Datenschutzerklärung

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

2. Verantwortliche Stelle

On-Local UG (haftungsbeschränkt)
Hafenweg 19
48155 Münster
Deutschland
E-Mail: info@on-local.com
Website: https://www.on-local.com

Vertreten durch Danial Sabet (Geschäftsführer). Weitere verbindliche Angaben finden Sie im On-Local-Impressum.

3. Datenerfassung auf dieser Website

Wer ist verantwortlich für die Datenerfassung?

Die Datenverarbeitung auf dieser Website erfolgt durch den Websitebetreiber. Dessen Kontaktdaten können Sie dem Impressum entnehmen.

Wie erfassen wir Ihre Daten?

Ihre Daten werden zum einen dadurch erhoben, dass Sie uns diese mitteilen. Hierbei kann es sich um Angaben bei der Registrierung, bei Buchungen, Angebotsanfragen, Ping-Einreichungen oder in einem Supportfall handeln. Anbieter übermitteln außerdem Standort-, Angebots- und Kontaktdaten.

Andere Daten werden automatisch oder nach Ihrer Einwilligung beim Besuch der Website durch unsere IT-Systeme erfasst. Das sind vor allem technische Daten (z.B. Internetbrowser, Betriebssystem oder Uhrzeit des Seitenaufrufs).

Wofür nutzen wir Ihre Daten?

Ein Teil der Daten wird erhoben, um eine fehlerfreie Bereitstellung der Website zu gewährleisten. Weitere Daten dienen Ihrem Konto, der Darstellung lokaler Angebote, der Bearbeitung von Buchungen und Anfragen sowie Support, Moderation und dem Schutz vor Missbrauch. Optionale Veröffentlichungen und Dienste richten sich nach Ihrer jeweiligen Auswahl und Einwilligung.

4. Ihre Rechte

Sie haben jederzeit das Recht, unentgeltlich Auskunft über Herkunft, Empfänger und Zweck Ihrer gespeicherten personenbezogenen Daten zu erhalten. Sie haben außerdem das Recht, die Berichtigung oder Löschung dieser Daten zu verlangen. Wenn Sie eine Einwilligung zur Datenverarbeitung erteilt haben, können Sie diese jederzeit für die Zukunft widerrufen.

Außerdem haben Sie das Recht, unter bestimmten Umständen die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen sowie ein Beschwerderecht bei der zuständigen Aufsichtsbehörde.

Unter den gesetzlichen Voraussetzungen haben Sie außerdem ein Recht auf Datenübertragbarkeit. Soweit wir Daten aufgrund berechtigter Interessen verarbeiten, können Sie aus Gründen Ihrer besonderen Situation widersprechen. Für Rechteanfragen können Sie die Datenschutz-Einstellungen Ihres Kontos oder den unten genannten Datenschutzkontakt nutzen.

5. Hosting

Wir hosten die Inhalte unserer Website bei Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA. Details entnehmen Sie der Datenschutzerklärung von Vercel.

Die Verwendung von Vercel erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Wir haben ein berechtigtes Interesse an einer möglichst zuverlässigen Darstellung unserer Website.

6. Cookies

Diese Website verwendet technisch notwendige Cookies sowie funktionale Cookies zur Verbesserung der Nutzererfahrung. Es werden keine Tracking-, Analyse- oder Werbe-Cookies eingesetzt. Für funktionale Cookies holen wir Ihre Einwilligung über unseren Cookie-Banner ein (Art. 6 Abs. 1 lit. a DSGVO). Technisch notwendige Cookies sind nach § 25 Abs. 2 TDDDG ohne Einwilligung zulässig.

Eingesetzte Cookies

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der funktionsfähigen Bereitstellung der Website).

6a. Sitzungsspeicher für ausstehende Vorgänge

Für sichere Wiederholungen nach einer unterbrochenen Antwort speichern wir im Sitzungsspeicher Ihres Browsers die Kennung und erforderlichen Angaben des noch ungeklärten Vorgangs. Dazu können eingegebene Anfrage- oder Supporttexte gehören. Nach bestätigtem Abschluss beziehungsweise bestätigter Schließung entfernen wir diesen lokalen Eintrag. Ein bloßes Neuladen der Seite entfernt ihn nicht. Diese Speicherung dient der von Ihnen angeforderten Funktion und verhindert doppelte Vorgänge; Rechtsgrundlagen sind § 25 Abs. 2 TDDDG und Art. 6 Abs. 1 lit. b DSGVO.

