Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher für die Datenverarbeitung im Sinne der DSGVO ist:

Robert Gürgens
Software- und IT-Dienstleistungen
Suhler Straße 17
12629 Berlin
Deutschland

E-Mail: dpo@gartenkern.de

Ein Datenschutzbeauftragter ist gesetzlich nicht zu bestellen. Die oben genannte Adresse erreicht den Verantwortlichen direkt.

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Plattform sowie zur Erfüllung unserer vertraglichen und gesetzlichen Pflichten erforderlich ist (Datenminimierung, Art. 5 DSGVO).

Rechtsgrundlagen

• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung, sofern du sie für einzelne Funktionen separat erteilst
• Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung (Account, Plattform-Nutzung)
• Art. 6 Abs. 1 lit. c DSGVO: rechtliche Verpflichtung (Buchhaltung, Steuern)
• Art. 6 Abs. 1 lit. f DSGVO: berechtigte Interessen (Sicherheit, Missbrauchs-Erkennung)

Eine einmal erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

3. Welche Daten wir verarbeiten

Gartenbörse: der Abruf von Kontaktdaten

Die Kontaktdaten einer Anzeige stehen nicht auf der öffentlichen Seite. Angemeldete Interessenten rufen sie ausdrücklich ab, und jeden Abruf halten wir fest: das abrufende Konto, den abgerufenen Kanal (Telefon, E-Mail, Messenger, genaue Lage), den Zeitpunkt und die IP-Adresse.

Wir tun das, weil das massenhafte Einsammeln von Telefonnummern ohne diese Einträge unsichtbar wäre. Aus ihnen rechnen wir zwei Tagesbudgets, eines je Konto und eines je IP-Adresse. Ist eines erschöpft, verweigern wir weitere Abrufe und vermerken das in den Sicherheitsprotokollen aus Abschnitt 8. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse deckt sich mit dem der Anbieter, deren Nummer sonst in fremden Datensammlungen landet.

Der Anbieter erfährt nicht, wer seine Daten abgerufen hat. Wir geben ihm weder dein Konto noch deine IP-Adresse noch den Zeitpunkt. Zeigen wir ihm eines Tages eine Zahl, etwa wie oft seine Nummer angesehen wurde, bleibt es bei einer Zahl ohne Person dahinter.

Gartenbörse: die Anfrage über die Plattform

Willst du einem Anbieter schreiben, ohne deine Mailadresse offenzulegen, geht das über die Plattform-Anfrage. Deine Nachricht liegt dann bei uns, und der Anbieter bekommt sie im Postfach der Gartenbörse und, je nach seinen Benachrichtigungs-Einstellungen, zusätzlich per Mail. Dein Anzeigename geht dabei mit, deine Adresse nicht: die Antwort läuft wieder über die Plattform.

Die Antwort des Anbieters findest du im Postfach der Gartenbörse unter „Nachrichten“. Dort geht die Unterhaltung weiter, in beide Richtungen. Beide Seiten sehen den ganzen Verlauf, zu jeder Nachricht aber höchstens den Anzeigenamen der Person, die sie geschrieben hat; Mailadresse und Telefonnummer bleiben verborgen. Damit wir neue Nachrichten als ungelesen kennzeichnen können, merken wir uns für jede Seite, wann sie den Verlauf zuletzt geöffnet hat. Die Gegenseite sieht diesen Zeitpunkt nicht. Beendet eine Seite die Unterhaltung, speichern wir, welche Seite das wann getan hat. Solange sie beendet ist, kann dort niemand antworten; hat die Anbieter-Seite beendet, nimmt die Anzeige von der anfragenden Person auch keine neue Anfrage an. Von einer neuen Anfrage oder Antwort erfährt die Gegenseite per E-Mail, als Benachrichtigung in Gartenkern und per Push, je nachdem, was sie in ihren Benachrichtigungs-Einstellungen gewählt hat.

Meldest du eine Unterhaltung, liest die Moderation ihren Verlauf, um über die Meldung zu entscheiden.

Blockierst du ein Garten-Konto, aus einer Unterhaltung der Gartenbörse oder an einer Tausch-Anfrage, speichern wir, welches Garten-Konto blockiert hat und wer darin, welches Garten-Konto blockiert ist und, wenn die Unterhaltung sie kennt, die Person dahinter, dazu die Quelle und den Zeitpunkt. Solange der Block besteht, kann keine Seite der anderen in der Gartenbörse eine neue Anfrage oder eine Antwort schicken und in der Tauschbörse keine neue Anfrage; eine Tausch-Anfrage von vorher kann der Anbieter weiter annehmen, ablehnen oder abschließen. Ein Abruf der Kontaktdaten liefert der blockierten Seite keine. Wir benachrichtigen die blockierte Seite nicht; für sie sieht die Unterhaltung beendet aus. Die Person merken wir uns, damit sie den Block nicht mit einem weiteren Garten-Konto umgeht (Art. 6 Abs. 1 lit. f DSGVO). Unter Einstellungen, Garten siehst du, wen du blockiert hast, und hebst den Block dort auf. Der Support sieht die Blocks eines Garten-Kontos, wenn er dir hilft.

Die Nachricht bleibt auch nach der Zustellung liegen, und zwar für einen zweiten Zweck: wird eine Anzeige als betrügerisch entfernt, ist die rückwirkende Warnung der Interessenten die wirksamste Schutzmaßnahme, und dafür brauchen wir die Liste, wer angefragt hat (Art. 6 Abs. 1 lit. f DSGVO).

Wie lange die Einträge aus beiden Abschnitten bleiben, steht in Abschnitt 8.

Gartenbörse: Videos

Ein Video, das du an eine Anzeige hängst, lädst du in Teilen zu uns hoch. Wir wandeln es auf unserem eigenen Server in ein Format um, das jeder Browser abspielt: kleiner, mit geringerer Dateigröße und ohne die Metadaten der Datei, also ohne Aufnahmeort, Gerät und Zeitpunkt. Bild und Ton bleiben inhaltlich, wie du sie aufgenommen hast. Die hochgeladene Originaldatei löschen wir, sobald die Umwandlung fertig oder gescheitert ist. Bricht ein Upload ab und setzt du ihn nicht fort, löschen wir die empfangenen Teile nach 24 Stunden. Für die Umwandlung schalten wir keinen fremden Dienst ein. Aus dem Video erzeugen wir ein Vorschaubild, das wir zusammen mit dem Video speichern und löschen. Wie bei jeder Anzeige sieht ein Mensch aus unserem Team jedes Video vor der Veröffentlichung; danach ist es mit der Anzeige öffentlich abrufbar.

Andere Personen im Video. Sind auf einem Video andere Menschen zu erkennen oder ist ihre Stimme zu hören, verarbeiten wir auch deren Daten. Rechtsgrundlage dafür ist unser berechtigtes Interesse, Anzeigen so zu veröffentlichen, wie der Inserent sie verantwortet (Art. 6 Abs. 1 lit. f DSGVO); Personen, die wir nicht kennen, können wir nicht einzeln benachrichtigen (Art. 14 Abs. 5 lit. b DSGVO). Nach unseren AGB (Klausel A-8) darf ein Video andere Personen nur mit deren Einwilligung zeigen oder hören lassen, und Gespräche, an denen andere beteiligt sind, gehören nicht in den Ton. Fällt uns bei der Prüfung so etwas auf, geben wir das Video nicht frei. Erkennst du dich in einem veröffentlichten Video, kannst du der Veröffentlichung widersprechen (Art. 21 DSGVO): melde es uns über „Inhalt melden“ oder an abuse@gartenkern.de. Wir prüfen das und entfernen das Video, wenn es dich ohne deine Einwilligung zeigt oder hören lässt.

Videos löschen wir zusammen mit den Bildern der Anzeige, siehe Abschnitt 8. Ein Video, das du selbst entfernst, löschen wir sofort.

Tauschbörse

In der Tauschbörse tauschst, verschenkst und verkaufst du, und zwar nur zwischen Garten-Konten, die sich miteinander verbunden haben. Sie gibt es nur angemeldet. Ein Inserat sehen dein eigenes Garten-Konto und die Garten-Konten, mit denen eine Verbindung besteht; Besucher ohne Konto und Suchmaschinen sehen es nicht. Eine Verbindung gilt erst, wenn die andere Seite sie annimmt, und jede Seite kann sie sperren. Bezahlt wird nicht über Gartenkern: ein Preis ist eine Angabe im Inserat, die Übergabe sprichst du mit der anderen Seite ab.

Die Anfrage. Fragst du ein Inserat an, liegt deine Nachricht bei uns. Sehen können sie nur dein Garten-Konto und das des Anbieters; deine Mailadresse geben wir dabei nicht weiter. Der Anbieter nimmt die Anfrage an, lehnt sie ab oder schließt sie ab. Eine Benachrichtigung per E-Mail oder Push schicken wir dazu nicht: der Anbieter sieht neue Anfragen, wenn er die Tauschbörse öffnet.

Händler-Bedingungen. Bietet oder sucht eine Gärtnerei oder ein anderer Betrieb gewerblich, hinterlegt er vorher seine Händler-Bedingungen (in der App unter „Geschäftsbedingungen“): Name, Anschrift, E-Mail-Adresse, freiwillig eine Telefonnummer, seine AGB und seine Datenschutzhinweise. Aus Name und Kontaktdaten erzeugen wir die Widerrufsbelehrung. Jede Änderung legt eine neue Version an, die alte bleibt erhalten. Ein Inserat trägt die Version, die bei seiner Anlage galt. Fragst du ein solches Inserat an, speichern wir mit deiner Anfrage eine Kopie dieser Version, der Angaben des Inserats und deiner Nachricht. Sie hält fest, zu welchen Bedingungen du angefragt hast. Nimmt der Betrieb die Anfrage an, können beide Seiten daraus eine Vertragsbestätigung als PDF abrufen; die erzeugen wir bei jedem Abruf neu und speichern sie nicht. Die Händler-Bedingungen sieht der Betrieb selbst. Solange ein Inserat mit dieser Version aktiv oder reserviert ist, sehen sie auch die Garten-Konten, die mit dem Betrieb verbunden sind; so kannst du sie vor deiner Anfrage lesen. Wer mit dieser Version angefragt hat, sieht sie auch danach. Welches Konto eine Version angelegt hat, sieht nur der Betrieb.

Wer wofür verantwortlich ist. Wir verarbeiten diese Daten, um dir die Tauschbörse bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO). Ein Tausch oder Kauf kommt zwischen dir und der anderen Seite zustande, nicht mit uns. Was ein Anbieter aus einer Anfrage erfährt und für die Abwicklung nutzt, verarbeitet er als eigener Verantwortlicher. Für seine Angaben in den Händler-Bedingungen und für seine Datenschutzhinweise ist der Betrieb selbst verantwortlich.

Wie lange die Einträge bleiben, steht in Abschnitt 8.

Neuigkeiten, Tipps und Angebote

Wir schreiben dir zu drei Themen: Produkt-Neuigkeiten, Tipps für den Start (kurze Anleitungen für deine ersten Wochen, auch zu Funktionen aus unseren Tarifen) und Angebote und Aktionen (Aktionscodes und Angebote zu Gartenkern-Tarifen).

