Datenschutzerklärung

Stand: Oktober 2026

1. Datenschutz auf einen Blick

Die folgenden Hinweise geben dir einen Überblick darüber, wie deine personenbezogenen Daten beim Besuch unserer Website, beim Kauf und in unserer App erhoben und verarbeitet werden. Personenbezogene Daten sind alle Daten, mit denen du persönlich identifiziert werden kannst.

Daten werden erhoben, wenn du sie uns mitteilst (z. B. in einem Kontaktformular oder beim Bezahlvorgang) oder automatisch durch unsere IT-Systeme (technische Daten wie Browsertyp, IP-Adresse). Wenn du unsere Tuning App nutzt, verarbeitet die App außerdem Daten zu deinem Konto und deinem Fahrzeug. Was das umfasst, steht in Abschnitt 12.

Diese Erklärung gilt für die Website ngmapp.com, das Kundenkonto, unsere E-Mails und die NGM App für iOS und Android (in den Stores „NGM Flasher“). Diese Erklärung ist im App Store und bei Google Play verlinkt.

2. Verantwortlicher, Kontakt und deine Rechte

Verantwortliche Stelle

NGM App GmbH
Marvin Krumpe, Darian Krumpe
Pettenkoferstraße 12
83052 Bruckmühl
Deutschland
E-Mail: support@ngmapp.com

Geschäftsführer: Marvin Krumpe, Darian Krumpe. Handelsregister: Amtsgericht Traunstein, HRB 32066.

Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten benannt, weil wir dazu nicht verpflichtet sind (§ 38 BDSG). Anfragen zum Datenschutz schickst du an support@ngmapp.com.

Deine Rechte

Du hast das Recht auf unentgeltliche Auskunft über deine gespeicherten Daten, deren Herkunft und Empfänger. Außerdem hast du das Recht, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit zu verlangen (Art. 15 bis 20 DSGVO). Soweit die Verarbeitung auf unserem berechtigten Interesse beruht, kannst du dieser Verarbeitung widersprechen (Art. 21 DSGVO). Nutzen wir deine Daten für Direktwerbung, kannst du dem jederzeit ohne Angabe von Gründen widersprechen. Um eines dieser Rechte auszuüben, schreibst du an support@ngmapp.com. Wir antworten innerhalb eines Monats; in komplizierten Fällen sagen wir dir, wenn wir länger brauchen.

Aufsichtsbehörde

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa bei der an deinem Wohnort. Für uns zuständig ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Deutschland
Postanschrift: Postfach 1349, 91504 Ansbach
Telefon: +49 981 180093-0
E-Mail: poststelle@lda.bayern.de
Web: www.lda.bayern.de (Online-Beschwerdeformular)

Widerruf deiner Einwilligung

Viele Verarbeitungsvorgänge sind nur mit deiner ausdrücklichen Einwilligung möglich. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über das Cookie-Symbol unten links auf jeder Seite oder indem du uns kontaktierst. Die Verarbeitung bis zum Widerruf bleibt davon unberührt.

Speicherdauer

Soweit in dieser Erklärung keine speziellere Speicherdauer genannt ist, bleiben deine personenbezogenen Daten bei uns, bis der Zweck der Verarbeitung entfällt. Wenn du ein berechtigtes Löschersuchen stellst oder deine Einwilligung widerrufst, werden deine Daten gelöscht, sofern wir keine anderen rechtlich zulässigen Gründe für die Speicherung haben (z. B. steuer- oder handelsrechtliche Aufbewahrungsfristen); in diesem Fall erfolgt die Löschung, sobald diese Gründe wegfallen. Abschnitt 13 listet die Fristen je Datenart auf.

SSL/TLS-Verschlüsselung

Aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte nutzt diese Website eine SSL/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennst du am Präfix „https://“ und am Schloss-Symbol in der Adressleiste deines Browsers.

3. Hosting und Shopsystem (Shopify)

Wir nutzen das Shopsystem Shopify von Shopify International Limited (Irland/Kanada). Shopify verarbeitet deine Daten (z. B. IP-Adresse, Bestelldaten), um die Shop-Funktionen bereitzustellen und deinen Kauf abzuwickeln. Dabei können Daten an Shopify Inc. in Kanada und den USA übermittelt werden. Grundlage dafür sind Standardvertragsklauseln, das EU-US Data Privacy Framework und ein Auftragsverarbeitungsvertrag (AVV), damit ein Datenschutzniveau eingehalten wird, das der DSGVO entspricht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Shopify International Limited, Dublin, Irland, ist unser Auftragsverarbeiter nach Art. 28 DSGVO. Shopify Inc., Ottawa, Kanada, und die US-Gesellschaften von Shopify sind Unterauftragsverarbeiter. Für Kanada liegt ein Angemessenheitsbeschluss der EU-Kommission vor; Übermittlungen in die USA sind durch die Zertifizierung von Shopify unter dem EU-US Data Privacy Framework und die oben genannten Standardvertragsklauseln abgesichert.