7. Authentifizierung (Supabase Auth)

Für die Benutzeranmeldung nutzen wir Supabase Auth von Supabase Inc. Bei der Registrierung und Anmeldung werden Ihre E-Mail-Adresse, Anmeldedaten und Sitzungsinformationen verarbeitet. Passwörter werden bei Supabase als Passwort-Hashes gespeichert. Anmelde-, Bestätigungs- und Wiederherstellungs-E-Mails werden durch die Authentifizierung bereitgestellt.

Die Anwendungsdatenbank befindet sich in der AWS-Region eu-central-1 (Frankfurt). Dieser Datenbankstandort ist keine Zusage, dass sämtliche Leistungen aller eingesetzten Dienstleister ausschließlich innerhalb der EU erbracht werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

8. Datenbank (Supabase / PostgreSQL)

Buchungs-, Profil- und Geschäftsdaten werden in einer PostgreSQL-Datenbank gespeichert, gehostet von Supabase Inc. in der AWS-Region eu-central-1 (Frankfurt, Deutschland).

Gespeichert werden insbesondere Profil- und Kontaktdaten, Buchungsdetails, Standort- und Angebotsdaten sowie eigene Anfragen und Antworten. Bei Pings und Supportfällen gehören auch Einreichungen, Einwilligungen, Meldungen, erforderliche Prüfnachweise, Bearbeitungsverlauf und Benachrichtigungsstatus dazu. Private Anfragen und Prüfunterlagen sind keine öffentlichen Angebote; ihr Zugriff richtet sich nach dem jeweiligen Vorgang und den erforderlichen Berechtigungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

9. E-Mail-Versand (Resend)

Für Transaktions-E-Mails, etwa Buchungsbestätigungen und Hinweise zu Vorgängen, nutzen wir Resend von Plus Five Five, Inc. Dabei werden Empfängeradresse, Nachrichteninhalt und erforderliche Versandmetadaten übermittelt. Rechtsgrundlage ist die Durchführung des jeweiligen Vorgangs gemäß Art. 6 Abs. 1 lit. b DSGVO; gesetzlich erforderliche Mitteilungen beruhen auf Art. 6 Abs. 1 lit. c DSGVO.

Resend speichert Daten in den USA, auch bei einer europäischen Versandregion. Die veröffentlichten Bedingungen beschreiben Standardvertragsklauseln und die Teilnahme am EU-U.S. Data Privacy Framework. Weitere Angaben zu Verarbeitung und Aufbewahrung finden Sie in den Resend-Datenverarbeitungsbedingungen und den Resend-Datenschutzhinweisen.

9a. Ehemaliges Lead-Management (Attio) – deaktiviert

Attio wurde in der Vergangenheit für Lead-Management und Anbieter-Akquise eingesetzt. Die operative Anbindung ist deaktiviert: Wir übertragen keine neuen Daten an Attio und nutzen den Dienst nicht mehr aktiv.

In unseren eigenen OL-Systemen können historische Zuordnungen sowie Synchronisations- oder Fehlerevidenz vorübergehend bestehen bleiben, bis die erforderliche Aufbewahrungs-, Retention- und Löschfreigabe dokumentiert ist. Diese historischen Bestände werden nicht erneut an Attio übertragen und nicht für einen Replay oder die Wiederaufnahme der Synchronisation verwendet.

Der aktuelle technische Stand belegt nicht abschließend, ob beim ehemaligen Dienstleister historisch gespeicherte Daten, das Attio-Konto oder sämtliche Zugangstokens bereits vollständig gelöscht beziehungsweise widerrufen wurden. Wir behaupten dies daher nicht; die abschließende Bereinigung und deren Nachweis werden gesondert geprüft und dokumentiert.

Ihre Betroffenenrechte bleiben unberührt. Auskunfts- oder Löschanfragen zu historischen Attio-Bezügen können Sie an info@on-local.com richten.

