Datenschutzhinweise

Für die Viblyo-Webseite, Plattformkonten und den technischen Plattformbetrieb ist verantwortlich:

AHOI Consulting UG (haftungsbeschränkt)
Bundesstraße 7a, 25860 Olderup
Telefon: 04841 9369831
E-Mail: moin@ahoi-consulting.com

Bei einem persönlichen Kundenlink entscheidet grundsätzlich das im Link genannte Autohaus über Zweck und Inhalt der Kundenkommunikation. Dieses Autohaus ist für Kunden-, Fahrzeug- und Videodaten datenschutzrechtlich verantwortlich; AHOI Consulting betreibt Viblyo insoweit als technischer Auftragsverarbeiter. Die Kontakt- und Rechtsinformationen des Autohauses werden direkt auf der jeweiligen Kundenseite verlinkt.

Für die Demo-Mandanten und den Viblyo-Showroom ist AHOI Consulting selbst verantwortlich. Produktiv angeschlossene Autohäuser müssen ihre eigenen Datenschutz- und Impressumslinks hinterlegen, bevor Videos versendet werden können.

• technische Zugriffsdaten wie Zeitpunkt, angefragte Route, IP-Adresse beim Hosting und ein Hash für kurzzeitige Missbrauchs- und Ratenbegrenzung;
• Kontodaten interner Nutzer wie Name, E-Mail-Adresse, Rollen, Profilangaben, Anmeldestatus und OAuth-Anbieter;
• vom Autohaus eingestellte Kunden-, Kontakt-, Fahrzeug- und Termindaten;
• Video- und Audiodateien, Vorschaubilder, Versandempfänger, Linkgültigkeit und Versandstatus;
• Kundenreaktionen wie Videoaufruf, Terminbestätigung, Rückruf- oder Datenschutzanfrage;
• E-Mail-Zustellereignisse wie angenommen, zugestellt, abgewiesen, unzustellbar oder als Beschwerde gemeldet; Öffnungs- und Klicktracking ist derzeit deaktiviert.

Geheime Kundenlink-Tokens, E-Mail-Adressen und Telefonnummern werden nicht im Klartext in Auditprotokolle übernommen.

Wir verarbeiten Daten zur Bereitstellung und Absicherung der Plattform, zur Nutzeranmeldung, zur Erstellung und Übermittlung persönlicher Videonachrichten, zur Bearbeitung von Kundenreaktionen, zur Fehleranalyse sowie zur Erfüllung gesetzlicher Nachweis- und Löschpflichten.

Soweit AHOI Consulting selbst verantwortlich ist, erfolgt die Verarbeitung insbesondere zur Vertragserfüllung und vorvertraglichen Kommunikation (Art. 6 Abs. 1 lit. b DSGVO), zur Erfüllung rechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO) und auf Grundlage berechtigter Interessen an einem sicheren, nachvollziehbaren Plattformbetrieb (Art. 6 Abs. 1 lit. f DSGVO). Für Kundenvideos legt das verantwortliche Autohaus die einschlägige Rechtsgrundlage fest.

Interne Nutzer können sich mit E-Mail-Adresse und Passwort oder freiwillig über Google beziehungsweise Microsoft anmelden. Beim OAuth-Login werden Sie zum gewählten Anbieter weitergeleitet; Viblyo erhält anschließend die für Anmeldung und Kontozuordnung erforderliche Identität und E-Mail-Adresse. Ohne aktive Einladung oder Mandantenmitgliedschaft entsteht dadurch kein Zugriff auf Autohausdaten.

Unabhängig von der Anmeldung kann ein Mitarbeiter seinen Google- oder Microsoft-Kalender freiwillig mit Viblyo verbinden. Viblyo fragt dafür in einem gesonderten Einwilligungsschritt ausschließlich die Berechtigungen ab, die benötigt werden, um Frei-/Belegt-Zeiten zu ermitteln und vom Nutzer veranlasste Kundentermine im verbundenen Kalender anzulegen, zu aktualisieren oder abzusagen. Zusätzlich wird die Kontoidentität abgerufen, damit die Verbindung dem richtigen Viblyo-Nutzer zugeordnet werden kann. Bei Google beschränkt sich der Ereigniszugriff auf Kalender, deren Eigentümer der Nutzer ist; daneben wird die Frei-/Belegt-Auskunft des primären Kalenders abgefragt. Viblyo fordert keinen Zugriff auf E-Mails, Kontakte oder Dateien an.

Gespeichert werden der Kalenderanbieter, die Konto-E-Mail-Adresse, der Verbindungsstatus, persönliche Buchungsregeln, technische Termin- und Abgleichkennungen sowie verschlüsselte Aktualisierungstokens. Kurzlebige Zugriffstokens bleiben ausschließlich serverseitig und werden nur vorübergehend im Arbeitsspeicher gehalten. Die Kalenderdaten werden ausschließlich zur Bereitstellung und technischen Aufrechterhaltung der vom Nutzer aktivierten Termin- und Verfügbarkeitsfunktionen verwendet, einschließlich automatischer Erinnerungs- und Abgleichläufe. Sie werden nicht für Werbung verkauft und nicht zum Aufbau von Werbeprofilen genutzt. Vercel verarbeitet die Anfragen als Hostinganbieter; Supabase speichert die Verbindungs-, Buchungs- und Statusdaten. Darüber hinaus erfolgt eine Weitergabe nur, wenn eine konkrete Kalenderfunktion dies erfordert oder soweit eine gesetzliche Verpflichtung besteht. Ein menschlicher Zugriff für Support oder Fehlerbehebung findet nur statt, nachdem der Nutzer ausdrücklich der Einsicht in die konkret betroffenen Daten zugestimmt hat; ausgenommen bleiben die Abwehr von Missbrauch und rechtliche Verpflichtungen. Die Nutzung von über Google APIs erhaltenen Daten erfolgt außerdem gemäß der Google API Services User Data Policy einschließlich der Anforderungen zur eingeschränkten Nutzung.

