Datenschutzerklärung

Gültig ab: 2026-09-08

Zuletzt aktualisiert: 2026-09-08

Version: 3.2

Verantwortlicher: Carsu B.V., Harderwijkerweg 145, 3852 AB Ermelo, Niederlande (KvK 92122167).

Konzerngesellschaft: Carsu Italia S.r.l., Via Fabro 8, 10122 Torino, Italien (REA TO-1365449, P.IVA / C.F. 13468500015), eine hundertprozentige Tochtergesellschaft der Carsu B.V. (siehe §1a).

Datenschutzkontakt: privacy@carsu.com

1. Geltungsbereich

Carsu B.V. („Carsu", „wir") betreibt eine SaaS-Plattform für den Kfz-Aftermarket. Diese Datenschutzerklärung erläutert, wie wir personenbezogene Daten verarbeiten, in Übereinstimmung mit der DSGVO, dem UK GDPR, der ePrivacy-Richtlinie sowie geltendem nationalem Datenschutzrecht. Sie gilt für:

• Plattformnutzer (Werkstattinhaber und deren Mitarbeiter), unabhängig davon, ob sie die Web-Plattform oder die mobile Carsu-App nutzen;
• Endkunden dieser Werkstätten, deren Daten über unsere Plattform verarbeitet werden, einschließlich der Fälle, in denen sie einen Termin über ein Buchungs-Widget anfragen, das eine Werkstatt auf ihrer eigenen Website eingebunden hat;
• Geschäftskontakte, deren Daten wir für unser eigenes Marketing vorhalten, unabhängig davon, ob sie sich auf unserer Website angemeldet, uns ihre Daten auf einer Veranstaltung oder im Rahmen einer Geschäftsbeziehung überlassen haben oder ob sie auf einer Liste stehen, die wir rechtmäßig aus einer anderen Quelle bezogen haben;
• Websitebesucher auf www.carsu.com und app.carsu.com.

1a. Carsu Italia S.r.l.

Die Carsu B.V. hat eine operative Tochtergesellschaft, die Carsu Italia S.r.l. (Turin, Italien), die einen Teil unseres Entwicklungs-, Support- und Kundenteams beschäftigt und beauftragt. Carsu Italia verarbeitet personenbezogene Daten in zwei Funktionen:

• Im Auftrag der Carsu B.V. Mitarbeiter und Auftragnehmer von Carsu Italia entwickeln, betreiben und unterstützen die Plattform und können zu diesem Zweck auf personenbezogene Daten zugreifen, die bei der Carsu B.V. vorgehalten werden. In dieser Funktion handelt Carsu Italia als Auftragsverarbeiter der Carsu B.V. auf Grundlage einer konzerninternen Auftragsverarbeitungsvereinbarung (Art. 28 DSGVO), mit denselben Sicherheits- und Vertraulichkeitspflichten wie jeder andere Unterauftragsverarbeiter (§7.1). Eine Übermittlung außerhalb des EWR findet dabei nicht statt.
• Als Ihr Vertragspartner. Sofern Ihr Bestellformular, Ihre Abonnementbestätigung oder Ihre Rechnung die Carsu Italia S.r.l. als Vertragspartei ausweist (typischerweise für Werkstätten in Italien), ist Carsu Italia anstelle der Carsu B.V. Verantwortliche für Ihre Konto-, Rechnungs- und Zahlungsdaten sowie Auftragsverarbeiterin der Daten Ihrer Endkunden auf Grundlage der Auftragsverarbeitungsvereinbarung in den Allgemeinen Geschäftsbedingungen. Diese Datenschutzerklärung gilt unverändert, wobei „Carsu" für diese Daten die Carsu Italia S.r.l. bezeichnet. Zuständige Aufsichtsbehörde für Carsu Italia ist der italienische Garante per la protezione dei dati personali (§17).

