Datenschutzhinweise

Wir freuen uns sehr über dein Interesse an BasarBox. Der Datenschutz hat einen besonders hohen Stellenwert für uns. Diese Datenschutzerklärung klärt Nutzer (Veranstalter, Verkäufer, Käufer und Website-Besucher) über die Art, den Umfang und die Zwecke der Erhebung und Verwendung personenbezogener Daten durch die BasarBox-Plattform auf.

BasarBox ist eine Software-as-a-Service (SaaS) Plattform. Wir stellen Veranstaltern von Basaren, Flohmärkten und Vereinsverkäufen eine digitale Infrastruktur zur Organisation ihrer Events zur Verfügung. Aus diesem Modell (B2B2C) ergeben sich zwei unterschiedliche datenschutzrechtliche Rollen für uns:

• Gegenüber dem Veranstalter: Wenn du als Veranstalter ein Konto bei BasarBox eröffnest, sind wir datenschutzrechtlich der Verantwortliche für deine Account- und Abrechnungsdaten.
• Gegenüber Verkäufern & Käufern: Wenn du dich als Verkäufer auf der Webseite eines bestimmten Basars registrierst, ist der jeweilige Veranstalter der rechtlich Verantwortliche für deine Daten. BasarBox agiert hier lediglich als technischer Dienstleister, als sogenannter Auftragsverarbeiter (AVV) im Sinne des Art. 28 DSGVO.

1. Verantwortliche Stelle

Verantwortlich für die Datenverarbeitung auf dieser Website (und für die Daten der Veranstalter) im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

2. Allgemeine Datenerfassung auf der Website

2.1 Server-Log-Dateien

Der Provider der Seiten erhebt und speichert automatisch Informationen in so genannten Server-Log-Dateien, die dein Browser automatisch an uns übermittelt. Dies sind:

• Browsertyp und Browserversion
• Verwendetes Betriebssystem
• Referrer URL (die zuvor besuchte Seite)
• Hostname des zugreifenden Rechners
• Uhrzeit der Serveranfrage
• IP-Adresse

Eine Zusammenführung dieser Daten mit anderen Datenquellen wird nicht vorgenommen. Die Erfassung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Wir haben ein berechtigtes Interesse an der technically fehlerfreien Darstellung und der Optimierung der Website.

2.2 Cookies & Local Storage

BasarBox verwendet sogenannte "Cookies" sowie den lokalen Speicher deines Browsers (Local Storage), um die Nutzung der Plattform zu ermöglichen. Wir verzichten generell auf Tracking- oder Werbe-Cookies. Es kommen ausschließlich technisch zwingend notwendige Cookies und Tokens zum Einsatz (z.B. zur Verwaltung deines Login-Status und deiner laufenden Session).

Die Speicherung dieser technisch notwendigen Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Ohne diese Technologien kann die Plattform (Login, Registrierung, Artikelverwaltung) nicht funktionieren.

3. Datenverarbeitung bei Registrierung und Nutzung

3.1 Für Veranstalter (B2B)

Wenn du als Veranstalter ein Eventkonto bei BasarBox eröffnest, erheben wir folgende Daten:

• Name bzw. Organisationsname (z.B. "Förderverein Kita Sonnenstrahl")
• E-Mail-Adresse und Passwort (verschlüsselt)
• Event-Details (Datum, Ort, Bedingungen)

Zweck: Bereitstellung des SaaS-Dienstes, vertragliche Kommunikation, Support und ggf. Rechnungsstellung.
Rechtsgrundlage: Erfüllung eines Vertrags bzw. vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO).

3.2 Für Verkäufer und Helfer (B2C)

Wenn du dich als Verkäufer auf der Subdomain eines durch einen Veranstalter ausgerichteten Basars registrierst, erheben wir in dessen Auftrag strukturierte Daten. Rechtlich verantwortlich für diese Daten ist immer der jeweilige Veranstalter!BasarBox speichert die Daten auf Weisung des Veranstalters (Auftragsverarbeitungsvertrag). Erhoben werden typischerweise:

• Vorname, Nachname
• E-Mail-Adresse (zur Zusendung der Startnummer und Status-Updates)
• Telefonnummer (falls vom Veranstalter für Rückfragen oder PayOut via PayPal verlangt)
• Artikelstammdaten (Bezeichnung, Preis, Größe) der zu verkaufenden Waren
• Abrechnungs- und Transaktionsdaten (was wurde verkauft)

Zweck: Durchführung des Basars/Flohmarktes (Zuteilung Verkäufer-ID, Generierung der Etiketten, Scannen an der Kasse, Abrechnung der Verkaufserlöse).
Rechtsgrundlage des Veranstalters: In der Regel Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) im Rahmen der Teilnahmebedingungen des Basars.

4. Auftragsverarbeiter und eingesetzte Technologien (Hosting)

Um die BasarBox-Plattform sicher, hochverfügbar und modern anbieten zu können, bedienen wir uns als Betreiber spezialisierter Cloud-Infrastruktur-Dienstleister. Wir haben mit allen Dienstleistern Verträge zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO geschlossen bzw. sichern durch Standardvertragsklauseln (SCC) bei Drittlandsübermittlungen das Datenschutzniveau der EU ab.

