Datenschutzerklärung

• Inhaber: BBRAVE SENTINEL, S.L. (Einpersonengesellschaft)
• Steuernummer (NIF): B88862735
• Sitz: Calle Río Danubio, 2, portal 3, 2.º D, 28913 Leganés (Madrid), Spanien
• Registerangaben: Handelsregister Madrid, Blatt M-891920, 1. Eintragung, elektronisches Folio
• E-Mail: soporte@destolen.com

Für alle Datenschutzfragen schreib uns an soporte@destolen.com mit dem Betreff «Protección de datos» (Datenschutz).

• Daten: E-Mail-Adresse und Passwort (verwaltet von Firebase Authentication; wir sehen es nicht) und, falls du sie angibst, Name und Stadt. Wir speichern Datum und Version der akzeptierten Datenschutzerklärung und ob du Werbung erhalten möchtest.
• Zweck: dein Konto anlegen und verwalten, dich identifizieren und dir die E-Mails des Dienstes senden (Bestätigung, Benachrichtigungen, Änderungen an deinen Fahrrädern und Suchen).
• Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Werbung nur mit deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit in der E-Mail selbst oder per Nachricht an uns widerrufen kannst.
• Land: das deines Kontos, jedes Fahrrads und des Diebstahls (standardmäßig das deines Browsers; du kannst es ändern). Damit wissen wir, ob wir Anzeigen in diesem Land durchsuchen und ob Suche und Schutz dort gebucht werden können. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Warteliste nach Land: Wenn du in einem Land buchen willst, in dem wir noch nicht suchen, und uns bittest, dich zu benachrichtigen (oder es mit dem Land des Diebstahls versuchst), speichern wir deinen Nutzer, deine E-Mail-Adresse, das Land, die Sprache und das Datum, um dir zu schreiben, sobald wir starten; außerdem zählen wir ohne personenbezogene Daten, wie viele Personen in jedem Land warten, um zu entscheiden, wo wir starten. Rechtsgrundlage: deine Anfrage (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an der Entscheidung, wo wir den Dienst ausweiten (Art. 6 Abs. 1 lit. f DSGVO). Du kannst unter soporte@destolen.com verlangen, dass wir dich entfernen.

• Daten: Marke, Modell, Typ, Farbe, Größe, Baujahr, ungefährer Wert und Kaufdatum; Seriennummern von Rahmen, Motor und Akku; Fotos; das Zertifikat mit der destolen-Nr. des Fahrrads.
• Optionale Daten: Art von Schloss und Tracker, Versicherung, Abstellort, Hauptnutzung, übliche Gegend, Komponenten, Aufkleber und Anpassungen.
• Zweck: die Registrierung deines Fahrrads führen, sein Zertifikat ausstellen, Käufern die Prüfung ermöglichen, ob es als gestohlen gemeldet ist, und es bei einem Diebstahl erkennen. Mit künstlicher Intelligenz (OpenAI) prüfen wir automatisch, ob die Fotos ein Fahrrad oder eine Seriennummer zeigen. Wenn du eine aktive Suche hast, suchen wir außerdem mit Google Cloud Vision im Web nach bis zu 3 Fotos deines Fahrrads, um Seiten zu finden, auf denen sie erscheinen (du siehst sie unter «Ähnliche Anzeigen»).
• Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Nutzung optionaler Daten für Statistiken und Dienste für Dritte. Nur wenn du in einem separaten, nie vorab angekreuzten Kästchen zustimmst (aktueller Text: Version «datos-bici-2026-10-14»), nutzen wir die Daten deines Fahrrads ohne personenbezogene Daten und in aggregierter Form für Diebstahlstatistiken und Dienste für Dritte (Versicherer, Händler). Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Wir speichern Datum und Textversion bei Erteilung und Widerruf. Du kannst sie jederzeit unter Einstellungen → Nutzung der Daten deiner Fahrräder widerrufen; das wirkt sich nicht auf deine Registrierung oder die Suche nach deinem Fahrrad aus.

E-Scooter. Wenn du einen E-Scooter registrierst, verarbeiten wir dieselben Daten (ohne Fahrradtyp und Größe) und zusätzlich seine DGT-Zulassungsnummer und ob er das Kennzeichnungsetikett trägt, zu denselben Zwecken und auf denselben Rechtsgrundlagen. Wir fragen das DGT-Register nicht ab: Die Nummer gibst du ein.

