Stand: 14. Oktober 2026
1. Verantwortlicher
KutVention UG (haftungsbeschränkt), Seewenjestr. 175A, 28237 Bremen, Deutschland – [email protected]
Vertreten durch den Geschäftsführer Mohammed Bicak. Registergericht Amtsgericht Bremen, HRB 14235, USt-IdNr. DE351934929.
Die Kontaktaufnahme erfolgt ausschließlich per E-Mail; eine Telefonnummer halten wir nicht vor.
Einen Datenschutzbeauftragten haben wir nicht bestellt; die gesetzlichen Voraussetzungen des § 38 BDSG liegen derzeit nicht vor. Für alle Datenschutzanliegen erreichst du uns unter [email protected].
2. Verarbeitungen im Überblick
Wir verarbeiten personenbezogene Daten ausschließlich zu den folgenden Zwecken:
| Verarbeitung | Daten | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| Terminanfrage und Auftragsabwicklung | Name, E-Mail, ggf. Telefon, Einsatzadresse, Auftragsbeschreibung, Wunschtermine | Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahme) | Bis zur Erfüllung; anschließend gesperrt und nach Ablauf der handels- und steuerrechtlichen Aufbewahrungsfristen (§ 147 AO, § 257 HGB: 6 bzw. 10 Jahre) gelöscht |
| Auftrags-Ausschreibung und Gebote | Auftragsbeschreibung, Postleitzahl, Budgetrahmen, Gebote der Betriebe | Art. 6 Abs. 1 lit. b DSGVO | 12 Monate nach Ablauf der Ausschreibung |
| Nachrichten zwischen Kund:in und Betrieb | Inhalt der Nachrichten, Zeitstempel | Art. 6 Abs. 1 lit. b DSGVO | Mit der zugehörigen Buchung |
| Bewertungen | Bewertungstext, Sterne, Vorname und Anfangsbuchstabe des Nachnamens der bewertenden Person | Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem nachprüfbaren Bewertungssystem) | Bis zum Widerruf bzw. zur Löschung des Kontos |
| Konto und Anmeldung (Magic Link, Google-Login) | E-Mail-Adresse, Anzeigename, Sitzungsdaten | Art. 6 Abs. 1 lit. b DSGVO | Bis zur Löschung des Kontos |
| Abo-Abrechnung der Betriebe | Firmendaten, Zahlungs- und Rechnungsdaten (bei Stripe) | Art. 6 Abs. 1 lit. b und lit. c DSGVO | 10 Jahre (§ 147 AO) |
| Kontakt- und Supportanfragen | Name, E-Mail-Adresse, Nachricht, betroffene Seite (ohne Suchparameter); beim „?“-Knopf zusätzlich die Browserkennung | Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage einen Vertrag oder eine Buchung betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung) | Bis zur abschließenden Bearbeitung, danach gelöscht, soweit keine Aufbewahrungspflicht besteht |
| Meldungen rechtswidriger Inhalte (Art. 16 DSA) und unsere Entscheidung darüber | Gemeldeter Inhalt, Begründung der Meldung, E-Mail-Adresse der meldenden Person, Entscheidung mit Begründung | Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 16 und 17 DSA | 365 Tage nach der Entscheidung; offene Meldungen bis zur Entscheidung |
| Schutz vor Missbrauch öffentlicher Formulare (Begrenzung der Anfragen je Absender) | Pseudonymer Prüfwert (Hash) deiner IP-Adresse bzw. deines Kontos, Formularbereich, Anzahl je Zeitfenster — nicht die IP-Adresse selbst | Art. 6 Abs. 1 lit. f DSGVO (Schutz vor automatisierten Massenanfragen) | 1 Tag |
| Zustellprotokoll unserer E-Mails | Empfängeradresse, Vorlage (z. B. „Terminbestätigung“), Betreff, Zustellstatus, Zeitpunkt — nicht der Inhalt der E-Mail | Art. 6 Abs. 1 lit. f DSGVO (Nachweis und erneute Zustellung bei Störungen) | 30 Tage |