Per E-Mail und Push nur mit deiner Einwilligung. Bei der Registrierung stimmst du mit einem Häkchen allen drei Themen per E-Mail zu; in den Einstellungen wählst du für jedes Thema und jeden Weg einzeln. Die Zustimmung ist freiwillig und nicht Teil des Vertrags: ohne sie funktioniert dein Konto unverändert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Für E-Mail gilt das Double-Opt-in wie unten beschrieben. Für Push ist der Schalter in den Einstellungen deine Einwilligung; die Erlaubnis für Mitteilungen in deinem Browser oder Handy allein reicht uns dafür nicht. Jedes Ein- und Ausschalten halten wir als Nachweis fest.

Wir schreiben dir per E-Mail erst nach deiner Bestätigung (Double-Opt-in). Schaltest du das erste dieser Themen per E-Mail ein, schicken wir zunächst nur eine einzige Mail: die Bitte, die Anmeldung über einen Link zu bestätigen. Die Bestätigung gilt für alle drei Themen. Erst mit dem Klick auf diesen Link nehmen wir dich in den Verteiler auf. Bestätigst du nicht, bekommst du keine Mail zu diesen Themen. Der Link gilt sieben Tage; danach läuft er ab, und du meldest dich bei Bedarf neu an. Eine neue Bestätigungsmail schicken wir frühestens fünf Minuten nach der letzten.

Was wir dabei festhalten. In unserer Datenbank steht vom Bestätigungslink nur ein Prüfwert, nie der Link selbst. Getrennt davon halten wir den Nachweis fest, den Art. 7 Abs. 1 DSGVO verlangt: deine E-Mail-Adresse, worauf sich die Einwilligung bezog (bei E-Mail und bei Push je Thema, also marketing_email und marketing_push mit dem Thema), ob du sie erteilt oder widerrufen hast, über welchen Weg (Registrierung, Einstellungen, Abmeldelink) und den Zeitpunkt. Beim Klick auf den Bestätigungslink kommen IP-Adresse und Browser-Kennung hinzu, denn genau dieser Klick belegt, dass die Anmeldung aus dem angegebenen Postfach kam. Beim Haken während der Registrierung speichern wir dagegen keine IP-Adresse: unser Anmeldedienst reicht sie auf diesem Weg technisch nicht durch, und eine falsche Adresse wäre als Nachweis wertlos.

Versand. Diese Mails verschickt derselbe Dienstleister, der auch unsere übrigen Mails zustellt (Proton AG, siehe Abschnitt 7). Einen eigenen Newsletter-Dienst mit Öffnungs- oder Klick-Messung setzen wir nicht ein.

Widerruf. Du kannst jederzeit widerrufen, ohne Angabe von Gründen: über den Abmeldelink am Ende jeder Mail oder über die Schalter je Thema in den Einstellungen. Danach verschicken wir dir zu diesem Thema und auf diesem Weg nichts mehr. Änderst du die E-Mail-Adresse deines Kontos, verfällt die Bestätigung von selbst: du bekommst erst wieder Mails zu diesen Themen, wenn du auch die neue Adresse bestätigt hast. Wie lange der Nachweis über Einwilligung und Widerruf bleibt, steht in Abschnitt 8.

Angebote zu unseren eigenen Tarifen ohne Häkchen. Bei der Registrierung behalten wir uns vor, deine E-Mail-Adresse auch ohne Häkchen für Angebote zu unseren eigenen Tarifen zu nutzen, solange du nicht widersprichst (§ 7 Abs. 3 UWG). Zurzeit machen wir davon keinen Gebrauch: ohne bestätigte Einwilligung bekommst du keine Werbe-Mail. Ändern wir das, steht es vorher hier. Einen Widerspruch, den du schon jetzt einlegst, halten wir fest.

In der App auch ohne Einwilligung. Wenn du angemeldet bist, zeigen wir dir Tipps und Angebote auch als Hinweis oben auf der Seite oder in deinen Benachrichtigungen (Glocke). Einen Teil davon wählen wir passend zu deinem Konto aus, mit den Merkmalen aus Abschnitt 5, etwa „noch kein Garten angelegt“ oder „Bezahlvorgang abgebrochen“. Rechtsgrundlage ist unser berechtigtes Interesse, dir Hilfe zur passenden Zeit und Angebote für unsere eigenen Tarife zu zeigen (Art. 6 Abs. 1 lit. f DSGVO, Erwägungsgrund 47). Unsere Abwägung schicken wir dir auf Anfrage. Du kannst die Themen für die App einzeln abschalten und jederzeit widersprechen, mit dem Schalter „Keine auf mich zugeschnittenen Hinweise und Angebote“ in den Einstellungen oder per Mail an dpo@gartenkern.de. Dein Widerspruch gilt ohne weitere Prüfung (Art. 21 Abs. 2 und 3 DSGVO): wir wählen dich dann für keine Gruppe mehr aus, für keinen Weg, und löschen die Merkmale zu deinem Konto und deine Antwort auf die Warum-Frage (Abschnitt 5). Neben jedem ausgewählten Hinweis führt „Warum sehe ich das?“ zu diesem Schalter.

Höchstens eine Werbe-Nachricht pro Woche. Über alle Wege zusammen schicken oder zeigen wir dir höchstens eine Nachricht mit Tipps oder Angeboten in sieben Tagen. E-Mails und Push-Nachrichten dazu kommen nur zwischen 9 und 20 Uhr in deiner Zeitzone, Push außerdem nicht in deinen eigenen Ruhezeiten. Solange eine Support-Anfrage von dir offen ist, schicken wir dir keine.

Vergleichsgruppe. Damit wir wissen, ob eine Nachricht etwas bewirkt, bekommt sie ein zufälliger Teil der ausgewählten Konten nicht, in der Regel jedes zehnte. Wir halten fest, wer eine Nachricht bekommen hat und wer in der Vergleichsgruppe war, und vergleichen beide Gruppen danach, ob sie zum Beispiel einen Aktionscode eingelöst, ein Abo abgeschlossen oder Gartenkern weiter genutzt haben. Diese Liste bleibt 24 Monate nach dem Ende der Kampagne, danach nur noch zusammengefasste Zahlen. Wird dein Konto vorher gelöscht, fällt dein Eintrag mit. Er steht in deinem Daten-Export.

Keine Messung, ob du eine Mail öffnest oder klickst. Unsere Mails enthalten kein Zählpixel, und Links führen direkt auf unsere Seite, nicht über einen Zähldienst. Ein Link trägt höchstens die Kennung der Kampagne, nie eine Kennung von dir; was wir daraus sehen, ist nur die Zahl der Aufrufe aus dieser Kampagne (Abschnitt 5).

Support-Zugriff: wer bei uns deine Daten sieht

Für Support, Moderation und den Schutz der Plattform hat unser Team eine Verwaltung, in der es dein Konto und deine Garten-Konten sehen kann. Dort gilt eine Schwelle.

• Ohne weiteren Schritt sichtbar ist, wie dein Konto aufgebaut ist und was wir mit dir abwickeln, zum Beispiel: Mailadresse, Anzeigename, Tarif, Abo und Zahlungen, die Mitglieder deiner Garten-Konten mit ihrer Rolle, die Namen deiner Gärten und Bereiche, der Lageplan, die angebauten Arten und Sorten, Zähler (etwa wie viele Pflanzungen, Tagebucheinträge und Fotos es gibt), die Betreffe deiner Anfragen, die Mails, die wir dir geschickt haben, ohne ihren Text, sowie Sicherheits- und Einwilligungsprotokolle mit IP-Adresse.
• Erst nach einem eigenen Schritt sichtbar sind deine Inhalte: Tagebucheinträge, Notizen, Fotos, dein Profilbild und der Text der Mails, die wir dir geschickt haben. In deiner Akte zeigen wir dabei nur Inhalte, die du selbst angelegt hast, nicht die anderer Mitglieder deiner Garten-Konten. Wer sie öffnet, wählt dafür einen von vier Gründen: eine Support-Anfrage, die du selbst gestellt hast (mit Ticketnummer), die Prüfung einer Meldung, eine rechtliche Anfrage oder die Suche nach einem Fehler.
• Direkt sichtbar ist, was ohne Lesen nicht zu bearbeiten ist: gemeldete Inhalte für alle, die die Meldung prüfen; was du uns selbst schickst, etwa eine Support-Anfrage mit Anhängen oder deine Nachricht beim Eintrag in die Warteliste; und was du zur Prüfung einreichst, also eine Anzeige in der Gartenbörse samt Kontaktdaten vor der Veröffentlichung und ein neues Profilbild, solange es auf Prüfung wartet. Das gilt jeweils nur für diesen Inhalt, nicht für den Rest deines Kontos.

Wer bei uns ausschließlich Support-Anfragen beantwortet, sieht neben deiner Anfrage deinen Namen, deine Mailadresse, die Namen deiner Garten-Konten, Tarif, Abo und Zähler. Um eine Anfrage deinem Konto zuzuordnen, kann diese Person Konten nach Name oder Mailadresse suchen. Deine Inhalte und die ganze Übersicht über dein Konto sehen nur Admins. Niemand aus unserem Team meldet sich als du an.

Dieselbe Schwelle gilt für den KI-Assistenten, den unsere Admins für Support und Verwaltung einsetzen (Anthropic, Abschnitt 7). Deine Inhalte liest er nur mit einem der vier Gründe, und jeder solche Zugriff steht wie jeder andere im Zugriffsprotokoll, dort statt mit einem Namen mit der Kennung seines Auftrags. Deine Fotos und dein Profilbild sieht er nicht.

Diese Zugriffe halten wir in einem Zugriffsprotokoll fest: wann, welcher Bereich, wer und, bei Inhalten, mit welchem Grund. Inhalte und Suchbegriffe stehen nicht darin. Bei einer Störung des Protokolls arbeitet die Verwaltung weiter; ein Zugriff in dieser Zeit kann dann im Protokoll fehlen.

Den Zugriff für deine Support-Anfrage stützen wir auf Art. 6 Abs. 1 lit. b DSGVO: ohne den Blick in dein Konto können wir deine Anfrage nicht beantworten und den Dienst nicht wie vereinbart erbringen. Das gilt auch für die Fehlersuche, wenn du uns den Fehler gemeldet hast; suchen wir einen Fehler aus eigenem Anlass, stützen wir das auf Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist ein Dienst, der für alle fehlerfrei läuft. Moderation und Sicherheit stützen wir auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine Plattform ohne Missbrauch und ohne rechtswidrige Inhalte. Eine rechtliche Anfrage beantworten wir auf der Grundlage der jeweiligen Pflicht, deine Auskunftsanfrage etwa nach Art. 6 Abs. 1 lit. c DSGVO. Das Zugriffsprotokoll führen wir nach Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, kontrollieren und belegen zu können, dass wir nur bei Bedarf auf deine Daten zugreifen.

Anmeldung mit Google oder Facebook

Statt mit E-Mail-Adresse und Passwort kannst du dich mit deinem Google-Konto (Google Ireland Limited) oder deinem Facebook-Konto (Meta Platforms Ireland Limited) registrieren und anmelden. Das ist freiwillig, die Anmeldung mit E-Mail-Adresse steht dir immer offen.