Server-Logfiles

Shopify erhebt und speichert automatisch Informationen in Server-Logfiles (Browsertyp, Betriebssystem, IP-Adresse). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Die Logs enthalten außerdem die aufgerufene Seite, den Zeitpunkt und die Seite, von der du gekommen bist. Wir brauchen sie, damit die Website läuft, um Angriffe zu erkennen und Fehler zu finden. Wir führen Logdaten nicht mit anderen Daten über dich zusammen. Shopify löscht die Logs nach seinen eigenen Fristen; auf die Rohdaten haben wir keinen Zugriff.

Kundenkonto

Legst du im Shop ein Kundenkonto an, speichern wir Name, E-Mail-Adresse, Adressen und Bestellhistorie, damit du deine Bestellungen sehen und schneller bezahlen kannst. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Das Konto bleibt bestehen, bis du es löschst oder uns um Löschung bittest; Bestelldaten, die wir gesetzlich aufbewahren müssen, bleiben gespeichert (siehe Abschnitt 13).

4. Cookies und Einwilligung (Pandectes)

Zur Verwaltung von Cookies und technischen Tools, die eine Einwilligung erfordern, setzen wir das Banner Pandectes GDPR Compliance ein. Darüber kannst du deine Einwilligung für die Kategorien „Funktionale Cookies“, „Performance-Cookies“ und „Targeting-Cookies“ erteilen oder ablehnen; die Kategorie „Unbedingt erforderlich“ lässt sich nicht abschalten. Zum Speichern deiner Auswahl wird ein Cookie gesetzt. Welche Kategorie ein Dienst braucht, steht in den folgenden Abschnitten bei dem jeweiligen Dienst.

Die auf unserer Website eingesetzten Cookies können Session-Cookies sein, die automatisch gelöscht werden, wenn du deinen Browser schließt, oder dauerhafte Cookies, die auf deinem Gerät bleiben, bis sie ablaufen oder du sie manuell löschst.

Rechtsgrundlage: Das Speichern von Informationen auf deinem Gerät und das Auslesen daraus erfordert, soweit es für die Website nicht unbedingt nötig ist, deine Einwilligung nach § 25 Abs. 1 TDDDG; die Verarbeitung der dabei entstehenden personenbezogenen Daten stützt sich auf Art. 6 Abs. 1 lit. a DSGVO. Unbedingt erforderliche Cookies (Warenkorb, Login, Sprache und Währung, deine Einwilligungsauswahl, Betrugsschutz im Checkout) laufen nach § 25 Abs. 2 TDDDG und Art. 6 Abs. 1 lit. f DSGVO.

Pandectes gibt deine Auswahl an die Customer Privacy API von Shopify weiter. Apps und Skripte, die über Shopify laufen, lesen dieses Signal, deshalb bleiben die einwilligungspflichtigen Analyse- und Werbe-Tools aus, bis du zustimmst. Wir beachten außerdem das Global-Privacy-Control-Signal (GPC) deines Browsers: Ist es eingeschaltet, werten wir das als Ablehnung der optionalen Kategorien.

Deine Auswahl kannst du jederzeit ändern oder widerrufen, über das runde Cookie-Symbol unten links auf jeder Seite (Beschriftung „Ändern Sie Ihre Einwilligung“). Dort siehst du auch, welche Cookies im Einsatz sind. Deine Auswahl wird 365 Tage gespeichert, danach fragen wir erneut. Pandectes protokolliert deine Entscheidung (Consent-ID, Zeitpunkt, gewählte Kategorien) auf seinen Servern als Nachweis nach Art. 7 Abs. 1 DSGVO und zählt, wie oft das Banner angezeigt wird. Rechtsgrundlage für das Protokoll: Art. 6 Abs. 1 lit. c DSGVO (Nachweispflicht) und unser berechtigtes Interesse an einem funktionierenden Einwilligungsverfahren (Art. 6 Abs. 1 lit. f DSGVO).

5. Analyse und Tag-Verwaltung

Die Analyse-Tools in diesem Abschnitt messen erst, nachdem du im Pandectes-Banner die Kategorie „Performance-Cookies“ erlaubt hast. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG). Du kannst sie jederzeit über das Cookie-Symbol widerrufen.

