Diese Erklärung beschreibt, welche personenbezogenen Daten beky verarbeitet, wenn du die Website beky.app oder die beky-App (iOS, Android) nutzt, wofür, auf welcher Rechtsgrundlage, an wen sie gehen und wie lange wir sie speichern.
Bekir Benli, beky
Frankfurter Landstraße 66a, 64291 Darmstadt, Deutschland
E-Mail: hello@beky.app
Datenschutzanfragen kannst du an diese Adresse richten. Einen Datenschutzbeauftragten haben wir derzeit nicht benannt.
Die Website wird über Cloudflare ausgeliefert (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA). Beim Aufruf verarbeitet Cloudflare technisch notwendige Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-Kennung (User-Agent) und Sicherheitsinformationen zur Abwehr von Angriffen. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren, funktionierenden Website (Art. 6 Abs. 1 lit. f DSGVO). Cloudflare ist unser Auftragsverarbeiter und unter dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO); zusätzlich gelten die EU-Standardvertragsklauseln.
Die Website setzt keine Cookies, nutzt keine Analyse- oder Werbedienste und lädt keine Schriftarten oder Skripte von Drittanbietern nach.
Für die Anmeldung mit Google oder Apple leitet beky.app technische Anmeldeseiten von Firebase Authentication weiter (siehe Abschnitt 4.1).
Wenn du über beky.app/kuendigen kündigst, verarbeiten wir deinen Namen, deine E-Mail-Adresse, die Art der Kündigung, einen eventuell angegebenen Grund und den Zeitpunkt des Eingangs. Wir ordnen die Kündigung deinem Konto zu, führen sie aus und schicken dir eine Bestätigung per E-Mail. Rechtsgrundlage ist die gesetzliche Pflicht aus § 312k BGB (Art. 6 Abs. 1 lit. c DSGVO) sowie die Vertragsabwicklung (Art. 6 Abs. 1 lit. b DSGVO). Wir speichern die Angaben als Nachweis drei Jahre ab Ende des Jahres der Kündigung (regelmäßige Verjährungsfrist, § 195 BGB).
Wenn du uns schreibst, verarbeiten wir deine Nachricht und deine Kontaktdaten, um sie zu beantworten (Art. 6 Abs. 1 lit. b oder f DSGVO). Wir löschen die Korrespondenz, wenn sie erledigt ist, außer wenn wir sie aus handels- oder steuerrechtlichen Gründen aufbewahren müssen.
Für ein Konto verarbeiten wir deine E-Mail-Adresse, deinen Namen bzw. Anzeigenamen, optional deine Telefonnummer und ein Profilbild sowie deine Spracheinstellung. Du kannst dich mit E-Mail und Passwort, per SMS-Code, mit Google („Sign in with Google“, Google Ireland Ltd.) oder mit Apple („Mit Apple anmelden“, Apple Distribution International Ltd., Irland) anmelden. Bei Google oder Apple erhalten wir von dort deinen Namen und deine E-Mail-Adresse; bei Apple kannst du eine weitergeleitete Adresse nutzen. Ohne Konto kannst du als Gast stöbern; dafür legen wir eine anonyme Sitzung an.
Die Anmeldung wird von Firebase Authentication abgewickelt (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Rechtsgrundlage: Vertrag über die Nutzung der Plattform (Art. 6 Abs. 1 lit. b DSGVO).
Auf iPhones kannst du die Anmeldung mit Face ID oder Touch ID absichern. Der biometrische Abgleich findet ausschließlich auf deinem Gerät statt; wir erhalten nur die Information, ob er erfolgreich war.
Wir speichern, was du in der App anlegst, und die Daten, die für eine Buchung nötig sind:
Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags und die Vermittlung deiner Mietverträge (Art. 6 Abs. 1 lit. b DSGVO). Gespeichert werden die Daten bei Google Firebase (Cloud Firestore, Cloud Storage, Cloud Functions; Google Ireland Limited) als unser Auftragsverarbeiter. Unsere Server-Funktionen laufen in Frankfurt am Main (Region europe-west3).
Zahlungen wickeln wir über Stripe ab (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irland). Deine Kartendaten gibst du direkt bei Stripe ein; wir erhalten sie nicht. Wir speichern Stripe-Kennungen (Kunden-, Zahlungs- und Erstattungsnummern), Beträge und den Zahlungsstatus. Stripe prüft Zahlungen automatisiert auf Betrug.
