Datenschutzerklärung

1. Verantwortlicher und Kontakt

David Schomburg
Talheimer Straße 32, 74223 Flein
E-Mail: info@baumcheck.ai

Verantwortliche Stelle im Sinne der Datenschutzgesetze ist die oben genannte natürliche Person.

2. Übersicht der Verarbeitungstätigkeiten

Im Rahmen der Nutzung von Baumcheck erheben und verarbeiten wir folgende Kategorien personenbezogener Daten:

• Session-ID — Anonyme, zufällig generierte Kennung zur Zuordnung Ihres Vorgangs (kein Account, kein Passwort)
• E-Mail-Adresse — Für Kaufbestätigung, Zustellung des PDF-Berichts, Vermittlungsanfragen und optionale Erinnerungen
• IP-Adresse (gehasht) — Gespeichert in irreversibel gehashter Form (SHA-256) zum Schutz vor Missbrauch
• Fotos — Ihre hochgeladenen oder per Kamera aufgenommenen Baumfotos zur spezialisierten KI-Analyse
• Browser-Informationen — User-Agent und Gerätetyp für technische Kompatibilität
• Zahlungsdaten — Werden ausschließlich durch PayPal verarbeitet (siehe Abschnitt 11)
• Kontaktdaten — Name, Telefonnummer und Nachricht bei Nutzung des Vermittlungsformulars (siehe Abschnitt 17)
• Cookie- und Einwilligungsdaten — Ihre Einstellungen zur Cookie-Nutzung
• Analyseergebnisse — KI-generierte Bewertung (Ampelstatus, Befunde, Gesundheitsbewertung)

3. Rechtsgrundlagen der Verarbeitung

Die Verarbeitung Ihrer personenbezogenen Daten erfolgt auf Basis folgender Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung: Die Datenverarbeitung ist zur Durchführung des Vertrags (Baumcheck-Analyse, PDF-Erstellung, E-Mail-Zustellung) erforderlich.
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung: Für Analyse-Cookies (PostHog) und Marketing-Cookies (Google Ads, Meta Pixel), die nur nach ausdrücklicher Zustimmung aktiviert werden, sowie für die Marketing-Einwilligung bei der Registrierung (siehe §18).
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigtes Interesse: Für den technisch notwendigen Betrieb der Website, die Sicherheit des Dienstes (Rate-Limiting, IP-Hashing) und Bereitstellung über den Hosting-Anbieter.
• Art. 6 Abs. 1 lit. c DSGVO — Rechtliche Verpflichtung: Für die Aufbewahrung von Rechnungsdaten gem. § 147 AO und § 257 HGB (steuer- und handelsrechtliche Aufbewahrungspflichten).

4. Technische und organisatorische Maßnahmen

Wir setzen gem. Art. 32 DSGVO angemessene technische und organisatorische Maßnahmen zum Schutz Ihrer Daten ein:

• Verschlüsselung: Sämtliche Datenübertragungen erfolgen über TLS/HTTPS. Gespeicherte Daten werden verschlüsselt abgelegt (AES-256 at rest).
• IP-Anonymisierung: IP-Adressen werden vor der Speicherung irreversibel gehasht (SHA-256, auf 16 Zeichen gekürzt).
• Passwortloses Konto: Ihr Nutzerkonto wird ohne Passwort geführt — die Anmeldung erfolgt ausschließlich über einen zeitlich begrenzten Login-Link per E-Mail (Magic-Link). Es werden keine Passwörter gespeichert.
• Automatische Löschung: Nicht bezahlte Vorgänge werden nach 30 Tagen automatisch gelöscht.
• Zugriffskontrolle: Datenbankzugriff ist durch Row-Level-Security (RLS) abgesichert.
• Rate-Limiting: API-Endpunkte sind gegen Missbrauch geschützt.

5. Übermittlung an Drittländer

Einige der von uns eingesetzten Dienstleister haben ihren Sitz in den USA. Eine Datenübermittlung in die USA erfolgt auf Grundlage des EU-U.S. Data Privacy Framework (DPF) gem. Art. 45 DSGVO (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023, bestätigt durch das EuG am 3. September 2025). Ergänzend werden EU-Standardvertragsklauseln (SCCs) gem. Art. 46 Abs. 2 lit. c DSGVO als zusätzliche Schutzmaßnahme eingesetzt.

US-basierte Dienstleister mit Drittlandtransfer:

• Vercel Inc. (Hosting) — DPF-zertifiziert
• Google LLC (spezialisierte KI-Analyse via Gemini, Google Ads Conversion-Tracking) — DPF-zertifiziert
• PayPal (Europe) S.à r.l. et Cie, S.C.A. (Zahlungsabwicklung) — EU-Sitz in Luxemburg, Binding Corporate Rules (BCR) für konzerninterne Transfers
• Meta Platforms Inc. (Meta Pixel, Conversions API) — DPF-zertifiziert

EU-basierte Dienstleister (kein Drittlandtransfer):

• PostHog (Analytics) — EU-Instanz in Frankfurt, Deutschland
• Supabase (Datenbank & Speicher) — EU-Region
• Strato AG (E-Mail-Versand) — Berlin, Deutschland

6. Hosting und Bereitstellung — Vercel

Diese Website wird gehostet von Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA. Beim Aufruf unserer Website werden durch den Hosting-Anbieter automatisch folgende Daten verarbeitet:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit der Anfrage
• Angeforderte URL und HTTP-Methode
• Übertragene Datenmenge
• Referrer-URL

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der stabilen und sicheren Bereitstellung der Website). Vercel ist unter dem EU-US Data Privacy Framework zertifiziert. Ein Auftragsverarbeitungsvertrag (DPA) ist abgeschlossen.

Betriebsüberwachung (Monitoring):Zur Fehler- und Betriebsüberwachung übermitteln wir technische Telemetriedaten (z. B. Antwortzeiten und Fehlerzähler) sowie eine Kopie der Server-Logs an unser Monitoring-System (SigNoz), das auf Infrastruktur unseres technischen Dienstleisters HyBrayn in der Europäischen Union betrieben wird. E-Mail-Adressen, Zugriffs-Tokens und Datenbank-Fehlerdetails werden vor der Übermittlung automatisiert entfernt oder maskiert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der stabilen und sicheren Bereitstellung). Die Monitoring-Logs werden nach 30 Tagen gelöscht.

Weitere Informationen: Vercel Datenschutzerklärung

7. Datenspeicherung — Supabase

Für die Speicherung und Verwaltung Ihrer Daten nutzen wir Supabase Inc. (als Managed Service über die Vercel-Integration). Supabase stellt die Datenbank, Dateispeicherung und Authentifizierung bereit.

Gespeicherte Daten: Sessions, hochgeladene Fotos, generierte PDF-Berichte, Transaktionsdaten, Erinnerungen, Cookie-Einwilligungen.

Hosting-Region: EU — Ihre Daten werden in der Europäischen Union gespeichert. Es findet kein Drittlandtransfer für gespeicherte Daten statt.

Ein Auftragsverarbeitungsvertrag (DPA) ist über die Vercel-Integration abgeschlossen. Weitere Informationen: Supabase Datenschutzerklärung

Magic-Link-Authentifizierung (Supabase Auth)

Für den Zugang zu Ihrem Baumcheck-Konto (z. B. /account/data, Dashboard, Self-Service) nutzen wir das passwortlose Magic-Link-Verfahren von Supabase Auth. Sie erhalten einen einmaligen Anmelde-Link per E-Mail; nach erfolgreichem Klick wird eine Auth-Sitzung im Browser hinterlegt.

