Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Plattform ist:

Shloce Network UG (haftungsbeschränkt)
Betreiberin der Plattform „Shloce"
vertreten durch den Geschäftsführer Nils Plaha
Amtsgericht Darmstadt, HRB 109826
Hardbergstraße 77
69518 Abtsteinach
E-Mail: support@shloce.com

2. Hosting und Aufruf der Website

Die Plattform (Website und Server-Anwendung) läuft auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, in Rechenzentren in der EU. Hetzner verarbeitet die Daten in unserem Auftrag (Auftragsverarbeitung nach Art. 28 DSGVO). Beim Aufruf einer Seite verarbeitet der Server technisch notwendig deine IP-Adresse, den Zeitpunkt des Zugriffs, die angefragte Adresse und die Browser-Kennung (User-Agent), um die Seite auszuliefern und die Plattform vor Missbrauch zu schützen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und funktionsfähigen Auslieferung).

Unsere Anwendung schreibt keine Zugriffsprotokolle mit IP-Adressen. Zum Schutz vor Überlastung und automatisierten Angriffen zählen wir Anfragen je IP-Adresse kurzzeitig (für eine Minute) im Arbeitsspeicher (Begrenzung der Anfragen). Technische Protokolle der vorgeschalteten Server-Infrastruktur werden nur so lange gespeichert, wie es für Betrieb und Sicherheit nötig ist, in der Regel wenige Tage.

3. Konto, Registrierung und Anmeldung

Registrierung und Anmeldung laufen über „Mit Google fortfahren" (OAuth). Legst du in deinem Profil zusätzlich ein Passwort fest, speichern wir es nur als nicht umkehrbare Prüfsumme (Hash). Dabei meldest du dich bei Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, an. Google übermittelt uns anschließend deinen Namen, deine E-Mail-Adresse und deine Google-Konto-ID — weitere Daten aus deinem Google-Konto erhalten wir nicht. Je nach Rolle fragen wir zusätzlich ab, ob du als Verbraucher oder Unternehmer buchst, sowie deine Geschäftskategorie. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag über die Nutzung der Plattform). Für die Anmeldung bei Google selbst ist Google verantwortlich; Details findest du in der Datenschutzerklärung von Google (policies.google.com/privacy).

Zum Schutz deines Kontos schicken wir dir einen Bestätigungscode per E-Mail: bei der ersten Anmeldung, wenn deine letzte Bestätigung länger als 30 Tage zurückliegt oder du länger als 30 Tage nicht aktiv warst, sowie vor bestimmten sicherheitskritischen Aktionen in deinem Konto. Der Code ist 10 Minuten gültig, wird bei uns nur als Prüfsumme (Hash) gespeichert und einen Tag nach Ablauf gelöscht.

Für jede Anmeldung legen wir eine Sitzung an. Dazu speichern wir Zeitpunkte (Anmeldung, letzte Nutzung, Ablauf), die Browser-Kennung (User-Agent) und eine mit einem geheimen Schlüssel gebildete Prüfsumme (HMAC-Hash) deiner IP-Adresse — die IP-Adresse selbst speichern wir nicht. Sicherheitsrelevante Ereignisse (z. B. Anmeldung, Abmeldung, Versand und Bestätigung von Codes, erkannte Missbrauchsversuche) protokollieren wir mit Zeitpunkt, Browser-Kennung und IP-Prüfsumme. Deine aktiven Sitzungen siehst du in deinem Profil und kannst sie dort beenden. In der Benutzerverwaltung sieht die Administration zu jedem Konto den Zeitpunkt der letzten Anmeldung, den daraus abgeleiteten Gerätetyp, Browser und das Betriebssystem, den Zeitpunkt der letzten Aktivität und die Zahl der aktiven Sitzungen sowie den Anmeldeverlauf; die IP-Adresse ist dabei nicht sichtbar. Das dient dem Support, der Erkennung missbräuchlicher Zugriffe und der Bearbeitung von Konto- und Löschanfragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit der Konten und der Plattform). Sitzungen laufen nach spätestens 30 Tagen ab und werden 7 Tage nach Ablauf oder Abmeldung gelöscht, Sicherheitsereignisse nach 365 Tagen.

