Datenschutzerklärung

1. Verantwortlicher

Younes Mahjoub
Hengsteyerstraße 11
58099 Hagen
Telefon: 0152 02507147
E-Mail: younesmahjoub@gmail.com

2. Überblick

Gapnest verarbeitet personenbezogene Daten nur, soweit dies für den Betrieb der Website, das Nutzerkonto und die angebotenen Funktionen nötig ist. Es gibt kein personenbezogenes Tracking und keine Werbung. Quellenkennungen bei schnellen Wünschen werden ausschließlich als Gesamtzahl ausgewertet.

3. Eingesetzte Dienste und Verarbeitungen

Hosting der Website (Lovable / Cloudflare)

Zweck:: Auslieferung der Website und Ausführung der Serverfunktionen.
Daten:: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser-Informationen (technisch notwendige Verbindungsdaten).
Rechtsgrundlage:: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb).
Speicherdauer:: Technische Protokolle und deren Aufbewahrung richten sich nach den geltenden Anbietervereinbarungen; eine konkrete maximale Frist wurde noch nicht verifiziert.
Drittland:: Die aktuelle offizielle DPA definiert Lovable als Lovable Labs Incorporated, 1 Lincoln St, Boston, MA 02111, USA; die DPO-Kontaktadresse nennt Lovable Labs AB, Regeringsgatan 25, 111 53 Stockholm, Schweden. Maßgeblich ist die tatsächlich vereinbarte Vertragspartei. Auslieferung auch über Cloudflare, Inc., USA. Drittlandübermittlungen und die konkret vereinbarten Schutzmaßnahmen sind vor Veröffentlichung zu prüfen.

Backend und Datenbank (Lovable Cloud)

Zweck:: Speicherung von Nutzerkonten, Wünschen, Stimmen, Meldungen, Analysen und Gutachten.
Daten:: E-Mail-Adresse, verschlüsseltes Passwort, Nutzer-ID, eingetragene Wünsche mit Ort, Stimmen, Meldungen, erstellte Gutachten, Zähler für Tageslimits.
Rechtsgrundlage:: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Nutzerkontos und der Funktionen).
Speicherdauer:: Bis zur Löschung des Kontos bzw. des jeweiligen Eintrags. Zwischengespeicherte Analysen ohne Personenbezug werden nach ihrer Gültigkeit erneuert.
Drittland:: Speicherung über Lovable Cloud. Als technischer Dienstleister wird Supabase eingesetzt; dessen offizielle DPA nennt Supabase Pte. Ltd. (Singapur), abhängig vom jeweiligen Vertrag. Der konkrete Speicherort, die Vertragspartei und Schutzmaßnahmen für Drittlandzugriffe sind anhand der geltenden Lovable-Vereinbarung vor Veröffentlichung zu bestätigen.

Login und Nutzerkonto (E-Mail)

Zweck:: Anmeldung, Schutz vor Missbrauch (z. B. höchstens 5 Wünsche pro Tag), Tageslimits für Analysen.
Daten:: E-Mail-Adresse, Passwort (als nicht rückrechenbarer Passwort-Hash), Zeitpunkt der Anmeldung, Bestätigungs-E-Mails; bestätigte Bedingungen-Version, Bestätigungszeitpunkt und Bestätigung des Mindestalters 16 Jahre (kein Geburtsdatum). Matching und Ideen-Veröffentlichung erfordern eine Bestätigung von mindestens 18 Jahren.
Rechtsgrundlage:: Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer:: Bis zur Löschung des Kontos.
Drittland:: Wie beim Backend (EU, Absicherung über EU-Standardvertragsklauseln).

