1.1 Kontaktdaten

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist das im obenstehenden Unternehmens-Dossier genannte Unternehmen, gesetzlich vertreten durch die dort genannten Personen. Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Betroffenenrechte erreichen Sie uns jederzeit unter den dort angegebenen Kontaktdaten.

1.2 Umfang der Datenverarbeitung, Verarbeitungszwecke und Rechtsgrundlagen

Den Umfang der Verarbeitung, die Verarbeitungszwecke und die Rechtsgrundlagen führen wir in den folgenden Kapiteln im Einzelnen aus. Als Rechtsgrundlagen kommen grundsätzlich in Betracht:

• Art. 6 Abs. 1 S. 1 lit. a DSGVO für Verarbeitungen, für die wir Ihre Einwilligung einholen.
• Art. 6 Abs. 1 S. 1 lit. b DSGVO, soweit die Verarbeitung zur Erfüllung eines Vertrages oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist, etwa bei Anfragen zu unseren Fahrzeugen oder Leistungen.
• Art. 6 Abs. 1 S. 1 lit. c DSGVO, soweit wir mit der Verarbeitung eine rechtliche Verpflichtung erfüllen, z. B. steuer- oder handelsrechtliche Aufbewahrungspflichten.
• Art. 6 Abs. 1 S. 1 lit. f DSGVO, soweit wir uns auf berechtigte Interessen berufen können, z. B. für den sicheren technischen Betrieb unserer Website.

1.3 Datenverarbeitung außerhalb des EWR

Soweit wir Daten an Dienstleister oder sonstige Dritte außerhalb des Europäischen Wirtschaftsraums (EWR) übermitteln, gewährleisten Angemessenheitsbeschlüsse der EU-Kommission nach Art. 45 Abs. 3 DSGVO die Sicherheit der Daten, soweit diese vorhanden sind. Bei Dienstleistern in den USA ist Rechtsgrundlage der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (DPF), sofern sich der Dienstleister darunter zertifiziert hat.

In anderen Fällen stützen wir die Übermittlung im Regelfall auf die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO, soweit wir keinen abweichenden Hinweis geben.

1.4 Speicherdauer

Sofern in dieser Datenschutzerklärung nicht ausdrücklich anders angegeben, löschen wir gespeicherte Daten, sobald sie für ihre Zweckbestimmung nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Bestehen solche Pflichten (z. B. nach § 257 HGB oder § 147 AO für 6 bzw. 10 Jahre), schränken wir die Verarbeitung ein, d. h. die Daten werden gesperrt und nicht für andere Zwecke verarbeitet.

1.5 Rechte der Betroffenen

Betroffene haben uns gegenüber folgende Rechte hinsichtlich der sie betreffenden personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO) oder Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen; gegen Direktwerbung ist ein Widerspruch jederzeit ohne Angabe von Gründen möglich.
• Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO), z. B. über den Link „Cookie-Einstellungen“ in der Fußzeile.
• Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), insbesondere bei der im Unternehmens-Dossier genannten Behörde. Die Kontaktdaten aller Aufsichtsbehörden sind abrufbar unter https://www.bfdi.bund.de/DE/Service/Anschriften/Laender/Laender-node.html.

1.6 Pflicht zur Bereitstellung von Daten

Kunden, Interessenten oder Dritte müssen uns nur diejenigen personenbezogenen Daten bereitstellen, die für die Begründung, Durchführung und Beendigung der Geschäftsbeziehung erforderlich sind oder zu deren Erhebung wir gesetzlich verpflichtet sind. Ohne diese Daten können wir einen Vertrag in der Regel nicht abschließen oder eine Leistung nicht erbringen. Pflichtangaben sind in unseren Formularen als solche gekennzeichnet.

1.7 Keine automatisierte Entscheidungsfindung im Einzelfall

Zur Begründung und Durchführung einer Geschäftsbeziehung nutzen wir grundsätzlich keine vollautomatisierte Entscheidungsfindung gemäß Art. 22 DSGVO. Sollten wir dieses Verfahren in Einzelfällen einsetzen, informieren wir hierüber gesondert, sofern dies gesetzlich vorgeschrieben ist.

