Verantwortlicher
Handelsbrücke GmbH
Friedrich-List-Str. 29
35398 Gießen
Deutschland
Vertreten durch die Geschäftsführer Rojhat Karaaslan und Sahin Kurt. E-Mail: info@bestervorort.de
Rechtsgrundlagen
Die einzelnen Verarbeitungen stützen sich auf folgende Grundlagen:
- Konto, Anmeldung, kostenpflichtige Leistungen: Erfüllung des Nutzungs- bzw. Buchungsvertrages und Durchführung vorvertraglicher Maßnahmen, Art. 6 Abs. 1 lit. b DSGVO.
- Kontaktanfragen an Unternehmen, Übernahme eines Unternehmensprofils: Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person, Art. 6 Abs. 1 lit. b DSGVO.
- Bewertungen, Fragen und deren Prüfung vor der Veröffentlichung: berechtigtes Interesse an einem Verzeichnis mit überprüften, echten Bewertungen, Art. 6 Abs. 1 lit. f DSGVO. Die Veröffentlichung erfolgt ausschließlich mit den Angaben, die die bewertende Person selbst dafür bestimmt hat.
- Sicherheitsprotokoll: berechtigtes Interesse an der Erkennung und Abwehr von Missbrauch, Art. 6 Abs. 1 lit. f DSGVO. Das Protokoll wird nach 48 Stunden gelöscht und nicht zu anderen Zwecken ausgewertet.
- Reichweitenmessung: berechtigtes Interesse am Betrieb und an der Verbesserung des Portals, Art. 6 Abs. 1 lit. f DSGVO. Erhoben werden keine IP-Adressen und keine Nutzerkennungen; eine Zuordnung zu einzelnen Besuchern ist ausgeschlossen.
- Push-Benachrichtigungen: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, erteilt über die Berechtigungsabfrage des Betriebssystems und dort jederzeit widerrufbar.
- Aufbewahrung von Zahlungs- und Rechnungsunterlagen: Erfüllung rechtlicher Verpflichtungen aus Handels- und Steuerrecht, Art. 6 Abs. 1 lit. c DSGVO.
Soweit die Verarbeitung auf einem berechtigten Interesse beruht, besteht das Recht, ihr aus Gründen der besonderen Situation zu widersprechen (Art. 21 DSGVO).
Cookies und Speicherung im Gerät
Es werden keine Cookies zu Werbezwecken und keine Cookies Dritter zur Wiedererkennung gesetzt. Gesetzt werden ausschließlich:
bv_session
Hält die Anmeldung aufrecht. Wird nur nach einer Anmeldung gesetzt, ist httpOnly (für JavaScript nicht lesbar), sameSite: lax, im Produktivbetrieb secure, und läuft nach 30 Tagen ab.
bv_visited
Enthält ausschließlich das aktuelle Kalenderdatum und verhindert, dass derselbe Browser am selben Tag mehrfach in die Besucherzahl einfließt. Auch dieses Cookie ist httpOnly und läuft nach rund 26 Stunden ab. Es erlaubt keine Wiedererkennung über den Tag hinaus und ist keiner Person zugeordnet.
auth_token (lokaler Speicher)
Im localStorage des Browsers, damit die Anmeldung einen Neustart des Browsers übersteht. Wird beim Abmelden entfernt und verlässt das Gerät nur gegenüber dieser Website.
Verarbeitungen im Einzelnen
Konto und Anmeldung
Gespeichert werden E-Mail-Adresse, Name, optional eine Telefonnummer sowie der Bestätigungsstatus der E-Mail-Adresse. Das Passwort wird nicht gespeichert, sondern nur als Hash (bcrypt) — es lässt sich daraus nicht zurückrechnen.
Bewertungen und Fragen
Bewertungen, Bewertungstexte und öffentliche Fragen zu einem Unternehmen sind bestimmungsgemäß öffentlich sichtbar, zusammen mit dem dabei angegebenen Namen. Wer nicht öffentlich in Erscheinung treten möchte, sollte keinen Klarnamen verwenden.
Kontaktanfragen an Unternehmen
Bei einer Angebotsanfrage werden Name sowie — je nach Eingabe — Telefonnummer und E-Mail-Adresse gespeichert und an das angefragte Unternehmen übermittelt. Ohne diese Übermittlung kann die Anfrage ihren Zweck nicht erfüllen.
Unternehmensprofil übernehmen
Wer ein bestehendes Profil als Inhaber beansprucht, übermittelt dazu Angaben zur eigenen Person und zum Unternehmen. Sie dienen der Prüfung der Berechtigung.