Die Kalenderverbindung kann jederzeit in Viblyo getrennt werden. Dabei werden die lokal gespeicherten Provider-Tokens gelöscht; bei Google versucht Viblyo zusätzlich, die erteilte Berechtigung beim Anbieter zu widerrufen. Die Zustimmung kann außerdem direkt im jeweiligen Google- oder Microsoft-Konto widerrufen werden. Bereits angelegte Kundentermine und Statusdaten bleiben erhalten, solange sie für die Bearbeitung des Kundenvorgangs sowie vertragliche oder gesetzliche Nachweise benötigt werden. Danach werden sie im Rahmen der Konto- oder Mandantenlöschung beziehungsweise auf einen berechtigten Löschantrag hin manuell gelöscht oder anonymisiert, soweit keine Aufbewahrungspflicht entgegensteht.

Weitere Informationen: Google-Datenschutz · Microsoft-Datenschutz.

Für den Betrieb setzen wir sorgfältig ausgewählte Dienstleister ein:

• Vercel für Webhosting, Auslieferung und technische Protokolle;
• Supabase für Datenbank, Authentifizierung und privaten Videospeicher in einer europäischen Projektregion;
• Zoho ZeptoMail für transaktionale E-Mails und Zustellereignisse;
• Google oder Microsoft ausschließlich bei der jeweils aktiv gewählten OAuth-Anmeldung oder Kalenderanbindung;

Soweit gesetzlich erforderlich, setzen wir Dienstleister auf Grundlage von Auftragsverarbeitungsvereinbarungen und geeigneten Übermittlungsmechanismen ein. Auch bei europäisch gewählten Speicherregionen können Anbieter oder Unterauftragnehmer Daten in Drittländern verarbeiten.

Für angemeldete Mitarbeiter verwendet Viblyo technisch erforderliche Sitzungscookies. Im lokalen Browserspeicher können außerdem ein noch nicht abgeschlossenes Superadmin-Onboarding mit Autohaus- und Mitarbeiterangaben sowie die Entscheidung zum PWA-Installationshinweis liegen. Das Onboarding-Draft wird nach erfolgreicher Aktivierung entfernt und kann andernfalls durch Löschen der Browserdaten entfernt werden. Werbe- oder Marketing-Cookies setzt die Anwendung derzeit nicht ein.

Eine optionale Reichweiten- und Performance-Analyse der Marketing-Startseite ist derzeit deaktiviert.

Öffentliche Kundenseiten verwenden einen kryptografisch abgeleiteten, undurchsichtigen und zeitlich begrenzten Zugriffstoken in der URL. Dieser Link ist vertraulich zu behandeln und darf nicht weitergegeben werden.

Eingebettete Kalender erhalten durch eine strenge Referrer-Richtlinie nicht die geheime Kunden-URL. Beim Laden des Kalenders entsteht dennoch eine direkte Verbindung zum vom Autohaus gewählten Kalenderanbieter.

Kundenlinks und Videos werden nach den vom jeweiligen Autohaus festgelegten, technisch begrenzten Aufbewahrungsfristen gesperrt und über wiederholbare Löschaufträge aus Datenbank und Storage entfernt. Offene Kundenaktionen verhindern dabei eine automatische Videolöschung. Abgelaufene Rate-Limit-Einträge werden durch die tägliche Wartung gelöscht. Sicherheits- und Auditereignisse werden zunächst pseudonymisiert und anschließend nach der konfigurierten Aufbewahrungsfrist gelöscht.

Die Deaktivierung einer Mitgliedschaft sperrt den Zugriff, löscht das Auth-Konto und das Nutzerprofil aber nicht automatisch. Diese Daten werden derzeit nach Prüfung einer Löschanfrage manuell entfernt, soweit keine gesetzlichen Nachweisfristen oder offenen Vorgänge entgegenstehen. Datenschutzanfragen und noch nicht abgeschlossene Kundenaktionen können eine Löschung vorübergehend blockieren, damit sie nachvollziehbar bearbeitet werden.

Viblyo trennt Mandanten und Rollen durch Datenbankregeln, hält Videos in privaten Storage-Buckets und verwendet kurzlebige signierte Zugriffe. Kundenlinks werden serverseitig geprüft, sensible Auditwerte nur als Fingerprint gespeichert und produktive Auth-Weiterleitungen auf feste eigene URLs begrenzt. Die Übertragung erfolgt verschlüsselt per HTTPS.

Betroffene Personen können – abhängig von den gesetzlichen Voraussetzungen – Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch verlangen sowie eine erteilte Einwilligung mit Wirkung für die Zukunft widerrufen. Bei einem Autohaus-Kundenvideo richten Sie Ihre Anfrage bitte vorrangig an das im Kundenlink genannte Autohaus. Alternativ erreichen Sie uns unter moin@ahoi-consulting.com.

Sie haben außerdem das Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde. Für AHOI Consulting ist insbesondere das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein, Holstenstraße 98, 24103 Kiel, erreichbar.

Wir aktualisieren diese Hinweise, wenn sich Funktionen, Dienstleister oder rechtliche Anforderungen ändern. Maßgeblich ist die auf dieser Seite veröffentlichte Fassung.