Was dabei passiert. Erst wenn du auf den Knopf für Google oder Facebook klickst, leitet dein Browser dich zum Anbieter weiter. Vorher lädt unsere Seite nichts von Google oder Facebook. Beim Anbieter meldest du dich an und gibst frei, welche Angaben er an uns weitergibt. Er erfährt dabei, dass du dich bei Gartenkern anmelden willst. Was Google bzw. Meta dabei selbst erheben, zum Beispiel deine IP-Adresse und Angaben zu deinem Gerät, verarbeiten sie als eigenständige Verantwortliche nach ihren eigenen Datenschutzhinweisen (Google, Meta). Beide können diese Daten auch in den USA verarbeiten.

Was wir erhalten und speichern. Nach deiner Freigabe ruft unser Anmeldedienst beim Anbieter ab: eine Kennung, unter der dich der Anbieter führt, deine E-Mail-Adresse und ob der Anbieter sie bestätigt hat, deinen Namen und weitere Angaben deines öffentlichen Profils wie die Adresse deines Profilbilds. E-Mail-Adresse und Namen übernehmen wir in dein Konto, das Profilbild nicht. Die Kennung speichern wir, damit wir dich bei der nächsten Anmeldung wiedererkennen. Außerdem bewahrt unser Anmeldedienst die Anmeldenachweise (Token) auf, die der Anbieter beim Registrieren oder Verbinden ausstellt, verschlüsselt auf unserem Server in Deutschland. Bei Google enthalten diese Nachweise auch die abgerufenen Profilangaben, darunter die Adresse deines Profilbilds. Die Nachweise nutzen wir nicht, um später Daten beim Anbieter abzurufen. Inhalte aus deinem Garten oder Angaben zu deiner Nutzung geben wir an Google und Meta nicht weiter.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Du wählst diesen Weg selbst, um dein Konto zu nutzen.

Trennen und Löschen. In den Einstellungen unter „Anmeldung & Sicherheit“ kannst du die Verbindung jederzeit trennen, solange dir ein anderer Anmeldeweg bleibt, etwa dein Passwort oder ein weiterer Anbieter. Dann löschen wir Kennung und Anmeldenachweise dieses Anbieters. Löschst du dein Konto, löschen wir sie mit allen übrigen Kontodaten. Die Freigabe für Gartenkern beim Anbieter selbst entziehst du in deinem Google- bzw. Facebook-Konto.

Die Android-App

Bezug über Google Play. Die App lädst du über Google Play herunter. Dein Konto bei Google Play, den Download und die Aktualisierungen verarbeitet Google (Google Ireland Limited) als eigenständiger Verantwortlicher nach seinen eigenen Datenschutzhinweisen. Von Google Play bekommen wir nur zusammengefasste Zahlen, etwa zu Installationen und Abstürzen, ohne Bezug zu deiner Person.

In der App nutzt du dasselbe Konto wie im Web, und für deine Inhalte gilt alles, was diese Erklärung sonst sagt. Was die App zusätzlich tut:

• Anmeldung. Du meldest dich mit E-Mail-Adresse und Passwort an oder mit Google oder Facebook. Dafür öffnet die App deinen Browser, es gilt der Abschnitt „Anmeldung mit Google oder Facebook“ oben. Ein neues Konto legst du im Web an.
• Sitzung auf dem Gerät. Nach der Anmeldung speichert die App einen Anmeldenachweis verschlüsselt auf deinem Gerät. Den Schlüssel verwahrt der Schlüsselspeicher von Android; wo das Gerät keinen nutzbaren hat, liegt er im geschützten Speicherbereich der App. Der Nachweis ist von der Datensicherung und von der Übertragung auf ein neues Gerät ausgenommen. Beim Abmelden löscht die App ihn. Ohne ihn müsstest du dich bei jedem Start neu anmelden; das Speichern ist deshalb technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
• Anmeldung auf einem neuen Gerät. Nach der Anmeldung legt die App über den Credential Manager von Android einen Geräteschlüssel an. Den privaten Teil verwahrt Android auf deinem Gerät. Hast du die Sicherung in deinem Google-Konto und eine Displaysperre eingerichtet, geht er Ende-zu-Ende-verschlüsselt in diese Sicherung; sonst bleibt er auf dem Gerät und kommt nur bei einer direkten Übertragung auf ein neues Gerät mit. Bei uns speichern wir zu deinem Konto den öffentlichen Teil, die Kennung des Schlüssels, den Gerätenamen (etwa „Pixel 8“) und wann er angelegt und zuletzt benutzt wurde. Ein Konto hat höchstens zehn solcher Schlüssel; kommt ein elfter hinzu, löschen wir den, der am längsten nicht benutzt wurde. Startest du die App zum ersten Mal auf einem neuen Gerät, meldet sie dich mit dem Schlüssel an, und wir legen dafür eine Geräte-Sitzung an (Gerätename, wann angelegt und zuletzt benutzt, Ende nach 30 Tagen). Hat dein Konto einen zweiten Faktor, meldest du dich auf dem neuen Gerät einmal selbst an. Deine Geräte-Sitzungen siehst du in der App unter Einstellungen › „Geräte nach Gerätewechsel“ und kannst sie dort beenden. Beim Abmelden löscht die App den Schlüssel auf dem Gerät und bei uns. Änderst du dein Passwort oder einen Anmeldefaktor, stellst du dein Konto wieder her oder wird es gesperrt oder gelöscht, löschen wir alle Schlüssel und beenden alle Geräte-Sitzungen. Anlegen, Löschen und Anmelden mit dem Schlüssel stehen in den Sicherheitsprotokollen aus Abschnitt 8. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung deines Kontos).
• Berechtigungen. Die App braucht Zugang zum Internet und zum Netzwerkstatus. Für Benachrichtigungen und für die Kamera fragt sie dich vorher. Auf Standort, Kontakte und deine Fotogalerie greift sie nicht zu.
• Fotos. Ein Foto nimmst du mit der Kamera in der App auf oder wählst es über die Fotoauswahl von Android aus. Die Kamera läuft nur, solange du sie zum Fotografieren geöffnet hast, und ein Bild verlässt dein Gerät erst, wenn du „Foto verwenden“ tippst. Aus der Fotoauswahl sieht die App nur die Bilder, die du dort auswählst, und braucht dafür keinen Zugriff auf deine Mediathek. Ein Foto aus der Kamera der App speichert sie vor dem Hochladen neu, ohne Metadaten wie den Aufnahmeort. Beim Hochladen entfernt unser Server die Metadaten jedes Bildes, siehe die Tabelle oben. Für die Pflanzen- und die Etiketten-Erkennung geht das Foto außerdem an die KI-Dienste aus Abschnitt 7.
• Benachrichtigungen. Erst wenn du zustimmst, meldet sich die App bei Firebase Cloud Messaging an und schickt uns die Kennung, unter der Google dein Gerät erreicht, zusammen mit Gerätemodell und Android-Version. Was Google dabei erhält, steht in Abschnitt 7 unter „Benachrichtigungen in der Android-App“. Deine Geräte siehst du in den Einstellungen und kannst sie dort entfernen. Schaltest du die Benachrichtigungen ab oder meldest dich ab, löscht die App die Kennung bei uns und bei Google.
• Absturzberichte. Stürzt die App ab oder reagiert sie nicht mehr, schickt sie einen Bericht an unser selbst gehostetes GlitchTip auf unserem Server in Deutschland. Er enthält die Stelle im Programm, an der es passiert ist, Gerätemodell, Android-Version, Sprache, Zeitzone, Speicher- und Akkustand, sowie die letzten Schritte der App (etwa Wechsel in den Hintergrund oder ins Mobilnetz). Nicht enthalten sind deine IP-Adresse, Bildschirmfotos und eine Kennung deines Kontos, deines Geräts oder dieser Installation. Deine Eingaben und Inhalte schicken wir nicht mit; nur wenn die Fehlermeldung selbst ein Stück Text enthält, etwa aus einer Antwort unseres Servers, kann es im Bericht stehen. Aus Adressen entfernen wir vor dem Versand Kennungen und Anmeldenachweise. Wir brauchen die Berichte, um Fehler zu finden und die App stabil zu halten (Art. 6 Abs. 1 lit. f DSGVO), und löschen sie nach 90 Tagen.
• Nutzungsmessung. Wechselst du in der App den Bildschirm, meldet sie das unserer Reichweitenmessung aus Abschnitt 5: welcher Bildschirm es ist, ohne die Kennungen deiner Gärten oder Pflanzungen, dass der Aufruf aus der App kommt und ob du angemeldet bist. Öffnest du eine Anzeige der Gartenbörse, meldet die App statt des Bildschirms die öffentliche Adresse der Anzeige, wie beim Aufruf im Web. Zeigt sie dir den Hinweis auf eine Funktion, die dein Tarif nicht enthält oder deren Kontingent aufgebraucht ist, meldet sie auch das: welche Funktion es ist und an welcher Stelle. Den Anmeldenachweis schickt sie dabei nicht mit. Alles Weitere steht in Abschnitt 5.
• Hilfe und Feedback. Schreibst du uns aus der App, gehen mit der Nachricht der Bildschirm, die Fenstergröße, das Farbschema, das Gerätemodell und die Android-Version mit, aber keine Browser-Kennung.
• Versionsnummer. Jede Anfrage der App an unseren Server trägt die Versionsnummer der App. Gespeichert wird sie nur mit einer Anfrage über Hilfe und Feedback, damit wir einen Fehler der richtigen Version zuordnen.
• Tarife. In der App buchst und bezahlst du nichts. Tarife gibt es nur im Web; die App verarbeitet keine Zahlungsdaten.
• Konto löschen. Das geht in der App unter Einstellungen › Daten & Datenschutz › „Konto löschen“ oder ohne App auf der Seite Konto löschen. Deine Daten exportieren kannst du ebenfalls in der App.

4. Cookies

Wir setzen ausschließlich technisch notwendige Cookies:

• ory_kratos_session: Login-Sitzung (essentiell, bis zu 30 Tage, endet mit dem Abmelden)
• csrf_token_…: Schutz vor Cross-Site-Request-Forgery (essentiell)
• NEXT_LOCALE: gewählte Sprache (essentiell)
• theme: Hell- und Dunkel-Präferenz (essentiell)
• gartenkern_invite_token: Validierung deines Einladungscodes in der geschlossenen Beta (essentiell, HttpOnly, läuft nach 2 Stunden ab)
• ory_kratos_continuity: trägt einen begonnenen Vorgang über eine Weiterleitung und zurück, etwa bei der Anmeldung mit Google oder Facebook oder bei der erneuten Anmeldung vor einer Änderung unter „Anmeldung & Sicherheit“ (essentiell)

Wir setzen kein Cookie für Messung oder Werbung und binden keine fremden Werbe-Skripte ein. Ein Cookie-Consent-Banner ist daher nach § 25 Abs. 2 TDDDG nicht erforderlich. Provisions-Links auf öffentlichen Seiten sind davon unberührt: sie sind gewöhnliche Links und setzen bei uns kein Cookie (siehe den Abschnitt zu Provisions-Links). Auch wenn du angemeldet bist, liest unsere Messung kein Cookie aus (Abschnitt 5). Auch unsere E-Mails enthalten kein Zählpixel und keine Links über einen Klick-Zähler.

