Datenschutz

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Pivoda UG
Jens Schwoon & Daniel Wagner
Friedensstraße 7
48151 Münster
Deutschland

Ein Datenschutzbeauftragter ist gesetzlich nicht vorgeschrieben und wurde nicht bestellt.

2. Grundlegendes und Hinweis zu Drittplattformen

(1) Diese Datenschutzerklärung informiert über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten im Rahmen unseres Dienstes „Kleinanzeigen Agent" (nachfolgend „Dienst"). Der Dienst stellt eine technische Schnittstelle (API-Gateway) zur öffentlich zugänglichen Plattform kleinanzeigen.de bereit, über die Nutzer programmatisch Inserate suchen, beobachten und auswerten können.

(2) Die Pivoda UG steht in keiner geschäftlichen oder rechtlichen Verbindung mit der Betreiberin von kleinanzeigen.de (kleinanzeigen.de GmbH). Wir analysieren ausschließlich öffentlich zugängliche Daten dieser Plattform.

(3) Die über unseren Dienst abgerufenen Daten können personenbezogene Daten Dritter enthalten (z.B. Kontaktangaben in Inseraten). Pivoda UG handelt insoweit als technischer Dienstleister; die datenschutzrechtliche Verantwortung für eine etwaige Weiterverarbeitung dieser Drittdaten durch den Nutzer (z.B. Speicherung in eigenen Systemen, Kontaktaufnahme, Profilbildung) liegt ausschließlich beim Nutzer.

3. Erhebung und Verarbeitung personenbezogener Daten

3.1 Server-Logfiles beim Besuch der Website und Nutzung der API

Bei jedem Zugriff auf unsere Website oder unsere API werden technisch erforderliche Daten automatisiert erfasst:

IP-Adresse des anfragenden Systems (gekürzt bzw. anonymisiert für Webseiten-Logs)
Datum und Uhrzeit des Zugriffs
aufgerufene URL bzw. API-Endpunkt sowie HTTP-Methode und Statuscode
Referrer-URL (sofern übermittelt)
User-Agent (Browser bzw. Client-Bibliothek, Betriebssystem)

Die Verarbeitung dient der Sicherstellung der Funktionsfähigkeit, der Abwehr von Angriffen, der Missbrauchsprävention sowie der Fehleranalyse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb).

3.2 Cookies

Wir verwenden ausschließlich technisch notwendige Cookies, insbesondere für die Sitzungsverwaltung (Login) und den CSRF-Schutz. Diese Cookies sind für den Betrieb des Dienstes erforderlich und werden auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO gesetzt. Eine Einwilligung über ein Cookie-Banner ist nicht erforderlich, da keine Analyse-, Tracking- oder Marketing-Cookies eingesetzt werden.

3.3 Registrierung und Login (passwortlose E-Mail-Authentifizierung)

Die Nutzung unseres Dienstes setzt ein Nutzerkonto voraus. Die Authentifizierung erfolgt passwortlos über einen einmaligen 6-stelligen Anmeldecode, der an die angegebene E-Mail-Adresse versendet wird. Ein Passwort wird nicht gespeichert.

Verarbeitete Daten:

E-Mail-Adresse
Name (sofern freiwillig angegeben)
temporärer Anmeldecode (kurzfristig gespeichert und nach Verifizierung bzw. Ablauf entwertet)
Sitzungs-Token (JWT in einem HTTP-Only-Cookie sowie eine Sitzungs-ID in unserer Redis-Sitzungsverwaltung)

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags).

3.4 Nutzung des Dienstes (API-, Verbrauchs- und Abrechnungsdaten)

Im Rahmen der Nutzung des Dienstes verarbeiten wir folgende Daten:

Anfrage-Metadaten (Zeitstempel, aufgerufene Aktion bzw. Endpunkt, Antwortstatus, anfragende IP-Adresse)
Nutzungsumfang zur Durchsetzung der API-Ratenbegrenzung
Credit-Buchungen (Vergabe, Verbrauch, Erstattung, Ablauf) im internen Hauptbuch
gewählter Tarif und Abonnement-Status

Die Verarbeitung erfolgt zur Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO) sowie zur Sicherstellung der Systemstabilität (Art. 6 Abs. 1 lit. f DSGVO).

