_Letzte Aktualisierung: 13. September 2026_
DetailingManager („wir", „die Plattform") ist eine webbasierte SaaS-Plattform zur Verwaltung von Autoaufbereitungsstudios. Wir verarbeiten personenbezogene Daten ausschließlich zur Bereitstellung unserer Dienstleistungen, in Übereinstimmung mit der Verordnung (EU) 2016/679 (DSGVO) und den geltenden Datenschutzgesetzen.
1. Verantwortlicher
Verantwortlicher der DetailingManager-Plattform ist:
- Name: Radoslav Moshev
- Anschrift: Sofia, ul. Pirin, Bulgarien
- E-Mail: admin@detailingmanager.com
Fragen zu Ihren personenbezogenen Daten richten Sie bitte an dieselbe Adresse mit dem Betreff „GDPR / Data Protection".
Speichert ein Detailing-Studio eigene Kundendaten in der Plattform, ist das Studio Verantwortlicher dieser Kundendaten und wir handeln als Auftragsverarbeiter. Dieses Verhältnis ist in unserem Auftragsverarbeitungsvertrag (AVV/DPA) beschrieben.
2. Welche Daten wir erheben
2.1 Kontodaten
Wenn Sie ein Konto über eine Einladung Ihrer Firma erstellen, erheben wir:
- Vor- und Nachname
- E-Mail-Adresse
- Rolle in der Firma (Administrator, Manager oder Mitarbeiter)
- Gehashtes Passwort (wir speichern Passwörter nicht im Klartext)
2.2 Firmendaten
Wenn eine Firma die Plattform nutzt, speichern wir:
- Firmenname
- Logo (optional)
- URL-Kennung
- MwSt.-Einstellungen (falls zutreffend)
- Individuellen Text für PDF-Dokumente
- VIN-Freigabe und weitere Funktionsflags
2.3 Kundendaten (von den Firmen eingegeben)
Firmen geben Daten über ihre Kunden ein:
- Vor- und Nachname des Kunden
- Telefonnummer
- E-Mail-Adresse
- Adresse und Stadt (optional)
- Geburtsdatum (optional — für Erinnerungen und Grüße)
- Marketingeinwilligung (ausdrückliches Opt-in)
- Firmenmitgliedschaften (M:N, inkl. Hauptfirma und Rabatte)
- Fahrzeugdaten (Marke, Modell, Jahr, Kennzeichen, VIN)
Diese Daten gehören der jeweiligen Firma. Wir handeln als Auftragsverarbeiter im Auftrag der Firma (Verantwortlicher). Siehe den AVV/DPA.
2.4 Auftrags-, Erinnerungs- und Dokumentdaten
Die Plattform speichert Informationen zu erbrachten Leistungen:
- Leistungsart, Preis und Zahlungsart
- Datum/Uhrzeit des Auftrags und zugewiesener Mitarbeiter
- Vorher/Nachher-Fotos (optional), Checklistenpunkte und Notizen
- Erinnerungen (automatisch oder manuell) und zugehörige E-Mails
- Erzeugte PDF-Dokumente (Angebote / Arbeitsaufträge)
2.5 Demo- und Kontaktanfragen
Wenn Sie das Demo-Formular auf der öffentlichen Website absenden, erheben wir:
- Name, E-Mail, Firmenname, Land und Nachricht
- Bestätigung der Einwilligung zur Datenverarbeitung
- UTM / Traffic-Quelle (nur bei Marketingeinwilligung)
2.6 Automatisch erhobene Daten
Bei der Nutzung der Plattform können automatisch erfasst werden:
- IP-Adresse (zu Sicherheits- und Rate-Limit-Zwecken)
- Browser- und Geräteinformationen
- Zugriffszeit und Sitzungsdauer
- Cookies und lokaler Speicher (siehe Abschnitt 9)
- Anonyme Seitenaufrufe (nur mit Analyse-Einwilligung)
3. Wofür wir Daten verwenden
| Zweck | Rechtsgrundlage |
|---|---|
| Kontoerstellung und -verwaltung | Vertragserfüllung |
| Bereitstellung der Plattformdienste | Vertragserfüllung |
| Technischer Support und Fehlerbehebung | Berechtigtes Interesse |
| Plattformverbesserung (anonyme Analysen) | Einwilligung |
| Betrugs- und Missbrauchsprävention | Berechtigtes Interesse |
| Marketingnachrichten an Studiokunden | Einwilligung (ausdrückliches Opt-in) |
| Marketing-Pixel und Kampagnenzuordnung | Einwilligung |
| Bearbeitung von Demo-Anfragen | Einwilligung / vorvertragliche Schritte |
| KI-Assistent (optional) | Einwilligung (Opt-in des Firmenadmins) |
4. Weitergabe an Dritte
Wir nutzen die folgenden Anbieter zum Betrieb der Plattform. Kundendaten verbleiben in der EU, soweit unten nicht anders angegeben.
4.1 Supabase (Datenbank, Authentifizierung, Dateispeicher)
PostgreSQL-Datenbank, Benutzeranmeldung und Dateispeicher (Logos, Auftragsfotos). Gehostet in der EU: Irland (AWS eu-west-1). SOC-2-zertifiziert und DSGVO-konform.