Google Tag und Google Tag Manager

Google Analytics und Google Ads laden wir über das Google Tag von Google Ireland Limited, Dublin, Irland. Das Google Tag wird schon beim Seitenaufruf geladen, läuft aber im „Consent Mode“: Solange du nicht eingewilligt hast, stehen alle Signale auf „abgelehnt“, es setzt keine Cookies und sendet nur cookielose Pings ohne Nutzerkennung an Google, zum Beispiel dass eine Seite aufgerufen wurde. Dabei wird deine IP-Adresse an Google übertragen. Rechtsgrundlage für diese cookielosen Pings: unser berechtigtes Interesse an einer zusammengefassten Reichweitenmessung ohne Wiedererkennung (Art. 6 Abs. 1 lit. f DSGVO). Erst nach deiner Einwilligung in „Performance-Cookies“ (Google Analytics) bzw. „Targeting-Cookies“ (Google Ads, siehe Abschnitt 6) setzt das Google Tag Cookies und verarbeitet Nutzerkennungen.

Nach deiner Einwilligung lädt Shopify außerdem über ein Custom Pixel einen Google-Tag-Manager-Container. Der Google Tag Manager verteilt nur die Tags, die darin stecken (Google Analytics 4 und das Meta-Pixel aus Abschnitt 6), und setzt selbst keine Cookies; er verarbeitet nur die Verbindungsdaten (IP-Adresse), die zum Laden des Skripts nötig sind.

Google Analytics 4

Zur Nutzeranalyse setzen wir Google Analytics ein, einen Dienst von Google Ireland Limited. Er misst nur, wenn du über das Pandectes-Banner „Performance-Cookies“ erlaubt hast. IP-Adressen werden vor jeder weiteren Verarbeitung gekürzt (IP-Anonymisierung), sodass kein direkter Personenbezug möglich ist. Daten können an Google LLC in die USA übermittelt werden; solche Übermittlungen sind durch das EU-US Data Privacy Framework und EU-Standardvertragsklauseln abgesichert. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst deine Einwilligung jederzeit über das Cookie-Symbol widerrufen.

Google Analytics 4 erfasst, welche Seiten du aufrufst, wie lange du bleibst, mit welchem Gerät, Browser und aus welcher Region du kommst und welche Schritte im Konfigurator und im Checkout du abschließt. Wir nutzen das, um Website und Konfigurator zu verbessern. Google speichert Nutzer- und Ereignisdaten höchstens 14 Monate; die Berichte, mit denen wir arbeiten, sind zusammengefasst und enthalten keine personenbezogenen Daten.

Microsoft Clarity

Wir nutzen Microsoft Clarity, einen Dienst von Microsoft Ireland Operations Limited, Dublin, Irland, um zu verstehen, wie Besucher die Website nutzen. Clarity zeichnet auf, wie du dich auf einer Seite bewegst (Mausbewegungen, Scrollen, Klicks und Tipps), und erstellt daraus Sitzungsaufzeichnungen und Heatmaps. Erfasst werden außerdem Gerätetyp, Browser, Bildschirmgröße, ungefähre Region und die besuchten Seiten. Text, den du in Eingabefelder und Auswahllisten eingibst, maskiert Clarity nach den Angaben von Microsoft in jedem Fall, bevor er Microsoft erreicht. Das Clarity-Skript lädt erst, nachdem du „Performance-Cookies“ erlaubt hast, und wir geben deine Einwilligung als Consent-Signal an Clarity weiter. Daten können an Microsoft Corporation in die USA übermittelt werden; Microsoft ist unter dem EU-US Data Privacy Framework zertifiziert, zusätzlich gelten EU-Standardvertragsklauseln. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Speicherdauer laut Microsoft: Sitzungsaufzeichnungen 30 Tage (einzelne markierte Aufzeichnungen und eine Stichprobe bis zu 9 Monate), Heatmaps bis zu 9 Monate.

6. Werbung und Marketing

Die Werbe-Tools in diesem Abschnitt werden erst aktiv, nachdem du über das Pandectes-Banner die Kategorie „Targeting-Cookies“ erlaubt hast. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft über das Cookie-Symbol widerrufen. Rechtsgrundlage für alle Tools in diesem Abschnitt: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG).

Google Ads, Remarketing und Merchant Center

Wir nutzen Google Ads, einen Dienst von Google Ireland Limited, um unsere Angebote über Anzeigen auf externen Websites zu bewerben und den Erfolg dieser Werbemaßnahmen zu messen. Google Ads speichert ein Cookie auf deinem Gerät, mit dem wir Conversions messen (z. B. ob ein Besuch zu einem Kauf geführt hat) und interessenbezogene Werbung ausspielen können (Remarketing). Über das Google Merchant Center erscheinen unsere Produkte außerdem in Google Shopping; dafür meldet das Google Tag nach deiner Einwilligung Produktaufrufe, Warenkorb- und Kaufereignisse an Google. Daten können an Google LLC in die USA übermittelt werden, abgesichert durch das EU-US Data Privacy Framework und EU-Standardvertragsklauseln. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Conversion-Cookies laufen spätestens nach 90 Tagen ab; die Conversion-Statistiken, die wir von Google erhalten, sind zusammengefasst.