Carsu B.V. und Carsu Italia S.r.l. nutzen dieselbe Plattform, dieselben Unterauftragsverarbeiter und denselben Datenschutzkontakt (privacy@carsu.com). Daten werden zwischen ihnen nicht in einer Weise „übermittelt", die ändert, wo sie gespeichert sind oder wer sie einsehen kann; beide arbeiten auf derselben EWR-Infrastruktur unter denselben Zugriffskontrollen. Alle weiteren Tochtergesellschaften, verbundenen Unternehmen oder Konzerngesellschaften der Carsu B.V., die im Zusammenhang mit unseren Diensten personenbezogene Daten verarbeiten, halten sich an diese Datenschutzerklärung.

2. Unsere Rolle

Sofern Carsu als Auftragsverarbeiter tätig wird, bleibt die Werkstatt für die Rechtmäßigkeit ihrer Verarbeitung verantwortlich, einschließlich der Einholung etwaig erforderlicher Einwilligungen.

3. Verarbeitete Daten

Von Ihnen oder der Werkstatt: Name, E-Mail, Telefon, Firmenname, USt-IdNr., Rechnungsadresse, Kennzeichen, Fahrzeugdaten, Servicehistorie, Termine, Nachrichten, Fotografien von Fahrzeugen und ausgeführten Arbeiten, Aufzeichnungen über eingelagertes Kundeneigentum (beispielsweise Saisonreifen), Zahlungskennungen (Kartendaten werden direkt an Stripe übermittelt, wir speichern sie nicht).

Von Google APIs mit Ihrer OAuth-Einwilligung (optionale Kalendersynchronisation): Kalendereinträge, die Sie aus Ihrem Google Calendar importieren möchten, einschließlich Eventtitel, Start- und Endzeit, Ort, Beschreibung, E-Mail-Adressen der Teilnehmer und Wiederholungsmuster. Wir greifen auf diese Daten ausschließlich über die Google-API mit dem Scope calendar.events.readonly zu. Wir erhalten niemals Ihr Google-Passwort und schreiben niemals Events in Ihren Google Calendar zurück. Sie können die Integration jederzeit trennen (siehe §8 und §11).

Aus öffentlichen Registern und Prüfdiensten: Stellt eine Werkstatt einem Geschäftskunden in einem anderen EU-Land eine Rechnung aus, prüfen wir die Umsatzsteuer-Identifikationsnummer des Kunden über den EU-Dienst VIES und bewahren die Antwort als Prüfnachweis auf. Sofern ein nationales Verfahren dies verlangt, können wir Fahrzeugdaten anhand des amtlichen Kennzeichens in einem amtlichen Fahrzeugregister abfragen.

Von Geschäftskontakten: Name, E-Mail, Unternehmen, Land, Sprache, die Herkunft des Kontakts sowie die Einwilligungs- bzw. Rechtsgrundlage und der Nachweis, auf deren Basis wir den Kontakt vorhalten (siehe §6).

Automatisch erfasst: IP-Adresse, Geräte- und Browserdaten, besuchte Seiten, Funktionsnutzung, Sitzungsdauer, Cookies (siehe §10). In der mobilen App: App-Version, Version des Betriebssystems und ein Geräte-Token für Push-Benachrichtigungen (siehe §5b). In Newslettern: ob ein Link in der E-Mail angeklickt wurde.

4. Rechtsgrundlagen

Wir stützen uns auf Vertrag (Art. 6 Abs. 1 lit. b DSGVO) zur Erbringung des Dienstes, berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) für Sicherheit, Betrugsprävention, Produktverbesserung, Servicekommunikation sowie Marketing gegenüber Geschäftskontakten nach Maßgabe von §6, Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) für Marketing gegenüber Plattformnutzern, nicht notwendige Cookies sowie optionale Integrationen mit Drittanbietern wie der Google-Calendar-Synchronisation, sowie rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) für Steuer-, Buchhaltungs- und steuerliche Meldepflichten sowie Behördenanfragen.