4. Profil, Buchungen, Rechnungen und Support

Für die Nutzung der Plattform verarbeiten wir die Daten, die du in deinem Profil und bei Buchungen angibst: Name, E-Mail-Adresse, optional Telefonnummer, Rechnungsanschrift und ggf. USt-IdNr., deine Buchungen (Werbefläche, Zeitraum, Preis, Status) sowie die daraus erstellten Rechnungen. Als Partner verarbeiten wir zusätzlich die Angaben aus deinem Partner-Antrag, deine Werbeflächen und deine Steuerangaben. Was für die Durchführung einer Buchung nötig ist (z. B. dein Name, dein Werbemittel und die Rechnung), sieht auch der Anbieter der gebuchten Werbefläche. Support-Anfragen und Nachrichten speichern wir, um dein Anliegen zu bearbeiten; Benachrichtigungen zeigen wir dir in der Plattform an. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Rechnungen und deren Aufbewahrung zusätzlich Art. 6 Abs. 1 lit. c DSGVO.

Bewertungen, die du nach einer Buchung zu einer Werbefläche abgibst (Sterne und optionaler Kommentar), werden auf der Seite der Werbefläche öffentlich zusammen mit deinem Vornamen und dem ersten Buchstaben deines Nachnamens (z. B. „Max M.“) angezeigt. Wird dein Konto gelöscht, entfernen wir den Kommentar; die Sternebewertung bleibt anonym erhalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an glaubwürdigen, nachvollziehbaren Bewertungen). Möchtest du eine Bewertung entfernen lassen, schreib uns.

Meldung an das Bundeszentralamt für Steuern (Partner): Als digitale Plattform sind wir nach dem Plattformen-Steuertransparenzgesetz (PStTG, EU-Richtlinie DAC7) verpflichtet, von Partnern Name bzw. Firma, Anschrift, Geburtsdatum, Steuer-Identifikationsnummer bzw. Wirtschafts-ID, USt-IdNr., Handelsregisternummer und – bei Sitz in einem anderen EU-Staat – die IBAN zu erheben und zusammen mit den je Quartal gezahlten Vergütungen und einbehaltenen Provisionen jährlich an das Bundeszentralamt für Steuern (BZSt), An der Küppe 1, 53225 Bonn, zu melden. Das BZSt kann die Daten an die Steuerbehörden anderer EU-Staaten übermitteln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit §§ 13, 14, 17 PStTG. Wir bewahren diese Daten 10 Jahre nach Ablauf des Meldezeitraums auf (§ 24 PStTG). Die Angaben erscheinen nicht auf Rechnungen; die Steuer-ID wird nur für die Meldung verwendet.

5. Zahlungen und Auszahlungen (Stripe)

Zahlungen wickeln wir über Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland, ab. Karten- und Kontodaten gibst du direkt bei Stripe ein; wir erhalten von Stripe nur Angaben wie Zahlungsstatus, Zahlungsart und die letzten Ziffern. Für gespeicherte Zahlungsmethoden legen wir bei Stripe ein Kundenkonto mit deinem Namen und deiner E-Mail-Adresse an. Partner erhalten ihre Auszahlungen über Stripe Connect: Beim Einrichten der Auszahlungen legen wir für dich ein Stripe-Konto mit deiner E-Mail-Adresse an; Identitäts-, Adress- und Bankdaten gibst du anschließend direkt bei Stripe ein, das diese aufgrund gesetzlicher Pflichten (z. B. zur Geldwäscheprävention) prüft. Für diese Prüfungen und die Zahlungsabwicklung ist Stripe teilweise selbst verantwortlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten). Weitere Informationen findest du in der Datenschutzerklärung von Stripe.