Meta Pixel und Conversions API (Facebook und Instagram)

Für Conversion-Tracking und Remarketing im Zusammenhang mit unserer Werbung auf Facebook und Instagram nutzen wir das Meta Pixel, einen Dienst von Meta Platforms Ireland Limited. Das Pixel ermöglicht es Meta, Besucher unserer Website als Zielgruppe für die Anzeige von Werbung wiederzuerkennen („Custom Audiences“) und die Wirksamkeit unserer Anzeigen zu messen. Für die Datenerhebung über das Pixel sind wir gemeinsam mit Meta verantwortlich (Art. 26 DSGVO). Daten können an Meta Platforms, Inc. in die USA übermittelt werden, abgesichert durch das EU-US Data Privacy Framework und EU-Standardvertragsklauseln. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Das Pixel ist zweimal eingebunden: über das Pandectes-Banner und über den Facebook-&-Instagram-Kanal von Shopify. Das Basis-Skript des Pixels wird beim Seitenaufruf von den Servern von Meta geladen; dabei wird deine IP-Adresse an Meta übertragen, Ereignisse sendet es aber erst nach deiner Einwilligung in „Targeting-Cookies“ (Art. 6 Abs. 1 lit. f DSGVO für das Laden der Datei). Nach der Einwilligung übermittelt das Pixel an Meta die besuchten Seiten, angesehene Produkte, Warenkorb- und Checkout-Ereignisse und, soweit vorhanden, gehashte Kontaktdaten wie deine E-Mail-Adresse. Zusätzlich sendet Shopify Bestellereignisse und gehashte Kontaktdaten serverseitig über die Conversions API von Meta. Die Vereinbarung über die gemeinsame Verantwortlichkeit veröffentlicht Meta unter dem Titel „Zusatz für Verantwortliche“; für alles, was Meta danach mit den Daten macht, ist Meta allein verantwortlich. Werbeeinstellungen verwaltest du in deinem Facebook- und Instagram-Konto.

7. Eingebettete Inhalte und Widgets

YouTube-Videos

Auf der Startseite und auf der Seite „Fahrzeug finden“ betten wir Videos von YouTube ein, einem Dienst von Google Ireland Limited, Dublin, Irland. Wir nutzen den erweiterten Datenschutzmodus (youtube-nocookie.com) mit einer Klick-Abdeckung: Beim Laden der Seite wird nur ein Vorschaubild vom Bildserver von Google geladen, dabei geht deine IP-Adresse an Google. Der Videoplayer selbst, und damit die Cookies und das Tracking von YouTube, lädt erst, wenn du auf den Abspielknopf klickst. Mit dem Klick willigst du in dieses Laden ein (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Daten können an Google LLC in die USA übermittelt werden, abgesichert durch das EU-US Data Privacy Framework. Das Laden des Vorschaubilds stützt sich auf unser berechtigtes Interesse, die Videoinhalte zu zeigen (Art. 6 Abs. 1 lit. f DSGVO).

Judge.me (Kundenbewertungen)

Produktbewertungen sammeln und zeigen wir mit Judge.me, einem Dienst von Judge.me Ltd., London, Vereinigtes Königreich. Das Bewertungs-Widget auf der Startseite und auf Produktseiten zeigt Bewertungen mit dem Namen, den du beim Schreiben angegeben hast, der Sternezahl, dem Text und dem Datum. Die Dateien des Widgets liefert Shopify über sein eigenes Netzwerk aus. Eine Verbindung zu den Servern von Judge.me entsteht erst, wenn du „Performance-Cookies“ erlaubt hast (dann übermittelt das Widget Nutzungsstatistiken an Judge.me, z. B. dass es angezeigt wurde) oder wenn du selbst eine Bewertung schreibst. Nach deinem Kauf schickt dir Judge.me in unserem Auftrag eine E-Mail mit der Bitte, das Produkt zu bewerten. Dafür geben wir Name, E-Mail-Adresse, Bestellnummer und die gekauften Produkte an Judge.me weiter, das sie als Auftragsverarbeiter nach Art. 28 DSGVO für uns verarbeitet.

Rechtsgrundlage für die Bewertungsanfrage: unser berechtigtes Interesse an echtem Kundenfeedback (Art. 6 Abs. 1 lit. f DSGVO) in Verbindung mit § 7 Abs. 3 UWG, weil du bei uns gekauft hast und jederzeit widersprechen kannst. Jede Bewertungs-E-Mail enthält einen Abmeldelink; du kannst auch per Mail an support@ngmapp.com widersprechen. Rechtsgrundlage für die Veröffentlichung deiner Bewertung: deine Einwilligung beim Absenden (Art. 6 Abs. 1 lit. a DSGVO); du kannst uns jederzeit bitten, die Bewertung zu entfernen. Für das Vereinigte Königreich liegt ein Angemessenheitsbeschluss der EU-Kommission vor, deshalb braucht die Übermittlung keine weiteren Garantien. Judge.me speichert die Bewertungsdaten, solange die Bewertung veröffentlicht ist oder bis du die Löschung verlangst.

