Datenschutz

1. Geltungsbereich und Verantwortlichkeit

Diese Datenschutzhinweise gelten für die Websites watly.de, mieten.watly.de und control.watly.de, den Gastcheckout, freiwillige Kundenkonten, Miet- und Rückgabevorgänge, Support- und Widerrufsvorgänge sowie die hierfür betriebenen technischen Systeme. Verantwortlicher und Datenschutzkontakt sind im vorangestellten Betreiberblock angegeben.

Der Leitstand ist ein geschützter Verwaltungsbereich. Seine internen Inhalte sind nicht Teil des öffentlichen Angebots.

2. Aufruf der Websites und Systemsicherheit

Beim Aufruf unserer Dienste werden technisch erforderliche Verbindungs- und Protokolldaten verarbeitet, insbesondere IP-Adresse, Datum und Uhrzeit, angeforderte Adresse, HTTP-Status, übertragene Datenmenge, Referrer, Browser- und Geräteinformationen. Die Verarbeitung dient der sicheren Bereitstellung, Fehleranalyse, Abwehr von Angriffen und Missbrauch sowie dem Nachweis sicherheitsrelevanter Ereignisse.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen liegen im sicheren, stabilen und missbrauchsresistenten Betrieb. Netzwerkmetadaten im anwendungsinternen Auditprotokoll werden nach 90 Tagen automatisiert entfernt, sofern sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls, zur Rechtsverteidigung oder aufgrund gesetzlicher Pflichten länger benötigt werden. Webserver- und Sicherheitsprotokolle werden nach einem angemessenen, zweckbezogenen Zeitraum gelöscht oder rotiert.

3. Gastcheckout, Kundenkonto und Identitätszuordnung

Für den Gastcheckout verarbeiten wir insbesondere Vor- und Nachname, Anschrift, E-Mail-Adresse, Telefonnummer, Altersbestätigung, technische Sitzungsdaten sowie eine interne Kunden- und Vorgangsreferenz. Ein Kundenkonto ist nicht erforderlich und wird nicht allein aufgrund einer übereinstimmenden E-Mail-Adresse angelegt oder zusammengeführt.

Bei freiwilliger Registrierung oder Aktivierung verarbeiten wir zusätzlich Zugangsdaten in Form sicherer Passwort-Hashwerte, Aktivierungs- und Sicherheitsnachweise, Loginereignisse sowie Kontoeinstellungen. Einmalige Aktivierungs-, Miet- und Rücksetzlinks enthalten zufällige, begrenzte Token; serverseitig werden nur die zur Prüfung erforderlichen Referenzen oder Hashwerte gespeichert.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche Maßnahmen und die Vertragsdurchführung sowie Art. 6 Abs. 1 lit. f DSGVO für Kontosicherheit, Missbrauchsprävention und eine eindeutige Vorgangszuordnung.

4. Miete, Station, Ausgabe und Rückgabe

Zur Durchführung und Abrechnung einer Miete verarbeiten wir insbesondere Station und Steckplatz bei Ausgabe und Rückgabe, Powerbank- und Gerätekennungen, Zeitstempel, Mietstatus, Tarif- und Vertragssnapshots, technische Providerantworten, Störungs- und Rückgabenachweise sowie die Zuordnung zum Kunden- und Zahlungsvorgang.

Es findet keine fortlaufende GPS-Ortung von Kunden statt. Die dokumentierten Stationsdaten beschreiben die Ausgabe und Rückgabe der Powerbank. Technische Geräte- und Stationsdaten werden über die angebundene Hardware-/Stationsschnittstelle verarbeitet.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für die Vertragsdurchführung, Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Nachweis- und Aufbewahrungspflichten sowie Art. 6 Abs. 1 lit. f DSGVO für Fehleranalyse, Missbrauchsabwehr, Beweissicherung und Rechtsverteidigung.

5. Zahlungsabwicklung über Stripe und PayPal

Je nach Auswahl wird die Zahlungsautorisierung und spätere Abrechnung über Stripe oder PayPal abgewickelt. Wir übermitteln die zur Zahlung erforderlichen Vorgangs-, Betrags-, Währungs- und Zuordnungsdaten und erhalten insbesondere Zahlungs-, Autorisierungs-, Freigabe-, Erstattungs- und Fehlerstatus sowie technische Referenzen zurück.

Bei Stripe werden vollständige Karten- oder Walletdaten unmittelbar in der von Stripe bereitgestellten Zahlungsumgebung verarbeitet und nicht als vollständige Zahlungsdaten auf unseren Servern gespeichert. Bei PayPal erfolgt die Anmeldung und Bestätigung in der PayPal-Umgebung; PayPal-Zugangsdaten werden nicht an Watly übermittelt. Watly speichert nur die für Vertrag, Abrechnung, Support und Nachweis erforderlichen Zahlungsreferenzen und Statusdaten.

