Datenschutzerklärung

1. Verantwortlicher und Kontakt

David Schomburg
Talheimer Straße 32, 74223 Flein
E-Mail: info@baumcheck.ai

Verantwortliche Stelle im Sinne der Datenschutzgesetze ist die oben genannte natürliche Person.

2. Übersicht der Verarbeitungstätigkeiten

Im Rahmen der Nutzung von Baumcheck erheben und verarbeiten wir folgende Kategorien personenbezogener Daten:

• Session-ID — Anonyme, zufällig generierte Kennung zur Zuordnung Ihres Vorgangs (kein Account, kein Passwort)
• E-Mail-Adresse — Für Kaufbestätigung, Zustellung des PDF-Berichts, Vermittlungsanfragen und optionale Erinnerungen
• IP-Adresse (gehasht) — Gespeichert in irreversibel gehashter Form (SHA-256) zum Schutz vor Missbrauch
• Fotos — Ihre hochgeladenen oder per Kamera aufgenommenen Baumfotos zur spezialisierten KI-Analyse
• Browser-Informationen — User-Agent und Gerätetyp für technische Kompatibilität
• Zahlungsdaten — Werden ausschließlich durch PayPal verarbeitet (siehe Abschnitt 11)
• Kontaktdaten — Name, Telefonnummer und Nachricht bei Nutzung des Vermittlungsformulars (siehe Abschnitt 17)
• Cookie- und Einwilligungsdaten — Ihre Einstellungen zur Cookie-Nutzung
• Analyseergebnisse — KI-generierte Bewertung (Ampelstatus, Befunde, Gesundheitsbewertung)

3. Rechtsgrundlagen der Verarbeitung

Die Verarbeitung Ihrer personenbezogenen Daten erfolgt auf Basis folgender Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung: Die Datenverarbeitung ist zur Durchführung des Vertrags (Baumcheck-Analyse, PDF-Erstellung, E-Mail-Zustellung) erforderlich.
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung: Für Analyse-Cookies (PostHog) und Marketing-Cookies (Google Ads, Meta Pixel), die nur nach ausdrücklicher Zustimmung aktiviert werden, sowie für die Marketing-Einwilligung im kostenlosen Schnell-Check (siehe §18).
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigtes Interesse: Für den technisch notwendigen Betrieb der Website, die Sicherheit des Dienstes (Rate-Limiting, IP-Hashing) und Bereitstellung über den Hosting-Anbieter.
• Art. 6 Abs. 1 lit. c DSGVO — Rechtliche Verpflichtung: Für die Aufbewahrung von Rechnungsdaten gem. § 147 AO und § 257 HGB (steuer- und handelsrechtliche Aufbewahrungspflichten).

4. Technische und organisatorische Maßnahmen

Wir setzen gem. Art. 32 DSGVO angemessene technische und organisatorische Maßnahmen zum Schutz Ihrer Daten ein:

• Verschlüsselung: Sämtliche Datenübertragungen erfolgen über TLS/HTTPS. Gespeicherte Daten werden verschlüsselt abgelegt (AES-256 at rest).
• IP-Anonymisierung: IP-Adressen werden vor der Speicherung irreversibel gehasht (SHA-256, auf 16 Zeichen gekürzt).
• Passwortloses Konto: Ihr Nutzerkonto wird ohne Passwort geführt — die Anmeldung erfolgt ausschließlich über einen zeitlich begrenzten Login-Link per E-Mail (Magic-Link). Es werden keine Passwörter gespeichert.
• Automatische Löschung: Nicht bezahlte Vorgänge werden nach 30 Tagen automatisch gelöscht.
• Zugriffskontrolle: Datenbankzugriff ist durch Row-Level-Security (RLS) abgesichert.
• Rate-Limiting: API-Endpunkte sind gegen Missbrauch geschützt.

5. Übermittlung an Drittländer

Einige der von uns eingesetzten Dienstleister haben ihren Sitz in den USA. Eine Datenübermittlung in die USA erfolgt auf Grundlage des EU-U.S. Data Privacy Framework (DPF) gem. Art. 45 DSGVO (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023, bestätigt durch das EuG am 3. September 2025). Ergänzend werden EU-Standardvertragsklauseln (SCCs) gem. Art. 46 Abs. 2 lit. c DSGVO als zusätzliche Schutzmaßnahme eingesetzt.

