Datenschutzerklärung

Stand: November 2026 · gemäß DSGVO

1. Verantwortlicher

Gartenbrüder UG (haftungsbeschränkt)

Vertreten durch den Geschäftsführer Constantin von Wissel

Wulfsdal 31, 22587 Hamburg

Telefon: 040 52479387

E-Mail: info@garten-brueder.de

2. Welche Daten wir erheben

Bei Registrierung als Kunde:

Name, E-Mail-Adresse, Telefonnummer
Buchungsdaten (Leistung, Datum, Adresse des Einsatzorts)

Bei einer Buchung ist die Telefonnummer eine Pflichtangabe: Der vermittelte Gartenbruder braucht sie, um dich rund um den Termin zu erreichen. Ohne Telefonnummer können wir keine Buchung annehmen.

Hinweis zu Gast-Buchungen: Wenn du als Gast (ohne vorheriges Konto) buchst, wird automatisch ein Kundenkonto für dich angelegt. Die Verarbeitung deiner Daten ist erforderlich zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Du bekommst per E-Mail einen Link, mit dem du ein eigenes Passwort setzen kannst. Dein Konto kannst du über die Profileinstellungen löschen lassen, sobald keine offenen Buchungen mehr bestehen. Gärtner müssen zusätzlich offene Vermittlungsgebühren und ausstehende Auszahlungen abgeschlossen haben. Was danach aus steuerlichen Gründen gespeichert bleibt, steht unter Ziffer 8.

Buchung per Telefon: Rufst du uns an, tragen wir die Buchung für dich ein. Dabei halten wir zusätzlich fest, wann das Gespräch war, wer es aufgenommen hat, wie wir dich schriftlich erreichen und deine Antwort auf unsere Frage nach der Zustimmung zu den Bedingungen — wörtlich, als Nachweis. Ruft jemand für dich an (etwa ein Angehöriger), notieren wir auch dessen Namen, die Beziehung zu dir und auf Wunsch seine Telefonnummer. Hast du keine E-Mail-Adresse, bekommst du statt E-Mails einen Anruf von uns; dein Konto trägt dann eine Platzhalter-Adresse, an die nie eine Mail zugestellt wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Angaben zum Anrufer Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, die Buchung nachvollziehbar zu halten). Die Angaben zum Anrufer löschen wir mit deinem Konto; der Zustimmungsnachweis bleibt wie die Buchung selbst gespeichert.

Anmeldung mit Google (freiwillig): Wählst du „Mit Google fortfahren“, übermittelt uns Google deinen Namen, deine E-Mail-Adresse, die Angabe, ob Google diese Adresse bestätigt hat, und eine Google-Kennung. Wir verwenden nur Name und E-Mail-Adresse, um dein Kundenkonto anzulegen oder dich in dein bestehendes Konto einzuloggen; die Kennung und dein Profilbild speichern wir nicht. Ein Passwort wird dabei nicht angelegt — du kannst eins jederzeit über „Passwort vergessen“ festlegen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Du kannst dich ebenso ohne Google mit E-Mail und Passwort registrieren.

Bei Registrierung als Gartenbruder (Dienstleister):

Name, E-Mail-Adresse, Telefonnummer
Geburtsdatum — zur Prüfung des Mindestalters von 18 Jahren und für die gesetzliche Meldung an das Bundeszentralamt für Steuern (§ 15 PStTG); bleibt nach Löschung des Kontos für die Dauer der steuerlichen Aufbewahrung gespeichert (Ziffer 8)
Wohnanschrift — für die gesetzliche Meldung an das Bundeszentralamt für Steuern (§ 15 PStTG); für Kunden nicht sichtbar
Steuernummer oder Steuer-ID
Umsatzsteuerlicher Status
Bankverbindung (IBAN) und Kontoinhaber — freiwillige Angabe, verschlüsselt gespeichert (AES-256-GCM); sie dient der Meldung nach PStTG und wird bei Kontolöschung entfernt
Stundensatz und Auftragsart-Präferenzen
Tätigkeitsgebiet (Postleitzahlen)
Verfügbarkeiten — freiwilliger Wochenplan (Wochentage und Uhrzeiten) und Abwesenheitszeiträume mit optionaler Notiz. Sie dienen allein dazu, dir nur passende Anfragen zu vermitteln (Art. 6 Abs. 1 lit. b DSGVO). Kunden sehen den Plan nicht; im Buchungsformular erscheint nur, ob bzw. welcher Gartenbruder zum gewählten Termin kann. Bei Löschung des Kontos werden die Angaben vollständig gelöscht.
Abrufadresse und Einstellungen des freiwilligen Kalender-Abos (Ziffer 5) — nur, wenn eingerichtet
IP-Adresse und Zeitstempel der Selbstverpflichtungserklärung, der Bestätigung von Gewerbe und Steuerpflicht sowie — nur bei Duo-Aufträgen — der gegenseitigen Vertretungsvollmacht (Nachweis der Erklärungen; Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Nachweisbarkeit). Die IP-Adressen werden bei Kontolöschung entfernt
Verweise auf Stripe (Kunden-Nummer und Nummer der hinterlegten Zahlungsmethode) für den Einzug der Vermittlungsgebühr
Profilbild — freiwillig (Ziffer 4); dein Vorname wird Kunden bei der Auswahl und nach der Zuweisung angezeigt, dein voller Name nicht