| Aktivitätsprotokoll | Wer (Konto-ID, Rolle) wann was an welchem Objekt getan hat, auf welchem Weg und mit welchem Ergebnis — z. B. „Anfrage bestätigt“. Bei Änderungen nur die geänderten Felder; Kontaktdaten, Adressen, Freitexte und Zugangsschlüssel erscheinen nur als „geändert“, nie im Klartext. Keine Namen, keine E-Mail-Adressen, keine Nachrichteninhalte. | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Nachvollziehbarkeit von Änderungen, an der Aufklärung von Missbrauch und am Nachweis gegenüber Betrieben und Kund:innen) sowie Art. 5 Abs. 2 und Art. 32 DSGVO | 12 Monate, danach automatisch gelöscht |
| Fehlerüberwachung | Technische Fehlerdaten: Fehlermeldung und Programmstelle, aufgerufene Seite ohne Suchparameter, Browser- und Betriebssystemversion, eine zufällige Anfragekennung. Keine Cookies, keine Formularinhalte, keine IP-Adresse, kein Konto-Bezug | Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit und Fehlerbehebung) | Höchstens 90 Tage |
| Server-Logs und Missbrauchsabwehr | IP-Adresse, Zeitpunkt, aufgerufene Ressource, Fehlercodes | Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit) | Höchstens 30 Tage |
Im Aktivitätsprotokoll siehst du die Einträge zu deinem Konto und deinen Aufträgen selbst — im Konto unter „Profil“ → „Meine Aktivität“. Betriebe sehen dort die Einträge zu ihrem Betrieb, einschließlich unserer eigenen Zugriffe darauf. Kontakt- und Supportanfragen bearbeiten wir in unserem eigenen Ticketsystem (gehostet in der EU bei den unten genannten Anbietern); fällt es aus, gehen sie stattdessen an unser Support-Postfach.
3. Weitergabe an Betriebe
Vor der Bestätigung sieht der Betrieb nur Postleitzahl bzw. Stadtteil, Leistung und Auftragsbeschreibung. Vollständige Adresse und Telefonnummer werden erst nach Bestätigung des Termins übermittelt, weil sie erst dann für die Durchführung erforderlich sind (Grundsatz der Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO). Der Betrieb ist für die anschließende Verarbeitung eigenständig Verantwortlicher.
Betriebe können ihre bestätigten Termine als Kalender-Feed abonnieren. Dieser Feed ist nur über eine geheime, jederzeit neu erzeugbare Adresse abrufbar und enthält bewusst nur Vorname mit Initiale sowie Postleitzahl und Ort — nicht die vollständige Anschrift.
4. Auftragsverarbeiter und Hosting
Mit allen genannten Anbietern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Wo Anbieter Daten außerhalb der EU verarbeiten können, stützen wir die Übermittlung auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) und – soweit einschlägig – auf das EU-US Data Privacy Framework (Art. 45 DSGVO).
- Vercel Inc. (USA) – Auslieferung der Website. Hosting-Region Frankfurt (fra1); Standardvertragsklauseln.
- Render Services, Inc. (USA) – Hosting der API. Region Frankfurt; Standardvertragsklauseln.
- Supabase, Inc. (USA) – Datenbank und Authentifizierung. Region Frankfurt (eu-central-1); Standardvertragsklauseln.
- Stripe Payments Europe, Ltd. (Irland) – Zahlungsabwicklung der Betriebs-Abos. Stripe ist für die Zahlungsdaten eigenständig Verantwortlicher; wir erhalten keine vollständigen Kartendaten.
- Resend (Plus Five Five, Inc.) (USA) – Versand der Transaktions-E-Mails (Terminbestätigung, Statuswechsel). Standardvertragsklauseln.