1.8 Kontaktaufnahme

Bei der Kontaktaufnahme mit uns, z. B. per E-Mail oder Telefon, speichern wir die uns mitgeteilten Daten (z. B. Name, E-Mail-Adresse, Telefonnummer und Ihr Anliegen), um Ihre Anfrage zu beantworten. Rechtsgrundlage ist unser berechtigtes Interesse an der Beantwortung von Anfragen (Art. 6 Abs. 1 S. 1 lit. f DSGVO) bzw. – wenn die Anfrage auf einen Vertragsabschluss abzielt – Art. 6 Abs. 1 S. 1 lit. b DSGVO.

2.1 Hinweis für Websitebesucher aus Deutschland

Unsere Website speichert Informationen in der Endeinrichtung von Besuchern (z. B. Cookies oder lokaler Speicher) oder greift auf bereits gespeicherte Informationen zu. Welche Informationen dies im Einzelnen sind, ist den folgenden Abschnitten zu entnehmen.

Soweit dies unbedingt erforderlich ist, um den von Ihnen ausdrücklich gewünschten Dienst bereitzustellen (z. B. Speicherung Ihrer Datenschutz-Auswahl oder Schutz unserer Formulare), erfolgt die Speicherung bzw. der Zugriff auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG. Im Übrigen erfolgt sie nur mit Ihrer Einwilligung nach § 25 Abs. 1 TDDDG. Die nachgelagerte Datenverarbeitung richtet sich nach der DSGVO.

2.2 Informatorische Nutzung der Website

Bei der rein informatorischen Nutzung unserer Website erheben wir die Daten, die Ihr Browser an unseren Server übermittelt, um die Stabilität und Sicherheit der Website zu gewährleisten. Darin liegt unser berechtigtes Interesse; Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO. Verarbeitet werden:

• IP-Adresse
• Datum und Uhrzeit der Anfrage sowie Zeitzonendifferenz zur Greenwich Mean Time (GMT)
• Inhalt der Anfrage (konkrete Seite) und Zugriffsstatus/HTTP-Statuscode
• jeweils übertragene Datenmenge
• Website, von der die Anfrage kommt (Referrer)
• Browser, Betriebssystem sowie Sprache und Version der Browsersoftware

Diese Daten werden in Logfiles gespeichert und gelöscht, sobald ihre Speicherung nicht mehr erforderlich ist, spätestens nach 14 Tagen. Die Übertragung aller Inhalte erfolgt durchgehend SSL-/TLS-verschlüsselt.

2.3 Webhosting, Bild-CDN und lokale Schriftarten

Unsere Website wird bei einem Hosting-Dienstleister in Rechenzentren innerhalb der Europäischen Union betrieben, mit dem wir einen Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO geschlossen haben. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und zuverlässigen Bereitstellung der Website (Art. 6 Abs. 1 S. 1 lit. f DSGVO).

Fahrzeugfotos, Vorschaubilder und Medien liefern wir über das Content Delivery Network BunnyCDN des Anbieters BunnyWay d.o.o., Cesta komandanta Staneta 4A, 1215 Medvode, Slowenien aus. Dabei werden Ihre IP-Adresse und technische Verbindungsdaten auf europäischen Servern verarbeitet (Art. 6 Abs. 1 S. 1 lit. f DSGVO). Mit BunnyWay besteht ein Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO. Weitere Informationen: https://bunny.net/gdpr/.

Schriftarten binden wir ausschließlich lokal von unserem eigenen Server ein. Es wird keine Verbindung zu Google Fonts oder anderen externen Schriftarten-Anbietern hergestellt.

2.4 Einwilligungsverwaltung (Consent-Management) und Endgerätespeicher

Für die Einholung und Verwaltung von Einwilligungen setzen wir ein eigenes, in die Website integriertes Consent-Management ein; Daten werden dabei nicht an einen externen Consent-Anbieter übermittelt. Nicht notwendige Dienste, Tracking-Pixel und externe Medien sind standardmäßig blockiert und werden erst nach Ihrer Einwilligung geladen. Widerrufen Sie eine Einwilligung, löschen wir gesetzte Analyse- und Marketing-Cookies automatisch (Art. 7 Abs. 3 DSGVO).

