← Brand My Bike

Datenschutzerklärung

Deine Daten bleiben an einen klaren Zweck gebunden.Private Auktionsentwürfe bleiben privat, Zahlungsdaten verarbeitet Stripe und eine Route wird niemals automatisch veröffentlicht. Optionale Analytics starten erst nach deiner Einwilligung.

Gültig ab: 3. September 2026 · Version 2026-09-03

1. Verantwortlicher und Kontakt

Verantwortlich für die Plattform Brand My Bike ist Ilhan Pektas, handelnd unter GI MGMT, Waidmannstraße 1, 60596 Frankfurt am Main, Deutschland.

Datenschutzanfragen und Betroffenenrechte: hello@brandmybike.com.

2. Geltungsbereich und Verantwortungsverteilung

Diese Erklärung gilt für brandmybike.com, die deutschsprachigen Routen, Accounts, den Auction-first-Create-Funnel, Rider- und Sponsorbereiche, öffentliche Listings, über die Plattform koordinierte Zahlungen, die Strava-Verbindung, FIT-/GPX-Ride-Proofs, Support und Sicherheitsadministration.

Wir sind Verantwortlicher für den Plattformbetrieb und die separate Listing-Gebühr. Ein Rider ist eigenständig Verantwortlicher für personenbezogene Daten, die er für den direkten Werbevertrag, die Rechnungsstellung und Erfüllung erhält und nutzt. Stripe verarbeitet bestimmte Daten außerdem für eigene gesetzliche, Verifizierungs-, Betrugspräventions- und Finanzdienstleistungszwecke nach seinen Datenschutzhinweisen.

3. Welche Daten wir verarbeiten

  • Account und Profil: E-Mail-Adresse, Name, öffentlicher Handle, Rolle, Alters- und Geschäftsbestätigungen, Land, Stadt oder Region, Organisation, Sprache, öffentliche Biografie, Social-Handles und Links.
  • Authentifizierung und Sicherheit: Session-IDs, Anmeldeereignisse, IP-Adresse oder geschützte daraus gebildete Hashes, User Agent, Rate-Limit-Daten, Sicherheitsmeldungen, Passkey-/TOTP- Metadaten geschützter Admin-Accounts und Audit-Trails. Das vom Passkey-Authenticator gehaltene Geheimnis speichern wir nicht.
  • Bike und Marketplace: Bike-Bilder, Modell, Händler- und Preisnachweise, soweit erforderlich Serien- und Beschaffungsdaten, Listing, Geometrie, Placement, Auktion, Gebot, Artwork, Freigabe, Installation, Erfüllung, Streit- und Kommunikationsdaten.
  • Zahlung und Compliance: Betrag, Währung, Steuer- und Belegstatus, Stripe-Kunden-, Account- und Zahlungsreferenzen, Erstattungs- und Dispute-Status, Auszahlungsbereitschaft sowie Status von Geschäfts-, Identitäts-, Steuerwohnsitz- und DAC7-Angaben. Vollständige Kartennummern und Kartenprüfcodes werden bei Stripe eingegeben und nicht von uns gespeichert.
  • Aktivität und Nachweis: private FIT-/GPX-Rohdateien, Source-Hashes, Bike-Bestätigungen, Zeitstempel, Distanz, Dauer, Höhenmeter, Anomaliehinweise, private Koordinaten, moderierte öffentliche Routenpunkte und Veröffentlichungseinwilligung.
  • Nutzung und Reporting: eigene Profilaufrufe, Produktklicks und QR-Scans, gekürzte Kampagnen-/Referrer-Angaben, Zeitstempel und geschützte Besucherkennungen sowie die in Abschnitt 11 beschriebenen optionalen Analytics-Daten.
  • Support und Moderation: Anfragen, Inhaltsmeldungen, Entscheidungen, Nachweise, Vorfallsdaten und versionierte Rechtszustimmungen.

