Datenschutzerklärung

Stand: 20. 10 2026

1. Überblick

Repalune ist eine Software für Reparaturbetriebe, die im Browser genutzt wird. Diese Datenschutzerklärung informiert Sie nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten wir verarbeiten, wenn Sie

• unsere Website besuchen,
• als Inhaberin, Inhaber oder Mitarbeitende eines Reparaturbetriebs ein Repalune-Konto nutzen oder
• als Kundin oder Kunde eines Reparaturbetriebs die Statusseite, die Online-Terminbuchung oder die Online-Reparaturannahme nutzen oder E-Mails zu Ihrem Reparaturauftrag erhalten.

Wir setzen keine Analyse-, Werbe- oder Tracking-Werkzeuge ein, binden keine Schriftarten, Skripte oder sonstigen Inhalte von Drittanbietern ein und verkaufen keine Daten. Alle Server, Datenbanken, Dateien und Sicherungskopien befinden sich in einem Rechenzentrum in Amsterdam (Niederlande, EU).

2. Verantwortlicher

Ein Datenschutzbeauftragter ist nicht benannt, da die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG nicht vorliegen.

3. Unsere Rolle: Verantwortlicher oder Auftragsverarbeiter

In eigener Verantwortung verarbeiten wir Daten für den Betrieb der Website, für Registrierung und Anmeldung, für die Kommunikation mit uns und für die Sicherheit unserer Plattform.

Im Auftrag des jeweiligen Reparaturbetriebs verarbeiten wir die Daten, die ein Betrieb in Repalune über seine Kundinnen, Kunden und Aufträge erfasst, etwa Name und Kontaktdaten, Geräte mit Seriennummer oder IMEI, Reparaturaufträge und Preise, Fotos, Nachrichten und Garantieurkunden. Verantwortlicher für diese Daten ist der Reparaturbetrieb. Wir verarbeiten sie nur nach seinen Weisungen auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO).

Wenn Sie Kundin oder Kunde eines Reparaturbetriebs sind, wenden Sie sich mit Fragen und Anträgen zu Ihren Auftragsdaten bitte direkt an den Betrieb. Erreicht uns Ihre Anfrage, leiten wir sie unverzüglich an den Betrieb weiter. Abschnitt 8 beschreibt zu Ihrer Information, wie die Vorgänge technisch ablaufen.

4. Besuch der Website und Server-Protokolle

Beim Aufruf einer Seite übermittelt Ihr Browser technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse sowie Browsertyp und Betriebssystem. Wir verarbeiten diese Daten, um die Seite auszuliefern, den Betrieb stabil und sicher zu halten und Angriffe abzuwehren.

• Unsere Anwendung speichert IP-Adressen weder in der Datenbank noch in ihren Protokollen.
• Zur Abwehr von Missbrauch, etwa massenhafter Anmelde- oder PIN-Rateversuche, führen wir je IP-Adresse einen Zähler. Er liegt höchstens 60 Sekunden in einem Zwischenspeicher und wird dann automatisch gelöscht.
• Unser Hosting-Anbieter Railway (Abschnitt 10) kann Zugriffe in seinen Infrastrukturprotokollen mit IP-Adresse, Zeitpunkt, Adresse und Statuscode erfassen. Diese Protokolle werden für einen begrenzten Zeitraum zur Fehleranalyse und Sicherheit aufbewahrt und anschließend gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine sichere und stabile Bereitstellung.

5. Cookies und Speicherung im Browser

Wir verwenden ausschließlich Cookies und Browser-Speicher, die für den von Ihnen gewünschten Dienst unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung ist dafür nicht erforderlich, deshalb zeigen wir kein Cookie-Banner. Cookies von Drittanbietern setzen wir nicht ein.

Die anschließende Verarbeitung stützen wir auf Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Dienstes) und Art. 6 Abs. 1 lit. f DSGVO (Sicherheit). Sie können diese Daten jederzeit in Ihren Browsereinstellungen löschen. Sie müssen sich danach neu anmelden oder die PIN erneut eingeben.

6. Registrierung, Nutzerkonto und Mitarbeiterkonten

Registrierung

Eine Registrierung ist derzeit nur auf Einladung möglich. Wir verarbeiten Ihre E-Mail-Adresse, Ihren Namen, Ihr Passwort sowie Name und Kurzadresse des Betriebs. Das Passwort speichern wir nur als nicht umkehrbaren Hash (Argon2id). Zur Bestätigung senden wir einen sechsstelligen Code per E-Mail. Er ist 15 Minuten gültig und wird nach spätestens einem Tag gelöscht.

Mitarbeiterkonten

Inhaberinnen und Inhaber können Mitarbeitende per E-Mail einladen. Wir verarbeiten dann E-Mail-Adresse, Name, Rolle und Filialzuordnung.

Anmeldung

Zu jeder Anmeldung speichern wir eine zufällige Sitzungskennung sowie den Zeitpunkt der Erstellung und der letzten Nutzung. IP-Adressen oder Gerätedaten speichern wir dazu nicht. Eine Sitzung ist höchstens 7 Tage gültig und wird bei der Abmeldung gelöscht. Ein Link zum Zurücksetzen des Passworts ist eine Stunde gültig.

