Datenschutzerklärung

Stand: 11.10.2026

Hier steht, welche personenbezogenen Daten ich bei Baustoffvergleich24 verarbeite, wozu, wie lange und welche Rechte Sie haben.

1. Verantwortlicher

Johannes Schartl
Kleegarten 9
69123 Heidelberg
E-Mail: johannes@schartl.dev
Kontaktformular: /kontakt

Ein Datenschutzbeauftragter ist nicht bestellt, weil die gesetzlichen Voraussetzungen dafür nicht vorliegen. Für Fragen zum Datenschutz schreiben Sie bitte an die E-Mail-Adresse oben.

2. Überblick

• Server-Logdaten (IP-Adresse, Zeit, Adresse der Seite, Browser): Betrieb und Sicherheit, Art. 6 Abs. 1 lit. f DSGVO, 14 Tage.
• Konto (Name, E-Mail, Passwort als Hash oder Kennung des Google-Kontos, Firma, Kundentyp, PLZ): Vertrag, Art. 6 Abs. 1 lit. b DSGVO, bis 30 Tage nach Vertrags- bzw. Testende.
• Eigene Eingaben (Merklisten, Projektlisten, Händlerpreise, Team-Logins): Vertrag, Art. 6 Abs. 1 lit. b DSGVO, wie Konto.
• Kontaktformular (Name, E-Mail, Nachricht, Zeitpunkt, Hash-Wert der IP-Adresse): Anfrage beantworten, Art. 6 Abs. 1 lit. b und f DSGVO, 6 Monate.
• Zahlungs- und Rechnungsdaten: Vertrag, Steuerpflichten, Art. 6 Abs. 1 lit. b und c DSGVO, Rechnungen 8 Jahre.
• Einwilligungen und Vertragsnachweise (AGB-Fassung, Zeitpunkt, Kündigung, Widerruf): Nachweis, Art. 6 Abs. 1 lit. c und f DSGVO, bis 3 Jahre nach Vertragsende.
• Protokoll sicherheitsrelevanter Aktionen (Anmeldung, Passwortänderung, Löschung): Sicherheit, Art. 6 Abs. 1 lit. f DSGVO, 12 Monate.

3. Aufruf der Website und Hosting

Die Website und die App laufen auf eigenen Servern bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in Rechenzentren in Deutschland. Hetzner verarbeitet die Daten in meinem Auftrag (Art. 28 DSGVO).

Beim Aufruf jeder Seite verarbeitet der Server automatisch: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Browser und Betriebssystem sowie die zuvor besuchte Seite, soweit Ihr Browser sie mitschickt. Das ist nötig, um die Seite auszuliefern, Angriffe zu erkennen und Fehler zu finden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse ist ein sicherer und stabiler Betrieb. Die Logdaten werden nach 14 Tagen gelöscht.

Die Domain wird über Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA verwaltet (DNS). Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert; mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung.

Schriften und Programmteile werden von meinem eigenen Server geladen. Beim Aufruf der Seiten wird keine Verbindung zu Google Fonts oder anderen Schriftanbietern aufgebaut.

4. Konto und kostenloser Test

Für die Registrierung brauche ich Ihre E-Mail-Adresse und ein Passwort; freiwillig sind Name, Firma, Kundentyp (privat, Betrieb, Kleinunternehmer) und Postleitzahl. Das Passwort speichere ich nur als nicht umkehrbaren Hash. Zum Schutz vor Missbrauch begrenze ich die Zahl der Anmeldeversuche und speichere dafür kurzzeitig die IP-Adresse.

Statt mit Passwort können Sie sich mit Ihrem Google-Konto anmelden. Dann leitet Ihr Browser Sie zu Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) und Google übermittelt mir Ihre E-Mail-Adresse, Ihren Namen und eine Kennung Ihres Google-Kontos. Ich speichere davon die E-Mail-Adresse, den Namen und die Kennung, um Sie wiederzuerkennen; Zugriffsschlüssel auf Ihr Google-Konto speichere ich nicht. Eine Übermittlung an Google LLC in den USA ist möglich; Google ist nach dem EU-US Data Privacy Framework zertifiziert. Was Google selbst bei der Anmeldung verarbeitet, regelt die Datenschutzerklärung von Google (https://policies.google.com/privacy). Die Anmeldung mit Google ist freiwillig.

Zweck ist die Bereitstellung des Tests und später des Abos, Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO.

Nach Ende des Tests ohne Abo sperre ich den Zugang und lösche die Daten 30 Tage später. Sieben Tage vor der Löschung schreibe ich Ihnen eine E-Mail.

