Datenschutzerklärung

1. Verantwortlicher und Kontakt

Verantwortlicher für die Verarbeitung personenbezogener Daten auf GunZone ist:

BST Göttingen, Inhaber Jan Olfenbüttel

Florenz-Sartorius-Straße 18, 37079 Göttingen

E-Mail: info@gun-zone.com

Ein Datenschutzbeauftragter wird nicht benannt, solange keine gesetzliche Benennungspflicht besteht. Datenschutzanfragen können an die vorstehende E-Mail-Adresse gerichtet werden.

2. Grundsätze und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur für festgelegte Zwecke, in erforderlichem Umfang und mit angemessenen technischen und organisatorischen Schutzmaßnahmen. Je nach Verarbeitung stützen wir uns auf Vertragserfüllung und vorvertragliche Maßnahmen (Artikel 6 Absatz 1 Buchstabe b DSGVO), rechtliche Pflichten (Buchstabe c), berechtigte Interessen (Buchstabe f) oder eine freiwillige, jederzeit für die Zukunft widerrufliche Einwilligung (Buchstabe a).

Unsere berechtigten Interessen sind insbesondere ein sicherer und funktionsfähiger Marktplatz, Missbrauchs- und Betrugsabwehr, IT-Sicherheit, Durchsetzung oder Abwehr von Ansprüchen, nachvollziehbare Moderation und eine datensparsame Reichweitenmessung. Wo wir uns auf berechtigte Interessen stützen, berücksichtigen wir Art, Umfang und vernünftige Erwartungen der Betroffenen und ermöglichen den Widerspruch nach Artikel 21 DSGVO.

3. Verarbeitungskategorien und Zwecke

Wir verarbeiten – abhängig von den genutzten Funktionen – folgende Kategorien:

