Privacy Policy

Diese Erklärung informiert über die Verarbeitung personenbezogener Daten bei der Nutzung der Plattform Fixik (Vermittlung kleiner Nachbarschafts- und Alltagshilfen). Grundlage ist die Datenschutz-Grundverordnung (DSGVO) sowie das BDSG.

1. Verantwortlicher

Verantwortlich im Sinne des Art. 4 Nr. 7 DSGVO ist der im Impressum genannte Diensteanbieter.

Datenschutzbeauftragter: [falls bestellt: Name & Kontakt — bei kleinen Anbietern häufig nicht verpflichtend].

2. Grundsatz — Datenverarbeitung in der EU

Die zentrale Datenhaltung (Datenbank, Authentifizierung, Datei-Speicher) erfolgt bei Supabase in der Region Frankfurt am Main (eu-central-1). Wir sind bestrebt, personenbezogene Daten ausschließlich in der EU zu verarbeiten. Etwaige Drittlandbezüge einzelner Dienste sind unter Ziffer 6 gesondert ausgewiesen.

3. Welche Daten wir verarbeiten

a) Konto & Profil

• E-Mail-Adresse und Passwort (als Hash; Passwörter sind uns nicht im Klartext bekannt) — Verwaltung über Supabase Auth.
• Name, optional Profilfoto und Telefonnummer.
• Bei Anmeldung über Google: Name, E-Mail und Profilbild aus dem Google-Konto (siehe Ziffer 6).

b) Aufträge

• Titel, Beschreibung, Fotos, Kategorie, gewünschter Termin, Preisangabe.
• Postleitzahl und Ort — öffentlich sichtbar; auf der Karte wird nur der PLZ-Zentroid (ungefährer Bereich) dargestellt, nie die genaue Adresse.
• Optionale genaue Adresse (address_exact) — nicht öffentlich; sie wird ausschließlich dem angenommenen Helfer nach einer Zusage angezeigt.

c) Kommunikation & Bewertungen

• Chat-Nachrichten zwischen den Beteiligten eines angenommenen Auftrags.
• Beidseitige Bewertungen (Sterne, Text) nach Abschluss.
• Meldungen/Beschwerden sowie Moderationsprotokolle.

d) Technische Daten

• Server-Logs (IP-Adresse, Zeitpunkt, angeforderte Ressource) zur Bereitstellung und Sicherheit.
• Reichweitenmessung über Vercel Analytics — cookielos, ohne Speicherung personenbezogener Profile.

e) Nachweisdokumente (freiwillig)

Helfer können freiwillig Nachweise hochladen (Gewerbeanmeldung, Qualifikationsnachweis, Versicherungsnachweis; PDF oder Bild, max. 6 MB). Die Dateien liegen in einem privaten Speicherbereich bei Supabase (Frankfurt/EU) und sind nur für den hochladenden Nutzer selbst sowie — zur Wartung und Missbrauchsabwehr — für den Betreiber zugänglich. Andere Nutzer sehen ausschließlich, dass ein Nachweis einer bestimmten Art hinterlegt ist (z. B. „Gewerbeanmeldung hinterlegt“), niemals die Datei oder deren Inhalt.Fixik prüft diese Nachweise nicht und vergibt keine Verifizierungskennzeichen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch den Upload); Speicherung bis zur Löschung durch den Nutzer oder bis zur Löschung des Kontos. Führungszeugnisse werden nicht entgegengenommen.[ENTWURF — anwaltlich prüfen: Einwilligungstext beim Upload, Löschfristen, Betreiberzugriff]

4. Rechtsgrundlagen (Art. 6 DSGVO)

• Art. 6 Abs. 1 lit. b — Erfüllung des Nutzungsvertrags (Konto, Aufträge, Vermittlung, Chat).
• Art. 6 Abs. 1 lit. f — berechtigtes Interesse (Sicherheit, Missbrauchs-/Betrugsprävention, Moderation, cookielose Reichweitenmessung).
• Art. 6 Abs. 1 lit. a — Einwilligung, soweit erforderlich (z. B. optionale Angaben).
• Art. 6 Abs. 1 lit. c — rechtliche Verpflichtungen (z. B. steuer-/handelsrechtliche Aufbewahrung).