Rechtsgrundlage für die von uns veranlasste Zahlungsabwicklung ist Art. 6 Abs. 1 lit. b DSGVO. Für Betrugsprävention, Zahlungsabgleich, Chargeback-Bearbeitung und Rechtsverteidigung gilt ergänzend Art. 6 Abs. 1 lit. f DSGVO; gesetzliche Aufbewahrungspflichten beruhen auf Art. 6 Abs. 1 lit. c DSGVO.

Zahlungsdienstleister: Stripe Payments Europe, Limited, Irland (Datenschutz bei Stripe) und PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg (Datenschutz bei PayPal). Die Zahlungsdienstleister können Daten für eigene gesetzliche Pflichten, Sicherheit und Betrugsprävention in eigener Verantwortlichkeit verarbeiten.

6. Vertrag, Einwilligungs- und Nachweisdokumente

Wir speichern die bei Vertragsschluss maßgeblichen Fassungen der AGB, Tarifbedingungen, Datenschutzhinweise, Widerrufsinformationen und Erklärungen zusammen mit Version, Hashwert, Zeitstempel und Vorgangszuordnung. Außerdem können Vertragsbestätigungen, Mietbelege, Widerrufserklärungen und Eingangsbestätigungen als unveränderliche Nachweise erzeugt werden.

Die Verarbeitung ist zur Vertragsdurchführung nach Art. 6 Abs. 1 lit. b DSGVO, zur Erfüllung gesetzlicher Informations- und Nachweispflichten nach Art. 6 Abs. 1 lit. c DSGVO sowie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen nach Art. 6 Abs. 1 lit. f DSGVO erforderlich.

7. Kommunikation, Belege, Support und Widerruf

Wenn Sie uns kontaktieren oder eine Erklärung abgeben, verarbeiten wir Ihre Kontakt- und Vorgangsdaten sowie den Inhalt, Zeitpunkt und Bearbeitungsstand. Vertrags-, Miet-, Rückgabe-, Sicherheits- und Widerrufsbestätigungen können per E-Mail versandt werden. Die E-Mail-Zustellung erfolgt über die bei STRATO betriebenen Watly-Postfächer und den verschlüsselten SMTP-Relay.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Kommunikation einen Vertrag oder vorvertragliche Maßnahmen betrifft, Art. 6 Abs. 1 lit. c DSGVO für gesetzlich vorgeschriebene Bestätigungen und Art. 6 Abs. 1 lit. f DSGVO für Support, Dokumentation und Rechtsverteidigung.

8. Empfänger und technische Dienstleister

Wir setzen Dienstleister nur ein, soweit dies für den jeweiligen Zweck erforderlich ist. Hierzu gehören insbesondere:

• netcup GmbH für den Betrieb des Servers und der technischen Infrastruktur,
• STRATO GmbH für Domain-/DNS-Dienste sowie E-Mail-Postfächer und den SMTP-Versand,
• Stripe und PayPal für die jeweils ausgewählte Zahlungsabwicklung,
• der technische Stations- und Hardwareanbieter für Geräte-, Stations-, Ausgabe- und Rückgabesignale,
• cron-job.org für zeitgesteuerte, abgesicherte Systemaufrufe ohne bewusst übermittelte Kundeninhalte,
• berufliche Berater, Behörden, Gerichte oder Zahlungsnetzwerke, soweit eine gesetzliche Pflicht besteht oder dies zur Rechtsverfolgung erforderlich ist.

Mit Auftragsverarbeitern werden, soweit erforderlich, Vereinbarungen nach Art. 28 DSGVO geschlossen. Eine Weitergabe zu fremden Werbezwecken oder ein Verkauf von Kundendaten findet nicht statt.

9. Datenübermittlungen in Drittländer

Beim Einsatz weltweit tätiger Zahlungs- oder Hardwaredienstleister kann eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums nicht ausgeschlossen werden. Soweit kein Angemessenheitsbeschluss der Europäischen Kommission besteht, erfolgt eine Übermittlung nur auf Grundlage geeigneter Garantien, insbesondere Standardvertragsklauseln, verbindlicher interner Datenschutzvorschriften oder einer gesetzlich vorgesehenen Ausnahme. Einzelheiten stellen die jeweiligen Empfänger in ihren Datenschutzhinweisen bereit.

