Datenschutzerklärung

Verantwortlich im Sinne der DSGVO ist: Vida Workstation, Inhaberin Vida Gholami, Corneliusstraße 43, 40215 Düsseldorf, Deutschland. E-Mail: info@bestara.app. Telefon: +49 176 31752901.

Es besteht keine gesetzliche Pflicht zur Benennung einer oder eines Datenschutzbeauftragten. Datenschutzanfragen richtest du bitte an die oben genannte verantwortliche Stelle.

Beim Aufruf der Website verarbeitet unser Hosting-Dienstleister technisch notwendige Zugriffsdaten, insbesondere IP-Adresse, Datum und Uhrzeit, angeforderte Adresse, Statuscode, übertragene Datenmenge, Referrer und User-Agent. Zweck sind Auslieferung, Stabilität und Sicherheit der Website. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere und störungsfreie Betrieb. Die Speicherdauer richtet sich nach der Protokollierung des Hosting-Dienstleisters; wir werten diese Protokolle nicht zu Analysezwecken aus und führen sie nicht mit Konten zusammen.

Hosting und Auslieferung erfolgen durch Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA. Die serverseitige Ausführung der Anwendung ist auf die Region Frankfurt am Main (fra1) eingestellt. Statische Inhalte werden über ein weltweites Content-Delivery-Netz ausgeliefert, sodass einzelne Anfragen technisch bedingt auch über einen Standort außerhalb der EU beantwortet werden können. Es gilt der Vertrag zur Auftragsverarbeitung (Data Processing Addendum) von Vercel.

Für einzelne Funktionen (z. B. Produktvorschläge und Warteliste) verwenden wir die IP-Adresse ausschließlich als kurzlebigen Schlüssel zur Begrenzung der Anfragehäufigkeit im Arbeitsspeicher. Die IP-Adresse wird dabei von der Anwendung nicht in der Datenbank gespeichert und nicht protokolliert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch und Überlastung).

Für ein Konto verarbeiten wir deine E-Mail-Adresse, ein von dir gewähltes Passwort, eine interne Nutzerkennung sowie Zeitstempel zu Registrierung, Bestätigung und letzter Anmeldung. Mehr verlangen wir nicht: es gibt kein Pflichtfeld für Namen, Adresse, Telefonnummer oder Geburtsdatum.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da die Verarbeitung zur Bereitstellung des von dir angeforderten Kontos erforderlich ist. Die Verarbeitung beruht ausdrücklich nicht auf einer Einwilligung; das Anlegen eines Kontos ist keine Einwilligung in Werbung oder Analyse.

Die Angabe von E-Mail-Adresse und Passwort ist erforderlich, um ein Konto zu erstellen. Ohne diese Angaben kann kein Konto angelegt werden. Bestara lässt sich ohne Konto vollständig zum Vergleichen nutzen.

Passwörter werden von unserem Authentifizierungsdienst als kryptografischer Hash gespeichert. Die Anwendung von Bestara speichert, protokolliert und überträgt zu keinem Zeitpunkt ein Passwort im Klartext.

Nach der Anmeldung werden technisch notwendige Sitzungs-Cookies gesetzt, damit du angemeldet bleibst. Diese Cookies sind für den Betrieb erforderlich und werden nicht zu Analyse- oder Werbezwecken verwendet.

Zur Bestätigung deiner E-Mail-Adresse und zum Zurücksetzen des Passworts versendet unser Authentifizierungsdienst eine E-Mail mit einem zeitlich begrenzten Link an die von dir angegebene Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO (Kontosicherheit).

Wenn du angemeldet bist, verarbeiten wir zusätzlich nur die Daten, die durch deine eigene Nutzung entstehen: Profil- und Benachrichtigungseinstellungen, Merklisten und darin gespeicherte Produkte, Preiswecker, In-App-Benachrichtigungen, von dir eingereichte Produktvorschläge sowie ein etwaiger Eintrag in die Warteliste für die Foto-Suche. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da diese Daten zur Erbringung der von dir angeforderten Funktionen erforderlich sind. Diese Daten sind durch Zugriffsregeln auf Datenbankebene auf dein eigenes Konto beschränkt.