Eine Ausweiskopie verlangen wir nicht und speichern wir nicht.

Bei Absage eines bestätigten Auftrags:

Zeitpunkt der Absage und Vorlauf zum vereinbarten Termin
Bei kurzfristiger Absage durch den Gartenbruder: eine gewählte Kategorie aus einer vorgegebenen Liste (z. B. „kurzfristig verhindert“, „Terminkollision“). Es wird kein Freitext erhoben und es werden keine Angaben zu Gesundheit oder anderen besonderen Datenkategorien nach Art. 9 DSGVO verarbeitet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vermittlungsvertrags, Abrechnung des Aufwandsersatzes nach AGB § 8) sowie lit. f DSGVO (berechtigtes Interesse an einer zuverlässigen Vermittlung für beide Seiten).
Aufbewahrung: Die Absage-Protokolle werden für die Dauer der Nutzungsbeziehung sowie zur Erfüllung handels- und steuerrechtlicher Aufbewahrungsfristen gespeichert.

Bei Eintrag in die Warteliste (freiwillig, Ziffer 6):

E-Mail-Adresse und Postleitzahl, optional Vorname/Name und die gewünschten Leistungen
Zeitpunkt der Einwilligung

Bei der Buchung, freiwillig:

Wie du von uns erfahren hast — eine Auswahl aus einer festen Liste (z. B. „Flyer im Briefkasten“, „Instagram“), kein Freitext. Die Angabe wird mit der Buchung gespeichert und nur zusammengefasst ausgewertet (Anzahl je Antwort).

Automatisch erhobene Daten:

IP-Adresse, Browsertyp, Betriebssystem
Datum und Uhrzeit des Zugriffs
Referrer-URL

3. Zweck und Rechtsgrundlage der Verarbeitung

Zweck	Rechtsgrundlage
Vertragsabwicklung (Buchungen, Zahlungen)	Art. 6 Abs. 1 lit. b DSGVO
Kontoerstellung und -verwaltung	Art. 6 Abs. 1 lit. b DSGVO
PStTG-Meldepflicht (Bundeszentralamt für Steuern) — ab 30 Aufträgen oder 2.000 € Jahresvergütung	Art. 6 Abs. 1 lit. c DSGVO
Vorsorgliche Abfrage der Steuer-ID bereits ab 1.800 € Jahresvergütung, um die spätere Meldung fristgerecht erfüllen zu können (rückwirkende Erhebung ist nicht möglich)	Art. 6 Abs. 1 lit. f DSGVO
Einzug der Vermittlungsgebühr des Gartenbruders via Stripe (SEPA-Lastschrift, ggf. Karte) und Rechnungsstellung	Art. 6 Abs. 1 lit. b DSGVO
E-Mail-Benachrichtigungen (Buchungsbestätigung etc.)	Art. 6 Abs. 1 lit. b DSGVO
Beantwortung von Anfragen über das Kontaktformular (Name, E-Mail, Nachricht — werden per E-Mail an uns weitergeleitet, nicht in der Datenbank gespeichert)	Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Anfragen), sonst Art. 6 Abs. 1 lit. f DSGVO
Benachrichtigung über die Warteliste, sobald in deiner PLZ ein Gartenbruder verfügbar ist (Ziffer 6)	Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
Freiwillige Angabe, wie du von uns erfahren hast — zusammengefasste Auswertung, welche Werbung wirkt	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer wirksamen, sparsamen Werbung)
Bewertungen (Ziffer 12) und Beschwerden (Ziffer 12)	Art. 6 Abs. 1 lit. b DSGVO; für die Bewertungsanfrage per E-Mail Art. 6 Abs. 1 lit. f DSGVO
Protokoll von Admin-Aktionen (Nachvollziehbarkeit, Missbrauchsschutz)	Art. 6 Abs. 1 lit. f DSGVO
Server-seitige Fehlerprotokolle (Sentry, Ziffer 7)	Art. 6 Abs. 1 lit. f DSGVO
Betrugsprävention, Plattformsicherheit	Art. 6 Abs. 1 lit. f DSGVO
Gesetzliche Aufbewahrungspflichten	Art. 6 Abs. 1 lit. c DSGVO