Folgende technisch notwendige Einträge setzen wir auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG sowie Art. 6 Abs. 1 S. 1 lit. c und lit. f DSGVO:

• vh_sf_consent_v1 (localStorage) und vh_sf_consent (Cookie, 12 Monate): Ihre Auswahl im Cookie-Banner (pseudonyme Consent-ID, Zeitstempel, Kategorien und Dienste) als Nachweis nach Art. 7 Abs. 1 DSGVO.
• vh_storefront_color_scheme (localStorage und Cookie, 12 Monate): Ihre bevorzugte Darstellung (Hell-/Dunkelmodus), sofern Sie diese umschalten.
• vh_sf_chat_token (sessionStorage und HttpOnly-Cookie, 24 Stunden; bei Einwilligung in die Kategorie „Funktionale“ bis zu 30 Tage): technisch notwendige Zuordnung Ihres aktiv geführten Gesprächs im Fahrzeug-Chat (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 S. 1 lit. b und lit. f DSGVO). Wird erst bei aktiver Nutzung des Chats gesetzt und beim Klick auf „Chat-Verlauf löschen“ sofort entfernt.
• vh_sf_visitor_token (localStorage und HttpOnly-Cookie, 12 Monate): wird ausschließlich nach Ihrer ausdrücklichen Einwilligung in die Kategorie „Funktionale“ gesetzt (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 S. 1 lit. a DSGVO), um Ihnen bei späteren Besuchen die sitzungsübergreifende Fortführung Ihrer bisherigen Chat-Historie zu ermöglichen; bei Widerruf wird der Eintrag sofort gelöscht.
• vh_sf_preview_* (HttpOnly-Cookie, 7 Tage): nur für berechtigte Nutzer, die im Wartungsmodus einen Vorschau-Zugangscode eingeben.
• Sie können Ihre Auswahl jederzeit über den Link „Cookie-Einstellungen“ in der Fußzeile ändern oder widerrufen.

2.5 Kampagnen- und Quell-Zuordnung

Gelangen Sie über einen Kampagnenlink (z. B. von YouTube, Google Ads oder Meta) oder einen unserer Kurzlinks (/go/…) auf unsere Website, speichern wir die nicht personenbezogenen Kampagnen-Parameter (utm_source, utm_medium, utm_campaign, utm_content, utm_term), den Referrer-Host und die Einstiegsseite für die Dauer Ihrer Browser-Sitzung im sessionStorage (vh_storefront_attribution_v1). Stellen Sie in derselben Sitzung eine Anfrage, übermitteln wir diese Angaben mit, um die Anfrage dem beworbenen Angebot zuzuordnen (Art. 6 Abs. 1 S. 1 lit. b und lit. f DSGVO, § 25 Abs. 2 Nr. 2 TDDDG).

Werbe-Klick-Kennungen (gclid, fbclid, ttclid, msclkid, gbraid, wbraid) speichern und verarbeiten wir nur, wenn Sie der Kategorie „Marketing“ zugestimmt haben (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 S. 1 lit. a DSGVO); andernfalls werden sie verworfen.

2.6 Anfrageformulare, E-Mail-Bestätigung (Brevo) und CRM

Nutzen Sie eines unserer Formulare (z. B. Fahrzeug-, Probefahrt-, Ankauf- oder Kontaktanfrage), verarbeiten wir Ihre Angaben (insbesondere Name, E-Mail-Adresse, Telefonnummer, Kundenstatus Privat/Gewerbe, angefragtes Fahrzeug inkl. Angebotsnummer/FIN, Finanzierungs-, Leasing- oder Inzahlungnahmewünsche sowie Ihre Nachricht), um die Anfrage zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO, im Übrigen Art. 6 Abs. 1 S. 1 lit. f DSGVO.

Damit niemand Anfragen in Ihrem Namen auslöst, senden wir nach dem Absenden eine Bestätigungs-E-Mail mit einem signierten Link (gültig 7 Tage). Für den Versand dieser Transaktions-E-Mails nutzen wir Brevo des Anbieters Sendinblue GmbH, Köpenicker Straße 126, 10179 Berlin als Auftragsverarbeiter nach Art. 28 DSGVO. Ein Einsatz zu Newsletter- oder Werbezwecken findet dabei nicht statt. Weitere Informationen: https://www.brevo.com/de/legal/privacypolicy/.

Nach Ihrer Bestätigung leiten wir die Anfrage zur Angebotserstellung und Terminabwicklung an unser Verkaufs- und CRM-System weiter (ggf. unter Einsatz der Dealerdesk GmbH, Großer Burstah 46–48, 20457 Hamburg, als Auftragsverarbeiter nach Art. 28 DSGVO). Eine optionale Marketing-Einwilligung können Sie jederzeit über /abmelden oder per Nachricht an uns widerrufen.

