Diese Erklärung gilt für offrano.com und alle Sprachfassungen. Sie ist in drei Teile gegliedert:

• Teil A für alle, die über Offrano eine Anfrage stellen („Anfragende“),
• Teil B für Fachbetriebe, die Anfragen kaufen („Käufer“),
• Teil C für alle Besucher der Website.

Die Abschnitte D bis I gelten für alle.

1. Verantwortlicher

XARC Solutions SHPK, vertreten durch den Administrator Xhonatan Çopani Rruga Ali Demi, Ndërtesa P.263, Hyrja 1, Ap. 1, 1000 Tiranë, Albanien E-Mail: contact@offrano.com

Offrano ist eine Marke der XARC Solutions SHPK („wir“).

2. So funktioniert Offrano — in fünf Sätzen

Sie beschreiben uns, welche Arbeit Sie wo erledigt haben möchten. Wir prüfen Ihre Telefonnummer per SMS und Ihre E-Mail-Adresse per Bestätigungslink. Danach bieten wir die Anfrage Fachbetrieben an — zunächst nur mit Postleitzahl, Ort und Ihren Angaben zur Arbeit, ohne Name, Straße, Hausnummer, Telefonnummer und E-Mail-Adresse. Genau ein Betrieb kann die Anfrage kaufen; er bezahlt uns dafür. Bevor dieser Betrieb Ihre Kontaktdaten sieht, schicken wir Ihnen per E-Mail seinen Namen, seine Anschrift und seine Telefonnummer.

Teil A — Anfragende

A1. Welche Daten wir verarbeiten

• Kontaktdaten: Vorname, Nachname, E-Mail-Adresse, Telefonnummer, Straße und Hausnummer, Postleitzahl und Ort, bei Firmen der Firmenname.
• Angaben zur Anfrage: gewähltes Gewerk und gewünschte Leistung, Land, die Antworten im Anfrageformular (zum Beispiel Wohnfläche oder ob Sie Eigentümer sind) und gegebenenfalls ein freier Text.
• Nachweis Ihrer Einwilligung: Version des Einwilligungstextes, dass Sie das Häkchen zur Einwilligung gesetzt haben, Zeitpunkte der SMS-Prüfung und der E-Mail-Bestätigung, die Seite, auf der Sie die Anfrage gestellt haben, Ihre IP-Adresse beim Absenden, an welchen Betrieb die Anfrage abgegeben wurde, wann wir Ihnen dessen Namen mitgeteilt haben und ob Sie widerrufen haben.
• Herkunft der Anfrage: die Seite, von der Sie kamen (Referrer), und Kampagnenkennungen im Link (UTM-Parameter), soweit vorhanden.
• Prüfwerte: aus E-Mail-Adresse und Telefonnummer berechnete, nicht umkehrbare Prüfwerte (HMAC), mit denen wir doppelte Anfragen und Missbrauch erkennen, ohne die Adresse im Klartext durchsuchen zu müssen.

A2. Zwecke und Rechtsgrundlagen

A3. SMS-Prüfung und E-Mail-Bestätigung

Nach dem Absenden erhalten Sie einen Code per SMS an die angegebene Nummer. Erst wenn Sie ihn eingeben, gilt die Nummer als geprüft. Danach senden wir Ihnen eine E-Mail mit einem Bestätigungslink (Double-Opt-in). Eine Anfrage, deren Nummer und E-Mail-Adresse nicht bestätigt sind, wird keinem Betrieb angeboten. So stellen wir sicher, dass niemand eine Anfrage mit Ihren Daten stellen kann, ohne Zugriff auf Ihr Telefon und Ihr Postfach zu haben.

A4. Weitergabe an einen Fachbetrieb

Wer die Anfrage sieht, bevor sie verkauft ist: Registrierte Käufer sehen im Shop nur Gewerk, Land, die vollständige Postleitzahl und den Ort, die als Vorschau freigegebenen Antworten des Formulars, das Alter der Anfrage und den Preis. Name, Straße, Hausnummer, Telefonnummer und E-Mail-Adresse sind vor dem Kauf nie sichtbar.

