Datenschutzerklärung
Stand 27. September 2026.
Gegliedert nach Artikel 13 DSGVO.
1. Verantwortlicher
Muhlis Karaca, Oberföhringer Straße 246a, 81925 München, info@sostivo.de.
Einen Datenschutzbeauftragten haben wir nicht benannt, weil weniger als zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG).
2. Was wir verarbeiten, wozu, und auf welcher Grundlage
| Daten | Zweck | Rechtsgrundlage | Aufbewahrung |
|---|---|---|---|
| Konto: Name, E-Mail, Telefon, Rolle | Registrierung, Anmeldung, Kommunikation zum Vertrag | Art. 6 Abs. 1 lit. b DSGVO | bis zur Löschung des Kontos |
| Objekt und Stellplatz: Adresse, Maße, Fotos | Inserat, Vermittlung, Vertragsschluss | Art. 6 Abs. 1 lit. b DSGVO | 90 Tage nach Buchungsende (Fotos), sonst bis zur Löschung |
| Anfrage und Besichtigung: Fahrzeugdaten, Kennzeichen | Passung, Termin, Nachweis der Übergabe | Art. 6 Abs. 1 lit. b DSGVO | 90 Tage nach Buchungsende |
| Vertrag, Zahlungen, Mahnungen, Hauptbuch | Vertragsschluss, Abrechnung, Mahnwesen, Buchführung | Art. 6 Abs. 1 lit. b und lit. c DSGVO (steuerliche Aufbewahrung) | 3.650 Tage (§ 147 AO) |
| Zugangscode der Schlüsselbox | Übergabe des Stellplatzzugangs | Art. 6 Abs. 1 lit. b DSGVO | bis zum Vertragsende, dann entzogen |
| Postausgang der Mails | Nachweis versendeter Mitteilungen | Art. 6 Abs. 1 lit. b DSGVO | 3 Jahre (§ 195 BGB) |
| Server-Protokolle des Hosters | Betrieb und Abwehr von Angriffen | Art. 6 Abs. 1 lit. f DSGVO | kurzfristig, nach Vorgabe des Hosters |
| Selbstauskunft: privat oder gewerblich, mit Zeitpunkt der Erklärung | Pflichtangabe nach Art. 246d § 1 Nr. 4 und 5 EGBGB, steuerliche Einordnung (AGB Abschnitt 19) | Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) | bis zur Löschung des Kontos |
| Bei gewerblichen Anbietern: Firma, Straße, PLZ, Ort | Anbieterkennzeichnung nach Art. 246d § 1 Nr. 4 EGBGB. Empfänger: öffentlich am Inserat sichtbar, außerdem im Vertrags-PDF des jeweiligen Mieters. | Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) | bis zur Löschung des Kontos |
| E-Mail-Adresse, Anmeldecode (nur als Prüfwert), Sitzungskennung (nur als Prüfwert) | Anmeldung ohne Passwort per Code per Mail; Sitzung in Webseite und App | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) | Code 10 Minuten gültig, Sitzung 30 Tage (Web) oder 180 Tage (App), danach ungültig |
| Bei „Mit Apple anmelden“: Apple-Kennung, von Apple bestätigte E-Mail-Adresse, Name beim ersten Mal | Anmeldung auf deinen Wunsch; Apple Distribution International (Irland) prüft deine Identität in eigener Verantwortung | Art. 6 Abs. 1 lit. b DSGVO | bis zur Löschung des Kontos |
| Bei „Mit Google anmelden“: Google-Kennung, von Google bestätigte E-Mail-Adresse, Name | Anmeldung auf deinen Wunsch; Google Ireland Limited prüft deine Identität in eigener Verantwortung | Art. 6 Abs. 1 lit. b DSGVO | bis zur Löschung des Kontos |
| Push-Kennung des Geräts (nur in der App, nur wenn du Mitteilungen erlaubst) | Mitteilungen zu Buchungen, Nachrichten und Zahlungen; Zustellung über Apple Push Notification Service bzw. Firebase Cloud Messaging | Art. 6 Abs. 1 lit. b DSGVO | bis zur Abmeldung des Geräts oder Löschung des Kontos |
| Kurzbuchung: Zeitraum, Preis, Zahlungsstatus, Bewertungen mit Sternen und Kommentar | Durchführung der Buchung; Bewertungen sind für andere Nutzer als Schnitt sichtbar, der Kommentar für die bewertete Seite | Art. 6 Abs. 1 lit. b DSGVO | Buchungsdaten zehn Jahre (§ 147 AO), Bewertungen bis zur Löschung des Kontos |
