Rechtliches

Datenschutzerklärung

Stand: 15. Oktober 2026

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf merrvetura.com und in der MerrVetura-App ist:

Berat Murati, Berlin, Deutschland
E-Mail: info@merrvetura.com
Anschrift und Telefon: siehe Impressum

Welches Recht gilt. Weil wir in Deutschland sitzen, gilt für alle Verarbeitungen die Datenschutz-Grundverordnung (DSGVO), ergänzt durch das Bundesdatenschutzgesetz (BDSG) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) — gleich, ob Sie in Deutschland, im Kosovo oder anderswo leben. Für Nutzer im Kosovo beachten wir daneben das kosovarische Datenschutzgesetz, Ligji Nr. 06/L-082; die entsprechenden Bestimmungen stehen in Klammern hinter den Artikeln der DSGVO.

2. Aufsichtsbehörde

Zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin — datenschutz-berlin.de. Wenn Sie meinen, dass wir Ihre Daten nicht rechtmäßig verarbeiten, können Sie sich dort jederzeit beschweren — oder bei jeder anderen Datenschutz-Aufsichtsbehörde in der Europäischen Union, insbesondere in dem Land, in dem Sie leben oder arbeiten (Art. 77 DSGVO).

Wenn Sie im Kosovo leben, können Sie sich außerdem an die Agjencia për Informim dhe Privatësi (AIP) wenden, die Informations- und Datenschutzagentur der Republik Kosovo, Prishtina — aip.rks-gov.net.

3. Welche Daten wir verarbeiten

Jede Zeile nennt den Zweck, die Rechtsgrundlage und die Aufbewahrung. Die Rechtsgrundlagen sind:

  • Vertragserfüllung — Art. 6 Abs. 1 lit. b DSGVO (Neni 5(1)(1.2) Ligji 06/L-082);
  • berechtigtes Interesse — Art. 6 Abs. 1 lit. f DSGVO (Neni 5(1)(1.6)); worin es besteht, steht jeweils beim Zweck;
  • Einwilligung — Art. 6 Abs. 1 lit. a DSGVO (Neni 5(1)(1.1)).
  • Kontodaten — Anzeigename, E-Mail-Adresse, Telefonnummer, Wohnort, Sprache, WhatsApp- und Viber-Kennzeichnung, Kontoart (privat oder Autohaus). Zweck: Konto führen und Sie für Kaufinteressenten erreichbar machen. Grundlage: Vertragserfüllung. Aufbewahrung: bis zur Löschung des Kontos.
  • Anmeldung mit Apple oder Google — wenn Sie diesen Weg wählen: eine Kennung des Anbieters, Ihre E-Mail-Adresse (bei Apple auf Wunsch eine von Apple weitergeleitete Adresse) und Ihr Name (Apple übermittelt ihn nur bei der ersten Anmeldung). Bei Apple speichern wir zusätzlich ein Zugangstoken, das wir nur benötigen, um die Verbindung zu Apple beim Löschen Ihres Kontos zu trennen. Zweck: Anmeldung ohne eigenes Passwort. Grundlage: Vertragserfüllung. Aufbewahrung: bis zur Löschung des Kontos.
  • Inserate — Fahrzeugangaben, Preis, Beschreibung, Fotos und Videos. Zweck: Veröffentlichung des Angebots. Grundlage: Vertragserfüllung. Aufbewahrung: bis zur Löschung des Kontos; abgelaufene und gelöschte Inserate samt Fotos werden nach 12 Monaten endgültig entfernt.
  • Nachrichten — Inhalte der Chats zwischen Käufern und Verkäufern. Zweck: Kommunikation über die Plattform. Grundlage: Vertragserfüllung. Aufbewahrung: solange das Konto besteht. Wir bewahren sie bewusst auf, weil sie bei einem Streit über den Kauf oft der einzige Nachweis sind.
  • Favoriten und gespeicherte Suchen — gemerkte Inserate, Suchfilter, Benachrichtigungseinstellung. Zweck: Wiederfinden und Hinweise auf neue Treffer. Grundlage: Vertragserfüllung. Aufbewahrung: bis Sie sie löschen oder das Konto endet.
  • Suchprotokoll — verwendete Filter und Trefferzahl, ohne Bezug zu Ihrem Konto. Zweck: erkennen, wonach im Kosovo gesucht wird und wo uns Angebote fehlen. Grundlage: berechtigtes Interesse. Aufbewahrung: wird regelmäßig automatisch geleert.
  • Kontakt-Ereignisse — dass ein angemeldeter Nutzer auf „Anrufen“, „WhatsApp“ oder „Nachricht“ geklickt hat, mit Kanal, Datum und Bezug zum Konto. Klicks ohne Anmeldung zählen wir nicht. Zweck: Verkäufern zeigen, wie oft ihr Inserat Kontakte auslöst, und Missbrauch begrenzen. Grundlage: berechtigtes Interesse. Aufbewahrung: bis zur Löschung des Inserats.
  • Bewertungen — Sterne, Text, Antwort des Autohauses und Ihr Anzeigename. Zweck: Orientierung für andere Käufer. Grundlage: berechtigtes Interesse. Aufbewahrung: bis Sie die Bewertung löschen oder das Konto endet.
  • Fahrzeugdokumente — Kaufvertrag, Zulassung, Zollpapiere, Service- und Prüfnachweise, die ein Autohaus zu einem Fahrzeug ablegt. Diese Dateien enthalten regelmäßig Namen und Angaben Dritter. Zweck: Unterlagen zum Fahrzeug bündeln. Grundlage: Vertragserfüllung. Aufbewahrung: bis das Autohaus sie löscht oder archiviert.
  • Push-Kennungen — die Gerätekennung, die Apple oder Google vergibt, mit Plattform und letztem Kontakt. Zweck: Hinweise auf neue Nachrichten und Suchtreffer. Grundlage: Ihre Einwilligung. Aufbewahrung: bis Sie die Benachrichtigungen in den Geräteeinstellungen abschalten oder das Konto endet.
  • E-Mail-Protokoll — Empfängeradresse, Art der Nachricht und ob der Versand geklappt hat. Zweck: nachvollziehen, ob eine Bestätigungs- oder Passwortmail angekommen ist. Grundlage: berechtigtes Interesse. Aufbewahrung: 90 Tage.
  • Reichweiten- und Ladezeitmessung — siehe Abschnitt 6.