Laden Sie Mitarbeiter in Ihr Abo ein (bis zu drei Logins), verarbeite ich deren E-Mail-Adresse, Namen, Passwort-Hash und angemeldete Geräte für die Nutzung Ihres Abos. Die Einladung schicke ich einmal per E-Mail an die Adresse, die Sie angeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Ihr Vertrag mit mir) und, für die eingeladene Person, Art. 6 Abs. 1 lit. f DSGVO: Ihr berechtigtes Interesse, Ihr Team mit einem gemeinsamen Konto arbeiten zu lassen. Ich werte nicht aus, wer im Team wann was getan hat, außer für das Sicherheitsprotokoll (Anmeldungen). Bitte informieren Sie die eingeladenen Personen über diese Hinweise.

Entfernen Sie ein Mitglied, ist sein Zugang sofort gesperrt. Sind 24 Stunden vergangen, lösche ich das Login beim nächsten nächtlichen Löschlauf endgültig, also spätestens nach zwei Tagen. Seine Preise und Käufe bleiben als Daten Ihres Kontos erhalten und werden Ihnen als Inhaber zugeordnet, Belege und Listen bleiben ohne Namen des Erstellers. Nicht angenommene, zurückgezogene oder angenommene Einladungen lösche ich 30 Tage nach Ablauf bzw. Erledigung.

5. Eigene Eingaben

Merklisten, Projektlisten, Mengen, eigene Händlerpreise und Notizen speichere ich in Ihrem Konto, damit Sie den Dienst nutzen können (Art. 6 Abs. 1 lit. b DSGVO). Andere Kunden sehen diese Daten nicht. Ich werte sie nicht für Werbung aus und gebe sie nicht weiter.

6. Bezahlung über Stripe

Zahlungen wickle ich über Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland ab. Stripe verarbeitet dafür Name, E-Mail, Rechnungsadresse, Zahlungsmittel (zum Beispiel Kartendaten), Betrag, Zeitpunkt sowie Geräte- und Verbindungsdaten zur Betrugsvorbeugung. Kartendaten gibt Stripe nicht an mich weiter; ich sehe nur zum Beispiel die letzten vier Ziffern und das Ablaufdatum.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Zahlung) und Art. 6 Abs. 1 lit. f DSGVO (Betrugsvorbeugung). Stripe handelt teils als mein Auftragsverarbeiter, teils als eigener Verantwortlicher (zum Beispiel für Betrugsprävention und gesetzliche Pflichten als Zahlungsinstitut). Daten können an Stripe, Inc. in den USA übermittelt werden; Stripe ist nach dem EU-US Data Privacy Framework zertifiziert und nutzt zusätzlich EU-Standardvertragsklauseln. Datenschutzhinweise von Stripe: https://stripe.com/de/privacy

Die Programmbibliothek von Stripe wird nur auf der Bestellseite geladen, weil sie dort für eine sichere Zahlung technisch nötig ist.

Rechnungs- und Buchungsdaten bewahre ich nach § 147 AO und § 14b UStG acht Jahre auf (Art. 6 Abs. 1 lit. c DSGVO).

7. E-Mails

Ich verschicke E-Mails zur Bestätigung Ihrer Adresse, zum Test, zum Vertrag (Vertragsbestätigung, Rechnungen, Kündigungs- und Widerrufsbestätigung, Zahlungsprobleme) und zur Sicherheit (Passwort zurücksetzen). Diese Mails gehören zum Vertrag (Art. 6 Abs. 1 lit. b DSGVO) bzw. sind gesetzlich vorgeschrieben (Art. 6 Abs. 1 lit. c DSGVO). Werbung verschicke ich nicht ohne Ihre Einwilligung.

Für den Versand und für mein Postfach nutze ich Google Workspace der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google verarbeitet dabei Absender, Empfänger, Zeitpunkt und Inhalt der Mail in meinem Auftrag (Art. 28 DSGVO). Eine Übermittlung an Google LLC in den USA ist möglich; Google ist nach dem EU-US Data Privacy Framework zertifiziert.

Ich protokolliere, welche Mail wann an welche Adresse ging und ob der Versand geklappt hat, damit ich Zustellprobleme erkennen und nachweisen kann, dass Pflichtmails rausgingen. Dieses Protokoll lösche ich zusammen mit dem Konto, Nachweise zu Kündigung und Widerruf nach drei Jahren.

Wenn Sie mir schreiben, verarbeite ich Ihre Nachricht, um sie zu beantworten (Art. 6 Abs. 1 lit. b oder f DSGVO), und lösche sie, wenn die Sache erledigt ist und keine Aufbewahrungspflicht besteht.