• Magic-Link-Token: gültig für 1 Stunde ab Versand, anschließend automatisch entwertet (Supabase-Default).
• Auth-Cookies (Access-Token): kurzlebige JWTs, technisch notwendig für die authentifizierte API-Kommunikation.
• Refresh-Token: Rolling Refresh mit einer Lebensdauer von 1 Woche (Supabase-Default, Rotation bei jeder Erneuerung).
• Session: rollierend gültig — eine Sitzung läuft nach 7 Tagen Inaktivität automatisch ab und erfordert eine erneute Magic-Link-Anmeldung.

Die Auth-Cookies sind als technisch unbedingt erforderlich einzustufen (Art. 6 Abs. 1 lit. b DSGVO i. V. m. § 25 Abs. 2 Nr. 2 TDDDG) und werden ohne Einwilligung gesetzt, da ohne sie die angefragte Konto-Funktionalität nicht erbracht werden kann. Die detaillierten technischen Cookie-Parameter (Name, Path, SameSite, Secure-Flag) entsprechen den Voreinstellungen von Supabase Auth und sind in der Supabase Auth-Dokumentation beschrieben.

8. Kamerazugriff und Bildverarbeitung

Baumcheck bietet die Möglichkeit, Baumfotos direkt über die Kamera Ihres Geräts aufzunehmen. Dazu wird über die Browser-Schnittstelle MediaDevices.getUserMedia() der Zugriff auf Ihre Rückkamera angefragt. Die Kamera wird ausschließlich nach Ihrer ausdrücklichen Erlaubnis über den Browser-Dialog aktiviert.

Verarbeitungskette: Die aufgenommenen Fotos werden zunächst lokal in Ihrem Browser (localStorage) zwischengespeichert, dann auf unseren Server (Supabase Storage) hochgeladen und anschließend zur Analyse an die Google Gemini API übermittelt (siehe Abschnitt 9).

Alternativ können Sie Fotos auch über die Datei-Upload-Funktion Ihres Geräts bereitstellen, ohne Kamerazugriff zu erteilen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — die Fotos sind zur Durchführung der Baumanalyse erforderlich).

9. KI-gestützte Bildanalyse — Google Cloud Vertex AI

Für die Analyse Ihrer Baumfotos nutzen wir den Cloud-Dienst Google Cloud Vertex AI von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Konzernunternehmen: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA). Eingesetzte KI-Modelle sind derzeit Gemini 3.1 Pro (Vorschauversion) und Gemini 3 Flash (Vorschauversion).

Modell-Versionen: Die jeweils aktuell produktiv eingesetzten Modell-Bezeichner sind im Quellcode unter src/lib/gemini/client.ts einsehbar (Konstanten PRIMARY_MODEL und FALLBACK_MODEL). Da Google die Modell-Generationen regelmäßig aktualisiert, können sich diese Bezeichner im Laufe der Zeit ändern. Solche Modell-Updates innerhalb derselben Vertex-AI-Produktfamilie führen wir in dieser Datenschutzerklärung nicht jeweils einzeln auf — die rechtliche Grundlage, der Auftragsverarbeitungsvertrag sowie die übermittelten Datenkategorien bleiben davon unberührt.

Verarbeitungsregion: Wir nutzen den global-Endpoint von Vertex AI. Google verarbeitet Anfragen in seiner weltweiten Infrastruktur, mit Schwerpunkt in den USA und in der Europäischen Union. Eine ausschließliche Verarbeitung innerhalb der EU ist beim global-Endpoint technisch nicht garantiert; Anfragen können bedarfsorientiert in weitere Google-Rechenzentren weltweit geroutet werden.

Rechtsgrundlage der Drittland-Übermittlung:

• Für die Übermittlung in die USA: das EU-US Data Privacy Framework (DPF) gem. Art. 45 DSGVO. Google LLC ist nach dem DPF zertifiziert (Bestätigung unter dataprivacyframework.gov).
• Für sämtliche Übermittlungen in weitere Drittländer: ergänzend die EU-Standardvertragsklauseln (SCCs) Modul 2 gem. Art. 46 Abs. 2 lit. c DSGVO als integraler Bestandteil des Google Cloud Data Processing Addendum.

Wir haben für diese Übermittlungskonstellation eine Datenschutz-Folgenabschätzung im Drittland-Kontext (Transfer Impact Assessment) durchgeführt und ergänzende Schutzmaßnahmen (Verschlüsselung in Transit und at Rest, Daten-Minimierung) eingerichtet. Auf Anforderung an info@baumcheck.ai machen wir Ihnen die Zusammenfassung dieser Folgenabschätzung zugänglich.

Auftragsverarbeitung: Mit Google Ireland Limited besteht ein Auftragsverarbeitungs-Vertrag in Form des Google Cloud Data Processing Addendum (Cloud DPA) zuzüglich der Vertex AI Service Specific Terms. Google verarbeitet die übermittelten Daten ausschließlich im Auftrag und verwendet eingereichte Bilder und Prompts nicht für das Training eigener Modelle (kostenpflichtige Vertex-AI-Nutzung).

Übermittelte Daten: Ausschließlich die hochgeladenen Bilddaten und allgemeine Analyse-Anweisungen (Prompts). E-Mail-Adressen, Namen oder andere identifizierende Stammdaten werden nicht an Vertex AI übermittelt.

Weitere Informationen: Google Cloud Data Processing Addendum / Google Datenschutzerklärung

10. Automatisierte Entscheidungsfindung (Art. 22 DSGVO)

Im Rahmen der Baumanalyse werden Ihre hochgeladenen Fotos durch ein KI-Modell automatisiert ausgewertet. Das Ergebnis umfasst eine Ampelbewertung (grün, gelb, rot), eine Gesundheitsbewertung, erkannte Baumart und identifizierte Befunde.

Diese KI-gestützte Bewertung dient ausschließlich als unverbindliche Ersteinschätzung. Sie stellt keine zertifizierte Baumkontrolle im Sinne der FLL-Richtlinie dar und entfaltet keine rechtliche oder ähnlich erhebliche Wirkung im Sinne von Art. 22 Abs. 1 DSGVO.

Wir empfehlen, bei auffälligen Ergebnissen einen qualifizierten Baumsachverständigen hinzuzuziehen.

Sollten Sie eine menschliche Überprüfung der KI-Empfehlung wünschen (Art. 22 Abs. 3 DSGVO), kontaktieren Sie uns unter info@baumcheck.ai mit Bezug auf die Session-ID. Wir prüfen die Ausgabe manuell und nehmen ggf. eine qualifizierte Stellungnahme vor.

Bei rotem Ampel-Status empfehlen wir Ihnen direkt: konsultieren Sie einen FLL-Sachverständigen oder einen zertifizierten Baumkontrolleur. Unsere KI-Empfehlung ist eine Vorab-Indikation, kein Ersatz für ein Gutachten nach FLL-Baumkontrollrichtlinie.

11. Zahlungsdienstleister — PayPal

Für die Zahlungsabwicklung nutzen wir den Dienst von PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg. PayPal ist eigenständiger Verantwortlicher für die Verarbeitung Ihrer Zahlungsdaten.

An PayPal übermittelte Daten: E-Mail-Adresse, Bestellbetrag (EUR), Bestellreferenz. Wir selbst speichern keine Kreditkartennummern oder PayPal-Kontodaten. Wir erhalten von PayPal lediglich eine Transaktions-ID, den Zahlungsstatus und Ihre bei PayPal hinterlegte E-Mail-Adresse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — die Zahlungsabwicklung ist zur Erbringung der Leistung erforderlich). Für konzerninterne Datenübermittlungen setzt PayPal Binding Corporate Rules (BCR) ein.

Weitere Informationen: Datenschutzerklärung von PayPal

Abonnement- und Abrechnungsdaten (Starter / Professional / Business)

Schließen Sie ein kostenpflichtiges Abonnement ab, verarbeiten wir die zur Vertragsdurchführung erforderlichen Daten: den gewählten Tarif, den Abonnement-Status, die Abrechnungszeiträume, das verbrauchte und verbleibende Analyse-Kontingent sowie die vom Zahlungsdienstleister vergebene Abonnement-Kennung (PayPal-Subscription-ID).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die wiederkehrende Zahlungsabwicklung erfolgt über PayPal (siehe oben); PayPal ist hierfür eigenständig Verantwortlicher.