1. Registrierung und Konto: E-Mail-Adresse, öffentlicher Nutzername, Kontotyp, Vor- und Nachname, Anschrift, Land, Geburtsdatum als Selbstauskunft, Passwort-Hash, E-Mail-Bestätigung, akzeptierte Rechtstextversionen, Kontostatus und Einstellungen. Private Stammdaten werden nicht allein durch die Kontoführung öffentlich angezeigt. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO; Nachweise der Rechtstextannahme beruhen zusätzlich auf Buchstabe c und f.
2. Anmeldung und Sicherheit: Sitzungs- und Widerrufskennungen, Zeitpunkt, IP-Adresse, Browser- und Geräteinformationen, Sicherheitsereignisse, Fehlversuche, Rate-Limit- und Missbrauchssignale. Zweck sind Authentifizierung, Schutz von Konten und Systemen sowie Fehleranalyse; Rechtsgrundlagen sind Artikel 6 Absatz 1 Buchstabe b und f DSGVO.
3. Inserate und Marktplatznutzung: Titel, Beschreibung, Kategorie, Hersteller, Modell, Kaliber soweit einschlägig, Zustand, Preis, Laufzeit, Bilder, Bildmetadaten, Artikelnummern, Angebotsstatus, Suchanzeigen, Beobachtungen, Aufrufe und Zuordnungen zum Verkäufer. Öffentliche Inseratsdaten werden bestimmungsgemäß veröffentlicht. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO.
4. Gebote, Käufe und Abwicklung: Gebote einschließlich Maximalgebot für den Bietagenten, Preisvorschläge, Bestellungen, Bestellnummer, Käufer- und Verkäuferrollen, Preise, Zeitpunkte, Versand- und Übergabeangaben, rechtliche Vertragssnapshots sowie erforderliche Kontaktfreigaben zwischen den Parteien. Rechtsgrundlagen sind Artikel 6 Absatz 1 Buchstabe b, c und f DSGVO.
5. Gebühren, Rechnungen und Zahlung: Gebührenpositionen, Rabatt- oder Freistellungsstatus, Rechnungs- und Steuerdaten, Fälligkeit, Zahlungsstatus, Zahlungsreferenzen und – nur wenn eine entsprechende Funktion genutzt wird – verschlüsselte oder tokenisierte Konto- beziehungsweise Mandatsreferenzen. Vollständige Zahlungszugangsdaten werden nicht öffentlich angezeigt. Rechtsgrundlagen sind Artikel 6 Absatz 1 Buchstabe b und c DSGVO.
6. Händlerangaben und Compliance: veröffentlichte Firmen-, Register-, Kontakt-, Retouren-, Verbraucher- und Rechtstextangaben sowie nichtöffentliche Nachweisstatus, verschlüsselte Speicherreferenzen und Prüfergebnisse, soweit eine gesetzliche Händlerprüfung durchgeführt werden muss. GunZone führt keine allgemeine Ausweis-, WBK-, Jagdschein- oder Erwerbsberechtigungsprüfung für private Nutzer durch. Rechtsgrundlagen sind Artikel 6 Absatz 1 Buchstabe b, c und f DSGVO.
7. Chat und Anhänge: Nachrichten, Absender, Empfänger, Zeitpunkte, Lesestatus und freiwillig hochgeladene Anhänge. Beteiligte sollen nur erforderliche Angaben übermitteln und nicht benötigte Daten in Nachweisen schwärzen. Zugriff erhalten Gesprächsbeteiligte und nur bei einer erforderlichen, dokumentierten Rechts-, Sicherheits- oder Beschwerdeprüfung autorisierte Beschäftigte. Rechtsgrundlagen sind Artikel 6 Absatz 1 Buchstabe b und f DSGVO.
8. Bewertungen, Meldungen und Beschwerden: Bewertung, Antwort, Bezugsvorgang, Meldungsgrund, Sachverhalt, Belege, Fristen, Bearbeitungsstatus, interne Entscheidungsnotiz, Moderationsmaßnahme, Begründung und Einspruch. Interne Notizen werden nicht an andere Nutzer veröffentlicht. Rechtsgrundlagen sind Artikel 6 Absatz 1 Buchstabe b, c und f DSGVO.
9. Benachrichtigungen und E-Mail: Empfängeradresse, Ereignistyp, Vorlage, Versandstatus, Zeitpunkte und technische Fehlerdaten. Werbliche Nachrichten werden nur auf einer gesonderten Rechtsgrundlage versandt; Funktions- und Transaktionshinweise beruhen auf Artikel 6 Absatz 1 Buchstabe b und f DSGVO.
10. Optionale PWA und Web-Push: Die Installation als Progressive Web App speichert öffentliche statische Programmdateien und eine generische Offline-Seite lokal. Kontodaten, Chats, Anhänge, Rechnungen und private Bilder werden nicht in den öffentlichen Service-Worker-Cache aufgenommen. Web-Push wird nur nach freiwilliger Browserfreigabe aktiviert; verarbeitet werden Push-Endpunkt, Browser-Schlüssel, Gerätebezeichnung, Kontobindung und Zustellstatus. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe a DSGVO. Die Einwilligung kann in Browser, Gerät oder Konto widerrufen werden.
11. Reichweite und Protokolle: Seitenaufruf, Zeitpunkt, aufgerufene Ressource sowie gekürzte und pseudonymisierte Netzwerk- und Browsermerkmale zur cookie-freien Reichweitenmessung, Mehrfachzählungsvermeidung, Stabilität und Sicherheit. Do-Not-Track und Global Privacy Control werden respektiert. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO.

Externe KI-Verarbeitung ist nicht Bestandteil des freigegebenen Echtbetriebs. Ohne eine gesonderte technische und rechtliche Aktivierung werden keine Inseratsinhalte oder Bilder an einen externen KI-Dienst übermittelt. Eine spätere Aktivierung erfordert einen konkreten Hinweis zu Empfänger, Zweck, Datenkategorien, Übermittlungsgrundlage und Löschfrist vor der Nutzung.