5. Reichweitenmessung

Wir wollen wissen, welche Seiten gelesen werden und ob unsere Angebote ankommen. Dafür nutzen wir kein Google Analytics und keinen anderen fremden Dienst, sondern eine eigene Messung auf unserem Server in Nürnberg. Es wird dafür kein Cookie gesetzt und nichts auf deinem Gerät gespeichert. Wir lesen dafür auch nichts auf deinem Gerät aus, auch dann nicht, wenn du angemeldet bist.

Bei einem Seitenaufruf speichern wir:

• die aufgerufene Seite in vergröberter Form. Aus /gaerten/8f2c… wird /gaerten/{id}, die konkrete Kennung wird verworfen.
• die Sprache der Seite (de oder en)
• die Herkunftsseite, aber nur deren Adresse ohne Zusätze: aus google.com/search?q=… wird google.com. Ein gesuchter Begriff erreicht uns nicht.
• Browser-Familie (z. B. „Chrome"), Betriebssystem-Familie (z. B. „Android") und Geräteklasse (Handy, Tablet, Desktop)
• das Land, sofern die lokale GeoLite2-Datenbank es hergibt. Bewusst nur das Land, keine Stadt, keine Region.
• die Kampagnen-Kennung aus unseren eigenen Links (utm_source, utm_medium, utm_campaign), wenn der Link eine trägt. Wir speichern sie klein geschrieben und nur, wenn sie aus a bis z, 0 bis 9, -, _ und . besteht und höchstens 64 Zeichen lang ist. Alles andere verwerfen wir.
• ob der Aufruf vermutlich automatisiert ist. Heute heißt das: dein Browser hat keine bevorzugte Sprache mitgeschickt.
• ob der Aufruf aus dem Browser oder aus unserer App kommt
• einen tagesgültigen Pseudonym-Wert (siehe unten)
• ob du angemeldet bist, als bloßes Ja oder Nein. Dein Konto speichern wir am Seitenaufruf nicht. Das Ja oder Nein übernimmt die Messung von der Seite oder der App, die du ohnehin angemeldet geöffnet hast; einen eigenen Zugriff dafür gibt es nicht.

In den Messwerten speichern wir deine IP-Adresse nicht. Für die Messung fließt sie nur in die Berechnung des Pseudonym-Werts und in die Länderzuordnung ein und wird danach verworfen. Zu den Server-Logfiles siehe Abschnitt 8.

Wie das Pseudonym funktioniert. Wir bilden aus deiner IP-Adresse, deinem Browser-Kennzeichen und einem geheimen Zufallswert, der täglich wechselt, eine Prüfsumme. Sie erlaubt uns zu erkennen, dass zwei Aufrufe am selben Tag vermutlich von derselben Person stammen. Sobald der Zufallswert des Tages gelöscht ist (spätestens nach zwei Tagen), lässt sich die Prüfsumme nicht mehr auf eine Person zurückrechnen, und am nächsten Tag entsteht für dieselbe Person eine andere. Seitenaufrufe führen wir nicht mit deinem Konto zusammen, auch nicht über Tage hinweg, mit und ohne Anmeldung.

Zusätzlich zählen wir bestimmte Ereignisse, etwa „ein Garten wurde zum ersten Mal angelegt" oder „ein Abo wurde abgeschlossen". Inhalte deines Gartens, deiner Tagebuch-Einträge oder deiner Fotos werden dabei nicht übermittelt. Manche Ereignisse meldet dein Browser oder die App selbst, etwa den Klick auf „Upgrade" oder dass ein gesperrter Abschnitt angezeigt wurde. Sie speichern wir wie einen Seitenaufruf: mit dem Namen des Ereignisses, der Geräteklasse, dem Pseudonym-Wert, dem Ja oder Nein „angemeldet" und gegebenenfalls der betroffenen Sperre, aber ohne dein Konto.

Wenn du angemeldet bist, trägt ein Seitenaufruf trotzdem keinen Bezug zu deinem Konto: dein Browser schickt das Anmelde-Cookie aus Abschnitt 4 bei der Messung nicht mit, und die App schickt ihr kein Sitzungs-Token. Dein Konto kennen wir nur dort, wo du Gartenkern ohnehin benutzt. Legst du etwa einen Garten an oder startest den Bezahlvorgang für ein Abo, halten wir dieses Ereignis zusammen mit deinem Konto und dem Garten-Konto fest, in dem du gerade arbeitest. Dafür nutzen wir die Anfrage, die du für die Aktion selbst schickst, und keinen eigenen Zugriff auf dein Gerät. Manche Ereignisse betreffen dich, ohne aus deinem Browser zu kommen, etwa deine Registrierung, der Abschluss oder die Kündigung eines Abos, die uns der Zahlungsdienst meldet, eine bezahlte Anzeige in der Gartenbörse oder der Aufruf eines Gartens, den du geteilt hast. Auch sie speichern wir mit deinem Garten-Konto und, wo es um dich selbst geht, mit deinem Konto. Wer deinen geteilten Garten aufruft, halten wir in diesem Ereignis nicht fest. Über das Konto lassen sich diese Ereignisse auch über mehrere Tage hinweg einander zuordnen. So sehen wir, an welcher Stelle Menschen in Gartenkern hängen bleiben oder auf Fehler stoßen. Auch diese Einträge löschen wir nach 90 Tagen. Wird dein Konto vorher gelöscht (Abschnitt 8), fällt mit der Löschung der Bezug zu deinem Konto und zu deinen eigenen Garten-Konten weg.

Merkmale zu deinem Konto. Damit wir verstehen, wie Gartenkern genutzt wird, berechnen wir einmal am Tag für jedes Konto eine kurze Liste von Merkmalen:

• an welchem Tag du Gartenkern zuletzt angemeldet genutzt hast (dazu zählt auch, wenn die App im Hintergrund etwas abruft) und an welchem Tag du zuletzt etwas getan hast: gepflanzt oder eine Pflanzung beendet, geerntet, einen Ausfall eingetragen, ins Tagebuch oder eine Notiz geschrieben, eine Aufgabe erledigt (sie zählt für die Person, der sie zugewiesen ist), ein Foto hochgeladen, ein Beet, ein Garten-Element oder einen Garten angelegt. Für diese beiden Angaben speichern wir nur den Tag, keine Uhrzeit.
• eine Einordnung daraus: neu, aktiv, ruhend, verloren oder zurückgekehrt, dazu den Tag, an dem du nach einer Pause zurückgekommen bist
• an welchem Tag in deinem Garten-Konto die erste Pflanzung angelegt wurde (suchst du einen Garten: an dem du dein erstes Gesuch in der Gartenbörse veröffentlicht hast) und was du bei der Einrichtung als Ziel gewählt hast
• den Tarif deines Garten-Kontos, den Stand seines Abos und ob es in der Testphase ist
• wie viele Gärten, Pflanzungen, Tagebuch-Einträge und Fotos dein Garten-Konto hat, nur als Zahl
• welche Grenzen seines Tarifs dein Garten-Konto gerade ausgeschöpft hat (etwa die Zahl der Gärten oder der Nachrichten im KI-Chat), nur als Name der Grenze
• an welchem Tag du zuletzt einen Bezahlvorgang begonnen hast und an welchem Tag in deinem Garten-Konto zuletzt einer abgebrochen wurde
• bis zu fünf Pflanzenfamilien mit den meisten laufenden Pflanzungen in deinem Garten-Konto, mit ihrem botanischen Namen (z. B. Solanaceae, die Nachtschattengewächse)
• woher du zur Registrierung gekommen bist, einmal bei der Registrierung festgehalten und danach nicht mehr verändert, wenn ein Link dich direkt dorthin geführt hat: die Kampagnen-Kennung aus unserem Link und die Adresse der Herkunftsseite ohne Zusätze, beides so wie oben bei der Reichweitenmessung beschrieben. Unsere eigenen Seiten zählen nicht als Herkunft. Wir reichen die Angaben während der Registrierung in der Adresse und im Formular an unseren Anmeldedienst weiter und speichern dafür nichts auf deinem Gerät.

Die Zeile mit den Merkmalen trägt außerdem technische Zeitstempel: wann sie angelegt, zuletzt geändert und zuletzt berechnet wurde. Aus den Tagen, an denen etwas getan wurde (erster Punkt), zählen wir zusätzlich je Kalenderwoche, wie viele Konten in dieser Woche etwas getan haben. Diese Zahl enthält keine Angabe zu einzelnen Konten und bleibt erhalten.

Inhalte deines Gartens, Texte aus deinem Tagebuch, deine Fotos, deine Gespräche mit der KI und deinen Standort nehmen wir nicht in die Merkmale auf. Die Merkmale dienen dazu, Hürden zu finden, Konten in Stufen wie „ruhend“ einzuordnen und daraus auszuwählen, wem wir einen Hinweis oder ein Angebot zeigen oder schicken (Abschnitt 3, „Neuigkeiten, Tipps und Angebote“). Per E-Mail und Push geschieht das nur, wenn du dort eingewilligt hast. Das ist Profiling im Sinn von Art. 4 Nr. 4 DSGVO. Eine Entscheidung mit rechtlicher Wirkung über dich treffen wir daraus nicht (Abschnitt 9): Funktionen, dein Zugang und die regulären Preise hängen nicht daran; ein Aktionscode ist ein Angebot, das du nutzen kannst oder nicht (Abschnitt 9). Sehen können die Merkmale nur unsere Administratoren, auch über den KI-Assistenten, der in ihrem Auftrag liest (Anthropic, Abschnitt 7). Darüber hinaus geben wir sie nicht weiter und verkaufen sie nicht.

Rechtsgrundlage für die Merkmale ist unser berechtigtes Interesse, Gartenkern zu verbessern und wirtschaftlich zu betreiben (Art. 6 Abs. 1 lit. f DSGVO). Unsere Abwägung schicken wir dir auf Anfrage. Die Merkmale bleiben bestehen, solange dein Konto besteht, und werden mit dem Konto gelöscht. Sie stehen in deinem Daten-Export in den Einstellungen. Du kannst jederzeit widersprechen (Art. 21 DSGVO), mit dem Schalter „Keine auf mich zugeschnittenen Hinweise und Angebote“ in den Einstellungen oder mit einer Mail an dpo@gartenkern.de. Weil die Auswahl der Werbung dient, gilt dein Widerspruch ohne weitere Prüfung (Art. 21 Abs. 2). Danach löschen wir die Merkmale deines Kontos und deine Antwort auf die Warum-Frage (unten), berechnen keine neuen Merkmale und nehmen es in keine Gruppe auf. Wir behalten nur einen Vermerk, dass und wann du widersprochen hast, damit nichts neu berechnet wird; auch er geht mit deinem Konto.

Die Warum-Frage. Zwischen dem dritten und dem vierzehnten Tag nach deiner Registrierung fragen wir dich einmal, im Web auf deiner Übersicht und in der App unter „Heute“, was dich gerade abhält, solange du noch nicht richtig angefangen hast. Du wählst einen Grund aus einer festen Liste und kannst freiwillig einen Text dazuschreiben, höchstens 500 Zeichen. Du kannst die Frage auch wegklicken. Wir speichern einmal je Konto den Grund oder dass du die Frage weggeklickt hast, deinen Text, ob wir dich als gärtnerndes oder als suchendes Konto gefragt haben, dein Garten-Konto und den Zeitpunkt. Die Gründe werten wir zusammengefasst über alle Konten aus. Deine Antwort mit deinem Text sehen unsere Administratoren, auch über den KI-Assistenten (Abschnitt 7), nur unter derselben Schwelle wie deine Inhalte (Abschnitt 3, „Support-Zugriff“): mit einem Grund, und jeder solche Zugriff steht im Zugriffsprotokoll.

