Stand: 28. Juli 2026
1. Verantwortlicher
KutVention UG (haftungsbeschränkt), Seewenjestr. 175A, 28237 Bremen, Deutschland – [email protected]
Vertreten durch den Geschäftsführer Mohammed Bicak. Registergericht Amtsgericht Bremen, HRB 14235, USt-IdNr. DE351934929.
Die Kontaktaufnahme erfolgt ausschließlich per E-Mail; eine Telefonnummer halten wir nicht vor.
Einen Datenschutzbeauftragten haben wir nicht bestellt; die gesetzlichen Voraussetzungen des § 38 BDSG liegen derzeit nicht vor. Für alle Datenschutzanliegen erreichst du uns unter [email protected].
2. Verarbeitungen im Überblick
Wir verarbeiten personenbezogene Daten ausschließlich zu den folgenden Zwecken:
| Verarbeitung | Daten | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| Terminanfrage und Auftragsabwicklung | Name, E-Mail, ggf. Telefon, Einsatzadresse, Auftragsbeschreibung, Wunschtermine | Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahme) | Bis zur Erfüllung; anschließend gesperrt und nach Ablauf der handels- und steuerrechtlichen Aufbewahrungsfristen (§ 147 AO, § 257 HGB: 6 bzw. 10 Jahre) gelöscht |
| Auftrags-Ausschreibung und Gebote | Auftragsbeschreibung, Postleitzahl, Budgetrahmen, Gebote der Betriebe | Art. 6 Abs. 1 lit. b DSGVO | 12 Monate nach Ablauf der Ausschreibung |
| Nachrichten zwischen Kund:in und Betrieb | Inhalt der Nachrichten, Zeitstempel | Art. 6 Abs. 1 lit. b DSGVO | Mit der zugehörigen Buchung |
| Bewertungen | Bewertungstext, Sterne, Vorname der bewertenden Person | Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem nachprüfbaren Bewertungssystem) | Bis zum Widerruf bzw. zur Löschung des Kontos |
| Konto und Anmeldung (Magic Link, Google-Login) | E-Mail-Adresse, Anzeigename, Sitzungsdaten | Art. 6 Abs. 1 lit. b DSGVO | Bis zur Löschung des Kontos |
| Abo-Abrechnung der Betriebe | Firmendaten, Zahlungs- und Rechnungsdaten (bei Stripe) | Art. 6 Abs. 1 lit. b und lit. c DSGVO | 10 Jahre (§ 147 AO) |
| Server-Logs und Missbrauchsabwehr | IP-Adresse, Zeitpunkt, aufgerufene Ressource, Fehlercodes | Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit) | Höchstens 30 Tage |
3. Weitergabe an Betriebe
Vor der Bestätigung sieht der Betrieb nur Postleitzahl bzw. Stadtteil, Leistung und Auftragsbeschreibung. Vollständige Adresse und Telefonnummer werden erst nach Bestätigung des Termins übermittelt, weil sie erst dann für die Durchführung erforderlich sind (Grundsatz der Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO). Der Betrieb ist für die anschließende Verarbeitung eigenständig Verantwortlicher.
Betriebe können ihre bestätigten Termine als Kalender-Feed abonnieren. Dieser Feed ist nur über eine geheime, jederzeit neu erzeugbare Adresse abrufbar und enthält bewusst nur Vorname mit Initiale sowie Postleitzahl und Ort — nicht die vollständige Anschrift.
4. Auftragsverarbeiter und Hosting
Mit allen genannten Anbietern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Wo Anbieter Daten außerhalb der EU verarbeiten können, stützen wir die Übermittlung auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) und – soweit einschlägig – auf das EU-US Data Privacy Framework (Art. 45 DSGVO).
- Vercel Inc. (USA) – Auslieferung der Website. Hosting-Region Frankfurt (fra1); Standardvertragsklauseln.
- Render Services, Inc. (USA) – Hosting der API. Region Frankfurt; Standardvertragsklauseln.
- Supabase, Inc. (USA) – Datenbank und Authentifizierung. Region Frankfurt (eu-central-1); Standardvertragsklauseln.
- Stripe Payments Europe, Ltd. (Irland) – Zahlungsabwicklung der Betriebs-Abos. Stripe ist für die Zahlungsdaten eigenständig Verantwortlicher; wir erhalten keine vollständigen Kartendaten.
- Resend (Plus Five Five, Inc.) (USA) – Versand der Transaktions-E-Mails (Terminbestätigung, Statuswechsel). Standardvertragsklauseln.
- Google Ireland Ltd. – nur wenn du dich aktiv für den Google-Login entscheidest. Google erhält dabei die Information, dass du dich bei DrillIt anmeldest; wir erhalten deine E-Mail-Adresse und deinen Namen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Du kannst stattdessen jederzeit die Anmeldung per E-Mail-Code nutzen.
5. Cookies und lokale Speicherung
DrillIt setzt ausschließlich technisch notwendige Cookies bzw. lokale Speicherung ein: die Login-Sitzung, den Zugriffsschlüssel für deine eigene Terminanfrage sowie im Demo-Modus die Beispieldaten in deinem Browser. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich). Es findet kein Tracking, kein Profiling und keine Werbemessung durch Dritte statt; Schriften und Icons liefern wir selbst aus. Deshalb ist derzeit kein Einwilligungsbanner erforderlich. Sollte sich das ändern, holen wir deine Einwilligung vorab ein.
Was in deinem Browser liegt, kannst du jederzeit selbst entfernen: Adresse, Favoriten und die gespeicherten Demo-Daten. Deine Anmeldung bleibt davon unberührt.
Entfernt Adresse, Favoriten und die im Browser gespeicherten Demo-Daten. Deine Anmeldung bleibt bestehen.
6. Automatisierte Entscheidungen und Ranking
Es findet keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO statt. Die Reihenfolge der Suchergebnisse richtet sich nach den von dir gewählten Kriterien (Bewertung, Preis, Entfernung); die Hauptparameter erläutern wir gesondert unter Ranking.
7. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, der Verarbeitung zu widersprechen (Art. 21 DSGVO). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.
Auskunft und Löschung kannst du in deinem Konto selbst auslösen: Der Export stellt deine Daten als maschinenlesbare Datei bereit, die Löschung entfernt Konto und Buchungsdaten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Alternativ schreib an [email protected].
8. Beschwerderecht
Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen, Arndtstraße 1, 27570 Bremerhaven.
9. Pflicht zur Bereitstellung
Die Angabe von Name, E-Mail-Adresse und Einsatzadresse ist für die Vermittlung eines Termins erforderlich. Ohne diese Daten können wir die Anfrage nicht an den Betrieb weitergeben; ein Nachteil darüber hinaus entsteht dir nicht.
Entwurfsfassung für den Prototyp — vor dem öffentlichen Launch juristisch prüfen lassen.