Wer die Anfrage bekommt: genau ein Fachbetrieb, der für das gewählte Gewerk in Ihrer Region tätig ist und die Anfrage kauft. Der Betrieb bezahlt uns für die Anfrage. Danach wird sie niemandem mehr angeboten.

Was der Betrieb bekommt: Name, E-Mail-Adresse, Telefonnummer, Anschrift und Ihre Angaben zur Anfrage. Er darf Sie zu dieser Anfrage anrufen und per SMS oder E-Mail kontaktieren.

Was Sie vorher bekommen: Sobald ein Betrieb die Anfrage gekauft hat, schicken wir Ihnen automatisch eine E-Mail mit seinem Namen, seiner Anschrift und seiner Telefonnummer. Erst danach werden ihm Ihre Kontaktdaten angezeigt. Die E-Mail enthält einen Link, mit dem Sie Ihre Einwilligung widerrufen können.

Der Betrieb ist eigener Verantwortlicher. Ab der Weitergabe verarbeitet der Betrieb Ihre Daten in eigener Verantwortung und nach seiner eigenen Datenschutzerklärung. Er ist vertraglich verpflichtet, Ihre Daten nur zur Beantwortung Ihrer Anfrage zu nutzen, sie nicht weiterzugeben, Sie beim ersten Kontakt über die Herkunft Ihrer Daten zu informieren, Sie nicht öfter als fünfmal innerhalb von 14 Tagen zu kontaktieren, einen Widerruf binnen 48 Stunden umzusetzen und Ihre Daten zu löschen, wenn innerhalb von sechs Monaten kein Auftrag zustande kommt.

Betriebe mit Sitz außerhalb der EU/des EWR: Offrano ist in mehreren europäischen Ländern außerhalb der EU tätig. Hat der Betrieb seinen Sitz in einem Land, für das weder die EU-Kommission noch — für Anfragen aus dem Vereinigten Königreich oder der Schweiz — die dortige Stelle ein angemessenes Datenschutzniveau festgestellt hat, stützt sich die Weitergabe auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), für Anfragen aus dem Vereinigten Königreich zusammen mit dem UK-Nachtrag (International Data Transfer Addendum); beides ist Bestandteil unseres Vertrags mit dem Betrieb. Das Sitzland des Betriebs steht in der E-Mail, die Sie nach dem Kauf erhalten. Eine Kopie der Klauseln erhalten Sie auf Anfrage.

A5. Widerruf Ihrer Einwilligung

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — über den Link in jeder E-Mail von uns oder formlos an contact@offrano.com.

• Vor dem Verkauf: Die Anfrage verschwindet sofort aus dem Shop, und Ihre Kontaktdaten werden gelöscht.
• Nach dem Verkauf: Wir leiten Ihren Widerruf unverzüglich an den Betrieb weiter. Er muss ihn binnen 48 Stunden umsetzen. Haben Sie mit dem Betrieb inzwischen selbst einen Vertrag geschlossen, richtet sich die weitere Verarbeitung nach diesem Vertrag.

Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Den Nachweis, dass und wann Sie eingewilligt und widerrufen haben, bewahren wir weiter auf (A6).

A6. Speicherdauer

Beim Betrieb gelten dessen eigene Fristen; vertraglich höchstens sechs Monate ohne Auftrag (A4).

A7. Müssen Sie Daten angeben?

Die Anfrage ist freiwillig. Ohne Name, E-Mail-Adresse, Telefonnummer und Ort können wir sie aber nicht prüfen und keinem Betrieb geben. Ohne das Häkchen zur Einwilligung wird die Anfrage nicht angenommen.

Teil B — Käufer (Fachbetriebe)

B1. Welche Daten wir verarbeiten

• Konto: Name und E-Mail-Adresse der Ansprechperson, Anmeldezeitpunkte und IP-Adressen der Anmeldungen. Sie melden sich ohne Passwort an: Wir senden Ihnen einen Einmalcode an Ihre E-Mail-Adresse; der Code ist nur kurz gültig und wird danach gelöscht.
• Unternehmen: Firma, Rechtsform, Land, Anschrift, Telefonnummer, Umsatzsteuer-Identifikationsnummer oder Registerauszug, gebuchte Gewerke und Gebiete, die zugesicherte Berufs- beziehungsweise Gewerbeerlaubnis.
• Geschäftsvorgänge: gekaufte Anfragen, Zahlungen, Rechnungen, Erstattungen, Reklamationen samt Belegen (zum Beispiel Anrufnachweise), Meldungen über Widerrufe und Datenpannen.

