Datenschutz · Launch-Entwurf
Noch keine finale Rechtserklärung. Rechtsträger, Anschrift, Gerichtsbarkeit, Auftragsverarbeitungsverträge und Löschfristen müssen vor Aktivierung echter Registrierungen vollständig und rechtlich freigegeben sein.
1. Verantwortlicher und Kontakt
Verantwortlicher wird der im Impressum benannte rechtliche Betreiber. Solange dessen Pflichtangaben fehlen, bleiben Produktions-Accounts und Zahlungen technisch gesperrt. Datenschutzkontakt: hello@brandmybike.com.
2. Geplante Datenkategorien
Account- und Kontaktdaten; Riderrolle, Organisationsrolle und Mitgliedschaften; Alter, Accounttyp und Geschäftsbestätigungen; Identität, Unternehmen, Steuerwohnsitz, DAC7- und Auszahlungsprüfung; exaktes Bike, Händlerpreis, Kampagne, Auktion, Anzahlung, Restzahlung, Erstattung, Beschaffung, Rechnung, Seriennummer, Druck und Placement; Sponsorprodukte; Stripe-Referenzen, aber keine vollständigen Kartendaten; private FIT-/GPX-Dateien und abgeleitete Ride Proofs; Klick-/QR-Ereignisse; Support, Moderation, Anomalie, Streit, Audit und versionierte Einwilligungen.
3. Zwecke und Rechtsgrundlagen
Die Verarbeitung dient Accountführung, Auktionen und Sponsoringverträgen, Betrugsprävention, Zahlungen, Moderation, Support und gesetzlichen Buchhaltungs-, Steuer- und Plattformpflichten. Je nach finalem Betreiber und Vertragsverhältnis kommen Vertragserfüllung, vorvertragliche Maßnahmen, rechtliche Pflichten, berechtigte Interessen an Sicherheit und Missbrauchsschutz sowie Einwilligung für optionale Analytics, Marketing, Aktivitätsverbindungen und Kartenanzeige in Betracht.
4. Öffentliche Profile, Karte und Ride-Proof-Routen
Eine Registrierung veröffentlicht kein Profil. Die 3D-Weltkarte enthält nur verifizierte Rider mit Opt-in und zeigt gerundete Stadtstandorte, moderierte Auktionen und ausdrücklich freigegebene geschützte Routen – niemals Wohnadresse, Rohdatei oder Live-Position. FIT-/GPX-Rohdaten bleiben privat. Vor Veröffentlichung werden mindestens erster und letzter Kilometer entfernt und Koordinaten reduziert; danach bestätigt der Rider eine separate Vorschau. Widerruf stoppt die künftige öffentliche Anzeige, soweit Vertrags- oder Aufbewahrungspflichten nicht entgegenstehen.
5. Zahlungen und Prüfung
Stripe verarbeitet 20-%-Anzahlung, Gewinnerrestbetrag, Sponsor-Servicefee, Erstattungen, Connected-Account-Prüfung und zulässige Transfers nach eigenen Hinweisen. Brand My Bike speichert IDs, Freigaben, Betragsbestandteile und Ereignisse für Abgleich, Rechnungen, Wiederholungen, Disputes und Audit. Das Modell nutzt getrennte Charges/Transfers und ist kein Escrow/Treuhandkonto.
6. Dienstleister und Transfers
Vorgesehen sind Vercel für Hosting, Supabase für Datenbank/Auth/privaten Storage, Stripe für Zahlungen und Prüfung, ein freigegebener E-Mail-Dienst und ein freigegebener Printpartner. Garmins serverseitiges FIT SDK und ein gehärteter XML-Parser verarbeiten Dateien innerhalb Brand My Bike; Garmin erhält über die Bibliothek keine Uploads. Strava wird nicht für öffentliches oder Sponsor-Reporting genutzt und bleibt ohne schriftliche Sonderfreigabe deaktiviert. Vor Aktivierung müssen Verträge, Subprozessoren, Transfers und geeignete EU-Regionen dokumentiert werden.
7. Aufbewahrung
Vorgeschlagen sind 30 Tage für abgelehnte Uploads, 90 Tage für Sicherheitslogs ohne Vorfall, 24 Monate für inaktive unbestätigte Accounts, Einwilligungsnachweise für die maßgebliche Verjährungsfrist und Transaktions-/Steuerdaten entsprechend dem Recht des Betreiberstaats. Löschanträge werden umgesetzt, soweit keine Pflicht entgegensteht.
8. Analytics und Browser-Speicher
Notwendige Session- und Sicherheitsfunktionen benötigen keine optionale Zustimmung. Vercel Analytics lädt erst nach „Analytics erlauben“ und kann über die Datenschutzeinstellungen im Footer wieder deaktiviert werden. Demo-Entwürfe können im Vorschaumodus weiterhin namespaced im localStorage liegen.
9. Rechte
Betroffene können je nach Recht Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit oder Widerspruch verlangen, Einwilligungen widerrufen und sich bei der zuständigen Aufsicht beschweren. Die konkrete Behörde wird nach Festlegung des Betreiberstandorts ergänzt.
10. Automatisierte Entscheidungen
Rechtlich erhebliche Entscheidungen sollen nicht ausschließlich automatisiert erfolgen. Hauptparameter von Filtern und Empfehlungen werden offengelegt; Sperren, Verifizierung und Zahlungsstreitigkeiten erhalten menschliche Prüfung.