Datenschutzerklärung
Datenschutzerklärung
Stand: August 2026
Diese Erklärung beschreibt, welche personenbezogenen Daten wir beim Betrieb von KitaFlohmarkt verarbeiten, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange. Sie beschreibt den tatsächlichen technischen Stand der Plattform.
1. Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Sebastian Rasel Glockfeldstr. 14 63776 Mömbris E-Mail: datenschutz@agugu.de Telefon: 06029 99 40 90 7
Einen Datenschutzbeauftragten haben wir nicht bestellt; die gesetzlichen Voraussetzungen dafür (Art. 37 DSGVO, § 38 BDSG) liegen nicht vor.
2. Grundsätze
- Wir verarbeiten personenbezogene Daten nur, soweit es für den Betrieb der Plattform erforderlich ist.
- Alle Daten liegen auf einem Server in Deutschland (Nürnberg).
- Wir setzen keine Tracking-Cookies, keine Werbenetzwerke, keine Analyse-Dienste (kein Google Analytics, kein Matomo, keine Social-Media-Plugins) und keine externen Schriftarten oder CDNs ein.
- Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter.
3. Hosting und Auftragsverarbeiter
Die Plattform läuft auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Serverstandort Nürnberg. Hetzner verarbeitet die Daten ausschließlich weisungsgebunden für uns; es besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
Datenbank (PostgreSQL), Sitzungsspeicher (Redis), Dateispeicher für Fotos (MinIO) und der Mailversand (eigener SMTP-Dienst) laufen auf derselben Infrastruktur. Es findet keine Übertragung an externe Cloud-Dienste statt — mit Ausnahme der Zahlungsabwicklung über Stripe (Abschnitt 6).
4. Verarbeitungen im Einzelnen
4.1 Aufruf der Plattform (Server-Protokolle)
Wir führen keine Zugriffsprotokolle. Anders als bei den meisten Websites wird beim bloßen Aufruf einer Seite kein Eintrag mit deiner IP-Adresse gespeichert — weder auf dem Anwendungsserver noch auf dem vorgelagerten Reverse-Proxy ist eine solche Protokollierung eingerichtet.
Für den technischen Betrieb entstehen lediglich Anwendungsprotokolle: Fehlermeldungen und Betriebsmeldungen der Software. Sie enthalten in aller Regel keine personenbezogenen Daten und insbesondere keine IP-Adressen.
- Zweck: technischer Betrieb, Fehlersuche
- Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionsfähigen Angebot)
- Speicherdauer: 14 Tage, danach automatische Löschung
Davon zu unterscheiden ist die IP-Adresse, die beim Absenden der öffentlichen Formulare zur Missbrauchsabwehr verarbeitet wird — dazu die Abschnitte 4.10 bis 4.12.
4.2 Registrierung und Nutzerkonto
Die Registrierung ist nur über einen Einladungslink der jeweiligen Kita möglich.
| Datenkategorie | Zweck | Rechtsgrundlage |
|---|---|---|
| Vorname, Nachname | Identifikation gegenüber anderen Mitgliedern der Kita | Art. 6 Abs. 1 lit. b DSGVO |
| E-Mail-Adresse | Anmeldung, Verifizierung, Benachrichtigungen | Art. 6 Abs. 1 lit. b DSGVO |
| Passwort (nur als Hash) | Authentifizierung | Art. 6 Abs. 1 lit. b DSGVO |
| Kita-Mitgliedschaft(en) | Zuordnung zur richtigen Community | Art. 6 Abs. 1 lit. b DSGVO |
| Vorname des Kindes (freiwillig) | Wiedererkennung innerhalb der Kita | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) |
| Registrierungszeitpunkt | Nachvollziehbarkeit, Missbrauchsabwehr | Art. 6 Abs. 1 lit. f DSGVO |
Die Angabe des Kindernamens ist freiwillig; das Feld kann leer bleiben und jederzeit im Profil gelöscht werden. Ein Widerruf wirkt für die Zukunft.
4.3 Anmeldung, Sitzung und Zwei-Faktor-Authentifizierung
Nach der Anmeldung wird eine Sitzung angelegt. Die Sitzungsdaten (Nutzerkennung, Name, aktive Kita, Rollen) liegen in unserem Redis auf demselben Server; im Browser wird nur eine zufällige Sitzungskennung als Cookie abgelegt (siehe Abschnitt 5).
