Datenschutzerklärung

1. Verantwortliche

Verantwortlich für die Verarbeitung personenbezogener Daten im Rahmen von Kalution ist:

Nada El-Achbah
Lambarenestraße 39
47249 Duisburg
Deutschland

E-Mail: kontakt@kalution.de

2. Gegenstand und Stand des Angebots

Kalution ist eine digitale Plattform zur Verwaltung von Fahrzeugdaten, zur KI-gestützten ersten Orientierung bei Fahrzeugproblemen und zur Kontaktvermittlung zwischen Fahrzeughaltern und Werkstätten.

Kalution befindet sich derzeit in einer kostenlosen Beta- und Testphase. Funktionen können während dieser Phase verändert, erweitert, eingeschränkt oder zeitweise deaktiviert werden.

Diese Datenschutzerklärung erläutert, welche personenbezogenen Daten verarbeitet werden, zu welchen Zwecken dies erfolgt, welche Empfänger Daten erhalten können und welche Rechte betroffene Personen haben.

3. Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt insbesondere auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 Buchst. a DSGVO, wenn eine Einwilligung erteilt wurde;
• Art. 6 Abs. 1 Buchst. b DSGVO, soweit die Verarbeitung zur Bereitstellung angeforderter Plattformfunktionen, zur Vertragsanbahnung oder zur Durchführung eines Nutzungsverhältnisses erforderlich ist;
• Art. 6 Abs. 1 Buchst. c DSGVO, soweit eine rechtliche Verpflichtung besteht;
• Art. 6 Abs. 1 Buchst. f DSGVO, soweit die Verarbeitung zur Wahrung berechtigter Interessen erforderlich ist, insbesondere für IT-Sicherheit, Missbrauchsschutz, Fehleranalyse und den stabilen Betrieb der Plattform.

Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

4. Aufruf der Website und technische Daten

Beim Aufruf der Website können technisch erforderliche Daten verarbeitet werden, insbesondere:

• IP-Adresse;
• Datum und Uhrzeit des Zugriffs;
• aufgerufene Seite oder Datei;
• Browsertyp und Browserversion;
• Betriebssystem;
• Referrer-URL;
• HTTP-Statuscode;
• technische Fehler- und Sicherheitsinformationen.

Die Verarbeitung dient der Bereitstellung, Stabilität und Sicherheit der Website sowie der Erkennung von Fehlern und Missbrauch.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO.

Technische Systemereignisse werden nach der aktuellen Konfiguration grundsätzlich für bis zu 90 Tage gespeichert. Für einzelne Infrastruktur- oder Serverprotokolle können abweichende Fristen gelten.

5. Registrierung und Nutzerkonto

Bei der Registrierung und Verwaltung eines Nutzerkontos können insbesondere folgende Daten verarbeitet werden:

• Name;
• E-Mail-Adresse;
• Passwort in gehashter Form;
• Nutzerrolle;
• Betriebsart bei Werkstattkonten;
• E-Mail-Verifizierungsstatus;
• Zeitpunkt datenschutzbezogener Zustimmungen;
• letzter Login-Zeitpunkt;
• Benachrichtigungseinstellungen;
• technische Sicherheitsdaten.

Passwörter werden nicht im Klartext gespeichert.

Die Verarbeitung erfolgt zur Einrichtung, Verwaltung und Absicherung des Kontos sowie zur Bereitstellung der jeweiligen Plattformfunktionen.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO. Sicherheitsbezogene Verarbeitung erfolgt zusätzlich auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO.

6. Kunden-, Werkstatt- und Gastdaten

6.1 Kundendaten

Im Kundenbereich können insbesondere Konto-, Fahrzeug-, Analyse-, Anfrage-, Auftrags-, Termin-, Nachrichten- und Bewertungsdaten verarbeitet werden.

6.2 Werkstattdaten

Werkstätten können insbesondere folgende Angaben hinterlegen:

• Betriebsname;
• Anschrift und Postleitzahl;
• Telefonnummer;
• E-Mail-Adresse;
• Website;
• Beschreibung und Spezialisierungen;
• Leistungen und Preise;
• Kapazitäten und Termine;
• Profil- und Galeriebilder;
• Anfragen, Aufträge und Kundenkommunikation.

Bestimmte Werkstattangaben werden öffentlich angezeigt.

6.3 Gastanfragen

Anfragen an Werkstätten können teilweise ohne Nutzerkonto gestellt werden.