4.2 Hetzner / Coolify (Anwendungshosting)
Die Anwendung läuft auf eigener Infrastruktur bei Hetzner in Nürnberg, Deutschland, verwaltet über Coolify. Datenbank-Backups liegen auf demselben Hetzner-Server in Nürnberg, werden bis zu 7 Tage aufbewahrt und danach überschrieben (siehe Abschnitt 6). Hetzner ist ISO-27001-zertifiziert und DSGVO-konform.
4.3 Resend (E-Mail-Versand)
Transaktionale und Marketing-E-Mails (Kampagnen, Erinnerungen, Demo-Benachrichtigungen) werden über Resend aus der Region Irland (eu-west-1) versendet. Es werden nur die für die Zustellung erforderlichen Daten weitergegeben.
4.4 Upstash Redis (Rate-Limiting)
In der Produktion zur Begrenzung missbräuchlicher Anfragen. Speichert kurzlebige Zähler und IP-Adressen in Belgien (GCP europe-west1). Wird nicht für Kundenakten genutzt.
4.5 VIN-Dekodierung (db.vin und NHTSA)
Bei einer VIN-Suche kann die 17-stellige VIN gesendet werden an:
- db.vin — primärer Decoder
- NHTSA vPIC (USA) — Fallback-Decoder; nur die VIN, kein Name, Telefon oder E-Mail
4.6 OpenAI (KI-Assistent)
Der KI-Assistent in der Anwendung ist standardmäßig deaktiviert. Sobald ein Studio-Admin ihn aktiviert und den Hinweis bestätigt, werden die von Studiomitarbeitern eingegebenen Fragen — und die zur Beantwortung nötigen Datensätze, die Kundennamen, Fahrzeuge, Aufträge, Erinnerungen und Beträge enthalten können — an OpenAI Ireland Limited gesendet. OpenAI verarbeitet EWR-Daten nach seinem Auftragsverarbeitungszusatz und übermittelt sie nur auf Grundlage von Standardvertragsklauseln außerhalb des EWR. API-Eingaben und -Ausgaben werden nicht zum Training der Modelle von OpenAI verwendet; OpenAI bewahrt Protokolle zur Missbrauchserkennung, die sie enthalten können, bis zu 30 Tage auf. Der Chatverlauf bleibt bis zu 14 Tage in unserer Datenbank und wird danach automatisch gelöscht.
4.7 Analysen und Marketing (optional)
- Erste Partei: anonyme Seitenaufruf-Logs in unserer Datenbank bei Analyse-Einwilligung
- Google Analytics 4 und Meta Pixel: werden nur mit Marketing-Einwilligung geladen (kann Übermittlungen außerhalb der EU umfassen)
4.8 Wir verkaufen, vermieten oder teilen personenbezogene Daten nicht zu Marketingzwecken über das oben Beschriebene hinaus.
5. VIN-Freigabe zwischen Studios
Die Plattform bietet eine VIN-basierte Fahrzeughistorie:
- Standard: VIN-Daten Ihrer Kunden sind nur für Ihre Firma sichtbar
- Freigabe aktiv: andere Studios sehen erbrachte Leistungen und Ihren Studionamen
- Freigabe inaktiv: Leistungen sind anonym (Leistungen sichtbar, Ausführender ausgeblendet)
- Jeder Firmenadmin steuert dies unter Einstellungen → VIN Search Sharing
6. Speicherfristen
Zwei Datensätze werden automatisch gelöscht: das Audit-Protokoll der Firma (7, 14 oder 30 Tage, wählbar durch das Studio) und der Chatverlauf des KI-Assistenten (bis zu 14 Tage). Andere Datensätze löschen wir nicht automatisch.
| Datentyp | Speicherdauer |
|---|---|
| Kontodaten | Solange das Konto aktiv ist oder bis zur Löschanfrage |
| Firmendaten | Solange die Firma die Plattform nutzt oder bis zur Löschanfrage |
| Kunden- und Fahrzeugdaten | Solange die Firma sie speichert oder selbst löscht |
| Auftrags-, Erinnerungs- und Dokumente | Solange die Firma sie speichert oder selbst löscht |
| Demo-Anfragen | Bis Sie uns um Löschung bitten |
| Analyse-Seitenaufrufe | Bis zum Widerruf der Einwilligung oder zur Löschanfrage |
| Audit-Protokoll | 7, 14 oder 30 Tage (Studioeinstellung; Standard 7; automatisch) |
| Chatverlauf des KI-Assistenten | Bis zu 14 Tage, danach automatisch gelöscht |
| Cookies / lokaler Speicher | Siehe Abschnitt 9 |
6.1 Löschen eines Studiokunden
Löscht ein Studio-Admin einen Kunden, entfernen wir Name, Telefon, E-Mail und vergleichbare Kontaktdaten. Der Fahrzeugdatensatz und abgeschlossene Aufträge bleiben für Leistungshistorie und Statistik — ohne Name, Telefon und E-Mail. VIN und Kennzeichen bleiben am Fahrzeug. Offene bzw. laufende Aufträge werden entfernt, damit sie nicht auf einen späteren Eigentümer übergehen. Eine kurze Kopie der gelöschten Kontaktdaten kann im Audit-Protokoll bis zu dessen Ablauf verbleiben (siehe oben).