Aktivierst du freiwillig die Zwei-Faktor-Authentifizierung, speichern wir zusätzlich:
-
das TOTP-Geheimnis deiner Authenticator-App — verschlüsselt (AES-256-GCM, Schlüssel liegt nur in der Serverumgebung, nicht in der Datenbank)
-
deine Backup-Codes — nur als Argon2-Hash, nicht im Klartext
-
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Kontos) bzw. Art. 6 Abs. 1 lit. f DSGVO (Kontosicherheit)
-
Speicherdauer: bis zur Deaktivierung der Zwei-Faktor-Authentifizierung oder Löschung des Kontos
4.4 Inserate und Fotos
| Datenkategorie | Zweck | Rechtsgrundlage |
|---|---|---|
| Titel, Beschreibung, Preis, Kategorie, Zustand, Größe, Marke, Farbe | Anzeige im Marktplatz | Art. 6 Abs. 1 lit. b DSGVO |
| Fotos | Anzeige im Marktplatz | Art. 6 Abs. 1 lit. b DSGVO |
| Einstelldatum, Laufzeit, Status | Betrieb des Marktplatzes | Art. 6 Abs. 1 lit. b DSGVO |
Fotos werden unverändert in der hochgeladenen Auflösung auf unserem Server gespeichert (maximal 5 MB je Datei). Eine automatische Verkleinerung findet nicht statt. Bitte beachte: Fotos können Bildinhalte enthalten, die Rückschlüsse auf Personen oder deine Wohnung zulassen. Lade nach Möglichkeit nur den Artikel selbst ab, nicht Kinder oder Wohnräume.
Inserate sind nur für angemeldete Mitglieder deiner Kita sichtbar — und, sofern die Kita die Vernetzung aktiviert hat, für Mitglieder vernetzter Kitas. Sie sind nicht öffentlich im Internet abrufbar und werden nicht von Suchmaschinen erfasst.
4.5 Nachrichten zwischen Nutzerinnen und Nutzern
| Datenkategorie | Zweck | Rechtsgrundlage |
|---|---|---|
| Nachrichteninhalt, Zeitpunkt, Absender, zugehöriges Inserat | Kommunikation zwischen Käufer und Verkäufer | Art. 6 Abs. 1 lit. b DSGVO |
Nachrichten sind ausschließlich für die beiden Beteiligten sichtbar. Wir lesen sie nicht routinemäßig mit; ein Zugriff erfolgt nur, wenn dies zur Bearbeitung einer Meldung (Abschnitt 4.6) oder aufgrund einer rechtlichen Verpflichtung erforderlich ist. Eine Verschlüsselung, die auch uns als Betreiber den Zugriff technisch unmöglich macht (Ende-zu-Ende-Verschlüsselung), besteht nicht.
4.6 Meldungen und Moderation
Du kannst Inserate melden. Wir speichern dazu Meldegrund, freiwilligen Freitext, das gemeldete Inserat, deine Nutzerkennung als meldende Person sowie Bearbeitungsstand und bearbeitende Person.
- Zweck: Erfüllung unserer Pflichten als Hosting-Dienst nach Art. 16 DSA, Durchsetzung der AGB
- Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) i. V. m. Art. 6 Abs. 1 lit. f DSGVO
- Empfänger: Kita-Admins der betroffenen Kita und der Plattformbetreiber
Die meldende Person wird der gemeldeten Person nicht angezeigt.
4.7 Kauf von Knopf-Paketen (Zahlungsabwicklung)
| Datenkategorie | Zweck | Rechtsgrundlage |
|---|---|---|
| Zahlungsdaten (Kartendaten, SEPA-Mandatsdaten) | Zahlungsabwicklung | Art. 6 Abs. 1 lit. b DSGVO |
| Kaufdatum, Paket, gezahlter Betrag, Kennung der Stripe-Zahlung | Vertragsdurchführung, Buchführung | Art. 6 Abs. 1 lit. b und lit. c DSGVO |
| Kita-Zuordnung und Provisionsbetrag | Abrechnung mit der Kita | Art. 6 Abs. 1 lit. b DSGVO |
Zahlungsdaten werden nicht auf unseren Servern gespeichert. Sie werden direkt von Stripe erhoben und verarbeitet (Abschnitt 6.1). Bei uns liegen nur Betrag, Zeitpunkt und die Zahlungskennung von Stripe. Deine E-Mail-Adresse wird an Stripe übermittelt, damit du dort einen Beleg erhältst.
4.8 Provisionsabrechnung mit der Kita
Für die Auszahlung des Provisionsguthabens an eine Kita oder deren Träger speichern wir Name, Anschrift, E-Mail-Adresse, IBAN und Bankname der Einrichtung bzw. des Trägers sowie den Auszahlungsvorgang und eine als PDF erzeugte Gutschrift.