10. Caching (Upstash Redis)

Zur Beschleunigung der Website und zur Begrenzung missbräuchlicher Anfragen nutzen wir Upstash Redis. Zwischengespeicherte Daten und technische Zähler erhalten eine zweckabhängige Ablaufzeit. Solange Kennungen oder andere Zuordnungen einen Personenbezug ermöglichen, behandeln wir sie als personenbezogene Daten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an performanter Websitebereitstellung).

11. Datei-Uploads (Vercel Blob)

Hochgeladene Dateien (z.B. Profilbilder, Geschäftsfotos) werden bei Vercel Blob Storage gespeichert. Die Speicherung erfolgt auf Servern von Vercel Inc. Bei Ping-Einreichungen werden aufbereitete Bilder zunächst privat gespeichert. Erst die erforderlichen Freigaben und Kanalentscheidungen erlauben ihre Auslieferung. Eine Rücknahme der Veröffentlichung und die Bereinigung gespeicherter Bilder sind getrennte Vorgänge.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

11a. Zahlungsabwicklung (Stripe)

Für die Abwicklung von Zahlungen setzen wir den Dienst Stripe ein. Anbieter ist Stripe Payments Europe Ltd. in Irland. Stripe verarbeitet Daten je nach Leistung als Auftragsverarbeiter oder als eigenständig Verantwortlicher, etwa zur Erfüllung eigener gesetzlicher Pflichten.

Im Rahmen der Zahlungsabwicklung werden folgende Daten verarbeitet: Name, E-Mail-Adresse, Zahlungsmethode sowie Transaktionshistorie. Die Datenverarbeitung kann auch außerhalb der EU erfolgen. Stripe beschreibt die hierfür eingesetzten Übermittlungsmechanismen in seiner Datenschutzrichtlinie.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Datenlöschung bei Kontolöschung: Wir bearbeiten die zugehörigen Stripe-Kundenobjekte und offenen Zahlungsvorgänge. Erforderliche Finanzunterlagen können bei Stripe und bei uns weiter aufzubewahren sein. Umfang und Dauer richten sich nach der jeweiligen Unterlagenart. Eine Kontolöschung bedeutet daher nicht die sofortige Entfernung sämtlicher Zahlungsunterlagen. Verbleibende Zahlungs- und Vorgangsreferenzen können weiterhin personenbezogen sein.

Weitere Informationen entnehmen Sie der Datenschutzrichtlinie von Stripe: Datenschutzrichtlinie von Stripe

12. Buchungsdaten

Wenn Sie über On-Local einen Termin buchen, erheben wir die für die Buchung erforderlichen Daten: Name, E-Mail-Adresse, Telefonnummer sowie den gewählten Termin. Diese Daten werden an den jeweiligen Anbieter weitergegeben, um die Terminbuchung durchzuführen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Gast-Buchungen: Direkte Kontaktangaben und Buchungsnotizen werden grundsätzlich 90 Tage nach dem dokumentierten Abschluss oder der dokumentierten Stornierung zur Bereinigung fällig. Dafür ist ein regelmäßiger Prozess vorgesehen. Inzwischen einem Konto zugeordnete Buchungen werden von diesem Gastdaten-Prozess nicht erfasst. Laufende Löschanfragen werden gesondert bearbeitet.

Account-Nutzer: Bei Buchungen mit Benutzerkonto bleiben die Buchungsdaten für die Verwaltung Ihrer Vorgänge mit Ihrem Konto verknüpft. Für eine Löschanfrage gelten die nachfolgenden Hinweise zu Bearbeitung und Aufbewahrung.

Bei der Bereinigung entfernen oder ersetzen wir direkte Kontaktdaten. Verbleibende Vorgangs- und Zahlungsreferenzen können eine Zuordnung weiterhin ermöglichen. Solche Datensätze behandeln wir bis zum nachgewiesenen Wegfall des Personenbezugs als personenbezogen und beschränken ihre Verwendung auf den jeweiligen Zweck.