5. Verwendung der Daten

Zum Betrieb und zur Verbesserung der Plattform; zur Zahlungsabwicklung; zum Versand von Nachrichten im Auftrag von Werkstätten; zur Ausstellung von Rechnungen und, sofern eine Werkstatt einem nationalen Verfahren zur elektronischen Rechnungsstellung oder steuerlichen Meldung unterliegt, zur Übermittlung der Rechnungsdaten an die zuständige Steuerbehörde im Auftrag der Werkstatt; zur Synchronisation und Anzeige Ihrer Google-Calendar-Events auf der Kalenderseite von Carsu (sofern Sie dies autorisiert haben); zur Bereitstellung von Support (einschließlich KI-gestützter Übersetzung über Intercom, das Ihre Daten nicht zum Training seiner Modelle verwendet); zur Erstellung anonymisierter aggregierter Erkenntnisse (§7.4); zur Gewährleistung der Sicherheit und zur Betrugsprävention; zur Erfüllung rechtlicher Verpflichtungen; und, auf den in §6 beschriebenen Grundlagen, für unser eigenes Marketing.

KI-Nutzung. Unsere KI-Funktionen (Intercom-Übersetzung; Anthropic für de-identifizierten operativen Einsatz) entfalten keine rechtlichen oder ähnlich erheblichen Wirkungen auf Sie und stellen keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO dar. Wir stufen unsere KI-Nutzung nach dem EU AI Act als minimales Risiko ein. Sie können der KI-gestützten Übersetzung per E-Mail an support@carsu.com widersprechen. Daten, die aus Google APIs stammen, sind von jeglicher KI- und Machine-Learning-Verarbeitung ausgeschlossen (siehe §5a).

5a. Google API Services User Data Policy: Limited Use

Die Nutzung und Weitergabe von Informationen, die Carsu über Google APIs erhält, an andere Apps entspricht der Google API Services User Data Policy, einschließlich der Limited-Use-Anforderungen. Konkret nutzen wir Google-Calendar-Daten ausschließlich, um die Kalendersynchronisationsfunktion bereitzustellen und zu verbessern, die für Sie in der Carsu-Plattform sichtbar ist. Wir werden nicht:

• Google-Nutzerdaten an Dritte weitergeben, es sei denn, dies ist erforderlich, um nutzerseitige Funktionen bereitzustellen oder zu verbessern, geltendem Recht nachzukommen oder im Rahmen einer Fusion, Übernahme oder Vermögensveräußerung, mit vorheriger Mitteilung an Sie;
• Google-Nutzerdaten zur Anzeige von Werbung verwenden, einschließlich Retargeting, personalisierter oder interessenbezogener Werbung;
• Google-Nutzerdaten an Dritte, Datenhändler oder Informationswiederverkäufer verkaufen;
• Google-Nutzerdaten verwenden, um allgemeine oder nicht personalisierte Modelle der künstlichen Intelligenz oder des maschinellen Lernens zu entwickeln, zu verbessern oder zu trainieren.

Der menschliche Zugriff auf Google-Nutzerdaten ist beschränkt auf (a) Fälle, in denen wir Ihre ausdrückliche Einwilligung zur Einsicht in bestimmte Nachrichten, Dateien oder Events erhalten haben; (b) Fälle, in denen dies für Sicherheitsuntersuchungen, Missbrauchsprävention oder zur Einhaltung geltenden Rechts erforderlich ist; (c) Fälle, in denen die Daten gemäß dieser Richtlinie für interne Zwecke aggregiert und anonymisiert wurden; oder (d) Fälle, in denen dies zur Bereitstellung von Kundensupport auf Ihre ausdrückliche Anfrage hin erforderlich ist.