Wir erheben keine besonderen Kategorien von Daten — keine Angaben zu Herkunft, Religion, Gesundheit, Politik oder sexueller Orientierung. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken an Dritte.

Daten im Händler-Cockpit

Autohäuser führen im Cockpit eigene Kundendaten: Name, Telefonnummer, Notizen, Suchwünsche, Termine und Inzahlungnahme-Anfragen. Die Verantwortung ist dabei geteilt, und zwar so:

  • Wir sind verantwortlich für die Weitergabe selbst. Wenn Sie auf „Anrufen“, „WhatsApp“ oder „Nachricht“ klicken oder einem Autohaus schreiben, legen wir dort automatisch einen Kontakteintrag mit Ihrem Anzeigenamen und — falls hinterlegt — Ihrer Telefonnummer an. Das entscheiden wir, nicht das Autohaus. Grundlage ist die Anbahnung des Kontakts, den Sie selbst ausgelöst haben (Art. 6 Abs. 1 lit. b DSGVO; zur Übermittlung in den Kosovo siehe Abschnitt 5); wir weisen vor Ihrem ersten Kontakt ausdrücklich darauf hin und halten Ihre Kenntnisnahme fest. Wollen Sie das nicht, nehmen Sie die Telefonnummer aus Ihrem Profil — dann wird auch keine übergeben.
  • Das Autohaus ist verantwortlich für alles Weitere: für die Notizen, die es zu Ihnen schreibt, für Einträge, die es von Hand anlegt, und dafür, wie lange es die Daten behält. Insoweit handeln wir nur in seinem Auftrag und nach seiner Weisung.