Speicherdauer: Abonnement-Stammdaten werden für die Dauer des Abonnements und anschließend bis zum Ablauf etwaiger Verjährungsfristen gespeichert. Rechnungs- und Abrechnungsdaten unterliegen der gesetzlichen Aufbewahrungspflicht (Rechnungen und Buchungsbelege acht Jahre gem. § 147 Abs. 3 i. V. m. Abs. 1 Nr. 4 AO, § 14b Abs. 1 UStG, § 257 Abs. 4 HGB; zugrunde liegende Buchführungsaufzeichnungen zehn Jahre gem. § 147 Abs. 3 i. V. m. Abs. 1 Nr. 1 AO, § 257 Abs. 4 HGB — siehe Abschnitt 21).

12. Cookies und Einwilligungsmanagement

Wir setzen Cookies und vergleichbare Technologien (localStorage) gem. § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) ein. Technisch notwendige Cookies werden ohne Einwilligung gesetzt; Analyse-Cookies nur nach Ihrer ausdrücklichen Zustimmung über unseren Cookie-Banner.

Übersicht der eingesetzten Cookies und Speicher

Sie können Ihre Einwilligung jederzeit über den Cookie-Banner oder im Footer unter "Cookie-Einstellungen" widerrufen; die entsprechende Verarbeitung unterbleibt danach für die Zukunft. Beim Widerruf löschen wir unmittelbar die von Google (_ga, _gid) und Meta (_fbp, _fbc) gesetzten Cookies. Beim Widerruf entfernen wir zusätzlich das Attributions-Cookie bc_partner_ref (Abschnitt 25) serverseitig — es ist mit httpOnly geschützt und für die Skripte unserer Website selbst nicht erreichbar, weshalb unsere Seite dafür einen eigenen Endpunkt aufruft. Schlägt dieser Aufruf fehl — etwa weil die Verbindung abbricht —, läuft das Cookie spätestens nach 30 Tagen von selbst ab. Die übrigen in der Tabelle genannten Einträge werden dabei technisch nicht automatisch beseitigt — Sie können sie jederzeit über die Einstellungen Ihres Browsers entfernen.

Cookie-Einwilligung und Newsletter-Einwilligung — unterschiedliche Rechtsgrundlagen

Die Einwilligung in das Setzen von Cookies und die Einwilligung in den Versand werblicher E-Mails (Newsletter, Produkt-Updates) sind zwei rechtlich getrennte Vorgänge:

• Die Einwilligung in das Setzen von Analyse- oder Marketing-Cookies richtet sich nach § 25 TDDDG. Sie betrifft ausschließlich die Speicherung von Informationen auf Ihrem Endgerät und wird über unseren Cookie-Banner eingeholt.
• Die Einwilligung in E-Mail-Marketing (Newsletter, Produkt-Updates) richtet sich nach Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 7 UWG. Sie betrifft die Verarbeitung Ihrer E-Mail-Adresse zur Direktwerbung und wird separat während der Konto-Anmeldung über eine eigene Checkbox eingeholt.

Eine Cookie-Zustimmung schließt keinen Newsletter-Versand ein, und umgekehrt führt eine Newsletter-Abmeldung nicht automatisch zur Deaktivierung von Cookies. Beide Einwilligungen können Sie unabhängig voneinander widerrufen — Cookies über den Cookie-Banner oder die Cookie-Einstellungen im Footer, das E-Mail-Marketing über den Abmelde-Link in jeder Marketing-Mail oder über Ihr Konto.

13. Werbung — Google Ads Conversion-Tracking

Wir setzen Google Ads Conversion-Tracking ein, um den Erfolg unserer Google-Ads-Werbekampagnen zu messen. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Muttergesellschaft: Google LLC, USA).

Consent Mode v2: Das Google-Tag (gtag.js) wird beim Seitenaufruf technisch geladen, startet jedoch im Modus denied: Ohne Ihre Einwilligung werden keine Cookies gesetzt und keine personalisierten Werbedaten verarbeitet. In diesem Modus können cookielose, nicht personenbezogene Status-Signale an Google übertragen werden; Klick- Informationen aus Anzeigen (gclid) können ohne Cookie-Einsatz über die URL weitergegeben werden (URL-Passthrough).

Nach Ihrer Marketing-Einwilligung über den Cookie-Banner wird das Conversion-Tracking aktiviert: Google setzt das Cookie _gcl_au (Laufzeit: 90 Tage), und bei einem Kauf übermitteln wir das Conversion-Ereignis mit Transaktionsnummer, Betrag und Währung an Google, um die Anzeigenwirkung zu messen.

Drittlandtransfer: Die Daten können an Server von Google in den USA übertragen werden. Die Übermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework (DPF), ergänzt um EU-Standardvertragsklauseln.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung). Sie können Ihre Einwilligung jederzeit über den Cookie-Banner oder die Cookie-Einstellungen im Footer widerrufen; danach werden keine Conversion-Ereignisse mehr übermittelt und die ad-bezogenen Speicherzugriffe bleiben deaktiviert.

Weitere Informationen: Google Datenschutzerklärung

14. Webanalyse — PostHog

Zur Analyse der Nutzungsabläufe verwenden wir PostHog (PostHog Inc.). PostHog wird ebenfalls nur nach ausdrücklicher Einwilligung aktiviert.

EU-Hosting: Wir nutzen die EU-Instanz von PostHog, gehostet in Frankfurt, Deutschland (AWS eu-central-1) — die Ereignisdaten werden dort verarbeitet und gespeichert. Anbieter ist die PostHog Inc. (USA); soweit im Rahmen von Support oder Administration ein Zugriff aus den USA erfolgt, ist dieser über EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag abgesichert.

Datenschutzeinstellungen: Session-Recording ist deaktiviert. Autocapture ist deaktiviert — es werden ausschließlich manuell definierte Events erfasst (Seitenaufrufe, Fotoaufnahmen, Checkout, Zahlungen, Analyseergebnisse, PDF-Downloads).

PostHog verwendet Cookies und localStorage-Einträge mit dem Präfix ph_. Ein Auftragsverarbeitungsvertrag (DPA) ist abgeschlossen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Der Widerruf ist jederzeit über den Cookie-Banner möglich.

Weitere Informationen: PostHog Datenschutzerklärung

15. Webanalyse & Werbung — Meta Pixel

Zur Messung der Wirksamkeit unserer Werbekampagnen und zur Optimierung unserer Anzeigen setzen wir das Meta Pixel ein. Anbieter ist die Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland (Muttergesellschaft: Meta Platforms Inc., USA).

Das Meta Pixel wird nur nach Ihrer ausdrücklichen Einwilligung über den Cookie-Banner aktiviert.

Erfasste Events: PageView (Seitenaufruf), InitiateCheckout (Checkout gestartet, mit Warenwert in EUR), Purchase (Kauf abgeschlossen, mit Warenwert in EUR).

Cookies: _fbp (Laufzeit: 90 Tage, Browser-Identifikation) und _fbc (Laufzeit: 90 Tage, Click-Identifikation bei Klick auf eine Meta-Anzeige).

Conversions API: Eine serverseitige Ereignis-Übermittlung an Meta (Conversions API) ist derzeit deaktiviertund findet nicht statt. Sollte sie künftig aktiviert werden, informieren wir an dieser Stelle vorab über Umfang (u. a. IP-Adresse, User-Agent) und Rechtsgrundlage.

Drittlandtransfer: Meta Platforms Inc. ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können Ihre Einwilligung jederzeit über den Cookie-Banner oder die Cookie-Einstellungen im Footer widerrufen. Nach dem Widerruf werden die Meta Cookies _fbp und _fbc gelöscht und keine weiteren Events gesendet.