• Daten: die Daten und Fotos des Fahrrads, Datum und Ort des Diebstahls, die Beschreibung und, falls angegeben, die Nummer der Polizeianzeige. Hatte das Fahrrad einen AirTag oder anderen Tracker, kannst du den temporären Link zum Teilen des Standorts hinzufügen.
• Zweck: während der Suche nach Gebrauchtanzeigen suchen, die zu deinem Fahrrad passen, dir unter «Mein Diebstahl» die Anzeigen zeigen, die deinem Fahrrad ähneln, mit einem Ähnlichkeitswert, dir bei den ähnlichsten schreiben und das Ergebnis festhalten (z. B. wenn du es zurückbekommst).
• Öffentliche Seite der Meldung: Damit du sie teilen kannst, zeigt sie Marke, Modell, Farbe, Typ, Hauptfoto, maskierte Seriennummer, Stadt, Land und Datum des Diebstahls. Deine Kontaktdaten zeigt sie nie. Sie ist sichtbar, solange die Meldung aktiv oder als zurückerhalten markiert ist.
• Sichtungen: Jeder kann melden, dein Fahrrad gesehen zu haben. Wir leiten die Meldung per E-Mail an dich weiter, ohne deine Adresse preiszugeben.
• Tracker-Link: Nur du und das destolen-Team sehen ihn; er wird nie veröffentlicht. Wir nutzen ihn nur, um dir bei der Ortung des Fahrrads zu helfen. Diese Links laufen je nach Anbieter (Apple oder Google) nach 7 Tagen ab.
• Suchmeldung zum Teilen (freiwillig): Wenn du sie unter „Mein Diebstahl“ erstellst, veröffentlichen wir auf einer Seite, die jeder mit dem Link sehen kann (destolen.com/de/suchmeldung/…), und in einem Bild für soziale Netzwerke: das Hauptfoto deines Fahrrads (eine Kopie ohne die internen Dateidaten wie den GPS-Standort), Marke, Modell, Farbe, die von dir angegebene Gegend (Stadtteil oder Ort) und den Tag des Diebstahls. Nie deinen Namen, deine E-Mail-Adresse, deine Telefonnummer, die Rahmennummer, die genaue Adresse oder die Anzeige. Die Seite wird von Suchmaschinen nicht indexiert. Wir zählen Aufrufe und wie oft sie geteilt wird, ohne Daten über die Besucher zu speichern. Wer sie sieht, kann dir mit „Gesehen?“ über dasselbe System wie „Ich habe ein Fahrrad gefunden“ Bescheid geben: Keiner sieht die Daten des anderen, außer er entscheidet sich, sie zu teilen. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du widerrufst, indem du die Suchmeldung deaktivierst; sie deaktiviert sich von selbst, wenn du das Fahrrad zurückbekommst oder die Suche endet. Was andere in sozialen Netzwerken geteilt haben, liegt außerhalb unserer Kontrolle.
• Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

E-Scooter. Wenn du den Diebstahl eines E-Scooters meldest, verarbeiten wir dieselben Daten und zusätzlich seine DGT-Zulassungsnummer, mit der Prüfung und API anzeigen, dass er als gestohlen gemeldet ist, ohne Daten von dir weiterzugeben. Die Suche für einen E-Scooter umfasst noch keine Beobachtung von Anzeigen (Abschnitt 11).

• Daten: der Tarif (monatlich oder jährlich), sein Status, die Zahl der abgedeckten Fahrräder und die Abonnementdaten.
• Zweck: Schutz erbringen: Gebrauchtanzeigen für deine abgedeckten Fahrräder überwachen und die Suche kostenlos aktivieren, wenn du eines davon als gestohlen meldest.
• Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

• Daten: Zahlungen erfolgen auf der Zahlungsseite von Stripe. Wir sehen und speichern deine Kartennummer nicht; wir speichern Kunden-, Zahlungs- und Abonnementkennungen, Betrag, Datum, Status und deine E-Mail.
• Zweck: kassieren, Rechnungen stellen, dein Abonnement verwalten (Änderungen und Kündigung im Stripe-Portal) und Betrug verhindern.
• Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und Erfüllung steuer- und handelsrechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO).

Stripe verarbeitet Zahlungsdaten in unserem Auftrag und für eigene Pflichten (Betrugsprävention, Zahlungsvorschriften) als eigenständig Verantwortlicher gemäß seiner Datenschutzerklärung. Für einen Kauf brauchst du ein Konto: Ohne Konto ist keine Zahlung möglich.

Rechnungsadresse: Beim Bezahlen fragt Stripe nach deiner Rechnungsadresse. Wir nutzen sie, um die Mehrwertsteuer deines Landes anzuwenden und nicht in das Vereinigte Königreich zu verkaufen; wir speichern das Land. Rechtsgrundlage: Vertragserfüllung und steuerliche Pflichten (Art. 6 Abs. 1 lit. b und c DSGVO).

• Daten: die Seriennummer oder destolen-Nr., die du abfragst, und bei registrierten Fahrrädern deine IP-Adresse und Browserdaten (User-Agent). Die IP oder, wenn du angemeldet bist, dein Konto nutzen wir auch, um die Zahl der Abfragen zu begrenzen.
• Antwort: Sie sagt nur, ob das Fahrrad registriert ist, Marke, Modell und Hauptfoto (sofern der Besitzer es nicht privat gestellt hat) und ob es als gestohlen gemeldet ist samt Quelle. Daten des Besitzers, die vollständige Seriennummer oder das Zertifikat gibt sie nie heraus.
• Zweck: deine Anfrage beantworten, Missbrauch und Massenabfragen verhindern und den Dienst schützen.
• Rechtsgrundlage: unser berechtigtes Interesse, die Prüfung anzubieten und Missbrauch zu verhindern (Art. 6 Abs. 1 lit. f DSGVO).

Prüfung und API suchen auch die DGT-Zulassungsnummer der bei destolen registrierten oder gemeldeten E-Scooter, mit denselben Regeln: Sie sagen nur, ob er registriert oder als gestohlen gemeldet ist, und den Fahrzeugtyp, nie Daten des Besitzers.