6.2 Schließen eines Kontos oder einer Firma
Nach bestätigter Löschanfrage werden Live-Datenbankzeilen und Dateien im Speicher sofort entfernt. Datenbank-Backups auf demselben Hetzner-Server in Nürnberg bleiben bis zu 7 Tage und werden danach überschrieben. Wird in diesem Zeitraum ein Backup wiederhergestellt, wird die Löschung erneut angewendet.
7. Ihre Rechte (DSGVO)
Nach der DSGVO haben Sie folgende Rechte:
| Recht | Beschreibung |
|---|---|
| Auskunft (Art. 15) | Kopie Ihrer personenbezogenen Daten |
| Berichtigung (Art. 16) | Korrektur unrichtiger Daten |
| Löschung (Art. 17) | Löschung Ihrer Daten („Recht auf Vergessenwerden") |
| Einschränkung (Art. 18) | Einschränkung der Verarbeitung |
| Datenübertragbarkeit (Art. 20) | Daten in einem maschinenlesbaren Format |
| Widerspruch (Art. 21) | Widerspruch gegen die Verarbeitung |
| Widerruf (Art. 7) | Einwilligung jederzeit widerrufen |
Zur Ausübung Ihrer Rechte schreiben Sie an admin@detailingmanager.com. Wir antworten innerhalb von 30 Tagen.
Sind Sie Kunde eines Detailing-Studios (kein Plattformnutzer), wenden Sie sich zuerst an das Studio — es ist Verantwortlicher Ihrer Akte. Wir unterstützen das Studio gemäß AVV/DPA. Studios können ihre Kundenliste als CSV aus der Plattform exportieren.
Sie haben das Recht, sich bei der Kommission für den Schutz personenbezogener Daten (www.cpdp.bg) oder Ihrer nationalen Aufsichtsbehörde zu beschweren.
Cookie-Einstellungen können jederzeit über „Cookie-Einstellungen" in der Plattform geändert werden.
8. Datensicherheit
Wir setzen angemessene technische und organisatorische Maßnahmen um:
- Verschlüsselung: alle Daten in Transit (TLS 1.3) und im Ruhezustand (AES-256)
- Row-Level Security (RLS): jeder Nutzer sieht nur die Daten seiner Firma
- Zwei-Faktor-Authentifizierung: über Supabase Auth verfügbar
- Sitzungssicherheit: automatische Abmeldung bei Inaktivität (falls vom Admin konfiguriert)
- Need-to-know: Mitarbeiter sehen nur das für ihre Arbeit Nötige
9. Cookies und lokaler Speicher
Die Einwilligung ist Opt-in. Optionale Kategorien sind standardmäßig aus. „Alle ablehnen" ist gleich prominent wie „Alle akzeptieren".
9.1 Streng notwendig (nicht deaktivierbar)
| Name | Zweck | Dauer |
|---|---|---|
| sb-access-token | Sitzungsauthentifizierung | 1 Stunde |
| sb-refresh-token | Sitzungserneuerung | 30 Tage |
| cookie-consent | Speichert Ihre Cookie-Einstellungen | 1 Jahr |
| locale | Speichert die Spracheinstellung | 1 Jahr |
| session-activity | Inaktivität für automatische Abmeldung | Laut Firmeneinstellung |
| sidebar-state | Speichert den Zustand des Seitenmenüs | 1 Jahr |
Diese Cookies werden unabhängig von der Einwilligung gesetzt, weil die Plattform ohne sie nicht funktionieren kann.
9.2 Analysen (optional)
| Name | Zweck | Dauer |
|---|---|---|
| analytics_session_id | Anonyme Sitzungs-ID (localStorage) für Seitenaufruf-Analysen | Bis zum Löschen / Widerruf |
Nur nach Analyse-Einwilligung. Bei Widerruf wird die Kennung gelöscht.
9.3 Marketing (optional)
| Name | Zweck | Dauer |
|---|---|---|
| dm_utm_params | First-Touch-UTM-Parameter (sessionStorage) zur Zuordnung | Sitzung |
Mit Marketing-Einwilligung können Google Analytics 4 und Meta Pixel eigene Cookies gemäß deren Richtlinien setzen. Ohne Einwilligung laufen diese Skripte nicht.
10. Änderungen der Richtlinie
Diese Richtlinie kann regelmäßig aktualisiert werden. Wesentliche Änderungen werden mitgeteilt über:
- Ein Banner in der Plattform beim nächsten Login
- Eine erneute Bestätigung der Cookie-Einstellungen
Das Datum der letzten Aktualisierung steht oben auf dieser Seite.
11. Kontakt
Fragen zu dieser Datenschutzerklärung oder unserer Datenverarbeitung:
- E-Mail: admin@detailingmanager.com
- Betreff: GDPR / Data Protection