5b. Die mobile Carsu-App

Carsu bietet eine Android- und iOS-App für Werkstattmitarbeiter an. Sie meldet Sie mit demselben Carsu-Konto an wie die Web-Plattform und zeigt dieselben Daten, die Ihre Werkstatt bereits vorhält: Aufträge, Fahrzeuge, Kunden und Nachrichten. Zusätzlich zu dem, was an anderer Stelle in dieser Datenschutzerklärung beschrieben ist, kann die App:

• Die Kamera nutzen, ausschließlich dann, wenn Sie ein Fahrzeug fotografieren oder ein Kennzeichen scannen möchten. Von Ihnen aufgenommene Fotografien werden dem von Ihnen gewählten Auftrag oder Fahrzeug zugeordnet und zusammen mit den übrigen Daten Ihrer Werkstatt gespeichert. Die Kennzeichenerkennung erfolgt auf dem Gerät; das Kamerabild wird nicht übermittelt.
• Ein von Ihnen ausgewähltes Foto aus Ihrer Fotomediathek lesen, ausschließlich dann, wenn Sie es einem Auftrag anhängen möchten. Die App durchsucht Ihre Mediathek nicht und lädt sie nicht hoch.
• Push-Benachrichtigungen an Ihr Gerät senden, beispielsweise wenn Ihnen ein Auftrag zugewiesen wird oder ein Auftrag, an dem Sie arbeiten, Ihre Aufmerksamkeit erfordert. Hierzu registriert die App ein Geräte-Token bei Apple (APNs) oder Google (FCM), und wir speichern dieses Token zu Ihrem Konto. Benachrichtigungen enthalten niemals ein Kennzeichen, den Namen eines Kunden oder eine Telefonnummer. Sie können Benachrichtigungen jederzeit in Ihren Geräteeinstellungen deaktivieren; beim Abmelden wird das Token deregistriert.
• Produktanalyse-Ereignisse senden (welche Bildschirme genutzt werden, wie lange Aktionen dauern), an unsere eigenen Server und von dort an Mixpanel in der EU, verknüpft mit Ihrer Carsu-Nutzerkennung. Sie enthalten niemals Kennzeichen, Namen, Telefonnummern oder Kundendaten. Sie können dies jederzeit unter Settings → Privacy → Share usage data deaktivieren.

Die App greift nicht auf Ihren Standort, Ihre Kontakte, Ihren Kalender oder Ihr Mikrofon zu, verwendet keine Werbekennungen und speichert auf dem Gerät nichts außer einem Anmelde-Token, Ihren Einstellungen und einem temporären Zwischenspeicher der Daten Ihrer Werkstatt, der beim Abmelden gelöscht wird. Fotos werden vor dem Hochladen neu kodiert, sodass Kamera-Metadaten einschließlich Standortangaben entfernt werden.

Die Anmeldung in der App erfolgt über denselben Identitätsanbieter wie in der Web-Plattform (Clerk, siehe §7.1). Die Anmeldung mit Apple oder Google steht als Komfortfunktion zur Verfügung und übermittelt uns lediglich den Namen und die E-Mail-Adresse, deren Weitergabe Sie dem Anbieter gestatten.

6. Kommunikation

Dienstbezogene Nachrichten. Dienstbezogene Nachrichten (Sicherheitshinweise, Rechnungen, Änderungen der Bedingungen sowie Benachrichtigungen über Aktivitäten in Ihrem Werkstattkonto) werden auf Grundlage von Vertrag oder berechtigtem Interesse versandt und können nicht abbestellt werden; ausgenommen hiervon sind Push-Benachrichtigungen in der mobilen App, die in Ihren Geräteeinstellungen deaktiviert werden können.

Marketing gegenüber Plattformnutzern. Wenn Sie ein Carsu-Konto anlegen, fragen wir Sie, ob Sie Produktneuigkeiten, Tipps und Angebote zu den eigenen Diensten von Carsu erhalten möchten. Wir versenden diese nur, wenn Sie zugestimmt haben (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO), und wir dokumentieren, wann und wie Sie zugestimmt haben. Jede solche E-Mail enthält einen Abmeldelink, die Abmeldung wird unverzüglich wirksam, und Sie können Ihre Auswahl jederzeit in Ihren Kontoeinstellungen oder per E-Mail an privacy@carsu.com ändern.

