymisiert und nicht entfernt wird (siehe Abschnitt 7).
- Technische Nutzungsdaten (Server-Logfiles): IP-Adresse, Browsertyp, Datum und Uhrzeit des Zugriffs. Zweck: Sicherheit, Stabilität und Fehlerbehebung. Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
- Push-Benachrichtigungen (mobile App): Ein Geräte-Token des Push-Dienstes (Expo Push Token), die Plattform (iOS/Android) und der Gerätename, jeweils deinem Konto zugeordnet. Zweck: Zustellung von Benachrichtigungen zu deinen Buchungen und Nachrichten. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Das Token wird gelöscht, sobald du Push-Benachrichtigungen deaktivierst, dich abmeldest oder dein Konto löschst.
- Gerätefunktionen der mobilen App: Die App fragt Zugriff auf Kamera, Fotomediathek, Standort und Mikrofon erst dann ab, wenn du eine Funktion nutzt, die ihn braucht — und du kannst jede Berechtigung in den Systemeinstellungen jederzeit widerrufen. Die Kamera wird ausschließlich zum Scannen der Übergabe-QR-Codes verwendet; dabei aufgenommene Bilder werden weder gespeichert noch übertragen. Aus der Fotomediathek übernehmen wir nur die Bilder, die du selbst auswählst. Der Standort wird verwendet, um dir Angebote in deiner Nähe zu zeigen, und nur für die Dauer der Suche. Mikrofon und Spracherkennung dienen der Spracheingabe in der Suche. Die Umwandlung in Text übernimmt dabei der Spracherkennungsdienst deines Betriebssystems (Apple bzw. Google), an den die Aufnahme zu diesem Zweck übermittelt werden kann; es gelten die Datenschutzbestimmungen des jeweiligen Anbieters. Wir erhalten ausschließlich den fertigen Text, nicht die Audioaufnahme, und wir speichern keine Audiodaten.
3. Speicherung auf deinem Endgerät (TDDDG) und cookielose Analyse
Wir verwenden technisch notwendige Speichertechnologien (wie Local Storage im Browser), um dich eingeloggt zu halten und wesentliche Funktionen der App (z. B. den Buchungsprozess) zu gewährleisten.
In der mobilen App tritt an die Stelle des Local Storage der verschlüsselte Schlüsselbund deines Betriebssystems (iOS Keychain bzw. Android Keystore). Dort werden deine Sitzungsdaten und einzelne Anzeigeeinstellungen abgelegt. Diese Daten verlassen dein Gerät nicht und werden entfernt, wenn du dich abmeldest oder die App deinstallierst. Die im Folgenden beschriebene cookielose Reichweitenmessung findet ausschließlich im Web statt — die mobile App enthält keinerlei Analyse-, Werbe- oder Tracking-SDK.
Das Speichern dieser technisch unbedingt erforderlichen Daten in deinem Endgerät erfolgt auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz). Die anschließende Verarbeitung der personenbezogenen Daten erfolgt gemäß Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung der App) bzw. Art. 6 Abs. 1 lit. b DSGVO.
Wir setzen für die Reichweitenmessung Vercel Analytics und Speed Insights ein. Diese Dienste arbeiten cookielos und erheben Daten (wie Seitenaufrufe) lediglich anonymisiert. Es werden keine Nutzerprofile über Webseiten hinweg gebildet.
4. Anmeldung über Drittanbieter (Single Sign-On)
Neben der klassischen Registrierung per E-Mail bieten wir die Möglichkeit, sich über die Dienste von Google und Apple anzumelden.
Wenn du diese Option wählst, werden wir direkt von dem jeweiligen Drittanbieter autorisiert und erhalten von diesem bestimmte Profildaten (wie deinen Namen und deine E-Mail-Adresse), um dein Nutze.app-Konto zu erstellen oder dich einzuloggen. Rechtsgrundlage hierfür ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) bzw. deine Einwilligung durch die aktive Auswahl des Anbieters (Art. 6 Abs. 1 lit. a DSGVO).
- Anbieter sind die Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) sowie die Apple Distribution International Ltd. (Hollyhill Industrial Estate, Hollyhill, Cork, Irland).
5. Empfänger der Daten und US-Datentransfer (DPF)
Zur Bereitstellung unserer Plattform nutzen wir spezialisierte Dienstleister (Auftragsverarbeiter gemäß Art. 28 DSGVO).
Alle unten genannten Dienstleister sind vertraglich — über einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO — verpflichtet, deine Daten ausschließlich nach unseren Weisungen und für den jeweils genannten Zweck zu verarbeiten und dabei dasselbe Schutzniveau zu gewährleisten, das in dieser Datenschutzerklärung beschrieben ist. Eine Weitergabe deiner Daten zu eigenen Zwecken der Dienstleister, ein Verkauf oder eine Nutzung für Werbung findet nicht statt.