US-basierte Dienstleister mit Drittlandtransfer:

• Vercel Inc. (Hosting) — DPF-zertifiziert
• Google LLC (spezialisierte KI-Analyse via Gemini, Google Ads Conversion-Tracking) — DPF-zertifiziert
• PayPal (Europe) S.à r.l. et Cie, S.C.A. (Zahlungsabwicklung) — EU-Sitz in Luxemburg, Binding Corporate Rules (BCR) für konzerninterne Transfers
• Meta Platforms Inc. (Meta Pixel, Conversions API) — DPF-zertifiziert

EU-basierte Dienstleister (kein Drittlandtransfer):

• PostHog (Analytics) — EU-Instanz in Frankfurt, Deutschland
• Supabase (Datenbank & Speicher) — EU-Region
• Strato AG (E-Mail-Versand) — Berlin, Deutschland

6. Hosting und Bereitstellung — Vercel

Diese Website wird gehostet von Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA. Beim Aufruf unserer Website werden durch den Hosting-Anbieter automatisch folgende Daten verarbeitet:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit der Anfrage
• Angeforderte URL und HTTP-Methode
• Übertragene Datenmenge
• Referrer-URL

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der stabilen und sicheren Bereitstellung der Website). Vercel ist unter dem EU-US Data Privacy Framework zertifiziert. Ein Auftragsverarbeitungsvertrag (DPA) ist abgeschlossen.

Weitere Informationen: Vercel Datenschutzerklärung

7. Datenspeicherung — Supabase

Für die Speicherung und Verwaltung Ihrer Daten nutzen wir Supabase Inc. (als Managed Service über die Vercel-Integration). Supabase stellt die Datenbank, Dateispeicherung und Authentifizierung bereit.

Gespeicherte Daten: Sessions, hochgeladene Fotos, generierte PDF-Berichte, Transaktionsdaten, Erinnerungen, Cookie-Einwilligungen.

Hosting-Region: EU — Ihre Daten werden in der Europäischen Union gespeichert. Es findet kein Drittlandtransfer für gespeicherte Daten statt.

Ein Auftragsverarbeitungsvertrag (DPA) ist über die Vercel-Integration abgeschlossen. Weitere Informationen: Supabase Datenschutzerklärung

Magic-Link-Authentifizierung (Supabase Auth)

Für den Zugang zu Ihrem Baumcheck-Konto (z. B. /account/data, Dashboard, Self-Service) nutzen wir das passwortlose Magic-Link-Verfahren von Supabase Auth. Sie erhalten einen einmaligen Anmelde-Link per E-Mail; nach erfolgreichem Klick wird eine Auth-Sitzung im Browser hinterlegt.

• Magic-Link-Token: gültig für 1 Stunde ab Versand, anschließend automatisch entwertet (Supabase-Default).
• Auth-Cookies (Access-Token): kurzlebige JWTs, technisch notwendig für die authentifizierte API-Kommunikation.
• Refresh-Token: Rolling Refresh mit einer Lebensdauer von 1 Woche (Supabase-Default, Rotation bei jeder Erneuerung).
• Session: rollierend gültig — eine Sitzung läuft nach 7 Tagen Inaktivität automatisch ab und erfordert eine erneute Magic-Link-Anmeldung.

Die Auth-Cookies sind als technisch unbedingt erforderlich einzustufen (Art. 6 Abs. 1 lit. b DSGVO i. V. m. § 25 Abs. 2 Nr. 2 TDDDG) und werden ohne Einwilligung gesetzt, da ohne sie die angefragte Konto-Funktionalität nicht erbracht werden kann. Die detaillierten technischen Cookie-Parameter (Name, Path, SameSite, Secure-Flag) entsprechen den Voreinstellungen von Supabase Auth und sind in der Supabase Auth-Dokumentation beschrieben.

8. Kamerazugriff und Bildverarbeitung

Baumcheck bietet die Möglichkeit, Baumfotos direkt über die Kamera Ihres Geräts aufzunehmen. Dazu wird über die Browser-Schnittstelle MediaDevices.getUserMedia() der Zugriff auf Ihre Rückkamera angefragt. Die Kamera wird ausschließlich nach Ihrer ausdrücklichen Erlaubnis über den Browser-Dialog aktiviert.

Verarbeitungskette: Die aufgenommenen Fotos werden zunächst lokal in Ihrem Browser (localStorage) zwischengespeichert, dann auf unseren Server (Supabase Storage) hochgeladen und anschließend zur Analyse an die Google Gemini API übermittelt (siehe Abschnitt 9).

Alternativ können Sie Fotos auch über die Datei-Upload-Funktion Ihres Geräts bereitstellen, ohne Kamerazugriff zu erteilen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — die Fotos sind zur Durchführung der Baumanalyse erforderlich).

9. KI-gestützte Bildanalyse — Google Cloud Vertex AI

Für die Analyse Ihrer Baumfotos nutzen wir den Cloud-Dienst Google Cloud Vertex AI von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Konzernunternehmen: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA). Eingesetzte KI-Modelle sind derzeit Gemini 3.1 Pro (Vorschauversion) und Gemini 3 Flash (Vorschauversion).

