Datenschutzerklärung

Hier erfährst du, welche personenbezogenen Daten wir verarbeiten, wozu, auf welcher Rechtsgrundlage und wie lange. Wir verwenden keine Werbe- oder Tracking-Dienste.

1. Verantwortlicher

Kevin Wurbs, Hauptstraße 18, 04808 Thammenhain (Gemeinde Lossatal)
E-Mail: datenschutz@hufmarkt.de · Kontaktformular

2. Hosting und technische Dienstleister

Die Website und die Datenbank laufen auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Serverstandort: Falkenstein (Deutschland). Die auf unseren Servern gespeicherten Daten verlassen die EU nicht.

E-Mails (Bestätigungen, Benachrichtigungen) versenden wir über einen Mailserver, den wir selbst betreiben und der ebenfalls bei der Hetzner Online GmbH läuft (Serverstandort wie oben). Zum Schutz vor automatisierten Anfragen setzen wir bei Registrierung, Anmeldung, „Passwort vergessen“ und im Kontaktformular Cloudflare Turnstile ein (siehe Abschnitt 3a). Weitere Empfänger gibt es nicht. Wir binden keine externen Schriften, Karten, Statistik- oder Werbedienste ein.

3. Server-Protokolle

Beim Aufruf der Seite verarbeitet der Server technisch notwendig deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse und Fehlermeldungen. Zweck ist der sichere Betrieb, die Fehlersuche und der Schutz vor Missbrauch (Begrenzung von Anfragen). Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden automatisch rotiert und nach kurzer Zeit überschrieben, in der Regel nach wenigen Tagen.

3a. Bot-Schutz (Cloudflare Turnstile)

Auf den Seiten Registrierung, Anmeldung, „Passwort vergessen“ und Kontaktformular laden wir den Dienst Cloudflare Turnstile der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA (Vertreter in der EU: Cloudflare Germany GmbH, Rosenheimer Straße 143C, 81671 München). Er prüft, ob eine Anfrage von einem Menschen stammt, und schützt so vor Spam, Missbrauch und automatisierten Angriffen. Dabei verarbeitet Cloudflare, sobald du eine dieser Seiten aufrufst, technische Signale: deine IP-Adresse, den TLS-Fingerabdruck deiner Verbindung, die User-Agent-Angabe deines Browsers sowie den Schlüssel und die Herkunft der Seite, auf der das Widget eingebunden ist. Nach Angaben von Cloudflare kann Cloudflare daraus einzelne Personen nicht unmittelbar identifizieren. Cloudflare stellt ein Prüfergebnis (Token) aus, das unser Server bei Cloudflare bestätigen lässt. Das Laden des Skripts von Servern von Cloudflare überträgt deine IP-Adresse bereits beim Aufruf dieser Seiten.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, missbrauchsfreien Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Speicherung bzw. der Zugriff auf Informationen auf deinem Gerät ist dafür unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Cloudflare verarbeitet die Daten in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags (Data Processing Addendum). Soweit Cloudflare Signale für eigene Zwecke nutzt, gilt dessen Turnstile Privacy Addendum. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert; fällt diese Grundlage weg, gelten Standardvertragsklauseln. Weitere Informationen: cloudflare.com/privacypolicy. Wenn du den Dienst blockierst, kannst du diese Formulare nicht absenden. Sprich uns in diesem Fall über unsere im Impressum genannte E-Mail-Adresse an.

4. Konto und Anmeldung

Bei der Registrierung speichern wir E-Mail-Adresse, Name und dein Passwort (nur als Hash, nie im Klartext). Freiwillig sind Telefonnummer, Ort, Profilbild und Beschreibung. Gewerbliche Konten geben zusätzlich Firmenname und Impressum an. Wir speichern außerdem, wann und in welcher Textfassung du den Nutzungsbedingungen zugestimmt hast, und den Zeitpunkt deiner letzten Anmeldung. Zweck ist die Bereitstellung des Kontos und der Nachweis der Zustimmung. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und berechtigtes Interesse am Nachweis (lit. f).

4a. Kontosicherheit: Sitzungen, Geräte, Zwei-Faktor, Passkeys

Zum Schutz deines Kontos speichern wir bei jeder Anmeldung eine Sitzung mit IP-Adresse, Browser- und Geräteangabe (User-Agent), Zeitpunkten und einer zufälligen Gerätekennung, die in einem Cookie auf deinem Gerät liegt. Damit erkennen wir bekannte Geräte, schicken dir bei einer Anmeldung auf einem neuen Gerät eine Hinweis-Mail oder einen Bestätigungscode und zeigen dir unter „Einstellungen → Sicherheit“, wo dein Konto angemeldet ist. Dort kannst du Sitzungen jederzeit beenden. Beendete und abgelaufene Sitzungen löschen wir nach 30 Tagen. Rechtsgrundlage: Vertragserfüllung und berechtigtes Interesse an der Sicherheit deines Kontos (Art. 6 Abs. 1 lit. b, f DSGVO).