Marketing gegenüber Geschäftskontakten. Wir versenden unseren Newsletter auch an Geschäftskontakte im Kfz-Aftermarket, die noch keine Carsu-Nutzer sind. Wir halten jeden Kontakt auf einer der folgenden Grundlagen vor, die je Kontakt zusammen mit Herkunft und Datum dokumentiert wird: (a) Ihre Einwilligung, beispielsweise wenn Sie sich auf unserer Website oder auf einer Veranstaltung angemeldet haben; (b) eine bestehende Geschäftsbeziehung mit der Carsu B.V.; oder (c) unser berechtigtes Interesse daran, ein Unternehmen im Kfz-Aftermarket über einen für dieses Unternehmen relevanten Dienst zu kontaktieren, wobei wir dieses Interesse gegen Ihre Rechte abgewogen haben und die Nachricht einen klaren Bezug zu Ihrer beruflichen Funktion aufweist. Halten wir einen Kontakt auf Grundlage (c) vor, versenden wir nichts, bevor eine Compliance-Prüfung die Grundlage bestätigt hat; können wir eine Grundlage nicht bestätigen, holen wir zuvor Ihre Erlaubnis ein oder kontaktieren Sie überhaupt nicht.

Ihre Wahlmöglichkeiten. Jede Marketing-E-Mail enthält einen Abmeldelink. Sie können jedem Marketing außerdem per E-Mail an privacy@carsu.com widersprechen. Eine Abmeldung oder ein Widerspruch wird auf einer Unterdrückungsliste erfasst und kann durch einen späteren Listenimport oder eine erneute Anmeldung auf unserer Seite nicht außer Kraft gesetzt werden; nur Sie selbst können sich erneut anmelden. Wir versenden kein Marketing über WhatsApp oder SMS an Plattformnutzer oder Geschäftskontakte, sofern Sie diesem Kanal nicht gesondert zugestimmt haben.

Messung. Wir erfassen, ob eine Marketing-E-Mail zugestellt wurde, unzustellbar war oder eine Beschwerde ausgelöst hat und ob ein Link darin angeklickt wurde (Öffnungs-Tracking-Pixel setzen wir nicht ein), damit wir den Versand an nicht funktionierende Adressen einstellen und nachvollziehen können, welche Inhalte nützlich sind. Wir nutzen diese Informationen nicht zur Erstellung individueller Profile.

7. Datenweitergabe

7.1 Unterauftragsverarbeiter

Wir setzen die folgenden Unterauftragsverarbeiter auf Grundlage von Auftragsverarbeitungsverträgen nach Art. 28 DSGVO ein:

Google LLC ist zudem eine vorgelagerte Datenquelle (kein Unterauftragsverarbeiter), wenn Sie die optionale Google-Calendar-Integration autorisieren. Die Daten fließen von Google zu Carsu auf Grundlage Ihrer OAuth-Einwilligung und unterliegen den §3, §5 und §5a dieser Richtlinie. Kalenderdaten werden nicht an einen der oben aufgeführten Unterauftragsverarbeiter weitergegeben, und die vorstehend genannte Rolle der Google LLC bei Push-Benachrichtigungen betrifft ausschließlich Geräte-Token und Benachrichtigungsinhalte, niemals Kalenderdaten.

7.2 Änderungen bei Unterauftragsverarbeitern

Wir informieren Plattformnutzer mindestens 30 Tage vor der Beauftragung oder dem Austausch eines Unterauftragsverarbeiters. Die Widerspruchsrechte sind in der Auftragsverarbeitungsvereinbarung in unseren Allgemeinen Geschäftsbedingungen (Anhang A, §A5) geregelt.