3a. Freiwillige Einreichung einer Waffenhandelserlaubnis

Händler können über „Händlernachweise“ freiwillig Seiten ihrer Waffenhandelserlaubnis zur nichtöffentlichen Einsicht durch die Administration einreichen. Zweck ist die vom Händler angeforderte Sichtung der Erlaubnis und ihrer Zuordnung zu den veröffentlichten Firmendaten. Diese Zusatzfunktion ist keine Voraussetzung zum Verkaufen und keine allgemeine Identitäts-, eID- oder Zahlungsdatenprüfung. Sie führt weder zur Veröffentlichung des Dokuments noch zu einem öffentlichen Identitätsprüfsiegel. Gesetzliche Verantwortlichkeiten und eine gegebenenfalls gesondert erforderliche gesetzliche Händlerprüfung werden dadurch nicht ersetzt.

Verarbeitet werden die vom Händler übermittelten Erlaubnis- und Inhaberangaben, Dokumentseiten, der Dateiname sowie die zur Zuordnung und nachvollziehbaren Sichtung erforderlichen technischen Metadaten: Einreichungs- und Prüfzeitpunkte, Bezug zum Händlerprofil, Dateityp und -größe, automatisch erzeugte Prüfsumme, Prüfstatus, Bearbeiterkennung und Prüfvermerk. Bitte übermittle ausschließlich erforderliche Seiten und schwärze nicht benötigte Angaben, insbesondere zusätzliche Ausweis- oder private Berechtigungsdaten. Die Bilddateien werden vor der Speicherung technisch neu verarbeitet; ursprüngliche Bildmetadaten werden nicht übernommen. Dateiinhalt und Dateiname werden verschlüsselt gespeichert. Innerhalb der Plattform erhalten nur der einreichende Händler und zugriffsberechtigte Administratoren Zugriff. Die allgemeinen Empfänger- und Offenlegungsregeln in Abschnitt 4 bleiben unberührt; es erfolgt keine öffentliche Bereitstellung und kein automatischer Versand dieser Dokumente per E-Mail.

Rechtsgrundlage für die vom Händler ausdrücklich angeforderte optionale Dokumentensichtung ist Artikel 6 Absatz 1 Buchstabe b DSGVO, soweit die Verarbeitung zur Erbringung dieser konkreten Zusatzfunktion erforderlich ist. Der nach der Dateilöschung verbleibende minimale Prüfdatensatz dient der Nachvollziehbarkeit dieser Sichtung und der Bearbeitung zugehöriger Rückfragen; Grundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO. Das berechtigte Interesse besteht in einer nachvollziehbaren und datensparsamen Bearbeitung freiwilliger Händlernachweise. Es entsteht dadurch keine allgemeine Pflicht zur Einreichung und keine Freigabe zur Nutzung der Angaben für Werbung oder Profilbildung. Für Widerspruch und weitere Betroffenenrechte gilt Abschnitt 11.

Dateiinhalt und Dateiname werden im Produktivsystem höchstens 30 Tage ab Einreichung aufbewahrt; die automatische Bereinigung kann sie bereits innerhalb der letzten sechs Stunden dieser Frist entfernen. Ab Ablauf der Frist sind sie auch bei einer Störung der Bereinigung nicht mehr abrufbar. Nach der automatischen Dateibereinigung verbleibt ein minimaler Prüfdatensatz mit Zuordnung, Zeitpunkten, Prüfsumme, technischen Metadaten, Ergebnis und Prüfvermerk bis zur Kontolöschung. Der Händler kann Dateiinhalt und Dateiname bereits vorher selbst löschen; der minimale Prüfdatensatz bleibt dabei bis zur Kontolöschung erhalten. Bei Kontolöschung wird auch dieser kontobezogene Datensatz gelöscht. Für bereits bestehende Sicherungskopien gilt die begrenzte Backup-Aufbewahrung aus Abschnitt 7; eine Löschung im Produktivsystem entfernt ältere Sicherungskopien nicht sofort.