Dabei können insbesondere folgende Daten verarbeitet werden:

• Name;
• E-Mail-Adresse;
• Fahrzeugdaten;
• Nachrichtentexte;
• hochgeladene Dateien und Bilder;
• technische Zugriffs- und Bestätigungstoken.

Zur Bestätigung der E-Mail-Adresse kann ein Double-Opt-in-Verfahren eingesetzt werden.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO.

7. Fahrzeugdaten und Fahrzeughistorie

Je nach Nutzung können insbesondere folgende Fahrzeugdaten verarbeitet werden:

• Marke und Modell;
• Baujahr;
• Kilometerstand;
• Kennzeichen;
• Fahrgestellnummer;
• Erstzulassung;
• Kraftstoffart;
• Leistung;
• Getriebe;
• Farbe;
• HU- oder TÜV-Datum;
• Wartungs- und Reparaturhistorie;
• Kostenangaben;
• Werkstatt- und Servicenachweise;
• Bilder und Dokumente.

Die Daten werden zur Fahrzeugverwaltung, zur Erstellung einer Fahrzeughistorie, für Werkstattanfragen und nach gesonderter Einwilligung für die KI-Analyse verwendet.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO. Die KI-Verarbeitung erfolgt zusätzlich auf Grundlage einer Einwilligung gemäß Art. 6 Abs. 1 Buchst. a DSGVO.

8. KI-gestützte Analyse und OpenAI

Kalution bietet eine KI-gestützte unverbindliche Ersteinschätzung von Fahrzeugproblemen an.

Hierfür können insbesondere folgende Daten an den eingesetzten KI-Dienst übermittelt werden:

• Fahrzeugmarke;
• Fahrzeugmodell;
• Baujahr;
• Kilometerstand;
• Erstzulassung;
• Kraftstoffart;
• Leistung;
• Getriebe;
• Farbe;
• HU- oder TÜV-Datum;
• Freitextbeschreibung des Problems;
• bis zu zehn hochgeladene Bilder.

Das Kennzeichen wird nach dem aktuellen technischen Stand nicht als eigenes Textfeld an den KI-Dienst übertragen. Es kann jedoch auf hochgeladenen Bildern sichtbar sein.

Analysebilder werden vor der Übermittlung in ein JPEG-Format umgewandelt und vorhandene EXIF-Metadaten werden entfernt.

Als KI-Dienst wird die OpenAI-API eingesetzt. Der aktuelle Code verwendet das Modell gpt-4o-mini.

Die Analyse erfolgt nur nach aktiver Einwilligung.

Die erzeugten Ergebnisse können Hinweise zu möglichen Ursachen, Dringlichkeit, Prüfempfehlungen und groben Kostenbereichen enthalten. Sie stellen keine technische Diagnose, keine Begutachtung, keine verbindliche Reparaturempfehlung und keine abschließende Sicherheitsbewertung dar.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. a DSGVO.

Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums kann abhängig von den vertraglichen und technischen Einstellungen des Dienstleisters nicht vollständig ausgeschlossen werden. In diesem Fall erfolgt eine Übermittlung nur unter Beachtung der gesetzlichen Voraussetzungen.

9. Uploads und Dateien

Nutzer können je nach Funktion insbesondere folgende Inhalte hochladen:

• Fahrzeug- und Schadensbilder;
• Rechnungen;
• Reparatur- und Wartungsnachweise;
• HU- und TÜV-Dokumente;
• Serviceunterlagen;
• Anhänge zu Nachrichten und Anfragen;
• Werkstatt-Profil- und Galeriebilder.

Nutzer dürfen nur Dateien hochladen, zu deren Verwendung sie berechtigt sind.

Analyse-, Fahrzeug- und Dokumentdateien werden nach dem aktuellen technischen Stand lokal auf dem für Kalution eingesetzten Server gespeichert und nur über zugriffsgeschützte Routen ausgeliefert.

Werkstatt-Profil- und Galeriebilder können über Cloudinary gespeichert und öffentlich ausgeliefert werden.

Beim Löschen oder Ersetzen entsprechender Cloudinary-Bilder wird nach dem aktuellen technischen Stand auch die zugehörige Datei beim Dienstleister entfernt.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO. Soweit Inhalte freiwillig öffentlich bereitgestellt werden, kann zusätzlich Art. 6 Abs. 1 Buchst. a DSGVO einschlägig sein.

10. Öffentlicher Fahrzeug-Passport

Nutzer können bestimmte Fahrzeugdaten freiwillig über einen öffentlichen Fahrzeug-Passport zugänglich machen.

Die öffentliche Freigabe erfolgt nur nach einer aktiven Entscheidung des Nutzers.