Modell-Versionen: Die jeweils aktuell produktiv eingesetzten Modell-Bezeichner sind im Quellcode unter src/lib/gemini/client.ts einsehbar (Konstanten PRIMARY_MODEL und FALLBACK_MODEL). Da Google die Modell-Generationen regelmäßig aktualisiert, können sich diese Bezeichner im Laufe der Zeit ändern. Solche Modell-Updates innerhalb derselben Vertex-AI-Produktfamilie führen wir in dieser Datenschutzerklärung nicht jeweils einzeln auf — die rechtliche Grundlage, der Auftragsverarbeitungsvertrag sowie die übermittelten Datenkategorien bleiben davon unberührt.

Verarbeitungsregion: Wir nutzen den global-Endpoint von Vertex AI. Google verarbeitet Anfragen in seiner weltweiten Infrastruktur, mit Schwerpunkt in den USA und in der Europäischen Union. Eine ausschließliche Verarbeitung innerhalb der EU ist beim global-Endpoint technisch nicht garantiert; Anfragen können bedarfsorientiert in weitere Google-Rechenzentren weltweit geroutet werden.

Rechtsgrundlage der Drittland-Übermittlung:

• Für die Übermittlung in die USA: das EU-US Data Privacy Framework (DPF) gem. Art. 45 DSGVO. Google LLC ist nach dem DPF zertifiziert (Bestätigung unter dataprivacyframework.gov).
• Für sämtliche Übermittlungen in weitere Drittländer: ergänzend die EU-Standardvertragsklauseln (SCCs) Modul 2 gem. Art. 46 Abs. 2 lit. c DSGVO als integraler Bestandteil des Google Cloud Data Processing Addendum.

Wir haben für diese Übermittlungskonstellation eine Datenschutz-Folgenabschätzung im Drittland-Kontext (Transfer Impact Assessment) durchgeführt und ergänzende Schutzmaßnahmen (Verschlüsselung in Transit und at Rest, Daten-Minimierung) eingerichtet. Auf Anforderung an info@baumcheck.ai machen wir Ihnen die Zusammenfassung dieser Folgenabschätzung zugänglich.

Auftragsverarbeitung: Mit Google Ireland Limited besteht ein Auftragsverarbeitungs-Vertrag in Form des Google Cloud Data Processing Addendum (Cloud DPA) zuzüglich der Vertex AI Service Specific Terms. Google verarbeitet die übermittelten Daten ausschließlich im Auftrag und verwendet eingereichte Bilder und Prompts nicht für das Training eigener Modelle (kostenpflichtige Vertex-AI-Nutzung).

Übermittelte Daten: Ausschließlich die hochgeladenen Bilddaten und allgemeine Analyse-Anweisungen (Prompts). E-Mail-Adressen, Namen oder andere identifizierende Stammdaten werden nicht an Vertex AI übermittelt.

Weitere Informationen: Google Cloud Data Processing Addendum / Google Datenschutzerklärung

10. Automatisierte Entscheidungsfindung (Art. 22 DSGVO)

Im Rahmen der Baumanalyse werden Ihre hochgeladenen Fotos durch ein KI-Modell automatisiert ausgewertet. Das Ergebnis umfasst eine Ampelbewertung (grün, gelb, rot), eine Gesundheitsbewertung, erkannte Baumart und identifizierte Befunde.

Diese KI-gestützte Bewertung dient ausschließlich als unverbindliche Ersteinschätzung. Sie stellt keine zertifizierte Baumkontrolle im Sinne der FLL-Richtlinie dar und entfaltet keine rechtliche oder ähnlich erhebliche Wirkung im Sinne von Art. 22 Abs. 1 DSGVO.

Wir empfehlen, bei auffälligen Ergebnissen einen qualifizierten Baumsachverständigen hinzuzuziehen.

Sollten Sie eine menschliche Überprüfung der KI-Empfehlung wünschen (Art. 22 Abs. 3 DSGVO), kontaktieren Sie uns unter info@baumcheck.ai mit Bezug auf die Session-ID. Wir prüfen die Ausgabe manuell und nehmen ggf. eine qualifizierte Stellungnahme vor.

Bei rotem Ampel-Status empfehlen wir Ihnen direkt: konsultieren Sie einen FLL-Sachverständigen oder einen zertifizierten Baumkontrolleur. Unsere KI-Empfehlung ist eine Vorab-Indikation, kein Ersatz für ein Gutachten nach FLL-Baumkontrollrichtlinie.

11. Zahlungsdienstleister — PayPal

Für die Zahlungsabwicklung nutzen wir den Dienst von PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg. PayPal ist eigenständiger Verantwortlicher für die Verarbeitung Ihrer Zahlungsdaten.