• Formulardaten: Name, Unternehmen, E-Mail, Unternehmensart, was ihr prüfen wollt, Nachricht, Anlass (Dokumentation oder Pilotzugang), Sprache und ein verschlüsselter Hashwert der IP, nie die IP im Klartext.
• Zweck: eure Anfrage prüfen und euch, wenn wir sie annehmen, die technische Dokumentation senden; die Anfrage zum Pilotzugang beantworten und euch dazu kontaktieren. Der IP-Hash begrenzt die Zahl der Anfragen.
• Rechtsgrundlage: vorvertragliche Maßnahmen auf eure Anfrage (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an der Missbrauchsverhinderung (Art. 6 Abs. 1 lit. f DSGVO).
• API-Nutzung: Wir speichern den verwendeten Schlüssel und die Zahl der Aufrufe pro Monat. Bei der Anzeigenbewertung speichern wir weder die Anzeige noch die vom Unternehmen gesendeten Verkäuferdaten.

Ein Händler oder eine Werkstatt mit API-Schlüssel kann das Fahrrad registrieren, das er dir verkauft oder repariert.

• Daten, die der Händler sendet: deine E-Mail, die Daten und Seriennummer des Fahrrads, bis zu drei Foto-Links und seine interne Referenz.
• Was wir tun: Wir senden dir eine E-Mail mit einem persönlichen Einmal-Link, der nach 30 Tagen abläuft. Das Fahrrad kommt nur in deine Garage, wenn du es mit genau dieser E-Mail annimmst. Nimmst du es nicht an, läuft der Link ab und das Fahrrad wird nicht auf deinen Namen registriert. Vom Link speichern wir nur einen verschlüsselten Hashwert.
• Zweck: dir die vom Händler angebotene Registrierung erleichtern und messen, wie viele Registrierungen über diesen Kanal kommen.
• Rechtsgrundlage: unser berechtigtes Interesse und das des Händlers, dir die Registrierung anzubieten (Art. 6 Abs. 1 lit. f DSGVO); wenn du annimmst, Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Der Händler muss dich informieren, dass er deine Daten an destolen übermittelt.

Wenn du solche Einladungen nicht erhalten willst, schreib an soporte@destolen.com.

• Nachrichten an Fahrradbesitzer: Jeder kann dem Besitzer eines registrierten Fahrrads über destolen schreiben. Wir speichern die Nachricht sowie E-Mail und IP des Absenders und leiten sie an den Besitzer weiter, ohne dessen Adresse preiszugeben. Rechtsgrundlage: das berechtigte Interesse von Absender und Besitzer, ohne Preisgabe ihrer Daten zu kommunizieren, und unseres an der Missbrauchsverhinderung (Art. 6 Abs. 1 lit. f DSGVO).
• Meldungen gefundener Fahrräder: Wenn du meldest, ein Fahrrad gefunden zu haben, speichern wir deine Angaben (Rahmennummer oder destolen-Nr., Marke, Modell, Farbe, Ort, Datum, Beschreibung und Fotos), dein Nutzerkonto und, falls angegeben, deinen Namen, deine E-Mail und Telefonnummer. Passt es zu einem registrierten Fahrrad oder einer Diebstahlsmeldung mit Suche, benachrichtigen wir den Besitzer nur mit Marke, Modell, ungefährer Gegend und Datum, nie mit deinen Daten oder deiner Beschreibung. Der Besitzer kann dir über destolen schreiben: Wir leiten seine Nachricht an die E-Mail deines Kontos weiter, und du entscheidest, ob du antwortest und deine Kontaktdaten teilst. Keiner von euch sieht die E-Mail des anderen, außer er möchte sie teilen. Rechtsgrundlage: das berechtigte Interesse von Finder und Besitzer, das Fahrrad zurückzugeben, ohne ihre Daten preiszugeben, und unseres an der Missbrauchsverhinderung (Art. 6 Abs. 1 lit. f DSGVO).
• Fahrradübertragungen: Wenn du ein Fahrrad überträgst, gibst du uns die E-Mail des Empfängers. Wir senden ihm einen Link zur Annahme, der nach 7 Tagen abläuft. Rechtsgrundlage: Vertragserfüllung gegenüber dem Übertragenden (Art. 6 Abs. 1 lit. b DSGVO) und gegenüber dem Empfänger unser berechtigtes Interesse, die gewünschte Übertragung abzuschließen (Art. 6 Abs. 1 lit. f DSGVO).

Um nach gestohlenen Fahrrädern zu suchen, sammelt ein Server von uns in der Europäischen Union (Hetzner, in Helsinki, Finnland) regelmäßig Fahrradanzeigen auf öffentlich zugänglichen Gebraucht- und Anzeigenportalen.