4. Profilbilder der Gartenbrüder

Angabe	Details
Datenkategorie	Profilbild (Foto). Es findet keine biometrische Auswertung statt, etwa keine Gesichtserkennung; das Bild wird nur angezeigt
Betroffene Person	Nur Gartenbrüder (Dienstleister), nicht Kunden
Zweck	Anzeige gegenüber Kunden nach Buchungszuweisung, damit der Kunde weiß, wer zur Gartenarbeit kommt
Rechtsgrundlage	Art. 6 Abs. 1 lit. a DSGVO — ausdrückliche Einwilligung des Gartenbruders bei Upload
Speicherort	Vercel Blob (Vercel Inc., USA). Das Bild liegt unter einer öffentlich abrufbaren Adresse: Wer diese Adresse kennt, kann es ohne Anmeldung aufrufen. Übertragung in Drittstaaten auf Basis von Standardvertragsklauseln
Freiwilligkeit	Das Hochladen eines Profilbildes ist vollständig freiwillig und keine Voraussetzung für die Nutzung der Plattform
Widerruf	Jederzeit im Gartenbruder-Profil durch Löschen des Bildes. Das Bild wird sofort aus Vercel Blob entfernt. Die Einwilligung wird mit Zeitstempel gespeichert.
Speicherdauer	Bis zum Widerruf (Löschung des Bildes) oder Konto-Löschung

Hinweis für Gartenbrüder: Du kannst dein Profilbild jederzeit in deinem Profil unter Profilbild → Löschen entfernen. Der Widerruf der Einwilligung hat keine negativen Folgen für die weitere Nutzung der Plattform.

5. Kalender-Abo der Gartenbrüder (freiwillig)

Gartenbrüder können ihre Auftragstermine in ihre eigene Kalender-App übernehmen (Apple Kalender, Google Kalender, Outlook u. a.). Dazu erzeugen sie sich in ihrem Konto eine geheime Abrufadresse und tragen diese einmalig in ihrer Kalender-App ein. Die Kalender-App ruft die Termine anschließend selbstständig ab.

Angabe	Details
Datenkategorien	Grundeinstellung: Leistung, Datum, Uhrzeit, Dauer sowie Postleitzahl und Ort des Auftrags. Nur nach zusätzlicher Aktivierung durch den Gartenbruder und erst nach Annahme des Auftrags außerdem: Name, Straße und Telefonnummer des Kunden sowie die vom Kunden eingegebene Auftragsbeschreibung (z. B. Hinweise zum Grundstück). Bei noch nicht angenommenen Angeboten werden diese Angaben nie übermittelt
Betroffene Personen	Der Gartenbruder selbst sowie — bei aktivierter erweiterter Anzeige — die Kunden seiner Aufträge
Zweck	Übernahme der eigenen Auftragstermine in die Terminplanung des Gartenbruders
Rechtsgrundlage	Art. 6 Abs. 1 lit. b DSGVO — Durchführung des Nutzungsverhältnisses mit dem Gartenbruder und des von ihm angenommenen Auftrags
Empfänger	Der vom Gartenbruder gewählte Kalenderanbieter. Das Abonnement richtet er selbst ein und bestimmt den Anbieter; für diese Übermittlung ist er datenschutzrechtlich eigenständig verantwortlich. Wir liefern die Termine an die von ihm eingerichtete Abrufadresse aus
Freiwilligkeit	Das Kalender-Abo ist vollständig freiwillig und keine Voraussetzung für die Nutzung der Plattform. Ohne Abo werden keinerlei Daten an einen Kalenderanbieter übermittelt
Datensparsamkeit	Die erweiterte Anzeige mit Kundendaten ist standardmäßig ausgeschaltet und muss vom Gartenbruder ausdrücklich aktiviert werden
Schutz der Abrufadresse	Die Adresse enthält ein zufälliges Geheimnis und gibt ausschließlich die Termine dieses einen Gartenbruders heraus. Sie wird von Suchmaschinen ausgeschlossen und nicht zwischengespeichert
Widerruf	Jederzeit im Bereich Kalender → Abo beenden. Die Adresse wird dabei sofort ungültig; ein neuer Abruf ist danach nicht mehr möglich. Bereits an den Kalenderanbieter übermittelte Termine müssen dort selbst gelöscht werden
Speicherdauer	Die Abrufadresse wird bis zum Widerruf oder zur Konto-Löschung gespeichert