An PayPal übermittelte Daten: E-Mail-Adresse, Bestellbetrag (EUR), Bestellreferenz. Wir selbst speichern keine Kreditkartennummern oder PayPal-Kontodaten. Wir erhalten von PayPal lediglich eine Transaktions-ID, den Zahlungsstatus und Ihre bei PayPal hinterlegte E-Mail-Adresse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — die Zahlungsabwicklung ist zur Erbringung der Leistung erforderlich). Für konzerninterne Datenübermittlungen setzt PayPal Binding Corporate Rules (BCR) ein.

Weitere Informationen: Datenschutzerklärung von PayPal

Abonnement- und Abrechnungsdaten (Starter / Professional / Business)

Schließen Sie ein kostenpflichtiges Abonnement ab, verarbeiten wir die zur Vertragsdurchführung erforderlichen Daten: den gewählten Tarif, den Abonnement-Status, die Abrechnungszeiträume, das verbrauchte und verbleibende Analyse-Kontingent sowie die vom Zahlungsdienstleister vergebene Abonnement-Kennung (PayPal-Subscription-ID).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die wiederkehrende Zahlungsabwicklung erfolgt über PayPal (siehe oben); PayPal ist hierfür eigenständig Verantwortlicher.

Speicherdauer: Abonnement-Stammdaten werden für die Dauer des Abonnements und anschließend bis zum Ablauf etwaiger Verjährungsfristen gespeichert. Rechnungs- und Abrechnungsdaten unterliegen der gesetzlichen Aufbewahrungspflicht (§ 147 AO, § 257 HGB, 10 Jahre — siehe Abschnitt 21).

12. Cookies und Einwilligungsmanagement

Wir setzen Cookies und vergleichbare Technologien (localStorage) gem. § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) ein. Technisch notwendige Cookies werden ohne Einwilligung gesetzt; Analyse-Cookies nur nach Ihrer ausdrücklichen Zustimmung über unseren Cookie-Banner.

Übersicht der eingesetzten Cookies und Speicher

Sie können Ihre Einwilligung jederzeit über den Cookie-Banner oder im Footer unter "Cookie-Einstellungen" widerrufen. Nach dem Widerruf werden die entsprechenden Cookies und localStorage-Einträge gelöscht.

Cookie-Einwilligung und Newsletter-Einwilligung — unterschiedliche Rechtsgrundlagen

Die Einwilligung in das Setzen von Cookies und die Einwilligung in den Versand werblicher E-Mails (Newsletter, Produkt-Updates) sind zwei rechtlich getrennte Vorgänge:

• Die Einwilligung in das Setzen von Analyse- oder Marketing-Cookies richtet sich nach § 25 TDDDG. Sie betrifft ausschließlich die Speicherung von Informationen auf Ihrem Endgerät und wird über unseren Cookie-Banner eingeholt.
• Die Einwilligung in E-Mail-Marketing (Newsletter, Produkt-Updates) richtet sich nach Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 7 UWG. Sie betrifft die Verarbeitung Ihrer E-Mail-Adresse zur Direktwerbung und wird separat während der Konto-Anmeldung über eine eigene Checkbox eingeholt.

Eine Cookie-Zustimmung schließt keinen Newsletter-Versand ein, und umgekehrt führt eine Newsletter-Abmeldung nicht automatisch zur Deaktivierung von Cookies. Beide Einwilligungen können Sie unabhängig voneinander widerrufen — Cookies über den Cookie-Banner oder die Cookie-Einstellungen im Footer, das E-Mail-Marketing über den Abmelde-Link in jeder Marketing-Mail oder über Ihr Konto.

13. Werbung — Google Ads Conversion-Tracking

Wir setzen Google Ads Conversion-Tracking ein, um den Erfolg unserer Google-Ads-Werbekampagnen zu messen. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Muttergesellschaft: Google LLC, USA).

Consent Mode v2: Das Google-Tag (gtag.js) wird beim Seitenaufruf technisch geladen, startet jedoch im Modus denied: Ohne Ihre Einwilligung werden keine Cookies gesetzt und keine personalisierten Werbedaten verarbeitet. In diesem Modus können cookielose, nicht personenbezogene Status-Signale an Google übertragen werden; Klick- Informationen aus Anzeigen (gclid) können ohne Cookie-Einsatz über die URL weitergegeben werden (URL-Passthrough).

Nach Ihrer Marketing-Einwilligung über den Cookie-Banner wird das Conversion-Tracking aktiviert: Google setzt das Cookie _gcl_au (Laufzeit: 90 Tage), und bei einem Kauf übermitteln wir das Conversion-Ereignis mit Transaktionsnummer, Betrag und Währung an Google, um die Anzeigenwirkung zu messen.