Rechtsgrundlage ist wie bei den Merkmalen unser berechtigtes Interesse, Gartenkern zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Die Antwort steht in deinem Daten-Export und wird mit deinem Konto gelöscht. Du kannst jederzeit widersprechen, mit demselben Schalter wie oben oder per Mail an dpo@gartenkern.de. Dann löschen wir deine Antwort samt Text und fragen dich nicht, solange der Widerspruch gilt. Hebst du ihn innerhalb der vierzehn Tage wieder auf, kann die Frage noch einmal kommen.

Suchbegriffe ohne passenden Treffer. Wenn du auf der Suchseite oder im Magazin eine Suche abschickst und wir dazu nichts Passendes haben (die Seite zeigt dann nichts oder nur entfernt Ähnliches), merken wir uns den Suchbegriff. Er sagt uns, welcher Beitrag im Magazin oder welche Pflanze im Lexikon fehlt. Gespeichert werden nur der Begriff in Kleinschreibung, die Sprache der Seite (de oder en), ob die Suche auf der Suchseite oder im Magazin war, ein Zähler sowie der Zeitpunkt der ersten und der letzten Suche. Keine IP-Adresse, kein Pseudonym-Wert, keine Verknüpfung mit deinem Konto. Zwei Suchen lassen sich also nicht als zusammengehörig erkennen. Eingaben, die nach personenbezogenen Daten aussehen (Email-Adressen, Telefonnummern, lange Ziffernfolgen, ganze Sätze), speichern wir gar nicht erst. Suchen mit passenden Treffern speichern wir ebenso wenig wie die Vorschläge, die dir schon beim Tippen angezeigt werden. Nach 90 Tagen ohne erneute Suche löschen wir den Begriff.

Rechtsgrundlage ist unser berechtigtes Interesse an einer datensparsamen Reichweitenmessung (Art. 6 (1)(f) DSGVO). Für den Bezug zu deinem Konto ist es unser berechtigtes Interesse, Hürden und Fehler in Gartenkern zu finden und zu beheben. Unsere Messung speichert auf deinem Gerät nichts und liest dort nichts aus, mit und ohne Anmeldung. § 25 Abs. 1 TDDDG greift deshalb nicht, und eine Einwilligung ist nicht erforderlich.

Speicherdauer: die einzelnen Messwerte, auch die mit deinem Konto verbundenen, werden nach 90 Tagen gelöscht. Was bleibt, sind zusammengefasste Zahlen (z. B. „im Mai 1.200 Aufrufe der Preisseite"), die keinen Bezug mehr zu einer Person haben.

Die Länderzuordnung nutzt die Datenbank GeoLite2 von MaxMind (CC BY-SA 4.0). Sie liegt lokal auf unserem Server; es findet keine Abfrage bei MaxMind statt.

6. Provisions-Links

Auf öffentlichen Seiten stehen vereinzelt Links zu Partner-Shops. Kaufst du dort etwas, bekommen wir eine Provision. Für dich ändert sich der Preis dadurch nicht. Jeder solche Link ist als Werbung gekennzeichnet; welche Programme wir nutzen, steht auf der Seite Transparenz.

Was bei uns passiert. Der Link führt zuerst auf eine eigene Weiterleitungs-Adresse unter gartenkern.de/go/. Dort erhöhen wir einen Tageszähler pro Angebot und Seitenbereich, also eine Zahl der Form „Angebot X, 14. August, Magazin: 12 Klicks". Wir speichern dabei keine IP-Adresse, kein Cookie, keine Kennung und keinen Verlauf. Die Zahl lässt sich damit keiner Person zuordnen, auch von uns nicht.

Wie oft ein Angebot angezeigt wurde. Stehen für denselben Platz mehrere gleichwertige Partner bereit, wechselt das gezeigte Angebot von Aufruf zu Aufruf. Eine Klickzahl sagt dann erst etwas, wenn wir wissen, wie oft das Angebot zu sehen war. Deshalb meldet dein Browser unserem Server, welche Angebote eine Seite gerade zeigt und welche Seite das ist. Wir erhöhen damit einen zweiten Tageszähler der Form „Angebot X, 14. August, Magazin: 340 Anzeigen". Auch in diesem Zähler stehen keine IP-Adresse, kein Cookie, keine Kennung und kein Verlauf, und auf deinem Gerät wird nichts gespeichert oder ausgelesen. Gegen massenhafte Meldungen schützt dieselbe Begrenzung je Internet-Anschluss, die für jeden Aufruf unseres Servers gilt. Sie hält die IP-Adresse nur im Arbeitsspeicher und legt sie nicht ab.

Wir geben keine Herkunfts-Adresse weiter. Die Weiterleitung sendet den Header Referrer-Policy: no-referrer. Dein Browser verrät dem Partner also nicht, welchen Artikel du vorher gelesen hast. Läuft der Link über das Partnernetz Awin, hängen wir selbst bis zu drei feste Angaben an die Ziel-Adresse, damit wir und Awin sehen, welcher Beitrag Käufe vermittelt: das Angebot, den Seitenbereich (etwa Magazin) und den Pfad der Seite, auf der der Link stand, zum Beispiel /blog/tomaten-anbauen. Das sind Angaben über unseren Inhalt, nicht über dich: keine IP-Adresse, keine Kennung, kein Konto. Awin reicht sie nach unserer Prüfung nicht an den Shop weiter.

Was beim Partner passiert. Nach der Weiterleitung bist du auf der Seite des Partners, und dort gilt dessen Datenschutzerklärung. Partnerprogramme setzen in aller Regel ein eigenes Cookie oder eine vergleichbare Kennung auf ihrer eigenen Domain, um einen späteren Kauf der Vermittlung zuzuordnen. Das geschieht in der Verantwortung des Partners, nicht in unserer: wir sind dafür weder Auftragsverarbeiter noch gemeinsam mit ihm verantwortlich. Von dort erhalten wir keine personenbezogenen Daten über dich, sondern nur Abrechnungssummen.

Warum es dafür kein Einwilligungs-Banner gibt. § 25 Abs. 1 TDDDG verlangt eine Einwilligung, wenn Informationen auf deinem Gerät gespeichert oder von dort ausgelesen werden. Beim Klick auf einen Provisions-Link und beim Zählen der Anzeigen tun wir weder das eine noch das andere. Die Kennung des Partners setzt dieser erst auf seiner eigenen Seite, nachdem du sie aufgerufen hast, und damit außerhalb unserer Reichweite. Bei einem Klick auf einen Provisions-Link schickt dein Browser wie bei jedem Aufruf unserer Seiten die Cookies aus Abschnitt 4 mit; die Weiterleitung liest sie nicht aus und gibt sie nicht weiter. Die Meldung der angezeigten Angebote schickt gar kein Cookie mit.

Weil beide Zähler keiner Person zuzuordnen sind, verarbeiten wir dabei keine personenbezogenen Daten im Sinne von Art. 4 Nr. 1 DSGVO. Die technischen Zugriffs-Logfiles der Weiterleitung und der Anzeige-Meldung behandeln wir wie alle anderen (siehe den Abschnitt zur Speicherdauer).

7. Auftragsverarbeiter und externe Dienste

Mistral La Plateforme (Server in der EU, Frankreich) verarbeitet für uns:

• Pflanzenfotos zur Krankheits-Diagnose
• Fotos für die Pflanzen- und die Etiketten-Erkennung, nur als Ausweichweg, wenn Anthropic oder OpenRouter (siehe unten) nicht antworten
• KI-Chat-Anfragen mit Tagebuch-Kontext, nur wenn du den KI-Chat nutzt
• Saison-Zusammenfassungen über deinen Garten, nur wenn du sie erstellst
• Belege und Quittungen beim Hochladen ins Haushaltsbuch
• Zählerstand-Fotos beim Hochladen ins Zähler-Tracking

Mistral verarbeitet diese Inhalte ausschließlich zur Inferenz und löscht sie vertraglich zugesichert innerhalb von 30 Tagen aus den Audit-Logs. Eine Verwendung zum Modell-Training findet nicht statt. Wir speichern weder das Original-Bild noch Roh-Antworten von Mistral langfristig; nur das strukturierte Ergebnis (erkannte Pflanze, extrahierter Beleg-Posten, Antwort-Text) kommt in deinen Garten.

Gemeldete Antworten aus dem KI-Chat: Meldest du eine Antwort des KI-Chats, lesen wir diese Antwort und deine Frage direkt davor, um die Meldung zu prüfen und den Chat zu verbessern; den Rest der Unterhaltung sehen wir nicht, und an ein KI-Modell geben wir beides nicht weiter. Löschst du die Unterhaltung oder dein Konto, sehen auch wir Frage und Antwort nicht mehr; deinen Hinweis zur Meldung löschen wir mit deinem Konto.

Für öffentliche Daten ohne Personenbezug (allgemeine Pflanzen-Wissensanreicherung in unserer Plant-Knowledge-Base, Übersetzungen DE/EN für Pflanzen-Inhalte und Blog-Artikel) nutzen wir zusätzlich Anthropic, PBC und OpenRouter, Inc. (beide USA, mit EU-Standardvertragsklauseln nach Art. 46 DSGVO). Drei Funktionen, die du selbst auslöst, schicken dorthin außerdem deine Angaben, jeweils ohne Angaben zu deinem Konto: die Pflanzen-Erkennung das Foto an Anthropic, die Etiketten-Erkennung das Foto an Anthropic oder OpenRouter (beide Fotos ohne Metadaten), und das Anreichern eines Saatgut-Eintrags dessen Sorte und Hersteller. Bei diesen Funktionen verarbeiten die beiden niemals deine Tagebuch-Einträge, KI-Chat-Anfragen oder Fotos für die Krankheits-Diagnose; der Router verweigert diese Routen technisch. Für die Werkzeuge unserer Administratoren gilt der nächste Absatz.

Verwaltungs- und Support-Werkzeuge: Unsere Administratoren setzen für Support und Verwaltung außerdem einen KI-Assistenten von Anthropic, PBC ein. Er liest in ihrem Auftrag, und nur für eine Aufgabe, die ein Administrator ihm gibt oder einplant, Angaben aus unserer Verwaltung: dein Konto und Garten-Konto mit Tarif, Abo und offenen Rechnungen, deine Support-Anfragen samt unseren Antworten, deinen E-Mail-Verlauf ohne den Text der Mails, Meldungen und Moderationsvorgänge, unsere internen Notizen zu deinem Konto, die Merkmale zu deinem Konto (Abschnitt 5), die Sicherheitsprotokolle und Einwilligungs-Nachweise mit IP-Adresse. Von deinen Inhalten sieht er zunächst nur, wie viele Einträge, Notizen und Fotos es gibt. Den Anfang deiner Tagebuch-Einträge und Notizen, deine Antwort auf die Warum-Frage (Abschnitt 5) und den Text der Mails, die wir dir geschickt haben (darin auch Nachrichten, die dir andere über die Gartenbörse geschrieben haben), liest er nur unter derselben Schwelle wie unser Team (Abschnitt 3, „Support-Zugriff“): mit einem der vier Gründe, bei einer Support-Anfrage nur mit deren Ticketnummer, und jeder solche Zugriff steht im Zugriffsprotokoll. Deine Fotos, dein Profilbild, deine Gespräche mit der KI und den Standort deines Gartens liest er nicht.