2.7 KI-Fahrzeug-Assistent, Live-Chat, Simultanübersetzung und Sprachfunktion

Auf unserer Website bieten wir einen interaktiven KI-Fahrzeug-Assistenten sowie einen Live-Chat mit unseren menschlichen Verkaufsberatern an (Transparenzhinweis gemäß Art. 50 Abs. 1 Verordnung (EU) 2024/1689 – KI-Verordnung / EU AI Act). Wenn Sie den Chat aktiv nutzen, verarbeiten wir Ihre Texteingaben, das betrachtete Fahrzeug bzw. Ihre Suchkriterien, die gewählte Sprache sowie – sofern Sie diese freiwillig im Gespräch nennen – Ihre Kontaktdaten (z. B. Name, Telefonnummer, E-Mail-Adresse, Inzahlungnahme- oder Terminwunsch), um Ihre Fragen faktenbasiert zu beantworten oder das Gespräch an einen Verkaufsberater zu übergeben. Rechtsgrundlage ist die Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage hin (Art. 6 Abs. 1 S. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an einer schnellen und mehrsprachigen Kundenberatung (Art. 6 Abs. 1 S. 1 lit. f DSGVO). Bitte geben Sie im Chat keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO, z. B. Gesundheitsdaten) sowie keine Zahlungs- oder Ausweisdaten ein.

Mehrsprachige KI-Simultanübersetzung und optionale Sprachfunktion (Voice-Modus): Schreiben Sie uns in einer Fremdsprache, werden Nachrichten zwischen Ihnen und unserem deutschsprachigen Verkaufsteam automatisiert mittels KI übersetzt und im Chat als „Automatisch übersetzt“ gekennzeichnet. Aktivieren Sie zusätzlich per Klick das Mikrofon-Symbol für die Sprachberatung, wird Ihre Spracheingabe auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 S. 1 lit. a DSGVO) zur Beantwortung in Text umgewandelt und die Antwort optional als KI-generierte Sprachausgabe vorgelesen.

Auftragsverarbeitung, kein KI-Training und menschliche Aufsicht (Human-in-the-Loop): Für die Sprachmodell-Verarbeitung und Sprachsynthese setzen wir weisungsgebundene Cloud- und KI-Auftragsverarbeiter gemäß Art. 28 DSGVO (vorrangig auf Servern innerhalb der Europäischen Union bzw. unter dem EU-US Data Privacy Framework / Standardvertragsklauseln nach Art. 46 DSGVO) ein; Ihre Chateingaben werden vertraglich und technisch nicht zum Training von KI-Grundmodellen verwendet. Im Chat genannte Kontaktdaten werden niemals vollautomatisiert in bestehende Kundenstammdaten überschrieben, sondern erst nach Prüfung und Freigabe durch einen Mitarbeiter übernommen. Eine automatisierte Entscheidungsfindung oder Bonitäts-/Kreditwürdigkeitsbewertung (Art. 22 DSGVO, Anhang III Nr. 5 lit. b EU AI Act) findet nicht statt.

Selbstbedienungs-Löschung und Speicherdauer: Sie können Ihren aktuellen Gesprächsverlauf und Ihre Sitzungs-Tokens jederzeit direkt im Chat-Widget über die Schaltfläche „Chat-Verlauf löschen“ entfernen (Art. 17 DSGVO). Abgeschlossene oder inaktive Chat-Sitzungen, die nicht zu einer weiterführenden Kundenanfrage im CRM geführt haben, werden nach Ablauf unserer Aufbewahrungsfrist (standardmäßig 90 Tage) automatisch gelöscht (Art. 5 Abs. 1 lit. e DSGVO).

2.8 Google Maps (2-Klick-Lösung)

Für Standort- und Anfahrtskarten nutzen wir Google Maps des Anbieters Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Muttergesellschaft: Google LLC, USA). Beim bloßen Aufruf einer Seite wird keine Verbindung zu Google hergestellt. Erst wenn Sie die Karte aktiv per Klick freigeben oder im Cookie-Banner der Kategorie „Funktionale“ zustimmen, werden Ihre IP-Adresse und Verbindungsdaten an Google übermittelt.

Rechtsgrundlage ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 S. 1 lit. a DSGVO. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert. Alternativ können Sie den externen Routenlink ohne Aktivierung der eingebetteten Karte nutzen. Datenschutzerklärung: https://policies.google.com/privacy.