Hinweis für Gartenbrüder: Wer die Abrufadresse kennt, kann deine Termine lesen — behandle sie wie ein Passwort. Hast du sie versehentlich weitergegeben, erzeuge dir unter Kalender einfach eine neue; die alte wird damit sofort ungültig. Bedenke außerdem, dass dein Kalenderanbieter die Termine speichert: Wenn du die erweiterte Anzeige einschaltest, gelangen auch Name, Anschrift, Telefonnummer und Auftragsbeschreibung deiner Kunden dorthin.

6. Warteliste für Postleitzahlen ohne Gartenbruder (freiwillig)

Gibt es in deiner Postleitzahl noch keinen Gartenbruder, kannst du dich bei der Buchung auf eine Warteliste setzen. Wir schreiben dir dann einmal, sobald dort jemand verfügbar ist.

Angabe	Details
Datenkategorien	E-Mail-Adresse, Postleitzahl, optional Name und gewünschte Leistungen, Zeitpunkt der Einwilligung
Zweck	Eine Bestätigungsmail mit Abmeldelink und eine einmalige Benachrichtigung, sobald in deiner Postleitzahl ein Gartenbruder verfügbar ist. Intern werten wir nur aus, wie viele Menschen je Postleitzahl warten (ohne Namen oder Adressen), um gezielt Gartenbrüder zu gewinnen
Rechtsgrundlage	Art. 6 Abs. 1 lit. a DSGVO — deine Einwilligung über das Kontrollkästchen „Ich möchte per E-Mail benachrichtigt werden, sobald in meiner PLZ ein Gartenbruder verfügbar ist. Abmeldung jederzeit.“
Empfänger	Resend (E-Mail-Versand) und Supabase (Datenbank), siehe Ziffer 7
Speicherdauer	Bis zur Benachrichtigung — der Eintrag wird danach automatisch gelöscht. Wird deine Postleitzahl innerhalb von 12 Monaten nicht abgedeckt, löschen wir den Eintrag nach Ablauf dieser 12 Monate ohne Nachricht
Widerruf	Jederzeit mit Wirkung für die Zukunft über den Abmeldelink in der Bestätigungsmail oder per E-Mail an info@garten-brueder.de. Dein Eintrag wird dann sofort gelöscht. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO)
Freiwilligkeit	Der Eintrag ist freiwillig und hat keinen Einfluss auf eine Buchung

7. Weitergabe an Dritte

Zur Erbringung unserer Leistungen setzen wir sorgfältig ausgewählte Auftragsverarbeiter ein, mit denen jeweils ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO besteht. Eine Weitergabe erfolgt nur, soweit dies zur Vertragserfüllung, aufgrund einer gesetzlichen Pflicht oder auf Basis eines berechtigten Interesses zulässig ist:

Supabase, Inc. — Datenbank-Hosting; auf den hierüber betriebenen Servern werden sämtliche Stamm-, Konto- und Buchungsdaten (einschließlich Name, Kontaktdaten, Adresse, Bankverbindung und Steuerdaten der Gartenbrüder) gespeichert. Der Serverstandort liegt im Vereinigten Königreich (AWS-Region eu-west-2, London). Das Vereinigte Königreich gilt seit dem Austritt aus der Europäischen Union als Drittland; die Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission für das Vereinigte Königreich gemäß Art. 45 DSGVO, ergänzend abgesichert durch Standardvertragsklauseln gemäß Art. 46 DSGVO. Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO
Stripe Payments Europe, Ltd. (Irland) — Einzug der Vermittlungsgebühr bei Gartenbrüdern (SEPA-Lastschrift, ggf. Karte); nur Gartenbrüder sind davon betroffen. Zahlungen der Kunden für die Gartenarbeit laufen NICHT über Stripe oder die Plattform, sondern direkt zwischen Kunde und Gartenbruder. Stripe kann Daten an die Konzernmutter Stripe, Inc. (USA) übermitteln; das stützt sich auf das EU-US Data Privacy Framework bzw. Standardvertragsklauseln (Art. 45/46 DSGVO). Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO
Resend, Inc. (USA) — E-Mail-Versand (Buchungsbestätigungen, Benachrichtigungen, Bewertungsanfragen sowie die Weiterleitung von Kontaktformular-Nachrichten an uns); übermittelt werden E-Mail-Adresse, Name und der jeweilige Nachrichteninhalt. Übertragung in Drittstaaten auf Basis von Standardvertragsklauseln gemäß Art. 46 DSGVO. Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO, für Mails der Warteliste Art. 6 Abs. 1 lit. a DSGVO (Ziffer 6)
Vercel Inc. (USA) — Hosting der Anwendung, Blob-Speicher (Profilbilder) sowie cookielose Reichweitenmessung (Vercel Web Analytics: keine Cookies, keine geräteübergreifende Wiedererkennung, keine Speicherung der IP-Adresse; nur nach erteilter Einwilligung, Art. 6 Abs. 1 lit. a DSGVO); Übertragung in Drittstaaten auf Basis von Standardvertragsklauseln gemäß Art. 46 DSGVO
Functional Software, Inc. (Sentry) (USA) — Fehler- und Performance-Monitoring zur Sicherstellung des stabilen und sicheren Plattformbetriebs; es findet keine Sitzungsaufzeichnung (Session Replay) statt. Zwei Teile: (1) Server-seitig erfassen wir Fehler und Leistungsdaten unserer Anwendung immer, ohne Einwilligung; dabei sendet unsere Konfiguration standardmäßig keine IP-Adressen und keine Anfrageinhalte (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einem stabilen und sicheren Betrieb). Fehlermeldungen können im Einzelfall trotzdem Bestandteile personenbezogener Daten enthalten. (2) Im Browser wird das Monitoring nur nach deiner Einwilligung geladen (Art. 6 Abs. 1 lit. a DSGVO). Die Daten werden in der EU verarbeitet (Region Frankfurt); weil der Anbieter eine US-Muttergesellschaft hat, ist ein Zugriff aus den USA nicht ausgeschlossen. Das stützt sich auf Standardvertragsklauseln bzw. das EU-US Data Privacy Framework (Art. 45/46 DSGVO)
Upstash, Inc. (USA) — Schutz vor missbräuchlicher Nutzung und Brute-Force-Angriffen durch Zugriffsratenbegrenzung (Rate Limiting). Hierfür werden IP-Adressen und E-Mail-Adressen kurzzeitig als technische Schlüssel in einem Redis-Zwischenspeicher verarbeitet und nach Ablauf des jeweiligen Zeitfensters automatisch gelöscht. Außerdem liegen dort die Tageszähler der Flyer-QR-Codes (Ziffer 9) — reine Zahlen ohne Personenbezug. Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Plattformsicherheit); Übertragung in Drittstaaten auf Basis von Standardvertragsklauseln gemäß Art. 46 DSGVO
OpenStreetMap Foundation (Nominatim, Vereinigtes Königreich) und openPLZ API (openplzapi.org) — Orts- und Postleitzahlensuche als Eingabehilfe bei der Buchung. Übermittelt wird ausschließlich die von dir eingegebene Orts- bzw. Postleitzahlenanfrage; es werden keine Konto- oder Bestandsdaten weitergegeben. Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) und lit. f DSGVO (berechtigtes Interesse an einer korrekten Adresserfassung). Für das Vereinigte Königreich gilt der Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO
Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) — nur wenn du „Mit Google fortfahren“ wählst: Anmeldung über dein Google-Konto (Ziffer 2). Dabei leitet dich dein Browser zu Google weiter; Google verarbeitet dort deine Anmeldung als eigener Verantwortlicher nach seiner Datenschutzerklärung und erfährt, dass du dich bei Gartenbrüder anmeldest. Eine Übermittlung in die USA durch Google ist möglich; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO
Kalenderanbieter der Gartenbrüder (z. B. Apple, Google, Microsoft) — ausschließlich dann, wenn ein Gartenbruder das freiwillige Kalender-Abo eingerichtet hat (Ziffer 5). Übermittelt werden Leistung, Datum, Uhrzeit, Dauer sowie Postleitzahl und Ort des Auftrags; Name, Straße, Telefonnummer und Auftragsbeschreibung des Kunden nur, wenn der Gartenbruder die erweiterte Anzeige zusätzlich aktiviert hat und der Auftrag angenommen ist. Den Anbieter und den Abruf bestimmt der Gartenbruder selbst. Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO (Durchführung des vermittelten Auftrags)
Google Ireland Limited (Dublin, Irland) als Anbieter von Google Workspace — unser E-Mail-Postfach info@garten-brueder.de. Schreibst du uns, über das Kontaktformular (das wir ins Postfach weiterleiten) oder direkt, oder antwortest du auf eine unserer Mails, landet deine Nachricht samt Absenderdaten dort. Rechtsgrundlage Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO; Übermittlungen in die USA sind über das EU-US Data Privacy Framework bzw. Standardvertragsklauseln abgesichert
easybell GmbH (Berlin) — Telefonanbieter für unsere Rufnummer (siehe Impressum). Bei Anrufen (auch zur Telefonbuchung) verarbeitet easybell als Auftragsverarbeiter die Verbindungsdaten, etwa deine Rufnummer und den Zeitpunkt des Anrufs. Rechtsgrundlage Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO
QR-Code-Weiterleitungsdienst vqr.vc — Die QR-Codes auf unseren Flyern führen zunächst über diesen Dienst und dann zu unserer Website. Beim Scannen verarbeitet der Dienst technisch bedingt Verbindungsdaten wie deine IP-Adresse und Gerätedaten. Auf unserer Seite zählen wir nur Tageszähler (Ziffer 9). Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, die Wirkung der Flyer zu messen und das Ziel anpassen zu können)
Bundeszentralamt für Steuern — jährliche Meldung gemäß PSttG (Plattformen-Steuertransparenzgesetz)
Behörden — soweit gesetzlich verpflichtet

