Datenschutzerklärung

Mit dieser Datenschutzerklärung informieren wir dich über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten (nachfolgend kurz „Daten“) innerhalb unseres Onlineangebots, der Lavaa-App und der mit ihnen verbundenen Funktionen (zusammen „Lavaa“) gemäß Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO).

Stand: Juni 2026.

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:
Heartly Apps UG (haftungsbeschränkt)
Tschaikowskistraße 5
04105 Leipzig, Deutschland
E-Mail: support@lavaa.de

Vertretungsberechtigt: Markus Böhme (Geschäftsführer). Weitere Angaben findest du in unserem Impressum.

Anfragen zum Datenschutz richtest du bitte an support@lavaa.de. Ein Datenschutzbeauftragter ist gesetzlich nicht zwingend zu bestellen und wurde nicht benannt.

2. Begriffe und Grundsätze

Wir verarbeiten Daten ausschließlich im Einklang mit der DSGVO, dem Bundesdatenschutzgesetz (BDSG) und dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

3. Rechtsgrundlagen der Verarbeitung

Wir stützen die Verarbeitung deiner Daten je nach Zweck auf:

• Art. 6 Abs. 1 lit. a DSGVO – deine Einwilligung (z. B. nicht zwingend erforderliche Cookies);
• Art. 6 Abs. 1 lit. b DSGVO – Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen (Konto, Buchungen, Zahlungen);
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung rechtlicher Pflichten (z. B. steuerliche Melde- und Aufbewahrungspflichten);
• Art. 6 Abs. 1 lit. f DSGVO – unsere berechtigten Interessen (z. B. Sicherheit, Betrugsprävention, Funktionsfähigkeit);
• Art. 9 Abs. 2 lit. a DSGVO – ausdrückliche Einwilligung, soweit besondere Kategorien von Daten im Rahmen der Identitätsprüfung verarbeitet werden.

4. Hosting und Server-Logfiles

Lavaa wird auf der Google Cloud Platform (Cloud Run, Cloud SQL, Cloud Storage) ausschließlich in der Region europe-west3 (Frankfurt am Main) betrieben. Beim Aufruf erhebt der Server automatisch technische Zugriffsdaten (insbesondere IP-Adresse, Datum und Uhrzeit, angeforderte Ressource, Referrer, Browser-/Geräteinformationen), die zur Auslieferung, Stabilität und Sicherheit erforderlich sind. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Auftragsverarbeiter ist Google Cloud EMEA Limited bzw. Google Ireland Limited auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO).

5. Cookies und Einwilligung

Technisch notwendige Cookies (z. B. zur Anmeldung und Sitzungsverwaltung) setzen wir auf Grundlage von § 25 Abs. 2 TDDDG sowie Art. 6 Abs. 1 lit. f DSGVO. Nicht zwingend erforderliche Cookies und vergleichbare Technologien – etwa von Stripe oder Firebase – werden erst nach deiner ausdrücklichen Einwilligung über unseren Cookie-Consent-Banner gesetzt (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Deine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

6. Konto und Authentifizierung (Firebase)

Für Registrierung und Anmeldung nutzen wir Firebase Authentication, einen Dienst der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Verarbeitet werden insbesondere deine E-Mail-Adresse, eine eindeutige Nutzerkennung (UID) und – bei Anmeldung über Google – die von dir freigegebenen Profilangaben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Eine Übermittlung in Drittländer (USA) kann stattfinden; sie ist durch EU-Standardvertragsklauseln und ergänzende Maßnahmen abgesichert (Art. 46 DSGVO).

7. Zahlungen und Auszahlungen (Stripe)

Zahlungen, Kautionen (Reservierungen/Holds) und Auszahlungen an Vermieter wickeln wir über Stripe ab (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin, Irland). Für Vermieter nutzen wir Stripe Connect (Express-Konten). Die Zahlungs- und ggf. Auszahlungsdaten (z. B. Karten-/Bankdaten, Kontostatus) werden unmittelbar an Stripe übermittelt und von Stripe als eigenständig Verantwortlicher bzw. als Zahlungsdienstleister verarbeitet. Wir selbst speichern keine vollständigen Zahlungsmittel-Daten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie, hinsichtlich der Betrugsprävention, Art. 6 Abs. 1 lit. f DSGVO. Weitere Informationen: stripe.com/de/privacy.

8. Identitätsprüfung (Stripe Identity)

Bei höherwertigen Vermietungen kann eine Identitätsprüfung über Stripe Identity verlangt werden. Dabei werden ein amtliches Ausweisdokument sowie ein Selfie verarbeitet; hierzu können auch biometrische Daten (Gesichtsabgleich) gehören, die als besondere Kategorien personenbezogener Daten gelten. Diese Verarbeitung erfolgt nur mit deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a i. V. m. Art. 6 Abs. 1 lit. b DSGVO). Die Prüfung führt Stripe durch; wir erhalten nur das Ergebnis (verifiziert/nicht verifiziert) sowie ausgewählte Bestätigungsdaten, nicht das Ausweisdokument selbst. Die Einwilligung kannst du mit Wirkung für die Zukunft widerrufen.

