Datenschutzerklärung

1. Wer wir sind

GST CRANES DIŞ TİCARET LİMİTED ŞİRKETİ (betrieben gstcranes.com) ist der Verantwortliche für personenbezogene Daten, die über diesen Marktplatz verarbeitet werden. Kontaktieren Sie uns unter privacy@gstcranes.com für alle Datenschutzanliegen oder info@gstcranes.com für allgemeine Fragen.

GST Cranes wird betrieben von GST CRANES DIŞ TİCARET LİMİTED ŞİRKETİ, unter Nutzung des auf Zahlungsbelegen, Bestellformularen oder Unternehmensangaben genannten Unternehmensbetreibers. GST Cranes unterstützt DSGVO, UK GDPR, CCPA/CPRA und andere anwendbare Datenschutzrechte, sofern sie gelten.

Sinanpaşa Mah. Süleyman Seba Cad. No: 14 İç Kapı No: 5, Beşiktaş/İstanbul, Türkiye

Einwohner der EU/des EWR und des Vereinigten Königreichs können uns für Anfragen zu Betroffenenrechten unter der oben genannten E-Mail-Adresse kontaktieren. Wir antworten innerhalb eines Monats gemäß den Fristen der DSGVO/UK GDPR, sofern keine kürzere gesetzliche Frist gilt. Falls für die endgültige Struktur zum Marktstart ein Vertreter nach EU-Artikel 27 erforderlich wird, veröffentlichen wir hier Name, Anschrift und Kontaktdaten des Vertreters, bevor wir uns auf diese Struktur stützen.

2. Welche Daten wir erheben

Kategorie	Beispiele	Zweck	Rechtsgrundlage
Konto	E-Mail, Name, Unternehmen, Land	Anmeldung, Kontakt, KYB	Vertrag (Art. 6 Abs. 1 lit. b)
Anzeigen	Kranmarke/-modell/Fotos/Standort/Preis/technische Daten	Veröffentlichung im Marktplatz	Vertrag
Anfragen	E-Mail/Telefon/Nachricht des Käufers	Käufer↔Verkäufer verbinden	Berechtigtes Interesse (Art. 6 Abs. 1 lit. f)
Hochgeladene Bilder	Eingabefotos zur Bilderkennung	Marke/Modell automatisch vorschlagen	Einwilligung (Art. 6 Abs. 1 lit. a)
Web-Push-Abo	VAPID-Endpunkt + Schlüssel	Anzeigenbenachrichtigungen, Antworten des KI-Agenten	Einwilligung
E-Mail-Marketing	Empfängeradresse, Öffnungs-/Klickereignisse	Newsletter, Werbeaussendung	Einwilligung (nur Opt-in)
Interaktionen	Seitenaufrufe, Anzeigenaufrufe, Gespräche mit KI-Agenten	Interessentenanalyse, Rangfolge	Berechtigtes Interesse
Zahlung	Belastungen über gehostete Zahlungsabwicklung, Rückerstattungen, Zahlungsadresse	Abonnement, Gebühren für Anzeigenbewerbung	Vertrag
Serverprotokolle	IP (gehasht), Nutzerkennung, Anfragepfad	Sicherheit, Missbrauchsprävention	Berechtigtes Interesse