Erteilst oder widerrufst du eine optionale Einwilligung (derzeit ausschließlich für E-Mail-Benachrichtigungen zu Preisweckern und für die Zusammenfassung per E-Mail), speichern wir diesen Vorgang als unveränderbaren Nachweis mit Zeitstempel, Art der Einwilligung, Handlung und Fassung der Erklärung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO (Nachweispflicht). Ein Widerruf ist jederzeit möglich und wirkt für die Zukunft. Hinweis: Der E-Mail-Versand ist derzeit nicht aktiviert; ohne aktivierten Versand werden keine Benachrichtigungs-E-Mails verschickt.

Suchbegriffe werden serverseitig verarbeitet, um Ergebnisse zu liefern. Wir legen keine personenbezogene Suchhistorie an und verknüpfen Suchanfragen nicht mit deinem Konto. Beim Barcode-Scanner wird die Kamera ausschließlich lokal in deinem Browser ausgewertet: Es werden keine Bilder gespeichert und keine Bilder an uns oder Dritte übertragen. Übermittelt wird nur die erkannte Ziffernfolge, um das Produkt nachzuschlagen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Bestara setzt beim bloßen Besuch der Website keine Cookies und legt nichts im lokalen Speicher deines Geräts ab. Es werden ausschließlich technisch notwendige Speicherzugriffe vorgenommen, und zwar erst durch eine bewusste Handlung von dir: die von dir gewählte Sprache (Cookie und lokaler Speicher), das Ausblenden des Installationshinweises für die App (lokaler Speicher) sowie Sitzungs-Cookies nach deiner Anmeldung. Diese Zugriffe sind nach § 25 Abs. 2 Nr. 2 TDDDG unbedingt erforderlich, um den von dir ausdrücklich gewünschten Dienst bereitzustellen; eine Einwilligung ist dafür nicht erforderlich.

Es sind keine Analyse-, Tracking-, Werbe- oder Profilbildungs-Technologien im Einsatz. Deshalb gibt es derzeit auch kein Einwilligungsbanner: Wir setzen nichts ein, wofür eine Einwilligung einzuholen wäre. Sollten wir künftig eine nicht notwendige Technologie einsetzen, holen wir vorher deine Einwilligung ein, bevor diese ausgeführt wird.

Bestara bindet keine Inhalte Dritter ein, die beim Aufruf einer Seite eine Verbindung deines Browsers zu einem fremden Server auslösen. Produktbilder werden nur ausgeliefert, wenn sie aus einer dafür freigegebenen Quelle stammen; andernfalls zeigen wir eine gestaltete Bestara-Platzhalterfläche an, damit kein Aufruf an einen fremden Server erfolgt. Schriftarten werden mit der Website ausgeliefert und nicht von einem externen Anbieter nachgeladen.

Wenn du auf der Suchseite eine Suche absendest, wird zusätzlich eine Live-Marktsuche ausgeführt. Sie wird ausschließlich durch dein aktives Absenden des Suchformulars oder durch einen ausdrücklichen Klick ausgelöst — nicht beim bloßen Laden oder Teilen einer Such-URL, nicht während der Eingabe und nicht automatisch im Hintergrund. Rufst du eine geteilte Such-URL auf oder lädst die Seite neu, wird keine Live-Marktsuche ausgeführt, bis du sie ausdrücklich startest. Die Anfrage verlässt deinen Browser nicht direkt: Sie wird von unserem Server gestellt. An den Anbieter übermittelt werden dabei ausschließlich der eingegebene Suchbegriff in normalisierter Form sowie technische Marktparameter (Land „de“, Sprache „de“, Google-Domain „google.de“). Nicht übermittelt werden: deine IP-Adresse durch die Anwendung, Cookies, deine E-Mail-Adresse, Konto- oder Profildaten, Merklisten, Preiswecker oder sonstige Kennungen. Rufst du zu einem einzelnen Ergebnis „Preis & Versand prüfen“ auf, stellt unser Server genau eine weitere Abfrage zu diesem Produkt — niemals automatisch für alle Ergebnisse. Suchbegriffe der Live-Marktsuche werden von uns nicht in der Datenbank gespeichert und nicht ausgewertet; Ergebnisse werden lediglich serverseitig zwischengespeichert, um die Zahl externer Anfragen zu begrenzen.