| Meldungen zu Inseraten: Grund, dein Text, dein Konto | Prüfung rechtswidriger Inhalte nach Art. 16 Digital Services Act, Eingangsbestätigung per Mail | Art. 6 Abs. 1 lit. c DSGVO | drei Jahre nach Abschluss der Prüfung |
| App: Standort (nur während der Nutzung, nur mit deiner Erlaubnis) | Plätze in deiner Nähe zeigen | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit in den iOS-Einstellungen widerrufbar) | Standort wird nicht gespeichert |
| Merkliste: welche Plätze du dir mit dem Lesezeichen gemerkt hast, mit Zeitpunkt | Deine gemerkten Plätze auf der Webseite zeigen, nur für dich sichtbar. In der App bleibt die Merkliste auf deinem Gerät und wird nicht übertragen. | Art. 6 Abs. 1 lit. b DSGVO | bis du einen Platz entfernst oder dein Konto löschst |
| Betrugsabwehr: nicht umkehrbare Prüfwerte (Hashes) des Karten-Fingerabdrucks von Stripe und des Auszahlungskontos, nie Karten- oder Kontonummer selbst | Erkennen, ob mehrere Konten derselben Person gehören, damit niemand den eigenen Platz bucht, sich selbst bewertet oder eine Sperre mit einem neuen Konto umgeht | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem fairen, betrugsfreien Marktplatz) | bis zur Löschung des Kontos, bei gesperrten Konten bis zu 3 Jahre |
3. Kein Tracker
Wir setzen keinen Tracker, keine Reichweitenmessung und keine Werbenetze ein. Schriften liegen auf unserem eigenen Server, keine Schrift wird von einem fremden Server geladen.
4. Cookies
Wir setzen genau ein Cookie: für die Anmeldung. Es ist technisch notwendig, dafür ist keine Einwilligung nötig (§ 25 Abs. 2 Nr. 2 TDDG), deshalb zeigen wir keinen Cookie-Banner.
5. Empfänger
| Name | Sitz | Aufgabe | Grundlage |
|---|---|---|---|
| Google Cloud (Cloud Run, Firebase Hosting, Cloud Storage) | Irland, Rechenzentrum Frankfurt | Betrieb der Anwendung, Fotos und Belege | Auftragsverarbeitung |
| Supabase | USA, Rechenzentrum Frankfurt | Datenbank | Auftragsverarbeitung |
| Apple (nur bei „Mit Apple anmelden“) | EU, Irland | Anmeldung | eigene Verantwortlichkeit, auf deinen Wunsch |
| Google (nur bei „Mit Google anmelden“ und für Push-Mitteilungen unter Android) | EU, Irland; Übermittlung in die USA nach EU-US Data Privacy Framework | Anmeldung, Zustellung von Mitteilungen | eigene Verantwortlichkeit bei der Anmeldung, sonst Auftragsverarbeitung |
| Apple (Push-Mitteilungen unter iOS) | EU, Irland; Übermittlung in die USA nach EU-US Data Privacy Framework | Zustellung von Mitteilungen | Auftragsverarbeitung |
| Stripe Payments Europe | EU | Zahlungen | Auftragsverarbeitung; für Stripe Connect (Auszahlungskonten, Identitätsprüfung) eigenständiger Verantwortlicher, siehe stripe.com/de/privacy |
| ALL-INKL.COM | Deutschland | Versand der Mails | Auftragsverarbeitung |
| OpenStreetMap Foundation, über Nominatim | Großbritannien | Umrechnung der eingegebenen Adresse in Koordinaten, serverseitig, ohne deine IP-Adresse | Art. 6 Abs. 1 lit. b DSGVO |
| FOSSGIS e.V. (Overpass-API), nur in der App und nur mit eingeschaltetem Filter „Öffentliche Parkplätze“ | Deutschland | Abruf öffentlicher Gratis- und Behindertenparkplätze aus OpenStreetMap um die Kartenmitte; übertragen werden die Koordinaten der Kartenmitte und deine IP-Adresse | Art. 6 Abs. 1 lit. b DSGVO |
Das sind alle Empfänger. Für Empfänger außerhalb der EU: Auftragsverarbeitungsvertrag und Standardvertragsklauseln, Prüfung vor dem Live-Gang.