Weitere Informationen: Meta Datenschutzrichtlinie

16. E-Mail-Kommunikation

Für den Versand transaktionaler E-Mails (Kaufbestätigung, PDF-Zustellung, Vermittlungsbestätigung, Erinnerungs-E-Mails) nutzen wir den SMTP-Dienst der Strato AG, Pascalstraße 10, 10587 Berlin, Deutschland.

Strato ist ein EU-basierter Anbieter — es findet kein Drittlandtransfer statt. Die E-Mail-Zustellung erfolgt über eine TLS-verschlüsselte SMTP-Verbindung. Ein Auftragsverarbeitungsvertrag (AVV) mit Strato ist abgeschlossen.

Übermittelte Daten: Empfänger-E-Mail-Adresse, E-Mail-Betreff, HTML-Inhalt und ggf. PDF-Anhang. Ihre E-Mail-Adresse wird ausschließlich zum Zweck der jeweiligen E-Mail-Zustellung verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für transaktionale E-Mails; Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für Erinnerungs-E-Mails.

17. Kontaktaufnahme und Vermittlung

Baumcheck bietet ein Vermittlungsformular, über das Sie bei auffälligen Analyseergebnissen Kontaktdaten für eine professionelle Beratung hinterlassen können.

Erhobene Daten: Name (Pflicht), E-Mail-Adresse (Pflicht), Telefonnummer (optional), Nachricht (optional). Zusätzlich werden automatisch Ihre Analyseergebnisse (Ampelstatus, Baumart, Gesundheitsbewertung, Befunde) angehängt.

Verarbeitung: Ihre Daten werden an info@baumcheck.ai übermittelt. Sie erhalten anschließend eine Empfehlung und kontaktieren qualifizierte Baumsachverständige eigenständig. Eine Weitergabe Ihrer Daten an einen Baumpflege-Betrieb findet nur statt, wenn Sie beim Kauf ausdrücklich einwilligen — die Einzelheiten dazu stehen in Abschnitt 25 (Partnerprogramm).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Bestandteil der Baumcheck-Dienstleistung).

18. Lead-Verarbeitung und Konto-Funktion

Soweit Sie ein Konto anlegen, eine kostenpflichtige Auswertung beauftragen oder sich früher für die inzwischen eingestellte kostenfreie Erst-Analyse registriert haben, verarbeiten wir Sie betreffende Daten in mehreren Datenbank-Tabellen unseres Backends. Ziel dieser Verarbeitung ist die Erbringung der angefragten Leistung, die rechtssichere Dokumentation Ihrer Einwilligungen sowie — bei ausdrücklicher Zustimmung — der Versand von Marketing-Kommunikation.

Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung und vorvertragliche Maßnahmen für die funktionalen Bestandteile (Konto-Login per Magic-Link, Double-Opt-In, Zuordnung Ihrer Analyse-Ergebnisse, Bereitstellung von Self-Service-Funktionen unter /account/data).
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung in Marketing-Kommunikation (Feld marketing_consent), insbesondere für den Versand von Produkt-Updates, Pflege-Hinweisen und Erinnerungen. Die Einwilligung ist freiwillig und keine Voraussetzung für die Nutzung unserer Leistungen. Hinweis zum früheren Gratis-Angebot: Für den inzwischen eingestellten kostenlosen Schnell-Check war diese Einwilligung Teilnahmevoraussetzung — der Gratis-Check wurde im Gegenzug für die Einwilligung in E-Mail-Marketing bereitgestellt. Eine damals erteilte Einwilligung gilt fort, bis Sie sie widerrufen. Die Einwilligung ist jederzeit mit Wirkung für die Zukunft widerrufbar (Abmelde-Link in jeder E-Mail oder unter /account/data); bereits erstellte Analysen und Ihr Konto bleiben vom Widerruf unberührt.
• Art. 6 Abs. 1 lit. c DSGVO — Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) sowie handels- und steuerrechtliche Aufbewahrungs- und Nachweispflichten für das Consent-Audit-Log.

Verarbeitete Tabellen und Zwecke

• leads — Stammdatensatz pro Interessent/Nutzer: E-Mail-Adresse, Lead-Status (z. B. pending, confirmed, paid), Double-Opt-In-Zeitpunkt, Marketing-Consent-Flag, Zähler der kostenfrei genutzten Analysen (Free-Quota), Akquise-Quelle sowie UTM-Felder (utm_source, utm_medium, utm_campaign). Zweck: Konto-Verwaltung, Funnel-Steuerung, DSGVO-konforme Retention.
• lead_activities — Chronologische Aktivitäts-Timeline pro Lead (z. B. signup, doi_confirmed, analysis_started, checkout_paid, marketing_unsubscribed). Diese Einträge dienen ausschließlich der internen Nachvollziehbarkeit und dem revisionssicheren Auditing; es findet kein Profiling im Sinne von Art. 4 Nr. 4 DSGVO und keine automatisierte Bewertung persönlicher Aspekte statt.
• pending_deletions — Verwaltung der vom Nutzer initiierten Konto-Löschungen während der 30-tägigen Cooling-Off-Periode (Wiederherstellungsmöglichkeit vor der endgültigen Löschung).
• unsubscribes — Dokumentation des Widerrufs der Marketing-Einwilligung (One-Click-Unsubscribe): Lead-Bezug, Widerrufszeitpunkt und Widerrufs-Kanal als Nachweis des Widerrufs gem. Art. 7 Abs. 3 DSGVO.
• email_suppressions — unsere zentrale Versand-Sperrliste: Ihre E-Mail-Adresse mit Sperr-Grund und Zeitpunkt. Der Eintrag bleibt dauerhaft gespeichert — auch nach einer vollständigen Kontolöschung —, damit Ihr Widerspruch gegen weitere E-Mails wirksam bleibt (Art. 21 Abs. 3 DSGVO). Er wird zum Abgleich vor einem E-Mail-Versand verwendet und dient — je nach Sperr-Grund — als Nachweis Ihres Widerspruchs oder der Vermeidung unzustellbarer Sendungen; er ist nicht mit Ihrem Konto verknüpft, und die Auskunft nach Art. 15 DSGVO weist ihn aus.
• feedbacks — Freiwilliges Nutzer-Feedback (Sterne-Bewertung, optionaler Freitext-Kommentar) zur Verbesserung der Analyse-Qualität.

Eine vollständige Auflistung sämtlicher Datenbankfelder ist nicht Gegenstand dieser Datenschutzerklärung; die oben genannten Kategorien geben die wesentlichen Datenarten wieder. Sie können die zu Ihrer Person gespeicherten Daten jederzeit über /account/data als JSON-Export herunterladen (Art. 15, Art. 20 DSGVO) oder die Löschung Ihres Kontos anstoßen (Art. 17 DSGVO, vorbehaltlich gesetzlicher Aufbewahrungspflichten).

19. Partnerprogramm-Warteliste und Partnerkonto

Das Partnerprogramm ist seit dem 31.08.2026 aktiv. Dieser Abschnitt beschreibt die Verarbeitung rund um Registrierung, Eignungsprüfung und Führung der Warteliste sowie die Führung aktiver Partnerkonten einschließlich Abrechnung und Auszahlung.

Baumpflege- und verwandte Betriebe können sich für unser Partnerprogramm registrieren und werden bis zur Freigabe auf unserer Warteliste geführt. Dabei verarbeiten wir die im Formular angegebenen Firmen- und Kontaktdaten (Firmenname, Ansprechpartner, E-Mail-Adresse, optional Telefonnummer, optional ungefähre Kundenanzahl und eine freiwillige Nachricht) sowie die Herkunft der Anmeldung (UTM-Parameter).

