Datenschutzerklärung

Verantwortlich für die Datenverarbeitung auf dieser Website (Art. 4 Nr. 7 DSGVO) ist:

Tom Hoppen
Südwall 65, 41179 Mönchengladbach
E-Mail: tom.hoppen@icloud.com

Ein Datenschutzbeauftragter ist nicht benannt, weil die Voraussetzungen des § 38 BDSG derzeit nicht vorliegen. Bei Fragen zum Datenschutz wenden Sie sich bitte an die oben genannte E-Mail-Adresse.

• Wir verarbeiten nur Daten, die für Bewertung, Matching und Übergabe nötig sind (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO).
• Wir verkaufen keine Daten und zeigen keine Werbung.
• Wir setzen keine Analyse-, Werbe- oder Tracking-Cookies und keine Tracker von Dritten ein.
• Schriftarten werden von unserem eigenen Server ausgeliefert; Ihr Browser baut dafür keine Verbindung zu Google oder anderen Dritten auf.
• Anzeigen sind anonym. Name, Ort und Unterlagen eines Betriebs werden nur einem Nachfolger nach beidseitigem Interesse und akzeptierter Vertraulichkeitsvereinbarung offengelegt.

Beim Aufruf der Website verarbeitet unser Hosting-Anbieter technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Browser- und Betriebssystemangaben sowie die zuvor besuchte Seite (Referrer). Diese Daten sind nötig, um die Website auszuliefern und ihre Sicherheit zu gewährleisten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und stabilen Betrieb.

Hosting der Website: Vercel Inc. (USA), region Frankfurt am Main (fra1). Datenbank und Dateiablage: Supabase Inc. (USA), project region Frankfurt am Main (eu-central-1). Mit beiden Anbietern bestehen bzw. werden vor Inbetriebnahme Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Zu Übermittlungen in die USA siehe Abschnitt „Übermittlung in Drittländer“.

Zum Schutz vor missbräuchlichen Anmeldeversuchen, Massenregistrierungen und Spam zählen wir Versuche je IP-Adresse bzw. je Konto. Dafür speichern wir höchstens 15 Minuten einen mit einem geheimen Schlüssel erzeugten Prüfwert (keyed hash) der IP-Adresse bzw. E-Mail-Adresse samt Zähler, teils im Arbeitsspeicher, teils in unserer Datenbank; die IP-Adresse selbst wird dabei nicht gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz der Konten unserer Nutzer).

Wir speichern nur Informationen auf Ihrem Gerät, die unbedingt erforderlich sind, damit Sie die von Ihnen ausdrücklich gewünschten Funktionen nutzen können (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung ist dafür nicht erforderlich, deshalb zeigen wir kein Cookie-Banner. Analyse- oder Werbe-Cookies setzen wir nicht ein.

Die Daten im localStorage verlassen Ihr Gerät nicht, solange Sie sie nicht selbst in Ihrem Konto speichern.

Für ein Konto verarbeiten wir Name, E-Mail-Adresse, Passwort (nur als bcrypt-Hash, nie im Klartext), Rolle (Inhaber, Nachfolger, Partner) und bevorzugte Sprache. Wenn Sie die Zwei-Faktor-Anmeldung einschalten, speichern wir zusätzlich den geheimen Schlüssel Ihrer Authenticator-App (verschlüsselt) und Ihre Wiederherstellungscodes (nur als Hash). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag). Die Daten speichern wir, bis Sie Ihr Konto löschen.

Für die Bewertung verarbeiten wir Angaben zu Ihrem Betrieb: Name, Branche, Ort, Bundesland, Gründungsjahr, Mitarbeiterzahl, Umsatz, Inhabergewinn, Anlagevermögen, Kundenkonzentration, Inhaberabhängigkeit, Zeitplan und Prioritäten. Ohne Konto bleiben diese Angaben in Ihrem Browser. Speichern Sie den Report in Ihrem Konto, verarbeiten wir sie auf unseren Servern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Veröffentlichen Sie eine Anzeige, ist für alle Besucher nur sichtbar: Branche, Bundesland sowie Spannen für Mitarbeiterzahl, Jahre am Markt, Umsatz, Inhabergewinn und Wert. Genaue Zahlen sieht ein Nachfolger erst, wenn Sie beide sich kennenlernen möchten. Name, Ort und Ihr Name werden nicht angezeigt. Vor der Freischaltung prüfen wir jede Anzeige.