Kennzeichen und Fahrgestellnummer werden in der öffentlichen Darstellung teilweise maskiert. Andere freigegebene Fahrzeugdaten und Historieneinträge können öffentlich sichtbar sein.

Die Freigabe kann jederzeit wieder deaktiviert werden.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. a DSGVO.

11. Werkstattanfragen, Nachrichten, Termine und Aufträge

Bei der Kommunikation zwischen Kunden und Werkstätten können insbesondere folgende Daten verarbeitet werden:

• beteiligte Nutzer und Werkstätten;
• Fahrzeugdaten;
• Problembeschreibungen;
• Nachrichten;
• Dateien und Bilder;
• Angebote und Preisvorschläge;
• Terminwünsche und Termindaten;
• Auftragsstatus;
• Stornierungen.

Die Daten werden den jeweils beteiligten Parteien zugänglich gemacht und zur Bearbeitung und Dokumentation des Vorgangs gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO.

Kalution vermittelt den Kontakt und wird nicht automatisch selbst Partei eines Reparatur- oder Werkstattvertrags.

12. Bewertungen

Nach einem Auftrag können Nutzer Werkstätten bewerten.

Dabei können Sternebewertungen, Kommentartexte und Antworten der Werkstatt öffentlich angezeigt werden.

Inhalte können moderiert, gesperrt oder entfernt werden, wenn konkrete Anhaltspunkte für rechtswidrige, beleidigende, diskriminierende, offensichtlich falsche, manipulierte oder missbräuchliche Inhalte bestehen.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b und f DSGVO.

13. E-Mail-Kommunikation

Kalution versendet funktionsbezogene E-Mails, insbesondere:

• Verifizierungs- und Bestätigungs-E-Mails;
• Passwort-Reset-E-Mails;
• Benachrichtigungen zu Anfragen, Angeboten und Terminen;
• Nachrichtenbenachrichtigungen;
• Auftragsinformationen;
• Bewertungsaufforderungen;
• Benachrichtigungen für Werkstätten.

Hierfür werden insbesondere Name, E-Mail-Adresse und der jeweilige Nachrichteninhalt verarbeitet.

Der Versand erfolgt über einen konfigurierten SMTP-Dienstleister. Der konkret eingesetzte Anbieter hängt von der aktuellen Serverkonfiguration ab.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO. Technische Zustell- und Fehlerprotokolle werden auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO verarbeitet.

Volle E-Mail-Adressen werden nach der aktuellen technischen Umsetzung in allgemeinen Anwendungslogs maskiert. Strukturierte Versandprotokolle können zur Nachvollziehbarkeit des Versands weiterhin Empfängeradresse, Betreff, Kategorie, Status und Fehlermeldungen enthalten.

14. Cloudflare Turnstile

Sofern Cloudflare Turnstile aktiviert ist, wird der Dienst zum Schutz der Registrierung vor automatisierten und missbräuchlichen Eingaben eingesetzt.

Dabei können insbesondere ein Prüf-Token, die IP-Adresse und technische Browserinformationen an Cloudflare übermittelt werden.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO.

Soweit Informationen auf dem Endgerät gespeichert oder ausgelesen werden, erfolgt dies nur unter Beachtung der gesetzlichen Voraussetzungen.

15. PostHog

Kalution verwendet PostHog zur Analyse der Nutzung und zur Verbesserung der Plattform.

Dabei können insbesondere verarbeitet werden:

• aufgerufene Seiten;
• Klick- und Interaktionsdaten;
• technische Browser- und Geräteinformationen;
• interne Nutzerkennung bei angemeldeten Nutzern;
• Zeitpunkte und Reihenfolge bestimmter Aktionen;
• Produkt- und Nutzungsereignisse.

Nach der aktuellen technischen Umsetzung wird PostHog erst geladen, nachdem der Nutzer der Kategorie „Analyse" aktiv zugestimmt hat.

Vor einer Einwilligung wird kein PostHog-Skript geladen und es werden keine PostHog-Trackingdaten gesendet.

Nach einem Widerruf wird das Tracking beendet und vorhandene PostHog-Cookies und vergleichbare lokale Speicherungen werden soweit technisch möglich entfernt.

PostHog ist im Administrationsbereich deaktiviert.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. a DSGVO. Soweit auf Informationen im Endgerät zugegriffen oder dort Informationen gespeichert werden, erfolgt dies auf Grundlage von § 25 Abs. 1 TDDDG.

Die Einwilligung kann jederzeit über die Seite „Datenschutzeinstellungen" geändert oder widerrufen werden.