Vermittelte Vertragspartner. Nimmt ein Gartenbruder einen Auftrag an, erhält er die zur Ausführung und zu seiner eigenen Rechnungsstellung nötigen Daten des Kunden: Name, Telefonnummer, Adresse des Einsatzorts und die Auftragsdetails. Der Kunde erhält den Namen des Gartenbruders. Beide handeln insoweit als eigene Verantwortliche. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Eine Weitergabe zu Werbezwecken oder an sonstige Dritte findet nicht statt.

8. Speicherdauer

Buchungsdaten: 10 Jahre (handels- und steuerrechtliche Aufbewahrungspflicht)
PSttG-Meldedaten: 10 Jahre nach Übermittlung ans Bundeszentralamt
Kontodaten: bis zur Löschung des Kontos. Bei der Löschung werden Name, E-Mail, Telefonnummer, Anmeldedaten, IBAN, Profilbild und die IP-Adressen der Erklärungen entfernt bzw. überschrieben; Buchungen bleiben unter einer anonymen Kennung bestehen
Gärtnerdaten nach Kontolöschung: Steuer-ID, USt-IdNr., Geburtsdatum und Wohnanschrift bleiben wegen der Meldepflicht nach PStTG und der Aufbewahrung nach der Abgabenordnung gespeichert (Art. 6 Abs. 1 lit. c DSGVO)
Gebührenrechnungen und Stornorechnungen an Gartenbrüder (mit Name, E-Mail, Rechnungsanschrift, Rechnungsnummer und Posten sowie dem versandten Rechnungsdokument; Anschrift und Dokument speichern wir für ab dem 04.11.2026 ausgestellte Rechnungen mit): 10 Jahre (§ 147 AO, § 14b UStG; Art. 6 Abs. 1 lit. c DSGVO)
Bewertungen: die Sternebewertung bleibt für die Durchschnittsberechnung; Freitexte werden bei Löschung des Kontos entfernt, ebenso Freitexte, die andere über dich geschrieben haben
Beschwerden und Admin-Protokoll: bis zum Ablauf der jeweiligen Aufbewahrungsfrist; eine feste kürzere Frist haben wir bisher nicht festgelegt
Abrufadresse des Kalender-Abos: bis zum Widerruf des Abos oder zur Löschung des Kontos
Warteliste: bis zur Benachrichtigung, höchstens 12 Monate; bei Widerruf sofort (Ziffer 6)
Server-Logfiles: 14 Tage (Aufbewahrung beim Hosting-Dienstleister Vercel)