Für das Matching verarbeiten wir Angaben zu Beruf, Erfahrung, Abschlüssen, gesuchten Branchen und Regionen, Preisspanne, Zeitplan, Zusagen (z. B. Team behalten) sowie Eigenkapital und Finanzierungsbereitschaft. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Aus diesen Angaben berechnen wir automatisiert einen Match-Score (Profiling im Sinne von Art. 4 Nr. 4 DSGVO). Die Gewichte sind auf unserer Methodik-Seite veröffentlicht. Der Score ist ein Vorschlag; er entfaltet keine rechtliche Wirkung und beeinträchtigt Sie nicht in ähnlicher Weise erheblich. Ob ein Gespräch zustande kommt, entscheiden ausschließlich Menschen. Art. 22 DSGVO ist daher nicht einschlägig.

Inhaber eines gematchten Betriebs sehen Ihr Kurzprofil (Überschrift, Berufserfahrung, Größenordnung Ihres Eigenkapitals und die Score-Bestandteile), nicht aber Ihren Namen oder Ihre E-Mail-Adresse. Ihren Namen sehen sie erst, wenn Sie beide Interesse bekundet haben.

Wenn Sie Kontakt anfragen, sieht der Inhaber zusätzlich Ihre kurze Vorstellung (wer Sie sind, warum dieser Betrieb, Pläne mit dem Team, Finanzierung). Sagt ein Inhaber ab, sehen Sie den gewählten Grund. Diese Angaben speichern wir zum Match und löschen sie mit Ihrem Konto. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Inhaber können ihren letzten Abschluss bzw. ihre BWA und einen Nachweis der Inhaberschaft einreichen, Nachfolger eine Finanzierungsbestätigung bzw. einen Eigenkapitalnachweis und einen Qualifikationsnachweis. Für die Veröffentlichung eines Kurzprofils ist der Abschluss erforderlich. Das Dokument sieht nur Erbelo; wir prüfen, ob es zu Ihren Angaben passt, und löschen es unmittelbar nach der Entscheidung. Gespeichert bleiben nur Art der Prüfung, Ergebnis, Datum und ggf. ein kurzer Ablehnungsgrund; andere Nutzer sehen nur das Ergebnis als Hinweis („Zahlen geprüft“ usw.). Bitte schwärzen Sie Angaben, die für die Prüfung nicht nötig sind (z. B. Kontonummern, Angaben zu Dritten). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; das Ergebnis speichern wir bis zur Löschung Ihres Kontos.

Im Arbeitsbereich verarbeiten wir Ihre Nachrichten, hochgeladene Unterlagen (Dateiname, Größe, Inhalt), den Zeitpunkt der akzeptierten Vertraulichkeitsvereinbarung, den Fortschritt der Schritte und die Werte im Finanzierungsrechner. Empfänger ist ausschließlich die andere Partei dieses Deals; Unterlagen kann der Nachfolger erst nach Annahme der Vertraulichkeitsvereinbarung sehen und herunterladen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Jedes Herunterladen einer Unterlage protokollieren wir (Dokument, Seite des Deals, Zeitpunkt) und zeigen es beiden Seiten im Arbeitsbereich an; das Protokoll wird mit dem Deal gelöscht. Bitte laden Sie nur Unterlagen hoch, die für die Prüfung nötig sind, und schwärzen Sie private Angaben Dritter (z. B. Privatadressen von Mitarbeitenden).

Wenn Sie uns über das Kontaktformular oder per E-Mail schreiben, verarbeiten wir Name, E-Mail-Adresse, Thema und Nachricht sowie, wenn Sie einen Rückruf wünschen, Ihre Telefonnummer, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anfragen zu unserem Angebot) bzw. lit. f (sonstige Anfragen). Wir löschen die Nachricht, sobald die Anfrage erledigt ist und keine Aufbewahrungspflichten entgegenstehen, spätestens nach 12 Monaten.

Wenn Sie sich als Partner bewerben, speichern wir Organisation, Art, Region, Ansprechperson, E-Mail, optional Telefon, Website und Nachricht, um Ihre Anfrage zu bearbeiten und die Zusammenarbeit anzubahnen (Art. 6 Abs. 1 lit. b DSGVO). Abgelehnte Anfragen löschen wir nach 12 Monaten. Geben Sie bei der Registrierung einen Partnercode an (das Feld ist optional und wird über den Link eines Partners vorausgefüllt; in Ihrem Browser speichern wir dafür nichts), speichern wir an Ihrem Konto, über welchen Partner Sie gekommen sind; der Partner sieht nur die Anzahl der Anmeldungen, nicht Ihre Daten (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Abrechnung des Partnerprogramms).

Wir zählen, wie oft zentrale Schritte erreicht werden (z. B. „Bewertung abgeschlossen“, „Registrierung“), um das Angebot zu verbessern. Gespeichert werden nur der Name des Ereignisses, Zeitpunkt und unkritische Merkmale wie Markt oder Branche, ohne IP-Adresse, ohne Nutzer-ID und ohne Cookie. Ein Personenbezug wird nicht hergestellt. Es werden keine externen Analysedienste eingesetzt.