Wichtiger Hinweis zum Datentransfer in die USA
Einige unserer Dienstleister haben ihren Sitz in den USA. Die Europäische Kommission hat einen Angemessenheitsbeschluss für das EU-US Data Privacy Framework (DPF) erlassen. Soweit unsere US-Dienstleister unter dem DPF zertifiziert sind, ist die Datenübermittlung in die USA datenschutzrechtlich zulässig.
Wir setzen folgende Dienstleister ein:
- Vercel Inc. (USA): Hosting der Web-Anwendung und cookielose Reichweitenmessung. (Unter EU-US DPF zertifiziert).
- Supabase Inc. (USA): Hosting der Datenbank, Nutzerauthentifizierung und Speicherung von hochgeladenen Bildern. Supabase nutzt europäische Rechenzentren, Support-Zugriffe aus den USA sind jedoch möglich. (Unter EU-US DPF zertifiziert).
- Resend Inc. (USA): Versand von rein transaktionalen System- und Benachrichtigungs-E-Mails (z. B. Buchungsbestätigungen). (Unter EU-US DPF zertifiziert).
- Upstash Inc. (USA): Zwischenspeicher (Redis) zur technischen Absicherung (Rate-Limiting) der Plattform.
- Functional Software, Inc. („Sentry", USA): Fehler- und Stabilitätsüberwachung (Error-Monitoring) zur Erkennung und Behebung technischer Fehler. Sentry wird von uns in der EU-Datenregion (Rechenzentrum in der EU) betrieben, sodass die Fehlerdaten innerhalb der EU verarbeitet werden. Die Sitzungsaufzeichnung (Session Replay) ist deaktiviert; übermittelte Fehlerberichte werden zudem um personenbezogene Daten (z. B. IP-Adressen, E-Mail-Adressen, Cookies) bereinigt. (Unter EU-US DPF zertifiziert.)
Künstliche Intelligenz (Inhaltsprüfung und Assistenzfunktionen)
An einzelnen Stellen unterstützt uns künstliche Intelligenz. Eingesetzt wird dafür ausschließlich:
- Google Ireland Ltd. / Google LLC (USA) — Gemini (Google AI). Es besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, der Google zu demselben Schutzniveau verpflichtet, das in dieser Datenschutzerklärung zugesagt wird. Google verarbeitet die übermittelten Inhalte ausschließlich nach unseren Weisungen und nicht für eigene Zwecke.
Übermittelt wird jeweils nur das, was die jeweilige Funktion braucht:
- Prüfung von Inseraten: Titel, Beschreibung und Fotos eines Inserats werden vor der Veröffentlichung automatisiert darauf geprüft, ob sie den Nutzungsbedingungen entsprechen. Das dient der Erkennung verbotener oder illegaler Angebote und der Vermeidung von Betrug. Rechtsgrundlage: berechtigtes Interesse an einer sicheren und rechtmäßigen Plattform (Art. 6 Abs. 1 lit. f DSGVO).
- Inserats-Assistent: Wenn du ihn nutzt, werden die Fotos, die du für ein Inserat auswählst, übermittelt, damit daraus Vorschläge für Titel, Beschreibung und Kategorie erzeugt werden können. Die Vorschläge sind Vorschläge — du kannst sie vor dem Veröffentlichen ändern oder verwerfen. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
- Kategorievorschlag: Titel, Beschreibung und das erste Foto eines Inserats können übermittelt werden, um dir die passende Kategorie vorzuschlagen. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
- Suche: Dein eingegebener Suchtext kann übermittelt werden, um daraus passende Suchbegriffe und Filter abzuleiten. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
- Such-Schlagwörter: Titel und Beschreibung eines Inserats können übermittelt werden, um daraus zusätzliche Suchbegriffe abzuleiten, unter denen dein Inserat gefunden wird. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
Bevor zum ersten Mal Inhalte an Google übermittelt werden, zeigen wir dir in der App bzw. auf der Website, welche Daten an wen übermittelt werden, und holen deine Entscheidung ein.
Für die vier Assistenzfunktionen — Inserats-Assistent, Kategorievorschlag, Suche und Such-Schlagwörter — ist das eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO: ohne sie findet keine Übermittlung statt und die Funktionen bleiben ausgeschaltet.
Die Prüfung von Inseraten stützen wir dagegen auf unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) — eine Sicherheitsprüfung, die sich abschalten ließe, wäre keine. Deiner Entscheidung folgen wir hier trotzdem: Sie wirkt als Widerspruch nach Art. 21 DSGVO, und dein Inserat wird dann von einem Menschen statt von einer KI geprüft. Das dauert länger, schränkt aber weder das Inserieren noch die Nutzung der Plattform ein.