Daten erhalten wir von dir, anderen beteiligten Marketplace-Nutzern, Stripe, freiwillig verbundenen Diensten, deinem Gerät sowie Sicherheits- oder Zustelldienstleistern. Bitte übermittle keine Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten, sofern wir sie nicht ausdrücklich für einen rechtmäßigen Zweck anfordern.

4. Anonyme Auction Intents

Der vollständige Create-Funnel kann vor Registrierung genutzt werden. Bike-, Ownership-, Exposure-, Placement-, Preis-, Laufzeit- und Profilentwurf speichern wir bis zu sieben Tage als privaten Auction Intent. Ein hochentropischer Claim-Token liegt nur in einem Secure-, HttpOnly- und SameSite=Lax-Cookie; die Datenbank speichert ausschließlich seinen kryptografischen Hash. Hochgeladene Seitenfotos liegen im privaten Quarantäne-Storage. Browsernutzer haben keinen direkten Datenbankzugriff auf diese Datensätze. Nach Registrierung wird der Intent dem Account zugeordnet; andernfalls werden er und nicht übernommene Quarantänebilder im Bereinigungsprozess gelöscht.

5. Accounts, Anmeldung und öffentliche Profile

Supabase stellt E-Mail-Code-Anmeldung und Sessionverwaltung bereit. Google Sign-in wird nur genutzt, wenn du ihn auswählst. Die Registrierung allein veröffentlicht kein Profil. Veröffentlichung setzt den passenden Listing-, Verifizierungs- und Moderationsstatus voraus. Öffentlich sein können gewählter Name, Handle, ungefähre Stadt/Region, Biografie, Bike, freigegebenes Listing, Instagram- und YouTube-Handles, eine optionale Strava-Zuordnung und bis zu drei benannte HTTPS-Links.

Ein geschäftlicher Sponsor kann eine Gebotsanzahlung vorbereiten und bezahlen, bevor er einen Account anlegt. Für diese begrenzte Übergabe speichern wir Markenname, E-Mail-Adresse, optionale HTTPS-Website, optionalen X-Handle, hochgeladenes Logo, gewählte Fläche, Gebotsbetrag, Rechtsversions- und Stripe-Referenzen in einem privaten Sponsor Bid Intent. Ein Secure-, HttpOnly- und SameSite=Lax-Cookie enthält den Claim-Token; in der Datenbank liegt nur dessen Hash. Erst nach Verifizierung derselben E-Mail wird der bezahlte Intent einem Sponsor-Account zugeordnet. Ungeprüfte Marken und Logos werden nicht öffentlich angezeigt.

6. Auktionen, Listings und Marketplace-Reporting

Listing- und Gebotsdaten verarbeiten wir, um Projekte zu speichern, Ownership zu validieren, Auktionen durchzuführen, aktuelle Höchstbieter zu ermitteln, doppelte oder missbräuchliche Gebote zu verhindern, Inhalte zu prüfen, die Leistung zwischen Sponsor und Rider zu koordinieren und korrekte Projektzustände anzuzeigen. Öffentliche Seiten enthalten nur freigegebene Datensätze und sichere Medien-URLs, keine Privatadressen, exakten privaten Koordinaten oder Storage-Pfade.

Eigene Produkt-, Profil- und QR-Ereignisse dienen Kampagnenreporting und Missbrauchserkennung. Reports sind aggregiert oder projektbezogen und versprechen keine bestimmte Reichweite oder Verkaufswirkung.

7. Stripe-Zahlungen und Stripe Connect

Stripe verarbeitet die einmalige Listing-Veröffentlichungsgebühr auf dem Plattformkonto von Brand My Bike. Wir speichern zugehörige Listing-, Checkout-Session-, PaymentIntent-, Betrags-, Währungs-, Steuer-, Beleg-, Erstattungs-, Dispute- und Webhook-Referenzen für Erfüllung, Abgleich und Nachweis.