Fehlerberichte
Über die Fehlermeldefunktion übermittelte Angaben (Name, E-Mail-Adresse, Beschreibung) werden zur Bearbeitung gespeichert.
Sicherheitsprotokoll
Zu sicherheitsrelevanten Vorgängen — etwa Anmeldeversuchen — werden die IP-Adresse, die Browserkennung (User-Agent), der Vorgang und, soweit bekannt, Nutzerkennung und E-Mail-Adresse protokolliert. Das Protokoll dient der Erkennung von Missbrauch und wird in einem rollierenden Fenster von 48 Stunden automatisch gelöscht; ein dauerhaftes Archiv besteht nicht.
Reichweitenmessung
Aufrufe von Unternehmensprofilen sowie Klicks auf Telefonnummer und Website werden gezählt. Gespeichert werden dabei nur das Unternehmen, die Art des Ereignisses und der Zeitpunkt — keine IP-Adresse, keine Nutzerkennung. Ebenso werden Suchbegriffe zusammen mit dem gesuchten Ort und der Trefferzahl gespeichert, ebenfalls ohne Bezug zu einer Person. Eine Zuordnung zu einzelnen Besuchern ist aus diesen Daten nicht möglich.
KI-gestützte Zusammenfassungen
Zu Unternehmen werden aus den vorhandenen, bereits veröffentlichten Bewertungen automatisch Zusammenfassungen und Stimmungsauswertungen erstellt und angezeigt. Grundlage sind ausschließlich die öffentlichen Bewertungsinhalte.
Eingesetzt wird dafür die Programmierschnittstelle von OpenAI (OpenAI, L.L.C., San Francisco, USA). Übermittelt werden der Bewertungstext und der Unternehmensname; eine Nutzerkennung, E-Mail-Adresse oder IP-Adresse wird nicht mitgesendet. Da der Anbieter seinen Sitz in den USA hat, ist eine Übermittlung in ein Drittland nicht ausgeschlossen. Dieselbe Schnittstelle erzeugt auf Anforderung eines Unternehmens Antwortvorschläge zu Bewertungen; auch dabei werden nur der Bewertungstext und der Unternehmensname übermittelt.
Für die Suche nach Unternehmen wird keine KI eingesetzt — dafür wird ausschliesslich die Google Places API verwendet (siehe oben).
Rechtsgrundlage ist das berechtigte Interesse an einer verständlichen Zusammenfassung öffentlicher Bewertungen (Art. 6 Abs. 1 lit. f DSGVO). Der Anbieter wird als Auftragsverarbeiter tätig; Grundlage der Übermittlung in die USA sind die Standardvertragsklauseln der EU-Kommission.
Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO ist damit nicht verbunden: die Zusammenfassungen geben nur wieder, was in den bereits veröffentlichten Bewertungen steht, und entfalten gegenüber den bewertenden Personen keine rechtliche Wirkung.
Zahlungen
Kostenpflichtige Leistungen für Unternehmen werden über den Zahlungsdienstleister Stripe abgewickelt. Zahlungsdaten werden dort eingegeben und nicht auf den Servern dieser Website gespeichert; gespeichert wird der Kaufvorgang selbst (gebuchte Leistung, Zeitpunkt, Status).
Stand heute ist die Zahlungsabwicklung nicht in Betrieb: es sind keine Stripe-Zugangsdaten hinterlegt, es können daher keine kostenpflichtigen Buchungen abgeschlossen und keine Daten an Stripe übermittelt werden.
Sobald die Zahlungsabwicklung freigeschaltet wird, ist an dieser Stelle die Vertragspartner-Gesellschaft von Stripe zu nennen; der vorstehende Absatz entfällt dann.
E-Mail-Versand
Derzeit versendet das Portal keine E-Mails. Bestätigungscodes und Links zum Zurücksetzen des Passworts werden ausschliesslich innerhalb der Anwendung angezeigt; ein Mailserver ist nicht hinterlegt. Entsprechend werden zu diesem Zweck keine Daten an einen Mailanbieter übermittelt.
Google-Unternehmensprofil
Unternehmen können ihr Google-Unternehmensprofil mit BesterVorOrt verbinden, um Bewertungen zu übernehmen. Diese Verbindung entsteht nur auf ausdrückliche Veranlassung des jeweiligen Unternehmens.