Auf Anweisung eines Administrators kann er auch handeln: dir im Support antworten, Vorgänge ordnen, deinen Tarif oder dein Abo anpassen oder deine Adresse für weitere Mails sperren. Jede dieser Aktionen protokollieren wir. Deine Rolle ändern, dein Konto löschen, ein Abo beim Zahlungsdienst beenden oder deinen Widerspruch gegen die Merkmale eintragen kann er nicht; das macht nur ein Mensch. Aus den Merkmalen entscheidet auch er nichts über dich (Abschnitt 9). Anthropic verarbeitet diese Angaben als unser Auftragsverarbeiter (Art. 28 DSGVO, USA, mit EU-Standardvertragsklauseln nach Art. 46 DSGVO) und nutzt sie nicht zum Training seiner Modelle.

Eine detaillierte Sub-Auftragsverarbeiter-Liste mit Modellen und Architektur-Garantien erhältst du auf Anfrage an dpo@gartenkern.de.

Bei Abschluss eines kostenpflichtigen Abonnements verarbeitet der von dir gewählte Zahlungsdienstleister (Stripe Payments Europe, Ltd., Irland, oder PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg) deine Zahlungsdaten, zum Beispiel Zahlungsmittel und Rechnungsadresse. PayPal handelt dabei als eigenständiger Verantwortlicher. Wir selbst speichern keine vollständigen Zahlungsdaten, sondern nur die Referenz-IDs des Anbieters und den Abo-Status.

Externe Dienste, die dein Browser direkt aufruft

Für einzelne Funktionen kontaktiert dein Browser direkt externe Dienste; technisch bedingt wird dabei deine IP-Adresse übertragen. Diese Dienste sind, wo unten nichts anderes steht, keine Auftragsverarbeiter, sondern eigenständige Empfänger. Rechtsgrundlage ist unser berechtigtes Interesse an der Bereitstellung der jeweiligen Funktion (Art. 6 Abs. 1 lit. f DSGVO):

Das Luftbild der Standortkarte: Die Standortkarte zeigt zunächst die Basiskarte von OpenFreeMap. Erst wenn du auf „Luftbild" umschaltest, holt dein Browser Bild-Kacheln bei einem amtlichen Vermessungsdienst. Solange die Basiskarte zu sehen ist, geht keine Anfrage an sie hinaus. Und geht eine hinaus, dann immer nur an den einen Dienst, der für die Mitte des sichtbaren Kartenausschnitts zuständig ist, nie an die ganze Liste.

Übermittelt werden dabei deine IP-Adresse, der angeforderte Kartenausschnitt (die Koordinaten der einzelnen Bild-Kachel, also die Gegend, die du dir gerade ansiehst), der Zeitpunkt der Anfrage und die Angaben, die dein Browser bei jedem Bildabruf mitschickt, etwa seine Kennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; ohne Luftbild lässt sich ein Grundstück auf einer Karte kaum wiederfinden. Die Dienste sind öffentliche Stellen und damit eigenständige Verantwortliche: wie sie ihre Server-Logs führen und wie lange sie sie aufbewahren, bestimmen sie selbst. Für Österreich betreibt die Stadt Wien den Dienst basemap.at, ein gemeinsames Projekt der österreichischen Bundesländer. Die Schweiz ist kein EU-Staat; die EU-Kommission hat ihr aber ein angemessenes Datenschutzniveau bescheinigt, und auf diesen Angemessenheitsbeschluss (Art. 45 DSGVO) stützt sich die Übermittlung, wenn du dir eine Gegend in der Schweiz ansiehst.

Welcher Dienst angefragt wird, hängt am Bundesland, außerhalb Deutschlands am Land:

Alle sechzehn Bundesländer sind abgedeckt, dazu Österreich und die Schweiz. Liegt dein Garten anderswo, bleibt die Basiskarte stehen, und es wird kein Dienst angefragt. Welchem Land ein Punkt zugeordnet ist, entscheidet sich an den Landesgrenzen aus den Verwaltungsgebieten des Bundesamtes für Kartographie und Geodäsie, für Österreich und die Schweiz an den Staatsgrenzen aus dem offenen Kartenprojekt Natural Earth. Diese Grenzen liegen als Datei in unserer Anwendung und werden nicht nachgeladen: weder das Bundesamt noch Natural Earth erfahren von deinem Kartenaufruf etwas.

Die Adress-Suche der Standortkarte: Tippst du im Standort-Formular eine Adresse ein, fragt dein Browser ab dem zweiten Zeichen den Geocoder Photon nach Vorschlägen. Übermittelt werden dabei deine Eingabe im Wortlaut, die Sprache deiner Oberfläche, deine IP-Adresse und, sofern für den Garten bereits ein Punkt gesetzt ist, dessen Koordinaten als Umkreis-Hinweis für bessere Treffer. Legst du einen Garten mit Postleitzahl an, geht einmalig diese Postleitzahl auf demselben Weg hinaus, damit die Karte den Garten grob verorten kann. Tippst du nichts und gibst du keine Postleitzahl an, geht keine Anfrage hinaus; den Punkt kannst du auch ohne Suche direkt in die Karte setzen.

Photon ist ein offener Geocoder auf OpenStreetMap-Daten. Die öffentliche Instanz unter photon.komoot.io betreibt die komoot GmbH, Kienberger Allee 4, 12529 Schönefeld. Für diese Instanz gibt es weder eine eigene Datenschutzerklärung noch eigene Nutzungsbedingungen, und komoot gibt öffentlich nicht an, wo ihre Server stehen. Wir können dir deshalb nicht zusichern, dass deine Sucheingabe die EU nicht verlässt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; wir planen, den Geocoder mittelfristig selbst zu betreiben.

Die Bot-Prüfung der offenen Formulare: Formulare, die du ohne Konto abschicken kannst (Inhalt melden, Korrektur vorschlagen, Anfrage für Bildungseinrichtungen, Kontaktformular), sind mit Cloudflare Turnstile gegen automatisierte Einsendungen geschützt. Das Widget lädt beim Öffnen des Formulars von challenges.cloudflare.com; übermittelt werden dabei deine IP-Adresse, technische Angaben deines Browsers und das Ergebnis der Prüfung. Anbieter ist die Cloudflare, Inc., 101 Townsend Street, San Francisco, USA, die insoweit als Auftragsverarbeiter für uns tätig wird; die Übermittlung in die USA stützt sich auf die EU-Standardvertragsklauseln nach Art. 46 DSGVO. Rechtsgrundlage ist unser berechtigtes Interesse daran, diese Formulare ohne Konto offen zu halten, ohne sie an Spam zu verlieren (Art. 6 Abs. 1 lit. f DSGVO).

Dienste, die unser Server aufruft

Manche Funktionen holt nicht dein Browser, sondern unser Server. Deine IP-Adresse geht dabei nicht hinaus, wohl aber die Angaben, die die jeweilige Funktion braucht. Die Auftragsverarbeiter aus der Tabelle oben (Mistral, Anthropic, OpenRouter, Stripe, PayPal, Proton) ruft ebenfalls unser Server auf; sie stehen dort, weil sie in unserem Auftrag verarbeiten. Den KI-Assistenten für die Verwaltung ruft nicht unser Server auf, sondern ein Administrator; er liest über unsere Verwaltungsschnittstelle, und dabei können auch IP-Adressen aus unseren Protokollen zu Anthropic gelangen (siehe oben).

Die Kartenunterlage im Garten-Editor: Der Layout-Editor kann ein Luftbild deines Gartens hinter den Zeichnungsflächen anzeigen. Dieses Bild holt unser Server bei demselben amtlichen Dienst, der auch die Standortkarte bedient; welcher es ist, entscheidet die Mitte deines Garten-Ausschnitts an denselben Landesgrenzen wie oben. Übermittelt wird dabei der Kartenausschnitt deines Gartens, nicht aber deine IP-Adresse und kein Bezug zu deinem Konto. Das Bild legen wir in unserem Objektspeicher ab; dein Browser lädt es anschließend bei uns, nicht beim Dienst. Für die Schweiz gilt derselbe Angemessenheitsbeschluss wie oben. Liegt dein Garten außerhalb Deutschlands, Österreichs und der Schweiz, geht keine Anfrage hinaus, und der Editor sagt dir das. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Wetterdaten für Frost-Warnung und Gartentagebuch: Für die Frost-Warnung, die Bewässerungs-Empfehlung und das Wetter, das wir an deine Tagebuch-Einträge schreiben, ruft unser Server Open-Meteo ab. Übermittelt werden dabei die Koordinaten deines Gartens und der abgefragte Zeitraum, nicht deine IP-Adresse und kein Bezug zu deinem Konto. Die Wetter-Kachel auf dem Dashboard fragt Open-Meteo dagegen direkt aus deinem Browser (siehe oben). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Push-Benachrichtigungen: Aktivierst du Benachrichtigungen, hinterlegt dein Browser bei seinem eigenen Push-Dienst ein Abonnement und gibt uns dessen Adresse. Steht eine Benachrichtigung an, ruft unser Server diese Adresse auf, je nach Browser also einen Dienst von Mozilla, Google oder Apple. Der Inhalt ist dabei für den Push-Dienst verschlüsselt (RFC 8291); er sieht die Adresse des Abonnements und den Zeitpunkt, nicht den Text der Nachricht. In der Android-App stellt Firebase Cloud Messaging (Google Ireland Limited) die Benachrichtigung zu; Titel, Kurztext und der Link auf den Inhalt in der App sind dabei für Google lesbar. Wir speichern dafür nur ein technisches Push-Abonnement, das du jederzeit in den Einstellungen widerrufen kannst.

Weitere Empfänger

Kalender-Abo: Richtest du in den Einstellungen ein Kalender-Abo ein, bekommst du eine geheime Adresse, die du in einer Kalender-App deiner Wahl hinterlegen kannst. Der Anbieter dieser App (zum Beispiel Google, Apple oder Microsoft) ruft die Adresse anschließend selbstständig und regelmäßig ab und erhält dabei die Titel, Beschreibungen, Orte und Zeiten deiner Garten-Termine sowie die IP-Adresse des abrufenden Servers. Wo dieser Server steht, bestimmt der jeweilige Anbieter; bei Google und Microsoft ist eine Verarbeitung außerhalb der EU wahrscheinlich. Das Abo ist ausschließlich lesend, es fließen keine Daten aus der Kalender-App zu uns zurück. Du kannst die Adresse jederzeit in den Einstellungen neu erzeugen oder ganz zurückziehen; sie funktioniert danach sofort nicht mehr.

Benachrichtigungen in der Android-App: Schaltest du in der Android-App Benachrichtigungen ein, stellt sie Firebase Cloud Messaging der Google Ireland Limited zu. Google erhält dabei eine technische Kennung der App auf deinem Gerät, den Zeitpunkt sowie Titel, Kurztext, den Link auf den Inhalt in der App (etwa die Adresse einer Aufgabe mit ihrer Kennung) und ein Stichwort, unter dem die App gleichartige Benachrichtigungen zusammenfasst. Google kann diese Daten auch außerhalb der EU verarbeiten, insbesondere in den USA; die Übermittlung stützt sich auf die EU-Standardvertragsklauseln nach Art. 46 DSGVO. Du kannst die Benachrichtigungen jederzeit in den Einstellungen abschalten.