Sponsoranzahlungen und Restbeträge sind Direct Charges auf dem verbundenen Stripe-Händlerkonto des Riders. Brand My Bike erhält 10 % Application Fee. Stripe verarbeitet Zahlungsmerkmale, Connected-Account-Identität und Bankprüfung, Betrugsprüfung, Erstattungen und Auszahlungen. Transaktionsdaten werden zwischen Stripe, dem betroffenen Rider, Finanzinstituten und Brand My Bike geteilt, soweit dies für Verarbeitung und Dokumentation erforderlich ist. Siehe Stripe-Datenschutzhinweise.

8. Ride Proofs und öffentliche Weltkarte

FIT-/GPX-Rohdateien, vollständige Koordinatenfolgen und exakte Start- oder Endpunkte bleiben privat. Die Auswertung erfolgt in unserer Serverumgebung; das Garmin FIT SDK übermittelt eine hochgeladene Datei nicht an Garmin. Wir speichern berechnete Distanz, Dauer und Höhenmeter sowie Anomaliesignale für Verifizierung und Kampagnenreporting.

Eine Route wird niemals allein durch Upload veröffentlicht. Fordert der Rider eine öffentliche Vorschau an, werden mindestens erster und letzter Kilometer entfernt, Koordinaten reduziert und eine gesonderte Bestätigung verlangt. Die öffentliche Karte zeigt nur moderierte, ausdrücklich freigegebene Informationen – keine Rohdatei, Wohnadresse oder Live-Position. Der Widerruf der Veröffentlichung stoppt die zukünftige öffentliche Anzeige; als Vertrags- oder Anspruchsnachweis erforderliche Daten können privat bestehen bleiben.

9. Optionale Strava-Verbindung

Rider können Strava per OAuth verbinden. Wir verlangen nur lesenden Zugriff auf Profil und nicht-private Aktivitäten, niemals Schreibzugriff oder Zugriff auf „Nur ich“-Aktivitäten. Gespeichert werden Strava- Athlete-ID, Profilname/-bild, gewährte Scopes, verschlüsselte Access- und Refresh-Tokens sowie Radfahrzusammenfassungen wie Titel, Datum, Zeitzone, Distanz, Dauer, Höhenmeter, Geschwindigkeit, Sichtbarkeit, Commute-/ Trainer-Flags und Gerätename.

Routenstreams werden erst abgerufen, wenn der Rider eine Aktivität bewusst in einen Ride Proof umwandelt. Nichts wird automatisch veröffentlicht. Beim Trennen wird, soweit erreichbar, die Berechtigung bei Strava widerrufen; lokale Verbindung, verschlüsselte Zugangsdaten und importierte Zusammenfassungen werden gelöscht. Ein gesondert erstellter Ride Proof kann als privater Vertragsnachweis oder freigegebener öffentlicher Proof nach den obigen Regeln bestehen bleiben. Siehe Strava-Datenschutzhinweise.

10. E-Mail und Early Access

Resend versendet Anmelde-, Verifizierungs-, Auktions-, Zahlungs-, Moderations- und Sicherheitsnachrichten. Empfänger, Template, Versandkennung, Zustellstatus, Bounces und Beschwerden werden verarbeitet, um angeforderte Nachrichten zuzustellen und die Senderreputation zu schützen. Marketing wird nur bei wirksamer Einwilligung oder anderer Rechtsgrundlage versandt und kann abbestellt werden.

Die Early-Access-Liste enthält normalisierte E-Mail, Sprache, Rider-/ Sponsor-/Allgemein-Intent, bereinigte Quellenangabe, Bestätigungs- und Zustellstatus. Dadurch entsteht allein weder Account noch Abonnement. Siehe Resend-Datenschutzhinweise.

11. Cookies, Local Storage und Analytics

Notwendige Supabase-Session-Cookies, der Auction-Intent-Claim-Cookie und temporäre OAuth-/Sicherheitscookies authentifizieren Nutzer, erhalten den angeforderten Ablauf und verhindern Angriffe. Local Storage speichert die Einwilligungsentscheidung und Anzeige-Währung; ein benannter lokaler Entwurf kann als Offline-Fallback dienen, bis Serverspeicherung oder Claim erfolgreich sind. Diese Funktionen sind für den angeforderten Dienst erforderlich oder greifen nicht zu optionalem Tracking auf das Endgerät zu.