4. Empfänger und Offenlegung

Personenbezogene Daten erhalten nur, soweit für den jeweiligen Zweck erforderlich:

• Käufer und Verkäufer als jeweilige Vertrags- und Kommunikationspartner, insbesondere nach Vertragsschluss;
• intern autorisierte Personen für Support, Abrechnung, Sicherheit, Moderation und Beschwerden;
• technisch erforderliche Auftragsverarbeiter aus den Kategorien Hosting, Objektspeicher, E-Mail-Zustellung, Backup, Monitoring und – nur bei aktivierter Zahlungsfunktion – Zahlungsabwicklung;
• Gerichte, Strafverfolgungs-, Waffen-, Steuer- und sonstige Behörden, wenn eine gesetzliche Pflicht besteht oder die Offenlegung zur Rechtsverfolgung erforderlich ist;
• das Bundeszentralamt für Steuern und im gesetzlich vorgesehenen automatischen Informationsaustausch die zuständigen Steuerbehörden anderer EU-Mitgliedstaaten, soweit das PStTG anwendbar ist.

Mit Auftragsverarbeitern werden die erforderlichen Verträge nach Artikel 28 DSGVO geschlossen. Vor Veröffentlichung dieser Fassung muss das interne Verzeichnis der tatsächlich eingesetzten Empfänger, Standorte und Unterauftragsverarbeiter gegen den Produktivbetrieb abgeglichen werden. Diese Fassung nennt deshalb keine unbestätigten Anbieter.

5. Drittlandübermittlungen

Eine Übermittlung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur, wenn sie für eine freigegebene Funktion erforderlich und nach Kapitel V DSGVO zulässig ist, insbesondere aufgrund eines Angemessenheitsbeschlusses oder geeigneter Garantien wie Standarddatenschutzklauseln und erforderlichen Zusatzmaßnahmen. Vor Aktivierung einer solchen Verarbeitung werden Empfänger, Land und Übermittlungsgrundlage konkret dokumentiert. Eine nicht dokumentierte Drittlandübermittlung ist nicht freigegeben.

6. Plattformen-Steuertransparenzgesetz (PStTG)

Soweit GunZone meldender Plattformbetreiber ist, verarbeiten wir zur Erfüllung der Sorgfalts-, Prüf-, Informations-, Aufzeichnungs- und Meldepflichten nach dem PStTG insbesondere:

• bei natürlichen Personen Vor- und Nachname, Wohnanschrift, Steueridentifikationsnummer und ausstellenden Mitgliedstaat oder ersatzweise den gesetzlich vorgesehenen Geburtsort, Geburtsdatum, gegebenenfalls Umsatzsteuer-Identifikationsnummer, Finanzkontokennung und abweichenden Kontoinhaber;
• bei Rechtsträgern Firma, Sitzanschrift, Steueridentifikations- und Umsatzsteuer-Identifikationsnummer, Handelsregisternummer, gegebenenfalls EU-Betriebsstätte sowie die gesetzlich vorgesehenen Finanzkontodaten;
• je Quartal Vergütung, Zahl der relevanten Tätigkeiten und von GunZone einbehaltene oder berechnete Gebühren, Provisionen und Steuern sowie Melde- und Mitteilungszeitpunkte.

Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe c DSGVO in Verbindung mit den §§ 13 bis 24 PStTG. Empfänger ist das Bundeszentralamt für Steuern; dieses kann die Daten nach den gesetzlichen Regeln an zuständige Steuerbehörden anderer EU-Mitgliedstaaten übermitteln.

Bei Warenverkäufen gilt ein Anbieter nach § 4 Absatz 5 Satz 1 Nummer 4 PStTG nur dann insoweit als freigestellt, wenn er im Meldezeitraum über dieselbe Plattform weniger als 30 relevante Warenverkäufe erbracht und dadurch insgesamt weniger als 2.000 Euro Vergütung erhalten oder gutgeschrieben bekommen hat. Beide Voraussetzungen müssen gleichzeitig vorliegen. Die Schwellen sind keine allgemeine Steuerfreigrenze. Daten dürfen verarbeitet werden, um festzustellen und zu dokumentieren, ob die Voraussetzungen erfüllt sind.

PStTG-Aufzeichnungen werden nach § 24 Absatz 3 PStTG zehn Jahre aufbewahrt. Die Frist beginnt mit Ablauf des Kalenderjahres, in dem die Aufzeichnung erstellt wurde. Die personenbezogenen Aufzeichnungen nach § 24 Absatz 1 Nummer 2 bis 5 PStTG werden nach Fristablauf gelöscht.