Bewertungen aus dem App Store

Bewertungen aus dem Apple App Store zeigen wir als Text auf unserer Startseite. Dabei werden keine Daten an Apple oder einen Widget-Anbieter übertragen.

Schriften (Google Fonts)

Unsere Website nutzt die Schriftart Inter, die beim Seitenaufruf von den Servern von Google Fonts (Google Ireland Limited, Dublin, Irland) geladen wird. Dabei wird deine IP-Adresse an Google übertragen, unabhängig von deiner Cookie-Auswahl. Rechtsgrundlage: unser berechtigtes Interesse an einer einheitlichen Darstellung der Website (Art. 6 Abs. 1 lit. f DSGVO). Daten können an Google LLC in die USA übermittelt werden, abgesichert durch das EU-US Data Privacy Framework.

8. Kommunikation: E-Mail, Kontaktformular, Chat und Formulare

E-Mail und Kontaktformular

Wenn du uns per E-Mail kontaktierst, speichern wir deine Angaben, um die Anfrage zu bearbeiten und für mögliche Rückfragen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Dasselbe gilt für das Kontaktformular auf unserer Website, das Name, E-Mail-Adresse und Nachricht abfragt und uns über Shopify zugestellt wird. Unsere E-Mail-Postfächer laufen bei Google Workspace (Google Ireland Limited) als Auftragsverarbeiter. Anfragen bewahren wir auf, bis sie erledigt sind, und danach für die Dauer der regelmäßigen Verjährung von drei Jahren, damit wir Rückfragen beantworten können; gehören sie zu einer Bestellung, gelten die Fristen aus Abschnitt 13. Betrifft deine Anfrage einen Vertrag, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO; sonst ist es unser berechtigtes Interesse, dir zu antworten (Art. 6 Abs. 1 lit. f DSGVO).

Spamschutz (hCaptcha)

Das Kontaktformular und die Wartelisten-Formulare sind durch hCaptcha geschützt, einen Dienst von Intuition Machines, Inc., USA. hCaptcha prüft anhand von Browserdaten, deiner IP-Adresse und deinem Verhalten im Formular (z. B. Mausbewegungen), ob die Eingabe von einem Menschen stammt. Das Skript lädt erst, wenn du mit dem Formular interagierst. Rechtsgrundlage: unser berechtigtes Interesse am Schutz vor Spam und automatisierten Eingaben (Art. 6 Abs. 1 lit. f DSGVO, § 25 Abs. 2 TDDDG). Die Übermittlung in die USA ist durch Standardvertragsklauseln und die Zertifizierung von Intuition Machines unter dem EU-US Data Privacy Framework abgesichert.

Shopify Inbox (Live-Chat)

Über den Knopf „Support“ unten rechts kannst du uns im Chat schreiben. Der Chat läuft über Shopify Inbox, einen Dienst von Shopify International Limited, Dublin, Irland, der die Daten in unserem Auftrag verarbeitet (siehe Abschnitt 3). Das Chat-Skript stammt von Shopify und lädt mit der Seite; Nachrichten und Angaben verarbeiten wir erst, wenn du den Chat öffnest und schreibst. Wir verarbeiten dann den Chattext, den Zeitpunkt, die Seite, auf der du warst, und, wenn du sie angibst, Name und E-Mail-Adresse. Einige erste Antworten kommen automatisch aus einer Liste vorbereiteter Antworten; alles Weitere beantwortet ein Mensch. Chatverläufe werden in unserem Shopify-Konto gespeichert, bis die Anfrage erledigt ist, und danach für die Dauer der regelmäßigen Verjährung von drei Jahren. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Kauf oder eine bestehende Bestellung geht, sonst Art. 6 Abs. 1 lit. f DSGVO (Beantwortung deiner Frage).

Warteliste und Fahrzeuganfrage

Für Fahrzeuge mit dem Hinweis „Bald verfügbar“ kannst du dich auf der Produktseite auf eine Warteliste setzen lassen. Das Formular läuft über Shopify (Shopify International Limited, siehe Abschnitt 3) und fragt nur deine E-Mail-Adresse ab. Wir speichern sie als Kundendatensatz mit der Kennzeichnung „warteliste“ und schreiben dir einmal, sobald das Fahrzeug unterstützt wird. Es ist kein Newsletter. Auf der Startseite gibt es außerdem ein Anfrageformular, in dem du deine E-Mail-Adresse und dein Fahrzeug (Marke, Modell, Motor, Baujahr) angibst; diese Angaben erreichen uns als Nachricht an den Support. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit per Mail an support@ngmapp.com widerrufen kannst. Wir löschen den Eintrag, sobald wir dich informiert haben oder du widerrufst.