Auskunft und Löschung richten Sie deshalb am besten an das Autohaus. Schreiben Sie uns trotzdem, wenn Sie nicht weiterkommen — wir leiten Ihr Anliegen weiter und löschen, was in unserer Hand liegt.

4. An wen Daten gehen

Wir setzen die folgenden Dienstleister ein. Sie verarbeiten Daten ausschließlich für uns und nach unserer Weisung; mit Supabase, Vercel und Resend besteht dafür ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO:

  • Supabase Pte. Ltd. (Singapur; Datenbank und Dateien liegen auf Servern in Frankfurt, Europäische Union) — Datenbank, Anmeldung und Dateispeicher. Hier liegen Konto-, Inserats-, Nachrichten- und Dokumentdaten.
  • Vercel Inc. (USA) — Betrieb der Website. Unsere Serverfunktionen laufen in Frankfurt; Anfragen nimmt Vercels weltweites Netz am nächstgelegenen Standort entgegen. Verarbeitet technische Anfragedaten wie IP-Adresse und Browserkennung sowie die Messungen aus Abschnitt 6.
  • Resend (Plus Five Five, Inc., USA) — Versand unserer Konto-Mails. Erhält Ihre E-Mail-Adresse und den Inhalt der jeweiligen Nachricht.
  • Google LLC / Firebase (USA) — Zustellung der Push-Benachrichtigungen an die iOS- und Android-App. Wenn Sie Push eingeschaltet haben, erhält er die Push-Kennung Ihres Geräts und den Text der Benachrichtigung.

Anmeldung mit Apple oder Google. Wenn Sie sich mit Apple (Apple Inc., USA) oder Google (Google LLC, USA) anmelden, handeln diese Anbieter nicht in unserem Auftrag, sondern in eigener Verantwortung nach ihren eigenen Datenschutzbestimmungen. Wir erhalten von ihnen nur die in Abschnitt 3 genannten Angaben. Löschen Sie Ihr Konto, trennen wir die Verbindung zu Apple; bei Google können Sie den Zugriff in Ihrem Google-Konto entfernen.

Karten (Google Maps). Bei Autohäusern können Sie im Inserat und auf der Händlerseite eine Karte zum Standort einblenden. Die Karte lädt erst, wenn Sie auf „Karte anzeigen“ tippen; vorher wird nichts an Google übertragen. Ihr Gerät merkt sich dieses Antippen; danach laden Karten sofort, bis Sie das in Abschnitt 7 ausschalten. Nach dem Antippen ruft Ihr Gerät die Karte direkt bei Google ab (Google Ireland Limited, Irland, bzw. Google LLC, USA). Google erhält dabei Ihre IP-Adresse, Angaben zu Browser und Gerät sowie die angezeigte Adresse und kann Cookies setzen. Google handelt dabei in eigener Verantwortung nach seinen Datenschutzbestimmungen (policies.google.com/privacy).

Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind oder eine Behörde oder ein Gericht dies rechtmäßig verlangt.

Was Sie selbst in ein Inserat schreiben — Fahrzeugangaben, Fotos, Ihr Anzeigename und, wenn Sie sie hinterlegt haben, Ihre Telefonnummer — ist für alle Besucher der Plattform öffentlich sichtbar und kann von Suchmaschinen erfasst werden. Überlegen Sie sich gut, welche Kontaktdaten Sie angeben.

5. Übermittlung in Länder außerhalb der Europäischen Union

Einige Empfänger sitzen außerhalb der EU. Für jede Übermittlung steht hier die Grundlage nach Kapitel V DSGVO.