Gastgeber erhalten Auszahlungen über ein eigenes Stripe-Konto (Stripe Connect). Für dieses Konto erhebt Stripe die gesetzlich vorgeschriebenen Angaben, etwa Identität und Bankverbindung nach dem Geldwäschegesetz. Stripe ist dafür selbst verantwortlich; wir erhalten nur den Status des Kontos.
Rechtsgrundlagen: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), gesetzliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO) und unser berechtigtes Interesse an der Betrugsabwehr (Art. 6 Abs. 1 lit. f DSGVO). Stripe kann Daten an die Stripe, Inc. in den USA übermitteln; Stripe ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Datenschutzhinweise von Stripe: stripe.com/de/privacy.
Um Fahrzeuge (Autos, Motorräder, Wohnmobile, Roller, Fahrräder, Boote) zu mieten, musst du deine Identität bestätigen; Gastgeber anderer Inserate können das ebenfalls verlangen. Für Autos, Motorräder, Wohnmobile und führerscheinpflichtige Roller prüfen wir zusätzlich deinen Führerschein, weil ein Halter sein Fahrzeug nur Personen mit gültiger Fahrerlaubnis überlassen darf (§ 21 StVG). Die Prüfung führt Stripe Identity für uns durch:
Rechtsgrundlage ist deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a und Art. 6 Abs. 1 lit. a DSGVO), die du vor der Prüfung erteilst. Du kannst sie jederzeit für die Zukunft widerrufen, indem du uns schreibst. Ohne Prüfung kannst du beky weiter nutzen, aber keine Fahrzeuge und keine Inserate buchen, deren Gastgeber eine Prüfung verlangt. Stripe speichert die Prüfdaten nach seinen eigenen Fristen und als unser Auftragsverarbeiter; Übermittlungen in die USA erfolgen auf Grundlage des EU-U.S. Data Privacy Framework.
Buchungsbestätigungen, Stornierungen, Erstattungen und andere Mitteilungen zu deinem Konto schicken wir per E-Mail über Resend (Resend, Inc., San Francisco, USA). Dabei werden deine E-Mail-Adresse, dein Name und der Inhalt der Mitteilung verarbeitet. Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Push-Mitteilungen senden wir über Firebase Cloud Messaging (Google), wenn du sie in deinem Betriebssystem erlaubst. Dazu speichern wir eine Geräte-Kennung (Token). Du kannst Push-Mitteilungen jederzeit in den Systemeinstellungen abschalten.
Wenn du den Zugriff erlaubst, nutzt die App deinen Standort, um Inserate in deiner Nähe und Entfernungen anzuzeigen. Der Standort wird dafür auf deinem Gerät verwendet und nicht in deinem Profil gespeichert. Karten zeigen wir unter iOS mit Apple Maps, unter Android mit Google Maps (Google Ireland Limited) an; dabei erhalten Apple bzw. Google technische Daten wie deine IP-Adresse und den angezeigten Kartenausschnitt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Suche nach Inseraten) und deine Einwilligung über die Berechtigungsabfrage des Betriebssystems (§ 25 Abs. 1 TDDDG).
Auf Kamera und Fotomediathek greift die App nur zu, wenn du ein Foto für ein Inserat, dein Profil, eine Nachricht oder die Identitätsprüfung aufnimmst oder auswählst.
Mit deiner Einwilligung nutzen wir Firebase Analytics (Nutzungsstatistiken, z. B. aufgerufene Bildschirme und Geräteinformationen, verknüpft mit einer zufälligen App-Kennung) und Firebase Crashlytics (Absturzberichte mit Geräte- und Fehlerinformationen), beide von Google Ireland Limited. Beide sind ausgeschaltet, bis du beim ersten Start oder unter „Einstellungen → Datenschutz & Sicherheit“ zustimmst; dort kannst du die Einwilligung jederzeit widerrufen. Rechtsgrundlage: Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Google kann Daten in die USA übermitteln; Google ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Wir verwenden diese Daten nicht für Werbung.
Die App speichert Einstellungen wie Sprache, Währung und deine Datenschutz-Auswahl auf deinem Gerät. Das ist für die Funktion der App erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
Wenn du ein Inserat oder Profil meldest, speichern wir die Meldung und prüfen sie. Wenn wir Inhalte entfernen oder Konten einschränken, informieren wir die Betroffenen mit Begründung. Zur Abwehr von Missbrauch zählen wir außerdem, wie oft bestimmte Funktionen aufgerufen werden. Rechtsgrundlagen: Pflichten aus dem Digital Services Act (Art. 6 Abs. 1 lit. c DSGVO) und unser berechtigtes Interesse an einer sicheren Plattform (Art. 6 Abs. 1 lit. f DSGVO).