6. Hochgeladene Werbemittel und Fotos (Cloudflare R2)

Hochgeladene Werbemittel und Fotos von Werbeflächen speichern wir im Speicherdienst Cloudflare R2 der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, im Rahmen einer Auftragsverarbeitung (Art. 28 DSGVO). Die Dateien werden über unseren Server hochgeladen. Beim Anzeigen werden Bilder und Videos teilweise direkt von Cloudflare an deinen Browser ausgeliefert; dabei erhält Cloudflare deine IP-Adresse und die Browser-Kennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Auslieferung über Cloudflare Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer schnellen, zuverlässigen Auslieferung). Zur Übermittlung in die USA siehe Abschnitt 11. Wir löschen die Dateien, sobald sie für die Buchung, deren Abrechnung und etwaige Nachweise nicht mehr benötigt werden.

7. E-Mail-Versand (Brevo)

System-E-Mails — z. B. Anmeldecodes, Buchungsbestätigungen, Rechnungen und Hinweise zu deinem Konto — versenden wir über den Versanddienst Brevo (Sendinblue GmbH, Köpenicker Straße 126, 10179 Berlin, Deutschland) im Rahmen einer Auftragsverarbeitung (Art. 28 DSGVO). Dabei werden deine E-Mail-Adresse, dein Name und der Inhalt der jeweiligen E-Mail verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Sicherheits-E-Mails (z. B. Anmeldecodes) zusätzlich Art. 6 Abs. 1 lit. f DSGVO.

8. Cookies und lokale Speicherung

Beim ersten Besuch fragen wir über ein Cookie-Banner, welche Kategorien du erlaubst: „Technisch notwendig“ (immer aktiv), „Statistik“ und „Marketing“. Deine Auswahl kannst du jederzeit über „Cookie-Einstellungen“ im Seitenfuß ändern oder widerrufen (Art. 7 Abs. 3 DSGVO). Technisch notwendige Cookies und Browser-Speichereinträge setzen wir ohne Einwilligung ein, weil sie für den Betrieb der Plattform oder eine von dir gewünschte Funktion erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG). Tracking- oder Werbe-Cookies setzen wir nicht; Marketing-Dienste von Drittanbietern sind derzeit nicht im Einsatz und würden nur mit deiner Einwilligung geladen. Das Zugriffstoken deiner Anmeldung liegt nur im Arbeitsspeicher des Browsers und wird nicht dauerhaft gespeichert. Im Einzelnen:

• „shloce_rt" (Cookie, nicht per JavaScript lesbar): hält dich angemeldet und wird nur an unsere Anmelde-Schnittstelle gesendet; Laufzeit höchstens 30 Tage, wird beim Abmelden gelöscht.
• „shloce_csrf" (Cookie): Schutz vor untergeschobenen Anfragen (CSRF), an deine Sitzung gebunden; Laufzeit wie die Sitzung, höchstens 30 Tage.
• „shloce_oauth" (Cookie, nicht per JavaScript lesbar): sichert die Anmeldung über Google ab (Zustandswert und PKCE-Prüfwert); Laufzeit höchstens 10 Minuten, wird nach der Rückkehr von Google sofort gelöscht.
• „shloce_has_session" (Cookie): Hinweis, dass eine Anmeldung bestehen könnte, damit die Seite dich richtig weiterleitet; enthält keine Kennung; Laufzeit 30 Tage, wird beim Abmelden gelöscht.
• „shloce_locale" (Cookie): merkt sich die Sprache der Website (aus deiner Browser-Einstellung oder deiner Auswahl); Laufzeit 1 Jahr.
• „shloce_consent" (Cookie): speichert deine Auswahl im Cookie-Banner (Statistik/Marketing erlaubt oder nicht) und den Zeitpunkt der Entscheidung; Laufzeit 12 Monate, danach fragen wir erneut.
• „shloce_pending_verification" (sessionStorage): merkt sich während der Anmeldung den offenen Bestätigungsvorgang (Vorgangs-ID und maskierte E-Mail-Adresse); wird nach der Bestätigung bzw. beim Schließen des Tabs gelöscht.
• „shloce.sidebar.collapsed" (localStorage): merkt sich, ob du die Seitenleiste eingeklappt hast; bleibt gespeichert, bis du ihn im Browser löschst.
• „shloce.payoutActiveBannerSeenAt" (localStorage, nur Partner): Zeitpunkt, zu dem dir der Hinweis „Auszahlungen aktiv" zuerst angezeigt wurde, damit er nach 3 Tagen ausgeblendet wird; bleibt gespeichert, bis du ihn im Browser löschst.