Zustimmung ändern oder widerrufen: Du kannst deine Entscheidung jederzeit und ohne Angabe von Gründen ändern — in der App unter Profil → Konto & Sicherheit → Künstliche Intelligenz, auf der Website unter Dashboard → Profil → Konto & Sicherheit → Künstliche Intelligenz. Ein Widerruf wirkt für die Zukunft: ab diesem Zeitpunkt werden keine Inhalte mehr an Google übermittelt. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.
Hochgeladene Bilder werden vor der Weitergabe konvertiert; GPS-Koordinaten aus den EXIF-Daten werden dabei entfernt.
Nicht übermittelt werden Chat-Nachrichten, Übergabe- und Rückgabeprotokolle, Zahlungs- oder Kontodaten. Deine Inhalte werden nicht zum Training von KI-Modellen verwendet; das ist über die Nutzung der kostenpflichtigen Google-API vertraglich ausgeschlossen.
Zahlungsabwicklung via Stripe
Für die Abwicklung von Zahlungen nutzen wir Stripe Payments Europe, Ltd. (Irland) bzw. die Muttergesellschaft in den USA (zertifiziert nach EU-US DPF).
Stripe verarbeitet Zahlungsinformationen (z. B. Kreditkartendaten) teilweise als unser Auftragsverarbeiter, zur Einhaltung eigener rechtlicher Verpflichtungen (z. B. Geldwäscheprävention) jedoch auch als eigenständig Verantwortlicher. Weitere Informationen findest du in der Datenschutzerklärung von Stripe: https://stripe.com/de/privacy.
6. Kartendienste und Geocoding
Um dir die Standorte von Inseraten anzuzeigen, binden wir interaktive Karten ein. Aus Gründen des Datenschutzes (Privacy by Design) hosten wir die zugrundeliegenden Kartenkacheln (Protomaps/PMTiles) auf eigenen Servern. Beim reinen Betrachten der Karte werden daher keine Standortdaten an Drittanbieter für Karten übermittelt.
Für bestimmte Zusatzfunktionen der Karte gilt jedoch Folgendes:
- Karten-Assets: Für die Darstellung von Schriften und Symbolen (Sprites) auf der Karte (MapLibre) werden Dateien von GitHub (protomaps.github.io) geladen. Dabei wird aus technischen Gründen deine IP-Adresse an GitHub (USA) übertragen. Gleiches gilt beim Laden von Fallback-Kacheln über die Server der OpenStreetMap Foundation.
- Geocoding: Wenn du eine Adresse in das Suchfeld eingibst oder ein Inserat erstellst, wandeln wir diese Adresse im Hintergrund in Koordinaten um. Diese Umwandlung (Geocoding) erfolgt serverseitig über die Schnittstellen von Geoapify (Geoapify GmbH, Österreich/EU) und Nominatim / OpenStreetMap.
Rechtsgrundlage für diese Verarbeitungen ist unser berechtigtes Interesse an einer funktionierenden und ansprechenden Standortsuche (Art. 6 Abs. 1 lit. f DSGVO) sowie die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
7. Speicherdauer
Wir speichern deine Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist.
Kontolöschung
Du kannst dein Konto jederzeit selbst löschen — im Web und in der App unter Profil → Konto & Sicherheit. Die Löschung läuft in zwei Stufen.
Sofort mit deinem Antrag: Dein Profil, deine Inserate und deine Präsenz in der Suche verschwinden unmittelbar. Für alle anderen Nutzer:innen ist dein Konto ab diesem Moment nicht mehr auffindbar.
Dein Zugang bleibt 30 Tage lang bestehen — und zwar mit Absicht. Die Löschung ist in dieser Zeit widerruflich, und du erreichst den Widerruf nur, wenn du dich noch anmelden kannst. Ein Klick auf „Löschung abbrechen" auf derselben Seite stellt dein Konto vollständig wieder her. Eine bloße Anmeldung bricht die Löschung nicht ab; dafür ist ausschließlich diese Schaltfläche da.
Nach Ablauf der 30 Tage wird dein Konto automatisch und endgültig anonymisiert. Wir löschen dabei nicht die Zeile in unserer Datenbank, sondern die Person darin — dein Name wird durch „Gelöschter Nutzer" ersetzt, Profilbild, Telefonnummer, Firmenangaben, USt-IdNr., hinterlegte Impressums- und AGB-Dokumente, Benachrichtigungseinstellungen und sämtliche Stripe-Kennungen werden entfernt, deine Adressen werden überschrieben. Push-Token, Favoriten, Follows und Blockierungen werden gelöscht. Deine Anmeldedaten werden unbrauchbar gemacht: Passwort und verknüpfte Google-/Apple-Konten werden entfernt, laufende Sitzungen beendet und der Zugang dauerhaft gesperrt. Eine Wiederherstellung ist ab diesem Zeitpunkt nicht mehr möglich.