- Zweck: Abwicklung und Nachweis der Provisionsauszahlung
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO i. V. m. §§ 147 AO, 257 HGB
- Betroffene: in der Regel Beschäftigte oder Vertretungsberechtigte der Einrichtung, nicht die Eltern
4.9 Benachrichtigungs-E-Mails
Wir versenden E-Mails zu neuen Nachrichten, zum bevorstehenden Ablauf von Inseraten (7 Tage vorher) und von Knöpfen (30 Tage vorher). Diese Benachrichtigungen kannst du im Profil einzeln abschalten; jede Mail enthält zusätzlich einen Abmeldelink.
Davon unberührt sind Pflicht-E-Mails, die zur Vertragsdurchführung notwendig sind: Verifizierung der Adresse, Passwort-Zurücksetzung, Kaufbestätigung, Sperrung, Kontolöschung. Diese lassen sich nicht abbestellen.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
- Ein Newsletter oder Werbeversand findet nicht statt.
4.10 Kontaktformular
Über das Kontaktformular übermittelte Angaben (Name, E-Mail-Adresse, Betreff, Nachricht) leiten wir per E-Mail an den Plattformbetreiber weiter. Zur Missbrauchsabwehr wird dabei zusätzlich die IP-Adresse übermittelt, von der die Anfrage abgeschickt wurde.
- Zweck: Beantwortung der Anfrage, Abwehr von Spam und automatisierten Einsendungen
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (bei Vertragsanbahnung) bzw. Art. 6 Abs. 1 lit. f DSGVO (Beantwortung allgemeiner Anfragen, Missbrauchsabwehr)
- Speicherdauer: bis die Anfrage abschließend bearbeitet ist; danach im Mailpostfach nach den dortigen Aufbewahrungsfristen
Eine Eingangsbestätigung an die angegebene Adresse versenden wir bewusst nicht, damit das Formular nicht zum Versand unerwünschter Mails an Dritte missbraucht werden kann.
4.11 Anfragen von Kitas (Seite „Für Kitas")
Fordert eine Einrichtung über das Formular auf /fuer-kitas Informationen an, verarbeiten wir Name und Funktion der anfragenden Person, Name und Ort der Kita, E-Mail-Adresse, die freiwillige Nachricht sowie die IP-Adresse der Absendung.
- Zweck: Beantwortung der Anfrage und Anbahnung einer Zusammenarbeit
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung), für die IP-Adresse Art. 6 Abs. 1 lit. f DSGVO
4.12 Schutz vor Spam und automatisierten Einsendungen
Bei den öffentlich zugänglichen Formularen (Kontakt, Kita-Anfrage) setzen wir mehrere Schutzmaßnahmen ein:
-
ein für Menschen unsichtbares Zusatzfeld sowie eine Mindest-Ausfüllzeit (erkennt automatisierte Einsendungen)
-
eine Begrenzung der Einsendungen je IP-Adresse und Zeitfenster; dazu wird die IP-Adresse befristet in unserem Redis gespeichert
-
eine rein lokale, regelbasierte Inhaltsprüfung des eingegebenen Textes auf typische Werbe- und Spam-Merkmale. Erreicht eine Einsendung einen Schwellwert, wird sie verworfen und nicht zugestellt; ein Hinweis darauf wird im Server-Log festgehalten.
-
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionsfähigen, missbrauchsfreien Angebot)
-
Es findet keine Übermittlung an externe Spam- oder Captcha-Dienste statt. Die Prüfung läuft vollständig auf unserem Server.
-
Sollte deine Anfrage versehentlich aussortiert worden sein, erreichst du uns jederzeit unter kontakt@agugu.de.
4.13 Werbebanner
Auf dem Marktplatz können Werbebanner angezeigt werden. Diese sind stets als „Anzeige" gekennzeichnet.
- Die Auswahl erfolgt ausschließlich anhand der Region der Kita (Bundesland bzw. Postleitzahlbereich der Einrichtung), nicht anhand individueller Nutzerprofile.
- Gezählt wird lediglich ein serverseitiger Gesamtzähler der Einblendungen, ohne Personenbezug.
- Klicks werden nicht gezählt und nicht über einen Zwischenserver geleitet — der Link führt direkt zum Ziel.
- Es werden keine Cookies, Zählpixel oder Wiedererkennungsmerkmale für Werbezwecke gesetzt.