Auf den Bezahlseiten binden wir Stripe.js von Stripe ein. Stripe kann dort eigene Cookies bzw. Kennungen zur Betrugsprävention setzen und Geräteinformationen erfassen; das ist für eine sichere Zahlung erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b und f DSGVO). Die Reichweitenmessung (Abschnitt 9) kommt ohne Cookies und ohne Speicherung in deinem Browser aus und läuft nur, wenn du „Statistik“ erlaubst.

9. Reichweitenmessung (ohne Cookies)

Um zu verstehen, wie viele Menschen die Plattform nutzen und welche Seiten gefragt sind, messen wir Seitenaufrufe selbst — ohne Cookies, ohne Drittanbieter und ohne Speicherung in deinem Browser. Beim Aufruf einer Seite erfassen wir serverseitig aus der Anfrage: die aufgerufene Adresse (einschließlich etwaiger Kampagnen-Parameter wie „utm_source“), die verweisende Seite (Referrer), Gerätetyp, Browser und Betriebssystem (aus der Browser-Kennung), die Sprache (aus der Spracheinstellung deines Browsers) sowie ein grobes Herkunftsland. Aus deiner IP-Adresse und der Browser-Kennung bilden wir zusammen mit einem zufälligen Tages-Geheimwert eine Prüfsumme (Hash). Dieser Geheimwert liegt nur im Arbeitsspeicher des Servers und wird beim Tageswechsel verworfen. Die Prüfsumme lässt sich deshalb nicht auf deine IP-Adresse zurückrechnen, und Besuche können nicht über mehrere Tage hinweg wiedererkannt werden. Die IP-Adresse selbst wird nicht gespeichert. Bei Suchen nach Werbeflächen zählen wir außerdem die Suchangaben (Ort, Umkreis, Kategorie, Stichwort) und die Anzahl der Treffer, um zu sehen, wo das Angebot noch Lücken hat.

Die Reichweitenmessung findet nur statt, wenn du im Cookie-Banner der Kategorie „Statistik“ zustimmst; Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Ohne Zustimmung oder bei „Nur notwendige“ senden wir keine Messdaten. Du kannst die Einwilligung jederzeit über „Cookie-Einstellungen“ im Seitenfuß widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Die Daten werden spätestens nach 400 Tagen gelöscht.

Bist du mit einem Konto angemeldet, speichern wir zusätzlich — getrennt von der Reichweitenmessung und ohne einzelne Seitenaufrufe — zu deinem Konto, an welchen Tagen du die Plattform genutzt hast (erste und letzte Aktivität des Tages, Anzahl der Anmeldungen), sowie Zeitpunkt und Browser-Kennung deiner Anmeldungen (aus den Sicherheitsereignissen, Abschnitt 3). Das dient der Kontosicherheit und der Auswertung, ob Kundinnen und Kunden wiederkommen; Zugriff hat nur die Administration. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Tagesdaten werden nach 400 Tagen gelöscht, die Anmeldeprotokolle nach 365 Tagen. Beim Löschen des Kontos werden Tagesdaten und Anmeldeprotokolle sofort gelöscht.