Warum anonymisiert und nicht gelöscht: Eine Miete hat immer zwei Seiten. Würden wir deine Zeile vollständig entfernen, verlöre auch deine Vertragspartnerin oder dein Vertragspartner den Nachweis über eine Buchung, an der sie oder er beteiligt war — samt der Rechnungs- und Zahlungsdaten, die wir nach § 147 AO und § 24 Abs. 3 PStTG bis zu 10 Jahre aufbewahren müssen. Diese Datensätze bleiben deshalb bestehen, sind danach aber keiner identifizierbaren Person mehr zuzuordnen.
Damit ist es aber nicht zu Ende. Die Anonymisierung entfernt die Person aus der Zeile; was von den Inhalten bleibt, hat eine eigene Frist, und ein automatischer Prozess prüft täglich, welche davon abgelaufen ist, und löscht sie dann. Drei Jahre nach Ablauf des Jahres, in dem sie entstanden sind, verschwinden Nachrichtentexte, Bewertungstexte und Inseratsbeschreibungen (§ 195, § 199 Abs. 1 BGB). Zehn Jahre gelten für die steuerlich relevanten Buchungs- und Zahlungsangaben (§ 147 AO, § 24 Abs. 3 PStTG) — § 24 Abs. 3 PStTG verlangt die Löschung nach Fristablauf sogar ausdrücklich. Bilder aus dem Chat werden entfernt, sobald die Nachricht, zu der sie gehören, nicht mehr besteht.
Wann wir eine Löschung ablehnen: Solange du an einer Buchung beteiligt bist, die noch nicht abgeschlossen, storniert oder abgelehnt ist, können wir dein Konto nicht löschen — dasselbe gilt bei einem laufenden Streitfall und bei einem noch nicht ausgezahlten Guthaben auf deinem Stripe-Konto. Wir sagen dir in diesen Fällen, was noch offen ist. Lässt sich einer dieser Punkte technisch nicht prüfen, lehnen wir vorsorglich ab, statt eine Löschung durchzuführen, die eine laufende Miete beschädigen würde.
Dein Recht auf Löschung nach Art. 17 DSGVO bleibt davon unberührt; du kannst dich jederzeit unter hello@nutze.app an uns wenden. Wo wir Daten aufgrund einer gesetzlichen Aufbewahrungspflicht behalten müssen, sieht Art. 17 Abs. 3 lit. b DSGVO ausdrücklich eine Ausnahme vom Löschanspruch vor; wir beschränken die Verarbeitung dieser Daten dann auf den Aufbewahrungszweck und löschen sie nach Fristablauf.
8. Datenweitergabe zwischen Nutzern
Wenn du eine Buchung anfragst, geben wir deinen Namen und die Stadt des Übergabeorts an die jeweils andere Vertragspartei weiter.
Sobald eine Buchung bestätigt ist (also angenommen wurde und danach), geben wir zusätzlich folgende Daten an die andere Vertragspartei weiter, damit ihr die Übergabe organisieren könnt und wisst, mit wem ihr einen Vertrag geschlossen habt:
- die vollständige Adresse des Übergabeorts,
- deine Telefonnummer, sofern du eine hinterlegt hast,
- deine hinterlegte Standardadresse,
- bei gewerblichen Konten zusätzlich Firmenname und Umsatzsteuer-Identifikationsnummer.
Dies ist zur Erfüllung des Mietvertrags zwischen euch zwingend notwendig (Art. 6 Abs. 1 lit. b DSGVO). Vor der Bestätigung einer Buchung geben wir diese Daten nicht weiter. Deine E-Mail-Adresse geben wir zu keinem Zeitpunkt an die andere Vertragspartei weiter — die Kommunikation läuft über den Chat in der App.
9. Deine Rechte
Du hast gegenüber uns folgende Rechte hinsichtlich deiner personenbezogenen Daten:
- Recht auf Auskunft (Art. 15 DSGVO)
- Recht auf Berichtigung oder Löschung (Art. 16 und 17 DSGVO)
- Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
- Recht auf Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO)
Widerspruchsrecht (Art. 21 DSGVO): Sofern wir deine Daten auf Basis berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, kannst du jederzeit Widerspruch gegen die Verarbeitung einlegen.
Zur Ausübung deiner Rechte genügt eine E-Mail an: hello@nutze.app
10. Beschwerderecht bei einer Aufsichtsbehörde
Du hast zudem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständige Aufsichtsbehörde für unseren Sitz ist die:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2-4
40213 Düsseldorf
Stand: September 2026