Die Verbindung läuft über das Anmeldeverfahren von Google (OAuth). BesterVorOrt erhält dabei keine Zugangsdaten, sondern ein Zugriffsrecht, das das Unternehmen jederzeit in seinem Google-Konto widerrufen kann. Gespeichert werden dieses Zugriffsrecht, die Kennung des verbundenen Google-Standorts und der Zeitpunkt der letzten Übernahme.
Abgerufen werden die zu diesem Standort bei Google veröffentlichten Bewertungen — Text, Sternzahl, Datum und der dort angezeigte Name der bewertenden Person. Diese Angaben sind bei Google bereits öffentlich. Antworten, die das Unternehmen hier verfasst, werden auf seine Veranlassung an Google zurückübertragen. Rechtsgrundlage gegenüber dem verbundenen Unternehmen ist die Erfüllung des Nutzungsvertrages (Art. 6 Abs. 1 lit. b DSGVO).
Wird die Verbindung getrennt, werden das Zugriffsrecht und die Standortkennung gelöscht. Bereits übernommene Bewertungen bleiben im Profil sichtbar.
Kartendarstellung (OpenStreetMap)
Karten werden mit Kartenausschnitten der OpenStreetMap Foundation dargestellt. Beim Laden einer Karte ruft der Browser diese Ausschnitte direkt von deren Servern ab; dabei wird dem Anbieter die IP-Adresse des Geräts bekannt. Das lässt sich technisch nicht vermeiden, solange die Karte angezeigt wird. Seiten ohne Karte lösen keinen solchen Abruf aus.
Schriftarten
Die verwendeten Schriftarten werden vom eigenen Server ausgeliefert. Beim Seitenaufruf entsteht dadurch keine Verbindung zu Google Fonts oder einem anderen externen Anbieter.
Zusätzliche Angaben zur App
Die App zeigt dieselben Inhalte wie die Website und verarbeitet darüber hinaus:
Standort
Nur auf ausdrückliche Anforderung — etwa über „Unternehmen in meiner Nähe“ — wird die Geräteposition ermittelt und an den Server übermittelt, um die nächste Stadt zu bestimmen. Die Koordinaten werden dabei ausschließlich für diese Berechnung verwendet und nicht gespeichert. Die Freigabe kann in den Systemeinstellungen jederzeit widerrufen werden.
Kamera und Fotos
Nur auf ausdrückliche Anforderung, um einer Bewertung oder einem Unternehmensprofil ein Bild hinzuzufügen. Übertragen wird allein das ausgewählte oder aufgenommene Bild.
Push-Benachrichtigungen
Nach Zustimmung wird eine Gerätekennung gespeichert, um Benachrichtigungen an dieses Gerät senden zu können. Sie wird beim Abmelden gelöscht und lässt sich durch Entzug der Mitteilungsberechtigung in den Systemeinstellungen jederzeit unwirksam machen. In der iPhone-App sind Push-Benachrichtigungen derzeit nicht aktiv; es wird dort keine Gerätekennung erhoben.
Speicherdauer
Das Sicherheitsprotokoll wird nach 48 Stunden automatisch gelöscht. Das Anmelde-Cookie läuft nach 30 Tagen ab, das Zähl-Cookie nach rund 26 Stunden. Kontodaten werden bis zur Löschung des Kontos gespeichert; öffentliche Bewertungen bleiben bis zu ihrer Löschung sichtbar.
Kontaktanfragen an Unternehmen und Fehlerberichte werden gelöscht, sobald das jeweilige Anliegen abschließend bearbeitet ist, spätestens jedoch nach zwölf Monaten. Unterlagen zu kostenpflichtigen Buchungen werden nach den handels- und steuerrechtlichen Vorgaben aufbewahrt (§ 257 HGB, § 147 AO) und danach gelöscht; während dieser Zeit ist ihre Verarbeitung auf die Erfüllung dieser Aufbewahrungspflichten beschränkt.
Wird ein Konto gelöscht, entfallen Zugangsdaten, Anfragen und Meldungen sofort. Bereits veröffentlichte Bewertungen bleiben bestehen, verlieren aber die Verknüpfung zum Konto und werden ohne Namen angezeigt.
Rechte der betroffenen Personen
Es besteht das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage eines berechtigten Interesses (Art. 21). Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3).
Zur Ausübung genügt eine Nachricht an info@bestervorort.de. Das Konto kann zusätzlich im eigenen Profil selbst gelöscht werden.
Beschwerderecht
Unabhängig davon besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Für den Sitz der Gesellschaft in Hessen ist dies der Hessische Beauftragte für Datenschutz und Informationsfreiheit.
Weitere Rechtstexte
Impressum · AGB · Über das Portal · Kontakt