• Anzeigendaten: Titel, Beschreibung, Preis, Fotos (oder ihre Links), Datum, Link und der Ort der Anzeige, auf etwa 11 km gerundet. Name, Pseudonym und Kennung des Verkäufers im Portal speichern wir nicht: Wir ersetzen sie durch einen pseudonymen Code (einen Hashwert, gebildet mit einem geheimen Schlüssel, den nur wir haben). Das ist eine Pseudonymisierung, keine Anonymisierung: Mit diesem Schlüssel und der Kennung im Portal lässt sich der Code wieder dem Konto des Verkäufers zuordnen, und die Anzeige selbst bleibt im Portal öffentlich. Deshalb behandeln wir diese Daten weiterhin als personenbezogene Daten, mit denselben Garantien. Speicherfristen in Abschnitt 15.
• Zweck: prüfen, ob ein angebotenes Fahrrad zu einem als gestohlen gemeldeten Fahrrad passt. Wir vergleichen die Anzeigendaten (Marke, Modell, Farbe, Seriennummer, falls angegeben…) und die Fotos, Letztere mit einem KI-Modell von OpenAI.
• Ähnliche Anzeigen: Wir berechnen einen Ähnlichkeitswert zwischen jeder Anzeige und dem Fahrrad (Daten und, wenn möglich, Fotos) und zeigen dem Besitzer in seinem Konto die Anzeigen, die seinem Fahrrad ähneln: Titel, Foto, Preis, Portal, ungefähre Gegend, Datum und Link zur öffentlichen Anzeige, nie Daten des Verkäufers. Bei den ähnlichsten schreiben wir ihm. Sie sind das Ergebnis eines automatischen Vergleichs, und der Besitzer entscheidet. Wir kontaktieren keine Verkäufer, veröffentlichen ihre Daten nicht und treffen keine Entscheidungen über sie: Der Treffer ist ein Hinweis, den der Besitzer der Polizei vorlegen kann.
• Proaktive Suche nach als gestohlen gemeldeten Fahrrädern: Zusätzlich zu den bei destolen gemeldeten Fahrrädern suchen wir in diesen Anzeigen nach Fahrrädern, die in öffentlichen Quellen als gestohlen geführt werden (Bike Index, die Liste gestohlener Fahrräder der Mossos d'Esquadra und öffentliche Plattformen für gestohlene Fahrräder). Der Abgleich ist automatisch: Stimmt die Rahmennummer einer Anzeige mit der eines Fahrrads überein, das in diesen Quellen als gestohlen geführt wird (eine Ähnlichkeit, kein Beweis), können wir die Person, die das Fahrrad sucht (über die Quelle selbst), die Polizei oder das Portal der Anzeige benachrichtigen – nur mit dem Link zur Anzeige und der öffentlichen Referenz des Diebstahls, nie mit personenbezogenen Daten des Verkäufers; den Verkäufer kontaktieren wir nicht.
• Verkaufssignale: Um Muster des Weiterverkaufs zu erkennen, analysiert das Team die Anzeigen der letzten 90 Tage jedes Verkäuferkontos, das nur mit einem pseudonymen Code gekennzeichnet ist. Es ist ein internes Werkzeug: Es wird niemandem außerhalb des Teams gezeigt und entscheidet nichts allein.
• Rechtsgrundlage: das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO) der Diebstahlsopfer, ihre Fahrräder zurückzubekommen, und unseres, den Dienst zu erbringen, zusammen mit dem Allgemeininteresse, den Verkauf gestohlener Waren zu erschweren. Wir halten dieses Interesse für überwiegend, weil wir nur Daten verarbeiten, die der Verkäufer bereits veröffentlicht hat, nur das Nötigste, ohne sie zu veröffentlichen oder weiterzugeben, außer an den Besitzer des Fahrrads (die Anzeigen, die seins sein könnten) und, wenn gesetzlich vorgeschrieben, an Behörden.
• Woher die Daten stammen: aus den Portalen und Websites für Gebrauchtanzeigen in dieser Liste, die wir aktuell halten.
• Deine Rechte als Verkäufer: Du kannst dieser Verarbeitung widersprechen oder deine übrigen Rechte ausüben, indem du an soporte@destolen.com mit dem Link zur Anzeige schreibst. Da wir Verkäufer nicht kontaktieren, informieren wir sie über diese Erklärung.

Derzeit beobachten wir nur Fahrradanzeigen: Anzeigen von E-Scootern beobachten wir nicht und wir vergleichen ihre Fotos nicht mit Anzeigen.

Aus Diebstahlmeldungen, Fahrradregistrierungen und öffentlichen Quellen (etwa den Listen der Mossos d'Esquadra und von Bike Index) erstellen wir Statistiken über Fahrraddiebstähle: meistgestohlene Marken und Modelle, Gegenden, Fahrradtypen, Schlösser und ähnliche Daten. Einige veröffentlichen wir, etwa Die meistgestohlenen Fahrräder und die Diebstahlkarte, und veröffentlichen keine Zahl, die auf weniger als 10 Fällen beruht, damit kein einzelner Fall erkennbar ist.

Diese Statistiken sind ein wichtiger Teil unseres Geschäfts: Wir können sie mit Dritten wie Versicherern, Händlern, Herstellern oder Behörden teilen oder an sie verkaufen, stets aggregiert und anonymisiert, ohne eine Person zu identifizieren oder identifizierbar zu machen. Wir verkaufen keine personenbezogenen Daten.

• Rechtsgrundlage: für die Erstellung anonymisierter Statistiken mit den für den Dienst nötigen Daten unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), ein mit dem Erhebungszweck vereinbarer Zweck (Art. 6 Abs. 4 DSGVO). Die optionalen Daten deines Fahrrads werden nur genutzt, wenn du zugestimmt hast (Abschnitt 3).
• Anonymisierte Statistiken sind keine personenbezogenen Daten mehr.
• Anonyme Statistiken beim Löschen: Erreichen Daten das Ende ihrer Aufbewahrungsfrist (Abschnitt 15), zählen wir sie in manchen Fällen vor dem Löschen, ohne etwas, das jemanden identifizieren könnte: unbezahlte oder verworfene Meldungen (Marke, Modell, Typ, Farbe, Provinz und Monat), die Fahrräder von Konten, die wegen Inaktivität gelöscht werden (Marke, Modell, Typ und Provinz), und Abfragen der Seriennummern-Prüfung (Marke, Provinz falls bekannt, Tag und Ergebnis). Auch aus diesen Zählungen veröffentlichen wir keine Zahl mit weniger als 10 Fällen.