Für die Prüfung, ob ein Betrieb für das Programm in Frage kommt, erheben wir zusätzlich: Postleitzahl und Ort des Firmensitzes sowie den Tätigkeitsschwerpunkt (Auswahlliste) — diese drei Angaben sind Pflichtfelder — und freiwillig die Website sowie das Einzugsgebiet. Diese Angaben dienen ausschließlich der Eignungsprüfung. Eine automatisierte Entscheidung findet nicht statt (Art. 22 DSGVO); über die Aufnahme entscheidet ein Mensch. Wird eine Registrierung abgelehnt, speichern wir diesen Umstand für die unten genannte Dauer, um die Entscheidung nachvollziehen zu können.

Zwecke und Rechtsgrundlagen: Bearbeitung Ihrer Registrierung, Prüfung der Eignung, Führung der Warteliste und Kontaktaufnahme auf Ihre Anfrage hin (Art. 6 Abs. 1 lit. b DSGVO — vorvertragliche Maßnahmen). Diese Grundlage trägt, soweit Sie selbst Vertragspartei werden — das ist bei Einzelunternehmerinnen und Einzelunternehmern der Fall. Ist Vertragspartner dagegen eine Gesellschaft (etwa eine GmbH oder GbR), wird die im Formular benannte Ansprechperson nicht selbst Vertragspartei; für ihre Daten (Name, E-Mail-Adresse, Telefonnummer) stützen wir die Verarbeitung auf unser berechtigtes Interesse an der Anbahnung und Abwicklung des Partnerverhältnisses (Art. 6 Abs. 1 lit. f DSGVO). Weitere Zwecke sind: Versand und Protokollierung der E-Mail-Bestätigung im Double-Opt-in-Verfahren auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); Speicherung von Nachweisdaten der Anmeldung (Zeitpunkt, IP-Adresse, Browser-Kennung sowie Version und Prüfsumme der angezeigten Texte) auf Grundlage unseres berechtigten Interesses, die Einwilligung und die Kenntnisnahme der Konditionen nachweisen zu können (Art. 6 Abs. 1 lit. f DSGVO; Art. 7 Abs. 1 DSGVO, § 7 UWG).

Empfänger: Die Daten werden in unserer Datenbank bei Supabase (Region Frankfurt) gespeichert und über unseren E-Mail-Dienstleister Strato versendet; das Hosting erfolgt über Vercel (siehe Abschnitte 6 und 7). Interne Empfängerin ist die unter Abschnitt 1 genannte verantwortliche Stelle (info@baumcheck.ai).

Speicherdauer: Anmeldungen ohne E-Mail-Bestätigung löschen wir automatisch nach 30 Tagen. Abgelehnte Anmeldungen werden nach 90 Tagen pseudonymisiert (alle identifizierenden Angaben werden entfernt). Bestätigte Wartelisten-Einträge, die nicht in eine aktive Partnerschaft münden, pseudonymisieren wir spätestens nach 24 Monaten. Die freiwillige Nachricht wird nach Abschluss der Prüfung entfernt.

Partnerkonto, Abrechnung und Auszahlung

Wird Ihre Anmeldung angenommen, richten wir Ihnen ein Partnerkonto ein. Dafür verarbeiten wir zusätzlich:

• Zugangsdaten: ein Benutzerkonto zur Anmeldung am Partnerportal (E-Mail-Adresse; die Anmeldung selbst läuft über den in Abschnitt 18 beschriebenen Anmeldeweg).
• Steuerdaten: Steuernummer, Umsatzsteuer-Identifikationsnummer, Angabe zur Kleinunternehmer-Regelung sowie Ihre Rechnungsanschrift.
• Bankverbindung: Ihre IBAN für die Auszahlung der Provisionen.
• Provisions-Ledger: je vermitteltem Kauf eine Buchungszeile (Zeitpunkt, Produktart, Provisionsbetrag, Status, etwaige Stornierungen).
• Auszahlungen und Gutschriften: die ausgezahlten Beträge, den Auszahlungszeitpunkt und die zur Auszahlung verwendete Bankverbindung sowie die von uns ausgestellte Gutschrift im Sinne des § 14 Abs. 2 UStG.

Zwecke und Rechtsgrundlagen: Führung des Partnerkontos, Abrechnung und Auszahlung der Provisionen zur Erfüllung der Partnervereinbarung (Art. 6 Abs. 1 lit. b DSGVO); Ausstellung der Gutschrift sowie Aufbewahrung der Buchungs- und Abrechnungsunterlagen zur Erfüllung unserer handels- und steuerrechtlichen Pflichten (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB, § 14 UStG).

Empfänger: Die Auszahlung erfolgt über unsere Bank; dafür übermitteln wir die für die Überweisung erforderlichen Angaben (Name, IBAN, Betrag, Verwendungszweck). Die Gutschrift und die zugehörigen Buchungsunterlagen erhalten unser Steuerberater sowie im Prüfungsfall die Finanzverwaltung.

Speicherdauer und Grenzen der Löschung: Löschen Sie Ihr Partnerkonto oder verlangen Sie die Löschung Ihrer Daten, entfernen wir die identifizierenden Angaben aus dem Konto (Firmenname, Ansprechpartner, Kontaktdaten, Steuerdaten, Bankverbindung, Ihr individueller Partner-Link). Ihre E-Mail-Adresse nehmen wir dabei dauerhaft in unsere interne Versand-Sperrliste auf, wenn Sie Ihre Anmeldung bestätigt hatten oder die Löschung selbst über den Lösch-Link auslösen — immer dann also, wenn die Löschung Ihren Widerspruch gegen weitere E-Mails ausdrückt (Art. 21 Abs. 3 DSGVO). Entfernen wir dagegen eine unbestätigte Bewerbung (etwa einen Fremdeintrag), sperren wir die Adresse nicht. Der Sperrlisten-Eintrag wird zum Abgleich vor einem E-Mail-Versand und als Nachweis Ihres Widerspruchs verwendet und ist nicht mit Ihrem übrigen Konto verknüpft. Ihre bereits entstandenen Provisions-Buchungen, Auszahlungen und Gutschriften bleiben davon unberührt: Wir sind gesetzlich verpflichtet, diese Belege acht Jahre aufzubewahren (§ 147 Abs. 3 i. V. m. Abs. 1 Nr. 4 AO, § 14b Abs. 1 UStG, § 257 Abs. 4 HGB) und die zugrunde liegenden Buchführungsaufzeichnungen zehn Jahre (§ 147 Abs. 3 i. V. m. Abs. 1 Nr. 1 AO, § 257 Abs. 4 HGB); das Recht auf Löschung besteht insoweit nicht (Art. 17 Abs. 3 lit. b DSGVO). Die Frist beginnt dabei nicht mit dem Beleg selbst, sondern erst mit Ablauf des Kalenderjahres, in dem der Beleg entstanden ist (§ 147 Abs. 4 AO) — sie endet also frühestens acht Jahre nach diesem Jahresende. Die Gutschrift trägt dauerhaft Ihren Namen, Ihre Anschrift, Ihre Steuernummer bzw. Ihre Umsatzsteuer-Identifikationsnummer und Ihre E-Mail-Adresse; zu jeder Auszahlung bleibt außerdem die damals verwendete Bankverbindung gespeichert. Gelöscht heißt hier also: aus dem Konto entfernt, auf dem Beleg erhalten. Nach Ablauf der gesetzlichen Aufbewahrungsfrist löschen wir auch die Belege. Die Auskunft nach Art. 15 DSGVO weist diese Aufbewahrungen — Belege wie Sperrlisten-Eintrag — ausdrücklich aus; nach der Löschung Ihres Kontos erteilen wir Auskunft über den Sperrlisten-Eintrag unter Angabe Ihrer E-Mail-Adresse, da er nur über diese auffindbar ist.