Bürger-Wünsche und Stimmen

Zweck:: Sammeln und Anzeigen von Wünschen für fehlende Angebote vor Ort.
Daten:: Kategorie, Text, gewählter Ort (Koordinaten, Stadt), Zeitpunkt, Nutzer-ID; Stimmen („Will ich auch“) mit Nutzer-ID.
Rechtsgrundlage:: Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer:: Bis der Wunsch auf deine Anfrage hin gelöscht, nach einer Meldung entfernt wird oder dein Konto gelöscht wird.
Drittland:: Wie beim Backend. Hinweis: Text, Kategorie und Ort eines Wunsches sind für alle Besucher öffentlich sichtbar (ohne Name oder E-Mail). Wähle daher nicht deine genaue Wohnadresse, wenn du das nicht möchtest. Wer abgestimmt hat, ist nicht öffentlich sichtbar.

Wünsche ohne Konto und Beispiel-Wünsche

Zweck:: Niedrigschwellige Bürgerbeteiligung und Schutz vor unerwünschten Einträgen.
Daten:: Kategorie, optionaler Text (höchstens 200 Zeichen), Stadt, optionaler Stadtteil oder gerundeter Kartenpunkt, Prüfstatus und Zeitpunkt. Kein Name oder Kontaktdaten. Bitte keine personenbezogenen Angaben eintragen. Honeypot, Duplikat- und Wortfilter schützen vor Spam; Verdachtsfälle prüft ein Admin. Für höchstens 5 Wünsche ohne Konto innerhalb von 24 Stunden verarbeitet unser Server die IP kurzzeitig und speichert ausschließlich einen mit geheimem Salz geschützten HMAC-SHA-256-Hash, niemals die Klartext-IP in diesem Filter. Der Hash ist ein pseudonymes Datum und dient ausschließlich dem Spamschutz. Technische Hosting-Protokolle bleiben davon unabhängig. QR-/Kurzlink-Kennungen zählen nur abgeschickte Wünsche als Summe je Stadt/Kennung, nicht einzelne Besucher.
Rechtsgrundlage:: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Bürgerbeteiligung und Missbrauchsschutz).
Speicherdauer:: IP-Hashes verfallen nach 24 Stunden und werden automatisch gelöscht, spätestens 25 Stunden nach Eingang. Wünsche bis zur Entfernung auf Anfrage oder durch Moderation; Quellen-Zähler bleiben als anonyme Summen erhalten. Beispiel-Wünsche sind redaktionelle Beispiele ohne echte Nutzer, Stimmen oder Einfluss auf Analysen.
Drittland:: Speicherung in Lovable Cloud (EU). Öffentlich sind nur freigegebene Inhalte und der ungefähre Ort. Teilen per WhatsApp erfolgt nur auf eigenen Wunsch.

Kartendarstellung (OpenFreeMap)

Zweck:: Anzeige der Karten (Vektorkacheln, Kartenstil und Schriften).
Daten:: Dein Browser lädt Kartenkacheln, Kartenstil und Schriften direkt von tiles.openfreemap.org. Dabei werden deine IP-Adresse, die angezeigten Kartenausschnitte, Datum/Uhrzeit und Browser-Informationen an den Kachelserver übertragen.
Rechtsgrundlage:: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionierenden Kartendarstellung).
Speicherdauer:: Laut Datenschutzerklärung von OpenFreeMap (openfreemap.org/privacy, Stand 8. Oktober 2026) werden Zugriffsprotokolle ohne IP-Adresse geführt; Fehlerprotokolle mit IP-Adresse werden nach 7 Tagen gelöscht, bei Sicherheitsvorfällen nach höchstens 30 Tagen.
Drittland:: Anbieter: Hyperknot Software Kft., Ungarn (EU). OpenFreeMap kann laut eigener Angabe Cloudflare als Content-Delivery-Netzwerk einsetzen; dabei ist eine Übermittlung in die USA möglich (Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert). Kartendaten: © OpenMapTiles, © OpenStreetMap-Mitwirkende.