7.3 Weitere Empfänger

Wir können personenbezogene Daten an Berufsgeheimnisträger unter Vertraulichkeitspflichten, an Strafverfolgungsbehörden, soweit gesetzlich vorgeschrieben, sowie im Zusammenhang mit einer Fusion oder Übernahme (mit vorheriger Ankündigung) weitergeben.

Steuerbehörden und steuerliche Intermediäre. Sofern eine Werkstatt einer nationalen Pflicht zur elektronischen Rechnungsstellung oder steuerlichen Meldung unterliegt (derzeit Verifactu in Spanien, Sistema di Interscambio in Italien, myDATA und die Digitale Kundenliste in Griechenland sowie KSeF in Polen, jeweils sobald freigeschaltet), übermitteln wir die gesetzlich verlangten Rechnungs- oder Meldedaten, die den Namen, die Steuernummer und die Anschrift des Kunden der Werkstatt sowie das amtliche Kennzeichen des Fahrzeugs umfassen können, im Auftrag der Werkstatt an die zuständige Behörde, unmittelbar oder über einen in der EU niedergelassenen zertifizierten Intermediär für elektronische Rechnungsstellung; die derzeit je Land eingesetzten Intermediäre teilen wir auf Anfrage unter privacy@carsu.com mit. Die Werkstatt bleibt Ausstellerin der Rechnung und Verantwortliche für diese Daten. Umsatzsteuer-Identifikationsnummern von Geschäftskunden werden über den EU-Dienst VIES geprüft, der den im jeweiligen Mitgliedstaat registrierten Namen und die dort hinterlegte Anschrift zurückgibt.

7.4 Anonymisierte Erkenntnisse

Wir können unumkehrbar anonymisierte, aggregierte Erkenntnisse an Branchenpartner weitergeben. Den Empfängern ist es vertraglich untersagt, eine Re-Identifizierung zu versuchen. Da solche Daten nicht dem Anwendungsbereich der DSGVO unterliegen (Erwägungsgrund 26), handelt es sich nicht um eine Übermittlung personenbezogener Daten. Daten, die aus Google APIs stammen, sind im Rahmen unserer Limited-Use-Verpflichtung von anonymisierten Erkenntnissen ausgeschlossen (§5a).

Wir verkaufen keine personenbezogenen Daten.

8. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch sowie das Recht, eine Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung davon berührt wird. Zur Ausübung Ihrer Rechte senden Sie eine E-Mail an privacy@carsu.com. Wir werden Ihre Identität prüfen und innerhalb von 30 Tagen antworten (bei komplexen Anfragen verlängerbar um zwei Monate).

Löschung Ihres Kontos. Sie können Ihr Carsu-Konto selbst löschen, in der Web-Plattform unter Settings → My Account, in der mobilen App unter Settings → Delete account. Ihr Konto wird unverzüglich deaktiviert, Sie werden überall abgemeldet und erscheinen in Ihrer Werkstatt nicht mehr. Melden Sie sich innerhalb von 12 Monaten erneut an, wird Ihr Konto wiederhergestellt; nach Ablauf von 12 Monaten werden Ihre Identitätsdaten endgültig gelöscht. Aufzeichnungen, die Ihre Werkstatt gesetzlich aufbewahren muss, etwa Rechnungen, Zahlungen und Prüfeinträge, bleiben erhalten; Ihr Name wird daraus entfernt, sobald der Zeitraum von 12 Monaten abgelaufen ist. Werkstattinhaber und Administratoren müssen ihre Rolle zuvor an ein anderes Mitglied übergeben, da mit ihrer Löschung niemand mehr in der Lage wäre, Rechnungsstellung, Mitglieder oder Abonnement der Werkstatt zu verwalten.