Newsletter und Werbe-E-Mails

Derzeit bieten wir keinen Newsletter an. Werbe-E-Mails schicken wir nur, wenn du vorher eingewilligt hast (Art. 6 Abs. 1 lit. a DSGVO); abmelden kannst du dich jederzeit über den Link in der E-Mail oder per Mail an support@ngmapp.com.

Transaktions-E-Mails

Bestellbestätigungen, Versandbenachrichtigungen, Lizenzaktivierungen, Widerrufsbestätigungen und ähnliche E-Mails zu deinem Vertrag verschicken wir über Shopify. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Von diesen E-Mails kannst du dich nicht abmelden, solange der Vertrag läuft.

9. Bestellung, Zahlung und Versand

Bestelldaten

Bei einer Bestellung verarbeiten wir Name, E-Mail-Adresse, Rechnungs- und Lieferadresse, Telefonnummer (falls angegeben), die bestellten Produkte, Preise, die Zahlungsart und beim Austausch-Steuergerät die Fahrzeug-Identifizierungsnummer (FIN). Wir brauchen das, um den Vertrag zu erfüllen, die Hardware zu liefern, die Lizenz zu aktivieren, Widerruf, Gewährleistung und Support abzuwickeln und die Buchhaltung zu führen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Buchhaltungsunterlagen Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB. Rechnungen und Bestellunterlagen bewahren wir 10 Jahre auf, Handelsbriefe 6 Jahre, jeweils ab Ende des Kalenderjahres.

Intern versehen wir Bestellungen per Shopify Flow mit einer Kennzeichnung zur genutzten Zahlungsart (zum Beispiel PayPal oder Klarna), damit die Buchhaltung Auszahlungen zuordnen kann. Das bleibt in unserem Shopify-Konto. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Shopify Payments und Shop Pay

Je nach gewählter Zahlungsart (z. B. PayPal, Kreditkarte über Shopify Payments) werden Transaktionsdaten an den jeweiligen Anbieter übermittelt. Das geschieht ausschließlich zum Zweck der Zahlungsabwicklung (Art. 6 Abs. 1 lit. b DSGVO). Kartenzahlungen laufen über Shopify Payments. Deine Kartendaten gibst du im Checkout ein, sie gehen direkt an Shopify; wir sehen die vollständige Kartennummer nie. Shopify prüft Zahlungen außerdem auf Anzeichen von Betrug (Art. 6 Abs. 1 lit. f DSGVO). Wählst du Shop Pay, speichert Shopify deine Adresse und Zahlungsdaten in deinem Shop-Pay-Konto für schnellere Checkouts; für dieses Konto ist Shopify Verantwortlicher, es gilt die Datenschutzerklärung von Shopify. Übermittlungen an Shopify in Kanada und den USA sind wie in Abschnitt 3 beschrieben abgesichert.

PayPal

Bezahlst du mit PayPal, geben wir Name, E-Mail-Adresse, Lieferadresse und den Bestellbetrag an PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg, weiter. PayPal ist für die Zahlung eigener Verantwortlicher, kann eigene Bonitäts- und Betrugsprüfungen durchführen, und es gilt die Datenschutzerklärung von PayPal. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Auf der deutschen Produktseite der Lizenz zeigt ein Skript von PayPal Hinweise zur Ratenzahlung („Später bezahlen“). Es lädt beim Seitenaufruf, unabhängig von deiner Cookie-Auswahl, und übermittelt dabei deine IP-Adresse und Browserdaten an PayPal. Rechtsgrundlage: unser berechtigtes Interesse, dich über verfügbare Zahlungsarten zu informieren (Art. 6 Abs. 1 lit. f DSGVO).

Klarna

Wählst du im Checkout Klarna, gehen Name, Adresse, E-Mail-Adresse, Geburtsdatum und die Bestelldaten an Klarna Bank AB (publ), Stockholm, Schweden. Klarna ist für die Zahlung eigener Verantwortlicher, kann eine Identitäts- und Bonitätsprüfung durchführen und informiert dich darüber in seiner eigenen Datenschutzerklärung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Auf allen Seiten unserer Website lädt beim Seitenaufruf das Skript „Klarna On-Site Messaging“, unabhängig von deiner Cookie-Auswahl. Es zeigt auf Produktseiten an, ob für den angezeigten Preis eine Ratenzahlung möglich ist, und sendet dabei deine IP-Adresse, Browserdaten und technische Nutzungsdaten (Telemetrie) an Server von Klarna in der EU. Rechtsgrundlage: unser berechtigtes Interesse, dich über verfügbare Zahlungsarten zu informieren (Art. 6 Abs. 1 lit. f DSGVO), und § 25 Abs. 2 TDDDG, soweit der Zugriff auf dein Gerät für die Anzeige technisch erforderlich ist.