• Support: Wenn du uns schreibst, nutzen wir deine Daten für die Antwort. Rechtsgrundlage: Vertragserfüllung oder, wenn du kein Nutzer bist, unser berechtigtes Interesse, dir zu helfen (Art. 6 Abs. 1 lit. b und f DSGVO).
• Sicherheit: Wir protokollieren technische Daten (IP, Zeitpunkte, Fehler und Verwaltungsaktionen), um den Dienst zu schützen, Missbrauch zu begrenzen und Störungen zu beheben. Rechtsgrundlage: unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
• Nutzungsstatistik der Website: Wir zählen Besuche der öffentlichen Seiten und einige Schritte des Dienstes (Fahrradprüfungen und ihr Ergebnis, begonnene und bezahlte Diebstahlmeldungen, registrierte Fahrräder, abgeschlossene Tarife, Unternehmensanfragen und Sprachwechsel) mit Umami, betrieben von BBRAVE SENTINEL, S.L. auf seinem Server in der Europäischen Union (Hetzner, Helsinki, Finnland). Ohne Cookies und ohne dauerhafte Kennungen. Deine IP speichern wir nicht: Sie wird nur im Moment verwendet, um Land, Region und Stadt zu ermitteln und einen verschlüsselten Besuchscode zu berechnen, der sich täglich ändert, und dann verworfen. Deine E-Mail, dein Konto, Seriennummern oder Kennungen von Fahrrädern oder Meldungen senden wir nie. Gespeichert werden die Seite, die verweisende Domain, Art von Browser, System und Gerät, Bildschirmgröße, Sprache und dieser ungefähre Standort. Bittet dein Browser um „Do Not Track“, wird nichts gesendet. Rechtsgrundlage: unser berechtigtes Interesse, zu verstehen, wie die Website genutzt wird, um sie zu verbessern (Art. 6 Abs. 1 lit. f DSGVO); du kannst widersprechen, indem du „Do Not Track“ aktivierst. Mehr in der Cookie-Richtlinie.

Wir treffen keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen. Der Ähnlichkeitswert (mit Hilfe künstlicher Intelligenz berechnet) ordnet nur die Anzeigen, die wir dem Besitzer des Fahrrads zeigen: Er entscheidet nichts über niemanden. Der Besitzer entscheidet, ob eine Anzeige sein Fahrrad ist, und geht gegebenenfalls zur Polizei; wir kontaktieren den Verkäufer nicht und ergreifen keine Maßnahme ihm gegenüber. Die Risikobewertung von Anzeigen der Business-API ist ein Richtwert: Sie unterstützt die Entscheidung des Unternehmens und ist kein Urteil.