Vercel Analytics und DataFast laden erst nach „Analytics erlauben“. Sie können Seiten- und Interaktionsereignisse, Referrer, Geräte-/Browserdaten, Cookies oder ähnliche Kennungen, IP-Adresse und daraus abgeleitete Stadt/ Land für Audience- und Akquisitionsanalyse verarbeiten. Auf Adminseiten laden keine Analytics. Du kannst anfangs ablehnen oder die Entscheidung jederzeit unter „Datenschutzeinstellungen“ im Footer ändern; Widerruf stoppt zukünftige optionale Erhebung. Siehe Vercel-Datenschutzhinweise und DataFast-Datenschutzhinweise.

12. Zwecke und Rechtsgrundlagen

  • Art. 6 Abs. 1 lit. b DSGVO für angeforderte vorvertragliche Maßnahmen und Erfüllung von Accounts, Listings, Auktionen, Zahlungen, Placements, Support und verbundenen Aktivitätsfunktionen.
  • Art. 6 Abs. 1 lit. c DSGVO für Buchhaltungs-, Steuer-, Plattform- Melde-, Sanktions-, Zahlungs-, Regulierungs-, Inhaltsmelde- und Nachweispflichten.
  • Art. 6 Abs. 1 lit. f DSGVO für sicheren Betrieb, Betrugs- und Missbrauchsprävention, Moderation, Rechtsansprüche, Service-Diagnose und begrenztes eigenes Kampagnenreporting. Unsere Interessen sind sichere Transaktionen, Netzwerksicherheit und ein vertrauenswürdiger B2B- Marketplace.
  • Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG für optionale Analytics, Marketing und ausdrücklich öffentliche Routen-/Profilwahlen, soweit Einwilligung erforderlich ist. Sie kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

13. Empfänger und Dienstleister

Zugriff wird nach Rolle und Zweck begrenzt. Empfänger sind der an einer Transaktion beteiligte Rider oder Sponsor, autorisierte Brand-My-Bike- Administratoren, Berater und gesetzlich berechtigte Behörden sowie:

  • Vercel – Hosting, Auslieferung, Sicherheit und eingewilligte Analytics;
  • Supabase – Datenbank, Authentifizierung und privater Datei-Storage;
  • Stripe – Checkout, Connect, Steueranzeige, Verifizierung und Zahlung;
  • Resend – transaktionale E-Mail-Zustellung;
  • DataFast – eingewilligte Website-Analytics;
  • Strava und Google – nur bei gewählter Verbindung oder Anmeldung.

Provider-Informationen: Supabase, Google. Aktuelle Subprozessoren können sich ändern, wenn ein gleichwertig sicherer Dienst eingeführt wird; über wesentliche Änderungen wird diese Erklärung aktualisiert.

14. Drittlandtransfers

Obwohl zentrale Projektdaten in den konfigurierten Serviceregionen liegen, können Anbieter oder Subprozessoren Daten in den USA, Singapur oder anderen Staaten außerhalb des EWR verarbeiten. Wo kein Angemessenheitsbeschluss gilt, stützen wir Übermittlungen auf die Standardvertragsklauseln der Europäischen Kommission und ergänzende technische und organisatorische Maßnahmen, soweit anwendbar. Manche Anbieter nehmen außerdem an einem anerkannten Angemessenheitsrahmen teil. Die oben verlinkten Hinweise beschreiben die jeweils aktuellen Transferregelungen.