  • Vercel Inc. (USA) — ist unter dem EU-US-Datenschutzrahmen (EU-U.S. Data Privacy Framework) zertifiziert; für zertifizierte Unternehmen gilt der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Unser Vertrag mit Vercel enthält zusätzlich die Standardvertragsklauseln der EU-Kommission.
  • Resend (Plus Five Five, Inc., USA) — für den Versand unserer Konto-Mails gehen Ihre E-Mail-Adresse und der Inhalt der Anmeldebestätigung bzw. Passwortzurücksetzung dorthin. Resend ist unter dem EU-US-Datenschutzrahmen zertifiziert (Art. 45 DSGVO); der Vertrag enthält zusätzlich die Standardvertragsklauseln. Nach kosovarischem Recht ist die Übermittlung für die Erfüllung unseres Vertrags mit Ihnen erforderlich (Neni 49(1)(1.3) Ligji 06/L-082).
  • Supabase Pte. Ltd. (Singapur) — die Daten liegen in Frankfurt. Soweit Supabase oder seine Unterauftragnehmer von außerhalb der EU darauf zugreifen, etwa für Wartung, Sicherungen oder Protokolle, gelten die Standardvertragsklauseln der EU-Kommission, die Teil unseres Vertrags sind (Art. 46 Abs. 2 lit. c DSGVO).
  • Anmeldung mit Apple oder Google — wählen Sie diese Anmeldung, tauschen wir dafür Daten mit Apple bzw. Google aus: den Anmeldecode und, bei Apple, beim Löschen Ihres Kontos das Zugangstoken. Sie wählen diesen Weg selbst; die Anmeldung mit E-Mail und Passwort funktioniert ohne. Die Übermittlung ist für die gewählte Anmeldung erforderlich (Art. 49 Abs. 1 lit. b DSGVO; Neni 49(1)(1.3)). Google LLC ist zudem unter dem EU-US-Datenschutzrahmen zertifiziert; Apple sichert Übermittlungen aus dem Europäischen Wirtschaftsraum nach eigenen Angaben mit Standardvertragsklauseln ab.
  • Karten (Google Maps) — tippen Sie auf „Karte anzeigen“, können dabei Daten an Google LLC in die USA gehen (siehe Abschnitt 4). Das geschieht erst, nachdem Sie einmal auf „Karte anzeigen“ getippt haben, und beruht auf Ihrer Einwilligung durch dieses Antippen, die Sie in Abschnitt 7 jederzeit widerrufen können. Google LLC ist unter dem EU-US-Datenschutzrahmen zertifiziert. Ohne Antippen bleibt die Karte aus; Adresse und „Route“ funktionieren auch ohne.
  • Google LLC / Firebase — für Push-Benachrichtigungen gehen dorthin die Push-Kennung Ihres Geräts und der Text der Benachrichtigung, und nur dann, wenn Sie Push eingeschaltet haben. Push beruht auf Ihrer Einwilligung, die Sie jederzeit in den Einstellungen Ihres Geräts widerrufen können. Google LLC ist unter dem EU-US-Datenschutzrahmen zertifiziert (Art. 45 DSGVO).
  • Verkäufer und Autohäuser im Kosovo — für den Kosovo gibt es keinen Angemessenheitsbeschluss der EU-Kommission. Wenn Sie einem Verkäufer über die Plattform schreiben, erreicht ihn Ihre Nachricht mit Ihrem Anzeigenamen; bei Autohäusern legen wir außerdem den Kontakteintrag aus Abschnitt 3 an. Die Übermittlung ist für die Kontaktaufnahme erforderlich, die Sie selbst angestoßen haben (Art. 49 Abs. 1 lit. b DSGVO).

6. Reichweiten- und Ladezeitmessung

Wir nutzen Vercel Web Analytics, um zu sehen, welche Seiten aufgerufen werden. Erfasst werden Zeitpunkt, aufgerufene Seite, Verweisquelle, gefilterte Adressparameter, Land und Region, Gerätetyp sowie Browser und Betriebssystem samt Version. Der Besucher wird aus einem Prüfwert gebildet, den Vercel nach 24 Stunden verwirft; eine Wiedererkennung über Tage oder über andere Webseiten hinweg ist damit nicht möglich. Grundlage: berechtigtes Interesse — wir wollen verstehen, welche Seiten genutzt werden.

Mit Vercel Speed Insights messen wir, wie schnell unsere Seiten laden. Erfasst werden je Aufruf die Seite, Ladezeit-Kennwerte (etwa wann der erste Inhalt erscheint), die Art der Verbindung (etwa 4G), Browser, Gerätetyp, Betriebssystem und Land. Eine Kennung, mit der sich ein Besuch über mehrere Seiten verfolgen ließe, entsteht dabei nicht. Grundlage: berechtigtes Interesse an einer schnellen, funktionierenden Website.