• Konto: solange du es hast. Verlangst du die Löschung, löschen wir die Daten, außer denen, die wir zur Erfüllung gesetzlicher Pflichten gesperrt aufbewahren müssen. Nutzt du es 3 Jahre lang nicht, benachrichtigen wir dich per E-Mail; meldest du dich in den folgenden 30 Tagen nicht an, löschen wir es zusammen mit deinen registrierten Fahrrädern, ihren Fotos und Zertifikaten. Vorher zählen wir deine Fahrräder anonym (Marke, Modell, Typ und Provinz). Ist eines davon als gestohlen gemeldet, erscheint es in der Prüfung weiterhin als gestohlen, ohne Daten von dir.
• Registrierte Fahrräder, Fotos und Zertifikat: solange sie in deiner Garage sind bzw. bis du sie oder dein Konto löschst.
• Suche: dauert 30 Tage ab Aktivierung (30 weitere, wenn die Garantie greift). Der Link des Ortungsgeräts wird gelöscht, wenn die Suche endet. Vom Team verworfene oder als «nicht mein Fahrrad» markierte Treffer werden 90 Tage nach Ende der Suche gelöscht. Der Rest (Meldung, Treffer und ihr Ergebnis) wird 2 Jahre nach dem Ende anonymisiert: Wir entfernen dein Benutzerkonto, deine E-Mail-Adresse, die Fotos und den genauen Ort; übrig bleiben Marke, Modell, Provinz, Daten und Ergebnis.
• Gemeldete Treffer ohne Antwort: 14 Tage nach der Benachrichtigung werden sie als «keine Antwort» markiert (nicht gelöscht); du kannst später antworten.
• Ähnliche Anzeigen: Die, die du nicht markierst oder ausblendest, werden 180 Tage nach ihrer Erkennung gelöscht; die, die du dir merkst oder als „Das ist mein Fahrrad“ oder zurückerhalten markierst, 1 Jahr nach der Markierung, und bis dahin bewahren wir auch die überwachte Anzeige auf.
• Unbezahlte oder verworfene Meldungen: werden dir 30 Tage unter «Mein Diebstahl» angezeigt und du kannst sie verwerfen. 90 Tage nach Erstellung oder Verwerfen löschen wir sie samt Fotos; es bleibt nur eine anonyme Zählung (Marke, Modell, Typ, Farbe, Provinz und Monat). Das Fahrrad in deiner Garage bleibt unberührt.
• Registrierungen durch Händler (Vorregistrierungen): der Link läuft nach 30 Tagen ab. Nimmst du sie nicht an, löschen wir 30 Tage nach Ablauf (oder Stornierung) deine E-Mail-Adresse, die Fotos, die Referenz des Händlers und die Seriennummern; übrig bleiben Händler, Marke, Monat und Status.
• Offene Übertragungen: werden nach 7 Tagen gelöscht, wenn sie nicht angenommen werden.
• Anonyme Nachrichten: gelesene werden nach 90 Tagen gelöscht, ungelesene nach 12 Monaten.
• Meldungen «Ich habe ein Fahrrad gefunden»: die Meldung (was du schreibst, deine Kontaktdaten und die Fotos) wird aufbewahrt, solange sie offen ist; passt sie zu keinem Fahrrad, wird sie nach 180 Tagen geschlossen. Wir löschen sie samt Fotos 180 Tage nach dem Schließen (weil der Eigentümer benachrichtigt, die Meldung verworfen wurde oder abgelaufen ist) und in jedem Fall 360 Tage nach dem Absenden. Nachrichten zwischen dem Eigentümer und der Person, die das Fahrrad gefunden hat, werden nach denselben Fristen gelöscht, gerechnet ab der letzten Nachricht.
• Suchmeldungen zum Teilen: Sobald eine Suchmeldung deaktiviert wird (von dir, wenn du das Fahrrad zurückbekommst oder wenn die Suche endet), zeigt die Seite keine Daten des Fahrrads mehr und wir löschen das veröffentlichte Foto sofort; 30 Tage später löschen wir den Rest (die Suchmeldung, deine Einwilligung und die Zähler). Wenn du dein Konto löschst, werden sie sofort gelöscht.
• Anfragen an den Support (Hilfe- und Kontaktformular): dein Name, deine E-Mail-Adresse und deine Nachricht werden 12 Monate nach der letzten Antwort oder Änderung gelöscht.
• Nachrichten von Geschäften und Werkstätten zu deinem Fahrrad (API): die Nachricht, deine Antwort und die E-Mail-Adresse des Geschäfts werden 180 Tage nach der letzten Nachricht oder Antwort gelöscht.
• Einladungscodes: Wenn du einen Code deines Vereins oder deiner Gruppe verwendest, speichern wir, welchen Code du verwendet hast, das Datum und deine E-Mail-Adresse. Die E-Mail-Adresse bleibt gespeichert, solange dein Konto besteht; wenn du es löschst (oder wir es wegen Inaktivität löschen), entfernen wir deine E-Mail-Adresse und deinen Nutzer aus der Einlösung, und es bleiben nur das Datum und der Code. 12 Monate nach Ablauf des Codes löschen wir die E-Mail-Adressen aller Einlösungen.
• Entwürfe in deinem Browser: Was du bei Meldung oder Kauf unvollständig lässt, wird nach 7 Tagen automatisch gelöscht.
• Überwachte Anzeigen und Verkäuferdaten: Anzeigen ohne Treffer werden 60 Tage nach dem letzten Mal gelöscht, an dem wir sie veröffentlicht gesehen haben; Anzeigen hochwertiger Fahrräder (Anzeigenpreis oder üblicher Marktpreis dieses Modells ab 2.000 €) nach 120 Tagen, damit wir teure Fahrräder erkennen, die eine Zeit lang zurückgehalten und später oder in einem anderen Portal erneut angeboten werden. Anzeigen mit bestätigtem Treffer bleiben, solange die Suche läuft, und 1 Jahr darüber hinaus; danach löschen wir Link, Preis und Fotos der Anzeige, und nur das Ergebnis mit seinen Daten bleibt. Anzeigen mit einem Treffer, der auf Prüfung wartet, bleiben, solange die Suche läuft (mindestens aber die üblichen 60 bzw. 120 Tage); wartende Treffer werden gelöscht, wenn die Suche endet. Wird der Treffer verworfen, gilt für die Anzeige die normale Frist. Verlangen es ein Gericht, die Polizei oder eine Beschwerde, bewahren wir eine Anzeige gesperrt so lange wie nötig auf.
• Funde der proaktiven Suche (in öffentlichen Quellen als gestohlen gemeldete Fahrräder, die in einer Anzeige auftauchen, Abschnitt 11): Solange ein Fund auf Prüfung wartet oder bestätigt, aber noch nicht gemeldet ist, bewahren wir ihn und seine Anzeige auf (derzeit ohne Höchstfrist). Verwirft das Team ihn, löschen wir den Fund 90 Tage nach der Prüfung, und für die Anzeige gilt die normale Frist. Benachrichtigen wir jemanden, bewahren wir die Anzeige 1 Jahr ab der Benachrichtigung und den Fund (mit dem Link der Anzeige) 2 Jahre auf; danach anonymisieren wir ihn: Wir entfernen die Anzeige und den Verweis auf den Diebstahl, und nur Quelle, Portal, Art des Treffers, Daten und Ergebnis bleiben.
• Seriennummern-Prüfung: IP-Adresse und Browserdaten werden nach 90 Tagen gelöscht. Vorher zählen wir die Abfragen jedes Tages anonym (Marke, Provinz falls bekannt, Tag und Ergebnis).
• Unternehmensanfragen (API-Formular): abgelehnte oder unbeantwortete Anfragen werden 12 Monate nach dem letzten Kontakt oder Statuswechsel gelöscht.
• Nutzung der API: das Protokoll jedes Aufrufs 13 Monate; die monatliche Zählung pro Schlüssel 6 Jahre.
• Technische und Sicherheitsdaten: Audit-Protokolle 90 Tage; Sicherheitsereignisse 12 Monate; Sendelimits für E-Mails 7 Tage.
• Zahlungen und Rechnungen: 6 Jahre (Handelsunterlagen; Steuerunterlagen verjähren nach vier). Stripe bewahrt die Zahlungsdaten nach seinen eigenen Regeln auf.
• Einwilligungen: Datum und Textversion, solange dein Konto besteht, und 3 Jahre darüber hinaus.
• Anonymisierte Statistiken: unbefristet, da sie keine personenbezogenen Daten sind. Wir veröffentlichen keine Zahl, die auf weniger als 10 Fällen beruht.
• Warteliste nach Land: bis wir dir mitteilen, dass wir in deinem Land suchen, bis du uns bittest, dich zu entfernen, oder bis du dein Konto löschst.
• Verkäufe in andere EU-Länder: Wenden wir die einzige Anlaufstelle (OSS) der Mehrwertsteuer an, werden die Daten dieser Verkäufe (Land, Datum, Betrag und Mehrwertsteuer) 10 Jahre aufbewahrt, wie es das EU-Recht verlangt.