Protokoll

Aus Sicherheitsgründen und zur Nachvollziehbarkeit protokollieren wir wesentliche Vorgänge mit Nutzerkennung und Zeitpunkt, zum Beispiel Anmeldungen, Änderungen an Mitarbeitern und Einstellungen sowie Exporte und Löschungen.

Kontolöschung und Kündigung

Sie können die Löschung Ihres Kontos unter Konto → Konto löschen beantragen. Die Bestätigung zeigt, welche Betriebe geschlossen werden und welche mit anderen Inhaberinnen oder Inhabern weitergeführt werden. Abonnements zu schließender Betriebe werden gekündigt. Ihr Konto bleibt bis zur bestätigten Beendigung dieser Abonnements bestehen; bestehender Zugang bleibt während einer bereits bezahlten Laufzeit erhalten. Offene Rechnungen bleiben zu bezahlen. Laden Sie benötigte Geschäftsunterlagen vor der Bestätigung herunter.

Nach Abschluss entfernen wir Ihre Zugangsdaten und Ihr Kontoprofil. Geschäftsunterlagen, etwa Rechnungen, Reparaturverläufe und zugehörige Protokolle, werden dadurch nicht sofort gelöscht, sondern zur Prüfung der erforderlichen Aufbewahrung und der weiteren Löschung aufbewahrt. Für Kopien in Sicherungen gelten die in Abschnitt 10 genannten Fristen. Sie können sich mit Löschanfragen weiterhin an die in Abschnitt 2 genannte E-Mail-Adresse wenden.

Rechtsgrundlagen

• Für Inhaberinnen und Inhaber: Art. 6 Abs. 1 lit. b DSGVO (Vertrag).
• Für Mitarbeitende: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse des Betriebs und unser eigenes liegt in einem sicheren, personenbezogenen Zugang.
• Für das Protokoll: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Aufklärung von Missbrauch).

Speicherdauer

• Kontodaten speichern wir, solange das Konto besteht. Nach Vertragsende oder auf Ihren Wunsch löschen wir sie, soweit keine gesetzliche Aufbewahrungspflicht besteht.
• Protokolleinträge speichern wir, solange sie zur Aufklärung von Sicherheitsvorfällen und zum Nachweis einer ordnungsgemäßen Verarbeitung erforderlich sind.

7. Kontakt mit uns

Wenn Sie uns per E-Mail schreiben, verarbeiten wir Ihre Adresse und den Inhalt Ihrer Nachricht, um Ihr Anliegen zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage einen Vertrag betrifft, und sonst Art. 6 Abs. 1 lit. f DSGVO. Wir löschen die Nachricht, sobald Ihr Anliegen erledigt ist. Das gilt nicht, soweit sie als Geschäftsbrief aufbewahrt werden muss (6 Jahre, § 147 AO, § 257 HGB).

8. Informationen für Kundinnen und Kunden von Reparaturbetrieben

Verantwortlich für Ihre Auftragsdaten ist der Reparaturbetrieb, dem Sie Ihr Gerät übergeben oder dem Sie eine Anfrage gesendet haben. Seinen Namen und seine Kontaktdaten finden Sie auf Ihrer Annahmebestätigung und auf der Statusseite. Wie lange Ihre Daten gespeichert werden, entscheidet der Betrieb.

Statusseite

• Sie öffnen die Statusseite über einen QR-Code oder Link und eine sechsstellige PIN.
• Angezeigt werden Auftragsnummer, Gerätehersteller und Modell, Problembeschreibung, Bearbeitungsstand, Nachrichten, vom Betrieb freigegebene Fotos und vorgeschlagene Reparaturen mit Preisen.
• Nicht angezeigt werden Ihr Name, Ihre E-Mail-Adresse, Ihre Telefonnummer sowie Seriennummer und IMEI Ihres Geräts.
• PIN und Link speichern wir nur als Hash. Nach mehreren falschen PIN-Eingaben wird der Zugang vorübergehend gesperrt.
• 30 Tage nach Abschluss des Auftrags wird der Link deaktiviert.
• Nachrichten, die Sie über die Statusseite senden, und Ihre Entscheidungen zu vorgeschlagenen Reparaturen werden beim Auftrag gespeichert.

Online-Terminbuchung und Online-Reparaturannahme

Ihre Angaben übermitteln wir an den Betrieb: Name, E-Mail-Adresse und Telefonnummer, Gerätedaten einschließlich Seriennummer oder IMEI, Problembeschreibung und Hinweise. Ein Reparaturauftrag entsteht erst, wenn der Betrieb Ihre Anfrage annimmt. Sie können die Anfrage auf demselben Gerät zurückziehen.