4.1 Supabase (Datenbank & Authentifizierung)

Für die Speicherung sämtlicher Applikationsdaten (Benutzerprofile, Artikel, Transaktionen) sowie den Login-Prozess (Authentifizierung) nutzen wirSupabase (Supabase Inc., 972 E. Fremont Ave., Sunnyvale, CA 94087, USA). Wir betreiben Supabase auf Servern innerhalb der EU (z.B. Frankfurt am Main), um den höchsten Datenschutzstandards zu genügen. Passwörter werden mittels modernster Hash-Algorithmen verschlüsselt hinterlegt und können weder von uns noch vom Veranstalter eingesehen werden.

4.2 Resend (E-Mail Versand)

Zum systemseitigen Versand von E-Mails (Bestätigungs-Mails nach der Registrierung, Zusendung der zugewiesenen Verkäufernummer, Passwort zurücksetzen) nutzen wir den Dienst Resend (Resend Inc., 2261 Market Street #5468, San Francisco, CA 94114, USA). Dabei werden die E-Mail-Adresse und der Vorname sowie der Systemtext der E-Mail über die API von Resend verarbeitet, um die Zustellung sicherzustellen.

4.3 Hosting

Unsere Anwendung und statischen Inhalte werden auf sicheren Servern europäischer Cloud-Anbieter betrieben (derzeit Hetzner Online GmbH, Deutschland / Vercel Inc., USA mit European Edge Locations), wodurch kürzeste Ladezeiten bei maximaler Kontrolle garantiert sind.

5. Dauer der Datenspeicherung und Löschung

Wir speichern deine Daten nur so lange, wie es für die Erreichung der genannten Zwecke erforderlich ist oder wie es die vom Gesetzgeber vorgesehenen Aufbewahrungsfristen (z.B. aus Handels- oder Steuerrecht) vorschreiben.

• Veranstalter-Daten (B2B): Werden bis zur Löschung deines Veranstalter-Accounts bei uns gespeichert. Wir löschen Inaktive Konten automatisch nach Ablauf der gesetzlichen Aufbewahrungsfrist.
• Verkäufer- und Käuferdaten (B2C): Da der Veranstalter hierfür rechtlich verantwortlich ist, liegt die Dauer der Aufbewahrung in seiner Hand. In der Regel haben Veranstalter Kontrollpflichten zur steuerlich korrekten Abrechnung.
• System-Automatisierung: Wir bieten den Veranstaltern Funktionen an, Transaktions- und Artikeldaten nach erfolgreicher Auszahlung sicher zu anonymisieren oder zu löschen, um dem Prinzip der Datensparsamkeit Folge zu leisten.

6. Datensicherheit

Wir bedienen uns geeigneter technischer und organisatorischer Sicherheitsmaßnahmen (TOMs), um deine Daten gegen zufällige oder vorsätzliche Manipulationen, teilweisen oder vollständigen Verlust, Zerstörung oder gegen den unbefugten Zugriff Dritter zu schützen.

Dazu gehört insbesondere die verschlüsselte Übertragung aller Datenverkehrs (erkennbar an dem "https://" und dem Schloss-Symbol in der Browserzeile, SSL/TLS-Verschlüsselung) sowie restriktive Row-Level-Security (RLS) Richtlinien auf der Datenbank, die sicherstellen, dass Mandanten (Veranstalter) technisch isoliert nur auf ihre eigenen Daten und die dazugehörigen Verkäufer zugreifen können (Mandantenfähigkeit).

7. Deine Rechte als betroffene Person

Werden personenbezogene Daten von dir verarbeitet, bist du "betroffene Person" im Sinne der DSGVO und es stehen dir folgende Rechte gegenüber dem jeweiligen Verantwortlichen (je nach Rolle, siehe Abschnitt 1, entweder BasarBox oder dem Veranstalter des Basars) zu:

• Auskunftsrecht (Art. 15 DSGVO): Du kannst Auskunft darüber verlangen, ob und welche deiner Daten von uns verarbeitet werden.
• Recht auf Berichtigung (Art. 16 DSGVO): Du hast ein Recht auf sofortige Berichtigung unrichtiger oder Vervollständigung deiner Daten.
• Recht auf Löschung (Art. 17 DSGVO "Recht auf Vergessenwerden"): Du kannst die Löschung deiner bei uns gespeicherten personenbezogenen Daten verlangen, soweit die Verarbeitung nicht zur Ausübung des Rechts auf freie Meinungsäußerung, zur Erfüllung einer rechtlichen Verpflichtung oder zur Geltendmachung von Rechtsansprüchen erforderlich ist.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Du kannst die Einschränkung der Verarbeitung deiner Daten verlangen, z.B. wenn die Richtigkeit der Daten von dir bestritten wird.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Du hast das Recht, Daten, die wir auf Grundlage deiner Einwilligung oder in Erfüllung eines Vertrags verarbeiten, in einem gängigen Format aushändigen zu lassen.
• Widerrufsrecht bei Einwilligungen (Art. 7 Abs. 3 DSGVO): Wenn wir deine Daten auf Basis deiner aktiven Einwilligung verarbeiten, kannst du diese jederzeit für die Zukunft widerrufen.
• Beschwerderecht (Art. 77 DSGVO): Du hast das Recht, dich im Falle datenschutzrechtlicher Verstöße bei einer zuständigen Aufsichtsbehörde zu beschweren.

Hinweis für Verkäufer: Da bei Transaktionen des Basars der jeweilige Verein/Veranstalter der rechtlich Verantwortliche ist, richte konkrete Lösch- oder Auskunftsersuchen zu deinen Verkaufsdaten bitte immer primär an den Veranstalter des Flohmarktes, dessen Kontaktdaten auf der Landingpage des Events abgedruckt sind.