B2. Zwecke und Rechtsgrundlagen

• Konto führen, Anfragen verkaufen, abrechnen, Reklamationen bearbeiten: Art. 6 Abs. 1 lit. b DSGVO.
• Prüfung, ob Sie Unternehmer sind (Abfrage Ihrer Umsatzsteuer-Identifikationsnummer im MIAS-/VIES-System der EU-Kommission oder Prüfung eines Registerauszugs): Art. 6 Abs. 1 lit. b und lit. f DSGVO (nur Unternehmen dürfen kaufen; Schutz der Anfragenden).
• Mitteilung Ihres Firmennamens, Ihrer Anschrift und Telefonnummer an den Anfragenden, dessen Anfrage Sie kaufen: Art. 6 Abs. 1 lit. b DSGVO (Bestandteil des Käufervertrags) und lit. f DSGVO (der Anfragende muss wissen, wer seine Daten erhält). Handeln Sie als Einzelunternehmer, sind das auch Ihre persönlichen Daten.
• Rechnungen und Buchungsbelege aufbewahren: Art. 6 Abs. 1 lit. c DSGVO.
• Missbrauch und Weiterverkauf erkennen, Ansprüche durchsetzen: Art. 6 Abs. 1 lit. f DSGVO.

B3. Zahlung

Jeden Kauf bezahlen Sie einzeln über den Zahlungsdienstleister Stripe (Karte, Apple Pay, Google Pay). Dafür legt Stripe für Ihr Unternehmen einen Kundendatensatz an. Ihre Karten- und Zahlungsdaten geben Sie ausschließlich bei Stripe ein. Auf Wunsch speichert Stripe Ihr Zahlungsmittel für weitere Käufe; wir erhalten davon nur Angaben zur Anzeige im Konto (etwa Kartenart und letzte vier Ziffern), nie die vollständigen Kartendaten. Sie können das gespeicherte Zahlungsmittel jederzeit im Konto entfernen. Von Stripe erhalten wir die Bestätigung, ob gezahlt wurde, und die für die Zuordnung nötigen Angaben (Betrag, Kennung der Zahlung, E-Mail-Adresse). Erstattungen nach einer Reklamation laufen ebenfalls über Stripe auf das verwendete Zahlungsmittel. Stripe verarbeitet die Daten auch zur Betrugsvorbeugung in eigener Verantwortung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Näheres: stripe.com/privacy.

B4. Speicherdauer

Teil C — Alle Besucher

C1. Bereitstellung der Website

Beim Aufruf verarbeiten wir die technisch nötigen Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Referrer, Browser und Betriebssystem. Das ist nötig, um die Seite auszuliefern und vor Angriffen zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Die Website wird über das Netzwerk von Cloudflare ausgeliefert; Cloudflare verarbeitet dabei IP-Adressen zur Abwehr von Angriffen und zur Beschleunigung.

C2. Schutz der Formulare (Cloudflare Turnstile)

Das Anfrageformular und die Anmeldung für Käufer sind durch Cloudflare Turnstile geschützt. Turnstile prüft, ob die Eingabe von einem Menschen stammt, und verarbeitet dazu IP-Adresse, Angaben zu Browser und Gerät sowie Merkmale des Nutzungsverhaltens auf der Seite. Turnstile dient nicht der Werbung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor automatisiertem Missbrauch).

C3. Cookies und Google Analytics

Wir setzen nur technisch notwendige Cookies ein, und Google Analytics 4 ausschließlich nach Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; in Deutschland § 25 Abs. 1 TDDDG). Bis Sie zustimmen, ist der Google-Tag gesperrt. Einzelheiten stehen in unseren Cookie-Hinweisen. Ihre Wahl können Sie jederzeit über „Cookie-Einstellungen“ am Ende jeder Seite ändern.