9. Fotos und Zustandsdokumentation (Google Cloud Storage)

Du kannst Fotos deiner Gegenstände sowie Zustandsfotos beim Check-in und bei der Rückgabe hochladen. Diese werden in Google Cloud Storage (Region europe-west3) gespeichert und dienen der Abwicklung und Dokumentation der Leih-/Mietvorgänge sowie der Beweissicherung im Streitfall. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und unser berechtigtes Interesse an der Streitvermeidung (Art. 6 Abs. 1 lit. f DSGVO).

10. KI-gestützte Bilderkennung (Google Cloud Vision)

Für die schnelle Erfassung von Gegenständen („Quick-Add“) kannst du ein Foto aufnehmen, das zur Objekt- und Texterkennung an die Google Cloud Vision API übermittelt wird, um einen Titelvorschlag zu erzeugen. Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung statt; die Vorschläge kannst du jederzeit ändern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

11. E-Mail-Versand (Postmark)

Für transaktionale E-Mails (z. B. interne Support-/Reklamationsfälle) nutzen wir Postmark, einen Dienst der ActiveCampaign, LLC (USA). Dabei werden die E-Mail-Adresse und Inhaltsdaten verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO. Eine Übermittlung in die USA wird durch EU-Standardvertragsklauseln abgesichert (Art. 46 DSGVO). Zahlungs- und Rechnungsbelege werden direkt durch Stripe versendet.

12. SMS-Benachrichtigungen (Twilio)

Im Freundes-Modus (kostenloses Verleihen) können Übergabe- und Rückgabeerinnerungen per SMS versendet werden. Hierfür nutzen wir Twilio (Twilio Inc., USA, bzw. Twilio Ireland Limited). Verarbeitet werden die angegebene Telefonnummer und der Nachrichtentext. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO; eine Drittlandübermittlung ist durch EU-Standardvertragsklauseln abgesichert.

13. Registrierungsfreie Übergabe

Bei der QR-basierten Übergabe können Personen ohne eigenes Konto ihren Namen und ihre Telefonnummer angeben, um eine Übernahme zu bestätigen. Diese Daten verarbeiten wir ausschließlich zur Abwicklung und Nachvollziehbarkeit der konkreten Übergabe (Art. 6 Abs. 1 lit. b und lit. f DSGVO).

14. Steuerliche Meldepflichten (PStTG/DAC7)

Als digitale Plattform sind wir nach dem Plattformen-Steuertransparenzgesetz (PStTG, Umsetzung der EU-Richtlinie DAC7) verpflichtet, bei Erreichen der gesetzlichen Schwellenwerte bestimmte Daten anbietender Nutzer (z. B. Identitäts- und Umsatzdaten) an das Bundeszentralamt für Steuern (BZSt) zu melden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO.

15. Empfänger und Auftragsverarbeiter

Eine Weitergabe deiner Daten erfolgt nur, soweit dies zur Vertragserfüllung erforderlich ist, du eingewilligt hast oder wir rechtlich dazu verpflichtet sind. Mit den oben genannten Dienstleistern (Google, Stripe, Postmark, Twilio) bestehen, soweit erforderlich, Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Empfänger können zudem Behörden (z. B. BZSt, Finanzbehörden) im gesetzlich vorgeschriebenen Umfang sein.

16. Übermittlung in Drittländer

Soweit Daten an Empfänger außerhalb der EU/des EWR (insbesondere USA) übermittelt werden, erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder geeigneter Garantien wie EU-Standardvertragsklauseln nebst ergänzenden Schutzmaßnahmen (Art. 44 ff. DSGVO).

17. Speicherdauer

Wir speichern Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist. Vertrags- und Buchungsdaten bewahren wir bis zum Abschluss der Geschäftsbeziehung und darüber hinaus im Rahmen gesetzlicher Aufbewahrungsfristen auf (insbesondere bis zu 10 Jahre nach § 147 AO und § 257 HGB). Danach werden die Daten gelöscht oder anonymisiert.

18. Deine Rechte

Dir stehen nach der DSGVO insbesondere folgende Rechte zu:

• Auskunft über die zu dir gespeicherten Daten (Art. 15);
• Berichtigung unrichtiger Daten (Art. 16);
• Löschung (Art. 17);
• Einschränkung der Verarbeitung (Art. 18);
• Datenübertragbarkeit (Art. 20);
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21);
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Zur Ausübung genügt eine Nachricht an support@lavaa.de.

19. Widerspruchsrecht

Werden Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeitet, hast du das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen (Art. 21 DSGVO).

20. Beschwerderecht bei einer Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe hast du das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde, insbesondere in dem Mitgliedstaat deines Aufenthaltsorts oder des mutmaßlichen Verstoßes (Art. 77 DSGVO).

21. Pflicht zur Bereitstellung

Die Bereitstellung bestimmter Daten ist für den Abschluss und die Durchführung des Vertrags erforderlich. Ohne diese Daten können wir die jeweilige Leistung (z. B. Konto, Buchung, Auszahlung) nicht erbringen.

22. Automatisierte Entscheidungsfindung

Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO findet nicht statt.

23. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald Änderungen der Verarbeitung oder der Rechtslage dies erforderlich machen. Es gilt jeweils die hier veröffentlichte aktuelle Fassung.