Stripe nennt für internationale Übermittlungen insbesondere Angemessenheitsbeschlüsse, das EU-US Data Privacy Framework und EU-Standardvertragsklauseln. PayPal nennt insbesondere Angemessenheitsbeschlüsse, Standardvertragsklauseln und genehmigte verbindliche interne Datenschutzvorschriften.

10. Speicherdauer und Löschung

Personenbezogene Daten werden nur so lange gespeichert, wie sie für den jeweiligen Zweck, die Vertragsabwicklung, gesetzliche Aufbewahrung, Sicherheit oder Rechtsverteidigung erforderlich sind. Vertrags-, Zahlungs-, Buchungs- und Belegdaten werden für die jeweils einschlägigen handels- und steuerrechtlichen Fristen aufbewahrt. Offene Forderungen, Chargebacks, Widerrufe, Streit- und Missbrauchsfälle können eine längere, fallbezogene Aufbewahrung rechtfertigen.

Netzwerkmetadaten im anwendungsinternen Auditprotokoll werden nach 90 Tagen entfernt. Technische Werbe-/Kampagnenmetadaten werden nach 24 Monaten anonymisiert, soweit diese Funktionen genutzt werden. Abgelaufene Sicherheits- und Zugriffstoken werden gesperrt oder bereinigt. Verschlüsselte Sicherungskopien können Daten enthalten, die im laufenden System bereits gelöscht wurden. Wir verwenden Sicherungskopien nur für Sicherheit und Wiederherstellung und prüfen für jeden Speicherort, wann die Kopien nicht mehr erforderlich sind und entfernt werden können. Bei einer Wiederherstellung sind bereits bearbeitete Löschungen vor Wiederaufnahme des regulären Betriebs erneut zu berücksichtigen. Nicht mehr erforderliche Daten werden gelöscht oder anonymisiert.

11. Pflicht zur Bereitstellung

Die im Checkout als erforderlich gekennzeichneten Angaben werden für Vertragsschluss, Ausgabe, Zahlung, Beleg und sichere Vorgangszuordnung benötigt. Ohne diese Angaben kann die Miete nicht durchgeführt werden. Freiwillige Angaben sind als solche gekennzeichnet.

12. Automatisierte Verarbeitung und manuelle Prüfung

Technische Sicherheits-, Verfügbarkeits-, Zahlungs- und Stationsprüfungen können automatisiert erfolgen und eine Ausgabe vorsorglich sperren. Offene Zahlungs-, Rückgabe-, Widerrufs-, Missbrauchs- oder Streitfälle werden nicht allein aufgrund eines automatisierten Scores abschließend zulasten des Kunden entschieden. Eine menschliche Überprüfung kann über den Support verlangt werden. Soweit ein externer Zahlungsdienstleister eigene automatisierte Prüfungen durchführt, gelten ergänzend dessen Datenschutzhinweise.

13. Technisch erforderliche Cookies und lokale Speicherung

Wir verwenden technisch erforderliche Cookies und vergleichbare Speichermechanismen für Gastcheckout, sichere Mietlinks, freiwillige Account-Aktivierung, Login, Session, CSRF-Schutz, Zahlungsstatus, QR-Kontext und Sicherheitsfunktionen. Marketing- oder profilbildende Tracking-Cookies werden derzeit nicht eingesetzt. Einzelheiten stehen in den Cookie- und Technikhinweisen.

14. Rechte betroffener Personen

Sie haben im gesetzlichen Umfang das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen aufgrund berechtigter Interessen (Art. 21). Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

Zur Ausübung Ihrer Rechte verwenden Sie bitte den oben angegebenen Datenschutzkontakt. Wir können einen geeigneten Nachweis verlangen, damit Daten nicht an unberechtigte Dritte herausgegeben oder verändert werden. Gesetzliche Aufbewahrungs- und Nachweispflichten sowie Rechte Dritter können eine Löschung einschränken.

Sie haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, insbesondere an Ihrem gewöhnlichen Aufenthaltsort, Ihrem Arbeitsplatz oder am Ort des mutmaßlichen Verstoßes.

15. Sicherheit, Sicherungen und Änderungen

Wir treffen technische und organisatorische Maßnahmen, darunter Transportverschlüsselung, Zugriffsbeschränkungen, getrennte Berechtigungen, Protokollierung, sichere Secret-Verwaltung sowie verschlüsselte Datenbanksicherungen. Eine zusätzliche, verschlüsselte Sicherung wird kontrolliert in den lokalen Betreiber-Backupbestand übertragen.

Diese Hinweise werden angepasst, wenn sich Rechtslage, Verarbeitung oder Dienstleister ändern. Maßgeblich ist die zum Zeitpunkt des jeweiligen Vorgangs veröffentlichte und, soweit erforderlich, im Vorgang gespeicherte Fassung.