Wir geben personenbezogene Daten nur an die folgenden Dienstleister weiter, die für uns als Auftragsverarbeiter tätig werden, sowie an Stellen, zu denen eine gesetzliche Verpflichtung besteht. Ein Verkauf von Daten findet nicht statt.

• Supabase (Datenbank, Authentifizierung und Speicher) — verarbeitet Konto-, Profil-, Merklisten-, Preiswecker-, Benachrichtigungs- und Einwilligungsdaten. Die primäre Datenbank wird in der Region Mitteleuropa, Frankfurt am Main (eu-central-1), betrieben. Der Vertrag zur Auftragsverarbeitung ist Bestandteil der geltenden Vertragsbedingungen von Supabase.
• Vercel (Hosting, Auslieferung und serverseitige Ausführung) — verarbeitet technische Zugriffsdaten einschließlich IP-Adresse. Die serverseitige Ausführung ist auf die Region Frankfurt am Main (fra1) eingestellt. Vercel ist ein Unternehmen mit Sitz in den USA; es gilt der Vertrag zur Auftragsverarbeitung von Vercel.
• Google Workspace (eingehende geschäftliche E-Mail) — verarbeitet Inhalte und Absenderdaten der E-Mails, die du an unsere Kontaktadressen sendest. Das Cloud Data Processing Addendum von Google wurde angenommen und die Geltung des europäischen Datenschutzrechts bestätigt.
• Oxylabs (UAB Oxylabs, Litauen) — technischer Dienstleister der Live-Marktsuche. Übermittelt werden ausschließlich der normalisierte Suchbegriff und die technischen Marktparameter (Land „Germany“, Sprache „de-DE“, Google-Domain „de“). Nicht übermittelt werden Konto- oder Profildaten, Cookies, deine IP-Adresse durch die Anwendung, Supabase-Kennungen oder Affiliate-Kennungen. Der Anbieter setzt zur Erbringung der Leistung eigene Infrastruktur und Unterauftragsverarbeiter ein; wir behaupten ausdrücklich nicht, dass die Verarbeitung ausschließlich innerhalb der EU stattfindet, und nennen keine Speicherdauer, die wir nicht belegen können.
• SerpApi, LLC (USA) ist als technischer Ersatzanbieter für die Live-Marktsuche hinterlegt, aber derzeit nicht aktiv: Solange Oxylabs die Marktsuche bedient, werden an SerpApi keine Suchanfragen übermittelt. Sollte der Anbieter gewechselt werden, aktualisieren wir diese Angabe vorher.

Produktbilder aus der Live-Marktsuche werden von unserem Server geladen und an deinen Browser ausgeliefert. Dein Browser stellt dabei keine Verbindung zu Google oder zum Suchanbieter her; deine IP-Adresse und dein Referrer werden nicht an diese Dienste übermittelt.

Nicht im Einsatz und daher ohne Datenverarbeitung: Web-Analyse, Werbe- oder Reichweitenmessung, Newsletter-Versand, Anmeldung über Google, sowie Affiliate-Netzwerke einschließlich CJ. Sobald sich daran etwas ändert, wird diese Erklärung vorher angepasst.