Drittlandtransfer: Die Daten können an Server von Google in den USA übertragen werden. Die Übermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework (DPF), ergänzt um EU-Standardvertragsklauseln.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung). Sie können Ihre Einwilligung jederzeit über den Cookie-Banner oder die Cookie-Einstellungen im Footer widerrufen; danach werden keine Conversion-Ereignisse mehr übermittelt und die ad-bezogenen Speicherzugriffe bleiben deaktiviert.

Weitere Informationen: Google Datenschutzerklärung

14. Webanalyse — PostHog

Zur Analyse der Nutzungsabläufe verwenden wir PostHog (PostHog Inc.). PostHog wird ebenfalls nur nach ausdrücklicher Einwilligung aktiviert.

EU-Hosting: Wir nutzen die EU-Instanz von PostHog, gehostet in Frankfurt, Deutschland (AWS eu-central-1) — die Ereignisdaten werden dort verarbeitet und gespeichert. Anbieter ist die PostHog Inc. (USA); soweit im Rahmen von Support oder Administration ein Zugriff aus den USA erfolgt, ist dieser über EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag abgesichert.

Datenschutzeinstellungen: Session-Recording ist deaktiviert. Autocapture ist deaktiviert — es werden ausschließlich manuell definierte Events erfasst (Seitenaufrufe, Fotoaufnahmen, Checkout, Zahlungen, Analyseergebnisse, PDF-Downloads).

PostHog verwendet Cookies und localStorage-Einträge mit dem Präfix ph_. Ein Auftragsverarbeitungsvertrag (DPA) ist abgeschlossen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Der Widerruf ist jederzeit über den Cookie-Banner möglich.

Weitere Informationen: PostHog Datenschutzerklärung

15. Webanalyse & Werbung — Meta Pixel

Zur Messung der Wirksamkeit unserer Werbekampagnen und zur Optimierung unserer Anzeigen setzen wir das Meta Pixel ein. Anbieter ist die Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland (Muttergesellschaft: Meta Platforms Inc., USA).

Das Meta Pixel wird nur nach Ihrer ausdrücklichen Einwilligung über den Cookie-Banner aktiviert.

Erfasste Events: PageView (Seitenaufruf), InitiateCheckout (Checkout gestartet, mit Warenwert in EUR), Purchase (Kauf abgeschlossen, mit Warenwert in EUR).

Cookies: _fbp (Laufzeit: 90 Tage, Browser-Identifikation) und _fbc (Laufzeit: 90 Tage, Click-Identifikation bei Klick auf eine Meta-Anzeige).

Conversions API: Eine serverseitige Ereignis-Übermittlung an Meta (Conversions API) ist derzeit deaktiviertund findet nicht statt. Sollte sie künftig aktiviert werden, informieren wir an dieser Stelle vorab über Umfang (u. a. IP-Adresse, User-Agent) und Rechtsgrundlage.

Drittlandtransfer: Meta Platforms Inc. ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können Ihre Einwilligung jederzeit über den Cookie-Banner oder die Cookie-Einstellungen im Footer widerrufen. Nach dem Widerruf werden die Meta Cookies _fbp und _fbc gelöscht und keine weiteren Events gesendet.

Weitere Informationen: Meta Datenschutzrichtlinie

16. E-Mail-Kommunikation

Für den Versand transaktionaler E-Mails (Kaufbestätigung, PDF-Zustellung, Vermittlungsbestätigung, Erinnerungs-E-Mails) nutzen wir den SMTP-Dienst der Strato AG, Pascalstraße 10, 10587 Berlin, Deutschland.

Strato ist ein EU-basierter Anbieter — es findet kein Drittlandtransfer statt. Die E-Mail-Zustellung erfolgt über eine TLS-verschlüsselte SMTP-Verbindung. Ein Auftragsverarbeitungsvertrag (AVV) mit Strato ist abgeschlossen.

Übermittelte Daten: Empfänger-E-Mail-Adresse, E-Mail-Betreff, HTML-Inhalt und ggf. PDF-Anhang. Ihre E-Mail-Adresse wird ausschließlich zum Zweck der jeweiligen E-Mail-Zustellung verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für transaktionale E-Mails; Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für Erinnerungs-E-Mails.

17. Kontaktaufnahme und Vermittlung

Baumcheck bietet ein Vermittlungsformular, über das Sie bei auffälligen Analyseergebnissen Kontaktdaten für eine professionelle Beratung hinterlassen können.

Erhobene Daten: Name (Pflicht), E-Mail-Adresse (Pflicht), Telefonnummer (optional), Nachricht (optional). Zusätzlich werden automatisch Ihre Analyseergebnisse (Ampelstatus, Baumart, Gesundheitsbewertung, Befunde) angehängt.

Verarbeitung: Ihre Daten werden an info@baumcheck.ai übermittelt. Sie erhalten anschließend eine Empfehlung und kontaktieren qualifizierte Baumsachverständige eigenständig. Es findet keine automatische Weitergabe Ihrer Daten an Dritte statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Bestandteil der Baumcheck-Dienstleistung).