Ihre Rechte: Jede E-Mail im Rahmen der Warteliste enthält einen Link („Daten löschen"), über den Sie Ihre Angaben jederzeit selbst entfernen können — bei unbestätigten Anmeldungen vollständig, bei bestätigten durch Pseudonymisierung. Daneben können Sie Ihre Rechte auf Auskunft, Berichtigung und Löschung (Abschnitt 22) jederzeit per E-Mail an info@baumcheck.ai ausüben.

20. Lokale Datenspeicherung (localStorage)

Baumcheck nutzt den localStorage Ihres Browsers zur temporären Speicherung folgender Daten auf Ihrem Endgerät:

• Session-Zustand — Baumanzahl, aktueller Schritt, Session-ID (Ablauf: 24 Stunden)
• Foto-Daten — Aufgenommene oder hochgeladene Fotos als Base64-Daten (Ablauf: 24 Stunden)
• Cookie-Einstellungen — Ihre Einwilligungspräferenzen (persistent bis zum Widerruf)

Diese Daten verbleiben auf Ihrem Gerät und werden nicht an unseren Server übertragen (mit Ausnahme der Fotos beim Upload). Session- und Fotodaten werden nach 24 Stunden automatisch gelöscht. Sie können die Daten jederzeit über die Browser-Einstellungen löschen.

Rechtsgrundlage: § 25 Abs. 2 TDDDG (technisch unbedingt erforderlich für die Funktionalität des Dienstes).

21. Speicherdauer und Löschung

Wir speichern Ihre personenbezogenen Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist:

• Nicht bezahlte Vorgänge: Fotos und Session-Daten werden nach 30 Tagen automatisch gelöscht.
• Hochgeladene Fotos (bezahlte Vorgänge): Ihre Originalfotos (Rohbilder) werden nach 30 Tagen automatisch gelöscht — unabhängig vom Zahlungsstatus.
• Analysedaten und PDF-Berichte: Analyseergebnisse und Zertifikat-PDFs werden für 1 Jahr nach Kaufdatum gespeichert, um Ihnen den erneuten Download zu ermöglichen.
• Rechnungsdaten: Aufgrund steuerrechtlicher Aufbewahrungspflichten werden Rechnungen und Buchungsbelege für 8 Jahre aufbewahrt (§ 147 Abs. 3 i. V. m. Abs. 1 Nr. 4 AO, § 14b Abs. 1 UStG, § 257 Abs. 4 HGB), die zugrunde liegenden Buchführungsaufzeichnungen für 10 Jahre (§ 147 Abs. 3 i. V. m. Abs. 1 Nr. 1 AO, § 257 Abs. 4 HGB).
• Einwilligungsdaten: Cookie-Consent-Protokolle werden für 3 Jahre aufbewahrt (Rechenschaftspflicht gem. Art. 5 Abs. 2 DSGVO).
• Analytics- und Werbedaten: PostHog-Daten gemäß der konfigurierten Aufbewahrungsfrist; das Google-Ads-Cookie _gcl_au läuft nach 90 Tagen ab.
• Vermittlungsdaten: 6 Monate nach Absendung.
• Server-Logs: Vercel 30 Tage; Monitoring-Kopie (siehe Abschnitt 6) 30 Tage.
• Partnerprogramm-Warteliste: unbestätigte Anmeldungen 30 Tage, abgelehnte 90 Tage, bestätigte ohne Aktivierung 24 Monate (danach Pseudonymisierung) — Details in Abschnitt 19.
• Löschung auf Wunsch: Auf Ihren Wunsch leiten wir die Löschung Ihrer Daten umgehend ein; die technische Ausführung erfolgt aus Sicherheitsgründen (Schutz vor missbräuchlicher Löschung) nach einer 30-tägigen Frist (siehe Abschnitt 22 — Betroffenenrechte). Gesetzliche Aufbewahrungspflichten (insbesondere für Rechnungsdaten) bleiben hiervon unberührt.

Retention-Übersicht (Lead- und Konto-Daten)

Für die unter Abschnitt 18 beschriebenen Lead- und Konto-Daten gilt zusätzlich folgendes gestaffeltes Lösch- und Pseudonymisierungskonzept:

Hinweis zur Pseudonymisierung: Bei Ablauf der 6-Monats-Frist wird Ihre E-Mail-Adresse durch einen deterministischen SHA-256-Hash mit einem projektspezifischen Salt ersetzt. Der Zähler über die bisherige Nutzung der kostenfreien Erst-Analyse bleibt dabei nur in dieser pseudonymisierten Form erhalten und wird so auf das datenschutzrechtlich erforderliche Minimum reduziert (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO). Ein direkter Rückschluss auf die ursprüngliche E-Mail-Adresse ist ohne Kenntnis dieses Salts praktisch nicht möglich; DSGVO-rechtlich handelt es sich um eine Pseudonymisierung im Sinne von Art. 4 Nr. 5 DSGVO (nicht um eine vollständige Anonymisierung), sodass Ihre Betroffenenrechte aus Art. 15–22 DSGVO grundsätzlich bestehen bleiben.

Rechnungsdaten bei Konto-Löschung

Löschen Sie Ihr Konto, pseudonymisieren wir Ihre E-Mail-Adresse in den Zahlungs- und Rechnungstabellen und entfernen die personenbezogenen Empfänger-Stammdaten (Name, Anschrift, ggf. USt-IdNr.) aus der Rechnung, soweit sie nicht zwingend für die gesetzliche Aufbewahrung erforderlich sind. Die zur ordnungsgemäßen Buchführung erforderlichen Rechnungsangaben (insbesondere Rechnungsnummer, Beträge, Steuer und Datum) bleiben aufgrund der gesetzlichen Aufbewahrungspflicht (§ 147 Abs. 3 i. V. m. Abs. 1 Nr. 4 AO, § 14b Abs. 1 UStG, § 257 Abs. 4 HGB) für 8 Jahre erhalten, die zugrunde liegenden Buchführungsaufzeichnungen für 10 Jahre (§ 147 Abs. 3 i. V. m. Abs. 1 Nr. 1 AO). Der Löschpflicht nach Art. 17 Abs. 1 DSGVO steht insoweit die Ausnahme des Art. 17 Abs. 3 lit. b DSGVO entgegen; während der Aufbewahrung wird die Verarbeitung auf den Aufbewahrungszweck beschränkt (Art. 18 DSGVO). Nach Ablauf der Frist werden die Daten gelöscht.

22. Ihre Rechte als betroffene Person

Nach der DSGVO stehen Ihnen folgende Rechte zu:

• Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über Ihre bei uns gespeicherten Daten verlangen. Wenn Sie ein Konto angelegt haben, können Sie Ihre Daten direkt und ohne gesonderten Antrag als JSON-Export unter /account/data herunterladen.
• Berichtigungsrecht (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
• Löschungsrecht (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen. Wir nehmen Ihren Löschauftrag sofort entgegen und sperren Ihr Konto für neue Aktivitäten. Die technische Ausführung erfolgt nach einer 30-tägigen Sicherheitsfrist als bewusst gewählte Schutzmaßnahme: in dieser Zeit können Sie die Löschung jederzeit zurückziehen — sei es, weil Sie den Auftrag versehentlich ausgelöst haben, oder weil ein unbefugter Dritter Zugriff auf Ihr Konto erlangt hatte (Account-Hijacking). Diese Frist ist nach Stand der Technik und nach den Empfehlungen der Datenschutz-Aufsichtsbehörden zulässig. Gesetzliche Aufbewahrungspflichten — insbesondere § 147 AO (8 Jahre für Rechnungen und Buchungsbelege, 10 Jahre für Buchführungsaufzeichnungen) — bleiben unberührt; entsprechende Daten werden in diesen Fällen nicht gelöscht, sondern pseudonymisiert (siehe Abschnitt 21). Für Konto-Nutzer steht der Self-Service-Workflow unter /account/data zur Verfügung.
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung Ihrer Daten verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können verlangen, dass Ihre Daten in einem maschinenlesbaren Format übermittelt werden.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten widersprechen, soweit diese auf berechtigtem Interesse basiert.
• Recht bzgl. automatisierter Entscheidungen (Art. 22 DSGVO): Sie haben das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden (siehe Abschnitt 10).
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Erteilte Einwilligungen (z. B. für Analytics oder Marketing-Kommunikation) können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: info@baumcheck.ai

23. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei der zuständigen Datenschutz-Aufsichtsbehörde über unsere Verarbeitung personenbezogener Daten zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI)
Lautenschlagerstraße 20
70173 Stuttgart
www.baden-wuerttemberg.datenschutz.de

24. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen des Dienstes anzupassen. Die aktuelle Version finden Sie stets auf dieser Seite.