E-Mails zu Ihrem Auftrag

Im Auftrag des Betriebs versenden wir Auftragsbestätigungen, Rückfragen zu Reparaturfreigaben, Abholhinweise und Garantieurkunden. Als Absender erscheint der Name des Betriebs, und Antworten gehen direkt an den Betrieb. Die E-Mails enthalten keine Öffnungs- oder Klickverfolgung. Für den Versand nutzen wir Mailgun (Abschnitt 9).

Fotos

Der Betrieb kann Fotos Ihres Geräts hinterlegen. Beim Hochladen über Repalune werden eingebettete Metadaten wie der GPS-Standort entfernt.

Missbrauchsschutz

Die kurzzeitige Verarbeitung Ihrer IP-Adresse zur Begrenzung von Zugriffsversuchen (Abschnitt 4) nehmen wir in eigener Verantwortung vor, um unsere Plattform zu schützen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

9. E-Mail-Versand: Mailgun

Transaktionale E-Mails, etwa Bestätigungscodes, Einladungen und Auftrags-E-Mails, versenden wir über Mailgun Technologies, Inc., USA, ein Unternehmen der Sinch-Gruppe.

• Wir nutzen die EU-Region von Mailgun. Die Nachrichten werden in Rechenzentren in der EU verarbeitet.
• Übermittelt werden Empfängeradresse, Absender, Betreff, Inhalt und technische Versanddaten.
• Öffnungs- und Klickverfolgung haben wir deaktiviert.
• Mailgun ist unter dem EU-US Data Privacy Framework zertifiziert. Etwaige Zugriffe aus den USA stützen sich daher auf den Angemessenheitsbeschluss nach Art. 45 DSGVO und ergänzend auf die Standardvertragsklauseln im Auftragsverarbeitungsvertrag.

10. Hosting: Railway

Website, Anwendung, Datenbank, Dateien und Sicherungskopien betreiben wir bei der Railway Corporation, USA, auf Grundlage eines Auftragsverarbeitungsvertrags (railway.com/legal/dpa).

• Sämtliche Dienste und Speicher liegen in der Railway-Region Amsterdam (Niederlande, EU).
• Railway kann zu Betriebs- und Supportzwecken aus den USA auf die Systeme zugreifen. Solche Zugriffe sind durch EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO abgesichert.

Sicherungskopien

Wir erstellen täglich eine verschlüsselte Sicherungskopie der Datenbank in einem getrennten Speicher derselben EU-Region. Tägliche Kopien bewahren wir 35 Tage auf, monatliche Kopien 12 Monate. Gelöschte Daten können deshalb bis zu 12 Monate in Sicherungskopien verbleiben. Auf die Kopien haben nur wir Zugriff, und wir nutzen sie ausschließlich zur Wiederherstellung. Nach einer Wiederherstellung setzen wir bereits erfolgte Löschungen erneut um.

11. Empfänger und Übermittlung in Drittländer

Personenbezogene Daten erhalten nur die in den Abschnitten 9 und 10 genannten Dienstleister sowie Behörden, soweit wir gesetzlich dazu verpflichtet sind. Innerhalb eines Betriebs sehen Mitarbeitende nur die Daten, die ihre Rolle und Filiale erlauben. Wir geben keine Daten zu Werbezwecken weiter.

Alle Daten speichern wir in der EU. Weil einzelne Dienstleister ihren Sitz in den USA haben oder zu einem US-Konzern gehören, sind Zugriffe aus den USA möglich. Sie erfolgen nur mit den dort genannten Garantien. Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage.

12. Speicherdauer im Überblick

13. Datensicherheit

Wir schützen Ihre Daten durch technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere:

• durchgängige Transportverschlüsselung (TLS),
• Passwörter, PINs und Zugangslinks nur als Hash gespeichert,
• eine eigene, getrennte Datenbankumgebung je Betrieb,
• rollen- und filialbasierte Berechtigungen, die serverseitig geprüft werden,
• verschlüsselte Sicherungskopien, deren Schlüssel getrennt vom Hosting verwahrt wird.

14. Ihre Rechte

Für Ihr Repalune-Nutzerkonto können Sie die Kontolöschung mit Kündigung betroffener Abonnementsselbst beantragen. Der Ablauf und die gesonderte Prüfung aufzubewahrender Geschäftsunterlagen sind in Abschnitt 6 beschrieben. Anfragen per E-Mail an die in Abschnitt 2 genannte Adresse bleiben weiterhin möglich.

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Schreiben Sie dazu an die in Abschnitt 2 genannte Adresse. Betrifft Ihr Anliegen Auftragsdaten eines Reparaturbetriebs, wenden Sie sich bitte an den Betrieb (Abschnitt 3).

Widerspruchsrecht (Art. 21 DSGVO). Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Beschwerderecht (Art. 77 DSGVO). Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist:

15. Weitere Hinweise

• Für die Nutzung von Repalune müssen Sie die als erforderlich gekennzeichneten Angaben machen. Ohne sie können wir kein Konto einrichten und keinen Vertrag schließen.
• Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.
• Wenn sich unsere Verarbeitungen ändern oder wir neue Funktionen oder Dienstleister einführen, passen wir diese Datenschutzerklärung an. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.