Wenn du die Zwei-Faktor-Authentifizierung einschaltest, speichern wir das Geheimnis für deine Authenticator-App verschlüsselt sowie die Prüfsummen (Hashes) deiner Backup-Codes. Wenn du einen Passkey anlegst, speichern wir nur dessen öffentlichen Schlüssel, einen Namen, die Zeitpunkte von Anlegen und letzter Nutzung sowie technische Angaben zum Passkey. Fingerabdruck, Gesichtsdaten und Geräte-PIN bleiben auf deinem Gerät und erreichen uns nie. Über Änderungen an 2FA und Passkeys informieren wir dich per E-Mail. Die Teilnahme ist freiwillig. Rechtsgrundlage: deine Einwilligung durch Einrichtung (Art. 6 Abs. 1 lit. a DSGVO) und berechtigtes Interesse an der Kontosicherheit (lit. f).

5. Anzeigen und Gesuche

Inhalte, die du veröffentlichst (Titel, Beschreibung, Fotos, Preis, Angaben zum Artikel, PLZ und Ort), sind für alle Besucher öffentlich sichtbar, auch ohne Konto. Was dein Profil zeigt (Telefonnummer, Standort, Nachname, Mitglied seit), bestimmst du unter „Einstellungen“. Standardmäßig ist deine Telefonnummer verborgen. Bitte nenne in Anzeigen nur deine eigenen Daten und keine Kontaktdaten oder Fotos anderer Personen ohne deren Einwilligung. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

6. Nachrichten

Nachrichten zwischen Nutzern speichern wir, damit ihr euch verständigen könnt. Wir lesen sie nicht routinemäßig. Wir greifen nur darauf zu, wenn eine Meldung oder ein Verdacht auf Missbrauch es erfordert oder das Gesetz es verlangt. Rechtsgrundlage: Vertragserfüllung (lit. b), bei Missbrauchsprüfung berechtigtes Interesse (lit. f).

7. Merkliste, gespeicherte Suchen, Gesuche

Deine Merkliste, gespeicherte Suchen (mit Suchkriterien) und Gesuche (mit Kriterien, Budget und Umkreis) dienen dazu, dich zu passenden Anzeigen zu benachrichtigen. Rechtsgrundlage: Vertragserfüllung (lit. b).

8. E-Mails

Wir schicken dir E-Mails, die für das Konto nötig sind (Bestätigung, Passwort zurücksetzen, Sicherheitshinweise, Entscheidungen zu Meldungen oder Moderation). Außerdem, sofern du sie nicht abgestellt hast: neue Nachrichten, Erinnerungen vor Ablauf deiner Anzeigen, Treffer zu gespeicherten Suchen und passende Angebote zu deinen Gesuchen. Jede dieser Benachrichtigungen hat einen Abmelde-Link; du kannst sie auch unter „Einstellungen“ ändern. Neuigkeiten und Tipps senden wir nur, wenn du das ausdrücklich aktivierst (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, jederzeit widerrufbar).

9. Kontaktformular

Wenn du uns über das Kontaktformular oder per E-Mail (zum Beispiel an unsere Support- oder Datenschutz-Adresse) schreibst, legen wir daraus eine Anfrage mit Aktenzeichen an und verarbeiten Name, E-Mail-Adresse, Betreff, Nachricht und den weiteren Schriftverkehr, um sie zu beantworten und dir den Stand mitzuteilen. Meldungen über den „Melden“-Knopf behandeln wir ebenso. Rechtsgrundlage: Vertragsanbahnung bzw. berechtigtes Interesse (Art. 6 Abs. 1 lit. b, f DSGVO). Abgeschlossene Anfragen löschen wir automatisch nach der Frist, die auch für Meldungen und Moderationsentscheidungen gilt, allgemeine Anfragen spätestens nach einem Jahr, sofern keine Aufbewahrungspflicht besteht. Anhänge von E-Mails übernehmen wir nicht.

10. Meldungen und Moderation

Meldest du einen Inhalt oder eine Person, speichern wir die Meldung (Grund, Begründung, Datum) und deine Kennung, damit wir sie prüfen und dir die Entscheidung mitteilen können (Art. 16 Digital Services Act). Die gemeldete Person erfährt deine Identität in der Regel nicht. Über Entfernungen, Sperrungen und Löschungen führen wir ein Protokoll. Rechtsgrundlage: rechtliche Verpflichtung und berechtigtes Interesse (Art. 6 Abs. 1 lit. c, f DSGVO). Zugriff haben nur der Betreiber und von ihm ausdrücklich beauftragte, zur Vertraulichkeit verpflichtete Moderatoren.