18. Lead-Verarbeitung und Konto-Funktion

Soweit Sie sich für die kostenfreie Erst-Analyse registrieren, ein Konto anlegen oder im Anschluss eine kostenpflichtige Auswertung beauftragen, verarbeiten wir Sie betreffende Daten in mehreren Datenbank-Tabellen unseres Backends. Ziel dieser Verarbeitung ist die Erbringung der angefragten Leistung, die rechtssichere Dokumentation Ihrer Einwilligungen sowie — bei ausdrücklicher Zustimmung — der Versand von Marketing-Kommunikation.

Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung und vorvertragliche Maßnahmen für die funktionalen Bestandteile (Konto-Login per Magic-Link, Double-Opt-In, Zuordnung Ihrer Analyse-Ergebnisse, Bereitstellung von Self-Service-Funktionen unter /account/data).
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung in Marketing-Kommunikation (Feld marketing_consent), insbesondere für den Versand von Produkt-Updates, Pflege-Hinweisen und Erinnerungen. Wichtig: Für den kostenlosen Schnell-Check ist diese Einwilligung Voraussetzung — der Gratis-Check wird im Gegenzug für die Einwilligung in E-Mail-Marketing bereitgestellt. Wer keine Marketing-E-Mails erhalten möchte, kann als Alternative den kostenpflichtigen Vollbericht nutzen; dort ist die Einwilligung optional. Die Einwilligung ist jederzeit mit Wirkung für die Zukunft widerrufbar (Abmelde-Link in jeder E-Mail oder unter /account/data); bereits erstellte Analysen und Ihr Konto bleiben vom Widerruf unberührt.
• Art. 6 Abs. 1 lit. c DSGVO — Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) sowie handels- und steuerrechtliche Aufbewahrungs- und Nachweispflichten für das Consent-Audit-Log.

Verarbeitete Tabellen und Zwecke

• leads — Stammdatensatz pro Interessent/Nutzer: E-Mail-Adresse, Lead-Status (z. B. pending, confirmed, paid), Double-Opt-In-Zeitpunkt, Marketing-Consent-Flag, Zähler der kostenfrei genutzten Analysen (Free-Quota), Akquise-Quelle sowie UTM-Felder (utm_source, utm_medium, utm_campaign). Zweck: Konto-Verwaltung, Funnel-Steuerung, DSGVO-konforme Retention.
• lead_activities — Chronologische Aktivitäts-Timeline pro Lead (z. B. signup, doi_confirmed, analysis_started, checkout_paid, marketing_unsubscribed). Diese Einträge dienen ausschließlich der internen Nachvollziehbarkeit und dem revisionssicheren Auditing; es findet kein Profiling im Sinne von Art. 4 Nr. 4 DSGVO und keine automatisierte Bewertung persönlicher Aspekte statt.
• pending_deletions — Verwaltung der vom Nutzer initiierten Konto-Löschungen während der 30-tägigen Cooling-Off-Periode (Wiederherstellungsmöglichkeit vor der endgültigen Löschung).
• unsubscribes — Dokumentation des Widerrufs der Marketing-Einwilligung (One-Click-Unsubscribe). Gespeichert werden ausschließlich der Lead-Bezug, der Widerrufszeitpunkt und der Widerrufs-Kanal — zum Nachweis der Sperrliste gem. Art. 7 Abs. 3 DSGVO.
• feedbacks — Freiwilliges Nutzer-Feedback (Sterne-Bewertung, optionaler Freitext-Kommentar) zur Verbesserung der Analyse-Qualität.

Eine vollständige Auflistung sämtlicher Datenbankfelder ist nicht Gegenstand dieser Datenschutzerklärung; die oben genannten Kategorien geben die wesentlichen Datenarten wieder. Sie können die zu Ihrer Person gespeicherten Daten jederzeit über /account/data als JSON-Export herunterladen (Art. 15, Art. 20 DSGVO) oder die Löschung Ihres Kontos anstoßen (Art. 17 DSGVO, vorbehaltlich gesetzlicher Aufbewahrungspflichten).

19. Partnerprogramm-Warteliste

Baumpflege-Betriebe können sich auf die Warteliste unseres geplanten Partnerprogramms eintragen. Dabei verarbeiten wir die im Formular angegebenen Firmen- und Kontaktdaten (Firmenname, Ansprechpartner, E-Mail-Adresse, optional Telefonnummer, ungefähre Kundenanzahl und eine freiwillige Nachricht) sowie die Herkunft der Anmeldung (UTM-Parameter).