10. Adresseingabe, Standortdaten und Prüfung von USt-IdNrn.

Damit Anschriften schneller und fehlerfrei eingegeben werden, schlagen wir in Formularen (Partner-Antrag, Partner-Einstellungen, Rechnungsanschrift im Checkout) Orte und Straßen vor. Dazu übermittelt unser Server die bereits eingetippten Adressteile (Straße, Hausnummer, Postleitzahl, Ort) und das gewählte Land an folgende Dienste: Geoapify (KEPTAGO LTD, Paphos, Zypern) für Straßenvorschläge, ersatzweise Photon (komoot GmbH, Deutschland); für die Zuordnung Postleitzahl → Ort nur die Postleitzahl und das Land an Zippopotam.us (Daten von GeoNames). Die Anfragen laufen über unseren Server, deine IP-Adresse, dein Name und deine E-Mail-Adresse werden dabei nicht übermittelt. Die Adressdaten stammen aus OpenStreetMap (© OpenStreetMap-Mitwirkende). Standorte von Werbeflächen wandeln wir über Nominatim (OpenStreetMap Foundation, Vereinigtes Königreich) in Koordinaten für die Umkreissuche um.

Angegebene USt-Identifikationsnummern prüfen wir über das Mehrwertsteuer-Informationsaustauschsystem VIES der Europäischen Kommission; übermittelt werden nur Ländercode und Nummer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung, korrekte Rechnungsstellung) sowie Art. 6 Abs. 1 lit. c DSGVO (umsatzsteuerliche Pflichten), für die Eingabehilfe Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an vollständigen, korrekten Anschriften). Die Vorschläge sind freiwillig — du kannst deine Anschrift jederzeit selbst eintippen.

11. Übermittlung in Drittländer

Einige Dienstleister haben ihren Sitz in den USA oder können von dort auf Daten zugreifen: Google (Google LLC als Muttergesellschaft von Google Ireland, Anmeldung), Cloudflare, Inc. (Speicherung und Auslieferung von Dateien) sowie Stripe (Stripe, Inc. als Unterauftragsverarbeiter von Stripe Payments Europe). Diese Unternehmen sind nach dem EU-US Data Privacy Framework zertifiziert; die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO) und ergänzend auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Für Nominatim (Vereinigtes Königreich) gilt der Angemessenheitsbeschluss für das Vereinigte Königreich; an die Adressdienste aus Abschnitt 10 übermitteln wir nur Adressteile ohne Bezug zu deiner Person.

12. Speicherdauer, Datenexport und Löschung deines Kontos

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen; konkrete Fristen nennen wir in den jeweiligen Abschnitten.

Die Löschung deines Kontos kannst du in deinem Konto unter „Mein Profil" im Bereich „Datenschutz" mit „Konto löschen" beantragen oder per E-Mail an support@shloce.com. Wir bearbeiten Löschanträge innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Laufende oder offene Buchungen müssen vorher abgeschlossen oder storniert sein. Sind keine aufbewahrungspflichtigen Daten vorhanden, löschen wir dein Konto vollständig; andernfalls entfernen bzw. anonymisieren wir deine Profil- und Anmeldedaten. Buchungs-, Zahlungs- und Rechnungsdaten müssen wir wegen gesetzlicher Aufbewahrungspflichten (§ 147 AO, § 257 HGB) weiter aufbewahren — Buchungsbelege und Rechnungen 8 Jahre, Bücher und Jahresabschlüsse 10 Jahre. Diese Daten sperren wir für jede andere Verwendung (Art. 17 Abs. 3 lit. b DSGVO) und löschen sie nach Ablauf der Fristen.

An derselben Stelle kannst du mit „Meine Daten exportieren" jederzeit eine Kopie deiner bei uns gespeicherten Daten als JSON-Datei herunterladen (Art. 15 und Art. 20 DSGVO).

13. Deine Rechte

Du hast jederzeit das Recht auf:

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung deiner Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21 DSGVO)

Zur Ausübung deiner Rechte wende dich an: support@shloce.com

14. Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), Gustav-Stresemann-Ring 1, 65189 Wiesbaden.