Inhaber können sich auf Klick einen Vorschlag für den anonymen Beschreibungstext ihres Kurzprofils von einem Sprachmodell des Anbieters Anthropic PBC, USA erstellen lassen. Ohne diesen Klick wird nichts übermittelt. Gesendet werden nur Auswahlangaben aus dem Fragebogen: Branche, Bundesland, Jahre am Markt als Spanne, Teamgröße als Spanne, Dauer der Einarbeitung und die gewählten Übergabe-Wünsche. Nie gesendet werden Firmenname, Ort, Umsatz, Gewinn, Namen, Kontaktdaten, Nachrichten oder Unterlagen. Der Anbieter nutzt die Daten nach seinen kommerziellen Bedingungen nicht zum Training. Der Vorschlag wird nur verwendet, wenn der Inhaber ihn übernimmt; jedes Kurzprofil wird vor der Veröffentlichung von uns geprüft. Bewertung, Übergabe-Bereitschaft und Matching werden nie mit KI berechnet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vom Nutzer angeforderte Funktion). Zur Übermittlung in die USA siehe den Abschnitt zu Drittländern. Zweitens können angemeldete Inhaber eine BWA, einen Jahresabschluss oder eine Gewinn- und Verlustrechnung (PDF oder Bild, max. 4 MB) hochladen, um Zahlen für den Bewertungs-Fragebogen vorschlagen zu lassen. Dafür holen wir vorher Ihre ausdrückliche Einwilligung ein (Art. 6 Abs. 1 lit. a DSGVO, jederzeit für die Zukunft widerrufbar, indem Sie die Funktion nicht mehr nutzen). Die Datei wird einmalig an den Anbieter gesendet und von Erbelo nicht gespeichert; zurück kommen nur die Zahlen, die Sie prüfen und selbst übernehmen. Enthält das Dokument Angaben zu Dritten (z. B. Gehälter), schwärzen Sie diese bitte vorher.

• Die jeweils andere Partei eines Matches bzw. Deals, im oben beschriebenen Umfang.
• Auftragsverarbeiter für Hosting, Datenbank, Dateiablage und optional KI (siehe oben), weisungsgebunden nach Art. 28 DSGVO.
• Unsere Administratoren, nur soweit es für Betrieb, Prüfung von Anzeigen und Fehlerbehebung erforderlich ist.
• Behörden nur, wenn wir gesetzlich dazu verpflichtet sind.

Unsere Dienstleister haben ihren Sitz teilweise in den USA. Daten werden, soweit möglich, in der EU (Frankfurt am Main) gespeichert. Soweit Daten in die USA übermittelt werden oder ein Zugriff von dort möglich ist, erfolgt dies auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), sofern der Anbieter zertifiziert ist, und im Übrigen auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Wir speichern personenbezogene Daten, solange Ihr Konto besteht. Löschen Sie Ihr Konto, entfernen wir sofort Konto, Betrieb bzw. Profil, Matches, Deals, Nachrichten und hochgeladene Dateien. Nutzungsstatistiken enthalten keinen Personenbezug. Aus Sicherungskopien des Datenbankanbieters verschwinden die Daten mit Ablauf des jeweiligen Sicherungszyklus. Gesetzliche Aufbewahrungspflichten (z. B. für Rechnungen nach § 147 AO, § 257 HGB) bleiben unberührt.

Sie haben das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) – selbst im Dashboard unter „Mein Konto löschen“
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) – selbst im Dashboard unter „Meine Daten herunterladen“ (JSON-Datei)

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie dem jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen.

Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig für uns ist: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) (https://www.ldi.nrw.de).

Sie sind weder gesetzlich noch vertraglich verpflichtet, uns Daten bereitzustellen. Ohne E-Mail-Adresse und Passwort können wir jedoch kein Konto anlegen, und ohne Angaben zum Betrieb bzw. Profil keine Bewertung und kein Matching anbieten.

Wir schützen Ihre Daten durch technische und organisatorische Maßnahmen nach Art. 32 DSGVO, unter anderem: durchgängig verschlüsselte Verbindungen (TLS, HSTS), Passwörter nur als bcrypt-Hash, signierte HttpOnly-Sitzungscookies, strenge Zugriffsprüfung bei jedem Deal und jedem Download, Begrenzung von Anmeldeversuchen, Prüfung hochgeladener Dateien, eine restriktive Content-Security-Policy und keine Skripte von Dritten. Details auf unserer Seite „Datenschutz & Sicherheit“.

Wir passen diese Datenschutzerklärung an, wenn sich unser Angebot oder die Rechtslage ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung. Maßgeblich ist die deutsche Fassung.