Sofern eine Werkstatt Ihre Daten über unsere Plattform verarbeitet, ist Ihr primärer Ansprechpartner die Werkstatt (als Verantwortlicher). Wir unterstützen sie bei der Bearbeitung Ihrer Anfrage. Verwahrt eine Werkstatt zum Zeitpunkt Ihres Löschverlangens noch Eigentum von Ihnen (beispielsweise Saisonreifen), kann die Werkstatt gehalten sein, die Mindestaufzeichnung beizubehalten, die die eingelagerten Gegenstände mit Ihnen verknüpft, bis diese zurückgegeben oder rechtmäßig entsorgt werden; wir unterstützen die Werkstatt dabei, alles Übrige zu anonymisieren.

Geschäftskontakte. Sofern wir Ihre Daten zu Marketingzwecken vorhalten, können Sie jederzeit erfragen, auf welche Grundlage wir uns stützen und woher wir die Daten bezogen haben, und Sie können widersprechen; wir stellen die Verarbeitung dann ein und nehmen Sie in unsere Unterdrückungsliste auf.

Google-Calendar-Integration: Widerruf und Löschung. Sie können den Zugriff von Carsu auf Ihr Google-Konto jederzeit widerrufen, indem Sie entweder (a) die Integration in Ihren Carsu-Kontoeinstellungen trennen oder (b) die Carsu-App in Ihrem Google-Konto unter myaccount.google.com/permissions entfernen. Mit dem Widerruf endet jede weitere Synchronisation unverzüglich. Bereits auf unseren Servern zwischengespeicherte Kalenderereignisdaten werden innerhalb von 30 Tagen nach der Trennung gelöscht (siehe §11). Für eine sofortige Löschung senden Sie bitte eine E-Mail an privacy@carsu.com.

9. Internationale Datenübermittlungen

Unsere primäre Infrastruktur befindet sich im EWR. Sofern Daten in Länder außerhalb des EWR oder des Vereinigten Königreichs übermittelt werden, stützen wir uns auf die Standard Contractual Clauses (Beschluss 2021/914) oder das UK IDTA/Addendum, ergänzt durch Verschlüsselung (TLS 1.2+ bei der Übertragung, AES-256 im Ruhezustand) sowie Übermittlungs-Folgenabschätzungen. Datenübermittlungen zwischen EU und UK beruhen auf dem Angemessenheitsbeschluss für das Vereinigte Königreich (erneuert im Juli 2025). Eine Kopie der anwendbaren SCCs können Sie unter privacy@carsu.com anfordern.

10. Cookies und Analyse

Website. Cookies auf www.carsu.com sind in unserer Cookie-Richtlinie beschrieben. Das Buchungs-Widget, das eine Werkstatt auf ihrer eigenen Website einbinden kann, setzt ausschließlich ein unbedingt erforderliches Sitzungs-Cookie und keine Analyse- oder Marketing-Cookies.

In-App. Wenn Sie in der Carsu-Plattform angemeldet sind, verwenden wir ein Sitzungs-Cookie, ein CSRF-Schutz-Cookie und eine Spracheinstellung (sämtlich unbedingt erforderlich). Wir nutzen Mixpanel für Produktanalysen in der Web-Plattform und in der mobilen App auf Grundlage des berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO). In der mobilen App können Sie die Analyse jederzeit unter Settings → Privacy → Share usage data deaktivieren; für die Web-Plattform oder zur Löschung bereits erfasster Ereignisse senden Sie eine E-Mail an privacy@carsu.com, woraufhin wir die Erfassung beenden und die zugehörigen Datensätze innerhalb von 30 Tagen löschen.

11. Aufbewahrung

Nach Ablauf der Aufbewahrungsfrist löschen oder anonymisieren wir die Daten unumkehrbar. Daten aus Google APIs werden gelöscht, nicht anonymisiert, in Übereinstimmung mit unserer Limited-Use-Verpflichtung.