Verbundene ChatGPT-App

Wenn Sie die GST Cranes ChatGPT-App verbinden, verarbeiten wir die für die Autorisierung erforderliche GST-Cranes-Kontoidentität, die gewährten OAuth-Berechtigungen, Ihre Suchanfragen, öffentliche Ergebnisse aus Marketplace und Crane Wiki (einschließlich öffentlicher Unternehmenskontaktdaten), Daten zur Durchsetzung der fairen Nutzung und Sicherheitsprotokolle, um die angeforderten Tools bereitzustellen. Ein Marketplace-Beleg speichert eine gehashte Suchanfrage und die gespeicherte Antwort einschließlich der Suchanfrage und öffentlichen Ergebnisse, um doppelte Verarbeitung zu verhindern und die faire Nutzung durchzusetzen. Ausstehende Reservierungen laufen nach 15 Minuten ab; abgeschlossene Belege können nach 2 Tagen bereinigt werden. Tool-Ergebnis und Trefferzahl können nach 365 Tagen bereinigt werden. Die geplante Bereinigung zählt derzeit nur die dafür infrage kommenden Datensätze und löscht sie nicht. Diese Zeiträume sind daher keine maximalen Aufbewahrungsfristen: Die Datensätze bleiben bis zu einer ausdrücklich durchgeführten Bereinigung oder einer anderen Löschung bestehen. OpenAI erhält die Tool-Anfragen und -Antworten innerhalb von ChatGPT gemäß der eigenen Datenschutzrichtlinie. Authentifizierungstokens werden zum Betrieb der Verbindung verwendet und nicht in den Inhalt der Tool-Ergebnisse aufgenommen. Sie können die Verbindung in den ChatGPT-Einstellungen widerrufen.

3. Unterauftragsverarbeiter

Cloudflare, Inc. — Hosting, DB (D1), Objektspeicher (R2), CDN. Datenspeicherung in der EU + den USA. Datenschutzerklärung
OpenAI, OpCo LLC — Assistenten- und Governance-Antworten, strukturierte Angebots- und Dokumentenextraktion, Kranbildanalyse, ChatGPT-App-Anbindung und gpt-image-2-Broschürenerstellung. Sitz in den USA. Datenschutzerklärung
Roboflow, Inc. — Klassifizierung von Kranbildern. Sitz in den USA.
Postmark (Wildbit, LLC) — transaktionale E-Mails. Sitz in den USA.
SendGrid (Twilio Inc.) — Marketing-E-Mail-Versand (EU-gebundener Subuser für EU-Empfänger).
Zahlungsdienstleister — Gehosteter Zahlungsabschluss und Zahlungsabwicklung, sofern für berechtigte kostenpflichtige Dienste aktiviert.
Hetzner Online GmbH — Backend der E-Mail-Infrastruktur, Deutschland. Datenschutzerklärung
Google LLC, LinkedIn Corporation, Apple Inc., Meta Platforms Ireland Ltd — OAuth-Anmeldung (nur wenn Sie Social Login wählen).
Google Analytics 4 & Google Ads (Google LLC) — Website-Analysen und Messung von Anzeigen-Conversions — wird nur geladen, wenn Sie Analyse-/Marketing-Cookies akzeptieren (standardmäßig aus; Global Privacy Control wird berücksichtigt).

4. Aufbewahrung

Kontodaten — für die Laufzeit Ihres Kontos + 6 Monate nach Löschung (für Rechtsansprüche).
Anzeigen — bis Sie sie löschen oder 12 Monate nach Ablauf.
Anfragen — 24 Monate (zur Streitbeilegung).
Serverprotokolle / Interaktionen — 12 Monate.
Zahlungsnachweise — 7 Jahre (Steuerrecht).
E-Mail-Werbung — bis Sie sich abmelden + 30 Tage zur Bestätigung.
Einwilligungsprotokoll — für die Dauer der Einwilligung + 3 Jahre nach Widerruf.

5. Ihre Rechte (DSGVO-Artikel 15–22)

Auskunft — fordern Sie eine Kopie Ihrer Daten an. Nutzen Sie die Seite Datenexport .
Berichtigung — korrigieren Sie unrichtige Daten über Ihre Kontoeinstellungen.
Löschung („Recht auf Vergessenwerden“) — löschen Sie Ihr Konto und alle zugehörigen Daten über Konto löschen.
Einschränkung — die Verarbeitung aussetzen, während Sie die Richtigkeit anfechten. E-Mail privacy@gstcranes.com.
Datenübertragbarkeit — Ihre Daten über das Datenexport-Tool im JSON-Format erhalten.
Widerspruch — Marketing-E-Mails über den Abmeldelink abbestellen oder der Verarbeitung auf Grundlage berechtigter Interessen per E-Mail widersprechen.
Beschwerde — Beschwerde bei Ihrer zuständigen Aufsichtsbehörde einreichen (z. B. CNIL in Frankreich, BfDI in Deutschland, ICO im Vereinigten Königreich).