Zwecke und Rechtsgrundlagen: Führung der Warteliste und Kontaktaufnahme bei Programmstart auf Ihre Anfrage hin (Art. 6 Abs. 1 lit. b DSGVO — vorvertragliche Maßnahmen); Versand und Protokollierung der E-Mail-Bestätigung im Double-Opt-in-Verfahren auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); Speicherung von Nachweisdaten der Anmeldung (Zeitpunkt, IP-Adresse, Browser-Kennung sowie Version und Prüfsumme der angezeigten Texte) auf Grundlage unseres berechtigten Interesses, die Einwilligung und die Kenntnisnahme der Konditionen nachweisen zu können (Art. 6 Abs. 1 lit. f DSGVO; Art. 7 Abs. 1 DSGVO, § 7 UWG).

Empfänger: Die Daten werden in unserer Datenbank bei Supabase (Region Frankfurt) gespeichert und über unseren E-Mail-Dienstleister Strato versendet; das Hosting erfolgt über Vercel (siehe Abschnitte 6 und 7). Interne Empfängerin ist die unter Abschnitt 1 genannte verantwortliche Stelle (info@baumcheck.ai).

Speicherdauer: Anmeldungen ohne E-Mail-Bestätigung löschen wir automatisch nach 30 Tagen. Abgelehnte Anmeldungen werden nach 90 Tagen pseudonymisiert (alle identifizierenden Angaben werden entfernt). Bestätigte Wartelisten-Einträge, die nicht in eine aktive Partnerschaft münden, pseudonymisieren wir spätestens nach 24 Monaten. Die freiwillige Nachricht wird nach Abschluss der Prüfung entfernt.

Ihre Rechte: Jede E-Mail im Rahmen der Warteliste enthält einen Link („Daten löschen"), über den Sie Ihre Angaben jederzeit selbst entfernen können — bei unbestätigten Anmeldungen vollständig, bei bestätigten durch Pseudonymisierung. Daneben können Sie Ihre Rechte auf Auskunft, Berichtigung und Löschung (Abschnitt 22) jederzeit per E-Mail an info@baumcheck.ai ausüben.

20. Lokale Datenspeicherung (localStorage)

Baumcheck nutzt den localStorage Ihres Browsers zur temporären Speicherung folgender Daten auf Ihrem Endgerät:

• Session-Zustand — Baumanzahl, aktueller Schritt, Session-ID (Ablauf: 24 Stunden)
• Foto-Daten — Aufgenommene oder hochgeladene Fotos als Base64-Daten (Ablauf: 24 Stunden)
• Cookie-Einstellungen — Ihre Einwilligungspräferenzen (persistent bis zum Widerruf)

Diese Daten verbleiben auf Ihrem Gerät und werden nicht an unseren Server übertragen (mit Ausnahme der Fotos beim Upload). Session- und Fotodaten werden nach 24 Stunden automatisch gelöscht. Sie können die Daten jederzeit über die Browser-Einstellungen löschen.

Rechtsgrundlage: § 25 Abs. 2 TDDDG (technisch unbedingt erforderlich für die Funktionalität des Dienstes).

21. Speicherdauer und Löschung

Wir speichern Ihre personenbezogenen Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist:

• Nicht bezahlte Vorgänge: Fotos und Session-Daten werden nach 30 Tagen automatisch gelöscht.
• Hochgeladene Fotos (bezahlte Vorgänge): Ihre Originalfotos (Rohbilder) werden nach 30 Tagen automatisch gelöscht — unabhängig vom Zahlungsstatus.
• Analysedaten und PDF-Berichte: Analyseergebnisse und Zertifikat-PDFs werden für 1 Jahr nach Kaufdatum gespeichert, um Ihnen den erneuten Download zu ermöglichen.
• Rechnungsdaten: Aufgrund steuerrechtlicher Aufbewahrungspflichten (§ 147 AO, § 257 HGB) werden Rechnungsdaten für 10 Jahre aufbewahrt.
• Einwilligungsdaten: Cookie-Consent-Protokolle werden für 3 Jahre aufbewahrt (Rechenschaftspflicht gem. Art. 5 Abs. 2 DSGVO).
• Analytics- und Werbedaten: PostHog-Daten gemäß der konfigurierten Aufbewahrungsfrist; das Google-Ads-Cookie _gcl_au läuft nach 90 Tagen ab.
• Vermittlungsdaten: 6 Monate nach Absendung.
• Server-Logs (Vercel): 30 Tage.
• Partnerprogramm-Warteliste: unbestätigte Anmeldungen 30 Tage, abgelehnte 90 Tage, bestätigte ohne Aktivierung 24 Monate (danach Pseudonymisierung) — Details in Abschnitt 19.
• Löschung auf Wunsch: Auf Ihren Wunsch leiten wir die Löschung Ihrer Daten umgehend ein; die technische Ausführung erfolgt aus Sicherheitsgründen (Schutz vor missbräuchlicher Löschung) nach einer 30-tägigen Frist (siehe Abschnitt 22 — Betroffenenrechte). Gesetzliche Aufbewahrungspflichten (insbesondere für Rechnungsdaten) bleiben hiervon unberührt.