8. Kontaktformular

Wenn Sie mir über das Kontaktformular schreiben, speichere ich Name, E-Mail-Adresse, Nachricht und Zeitpunkt, um Ihre Anfrage zu beantworten (Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag geht, sonst Art. 6 Abs. 1 lit. f DSGVO). Ihre IP-Adresse speichere ich nicht im Klartext, nur einen Hash-Wert davon, um Missbrauch zu erkennen und die Zahl der Anfragen zu begrenzen. An die angegebene Adresse schicke ich keine automatische E-Mail. Die Anfrage wird 6 Monate nach Eingang gelöscht.

9. Cookies und Speicherung auf Ihrem Gerät

Ich setze nur Cookies, die technisch nötig sind: ein Sitzungs-Cookie, damit Sie angemeldet bleiben, und einen Eintrag im Speicher Ihres Browsers für Ihre Einstellungen (zum Beispiel hell oder dunkel), sobald Sie diese ändern. Dafür ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung nötig. Werbe- oder Tracking-Cookies, Pixel und Programme zur Reichweitenmessung von Meta, Google oder anderen setze ich nicht ein. Deshalb gibt es keinen Cookie-Banner.

10. Instagram-Auftritt

Für Baustoffvergleich24 betreibe ich ein Profil bei Instagram, einem Dienst der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland. Für die Statistiken, die Meta mir zu meinem Profil anzeigt, bin ich mit Meta gemeinsam verantwortlich (Art. 26 DSGVO). Meta hat sich in einer Vereinbarung verpflichtet, die Hauptverantwortung für diese Verarbeitung zu übernehmen und die Betroffenenrechte zu erfüllen: https://www.facebook.com/legal/terms/page_controller_addendum. Was Meta mit Ihren Daten macht, steht unter https://privacycenter.instagram.com/policy. Nachrichten, die Sie mir über Instagram schicken, beantworte ich dort und speichere sie nicht anderswo.

11. Sicherungskopien

Ich sichere die Datenbank täglich verschlüsselt, auf einem Speicher bei Hetzner in Deutschland und auf einem verschlüsselten Datenträger bei mir. Sicherungen werden nach 30 Tagen überschrieben. Gelöschte Daten verschwinden deshalb spätestens 30 Tage nach der Löschung auch aus den Sicherungen.

12. Löschung im Überblick

• Test ohne Abo: 30 Tage nach Testende, mit Hinweis 7 Tage vorher.
• Gekündigtes Abo: 30 Tage nach Vertragsende.
• Konto selbst gelöscht: sofort gesperrt, nach 7 Tagen endgültig gelöscht (bis dahin rückgängig zu machen).
• Gelöschte Preisbelege, Projektlisten und Listenpositionen: 30 Tage zum Zurückholen, danach endgültig gelöscht.
• Entfernte Team-Mitglieder: Login 24 Stunden nach dem Entfernen, im nächsten Nachtlauf (spätestens nach zwei Tagen). Einladungen: 30 Tage nach Ablauf oder Erledigung.
• Rechnungen und Buchungsbelege: 8 Jahre (§ 147 AO, § 14b UStG), danach Löschung.
• Nachweise zu Vertragsschluss, Kündigung und Widerruf: 3 Jahre nach Vertragsende (Verjährung).
• Server-Logdaten: 14 Tage. Sicherheitsprotokoll: 12 Monate. Sicherungskopien: 30 Tage.

13. Empfänger

Ihre Daten erhalten nur die oben genannten Dienstleister im jeweils genannten Umfang. Ich verkaufe keine Daten und gebe keine Daten an die Shops weiter, deren Preise der Dienst zeigt. Behörden erhalten Daten nur, wenn ich gesetzlich dazu verpflichtet bin.

14. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Den Datenexport können Sie im Konto selbst herunterladen. Für alles andere genügt eine E-Mail an johannes@schartl.dev.

Widerspruchsrecht: Soweit ich Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeite, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Ich verarbeite die Daten dann nicht mehr, es sei denn, ich kann zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der für mich zuständigen: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, https://www.baden-wuerttemberg.datenschutz.de

15. Pflicht zur Bereitstellung

Für den Test und das Abo brauche ich mindestens Ihre E-Mail-Adresse, für das Abo zusätzlich Rechnungsadresse und Zahlungsmittel. Ohne diese Angaben kann ich keinen Vertrag mit Ihnen schließen. Eine automatisierte Entscheidungsfindung nach Art. 22 DSGVO findet nicht statt.