Wir verkaufen keine personenbezogenen Daten. Wir nutzen diese Anbieter (Auftragsverarbeiter) vertraglich gebunden und nur zur Erbringung des Dienstes:

• Google (Firebase und Google Cloud): Konten (Firebase Authentication), Datenbank der Website, Fotos und Dateien, Webhosting und Serverfunktionen, die in der Region europe-west1 (Belgien) laufen. Firebase Authentication ist ein globaler Google-Dienst und kann Daten außerhalb des Europäischen Wirtschaftsraums, in den USA, verarbeiten.
• Google Cloud Vision: sucht über seinen Zugangspunkt in der Europäischen Union im Web nach bis zu 3 Fotos deines Fahrrads, solange du eine aktive Suche hast, um Seiten zu finden, auf denen sie erscheinen. Es erhält nur die Fotos des Fahrrads, nie deine Daten.
• Hetzner Online: Server in Helsinki (Finnland) mit der Fahrrad- und Anzeigendatenbank, der Anzeigenüberwachung und der Nutzungsstatistik der Website (Umami, von uns selbst betrieben).
• Amazon Web Services (Amazon SES): E-Mail-Versand aus der Region Irland (eu-west-1).
• OpenAI (OpenAI Ireland Ltd., mit unterzeichnetem Auftragsverarbeitungsvertrag): Analyse und Vergleich von Fotos von Fahrrädern und Anzeigen. Die Daten können in den USA verarbeitet werden (Abschnitt 17) und werden nicht zum Training der Modelle verwendet.
• Stripe (Stripe Payments Europe, Ltd., Irland): Zahlungen und Abonnements.
• ScraperAPI (USA): Überwachungsinfrastruktur, über die Anfragen an Anzeigenportale laufen.

Weitere Empfänger:

• Der Besitzer des Fahrrads (mit Suche oder Schutz) sieht den Link und die öffentlichen Daten der Anzeigen, die seinem Fahrrad ähneln (Titel, Foto, Preis, Portal, ungefähre Gegend und Datum), nie Daten des Verkäufers.
• Käufer und Unternehmen, die eine Seriennummer prüfen, erhalten nur das in Abschnitt 7 und 8 Beschriebene, nie Daten des Besitzers.
• Behörden, Gerichte und Polizei, wenn ein Gesetz es verlangt oder du uns darum bittest.
• Dritte, die Statistiken erhalten: nur aggregierte und anonymisierte Daten (Abschnitt 12).

Weitergabe an Dritte (Einstellungen → Datenschutz). Das sind Schalter, die standardmäßig ausgeschaltet sind und die du jederzeit ändern kannst; wir speichern das Datum jeder Änderung und die Version des Textes. Keiner davon gibt Dritten deinen Namen, deine E-Mail-Adresse, Telefonnummer oder Anschrift: Wenn dich jemand kontaktieren möchte, schreiben wir dir selbst. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

• Polizei: Wenn du eine Anzeige als „Das ist mein Fahrrad“ markierst, kannst du unter „Mein Diebstahl“ oder „Meine Fahrzeuge“ einen Bericht für die Polizei herunterladen, mit der Anzeige, der Rahmennummer, den Fotos des Fahrrads sowie Link, Fotos und Angaben der Anzeige. Du hast ihn immer, egal ob der Schalter an ist. Ist er an, darf destolen diesen Bericht einer Polizeibehörde geben, die ihn unter Angabe deiner Anzeige schriftlich anfordert; sonst geben wir ihn nur heraus, wenn ein Gesetz oder ein Gericht uns dazu verpflichtet.
• Händler und Werkstätten: Prüft ein Händler oder eine Werkstatt, die API-Kunde ist, die Rahmennummer deines registrierten, nicht als gestohlen gemeldeten Fahrrads, benachrichtigen wir dich per E-Mail, und die API teilt ihnen mit einer Referenz mit, dass sie uns um eine Kontaktvermittlung bitten können. Wir geben keine Daten von dir weiter.
• Versicherer: Prüft ein Versicherer, der API-Kunde ist, die Rahmennummer deines registrierten Fahrrads, teilt ihm die API mit, seit wann es bei destolen registriert ist – ohne Daten von dir. Ist dieser Schalter an, kannst du deine Fahrräder außerdem für das Angebotsprogramm der Versicherer anmelden: Angebote erhältst du über destolen, nie direkt vom Versicherer. Das Programm ist noch nicht gestartet.