5. Empfänger & Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein. Mit ihnen ist jeweils ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO zu schließen. [AVV mit Supabase, Vercel, Resend abschließen — Oleg]

• Supabase (Datenbank, Authentifizierung, Datei-Speicher) — Region Frankfurt/EU.
• Vercel (Hosting/Auslieferung der Anwendung, Reichweitenmessung).
• Resend (Versand von System-E-Mails, z. B. Passwort-Reset, Benachrichtigungen).
• OpenAI (Text- und Bild-Moderation eingestellter Inhalte) — [nur aktiv, wenn Moderation zugeschaltet ist].
• Google (Anmeldung „Mit Google fortfahren", nur wenn von dir aktiviert).

6. Drittlandübermittlung

Kern-Datenhaltung erfolgt in der EU (Frankfurt). Einzelne Dienste (z. B. Vercel, OpenAI, Google) können eine Übermittlung in die USA mit sich bringen. Soweit dies der Fall ist, stützt sie sich auf geeignete Garantien nach Art. 46 DSGVO (EU-Standardvertragsklauseln) bzw. das EU-US Data Privacy Framework. [konkrete Rechtsgrundlage je Dienstleister durch Anwalt bestätigen]

7. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen. Konto- und Auftragsdaten werden bei Löschung des Kontos entfernt, soweit keine Aufbewahrungspflicht entgegensteht. [konkrete Fristen ergänzen]

8. Ihre Rechte

Sie haben nach der DSGVO das Recht auf:

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18),
• Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3),
• Beschwerde bei einer Aufsichtsbehörde (Art. 77) — zuständig ist u. a. das Bayerische Landesamt für Datenschutzaufsicht (BayLDA).

Zur Ausübung genügt eine Nachricht an die im Impressum genannte Kontaktadresse.

9. Cookies

Wir setzen keinen allgemeinen Besucher-Cookie und keine Cookies zu Marketing- oder Reichweitenmessungszwecken. Cookies kommen ausschließlich für ausdrücklich angeforderte Funktionen zum Einsatz — jeweils nach § 25 Abs. 2 TDDDG ohne Einwilligung:

• Sitzung — hält Sie nach der Anmeldung eingeloggt (Supabase Auth).
• Sprache — merkt sich die gewählte Sprache (Deutsch/Englisch/Russisch).
• Kontaktanzeige — wird nur gesetzt, wenn Sie als Gast auf einer Firmenseite aktiv auf „Kontakt anzeigen“ tippen; begrenzt ausschließlich, wie oft pro Tag Kontaktdaten abgerufen werden können. Gültigkeit 24 Stunden, kein Tracking, keine Verknüpfung mit anderen Daten oder Profilen.

Die Reichweitenmessung (Vercel Analytics) erfolgt weiterhin cookielos.

10. Karten

Auf der Detailseite eines Auftrags zeigen wir eine Karte mit Kartenmaterial von MapTiler AG (Zug, Schweiz). Das Kartenbild wird von unserem eigenen Server bei MapTiler angefragt — Ihr Browser baut zu keinem Zeitpunkt eine Verbindung zu MapTiler auf, weder beim Laden der Seite noch beim Antippen der Karte. Es fließt also keine IP-Adresse oder sonstige Angabe Ihres Geräts an MapTiler; nur unser Server tut das, mit einem bei MapTiler hinterlegten, auf diesen einen Zweck beschränkten Schlüssel. Gezeigt wird ausschließlich ein ungefährer Bereich (PLZ-Zentroid), nie die genaue Adresse.[ENTWURF — anwaltlich prüfen: MapTiler AG als Auftragsverarbeiter (Art. 28 DSGVO) korrekt eingeordnet? AVV mit MapTiler vorhanden/nötig?]

An mehreren Stellen (Auftragsdetail, Termine, Chat, Firmenprofil) bieten wir zusätzlich einen einfachen Link „In Google Maps öffnen" bzw. „Route starten“ an. Dabei handelt es sich um einen gewöhnlichen Hyperlink zu maps.google.com — es wird keine Karte eingebettet, und es fließen keine Daten an Google, bevor Sie aktiv auf den Link klicken.[ENTWURF — anwaltlich prüfen: Formulierung, ob ein Klick-Link nach Art. 6 Abs. 1 lit. f ausreicht oder ein Warnhinweis vor Verlassen der Seite nötig ist]