15. Aufbewahrung und Löschung

  • Nicht übernommene Auction Intents und Quarantänebilder: bis zu sieben Tage.
  • Nicht übernommene Sponsor Bid Intents und private Logo-Uploads: bis zu sieben Tage, sofern Zahlung, Erstattung, Betrugsprävention oder gesetzliche Aufbewahrung keine längere, zugriffsbeschränkte Speicherung erfordern.
  • Unbestätigte oder abgemeldete Early-Access-Einträge: bis zu 30 Tage.
  • Account- und Projektdaten: für Account und laufendes Vertragsverhältnis, danach Löschung oder Einschränkung, soweit keine andere Frist gilt.
  • Transaktions-, Rechnungs-, Steuer- und Buchhaltungsdaten: für die gesetzliche Frist, die nach deutschem Recht bis zu zehn Jahre betragen kann.
  • Vertrags-, Moderations-, Dispute-, Betrugs- und Sicherheitsnachweise: bis zur Erledigung und zum Ablauf maßgeblicher Verjährungsfristen.
  • Einwilligungs- und Rechtsakzeptanzdaten: als Nachweis für die anwendbare Verjährungsfrist; Widerruf wird protokolliert statt überschrieben.
  • Strava-Verbindungsdaten: bis zur Trennung; Ride Proofs folgen Kampagnen-, Nachweis- und Einwilligungsfristen.

Backups und Providerlogs verschwinden in geschützten Rotationszyklen. Eine Account-Löschanfrage geht zunächst in einen kontrollierten Ablauf, weil offene Gebote, Zahlungen, Erstattungen, 365-Tage-Placements, Disputes oder gesetzliche Pflichten eine Einschränkung statt sofortiger Löschung erfordern können. Nach Ende dieser Sperren werden Daten gelöscht oder anonymisiert.

16. Deine Rechte

Unter den gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (16), Löschung (17), Einschränkung (18), Mitteilung (19), Datenübertragbarkeit (20), Widerspruch (21) und Schutz vor einschlägigen ausschließlich automatisierten Entscheidungen (22). Einwilligungen können jederzeit für die Zukunft widerrufen werden. Vor Bearbeitung können wir die Identität prüfen. Der Accountbereich bietet außerdem einen strukturierten Datenexport und eine Löschanfrage.

Du kannst dich bei einer Datenschutzaufsicht beschweren, insbesondere beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI), Postfach 3163, 65021 Wiesbaden, E-Mail poststelle@datenschutz.hessen.de, oder über das HBDI-Beschwerdeformular.

17. Pflichtangaben und automatisierte Entscheidungen

Pflichtfelder sind im jeweiligen Ablauf gekennzeichnet. Ohne Account-, Geschäfts-, Listing- oder Zahlungsdaten können wir gegebenenfalls keinen Account erstellen, kein Listing einreichen, kein Gebot verarbeiten oder Placement erfüllen. Biografie, Social Links, Strava, öffentliche Routen, Marketing und Analytics sind für einen Account nicht erforderlich.

Wir treffen keine Entscheidungen ausschließlich automatisiert, die rechtliche oder ähnlich erhebliche Wirkung nach Art. 22 DSGVO entfalten. Automatische Validierung, Risikosignale, Gebotsreihenfolge und Lifecycle-Regeln unterstützen den Dienst; für Accountsperren, Inhaltsstreit und abschließende Prüfentscheidungen ist menschliche Bewertung verfügbar.

18. Sicherheit und Änderungen

Wir nutzen Zugriffskontrollen, Row-Level-Datenbankregeln, privaten Storage, Transportverschlüsselung, verschlüsselte OAuth-Zugangsdaten, signierte Webhooks, Rate Limits, Audit Logs und zusätzliche Admin- Authentifizierung. Kein System ist vollständig risikofrei. Bitte melde einen vermuteten Missbrauch unverzüglich an hello@brandmybike.com.

Wir aktualisieren diese Erklärung bei wesentlichen Änderungen an Produkt, Anbietern oder Recht. Aktuelle Version und Datum stehen oben. Wesentliche Änderungen werden angezeigt, bevor eine neue Akzeptanz oder Einwilligung erforderlich wird; Transaktionsdatensätze behalten die bei Erstellung geltende Version.