Stand: September 2026

25. Partnerprogramm & Vermittlung

Das Partnerprogramm ist seit dem 31.08.2026 aktiv. Der Zwischenspeicher bc_partner_ref_pending und der Einwilligungs-Spiegel bc_consent werden unabhängig vom Programmstatus geschrieben (Einzelheiten unten); das Cookie bc_partner_ref wird ausschließlich mit Ihrer Marketing-Einwilligung gesetzt.

Baumpflege-Betriebe können Baumcheck an ihre Kunden empfehlen. Wenn Sie über einen solchen Empfehlungslink zu uns gelangen und anschließend einen Baumcheck kaufen, erhält der empfehlende Betrieb dafür eine Provision. Damit wir eine Empfehlung dem richtigen Betrieb zuordnen können, verarbeiten wir die folgenden Angaben.

Zuordnung der Empfehlung

Ein Empfehlungslink enthält eine Kennung des empfehlenden Betriebs (etwa /p/musterbetrieb oder ?pref=musterbetrieb). Diese Kennung bezeichnet den Betrieb — sie ist keine Kennung Ihrer Person und wird nicht dazu verwendet, Ihr Verhalten über andere Websites hinweg nachzuverfolgen. Für die Zuordnung speichern wir Angaben auf Ihrem Endgerät:

Zwecke und Rechtsgrundlagen: Der Zwischenspeicher bc_partner_ref_pending ist auf den aktuellen Browser-Tab beschränkt und endet mit dessen Schließen; er ist erforderlich, um Ihre Anmeldung dem Betrieb zuzuordnen, über dessen Link Sie gekommen sind (§ 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der korrekten Abrechnung der Empfehlung). Das 30-Tage-Cookie bc_partner_ref geht darüber hinaus und wird deshalb ausschließlich dann gesetzt, wenn Sie im Cookie-Banner in die Kategorie „Marketing“ eingewilligt haben (§ 25 Abs. 1 TDDDG; Art. 6 Abs. 1 lit. a DSGVO). Ohne diese Einwilligung wird es nicht gesetzt; die Zuordnung erfolgt dann nur über den Zwischenspeicher.

Beide Speicherungen folgen dem Erstkontakt-Prinzip: Ist bereits eine Empfehlungs-Kennung hinterlegt, wird sie durch einen späteren Link nicht überschrieben — der zuerst empfehlende Betrieb bleibt zugeordnet. Das Cookie ist mit httpOnly gesetzt und kann deshalb von Skripten auf der Website nicht gelesen werden.

Dauer: Das Cookie läuft 30 Tagenach dem Setzen automatisch ab. Widerrufen Sie Ihre Einwilligung in die Kategorie "Marketing", entfernen wir das Cookie bc_partner_ref bereits vorher serverseitig (Abschnitt 12). Sie können es außerdem jederzeit über die Einstellungen Ihres Browsers löschen. Der tab-lokale Zwischenspeicher bc_partner_ref_pending bleibt davon unberührt; er endet mit dem Schließen des Browser-Tabs. Kommt es innerhalb dieser Zeit zu keinem Kauf, hat die Kennung keine weitere Wirkung.

Aufruf-Statistik des Empfehlungslinks

Wird die Empfehlungsseite eines Betriebs aufgerufen, erhöhen wir einen Zähler für diesen Betrieb und Kalendertag um eins. Gespeichert wird ausschließlich diese Zahl („Aufrufe pro Betrieb und Tag“) — keine IP-Adresse, keine Geräteinformationen, kein Zeitpunkt des einzelnen Aufrufs und kein Bezug zu Ihrer Person; aus der Statistik lässt sich kein Besucher rekonstruieren. Sie dient dem Partnerbetrieb als Übersicht über die Nutzung seines Links und wird mit dem Betrieb gelöscht.

Was der Partnerbetrieb erfährt

Empfänger: Empfänger Ihrer Daten ist in diesem Zusammenhang der Partnerbetrieb, über dessen Link Sie gekommen sind — und zwar nur in dem unten beschriebenen Umfang. Soweit der Partnerbetrieb Ihre Daten erhält, verarbeitet er sie in eigener Verantwortung; für diese Verarbeitung ist er eigenständig Verantwortlicher im Sinne der DSGVO.

Ohne Ihre Einwilligung sieht der Partnerbetrieb in seinem Portal ausschließlich eine pseudonyme Abrechnungszeile: den auf den Monat gerundeten Zeitraum, die Art des gekauften Produkts und die Höhe seiner Provision. Er erfährt nicht Ihren Namen, nicht Ihre E-Mail-Adresse, nicht das Ergebnis der Prüfung und erhält keinen Bericht. Das Datum des Checks erfährt er — es ist die Grundlage seiner Provisionsabrechnung.

Mit Ihrer Einwilligung — Sie können sie beim Kauf durch ein Häkchen erteilen — sieht der Partnerbetrieb zusätzlich das genaue Kaufdatum, Ihren Namen (soweit Sie ihn angegeben haben), das Ampel-Ergebnis der Prüfung und kann den Bericht in seinem Portal herunterladen. Mit dieser Einwilligung senden wir dem Partnerbetrieb den Analysebericht (PDF, einschließlich der von Ihnen hochgeladenen Fotos) zusätzlich per E-Mail zu, sobald ein Check über seinen Partner-Link zustande gekommen ist. Bereits per E-Mail zugestellte Kopien können wir nach einem Widerruf nicht mehr zurückholen — der Widerruf wirkt für die Zukunft: der Portal-Zugriff endet sofort, und es werden keine weiteren Berichte versendet.

Kontaktaufnahme (zusätzliche, getrennte Einwilligung): Sie können beim Kauf durch ein zweites, eigenes Häkchen gesondert einwilligen, dass der Partnerbetrieb Ihre Kontaktdaten (Name und E-Mail-Adresse) erhält und Sie aktiv zur Baumpflege kontaktiert. Diese Einwilligung ist von der Berichts-Freigabe unabhängig: Sie können die eine erteilen und die andere nicht, und Sie können jede von beiden einzeln unter Konto → Daten widerrufen. Ohne dieses Häkchen erhält der Partnerbetrieb keine E-Mail-Adresse von Ihnen. Eine Telefonnummer erheben wir nicht und geben wir folglich auch nicht weiter.

Freiwilligkeit: Das Häkchen ist nicht vorangekreuzt und keine Voraussetzung für den Kauf — der Kauf funktioniert ohne Einwilligung genauso (Kopplungsverbot, Art. 7 Abs. 4 DSGVO). Sie entscheiden bei jedem Kauf einzeln; eine Einwilligung gilt nur für den jeweiligen Kauf und nicht für künftige.

Widerruf der Einwilligung

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO) — in Ihrem Konto unter „Meine Daten“ je Kauf, oder per E-Mail an info@baumcheck.ai. Der Widerruf wirkt sofort: Der Partnerbetrieb kann den Bericht danach nicht mehr abrufen, und die Zeile fällt in seinem Portal auf die pseudonyme Darstellung zurück.