5. Cookies
Wir setzen ausschließlich technisch notwendige Cookies ein. Ein Cookie-Banner ist deshalb nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
| Cookie | Zweck | Eigenschaften | Laufzeit |
|---|---|---|---|
kita_session | Anmeldestatus | HttpOnly, Secure, SameSite=Lax | 30 Tage ab Anmeldung |
| Cookie der Zwei-Faktor-Anmeldung | hält den Anmeldevorgang zwischen Passwort- und Code-Eingabe zusammen | HttpOnly, Secure | wenige Minuten, wird nach Abschluss gelöscht |
Beim Abmelden wird das Sitzungs-Cookie gelöscht und die Sitzung serverseitig verworfen.
6. Empfänger und Kategorien von Empfängern
| Empfänger | Was er sehen kann | Grundlage |
|---|---|---|
| Andere Mitglieder deiner Kita | Vor- und Nachname, freiwilliger Kindername, deine Inserate; im Chat zusätzlich eure Nachrichten | Zweck der Plattform, Art. 6 Abs. 1 lit. b DSGVO |
| Mitglieder vernetzter Kitas | deine Inserate samt Anzeigename, sofern deine Kita die Vernetzung aktiviert hat | Art. 6 Abs. 1 lit. b DSGVO |
| Kita-Admins deiner Kita | Mitgliederliste der eigenen Kita, Inserate, Meldungen, Knopf-Stände | Art. 6 Abs. 1 lit. f DSGVO (Verwaltung der Community) |
| Plattformbetreiber | alle Daten, soweit für Betrieb, Abrechnung und Support erforderlich | Art. 6 Abs. 1 lit. b und f DSGVO |
| Hetzner Online GmbH | Hosting (kein inhaltlicher Zugriff im Normalbetrieb) | Auftragsverarbeitung, Art. 28 DSGVO |
| Stripe | Zahlungsdaten beim Kauf | Art. 6 Abs. 1 lit. b DSGVO |
| Steuerberatung, Finanzbehörden | Buchungs- und Abrechnungsdaten | Art. 6 Abs. 1 lit. c DSGVO |
Eine darüber hinausgehende Weitergabe erfolgt nur, wenn wir gesetzlich dazu verpflichtet sind (z. B. Auskunftsersuchen von Strafverfolgungsbehörden).
6.1 Stripe (Zahlungsabwicklung)
Für die Zahlungsabwicklung setzen wir Stripe ein: Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland. Angeboten werden Kreditkarte und SEPA-Lastschrift.
Stripe verarbeitet die Zahlungsdaten als eigenständig Verantwortlicher nach seinen eigenen Datenschutzbestimmungen. Dabei kann es zu einer Übermittlung an die Stripe, Inc. in den USA kommen. Stripe stützt solche Übermittlungen auf die Standardvertragsklauseln der EU-Kommission sowie auf ergänzende Schutzmaßnahmen; die Stripe, Inc. ist zudem nach dem EU-US Data Privacy Framework zertifiziert.
Datenschutzhinweise von Stripe: https://stripe.com/de/privacy
- Rechtsgrundlage der Übermittlung: Art. 6 Abs. 1 lit. b DSGVO, für den Drittlandbezug Art. 46 Abs. 2 lit. c DSGVO
6.2 E-Mail-Versand
Transaktions-E-Mails versenden wir über einen eigenen SMTP-Dienst auf demselben Server in Nürnberg. Eine Weitergabe an externe Mailversand-Dienstleister findet nicht statt. Auf dem Transportweg und beim Empfangsanbieter der Empfängerin bzw. des Empfängers gelten die dortigen Bedingungen; eine Ende-zu-Ende-Verschlüsselung von E-Mails können wir nicht garantieren.
6.3 Dateispeicher
Hochgeladene Fotos liegen in einem selbst betriebenen S3-kompatiblen Speicher (MinIO) auf demselben Server. Die Auslieferung erfolgt über die Anwendung; der Speicher ist nicht direkt aus dem Internet erreichbar.