11. Händler-Prüfung und Verifizierung

Wenn du als gewerblicher Anbieter das Badge „Geprüfter Händler“ beantragst, laden wir den von dir hochgeladenen Nachweis (z. B. Gewerbeanmeldung) zur Prüfung. Er ist nur für den Betreiber sichtbar und wird 14 Tage nach der Entscheidung gelöscht. Rechtsgrundlage: berechtigtes Interesse an vertrauenswürdigen Händlerprofilen (Art. 6 Abs. 1 lit. f DSGVO) bzw. deine Einwilligung durch die Antragstellung.

Private Nutzer können das Badge „Verifizierte Person“ beantragen. Dafür laden sie ein Foto oder einen Scan ihres Ausweises hoch, in dem sie Ausweisnummer, Zugangsnummer, Größe und Augenfarbe geschwärzt haben. Wir vergleichen Name und Foto mit dem Konto. Der Nachweis ist nur für Administratoren sichtbar und wird mit der Entscheidung sofort gelöscht. Wir speichern nur, dass und wann das Konto verifiziert wurde. Die Teilnahme ist freiwillig und ein Widerruf (Entzug des Badges) jederzeit über den Support möglich. Rechtsgrundlage: deine Einwilligung durch die Antragstellung (Art. 6 Abs. 1 lit. a DSGVO).

12. Cookies und lokaler Speicher

Wir setzen nur technisch notwendige Speicherungen ein, die du ausdrücklich nutzt, deshalb brauchst du keinen Cookie-Banner zu bestätigen (§ 25 Abs. 2 Nr. 2 TDDDG): ein Anmelde-Cookie (bis zu 7 Tage), ein Geräte-Cookie mit einer zufälligen Kennung zum Erkennen bekannter Geräte bei der Anmeldung (etwa 13 Monate), kurzlebige Cookies für einzelne Anmeldeschritte (bis zu 5 Minuten, etwa bei der Anmeldung mit Passkey), deine Wahl zwischen hellem und dunklem Design, einen automatisch gespeicherten Entwurf, wenn du eine Anzeige aufgibst (liegt nur in deinem Browser und wird nach dem Veröffentlichen gelöscht), und die Merkung, dass du den Datenschutz-Hinweis gesehen hast. Es gibt kein Tracking und keine Werbe-Cookies. Cloudflare Turnstile (Abschnitt 3a) wird nur auf den dort genannten Formularseiten geladen und dient allein der Sicherheit.

13. Standort und Umkreissuche

Für die Umkreissuche verwenden wir Postleitzahl-Koordinaten von GeoNames (CC BY 4.0), die auf unserem Server liegen. Deinen aktuellen Standort ermitteln wir nur, wenn du „Meinen Standort verwenden“ anklickst und dein Browser es erlaubt. Er wird nur zur Umrechnung in eine Postleitzahl genutzt und nicht gespeichert.

14. Weitergabe

Wir verkaufen keine Daten und geben sie nicht an Dritte weiter, außer an die oben genannten Dienstleister (Hetzner, Cloudflare) im Rahmen der Auftragsverarbeitung oder wenn wir gesetzlich dazu verpflichtet sind (z. B. Anfrage einer Behörde oder eines Gerichts).

15. Speicherdauer

16. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen aus berechtigtem Interesse (Art. 21 DSGVO). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

• Deine Daten lädst du unter „Einstellungen“ als Datei herunter.
• Dein Konto löschst du dort jederzeit selbst; Anzeigen, Nachrichten, Fotos und Profildaten werden dabei entfernt.
• Für alles Weitere schreib uns über das Kontaktformular oder per E-Mail.

Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, zum Beispiel bei der Sächsischen Datenschutz- und Transparenzbeauftragten, Devrientstraße 5, 01067 Dresden.

17. Pflicht zur Angabe, automatisierte Entscheidungen

E-Mail-Adresse und Name sind nötig, damit wir dein Konto bereitstellen können. Ohne diese Angaben ist keine Registrierung möglich. Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung (Profiling) findet nicht statt. Moderationsentscheidungen trifft ein Mensch.

18. Sicherheit

Die Verbindung zur Website ist verschlüsselt (HTTPS). Passwörter speichern wir mit einem modernen Hash-Verfahren (Argon2). Der Zugriff auf die Verwaltung ist auf den Betreiber und beauftragte Moderatoren beschränkt.

19. Änderungen

Wir passen diese Erklärung an, wenn sich Funktionen oder Rechtslage ändern. Den aktuellen Stand siehst du oben.