7. Konkrete Lösch- und Aufbewahrungsfristen

Die folgenden Regelfristen gelten, sofern keine vorrangige gesetzliche Pflicht, wirksame Einwilligung, konkrete Rechtsverteidigung oder dokumentierte Beweissicherung eine abweichende Frist verlangt. Nach Fristablauf werden Daten gelöscht oder irreversibel anonymisiert; eine bloße Kontosperre ersetzt die Löschung nicht.

Datenkategorie	Regelfrist
E-Mail-Bestätigungslink	24 Stunden ab Ausstellung; danach ungültig, technische Löschung spätestens nach 7 Tagen
Passwort-Zurücksetzlink	1 Stunde ab Ausstellung; danach ungültig, technische Löschung spätestens nach 7 Tagen
Aktive Sitzungen und Push-Sitzungsbindung	bis Abmeldung, Widerruf oder Ablauf; widerrufene technische Datensätze spätestens nach 30 Tagen
Konto- und Profildaten	für die Kontolaufzeit; direkte Kontoverknüpfung bei freiwilliger Löschung unverzüglich, spätestens innerhalb von 30 Tagen, soweit keine Einzelangabe aufzubewahren ist
Einwilligungs-, AGB- und Datenschutznachweise	bis Ende des dritten Kalenderjahres nach Kontobeendigung; bei streitigem Vorgang bis zu dessen rechtskräftigem Abschluss plus 6 Monate
Nicht veröffentlichte Inseratsvorschau	höchstens 2 Stunden; nicht gebundene Uploads werden danach zur Löschung vorgemerkt
Öffentliche Inserate, Gebote, Bestellungen und Vertragssnapshots	bis Ende des dritten Kalenderjahres nach Beendigung des Inserats oder vollständiger Vertragsabwicklung; danach Löschung oder Anonymisierung, soweit keine längere Pflicht greift
Chats, Anhänge, Bewertungen und Beschwerden	bis Ende des dritten Kalenderjahres nach Abschluss des zugehörigen Vorgangs; bei anhängigem Streit bis rechtskräftigem Abschluss plus 6 Monate
Sicherheits- und Fehlerprotokolle	30 Tage; bei dokumentiertem Sicherheitsvorfall nur die erforderlichen Auszüge bis Abschluss der Untersuchung, höchstens 3 Jahre
First-Party-Reichweitenrohdaten	30 Tage
Inaktive oder dauerhaft unzustellbare Push-Endpunkte	30 Tage nach Deaktivierung beziehungsweise letzter endgültiger Unzustellbarkeit
Temporäre KI-Bildvarianten, falls die Funktion später freigegeben wird	höchstens 24 Stunden, sofern der Nutzer sie nicht vorher übernimmt; ohne Freigabe findet keine externe KI-Verarbeitung statt
Rechnungen und umsatzsteuerliche Belege	8 Jahre ab Ende des Kalenderjahres der Ausstellung, soweit § 14b UStG anwendbar ist
Buchungsbelege	8 Jahre ab Ende des maßgeblichen Kalenderjahres, soweit § 147 AO oder § 257 HGB anwendbar ist
Handelsbücher, Inventare, Eröffnungsbilanzen, Jahresabschlüsse und sonstige zehn Jahre aufzubewahrende Unterlagen	10 Jahre ab Ende des maßgeblichen Kalenderjahres, soweit § 147 AO oder § 257 HGB anwendbar ist
PStTG-Aufzeichnungen	10 Jahre ab Ende des Kalenderjahres ihrer Erstellung; personenbezogene Aufzeichnungen nach § 24 Absatz 1 Nummer 2 bis 5 PStTG werden anschließend gelöscht
Freiwillig eingereichte Waffenhandelserlaubnis: Dateiinhalt und Dateiname	höchstens 30 Tage ab Einreichung im Produktivsystem; automatische Bereinigung gegebenenfalls innerhalb der letzten sechs Stunden; frühere Löschung durch den Händler möglich
Minimaler Prüfdatensatz zu freiwilligen Händlernachweisen	bis Kontolöschung; frühere Dateilöschung entfernt nicht den Prüfdatensatz; keine öffentliche Anzeige
Backups	rollierend 30 Tage; eine produktive Löschung wirkt mit Ablauf dieses Sicherungszyklus auch in Backups, soweit kein dokumentierter Legal Hold besteht

Gesetzlich aufzubewahrende Datensätze werden nach Kontolöschung gesperrt, auf den Aufbewahrungszweck beschränkt und nicht für Werbung oder Profilbildung verwendet. Ein Legal Hold muss Vorgang, Rechtsgrund, Umfang, Verantwortlichen und Prüftermin dokumentieren und endet, sobald der Sicherungszweck entfällt.