7. Speicherdauer
| Datenkategorie | Speicherdauer |
|---|---|
| Nutzerkonto | bis zur Löschung durch dich oder durch uns |
| Gelöschtes Konto | Name und E-Mail-Adresse werden sofort bei der Löschung anonymisiert; Konversationen sowie Inserate samt Fotos werden sofort gelöscht |
| Kindername | bis zur Entfernung durch dich, spätestens mit Kontolöschung |
| Aktive Inserate | 90 Tage Laufzeit, danach verlängerbar |
| Abgelaufene und verkaufte Inserate | 180 Tage nach Ablauf bzw. Verkauf, dann automatische Löschung |
| Fotos | wie das zugehörige Inserat — sie werden mit ihm aus dem Dateispeicher entfernt |
| Nachrichten | 180 Tage nach der letzten Nachricht der Konversation; früher, wenn eine beteiligte Person die Konversation, das Inserat oder ihr Konto löscht |
| Meldungen | bis zur Löschung des gemeldeten Inserats |
| Kauf- und Abrechnungsdaten | 10 Jahre (§ 147 AO, § 257 HGB) |
| Sitzungsdaten (Redis) | 30 Tage ab letzter Anmeldung |
| IP-Adresse im Spamschutz-Zähler | 1 Stunde |
| Zugriffsprotokolle | werden nicht geführt |
| Anwendungsprotokolle (ohne IP-Adressen) | 14 Tage |
Daten, die einer gesetzlichen Aufbewahrungspflicht unterliegen, werden für die Dauer dieser Pflicht gesperrt statt gelöscht: Sie werden dann nur noch zur Erfüllung der Pflicht vorgehalten und nicht mehr für den Betrieb der Plattform genutzt.
8. Deine Rechte
Du hast nach der DSGVO folgende Rechte:
- Auskunft (Art. 15): Bestätigung, ob wir Daten zu dir verarbeiten, und Kopie dieser Daten
- Berichtigung (Art. 16): Korrektur unrichtiger oder Vervollständigung unvollständiger Daten
- Löschung (Art. 17): Löschung deiner Daten, soweit keine Aufbewahrungspflicht entgegensteht. Dein Konto kannst du jederzeit selbst im Profil löschen.
- Einschränkung der Verarbeitung (Art. 18)
- Datenübertragbarkeit (Art. 20): Herausgabe der von dir bereitgestellten Daten in einem gängigen, maschinenlesbaren Format
- Widerspruch (Art. 21): Widerspruch gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen — aus Gründen, die sich aus deiner besonderen Situation ergeben
- Widerruf einer Einwilligung (Art. 7 Abs. 3): jederzeit mit Wirkung für die Zukunft, z. B. beim Kindernamen
Wende dich dafür an datenschutz@agugu.de. Wir antworten innerhalb eines Monats. Zur Sicherheit können wir zusätzliche Angaben verlangen, wenn wir begründete Zweifel an deiner Identität haben (Art. 12 Abs. 6 DSGVO).
9. Beschwerderecht bei der Aufsichtsbehörde
Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO).
Für uns zuständig ist:
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) Promenade 18 91522 Ansbach https://www.lda.bayern.de
10. Erforderlichkeit der Bereitstellung
Die Angaben, die bei der Registrierung als Pflichtfelder gekennzeichnet sind (Name, E-Mail-Adresse, Passwort), sind für die Nutzung des Kontos erforderlich. Ohne sie können wir kein Konto bereitstellen. Alle übrigen Angaben — insbesondere der Kindername — sind freiwillig; ihr Weglassen hat keine Nachteile außer der eingeschränkten Wiedererkennung innerhalb der Kita.
11. Keine automatisierte Entscheidungsfindung
Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung findet nicht statt.
Der in Abschnitt 4.12 beschriebene Spamschutz arbeitet zwar automatisiert, betrifft aber nur die Zustellung einzelner Formularnachrichten und keine Vertragsentscheidung. Kontosperrungen erfolgen ausschließlich durch Menschen.
12. Datensicherheit
- Alle Verbindungen sind mit TLS verschlüsselt (HTTPS).
- Passwörter werden ausschließlich als Argon2id-Hash gespeichert, niemals im Klartext und niemals umkehrbar.
- Das Geheimnis der Zwei-Faktor-Authentifizierung wird verschlüsselt gespeichert (AES-256-GCM), Backup-Codes nur als Hash.
- Sitzungs-Cookies sind HttpOnly, Secure und SameSite=Lax.
- Der Zugriff auf Datenbank und Dateispeicher ist auf den Server beschränkt und nicht aus dem Internet erreichbar.
- Zahlungsdaten erreichen unsere Server nicht.
Ein absoluter Schutz ist bei der Übertragung im Internet technisch nicht möglich.
13. Änderungen dieser Datenschutzerklärung
Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert oder die Rechtslage es erfordert. Die jeweils aktuelle Fassung ist unter agugu.de/datenschutz abrufbar; das Datum der letzten Änderung steht oben.
Stand: 11.08.2026