Grenze des Widerrufs: Hat der Partnerbetrieb den Bericht vor Ihrem Widerruf bereits heruntergeladen, können wir diese Kopie nicht zurückholen — der Widerruf beendet den weiteren Zugriff, er macht eine bereits erfolgte Kenntnisnahme nicht rückgängig. Ebenso bleibt die Provisions-Buchung des Betriebs bestehen; sie ist eine Abrechnungstatsache und hängt nicht an Ihrer Einwilligung.

Löschen Sie Ihr Kundenkonto, gelten alle erteilten Freigaben damit zugleich als widerrufen.

Speicherdauer

Die Zuordnung „dieser Kauf wurde von diesem Betrieb vermittelt“ speichern wir, solange sie für die Abrechnung der Provision erforderlich ist; die zugehörigen Abrechnungsbelege unterliegen den gesetzlichen Aufbewahrungsfristen (Abschnitt 19).

Zu Ihrer Einwilligung speichern wir den Zeitpunkt und die Version des Einwilligungstextes sowie einen etwaigen Widerrufszeitpunkt. Diese Angaben bleiben auch nach einem Widerruf erhalten — wir benötigen sie, um nachweisen zu können, dass eine Einwilligung vorlag und wann sie endete (Art. 7 Abs. 1 DSGVO; Art. 6 Abs. 1 lit. f DSGVO). Sie gehören zum Datensatz des jeweiligen Kaufs. Löschen Sie Ihr Konto, entfernen wir daraus Ihre personenbezogenen Angaben; die Einwilligungs-Zeitstempel selbst bleiben jedoch erhalten, weil der Kaufdatensatz zugleich der Anker Ihrer Rechnung ist und den gesetzlichen Aufbewahrungsfristen unterliegt (Abschnitt 19). Sie sind dann keiner Person mehr zugeordnet.

Ihre Rechte: Ihre Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch bestehen unverändert und sind in Abschnitt 22 beschrieben. In der Auskunft nach Art. 15 DSGVO weisen wir Ihnen den vermittelnden Betrieb namentlich aus — soweit der Betrieb seine Daten nicht zwischenzeitlich selbst hat löschen lassen; in diesem Fall können wir seinen Namen nicht mehr nennen und weisen die Löschung als solche aus. Zu jedem Kauf erfahren Sie außerdem, ob und seit wann eine Freigabe bestand und ob sie widerrufen wurde.

26. E-Mail-Kampagnen an Betriebe (Daten aus öffentlichen Quellen)

Wir sprechen Betriebe, Hausverwaltungen, Garten- und Landschaftsbau-Unternehmen, Hausmeisterdienste sowie kommunale Verwaltungseinheiten per E-Mail an, um unsere Leistung vorzustellen. Die dafür verwendeten Kontaktdaten haben wir nicht bei Ihnen erhoben. Wenn Sie eine solche E-Mail von uns erhalten haben, informieren wir Sie hiermit nach Art. 14 DSGVO.

Woher wir Ihre Daten haben. Aus öffentlich zugänglichen Quellen: Impressumsangaben auf Unternehmens-Websites, Branchen- und Mitgliederverzeichnisse sowie die Internetauftritte kommunaler Verwaltungseinheiten. Wir kaufen keine Adresslisten bei Datenhändlern.

Welche Daten wir verarbeiten. Die dienstliche E-Mail-Adresse, den Betriebs- bzw. Behördennamen und — soweit angegeben — den Namen einer Ansprechpartnerin oder eines Ansprechpartners. Dazu technische Versanddaten: Zeitpunkt, Zustellstatus, Nachrichtenkennung, etwaige Fehlermeldungen des Mailservers und ein Abmeldekennzeichen.

Zweck und Rechtsgrundlage. Zweck ist die Anbahnung einer Geschäftsbeziehung (Direktwerbung). Rechtsgrundlage ist unser berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO (Erwägungsgrund 47). Unser Interesse besteht darin, Betriebe zu erreichen, für deren Tätigkeit unsere Leistung einschlägig ist; wir verwenden ausschließlich dienstliche Kontaktdaten und keine privaten.

Ihr Widerspruchsrecht. Sie können der Verarbeitung zu Werbezwecken jederzeit widersprechen — ohne Angabe von Gründen und ohne Kosten (Art. 21 Abs. 2 DSGVO). Danach erhalten Sie keine weiteren Kampagnenmails von uns. Zwei Wege:

• der Abmeldelink am Ende jeder unserer E-Mails — er wirkt sofort und ohne Anmeldung;
• eine formlose Nachricht an info@baumcheck.ai.

Um einen Widerspruch dauerhaft umsetzen zu können, speichern wir Ihre Adresse in einer Sperrliste. Diese Speicherung ist der Zweck des Widerspruchs selbst: nur so können wir Sie bei einem späteren Import wiedererkennen und ausschließen. Die Sperrliste wird deshalb nicht gelöscht.

Wie lange wir speichern. Name, Betrieb und Adresse einer Empfängerzeile werden nach Abschluss der jeweiligen Kampagne pseudonymisiert; Versandnachweise werden anschließend zeitlich begrenzt aufbewahrt. Die maßgeblichen Fristen sind im Verzeichnis der Verarbeitungstätigkeiten (VT-13) festgehalten. Ausgenommen ist die Sperrliste, siehe oben.

Ihre weiteren Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit bestehen unverändert und sind in Abschnitt 22 beschrieben. Eine Auskunft nach Art. 15 DSGVO umfasst auch die zu Ihrer Adresse gespeicherten Kampagnendaten — einschließlich der Zeilen, die aus einer Importdatei stammen und nie angeschrieben wurden.

28. Widerrufsfunktion (»Vertrag widerrufen«)

Über die Widerrufsfunktion nach § 356a BGB können Sie einen mit uns geschlossenen Vertrag online widerrufen. Verantwortlicher und Kontakt stehen in Abschnitt 1, Ihre Rechte in Abschnitt 22.

Welche Daten. Wir verarbeiten ausschließlich die drei Angaben, die § 356a Abs. 2 BGB aufzählt: Ihren Namen, Ihre Angaben zur Identifizierung des Vertrags und die E-Mail-Adresse, an die wir Ihnen die Eingangsbestätigung senden. Weitere Angaben — etwa einen Grund für den Widerruf — erheben wir dabei nicht.

Missbrauchsschutz. Damit die Funktion nicht automatisiert geflutet werden kann, begrenzen wir die Zahl der Aufrufe je Absender. Dafür bilden wir aus Ihrer IP-Adresse sofort einen irreversiblen Hash (SHA-256 mit geheimem Salt) und speichern ausschließlich diesen Hash; die Adresse selbst speichern wir nicht. Einträge dieser Aufrufzählung, die älter als 1 Stunde sind, entfernt ein täglicher Bereinigungslauf — spätestens am Folgetag sind sie gelöscht.

Warum. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO: Die Verarbeitung ist zur Erfüllung unserer rechtlichen Verpflichtung aus § 356a BGB erforderlich. Dazu gehört auch, dass wir den Zeitpunkt des Eingangs festhalten — von ihm hängt nach § 356a Abs. 5 BGB ab, ob Ihr Widerruf fristgerecht ist. Er entsteht auf unserem Server und wird nachträglich nicht verändert.

Eingangsbestätigung. Wir senden Ihnen unverzüglich eine Bestätigung mit dem Inhalt Ihrer Erklärung sowie Datum und Uhrzeit des Eingangs (§ 356a Abs. 4 BGB). Dass und wann sie versandt wurde, halten wir ebenfalls fest.

Speicherdauer und Ihre Rechte. Die Erklärung bewahren wir auf, solange Ansprüche aus dem widerrufenen Vertrag geltend gemacht werden können und handels- sowie steuerrechtliche Aufbewahrungsfristen laufen. Sie erscheint vollständig in einer Auskunft nach Art. 15 DSGVO.