Fehler-Telemetrie: Technische Fehler erfassen wir über ein selbst-gehostetes GlitchTip auf unserem Server in Deutschland. Hier gibt es keinen externen Empfänger; eine Weitergabe an Dritte findet nicht statt. IP-Adressen werden dabei nicht standardmäßig mitgespeichert. Dorthin gehen auch die Absturzberichte der Android-App (Abschnitt 3, „Die Android-App“).

8. Speicherdauer

Die Zugriffs-Logfiles unserer Web-Server, die deine IP-Adresse enthalten, bewahren wir längstens 15 Tage auf. Danach löschen wir sie automatisch. Im vorgelagerten Cache-Server kürzen wir deine IP-Adresse zusätzlich schon beim Schreiben um ihren letzten Block, sodass dort nur noch das Teilnetz steht.

Diese Zugriffs-Logfiles führen wir nicht mit deinem Account zusammen. Getrennt davon protokollieren wir sicherheitsrelevante Ereignisse wie Anmeldungen, fehlgeschlagene Anmeldeversuche und Änderungen an Berechtigungen. Diese Sicherheitsprotokolle enthalten deine IP-Adresse und, soweit bekannt, den Bezug zu deinem Account; wir brauchen sie, um Angriffe zu erkennen und nachweisen zu können (Art. 6 Abs. 1 lit. f DSGVO). Wir bewahren sie 90 Tage auf und löschen sie danach automatisch, auch dann, wenn sich das Ereignis keinem Account zuordnen lässt. Zu den Schutzmaßnahmen selbst: Abschnitt 13.

Das Zugriffsprotokoll aus Abschnitt 3 („Support-Zugriff“) behandeln wir wie die Sicherheitsprotokolle: Wir bewahren es 90 Tage auf und löschen es danach automatisch, auch wenn du dein Konto vorher löschst.

Kündigungserklärungen, die über die Kündigungsseite eingehen, halten wir als Nachweis fest, auch wenn sie sich keinem Vertrag zuordnen lassen. § 312k Abs. 3 und 4 BGB verpflichten uns, den Zugang einer Kündigung nachweisbar zu dokumentieren und zu bestätigen. Ohne diese Aufzeichnung könnten wir im Streitfall weder dir noch uns belegen, wann eine Kündigung zugegangen ist.

Gartenbörse. 90 Tage nach dem Ende der Laufzeit löschen wir den Inhalt einer Anzeige hart: die Beschreibung, alle Bilder und Videos, die Kontaktdaten des Anbieters und die genaue Lage. Stehen bleiben Titel, Postleitzahl und Ort, die ungefähre Lage und die Preisangaben: der Zahlungsbeleg zeigte sonst auf eine namenlose Zeile. Wer auch die los sein will, löscht die Anzeige im Konto; dann fällt sie vollständig. Die Frist deckt die beiden Fälle ab, in denen die Anzeige nach ihrem Ende noch gebraucht wird: du schaltest sie erneut, oder es gibt Streit über ihren Inhalt. Einen Suchauftrag aus Abschnitt 3 behalten wir, bis du ihn in den Einstellungen löschst oder dein Konto gelöscht wird; die E-Mail dazu abzubestellen löscht ihn nicht. Ein Eintrag deiner Merkliste fällt, wenn du ihn entfernst, dein Konto gelöscht wird oder die Anzeige vollständig gelöscht wird. Einen Block behalten wir, bis ihn jemand aus dem blockierenden Garten-Konto aufhebt oder dieses Garten-Konto gelöscht wird; wird das blockierte Garten-Konto oder die blockierte Person gelöscht, entfällt der Bezug auf sie.

Die Bestelldaten dazu (Betrag, Laufzeit, Zahlungs-Referenz, bei einem Anzeigen-Gutschein auch Rabatt und Herkunft des Gutscheins) bewahren wir als Buchungsbeleg mindestens acht Jahre auf; § 147 Abs. 3 AO verlangt das in der seit dem 01.01.2025 geltenden Fassung. Sie sind für die weitere Nutzung gesperrt. Einen nicht eingesetzten Anzeigen-Gutschein löschen wir zwölf Monate nach seinem Verfall, spätestens mit dem Garten-Konto; von einem eingesetzten Gutschein bleiben Rabatt und Herkunft nur als Teil dieses Belegs erhalten.

Eine Plattform-Anfrage aus Abschnitt 3 löschen wir samt allen Antworten und dem Lesestand 90 Tage nach dem Ende der Anzeige, an die sie ging. Gerechnet wird ab dem Anzeigenende und nicht ab dem Tag der Anfrage: eine Nachricht kurz vor Ablauf soll nicht länger leben als eine vom ersten Tag. Aus demselben Grund verlängert eine späte Antwort die Frist nicht.

Das Kontaktabruf-Protokoll aus Abschnitt 3 räumen wir in zwei Stufen. Gelesen wird es allein für die beiden Tagesbudgets, also über ein Fenster von 24 Stunden. Deine IP-Adresse löschen wir deshalb nach sieben Tagen aus dem Eintrag; sieben statt einem Tag, damit ein laufender Missbrauchsfall noch aufzuklären ist. Der übrige Eintrag (Konto, Kanal, Zeitpunkt) fällt nach 90 Tagen vollständig weg, ebenso wie jeder Eintrag zu einer Anzeige, die gelöscht wird.

Tauschbörse. Für Inserate, Anfragen, Verbindungen und Händler-Bedingungen gibt es keine feste Frist: sie bleiben, bis sie gelöscht werden. Ein Inserat bleibt, bis der Anbieter es löscht oder sein Garten-Konto gelöscht wird. Löscht er es, verschwindet es sofort aus der Tauschbörse, und niemand kann es mehr anfragen. Hat es keine Anfragen, löschen wir es dabei ganz. Hat es Anfragen, behalten wir seine Angaben, solange es Anfragen dazu gibt, damit beide Seiten ihre Anfragen, die Kopie der Händler-Bedingungen und die Vertragsbestätigung weiter abrufen können. Fällt die letzte Anfrage weg, löschen wir auch das Inserat ganz. Mit dem Garten-Konto des Anbieters fallen das Inserat und alle Anfragen dazu samt der Kopie. Eine Anfrage fällt außerdem mit dem Garten-Konto, aus dem sie kam. Eine Verbindung bleibt, auch gesperrt, bis eines der beiden Garten-Konten gelöscht wird. Eine Version der Händler-Bedingungen bleibt, bis der Betrieb sie löscht oder sein Garten-Konto gelöscht wird. Solange ein Inserat oder eine Anfrage auf sie verweist, lässt sie sich nicht löschen, denn sie ist der Nachweis, zu welchen Bedingungen angefragt wurde. Hast du die Löschung deines Kontos per E-Mail bestätigt, sehen andere die Inserate der Garten-Konten, die dir gehören, ab sofort nicht mehr. Wird dein Konto gelöscht, während eine Anfrage von dir in einem fremden Garten-Konto liegt, entfernen wir deine Nachricht, auch aus der Kopie, und den Bezug zu deinem Konto. Stand und Zeitpunkte der Anfrage und die Kopie der Händler-Bedingungen bleiben dort als Vorgang des Anbieters.

Dein Konto kannst du jederzeit in den Einstellungen löschen (Bereich „Gefahr"). Nach der Bestätigung per E-Mail ruht dein Konto 30 Tage; in dieser Zeit kannst du die Löschung abbrechen, indem du dich anmeldest und „Löschung abbrechen" wählst. Danach löschen wir dein Konto und deine eigenen Garten-Konten endgültig. Was du in Garten-Konten anderer eingetragen hast, bleibt dort, ohne deinen Namen. Unseren Zahlungsdienstleister Stripe weisen wir an, deinen Kunden-Datensatz zu löschen; Zahlungen und Rechnungen bleiben dort, weil Stripe eigenen Aufbewahrungspflichten unterliegt. Was in unseren eigenen Sicherungen nach einer Löschung bleibt, steht in Abschnitt 11.

Bestätigst du deine E-Mail-Adresse nach der Registrierung nicht, löschen wir das Konto nach sieben Tagen von selbst, ohne weitere Nachricht an die Adresse. Bis dahin kannst du die Adresse jederzeit bestätigen; danach kannst du dich mit derselben Adresse neu registrieren.

Anmelde-Vorgänge. Meldest du dich an, registrierst dich, bestätigst deine E-Mail-Adresse, setzt dein Passwort zurück oder änderst etwas unter „Anmeldung & Sicherheit“, legt unser Anmeldedienst dafür einen Vorgang an. Darin stehen die Web-Adresse (URL), mit der der Vorgang gestartet wurde, samt ihrer Parameter, etwa die Seite, auf die du danach zurückkehrst, eine Kampagnen-Kennung aus dem Link, über den du gekommen bist, oder eine Pflanze und eine Postleitzahl für deine Einrichtung, und was du in das Formular eingegeben hast, zum Beispiel deine E-Mail-Adresse. Meldest du dich über ein Konto bei einem anderen Anbieter an (Abschnitt 3), kommen die Angaben hinzu, die er uns dabei übermittelt, und wir halten den Vorgang zusätzlich für deine Rückkehr vom Anbieter fest. Ein Vorgang ist nach spätestens einer Stunde abgelaufen; sieben Tage nach seinem Ablauf löschen wir ihn automatisch. Dieselbe Frist gilt für deine Anmelde-Sitzungen samt der dazu gespeicherten IP-Adresse und Browser-Kennung: Wir löschen eine Sitzung sieben Tage nach ihrem Ablaufdatum (höchstens 30 Tage nach der Anmeldung, Abschnitt 4), auch wenn du dich vorher abgemeldet hast. Gelöscht wird in einem stündlichen Durchgang, also spätestens eine Stunde nach Ende der Frist.

Buchungsbelege bewahren wir acht Jahre auf; § 147 Abs. 3 AO und § 257 Abs. 4 HGB verlangen das für Belege dieser Art. Sie sind in dieser Zeit für die weitere Nutzung gesperrt.

Am Ende der acht Jahre gehen die beiden Arten Beleg verschieden zu Ende. Den Beleg eines gelöschten Abo-Kontos löschen wir ganz. Bei einer Anzeigen-Bestellung nehmen wir der Zeile stattdessen den Personenbezug: Konto, Garten-Konto und der Verweis auf die Anzeige fallen weg, Betrag, Laufzeit und die Referenz auf die Zahlung bleiben. Der Grund für den Unterschied ist, dass die steuerliche Frist sich verlängern kann, solange ein Vorgang noch geprüft werden darf; ein Beleg, der niemandem mehr zuzuordnen ist, kann diese Zeit gefahrlos abwarten.