- Functional Software, Inc. (Sentry) (USA) – Fehlerüberwachung von Website und API. Datenregion Frankfurt (de.sentry.io); die Meldungen laufen über unsere eigene Domain. Standardvertragsklauseln und EU-US Data Privacy Framework.
- Cloudflare, Inc. (Turnstile) (USA) – Schutz vor automatisierten Anfragen auf dem Kontaktformular, bei Meldungen, beim „?“-Knopf, bei der Registrierung eines Betriebs, bei Buchungsanfragen und Ausschreibungen ohne Konto sowie beim Anfordern des Login-Codes. Turnstile wertet dabei technische Merkmale deines Browsers und deine IP-Adresse aus und blendet nur bei Bedarf eine Prüfung ein; es setzt keine Cookies zu Werbe- oder Analysezwecken. Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch); EU-US Data Privacy Framework und Standardvertragsklauseln.
- OpenStreetMap Foundation (Vereinigtes Königreich) – Umrechnung der Betriebsadresse in Koordinaten für die Umkreissuche (Dienst „Nominatim“), nur bei der Registrierung eines Betriebs. Übermittelt werden Straße, Postleitzahl und Ort des Betriebs, keine Daten von Kund:innen. Eigenständig Verantwortlicher; Übermittlung auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission für das Vereinigte Königreich (Art. 45 DSGVO); Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO.
- Google Ireland Ltd. – nur wenn du dich aktiv für den Google-Login entscheidest. Google erhält dabei die Information, dass du dich bei DrillIt anmeldest; wir erhalten deine E-Mail-Adresse und deinen Namen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Du kannst stattdessen jederzeit die Anmeldung per E-Mail-Code nutzen.
5. Cookies und lokale Speicherung
DrillIt setzt ausschließlich technisch notwendige Cookies bzw. lokale Speicherung ein: die Login-Sitzung, den Zugriffsschlüssel für deine eigene Terminanfrage sowie im Demo-Modus die Beispieldaten in deinem Browser. Beim Absenden der oben genannten Formulare lädt die Seite die Sicherheitsprüfung Cloudflare Turnstile, die dafür technisch notwendige Daten im Browser verarbeitet. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich). Es findet kein Tracking, kein Profiling und keine Werbemessung durch Dritte statt; Schriften und Icons liefern wir selbst aus. Deshalb ist derzeit kein Einwilligungsbanner erforderlich. Sollte sich das ändern, holen wir deine Einwilligung vorab ein.
Was in deinem Browser liegt, kannst du jederzeit selbst entfernen: Adresse, Favoriten und die gespeicherten Demo-Daten. Deine Anmeldung bleibt davon unberührt.
Entfernt Adresse, Favoriten und die im Browser gespeicherten Demo-Daten. Deine Anmeldung bleibt bestehen.
6. Automatisierte Entscheidungen und Ranking
Es findet keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO statt. Die Reihenfolge der Suchergebnisse richtet sich nach den von dir gewählten Kriterien (Bewertung, Preis, Entfernung); die Hauptparameter erläutern wir gesondert unter Ranking.
7. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, der Verarbeitung zu widersprechen (Art. 21 DSGVO). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.
Auskunft und Löschung kannst du in deinem Konto selbst auslösen: Der Export stellt deine Daten als maschinenlesbare Datei bereit, die Löschung entfernt Konto und Buchungsdaten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Alternativ schreib an [email protected].
8. Beschwerderecht
Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen, Arndtstraße 1, 27570 Bremerhaven.
9. Pflicht zur Bereitstellung
Die Angabe von Name, E-Mail-Adresse und Einsatzadresse ist für die Vermittlung eines Termins erforderlich. Ohne diese Daten können wir die Anfrage nicht an den Betrieb weitergeben; ein Nachteil darüber hinaus entsteht dir nicht.
Entwurfsfassung für den Prototyp — vor dem öffentlichen Launch juristisch prüfen lassen.