Als Plattformbetreiber sind wir nach dem Plattformen-Steuertransparenzgesetz (PStTG) verpflichtet, jedes Jahr bis zum 31. Januar bestimmte Angaben über Gastgeber an das Bundeszentralamt für Steuern zu melden. Das BZSt leitet die Angaben gegebenenfalls an die Steuerbehörden anderer EU-Staaten weiter.
Rechtsgrundlage ist die gesetzliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO i. V. m. dem PStTG). Wir bewahren diese Angaben zehn Jahre ab Ende des Meldezeitraums auf, wie es das PStTG vorschreibt.
Wir verkaufen keine Daten und verwenden sie nicht für Werbung durch Dritte.
beky trifft keine ausschließlich automatisierten Entscheidungen im Sinne von Art. 22 DSGVO. Stripe kann eine Zahlung im Rahmen der Betrugsabwehr automatisch ablehnen. In diesem Fall kannst du dich an uns wenden.
Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Schreib uns dazu an hello@beky.app.
Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage unseres berechtigten Interesses verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden, datenschutz.hessen.de.
Für ein Konto, Buchungen und Auszahlungen brauchen wir die jeweils als Pflichtangaben markierten Daten; ohne sie können wir den Vertrag nicht erfüllen. Gastgeber müssen uns die Angaben für die DAC7-Meldung mitteilen. Fehlen sie trotz zweimaliger Erinnerung, müssen wir nach dem PStTG Auszahlungen zurückhalten bzw. das Konto sperren.
beky richtet sich an Personen ab 18 Jahren.
Wir passen diese Erklärung an, wenn sich die App, die eingesetzten Dienste oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.
This policy explains what personal data beky processes when you use beky.app or the beky app (iOS, Android), why, on what legal basis, who receives it and how long we keep it.
Bekir Benli, beky, Frankfurter Landstraße 66a, 64291 Darmstadt, Germany · hello@beky.app. We have not appointed a data protection officer.
Hosting: beky.app is served by Cloudflare, Inc. (USA). Cloudflare processes your IP address, time, requested address, user agent and security signals to deliver the site and fend off attacks. Legal basis: legitimate interest, Art. 6(1)(f) GDPR. Cloudflare is our processor and is certified under the EU-U.S. Data Privacy Framework. The site sets no cookies and loads no third-party fonts, scripts or analytics.
Sign-in: beky.app forwards the technical sign-in pages of Firebase Authentication for Google and Apple sign-in.
Cancellation form: if you cancel at beky.app/kuendigen, we process your name, email address, the type of cancellation, any reason you give and the time it arrived, carry out the cancellation and email you a confirmation. Legal basis: § 312k German Civil Code (Art. 6(1)(c) GDPR) and the contract (Art. 6(1)(b)). We keep it as evidence for three years from the end of that year.
Email: when you write to us, we use your message and contact details to reply and delete them once the matter is closed, unless we have to keep them for tax or commercial-law reasons.
Account and sign-in. Your email address, name or display name, optional phone number and profile photo, and your language. You can sign in with email and password, an SMS code, Google or Apple; with Google or Apple we receive your name and email address. Guests can browse with an anonymous session. Sign-in is provided by Firebase Authentication (Google Ireland Limited). On iPhone you can protect sign-in with Face ID or Touch ID; the match happens only on your device. Legal basis: the contract, Art. 6(1)(b) GDPR.
Listings, bookings, messages, reviews. What you create in the app and what a booking needs: listing details, photos, prices, availability, category and map position (the full address is stored separately and visible only to you and our servers); booking dates, guests, prices, fees, status, cancellations, refunds, date changes and payouts; messages and photos between guest and host (visible only to them); public reviews with your display name; favourites, saved searches, notifications; external calendar links you add; redeemed codes, credit and beky Pro status; insurance documents uploaded for a booking. Stored with Google Firebase (Cloud Firestore, Cloud Storage, Cloud Functions) as our processor; our server functions run in Frankfurt (europe-west3). Legal basis: Art. 6(1)(b) GDPR.