Retention-Übersicht (Lead- und Konto-Daten)

Für die unter Abschnitt 18 beschriebenen Lead- und Konto-Daten gilt zusätzlich folgendes gestaffeltes Lösch- und Pseudonymisierungskonzept:

Hinweis zur Pseudonymisierung: Bei Ablauf der 6-Monats-Frist wird Ihre E-Mail-Adresse durch einen deterministischen SHA-256-Hash mit einem projektspezifischen Salt ersetzt. Der Zähler über die bisherige Nutzung der kostenfreien Erst-Analyse bleibt dabei nur in dieser pseudonymisierten Form erhalten und wird so auf das datenschutzrechtlich erforderliche Minimum reduziert (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO). Ein direkter Rückschluss auf die ursprüngliche E-Mail-Adresse ist ohne Kenntnis dieses Salts praktisch nicht möglich; DSGVO-rechtlich handelt es sich um eine Pseudonymisierung im Sinne von Art. 4 Nr. 5 DSGVO (nicht um eine vollständige Anonymisierung), sodass Ihre Betroffenenrechte aus Art. 15–22 DSGVO grundsätzlich bestehen bleiben.

Rechnungsdaten bei Konto-Löschung

Löschen Sie Ihr Konto, pseudonymisieren wir Ihre E-Mail-Adresse in den Zahlungs- und Rechnungstabellen und entfernen die personenbezogenen Empfänger-Stammdaten (Name, Anschrift, ggf. USt-IdNr.) aus der Rechnung, soweit sie nicht zwingend für die gesetzliche Aufbewahrung erforderlich sind. Die zur ordnungsgemäßen Buchführung erforderlichen Rechnungsangaben (insbesondere Rechnungsnummer, Beträge, Steuer und Datum) bleiben aufgrund der gesetzlichen Aufbewahrungspflicht (§ 147 AO, § 257 HGB; § 14 UStG) für 10 Jahre erhalten. Der Löschpflicht nach Art. 17 Abs. 1 DSGVO steht insoweit die Ausnahme des Art. 17 Abs. 3 lit. b DSGVO entgegen; während der Aufbewahrung wird die Verarbeitung auf den Aufbewahrungszweck beschränkt (Art. 18 DSGVO). Nach Ablauf der Frist werden die Daten gelöscht.

22. Ihre Rechte als betroffene Person

Nach der DSGVO stehen Ihnen folgende Rechte zu:

• Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über Ihre bei uns gespeicherten Daten verlangen. Wenn Sie ein Konto angelegt haben, können Sie Ihre Daten direkt und ohne gesonderten Antrag als JSON-Export unter /account/data herunterladen.
• Berichtigungsrecht (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
• Löschungsrecht (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen. Wir nehmen Ihren Löschauftrag sofort entgegen und sperren Ihr Konto für neue Aktivitäten. Die technische Ausführung erfolgt nach einer 30-tägigen Sicherheitsfrist als bewusst gewählte Schutzmaßnahme: in dieser Zeit können Sie die Löschung jederzeit zurückziehen — sei es, weil Sie den Auftrag versehentlich ausgelöst haben, oder weil ein unbefugter Dritter Zugriff auf Ihr Konto erlangt hatte (Account-Hijacking). Diese Frist ist nach Stand der Technik und nach den Empfehlungen der Datenschutz-Aufsichtsbehörden zulässig. Gesetzliche Aufbewahrungspflichten — insbesondere § 147 AO (10 Jahre für Rechnungen und Buchungsbelege) — bleiben unberührt; entsprechende Daten werden in diesen Fällen nicht gelöscht, sondern pseudonymisiert (siehe Abschnitt 21). Für Konto-Nutzer steht der Self-Service-Workflow unter /account/data zur Verfügung.
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung Ihrer Daten verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können verlangen, dass Ihre Daten in einem maschinenlesbaren Format übermittelt werden.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten widersprechen, soweit diese auf berechtigtem Interesse basiert.
• Recht bzgl. automatisierter Entscheidungen (Art. 22 DSGVO): Sie haben das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden (siehe Abschnitt 10).
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Erteilte Einwilligungen (z. B. für Analytics oder Marketing-Kommunikation) können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: info@baumcheck.ai

23. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei der zuständigen Datenschutz-Aufsichtsbehörde über unsere Verarbeitung personenbezogener Daten zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI)
Lautenschlagerstraße 20
70173 Stuttgart
www.baden-wuerttemberg.datenschutz.de

24. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen des Dienstes anzupassen. Die aktuelle Version finden Sie stets auf dieser Seite.

Stand: Juni 2026