Versand

Wir übermitteln dem Versanddienstleister (z. B. DHL) Name und Anschrift und, soweit für die Zustellung erforderlich, E-Mail-Adresse oder Telefonnummer. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

10. Widerrufsfunktion (EU Widerrufsbutton)

Über den Link „Vertrag widerrufen“ im Footer kannst du einen Vertrag widerrufen. Das Formular stellt die Shopify-App „EU Widerrufsbutton“ der Visionz GmbH, Hildesheim, bereit, die die Daten als Auftragsverarbeiter nach Art. 28 DSGVO für uns verarbeitet; die Auftragsverarbeitung ist über die Vertragsbedingungen der Shopify-App geregelt. Das Formular fragt Name, E-Mail-Adresse und Bestellnummer ab; freiwillig sind eine weitere E-Mail-Adresse, ein Grund und bei einem Teilwiderruf die betroffenen Artikel. Die Angaben gehen über eine Schnittstelle von Shopify an Visionz; IP-Adresse oder Browserdaten sendet das Formular nicht mit. Du erhältst eine Eingangsbestätigung per E-Mail. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit der gesetzlichen Pflicht, eine Widerrufsfunktion anzubieten (§ 356a BGB), und Art. 6 Abs. 1 lit. b DSGVO für die Abwicklung des Widerrufs. Die Erklärung bewahren wir mit den Bestellunterlagen auf (siehe Abschnitt 13).

11. Kundenkonto und Lizenzaktivierung (FIN-Bindung)

Beim Kauf oder bei der Aktivierung unserer App verarbeiten wir die Fahrzeug-Identifizierungsnummer (FIN) deines Autos. Diese Verarbeitung ist zwingend erforderlich, um die digitale Lizenz an dein konkretes Fahrzeug zu binden und unsere vertraglichen Pflichten zu erfüllen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Bei einer Lizenz liest die Tuning App die FIN beim ersten Verbinden aus dem Fahrzeug; du musst sie nicht eintippen. Nur beim Austausch-Steuergerät für Facelift-Modelle ab Modelljahr 2024 fragen wir die FIN im Konfigurator ab, weil wir das Steuergerät vor dem Versand programmieren. Die Lizenz wird auf unserem Server an die FIN und an die E-Mail-Adresse deines App-Kontos gebunden. Diese Verknüpfung behalten wir, solange die Lizenz besteht, weil sie deinen Anspruch belegt.

12. Datenverarbeitung in der Tuning App

Die NGM App für iOS und Android (in den Stores „NGM Flasher“) verbindet sich über den NGM OBD2-Bluetooth-Adapter mit deinem Fahrzeug und schreibt die gekaufte Kalibrierung in das Motorsteuergerät (ECU) und, wo unterstützt, in das Getriebesteuergerät (TCU). Dieser Abschnitt erklärt, welche Daten die App verarbeitet. Er ergänzt die Hinweise in den App Stores; die Angaben zur Datensicherheit bei Google Play und die Datenschutz-Labels im App Store beruhen auf diesem Abschnitt.

Kontodaten

Um die App zu nutzen, legst du ein Konto mit deiner E-Mail-Adresse und einem Passwort an. Außerdem speichern wir App-Version und Gerätetyp (zum Beispiel iPhone-Modell oder Android-Gerät), damit wir Fehler nachvollziehen können. Die E-Mail-Adresse lässt sich nach der Lizenzaktivierung nicht mehr ändern, weil die Lizenz daran gebunden ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Fahrzeug- und Steuergerätedaten

Verbindet sich die App mit deinem Fahrzeug, liest sie nur das, was zur Identifikation des Fahrzeugs und zum Schreiben der Kalibrierung nötig ist:

• die Fahrzeug-Identifizierungsnummer (FIN),
• die Kennungen der Steuergeräte (Hardware- und Software-Teilenummern, Softwareversion),
• den aktuellen Softwarestand des Steuergeräts,
• die von dir gewählte Stage und die gewählten Funktionen (zum Beispiel Stage 1, Sound-Funktionen, Start-Stopp-Einstellung),
• die Kennung deines NGM-Adapters.

Diese Daten werden an unseren Lizenzserver übertragen, damit der Server deine Lizenz prüfen, die passende Datei für deine Motorvariante bereitstellen und festhalten kann, dass die Datei geschrieben wurde. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die App liest keine Positionsdaten, keine Fahrtenhistorie und keine persönlichen Informationen aus dem Infotainment-System. Die App erhebt keine Standortdaten. Soweit das Betriebssystem für die Bluetooth-Suche eine Standortberechtigung verlangt, dient sie nur der Verbindung zum Adapter; ein Standort wird nicht gespeichert.

Seriensoftware für den Rückflash

Vor dem ersten Flash liest die App die Identifikation und den Softwarestand deines Steuergeräts aus und übermittelt sie an unseren Lizenzserver. Die Seriensoftware, mit der du dein Fahrzeug jederzeit auf Werkszustand zurücksetzen kannst, kommt aus unserer Datenbank für deine Motorvariante. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die ausgelesenen Angaben zu deinem Steuergerät bewahren wir auf, solange die Lizenz besteht.