12a. Recht auf Löschung (Art. 17 DSGVO)

Unter den gesetzlichen Voraussetzungen können Sie die Löschung Ihrer Daten verlangen. Dafür stehen Ihnen folgende Wege offen:

• Gastbuchung: Über den geschützten Buchungslink können Sie nach Abschluss oder Stornierung die Entfernung der direkten Kontaktangaben und Notizen anfordern. Anschließend ermöglicht der bisherige Link nur noch die Anzeige der knappen Bestätigung dieses Vorgangs.
• Konto: In den Datenschutz-Einstellungen können Sie eigene Daten exportieren und eine Löschanfrage verfolgen. Offene Vorgänge und betroffene Anbieterstandorte können eine gesonderte Bearbeitung erfordern.
• Lokale Bereinigung, Bearbeitung bei Dienstleistern und Benachrichtigungen sind getrennte Schritte. Eine Eingangsbestätigung oder ein angenommener Versandauftrag bedeutet noch nicht, dass alle Schritte abgeschlossen oder E-Mails zugestellt sind.
• Erforderliche Berichtigungen, Löschungen und Einschränkungen teilen wir den betroffenen bisherigen Empfängern mit, sofern dies nicht unmöglich oder unverhältnismäßig aufwendig ist. Auf Verlangen nennen wir Ihnen diese Empfänger.
• Alternative: Sie können die Löschung auch per E-Mail an info@on-local.com beantragen.

Wir informieren Sie unverzüglich, spätestens einen Monat nach Eingang Ihrer Rechteanfrage, über die ergriffenen Maßnahmen. Erfordern Komplexität oder Anzahl der Anfragen eine Verlängerung um bis zu zwei weitere Monate, teilen wir Ihnen dies mit Begründung innerhalb des ersten Monats mit. Bei einer Ablehnung erläutern wir die Gründe sowie die Beschwerde- und Rechtsbehelfsmöglichkeiten. Die Pflicht zur unverzüglichen Löschung bei erfüllten Voraussetzungen bleibt unberührt.

12b. Kontoverknüpfung

Nach erfolgreicher Anmeldung können Gastbuchungen mit passender bestätigter E-Mail-Adresse Ihrem Konto zugeordnet werden. Dies betrifft nur noch nicht einem Konto zugeordnete, noch nicht bereinigte Buchungen ohne Sperre gegen erneute Zuordnung. Bereits entfernte Kontakte werden dadurch nicht wiederhergestellt.

Rechtsgrundlage für diese Verknüpfung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), da die Zusammenführung der Buchungshistorie dem Zweck der ursprünglichen Datenerhebung entspricht. Eine spätere Kontolöschung wird als eigener Vorgang mit den oben beschriebenen Prüf- und Bereinigungsschritten bearbeitet.

12c. Lokale Angebote, Anfragen und Support

Anbieter veröffentlichen Standort- und Angebotsangaben. Wenn Sie eine Anfrage stellen, verarbeiten wir deren Inhalt, den Angebotsbezug, die beteiligten Konten, Antworten und den Bearbeitungsstand. Die zuständigen Anbieter erhalten die zur Bearbeitung erforderlichen Informationen. Eine gespeicherte Anfrage ist noch keine Zusage des Betriebs. Den maßgeblichen Stand sehen Sie im Konto. Hinweise auf neue Vorgänge werden als gesonderte Benachrichtigungen bearbeitet; ihr Versandstatus ist vom Stand des Vorgangs getrennt.

Support- und Rechteanfragen enthalten die von Ihnen mitgeteilten Angaben, erforderliche Vorgangsbezüge, Zuständigkeit und Bearbeitungsergebnisse. Berechtigte Mitarbeitende erhalten Zugriff, soweit dies zur Fallbearbeitung notwendig ist. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für Ihre Vorgänge, Art. 6 Abs. 1 lit. c DSGVO für die Erfüllung gesetzlicher Pflichten und Art. 6 Abs. 1 lit. f DSGVO für unser Interesse an Missbrauchsschutz und nachvollziehbarer Fallbearbeitung.

12d. Pings, Inhaltsprüfung und Veröffentlichung

Bei einer Ping-Einreichung verarbeiten wir Titel, Beschreibung, Kontakthinweis, Stadt, Alternativtext und gegebenenfalls ein aufbereitetes Bild. Für automatische Prüfsignale übermitteln wir diese Texte, einschließlich des Kontakthinweises, und das aufbereitete Bild an Microsoft Azure AI Content Safety. Die Signale unterstützen die menschliche Prüfung; sie ersetzen die Plattformfreigabe nicht.