Löschkonzept: Wir unterscheiden zwischen steuer- und handelsrechtlich aufbewahrungspflichtigen Daten (insbesondere Rechnungs- und Transaktionsdaten) und übrigen Daten. Nach Wegfall des ursprünglichen Zwecks verwenden wir aufbewahrungspflichtige Daten nur noch für die Aufbewahrungszwecke (Nachweis, Steuer- und Meldepflichten, Rechtsverteidigung) und löschen sie nach Ablauf der gesetzlichen Frist (i. d. R. 10 Jahre). Eine technische Sperrung der Daten besteht dabei nicht; Administratoren können sie bis zur Löschung weiterhin einsehen. Nicht aufbewahrungspflichtige Daten (z. B. Nachrichteninhalte, Bewertungstexte, nicht abrechnungsrelevante Profil-/ Nutzungsdaten) werden bei Konto-Löschung oder Zweckwegfall vollständig gelöscht (Art. 17 DSGVO) — nicht lediglich pseudonymisiert.

9. Cookies & Einwilligung

Technisch notwendige Cookies und Speicherungen setzen wir ein, damit Anmeldung und Plattform funktionieren. Dafür ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich. Es werden keine Werbe-Cookies eingesetzt.

Session-Cookie (NextAuth, __Secure-next-auth.session-token): hält deine Anmeldung aufrecht; enthält ein signiertes Token, ist nur für den Server lesbar (HttpOnly) und gilt höchstens 24 Stunden.
Sicherheits-Cookies der Anmeldung (NextAuth: CSRF-Token, Rücksprungadresse, beim Google-Login zusätzlich Status- und PKCE-Cookie): schützen den Anmeldevorgang vor Missbrauch. Sie gelten für die Sitzung bzw. wenige Minuten und werden nur bei der Anmeldung gesetzt.
Lokaler Speicher (cookie_consent): merkt sich deine Entscheidung im Cookie-Banner (accepted oder rejected), damit wir nicht bei jedem Besuch erneut fragen. Der Eintrag bleibt in deinem Browser, bis du ihn löschst.

Optionale Dienste mit Einwilligung: Eine cookielose Reichweitenmessung (Vercel Web Analytics) sowie ein anonymisiertes Fehler- und Performance-Monitoring (Sentry, ohne Sitzungsaufzeichnung) laden wir ausschließlich, wenn du im Cookie-Banner ausdrücklich zustimmst (§ 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO). Lehnst du ab, werden diese Dienste nicht geladen — die Nutzung der Plattform bleibt vollständig möglich.

Flyer-QR-Codes: Rufst du eine Adresse von einem unserer Flyer auf (garten-brueder.de/flyer/…), zählen wir auf unserem Server lediglich, wie oft der jeweilige Code an einem Tag aufgerufen wurde. Dabei wird nichts auf deinem Gerät gespeichert oder ausgelesen, und wir speichern weder deine IP-Adresse noch sonstige Merkmale, die auf dich schließen lassen. Die Tageszähler werden nach rund 13 Monaten automatisch gelöscht.

Deine Entscheidung wird lokal in deinem Browser gespeichert. Du kannst sie jederzeit widerrufen oder ändern: Klick im Footer jeder Seite auf „Cookie-Einstellungen“, dann erscheint der Cookie-Banner erneut. Das Browser-Monitoring, das bereits läuft, endet beim nächsten Seitenaufruf. Alternativ löschst du die Website-Daten dieser Seite in deinem Browser.