Ist dein Fahrrad als gestohlen gemeldet, antwortet die API jedem API-Kunden, der seine Rahmennummer prüft, dass es als gestohlen gemeldet ist (Abschnitt 8), und wir benachrichtigen dich immer per E-Mail, egal ob die Schalter an sind, weil das zum Dienst gehört (Art. 6 Abs. 1 lit. b DSGVO). Bei Prüfungen, die eine Benachrichtigung auslösen oder die ein Versicherer sieht, speichern wir, welches Fahrrad, welches Unternehmen, wann und ob du benachrichtigt wurdest (nie die geprüfte Nummer), damit wir dich höchstens einmal am Tag pro Fahrrad und Unternehmen benachrichtigen und es nachweisen können. Fordert die Polizei es unter Angabe deiner Anzeige schriftlich an, können wir ihr sagen, welches Unternehmen dein gestohlenes Fahrrad wann geprüft hat.

Externe Dienste, die die Website lädt: Schriften werden von Google Fonts und Karten von OpenStreetMap geladen. Dabei sendet dein Browser ihnen deine IP-Adresse. Sie setzen keine destolen-Cookies (mehr dazu in der Cookie-Richtlinie).

Einige Anbieter können Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, vor allem in den USA:

• Google: Firebase Authentication (ein globaler Dienst) und Google Fonts, das deine IP-Adresse erhält, wenn dein Browser die Schriften lädt.
• OpenAI: Vergleich und Analyse von Fotos von Fahrrädern und Anzeigen. Unser Vertragspartner ist OpenAI Ireland Ltd., die die Daten an OpenAI OpCo, LLC (USA) übermitteln kann.
• Stripe: Die Zahlungen wickelt Stripe Payments Europe, Ltd. (Irland) ab, die Zahlungsdaten an Stripe, Inc. (USA) übermitteln kann.
• ScraperAPI: Über diesen Anbieter laufen die Anfragen an die Portale und die Anzeigen, die wir abrufen.

In diesen Fällen stützt sich die Übermittlung auf das EU-US-Datenschutzrahmenwerk, wenn der Anbieter zertifiziert ist, und andernfalls auf die von der Europäischen Kommission genehmigten Standardvertragsklauseln mit den jeweils angemessenen zusätzlichen Maßnahmen.

Die übrige Verarbeitung findet in der Europäischen Union statt: die Serverfunktionen von Google Cloud in der Region europe-west1 (Belgien), der E-Mail-Versand mit Amazon SES in Irland (eu-west-1) und unser Server bei Hetzner in Helsinki (Finnland) mit der Anzeigendatenbank, der Überwachung und der Nutzungsstatistik. Die Kartenkacheln von OpenStreetMap werden aus dem Vereinigten Königreich ausgeliefert, für das ein Angemessenheitsbeschluss der Europäischen Kommission besteht.

Informationen zu diesen Garantien erhältst du unter soporte@destolen.com.

Du kannst jederzeit deine Rechte auf Auskunft, Berichtigung, Löschung, Widerspruch, Einschränkung der Verarbeitung und Datenübertragbarkeit ausüben, deine Einwilligung widerrufen, ohne dass dies die frühere Verarbeitung berührt, und verlangen, keiner ausschließlich automatisierten Entscheidung unterworfen zu werden.

So geht's: Schreib an soporte@destolen.com mit dem Betreff «Protección de datos», von der E-Mail deines Kontos aus oder mit Angaben zu deiner Identifizierung. Wir antworten innerhalb von einem Monat; in komplexen Fällen kann sich die Frist um zwei Monate verlängern, worüber wir dich informieren.

Außerdem kannst du die Daten deiner Fahrräder unter «Meine Fahrzeuge» korrigieren, die Einwilligung zur Datennutzung in den Einstellungen widerrufen und dich in der E-Mail selbst von Werbung abmelden.

Wenn du meinst, dass wir deine Daten nicht korrekt behandelt haben, kannst du bei der spanischen Datenschutzbehörde (www.aepd.es) Beschwerde einlegen. Wir freuen uns, wenn du uns vorher schreibst, falls wir es lösen können.

Wir treffen angemessene technische und organisatorische Maßnahmen: verschlüsselte Verbindungen (TLS), auch zwischen unseren Servern und der Datenbank; Passwörter verwaltet von Firebase Authentication; Einmal-Links nur als verschlüsselter Hashwert gespeichert; eingeschränkter Datenzugriff; maskierte Seriennummern auf öffentlichen Seiten; und Nutzungsgrenzen gegen Missbrauch.

destolen richtet sich nicht an Kinder unter 14 Jahren, und wir erheben ihre Daten nicht wissentlich. Wenn du unter 14 bist, brauchst du die Einwilligung deiner Eltern oder Erziehungsberechtigten. Für kostenpflichtige Dienste musst du volljährig sein.

Jede neue Fassung veröffentlichen wir auf dieser Seite mit Aktualisierungsdatum. Bei wesentlichen Änderungen informieren wir dich per E-Mail oder in deinem Konto.