16. Sentry

Sofern Sentry auf dem Produktivsystem aktiviert ist, kann der Dienst zur Fehleranalyse und Stabilitätsüberwachung eingesetzt werden.

Dabei können insbesondere folgende Daten verarbeitet werden:

• Fehlermeldungen;
• Stacktraces;
• aufgerufene Route;
• HTTP-Methode;
• technische Browser-, Geräte- und Serverinformationen;
• Zeitpunkt und Kontext eines Fehlers.

Nach der aktuellen Code-Konfiguration ist die automatische Übermittlung standardmäßiger personenbezogener Identifikationsdaten nicht ausdrücklich aktiviert.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO.

17. Cookies und Consent-Verwaltung

Kalution verwendet ein technisch notwendiges Session-Cookie mit dem Namen session.

Dieses Cookie dient insbesondere:

• der Anmeldung;
• der Aufrechterhaltung der Nutzersitzung;
• dem CSRF-Schutz;
• der Bereitstellung angeforderter Funktionen;
• der Speicherung sicherheitsrelevanter Sitzungsinformationen.

Das Cookie ist nach der aktuellen Konfiguration mit Secure, HttpOnly und SameSite=Lax versehen und wird grundsätzlich als Sitzungscookie verwendet.

Zusätzlich wird das Cookie kalution_consent verwendet.

Darin werden insbesondere gespeichert:

• die gewählten Consent-Kategorien;
• die Version der Consent-Struktur;
• die Entscheidung des Nutzers;
• der Zeitpunkt der Speicherung.

Das Consent-Cookie wird nach der aktuellen technischen Umsetzung für bis zu 180 Tage gespeichert.

Es dient ausschließlich dazu, die Cookie- und Trackingauswahl des Nutzers zu speichern.

Technisch notwendige Cookies werden unabhängig von einer Einwilligung eingesetzt, soweit sie für die ausdrücklich angeforderten Funktionen erforderlich sind.

Analyse-Technologien werden erst nach aktiver Einwilligung geladen.

Rechtsgrundlage für technisch notwendige Cookies ist Art. 6 Abs. 1 Buchst. b und f DSGVO in Verbindung mit § 25 Abs. 2 Nr. 2 TDDDG.

Rechtsgrundlage für Analyse-Technologien ist Art. 6 Abs. 1 Buchst. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG.

Die Auswahl kann jederzeit über die Seite „Datenschutzeinstellungen" geändert oder widerrufen werden.

18. Lokale Schriftarten

Die auf Kalution verwendete Schriftart „Inter" wird nach der aktuellen technischen Umsetzung lokal vom Kalution-Server ausgeliefert.

Beim Laden der Schriftart wird daher keine Verbindung zu Google Fonts hergestellt.

19. Interne Produkt-, Sicherheits- und Kommunikationsprotokolle

Kalution führt interne Protokolle, unter anderem für:

• technische Systemereignisse;
• Produkt- und Funktionsereignisse;
• E-Mail-Versandstatus;
• Sicherheits- und Rate-Limiting-Prüfungen;
• administrative Änderungen;
• Support-Ticket-Verläufe;
• Moderationsvorgänge.

Die Protokolle dienen dem sicheren Betrieb, der Fehlerdiagnose, der Missbrauchsabwehr und der Nachvollziehbarkeit administrativer Vorgänge.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO.

Technische Systemereignisse werden nach aktueller Konfiguration grundsätzlich nach 90 Tagen bereinigt.

Für einige andere Protokollarten existiert derzeit keine automatisierte Löschfrist. Sie werden nur so lange gespeichert, wie dies für den jeweiligen Zweck erforderlich ist.

20. Empfänger personenbezogener Daten

Personenbezogene Daten können, soweit erforderlich, insbesondere folgenden Empfängern zugänglich gemacht werden:

• angefragten oder beauftragten Werkstätten;
• Hosting- und Infrastruktur-Dienstleistern;
• E-Mail-Versanddienstleistern;
• OpenAI im Rahmen der KI-Analyse;
• Cloudinary für Werkstatt-Profil- und Galeriebilder;
• PostHog nach vorheriger Einwilligung;
• Cloudflare bei aktiviertem Turnstile;
• Sentry, sofern aktiviert;
• Behörden oder sonstigen Stellen bei gesetzlicher Verpflichtung.

Personenbezogene Daten werden nicht zu Werbezwecken verkauft.

21. Verarbeitung außerhalb der EU oder des EWR

Einige Dienstleister können Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeiten.