10. Deine Rechte

Du hast gemäß DSGVO folgende Rechte:

Auskunft (Art. 15 DSGVO) — welche Daten wir über dich gespeichert haben
Berichtigung (Art. 16 DSGVO) — Korrektur unrichtiger Daten
Löschung (Art. 17 DSGVO) — Löschung deiner Daten, sofern keine Aufbewahrungspflicht besteht und keine offenen Buchungen oder Gebühren entgegenstehen
Einschränkung (Art. 18 DSGVO) — Einschränkung der Verarbeitung
Datenübertragbarkeit (Art. 20 DSGVO) — Herausgabe deiner Daten in maschinenlesbarem Format
Widerspruch (Art. 21 DSGVO) — Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen

Zur Ausübung deiner Rechte wende dich an: info@garten-brueder.de

Du hast außerdem das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für uns zuständig ist: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Str. 22, 20459 Hamburg. Du kannst dich auch an die Behörde an deinem Wohnort wenden.

11. Datensicherheit

Alle Daten werden verschlüsselt übertragen (TLS/HTTPS). Passwörter werden ausschließlich als bcrypt-Hash gespeichert. Karten- und Kontodaten für die Vermittlungsgebühr gibst du direkt bei Stripe ein; sie werden nicht auf unseren Servern gespeichert. Bei uns liegen nur Verweise auf Stripe (Kunden- und Zahlungsmethoden-Nummer) sowie, wenn ein Gartenbruder sie angibt, die verschlüsselt gespeicherte IBAN (Ziffer 2). Kunden zahlen den Gartenbruder direkt, nicht über uns.

Die dauerhafte Speicherung deiner Daten erfolgt in einer von der Supabase, Inc. betriebenen Datenbank mit Serverstandort im Vereinigten Königreich (Region eu-west-2, London). Die Anwendung selbst wird in einem Rechenzentrum in Frankfurt am Main (Deutschland) betrieben. Einzelheiten zur Drittlandübermittlung findest du unter Ziffer 7.

12. Weitere Verarbeitungen

Bewertungen. Nach einem erledigten Auftrag kannst du den Gartenbruder mit Sternen und optional einem Freitext bewerten. Öffentlich zeigen wir nur einen Durchschnitt, und erst ab 5 bewerteten Aufträgen; Freitexte zeigen wir nicht öffentlich. Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: Ziffer 8.
Bewertungsanfrage per E-Mail. Nach einem erledigten Auftrag senden wir dem Kunden eine E-Mail mit Bitte um Bewertung. Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Qualitätssicherung; § 7 Abs. 3 UWG). Du kannst dem jederzeit widersprechen, über den Link in der Mail oder per E-Mail an info@garten-brueder.de; danach schicken wir keine Bewertungsanfragen mehr. Den Zeitpunkt deines Widerspruchs speichern wir, um ihn dauerhaft beachten und nachweisen zu können (Art. 6 Abs. 1 lit. c und f DSGVO).
Widerrufsfunktion („Vertrag widerrufen“). Erklärst du über unser Formular einen Widerruf, verarbeiten wir Name, E-Mail-Adresse, die Angaben zum Vertrag und den Zeitpunkt des Eingangs. Die Erklärung geht per E-Mail (über Resend) an unser Postfach und an dich als Eingangsbestätigung; in der Datenbank wird sie nicht gespeichert. Betrifft der Widerruf den Vertrag mit einem Gartenbruder, geben wir ihn an diesen weiter. Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO (§ 356a BGB).
Beschwerden. Reichst du eine Beschwerde ein, speichern wir Betreff, deinen Text, den Bearbeitungsstatus und unsere Antwort. Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO bzw. lit. c DSGVO, soweit wir gesetzlich zur Bearbeitung verpflichtet sind.
Admin-Protokoll. Sensible Aktionen unserer Administratoren (z. B. Änderungen an Buchungen oder Zuweisungen) halten wir mit Zeitpunkt, handelnder Person, betroffenem Datensatz, den geänderten Werten und der IP-Adresse des Administrators fest. Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (Nachvollziehbarkeit, Missbrauchsschutz).
Kontaktformular. Name, E-Mail und Nachricht werden über Resend per E-Mail an unser Postfach weitergeleitet (Ziffer 7) und nicht in der Datenbank gespeichert.