Microsoft beschreibt für diesen Prüfdienst eine Verarbeitung innerhalb der gewählten Region. Die Eingaben werden laut Microsoft nicht zum Modelltraining genutzt und bei der Erkennung nicht im Modell gespeichert. Die von On-Local gespeicherte Einreichung, private Bilder und Prüfergebnisse haben einen eigenen Lebenszyklus. Weitere Informationen finden Sie in den Microsoft-Datenschutzhinweisen zu Content Safety.

Sie wählen die angefragten Veröffentlichungskanäle. Eine Standortannahme wird gesondert erteilt; für die Anzeige auf Screens ist Ihre zusätzliche Einwilligung erforderlich. Die Veröffentlichung ist nach Freigabe auf 24 Stunden begrenzt. Rücknahme oder Widerruf beenden die entsprechende weitere Auslieferung. Dies bedeutet nicht automatisch, dass bereits alle privaten Prüfunterlagen gelöscht sind.

Die Bearbeitung Ihrer Einreichung beruht auf Art. 6 Abs. 1 lit. b DSGVO. Sicherheitsprüfung und Meldungsbearbeitung dienen unserem berechtigten Interesse am Schutz vor missbräuchlichen und schädlichen Inhalten gemäß Art. 6 Abs. 1 lit. f DSGVO. Einwilligungsabhängige Kanäle beruhen auf Art. 6 Abs. 1 lit. a DSGVO; die Einwilligung können Sie jederzeit für die Zukunft widerrufen.

13. Drittlandtransfer

Bei eingesetzten Dienstleistern können Daten außerhalb der EU bzw. des EWR verarbeitet werden. Ein europäischer Datenbank- oder Versandstandort schließt dies nicht für alle Verarbeitungsschritte aus. Die jeweils veröffentlichten Garantien und Übermittlungsmechanismen beschreiben die oben verlinkten Bedingungen von Resend und Stripe sowie die Vercel-Datenverarbeitungsbedingungen. Informationen zu den auf Ihre Daten angewandten Garantien und eine Kopie können Sie über unseren Datenschutzkontakt anfordern.

14. Aufbewahrungsfristen

Wir entfernen personenbezogene Daten, wenn der jeweilige Zweck entfällt und kein erforderlicher Aufbewahrungsgrund entgegensteht. Maßgeblich sind die Datenart, der Abschluss des Vorgangs sowie gesetzliche Pflichten oder konkret begründete offene Beschwerden und Ansprüche. Es gilt keine einheitliche Frist für alle Daten:

• Gastkontakte und Buchungsnotizen: Grundsätzlich 90 Tage nach dokumentiertem Abschluss oder dokumentierter Stornierung; die Abgrenzung zu Kontobuchungen und laufenden Löschanfragen ist in Abschnitt 12 beschrieben.
• Konto- und Vorgangsdaten: Solange sie für das Konto oder offene Vorgänge erforderlich sind. Bei einer Löschanfrage werden die einzelnen Datengruppen und Dienstleister gesondert bearbeitet. Den Antwortzeitraum für Rechteanfragen erläutert Abschnitt 12a; er ist keine pauschale Speicherfrist.
• Anfragen, Support und private Prüfunterlagen: Maßgeblich sind Abschluss und Bearbeitungszweck des Vorgangs, die dafür festgelegte Aufbewahrungsregel und eine gegebenenfalls begründete weitere Aufbewahrung zur Klärung von Beschwerden oder Ansprüchen. Öffentliche Sichtbarkeit, Anfrageablauf und private Aufbewahrung sind voneinander getrennt. Eine Ausnahme benötigt einen konkreten Grund und eine erneute Prüfung.
• Finanz- und Geschäftsunterlagen: Gesetzliche Pflichten richten sich insbesondere nach der konkreten Unterlagenart gemäß § 147 AO und § 257 HGB. Eine Anfrage oder Terminbuchung ist nicht allein deshalb ein steuerlicher Buchungsbeleg. Erforderliche Unterlagen können auch nach Kontolöschung noch personenbezogen sein und werden zweckgebunden aufbewahrt.
• Verbleibende Referenzen: Der Austausch von Namen oder das Entfernen einer Konto-Verknüpfung genügt allein nicht zum Nachweis vollständiger Anonymität. Solange eine Person identifizierbar bleibt, gelten die Datenschutzanforderungen fort.

15. Kontakt

Bei Fragen zum Datenschutz erreichen Sie uns unter: info@on-local.com

Stand: 11. September 2026