3.5 Zahlungsabwicklung (Stripe)

Die Abwicklung von Zahlungen für kostenpflichtige Tarife und Credit-Pakete erfolgt über Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Wir übermitteln an Stripe die für die Zahlungsabwicklung erforderlichen Daten (z.B. E-Mail-Adresse, Betrag, Kennung des Vorgangs). Zahlungsdaten wie Kartendaten werden direkt von Stripe verarbeitet und gelangen nicht in unsere Systeme.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen: https://stripe.com/de/privacy. Eine Übermittlung in Drittländer kann konzernintern erfolgen und stützt sich auf die EU-Standardvertragsklauseln.

3.6 E-Mail-Benachrichtigungen

Sofern Sie eine entsprechende Funktion (z.B. Suchagent) aktiviert haben, senden wir Treffer- und Status-Benachrichtigungen sowie transaktionale Nachrichten (z.B. Anmeldecodes, Rechnungen) per E-Mail. Verarbeitet werden Ihre E-Mail-Adresse und der Inhalt der Benachrichtigung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Ein klassischer Marketing-Newsletter wird derzeit nicht angeboten.

3.7 Kleinanzeigen Chat (KI-gestützte Recherche)

Über den in den Dienst integrierten KI-Assistenten „Kleinanzeigen Chat" (unter /app/chat) können Sie auf eigene Anfrage eine Recherche durchführen lassen. Der Assistent plant die Recherche, sucht live auf kleinanzeigen.de, ruft Inserate ab, vergleicht diese, fasst ein Inserat auf Ihren Wunsch zusammen („Zusammenfassen") und kann für Fragen, die sich nicht aus den Inseraten beantworten lassen (z.B. Markt- oder Handelspreise, Produktfakten), eine Websuche durchführen.

Zur Erbringung dieser Funktion übermitteln wir folgende Daten an unseren KI-Anbieter:

Ihre Chat-Nachrichten
kompakte Inseratsdaten (Titel, Preis, Ort, Kurzbeschreibung, Inserats-ID, Link)
die Beschreibung eines Inserats, sofern Sie eine Zusammenfassung anfordern
bei einer Websuche die aus dem Gesprächsverlauf gebildete Suchanfrage

Nicht übermittelt werden Bilder, Kontodaten, E-Mail-Adressen, Zugangsdaten oder Zahlungsdaten.

Die Verarbeitung erfolgt über OpenRouter, Inc. (USA), das die Anfrage an den jeweiligen Modell-Anbieter weiterleitet. Websuchen werden von Drittanbietern ausgeführt, die von OpenRouter eingebunden werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung der von Ihnen angeforderten Funktion). Die Verarbeitung findet auch in den USA statt, die Übermittlung stützt sich auf die Garantien gemäß den Nutzungsbedingungen des Anbieters (Art. 44 ff. DSGVO). Weitere Informationen: https://openrouter.ai/privacy.

Wir speichern Unterhaltungen, Nachrichten und Ausführungsschritte, einschließlich der dabei verwendeten kompakten Inserats-Snapshots und zitierten Quellen, sowie erstellte Zusammenfassungen und die zugehörigen Credit-Buchungen in unserer Datenbank, solange Ihr Konto besteht. Das Löschen einer Unterhaltung im Dienst blendet diese für Sie aus. Eine endgültige Löschung erfolgt zusammen mit der Löschung Ihres Kontos.