Payments (Stripe). Stripe Payments Europe, Limited (Dublin, Ireland). You enter card details directly with Stripe; we only store Stripe IDs, amounts and payment status. Stripe screens payments for fraud automatically. Hosts are paid out through their own Stripe Connect account; Stripe collects the identity and bank details the law requires (anti-money-laundering rules) as an independent controller. Legal bases: Art. 6(1)(b), (c) and (f) GDPR. Stripe may transfer data to Stripe, Inc. (USA) under the EU-U.S. Data Privacy Framework.
ID and driving-licence checks (Stripe Identity). To rent vehicles (cars, motorcycles, RVs, scooters, bikes, boats) you must verify your identity, and hosts of other listings may require it too. For cars, motorcycles, RVs and scooters that need a licence, we also verify your driving licence, because German law only allows a vehicle to be handed to a licensed driver (§ 21 StVG). You photograph your document and take a selfie; Stripe compares them, which involves biometric data (Art. 9 GDPR). We only receive the result, the document type and, for licences, the expiry date. Legal basis: your explicit consent (Art. 9(2)(a) and Art. 6(1)(a) GDPR), which you can withdraw for the future at any time by emailing us. Without a check you can still use beky, but you can't book vehicles or listings whose host requires one.
Emails and push notifications. Booking, cancellation, refund and account emails are sent through Resend, Inc. (USA) under the EU Standard Contractual Clauses (Art. 46(2)(c) GDPR). Push notifications go through Firebase Cloud Messaging if you allow them in your system settings; we store a device token for this.
Location and maps. If you allow it, the app uses your location on your device to show nearby listings and distances; it isn't stored in your profile. Maps are shown with Apple Maps (iOS) or Google Maps (Android), which receive technical data such as your IP address and the map area.
Camera and photos are only accessed when you take or pick a photo.
Statistics and crash reports, only with consent. Firebase Analytics and Firebase Crashlytics (Google Ireland Limited) stay off until you agree on first launch or in Settings → Privacy & Security, where you can withdraw at any time. Legal basis: § 25(1) TDDDG, Art. 6(1)(a) GDPR. Google is certified under the EU-U.S. Data Privacy Framework. We don't use this data for advertising.
On-device storage of settings such as language, currency and your privacy choices is strictly necessary for the app (§ 25(2) no. 2 TDDDG).
Reports, moderation, security. We store and review reports of listings and profiles, give reasons when we remove content or restrict accounts, and count how often certain functions are used to prevent abuse. Legal bases: Digital Services Act duties (Art. 6(1)(c)) and our legitimate interest in a safe platform (Art. 6(1)(f)).
Under the German Platform Tax Transparency Act (PStTG) we report, by 31 January each year, hosts who rented out property (homes, commercial space, parking, storage) or means of transport through beky to the Federal Central Tax Office (BZSt), which may pass it on to other EU tax authorities. Rentals of other items such as equipment are not reported. Reported data: name, address, date of birth, tax ID, VAT ID and company registration number where applicable, the address of each property, the number of rentals, and income and fees per quarter. We tell you what we reported about you by 31 January. Legal basis: Art. 6(1)(c) GDPR with the PStTG; we keep this data for ten years.
Google Ireland Limited (Firebase), Stripe Payments Europe, Limited, Resend, Inc. and Cloudflare, Inc. as processors (Stripe partly as an independent controller); Apple and Google for sign-in, maps and app stores; other users (your public profile and listings; booking and contact details only to your booking partner); the BZSt (DAC7) and authorities where the law requires. We don't sell data or use it for third-party advertising.
beky makes no solely automated decisions within the meaning of Art. 22 GDPR. Stripe may automatically decline a payment to prevent fraud; contact us if that happens.
You have the right of access, rectification, erasure, restriction and data portability (Art. 15–18, 20 GDPR), and can withdraw consent at any time for the future (Art. 7(3)). Email hello@beky.app.
Right to object (Art. 21 GDPR): where we rely on legitimate interests (Art. 6(1)(f)), you can object at any time on grounds relating to your particular situation. We then stop unless we demonstrate compelling legitimate grounds or need the data for legal claims.
You can also complain to a supervisory authority (Art. 77 GDPR). Ours is the Hessian Commissioner for Data Protection and Freedom of Information, Gustav-Stresemann-Ring 1, 65189 Wiesbaden, Germany.
We need the data marked as required to provide an account, bookings and payouts. Hosts must give us the DAC7 details; if they're still missing after two reminders, the PStTG requires us to withhold payouts or block the account. beky is for people aged 18 and over. We update this policy when the app, our services or the law change; the version published here applies.