Beide Messungen arbeiten ohne Cookies und legen nichts auf Ihrem Gerät ab.

Meta-Pixel — nur nach Ihrer Zustimmung: Auf den öffentlichen Einstiegsseiten, im Inseratformular und auf der Seite für Autohäuser verwenden wir den Meta-Pixel, um Werbung auf Facebook und Instagram auszuwerten und auf veröffentlichte Inserate sowie erfolgreich abgeschlossene Händlerregistrierungen auszurichten. Erst wenn Sie im Hinweis zur Werbemessung zustimmen, wird der Pixel geladen. Ablehnen hat keinen Einfluss darauf, ob Sie die Plattform nutzen können.

Empfänger ist Meta Platforms Ireland Limited. Meta erhält Seitenaufrufe, den Zeitpunkt, Browser- und Geräteinformationen, die IP-Adresse und gegebenenfalls Cookie-Kennungen sowie die Ereignisse „Inserat veröffentlicht“ und „Händlerregistrierung abgeschlossen“. Wir übergeben keine Namen, Telefonnummern, E-Mail-Adressen, Nachrichten oder Formulareingaben an den Pixel. Automatischer erweiterter Abgleich und automatische Ereigniserkennung werden nicht verwendet. Meta kann die Informationen mit Ihrem Facebook- oder Instagram-Konto verbinden und für die Messung und Personalisierung von Werbung verarbeiten; eine Verarbeitung durch Meta in den USA ist möglich. Einzelheiten stehen in Metas Datenschutzrichtlinie. Grundlage unserer Pixel-Nutzung ist Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Sie können diese jederzeit über „Datenschutzeinstellungen“ in der Fußzeile widerrufen; danach werden keine weiteren Pixel-Ereignisse von uns übermittelt.

Der Pixel wird in der App-Hülle und auf Konto-, Anmelde-, Nachrichten- und CRM-Seiten nicht eingesetzt. Wir verwenden keinen Google-Ads-Pixel.

7. Was auf Ihrem Gerät gespeichert wird

Damit die Plattform funktioniert, legen wir einige Werte in Ihrem Browser ab. Bis auf die Anmeldung sind das keine klassischen Cookies, sondern lokaler Speicher — die Werte bleiben auf Ihrem Gerät und werden nicht an uns übertragen, sofern unten nichts anderes steht.

Cookies

  • Anmeldesitzung (Supabase, Name beginnt mit sb-) — hält Sie eingeloggt. Ohne dieses Cookie gibt es kein Konto.
  • mv_app — erkennt, dass Sie die App statt der Website nutzen. 180 Tage.
  • mv_mode — merkt sich Händler- oder Käuferansicht. 1 Jahr.
  • mv_onb, mv_city — merken sich, dass Sie den Willkommensweg abgeschlossen haben, und die gewählte Stadt. 1 Jahr.

Lokaler Speicher — bleibt, bis Sie ihn löschen

  • mv-compare — Ihre Vergleichsliste.
  • mv-onboarding, mv-mode — Ihre Antworten aus dem Willkommensweg und die gewählte Ansicht.
  • mv-guest-draft und mv-guest-photo-… — ein angefangenes Inserat samt Fotos, wenn Sie ohne Konto beginnen. Die Fotos liegen in der Datenbank Ihres Browsers und werden erst beim Veröffentlichen an uns übertragen.
  • mv-ken-history — Ihre letzten Fragen an die Suchhilfe.
  • mv-app-banner-dismissed, mv-push-dismissed, mv-listing-published — merken sich, welche Hinweise Sie bereits weggeklickt haben.

Sitzungsspeicher — verschwindet, wenn Sie den Tab schließen

  • mv-anon-id — eine Zufallszahl, die erst entsteht, wenn Sie ohne Anmeldung ein Reel melden. Sie wird nur zusammen mit dem Tagesdatum als Prüfwert an uns übertragen, damit dieselbe Meldung nicht mehrfach zählt, und erlaubt keine Wiedererkennung.
  • mv-contact-draft:… — eine angefangene Nachricht, damit sie beim Anmelden nicht verloren geht.
  • mv-capture-session — Tageszähler in der Schnellerfassung für Autohäuser.