8. Cookies, lokale Speicherung und Kommunikation

Für die Anmeldung verwenden wir einen technisch notwendigen, als HttpOnly, Secure und SameSite geschützten Sitzungscookie. Kurzlebige Zugriffsdaten werden nur für die Sitzung verarbeitet. Einwilligungspflichtige Analyse- oder Marketing-Cookies werden nicht ohne vorherige Einwilligung gesetzt.

Funktionsnachrichten zu Konto, Gebot, Kauf, Beschwerde, Rechnung oder Sicherheit sind Bestandteil der angeforderten Leistung. Freiwillige Marketingkommunikation ist davon getrennt und jederzeit abbestellbar. Die Deaktivierung freiwilliger Web-Push-Nachrichten berührt notwendige Mitteilungen über andere vereinbarte Kanäle nicht.

9. Pflichtangaben und Folgen der Nichtbereitstellung

Als Pflichtfeld gekennzeichnete Konto-, Vertrags-, Abrechnungs- und Steuerangaben sind erforderlich, um ein Konto oder die jeweilige Funktion bereitzustellen beziehungsweise gesetzliche Pflichten zu erfüllen. Ohne erforderliche Angaben kann die Registrierung, Veröffentlichung, Auszahlung, Abrechnung oder weitere Nutzung abgelehnt oder eingeschränkt werden. Freiwillige Angaben sind als solche erkennbar und haben ohne sachlichen Grund keine nachteilige Folge.

10. Automatisierte Verfahren

GunZone trifft keine Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung ausschließlich automatisiert im Sinne von Artikel 22 DSGVO. Technische Filter dürfen Risiken markieren, Eingaben validieren, Rangfolgen oder Fristen berechnen und Fälle priorisieren; eine wesentliche Sanktion wird menschlich überprüft. Der Bietagent führt die ausdrückliche Weisung des Nutzers innerhalb des festgelegten Maximalgebots aus und nimmt keine eigenständige Profilentscheidung über den Nutzer vor.

11. Betroffenenrechte

Betroffene haben nach Maßgabe der Artikel 15 bis 22 DSGVO Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Eine Einwilligung kann jederzeit für die Zukunft widerrufen werden, ohne die Rechtmäßigkeit der vorherigen Verarbeitung zu berühren. Im Konto stehen Datenexport und Kontolöschung zur Verfügung; Anfragen können an info@gun-zone.com gerichtet werden.

Wer der Verarbeitung auf Grundlage berechtigter Interessen widerspricht, soll den betroffenen Vorgang bezeichnen. Außerdem besteht das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, insbesondere bei der Behörde des gewöhnlichen Aufenthalts, Arbeitsplatzes oder Orts des mutmaßlichen Verstoßes.

12. Sicherheit und Änderungen

Wir setzen dem Risiko angemessene technische und organisatorische Maßnahmen ein, insbesondere Zugriffsbeschränkung, Transportverschlüsselung, Passwort-Hashing, Protokollierung sicherheitsrelevanter Vorgänge, verschlüsselte beziehungsweise tokenisierte Referenzen und getrennte Berechtigungen. Kein System ist absolut sicher; Sicherheitsvorfälle werden nach den gesetzlichen Vorgaben bewertet und erforderlichenfalls gemeldet.

Wesentliche Änderungen dieser Datenschutzerklärung werden mit neuer Version veröffentlicht und, soweit erforderlich, vor Wirksamwerden mitgeteilt. Frühere Annahme- und Vertragssnapshots bleiben zur Nachweisführung versioniert.