Sperrliste für E-Mails: Hast du dem Empfang von Hinweis-Mails widersprochen oder eine Mail von uns als Spam gemeldet, merken wir uns deine E-Mail-Adresse auf einer Sperrliste. Gespeichert werden dabei nur die Adresse, Grund und Herkunft des Eintrags sowie die Zeitstempel. Dieser Eintrag bleibt auch nach einer Konto-Löschung bestehen, und zwar ohne Frist. Ein Widerspruch läuft nicht ab; eine automatische Löschung nach einigen Monaten würde ihn still aufheben, und wir würden dich danach versehentlich erneut anschreiben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, deinen Widerspruch nach Art. 21 Abs. 3 DSGVO dauerhaft zu beachten. Einträge, die allein auf einer technisch unzustellbaren Adresse beruhen (Bounce), löschen wir dagegen zusammen mit dem Konto. Du kannst die Löschung deines Sperrlisten-Eintrags jederzeit unter dpo@gartenkern.de verlangen; danach können dich Hinweis-Mails wieder erreichen.

Unzustellbare E-Mails: Kommt eine Mail von uns nicht an, meldet uns das der Mailserver des Empfängers. Aus dieser Rückmeldung speichern wir deine E-Mail-Adresse und den Grund der Ablehnung, damit wir nicht weiter an eine Adresse schreiben, die keine Mail mehr annimmt (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen sie nach 90 Tagen, eine Rückmeldung, die wir von Hand prüfen müssen, nach der Prüfung.

Newsletter. Den Nachweis über Einwilligung und Widerruf (Abschnitt 3) bewahren wir auf, solange wir ihn führen müssen: Art. 7 Abs. 1 DSGVO verlangt, dass wir eine Einwilligung belegen können, und ein Widerruf wirkt nur dann dauerhaft, wenn auch er dokumentiert bleibt. Diese Einträge sind technisch gegen nachträgliche Änderung und gegen Löschung gesperrt. Löschst du dein Konto, verlieren sie ihren Personenbezug: E-Mail-Adresse, Konto-Bezug, IP-Adresse und Browser-Kennung fallen weg, die Tatsache der Einwilligung und ihr Zeitpunkt bleiben stehen.

Getrennt davon steht der Bestätigungsstand selbst, also ob und wann du den Link angeklickt hast. Er hängt unmittelbar an deinem Konto und wird mit dessen Löschung mit entfernt. Widerrufst du, nehmen wir Bestätigung und offenen Link sofort heraus; was bleibt, ist der Zeitpunkt der letzten Anfrage, damit eine erneute Anmeldung die Abkühlzeit von fünf Minuten einhält. Eine Anmeldung, die du nie bestätigt hast, führt zu keinem Versand.

Die einzelnen Messwerte der Reichweitenmessung (Abschnitt 5) löschen wir nach 90 Tagen, auch die mit deinem Konto verbundenen. Den täglichen Zufallswert löschen wir nach zwei Tagen. Zusammengefasste Zahlen ohne Personenbezug bleiben erhalten.

Die Merkmale zu deinem Konto (Abschnitt 5) bewahren wir auf, bis dein Konto gelöscht wird, und löschen sie mit ihm. Widersprichst du, löschen wir sie sofort, wenn du den Schalter umlegst, oder unverzüglich, sobald wir deine Mail bearbeitet haben; der Vermerk über den Widerspruch bleibt bis zur Löschung des Kontos. Für deine Antwort auf die Warum-Frage gilt dasselbe: sie bleibt bis zur Löschung deines Kontos und geht mit deinem Widerspruch sofort.

Kampagnen. Die Liste, wer eine Kampagne bekommen hat und wer in der Vergleichsgruppe war (Abschnitt 3), löschen wir 24 Monate nach dem Ende der Kampagne; es bleiben zusammengefasste Zahlen ohne Bezug zu einer Person. Mit deinem Konto fällt dein Eintrag sofort. Für ausgewählte Hinweise in der App gilt dasselbe: die Liste, wem wir einen Hinweis zeigen und wer in der Vergleichsgruppe war, löschen wir 24 Monate nach seinem Ende.

Support-Anfragen bewahren wir drei Jahre ab dem Tag auf, an dem wir den Vorgang abgeschlossen haben; danach löschen wir ihn samt Nachrichten und deiner Absenderadresse. Betrifft die Anfrage ein Handelsgeschäft, etwa eine Rechnung oder eine Kündigung, gilt stattdessen die Aufbewahrungsfrist von sechs Jahren nach § 257 Abs. 1 Nr. 2 und Abs. 4 HGB; die Frist beginnt am Ende des Kalenderjahres. Schreibst du uns per E-Mail, entstehen dabei zusätzlich technische Zustelldaten wie die Adresse des absendenden Mailservers. Diese löschen wir nach 90 Tagen, unabhängig davon, wie lange der Vorgang selbst noch läuft. Bilder, die du an eine Anfrage anhängst, bleiben genauso lange gespeichert wie der Vorgang selbst, am selben Ort. Wir entfernen die EXIF-Daten vor dem Speichern und gleichen sie mit einem Prüfwert gegen bereits gesperrte Inhalte ab.

Bei anonym eingereichten Korrekturen, Förderanfragen und Kontaktanfragen löschen wir deine IP-Adresse nach 30 Tagen aus dem Vorgang; der übrige Inhalt bleibt bis zum Ende der oben genannten Frist stehen.

9. Keine automatisierte Entscheidungsfindung

Die Merkmale aus Abschnitt 5 sind Profiling. Wir nutzen sie auch, um auszuwählen, wem wir einen Hinweis oder ein Angebot zeigen oder schicken (Abschnitt 3). Eine automatisierte Entscheidung, die dir gegenüber rechtliche Wirkung entfaltet oder dich ähnlich erheblich beeinträchtigt (Art. 22 DSGVO), treffen wir daraus nicht: Funktionen, dein Zugang und die regulären Preise hängen nicht daran. Die KI-Funktionen der Plattform (Pflanzen-Erkennung, Chat, Zusammenfassungen) erzeugen Vorschläge, keine rechtlich bindenden Entscheidungen über dich.

Bekommst du so einen Aktionscode, ist dein Preis damit personalisiert. Das sagen wir dir vor dem Bezahlen (Art. 246a § 1 Abs. 1 Nr. 6 EGBGB). Den regulären Preis kannst du immer wählen.

10. Deine Rechte (DSGVO Art. 15 bis 22)

Du hast jederzeit das Recht auf:

• Auskunft (Art. 15) darüber, was wir über dich gespeichert haben: deine Inhalte als Daten-Export in den Einstellungen, die vollständige Auskunft auf Anfrage an dpo@gartenkern.de. Dazu gehört auf Anfrage auch, wann und aus welchem Grund jemand aus unserem Team oder der KI-Assistent in dessen Auftrag auf deine Daten zugegriffen hat. Weil wir das Zugriffsprotokoll nach 90 Tagen löschen, umfasst diese Auskunft die letzten 90 Tage.
• Berichtigung (Art. 16), direkt im Account-Profil
• Löschung (Art. 17, „Recht auf Vergessenwerden"), in den Einstellungen unter „Gefahr", oder auf Anfrage an dpo@gartenkern.de
• Einschränkung der Verarbeitung (Art. 18), auf Anfrage per Mail
• Datenübertragbarkeit (Art. 20), als Daten-Export in den Einstellungen, in einem strukturierten, gängigen Format
• Widerspruch (Art. 21) gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen
• Beschwerde bei einer Aufsichtsbehörde (Art. 77)

Diese Anfragen sowie alle weiteren Datenschutz-Fragen richtest du an dpo@gartenkern.de. Wir antworten unverzüglich, spätestens innerhalb eines Monats. Ist eine Anfrage besonders komplex, kann sich diese Frist um bis zu zwei weitere Monate verlängern; darüber informieren wir dich innerhalb des ersten Monats (DSGVO Art. 12 Abs. 3).

Die für uns zuständige Aufsichtsbehörde ist:

Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59 bis 61, 10555 Berlin
https://www.datenschutz-berlin.de/

Du kannst dich auch an die Aufsichtsbehörde deines gewöhnlichen Aufenthaltsorts wenden.

11. Backups und Löschfristen

Wir sichern die Daten des Dienstes jede Nacht, darunter die Datenbank mit deinem Konto und die hochgeladenen Bilder und Videos. Die Sicherungen liegen verschlüsselt bei der Hetzner Online GmbH in Deutschland (Abschnitt 7). Den Schlüssel haben nur wir; Hetzner kann die Sicherungen nicht lesen.

Wir brauchen die Sicherungen, um den Dienst nach einem technischen Ausfall oder einem Datenverlust wiederherstellen zu können (Art. 32 Abs. 1 lit. c DSGVO). Rechtsgrundlage ist unser berechtigtes Interesse an dieser Wiederherstellbarkeit (Art. 6 Abs. 1 lit. f DSGVO).

Aufbewahrung. Wir behalten die Sicherungen der letzten 7 Tage, dazu je eine aus den letzten 4 Wochen und je eine aus den letzten 12 Monaten. Ältere löschen wir automatisch. Reste davon im Speicher räumen wir einmal im Monat restlos weg; Daten aus einer Sicherung bleiben so bis zu 13 Monate erhalten, nicht länger. Die Monatsstände halten wir vor, weil sich manche Schäden an Daten erst nach Wochen zeigen; dann hilft nur ein älterer Stand.

Gelöschte Daten. Was wir löschen, ob auf dein Verlangen oder nach Ablauf einer Frist aus Abschnitt 8, steht in keiner späteren Sicherung mehr. In den früheren bleibt es, bis diese nach spätestens 13 Monaten automatisch und restlos gelöscht sind.

Wiederherstellung. Müssen wir den Dienst aus einer Sicherung wiederherstellen, löschen wir vorher erneut jedes Konto, das seit dem Stand dieser Sicherung gelöscht wurde, und alles, was seitdem auf dein Verlangen nach Art. 17 DSGVO gelöscht wurde (Abschnitt 10). Erst danach geht der Dienst wieder in Betrieb. Einzelne Inhalte, die du seitdem selbst gelöscht hast, etwa ein Foto, können danach wieder auftauchen; lösch sie dann bitte erneut. Abgelaufene Fristen aus Abschnitt 8 setzt der Dienst nach dem Start selbst wieder durch.

12. Mindestalter

Die Plattform ist für Personen ab 16 Jahren zugänglich (Art. 8 DSGVO). Wer jünger ist, darf das Angebot nur mit Einwilligung der Erziehungsberechtigten nutzen.

13. Sicherheit (DSGVO Art. 32)

Wir treffen technische und organisatorische Maßnahmen nach dem Stand der Technik: verschlüsselte Übertragung aller Verbindungen, Passwörter ausschließlich als sicherer Hash gespeichert und niemals im Klartext, Entfernen von EXIF-Daten bei Bild-Uploads, strikte Trennung der Daten verschiedener Garten-Konten und eine Rechteprüfung bei jedem Zugriff.

Die eingesetzten Verfahren im Einzelnen nennen wir hier nicht. Sie entwickeln sich mit dem Stand der Technik weiter, und ihre Veröffentlichung würde Angreifern die Arbeit erleichtern. Auf begründete Anfrage geben wir Auskunft.

14. Datenschutzverletzung (Breach Notification)

Im Fall einer Datenschutzverletzung melden wir diese der zuständigen Aufsichtsbehörde binnen 72 Stunden, nachdem sie uns bekannt wurde (DSGVO Art. 33). Birgt die Verletzung voraussichtlich ein hohes Risiko für deine Rechte und Freiheiten, benachrichtigen wir außerdem dich unverzüglich (DSGVO Art. 34).