Die oben beschriebenen Werte sind für die Funktionen erforderlich, die Sie gerade nutzen. Zusätzlich speichern wir Ihre Zustimmung oder Ablehnung der Werbemessung als mv-marketing-consent-v1 für 180 Tage. Nach Zustimmung kann der Meta-Pixel die Cookies _fbp und _fbc setzen (bis zu 90 Tage). Im Sitzungsspeicher verhindert mv-meta-conversions-v1, dass derselbe erfolgreiche Abschluss mehrfach gemeldet wird. Beim Widerruf löschen wir die Pixel-Cookies unserer Domain und stoppen weitere Ereignisse. Sie können den Speicher jederzeit in den Einstellungen Ihres Browsers löschen.

Mit Ihrer Einwilligung

  • mv-maps — dass Google-Karten bei Ihnen sofort laden (lokaler Speicher, siehe Abschnitt 4). Entsteht, wenn Sie zum ersten Mal auf „Karte anzeigen“ tippen, und bleibt, bis Sie es hier ausschalten oder den Speicher löschen.Google-Karten laden erst, wenn Sie auf „Karte anzeigen“ tippen.

8. Ihre Rechte

Nach der DSGVO — und für Nutzer im Kosovo ebenso nach Ligji 06/L-082 — haben Sie das Recht:

  • Auskunft zu verlangen, welche Daten wir über Sie verarbeiten, und eine Kopie zu erhalten;
  • Berichtigung unrichtiger oder unvollständiger Daten zu verlangen;
  • Löschung Ihrer Daten zu verlangen;
  • Einschränkung der Verarbeitung zu verlangen;
  • der Verarbeitung auf Grundlage berechtigter Interessen zu widersprechen;
  • Ihre Daten in einem maschinenlesbaren Format zu erhalten (Übertragbarkeit);
  • eine erteilte Einwilligung zu widerrufen — etwa für Push-Benachrichtigungen, ohne dass die bisherige Verarbeitung dadurch unrechtmäßig wird;
  • sich bei einer Aufsichtsbehörde zu beschweren (Art. 77 DSGVO, siehe Abschnitt 2).

Konto löschen: Das können Sie selbst — im Profil unten über „Konto löschen“. Damit werden Ihr Konto, Ihre Inserate, Nachrichten, Favoriten und gespeicherten Suchen entfernt. Wenn Ihnen das lieber ist, schreiben Sie stattdessen an info@merrvetura.com; wir erledigen es dann innerhalb von 30 Tagen.

Daten exportieren: Ebenfalls im Profil. Sie erhalten Ihre Konto-, Inserats-, Nachrichten- und Favoritendaten als maschinenlesbare JSON-Datei.

Für alle anderen Anliegen genügt eine E-Mail an info@merrvetura.com. Wir antworten innerhalb eines Monats.

9. Wie lange wir Daten aufbewahren

Zusammengefasst, im Einzelnen siehe Abschnitt 3:

  • Konto, Nachrichten, Favoriten und gespeicherte Suchen: bis Sie das Konto löschen.
  • Abgelaufene und gelöschte Inserate samt Fotos: noch 12 Monate, danach endgültig entfernt.
  • E-Mail-Protokoll: 90 Tage.
  • Suchprotokoll: wird regelmäßig automatisch geleert.
  • Server-Protokolle unseres Hosters: kurze technische Zeiträume, automatische Löschung.

Länger bewahren wir Daten nur auf, wenn ein Gesetz es verlangt oder wir sie zur Abwehr oder Durchsetzung von Ansprüchen brauchen.

10. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Das Datum oben zeigt den aktuellen Stand. Bei wesentlichen Änderungen informieren wir Sie zusätzlich per E-Mail oder in der Plattform.

11. Kontakt

Fragen zum Datenschutz: info@merrvetura.com