6. Wie lange wir speichern
Rechnungs- und Buchungsdaten zehn Jahre (§ 147 AO). Fotos 90 Tage nach Buchungsende. Kennzeichen 90 Tage nach Buchungsende. Nachrichten und versendete Mails drei Jahre (§ 195 BGB). Das Konto bis zur Löschung, danach nur, was steuerlich aufzubewahren ist. Das Konto kannst du selbst in der App (Tab Konto) oder auf der Webseite unter /konto/loeschen löschen. Name, E-Mail-Adresse, Anmeldung und Anbieteranschrift werden dann entfernt, Buchungsdaten bleiben ohne Namen im Konto für die gesetzlichen Fristen.
7. Was wir besonders schützen
Der Schlüsselbox-Code liegt verschlüsselt gespeichert, jede Anzeige wird protokolliert, nach Vertragsende wird die Berechtigung entzogen. Die genaue Adresse eines Stellplatzes wird erst nach beidseitig bestätigter Besichtigung sichtbar; öffentlich steht ein um bis zu 180 Meter versetzter Punkt.
8. Meldung an die Finanzverwaltung
Sostivo wird von einem Einzelunternehmen betrieben und ist deshalb nach Auskunft des Bundeszentralamts für Steuern kein meldepflichtiger Plattformbetreiber nach dem Plattformen-Steuertransparenzgesetz (§ 3 Abs. 2 und § 6 Abs. 1 PStTG). Wir erheben keine Steuer-Identifikationsnummer und kein Geburtsdatum und melden keine Vermieter an das Bundeszentralamt für Steuern. Früher erhobene Angaben dieser Art haben wir gelöscht.
9. Deine Rechte
Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21), Beschwerde bei der Aufsichtsbehörde (Art. 77). Zuständig ist das Bayerische Landesamt für Datenschutzaufsicht, Ansbach.
10. Pflicht zur Bereitstellung
Ohne Konto, Adresse und Zahlungsdaten kommt kein Vertrag zustande; ohne Auszahlungskonto kann keine Auszahlung laufen (Art. 13 Abs. 2 lit. e DSGVO).
11. Keine automatisierte Entscheidung
Die Fahrzeugpassung rechnet Maße, sie entscheidet nichts im Sinne von Art. 22 DSGVO über eine Person. Zahlst du mit einer Karte, die schon zum Konto des Vermieters oder zu einem gesperrten Konto gehört, kommt die Buchung nicht zustande und du bekommst alles zurück; ein Mensch prüft jeden solchen Fall, und du kannst uns unter info@sostivo.de deine Sicht schildern.
Unsere Rolle als Vermittler
- Sostivo vermittelt nur. Der Mietvertrag über einen Stellplatz kommt ausschließlich zwischen Mieter und Vermieter zustande. Sostivo ist nicht Vertragspartei, nicht Vermieter und nicht Vertreter einer Seite.
- Für Angaben in Inseraten, für Zustand, Zugang und Nutzbarkeit eines Stellplatzes und für das Verhalten von Mietern und Vermietern ist allein die jeweilige Seite verantwortlich. Sostivo prüft Inserate nicht vorab.
- Schäden am Fahrzeug, am Grundstück oder an Dritten regeln Mieter und Vermieter untereinander und über ihre eigenen Versicherungen. Sostivo bietet keinen Versicherungsschutz an.
- Ob deine eigene Versicherung die Vermietung oder Anmietung eines Stellplatzes deckt, klärst du selbst mit deinem Versicherer.
- Sostivo leistet keine Rechts- oder Steuerberatung.
Kontakt: info@sostivo.de.