6. Einwohner Kaliforniens (CCPA / CPRA)

Einwohner Kaliforniens haben zusätzliche Rechte:

Recht auf Auskunft — Kategorien der erhobenen personenbezogenen Daten, Quellen, Geschäftszwecke und Dritte, an die Daten weitergegeben werden. Siehe Abschnitte 2–3 oben.
Recht auf Löschung — wie die Löschung nach DSGVO, über Konto löschen.
Recht auf Widerspruch gegen Verkauf/Weitergabe — wir verkaufen Ihre personenbezogenen Daten nicht . Wir berücksichtigen das Global Privacy Control (GPC) als Browsersignal automatisch.
Recht auf Einschränkung der Nutzung sensibler Daten — wir verarbeiten sensible Daten nicht über das vertraglich Erforderliche hinaus.
Recht auf Nichtdiskriminierung — die Ausübung Ihrer Rechte hat keinen Einfluss auf den Service.

Meine personenbezogenen Daten nicht verkaufen oder weitergeben

7. Internationale Übermittlungen

Personenbezogene Daten können außerhalb des EWR/Vereinigten Königreichs an Dienstleister in den USA (Cloudflare, OpenAI, Roboflow, Postmark, SendGrid, Zahlungsdienstleister) und, soweit erforderlich, in andere Länder mit angemessenem Datenschutzniveau übertragen werden (Zahlungsdienstleister). Wir stützen uns auf Standardvertragsklauseln (Beschluss 2021/914 der Kommission), bei Bedarf das UK International Data Transfer Addendum, Angemessenheitsbeschlüsse, soweit verfügbar, und ergänzende Maßnahmen. Wo möglich, bevorzugen wir Endpunkte mit EU-Datenhaltung (Cloudflare EU, SendGrid EU subuser, Hetzner Germany).

8. Sanktionen und Exportkontrolle

GST Cranes hält US-OFAC- und EU-Sanktionen ein. Der Zugriff aus Embargoländern (Iran, Kuba, Nordkorea, Syrien, Krim/Donezk/Luhansk, Belarus) ist gesperrt. Kranverkäufe mit Gütern mit doppeltem Verwendungszweck (Mobilkrane mit >200 t Tragfähigkeit) können eine Endverbleibserklärung nach EAR-Artikel 744 / EU-Verordnung (EG) 428/2009 erfordern.

9. Sicherheit

Alle Daten werden bei der Übertragung mit TLS 1.2+ geschützt. Im Ruhezustand sind Cloudflare D1 + R2 verschlüsselt. Webhook-Signaturen werden per HMAC mit Constant-Time-Vergleich verifiziert. Web-Push nutzt VAPID-signierte JWT. Passwörter werden über Lucia mit Argon2id gehasht. Unterauftragsverarbeiter sind durch Auftragsverarbeitungsverträge gebunden.

10. Meldung von Datenschutzverletzungen

Im unwahrscheinlichen Fall einer Verletzung des Schutzes personenbezogener Daten informieren wir die Aufsichtsbehörde innerhalb von 72 Stunden gemäß DSGVO-Artikel 33 und betroffene Personen unverzüglich gemäß Artikel 34, wenn die Verletzung ein hohes Risiko für Rechte und Freiheiten darstellt.

11. Änderungen

Wesentliche Änderungen werden 30 Tage lang per E-Mail und über ein Banner auf der Website angekündigt. Das Datum „Zuletzt aktualisiert“ oben zeigt die aktuelle Version.