Die Kerninfrastruktur von Bestara ist auf die Europäische Union ausgerichtet: Die primäre Datenbank wird in Frankfurt am Main (eu-central-1) betrieben, und die serverseitige Ausführung der Website ist auf die Region Frankfurt (fra1) eingestellt. Gleichwohl sind Vercel und Google Unternehmen mit Sitz in den USA. Ein Zugriff aus einem Drittland – etwa durch Support, Administration oder eingesetzte Unterauftragsverarbeiter – lässt sich daher nicht ausschließen. Wir behaupten deshalb ausdrücklich nicht, dass personenbezogene Daten die EU unter keinen Umständen verlassen. Für solche Übermittlungen gelten die mit den Anbietern geschlossenen Verträge zur Auftragsverarbeitung einschließlich der Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO beziehungsweise, soweit einschlägig, ein Angemessenheitsbeschluss nach Art. 45 DSGVO.

Wir nennen bewusst keine erfundenen Fristen, sondern die tatsächlich geltenden Kriterien: Konto-, Profil-, Merklisten-, Preiswecker- und Benachrichtigungsdaten werden für die Dauer deines Kontos gespeichert und mit dessen Löschung entfernt. Nachweise über erteilte oder widerrufene Einwilligungen sind unveränderbar und werden zusammen mit dem Konto gelöscht. Technische Server-Protokolle werden nach der Protokollierungsdauer des Hosting-Dienstleisters entfernt; die IP-Adresse zur Begrenzung der Anfragehäufigkeit besteht nur kurzzeitig im Arbeitsspeicher und wird nicht gespeichert. E-Mails an unsere Kontaktadressen bewahren wir so lange auf, wie es zur Bearbeitung deines Anliegens erforderlich ist, und darüber hinaus nur, soweit gesetzliche Aufbewahrungspflichten bestehen.

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO). Soweit wir eine Verarbeitung auf ein berechtigtes Interesse stützen, hast du das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit Widerspruch einzulegen (Art. 21 DSGVO). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Angemeldete Nutzerinnen und Nutzer können im Bereich „Mein Konto“ ihre Daten als maschinenlesbare Datei herunterladen (Auskunft und Datenübertragbarkeit), ihre Benachrichtigungseinstellungen ändern und optionale Einwilligungen widerrufen sowie ihr Konto einschließlich der zugehörigen Daten endgültig löschen. Die Löschung erfordert eine erneute Eingabe des Passworts und wird unmittelbar ausgeführt.

Für alle übrigen Anliegen — insbesondere Berichtigung, Einschränkung und Widerspruch — wende dich an info@bestara.app. Wir bearbeiten Anfragen unverzüglich, spätestens innerhalb eines Monats nach Eingang.

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für die verantwortliche Stelle zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestr. 2–4, 40213 Düsseldorf (Postanschrift: Postfach 20 04 44, 40102 Düsseldorf), Telefon 0211 38424-0, E-Mail poststelle@ldi.nrw.de. Du kannst dich auch an die Aufsichtsbehörde deines gewöhnlichen Aufenthaltsorts oder deines Arbeitsplatzes wenden.

Es findet keine automatisierte Entscheidungsfindung einschließlich Profilbildung im Sinne des Art. 22 DSGVO statt. Die Reihenfolge von Angeboten richtet sich ausschließlich nach dem Endpreis und nicht nach personenbezogenen Merkmalen.

Die öffentlich zugänglichen Bereiche von Bestara – Stöbern, Suche und Preisvergleich – unterliegen keiner Altersbeschränkung; das gilt auch für Kategorien rund um Kinder, Spielzeug und Spiele. Für die Erstellung eines Kontos gilt nach unseren Nutzungsbedingungen ein Mindestalter von 16 Jahren. Das ist eine Produktentscheidung von Bestara und keine allgemeine gesetzliche Altersgrenze für das Aufrufen von Websites. Wir erheben kein Geburtsdatum, speichern keine Altersangabe und führen keine Identitäts- oder Altersprüfung durch.

Wir passen diese Erklärung an, wenn sich die tatsächliche Verarbeitung ändert — insbesondere bevor ein neuer Dienstleister, ein Affiliate-Netzwerk oder eine nicht notwendige Technologie zum Einsatz kommt.