C4. Kontakt per E-Mail

Schreiben Sie uns, verarbeiten wir Ihre Angaben zur Bearbeitung Ihres Anliegens (Art. 6 Abs. 1 lit. b oder lit. f DSGVO) und löschen sie, wenn das Anliegen erledigt ist und keine Aufbewahrungspflicht besteht.

D. Empfänger und Dienstleister

Wir setzen folgende Dienstleister ein. Sie verarbeiten Daten in unserem Auftrag und nach unseren Weisungen (Art. 28 DSGVO), soweit nicht anders angegeben.

Weitere Empfänger: der Fachbetrieb, der Ihre Anfrage kauft (A4), und — beim Kauf — der Anfragende, der Name, Anschrift und Telefonnummer des Käufers erhält (B2). Behörden erhalten Daten nur, wenn ein Gesetz uns dazu verpflichtet.

E. Unser Sitz in Albanien

Wir haben unseren Sitz in Albanien und keine Niederlassung in der EU oder im Vereinigten Königreich. Weil wir Personen in der EU Leistungen anbieten, gilt für uns die DSGVO (Art. 3 Abs. 2 DSGVO), für Anfragen aus dem Vereinigten Königreich die UK GDPR und der Data Protection Act 2018, für Anfragen aus der Schweiz das Datenschutzgesetz (DSG). Daneben gilt das albanische Datenschutzgesetz Nr. 124/2024, das an die DSGVO angeglichen ist.

Für Albanien gibt es keinen Angemessenheitsbeschluss der EU-Kommission; die Schweiz führt Albanien als Staat mit angemessenem Datenschutz. Sie geben Ihre Daten unmittelbar bei uns ein. Nach den Leitlinien 05/2021 des Europäischen Datenschutzausschusses ist das keine Übermittlung in ein Drittland im Sinne von Kapitel V DSGVO, sondern eine Erhebung durch uns, für die die DSGVO unmittelbar gilt. Gespeichert werden die Anfragen auf unserem Server in Deutschland.

F. Keine automatisierte Entscheidung

Wir treffen keine Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten (Art. 22 DSGVO), und wir erstellen keine Profile. Welcher Betrieb eine Anfrage erhält, entscheidet sich allein dadurch, welcher Betrieb sie kauft. Automatisierte Prüfungen (SMS-Code, Bestätigungslink, Dublettenprüfung, Turnstile) dienen nur dazu, echte von gefälschten Anfragen zu unterscheiden; wird Ihre Anfrage dabei zu Unrecht abgewiesen, wenden Sie sich an uns.

G. Sicherheit

Name, E-Mail-Adresse, Telefonnummer, Straße und IP-Adresse speichern wir einzeln verschlüsselt; der Schlüssel liegt nicht in der Datenbank. Die Übertragung erfolgt verschlüsselt (TLS). Interne Benachrichtigungen über neue Anfragen und Verkäufe enthalten keine personenbezogenen Daten.

H. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und das Recht, eine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3).

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Schreiben Sie uns dazu an contact@offrano.com. Rechte gegenüber dem Betrieb, der Ihre Anfrage gekauft hat, können Sie auch unmittelbar bei ihm geltend machen; seine Kontaktdaten stehen in unserer E-Mail nach dem Kauf.

Beschwerde bei einer Aufsichtsbehörde: Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere in dem Land, in dem Sie wohnen oder arbeiten.

• EU/EWR: die Behörde Ihres Wohnsitzlandes; eine Liste führt der Europäische Datenschutzausschuss unter edpb.europa.eu.
• Vereinigtes Königreich: Information Commissioner’s Office (ICO), ico.org.uk.
• Schweiz: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), edoeb.admin.ch.
• Albanien: Komisioneri për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale, idp.al.
• In anderen Ländern: die dort zuständige Datenschutzbehörde.

I. Änderungen

Ändern sich unsere Abläufe, passen wir diese Erklärung an. Maßgeblich ist die Fassung, die beim Absenden Ihrer Anfrage galt; ihre Versionskennung speichern wir mit Ihrer Einwilligung.