Eine Übermittlung erfolgt nur unter Beachtung der gesetzlichen Voraussetzungen, insbesondere auf Grundlage eines Angemessenheitsbeschlusses, geeigneter Garantien oder einer ausdrücklich erteilten Einwilligung.

22. Speicherdauer

Personenbezogene Daten werden grundsätzlich nur so lange gespeichert, wie dies für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

Insbesondere gilt:

• Kontodaten werden grundsätzlich bis zur Kontolöschung gespeichert;
• Fahrzeug-, Analyse-, Anfrage- und Auftragsdaten werden bis zur Löschung, Kontolöschung oder zum Wegfall des Verarbeitungszwecks gespeichert;
• Verifizierungs- und Passwort-Reset-Token werden nach Nutzung, Ablauf oder Löschung des Kontos nicht weiter benötigt;
• technische Systemereignisse werden grundsätzlich nach 90 Tagen gelöscht;
• öffentliche Inhalte bleiben bis zur Löschung, Deaktivierung oder Moderation sichtbar;
• gesetzlich aufzubewahrende Daten können für die Dauer der jeweiligen Frist gesperrt aufbewahrt werden.

Backups können Daten vorübergehend auch nach einer Löschung enthalten. Sie werden ausschließlich zur Wiederherstellung bei technischen Störungen genutzt und im Rahmen der Backup-Zyklen überschrieben oder gelöscht.

23. Automatisierte Entscheidungen

Die KI-Analyse erzeugt automatisiert eine unverbindliche Ersteinschätzung.

Sie führt nicht automatisch zu einer rechtlichen, vertraglichen oder vergleichbar erheblichen Entscheidung gegenüber dem Nutzer.

Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO mit rechtlicher oder ähnlich erheblicher Wirkung findet nach dem derzeitigen Funktionsumfang nicht statt.

24. Datensicherheit

Kalution setzt technische und organisatorische Maßnahmen ein, um personenbezogene Daten zu schützen.

Dazu gehören insbesondere:

• HTTPS-Verschlüsselung;
• gehashte Passwörter;
• CSRF-Schutz;
• rollenbasierte Zugriffskontrollen;
• objektbezogene Berechtigungsprüfungen;
• Rate-Limiting;
• Zwei-Faktor-Authentifizierung im Administrationsbereich;
• Sicherheitsprüfungen bei Datei-Uploads;
• Größen- und Dateitypbeschränkungen;
• sichere Cookie-Einstellungen;
• Content-Security-Policy;
• geschützte Dateirouten für private Uploads;
• Maskierung bestimmter Daten in allgemeinen Logs.

Ein vollständiger Schutz vor sämtlichen technischen Risiken kann nicht garantiert werden.

25. Rechte betroffener Personen

Betroffene Personen haben im Rahmen der gesetzlichen Voraussetzungen insbesondere das Recht auf:

• Auskunft nach Art. 15 DSGVO;
• Berichtigung nach Art. 16 DSGVO;
• Löschung nach Art. 17 DSGVO;
• Einschränkung der Verarbeitung nach Art. 18 DSGVO;
• Datenübertragbarkeit nach Art. 20 DSGVO;
• Widerspruch nach Art. 21 DSGVO;
• Widerruf erteilter Einwilligungen;
• Beschwerde bei einer Datenschutzaufsichtsbehörde.

Angemeldete Nutzer können einen Teil ihrer gespeicherten Daten über die Exportfunktion herunterladen und die Löschung ihres Kontos über die Kontoeinstellungen veranlassen.

Datenschutzanfragen können an folgende Adresse gerichtet werden:

kontakt@kalution.de

26. Widerspruchsrecht

Soweit personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO verarbeitet werden, besteht aus Gründen, die sich aus der besonderen Situation der betroffenen Person ergeben, ein Recht auf Widerspruch.

Nach einem Widerspruch wird die Verarbeitung beendet, sofern keine zwingenden schutzwürdigen Gründe oder gesetzliche Verpflichtungen entgegenstehen.

27. Beschwerderecht

Betroffene Personen haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.

Für Nordrhein-Westfalen ist insbesondere zuständig:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen

Die aktuellen Kontaktdaten sind über die offizielle Website der Aufsichtsbehörde abrufbar.

28. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung kann angepasst werden, wenn sich Funktionen, Dienstleister, Datenverarbeitungen oder gesetzliche Anforderungen ändern.

Es gilt die jeweils auf Kalution veröffentlichte Fassung.

Stand: Juli 2026

← Zur Startseite