4. Auftragsverarbeiter und Empfänger

Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen jeweils ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO besteht:

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Hosting des Dienstes (Anwendungsserver, Datenbank, Redis). Standort der Server: Deutschland / EU. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA (vertreten durch die EU-Niederlassung Cloudflare Germany GmbH) – Content Delivery Network, DDoS-Schutz und Web Application Firewall. Verarbeitet werden insbesondere IP-Adressen und Anfrage-Metadaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Eine Übermittlung in die USA stützt sich auf die EU-Standardvertragsklauseln und ggf. das EU-US Data Privacy Framework.
Cloudflare R2 (Cloudflare, Inc.) – S3-kompatibler Objektspeicher für Dateien (z.B. Profilbilder). Es gelten die obigen Hinweise zu Cloudflare entsprechend.
Stripe Payments Europe, Limited, Dublin, Irland – Zahlungsabwicklung (siehe Ziffer 3.5).
Amazon Web Services EMEA SARL (Amazon SES), 38 Avenue John F. Kennedy, L-1855 Luxemburg – Versand transaktionaler E-Mails (z.B. Anmeldecodes, Treffer-Benachrichtigungen, Rechnungen). Verarbeitet werden insbesondere die Empfänger-E-Mail-Adresse, Absender- und Versandmetadaten sowie der Inhalt der jeweiligen Nachricht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO. Eine Übermittlung in die USA (Amazon Web Services, Inc.) kann konzernintern erfolgen und stützt sich auf die EU-Standardvertragsklauseln sowie ggf. das EU-US Data Privacy Framework.
OpenRouter, Inc., USA (sowie von OpenRouter eingebundene Modell- und Suchanbieter) – API-Vermittlung an KI-Modell- und Websuche-Anbieter für die Funktion „Kleinanzeigen Chat" (siehe Ziffer 3.7). Verarbeitet werden die dort genannten Chat-, Inserats- und Suchdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Eine Übermittlung in die USA findet statt; die Übermittlung stützt sich auf die Garantien gemäß den Nutzungsbedingungen des Anbieters (Art. 44 ff. DSGVO). Weitere Informationen: https://openrouter.ai/privacy.

Eine Weitergabe Ihrer Daten an weitere Dritte erfolgt nur, wenn dies gesetzlich zulässig ist, Sie eingewilligt haben oder dies zur Vertragserfüllung erforderlich ist.

5. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist:

Konto- und Vertragsdaten: für die Dauer der Vertragsbeziehung sowie eine angemessene Nachlaufzeit.
Anmeldecodes und Sitzungs-Token: kurzfristig, längstens bis zum Ablauf bzw. Logout.
Server-Logfiles: in der Regel bis zu 30 Tage, in Verdachtsfällen länger zur Aufklärung.
API-Verbrauchs- und Credit-Ledger-Daten: für die Dauer der Vertragsbeziehung sowie zur Erfüllung gesetzlicher Aufbewahrungspflichten.
Kleinanzeigen-Chat-Daten (Unterhaltungen, Nachrichten, Ausführungsschritte, Zusammenfassungen, Credit-Buchungen): für die Dauer der Vertragsbeziehung; das Löschen einer Unterhaltung im Dienst blendet diese aus, die endgültige Löschung erfolgt mit der Löschung des Kontos.
Rechnungs- und Buchhaltungsunterlagen: 6 bzw. 10 Jahre gemäß § 257 HGB und § 147 AO.

Nach Ablauf werden die Daten gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

6. Ihre Rechte

Sie haben uns gegenüber folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

Recht auf Auskunft (Art. 15 DSGVO)
Recht auf Berichtigung (Art. 16 DSGVO)
Recht auf Löschung (Art. 17 DSGVO) – Sie können Ihr Konto jederzeit im Dashboard selbst löschen oder uns per E-Mail kontaktieren.
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruchsrecht (Art. 21 DSGVO)
Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

7. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für uns zuständig ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestr. 2-4
40213 Düsseldorf
E-Mail: poststelle@ldi.nrw.de

8. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen nach dem Stand der Technik ein, um Ihre Daten gegen Verlust, Manipulation und unberechtigten Zugriff zu schützen. Hierzu zählen insbesondere die Übertragung über TLS, eine Sitzungs- und Berechtigungsverwaltung, Schutz gegen CSRF und gängige Angriffsmuster sowie eine getrennte Verarbeitung produktiver Daten.

9. Aktualität und Änderung dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald sich die zugrunde liegenden Verarbeitungen, gesetzliche Vorgaben oder eingesetzte Dienstleister ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.