Flash-Protokolle

Zu jedem Schreibvorgang hält die App Zeitpunkt, Steuergerät, verwendete Datei, Abschluss oder Abbruch und den verwendeten Adapter fest. Wir brauchen diese Protokolle, um ein Steuergerät nach einem abgebrochenen Flash wiederherzustellen, Gewährleistungs- und Supportfälle zu bearbeiten und nachzuweisen, welche Software geschrieben wurde. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Speicherdauer: solange die Lizenz besteht, höchstens so lange wie das Konto.

Fehlerberichte

Stürzt die App ab oder meldet sie einen Fehler, wird ein Bericht mit Gerätetyp, Betriebssystemversion, App-Version, Fehlermeldung und Zeitpunkt an unseren Server oder einen von uns beauftragten Dienst für Fehlerberichte gesendet. Fehlerberichte enthalten über die Steuergeräte-Kennung hinaus keine Fahrzeugdaten. Rechtsgrundlage: unser berechtigtes Interesse an einer stabilen App (Art. 6 Abs. 1 lit. f DSGVO). Speicherdauer: bis der Fehler behoben ist, höchstens so lange wie das Konto.

Hosting des App-Backends

Lizenzserver und App-Backend betreibt ein Hosting-Dienstleister als Auftragsverarbeiter nach Art. 28 DSGVO. Werden Daten außerhalb der EU verarbeitet, sichern wir das über Standardvertragsklauseln ab.

App Stores und Berechtigungen

Du lädst die App aus dem App Store von Apple oder bei Google Play. Apple und Google verarbeiten deine Store-Kontodaten, den Download und, wenn du es im Betriebssystem erlaubt hast, Absturz- und Nutzungsstatistiken nach ihren eigenen Datenschutzerklärungen; wir erhalten von ihnen nur zusammengefasste Statistiken. Die App fragt die Bluetooth-Berechtigung an, um sich mit dem Adapter zu verbinden, und optional die Berechtigung für Benachrichtigungen. Zugriff auf Kontakte, Fotos, Kamera oder Mikrofon fragt sie nicht an.

Konto löschen

Du kannst die Löschung deines Kontos jederzeit verlangen, per E-Mail an support@ngmapp.com von der registrierten Adresse aus. Mit dem Konto endet die daran gebundene Lizenz; eine gelöschte Lizenz lässt sich nicht wiederherstellen. Konto- und Fahrzeugdaten löschen wir nach deiner Anfrage, ausgenommen Daten, die wir steuer- oder handelsrechtlich aufbewahren müssen (Bestellunterlagen, siehe Abschnitt 13).

13. Speicherfristen

Soweit oben nichts anderes steht, bewahren wir deine Daten für folgende Zeiträume auf:

• Bestellungen, Rechnungen, Widerrufserklärungen und Zahlungsbelege: 10 Jahre für Buchungsunterlagen (§ 147 AO), 6 Jahre für Handelsbriefe (§ 257 HGB), jeweils ab Ende des Kalenderjahres.
• Kundenkonto im Shop und App-Konto mit Lizenzdaten und FIN-Bindung: solange das Konto besteht; nach der Löschung noch so lange, wie gesetzliche Pflichten es verlangen.
• Flash-Protokolle und Fehlerberichte: solange die Lizenz besteht bzw. bis der Fehler behoben ist, höchstens so lange wie das Konto.
• E-Mail-, Kontaktformular- und Chat-Anfragen: bis die Anfrage erledigt ist, danach für die Dauer der regelmäßigen Verjährung von drei Jahren.
• Wartelisten-Einträge: bis wir dich informiert haben oder du widerrufst.
• Cookie-Einwilligung: 365 Tage im Browser; das Einwilligungsprotokoll zusätzlich so lange, wie wir die Einwilligung nachweisen müssen.
• Google Analytics 4: höchstens 14 Monate. Google-Ads-Conversion-Cookies: höchstens 90 Tage. Microsoft Clarity: gemäß den Aufbewahrungsfristen von Microsoft (siehe Abschnitt 5). Meta Pixel: siehe Datenschutzerklärung von Meta.
• Bewertungen (Judge.me): solange die Bewertung veröffentlicht ist oder bis du die Löschung verlangst.
• Server-Logfiles: nach den Fristen von Shopify.

14. Änderungen dieser Erklärung

Wir aktualisieren diese Erklärung, wenn Dienste hinzukommen oder wegfallen oder sich das Gesetz ändert. Die aktuelle Fassung findest du immer auf ngmapp.com unter „Datenschutzerklärung“ und in der App. Das Datum oben zeigt dir, wann sie zuletzt geändert wurde.