12. Sicherheit

Wir wenden technische und organisatorische Maßnahmen (TOM) gemäß Art. 32 DSGVO an, einschließlich Verschlüsselung bei der Übertragung und im Ruhezustand, rollenbasierter Zugriffskontrolle nach dem Prinzip der geringsten Rechte, MFA für alle Admin- und Plattformzugänge, regelmäßiger Schwachstellenbewertungen, Zugriffsprotokollierung und dokumentierter Reaktion auf Sicherheitsvorfälle. Wir arbeiten auf SOC 2 Type II und ISO 27001 hin. Verantwortungsvolle Schwachstellenmeldung: security.txt oder security@carsu.com.

OAuth-Token für den Zugriff auf Google APIs werden verschlüsselt im Ruhezustand gespeichert und sind ausschließlich für die Plattformkomponenten zugänglich, die die Kalendersynchronisation ausführen. Fotografien und Dokumente werden in privatem Speicher abgelegt und ausschließlich über kurzlebige signierte Links an angemeldete Nutzer derjenigen Werkstatt ausgeliefert, zu der sie gehören.

13. Datenschutzverletzungen

Wenn eine Verletzung voraussichtlich ein Risiko für Ihre Rechte zur Folge hat, benachrichtigen wir die Aufsichtsbehörde innerhalb von 72 Stunden (Art. 33 DSGVO) und, bei hohem Risiko, Sie unverzüglich direkt (Art. 34 DSGVO). Sofern Carsu als Auftragsverarbeiter handelt, benachrichtigen wir den Verantwortlichen (die Werkstatt) unverzüglich.

14. Einwohner des Vereinigten Königreichs

Einwohner des Vereinigten Königreichs haben dieselben Rechte wie in §8 beschrieben. Datenübermittlungen zwischen der EU und dem Vereinigten Königreich beruhen auf dem Angemessenheitsbeschluss der EU für das Vereinigte Königreich (erneuert im Juli 2025, gültig bis 2031). Sofern das Datenschutzrecht des Vereinigten Königreichs für dortige Einwohner mit dieser Richtlinie kollidiert, gilt das UK-Recht vorrangig.

15. Kinder

Unsere Dienste sind B2B und richten sich nicht an Kinder. Wir erheben wissentlich keine Daten von Personen unter 16 Jahren (bzw. unter 14 Jahren in Italien gemäß D.Lgs. 101/2018). Sollten wir solche Daten entdecken, löschen wir sie umgehend.

16. Änderungen

Wir aktualisieren diese Richtlinie, wenn sich unsere Praktiken, Technologien oder rechtlichen Verpflichtungen ändern. Wesentliche Änderungen werden per E-Mail oder in der Plattform mindestens 30 Tage im Voraus angekündigt.

17. Beschwerden

Sie können sich bei der niederländischen Datenschutzbehörde Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl), der federführenden Aufsichtsbehörde für die Carsu B.V. im Rahmen des One-Stop-Shop der DSGVO, bei der italienischen Aufsichtsbehörde Garante per la protezione dei dati personali (garanteprivacy.it), sofern die Carsu Italia S.r.l. Ihr Vertragspartner ist, oder bei der Datenschutzbehörde in Ihrem EU-Wohnsitzland beschweren. Wir bevorzugen es, wenn Sie sich zunächst an uns unter privacy@carsu.com wenden, damit wir versuchen können, Ihr Anliegen direkt zu klären.

18. Verwandte Dokumente

Diese Richtlinie sollte zusammen mit unseren Allgemeinen Geschäftsbedingungen (einschließlich der Auftragsverarbeitungsvereinbarung in Anhang A) und unserer Cookie-Richtlinie gelesen werden.

19. Kontakt

Datenschutz: privacy@carsu.com

Recht: legal@carsu.com

Sicherheit: security@carsu.com

Allgemein: hello@carsu.com

Post: Carsu B.V., Harderwijkerweg 145, 3852 AB Ermelo, Niederlande

Italien: Carsu Italia S.r.l., Via Fabro 8, 10122 Torino, Italien; PEC carsu.italia@pec.it