Adresssuche (Nominatim von OpenStreetMap)

Zweck:: Umwandlung einer eingegebenen Adresse in Koordinaten und Anzeige des Ortsnamens zu einem Kartenpunkt.
Daten:: Erst nach Enter oder Suchen übermittelt unser Server den Suchbegriff beziehungsweise gerundete Koordinaten an Nominatim; deine IP wird dabei nicht an Nominatim weitergereicht. Bitte keine Namen oder vertraulichen Angaben suchen. Identische Suchen und Rückwärtssuchen werden zwischengespeichert; der Suchschlüssel ist gehasht und keinem Konto zugeordnet. Keine Suche beim Tippen.
Rechtsgrundlage:: Art. 6 Abs. 1 lit. f DSGVO.
Speicherdauer:: Suchergebnis-Zwischenspeicher 30 Tage, danach automatische Löschung. Für Anbieter-Protokolle gelten die Datenschutzregeln der OpenStreetMap Foundation.
Drittland:: OpenStreetMap Foundation, Vereinigtes Königreich (Angemessenheitsbeschluss).

Standortfreigabe im Browser („Meinen Standort verwenden“)

Zweck:: Analyse oder Wunsch für deinen aktuellen Standort.
Daten:: Koordinaten deines Geräts – nur nach deiner ausdrücklichen Freigabe im Browser.
Rechtsgrundlage:: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit im Browser widerrufbar).
Speicherdauer:: Der Standort wird nur für die aktuelle Suche verwendet und nicht deinem Konto zugeordnet gespeichert – außer du trägst dort ausdrücklich einen Wunsch ein.
Drittland:: Keine durch Gapnest. Der Browser bzw. das Betriebssystem kann zur Ortung Dienste seines Herstellers nutzen.

Overpass-Abfragen (OpenStreetMap-Daten)

Zweck:: Laden öffentlicher Kartendaten (Geschäfte, Straßen, Haltestellen) für Analysen.
Daten:: Nur Kartenausschnitte (Koordinaten). Die Abfrage erfolgt durch unseren Server, ohne Daten über dich.
Rechtsgrundlage:: Art. 6 Abs. 1 lit. f DSGVO.
Speicherdauer:: Die öffentlichen Kartendaten werden bis zu 30 Tage zwischengespeichert.
Drittland:: Keine personenbezogenen Daten. Server in Deutschland (overpass-api.de, overpass.kumi.systems).

Overture Maps Places (Geschäftsdaten)

Zweck:: Zweite kostenlose Quelle für vorhandene Geschäfte bei der Angebotsprüfung.
Daten:: Keine Daten über dich. Ein öffentlicher Datensatz der Overture Maps Foundation (NRW, Hessen, Berlin) wird von unserem Server einmal monatlich heruntergeladen und in unserer Datenbank gespeichert; Auswertungen laufen ausschließlich serverseitig.
Rechtsgrundlage:: Art. 6 Abs. 1 lit. f DSGVO.
Speicherdauer:: Bis zum nächsten monatlichen Release, dann ersetzt.
Drittland:: Keine Übermittlung personenbezogener Daten. Download aus öffentlichen Datenspeichern der Overture Maps Foundation (Amazon Web Services, USA) – ohne Bezug zu Besuchern.

Google Places Aggregate API

Zweck:: Zählen, wie viele Anbieter eines Geschäftstyps es in einem Umkreis gibt (zweite Datenquelle).
Daten:: Nur Koordinaten, Radius und Geschäftstyp – durch unseren Server, ohne Daten über dich. Gespeichert wird nur die Anzahl.
Rechtsgrundlage:: Art. 6 Abs. 1 lit. f DSGVO.
Speicherdauer:: Anbieterzahlen standardmäßig 7 Tage, höchstens 30 aufeinanderfolgende Tage, ausschließlich zur Berechnung wesentlich umgeformter Gapnest-Einschätzungen; danach werden gespeicherte Zahlen gelöscht. Keine Rohzahlen oder Zahlenspannen für Nutzer.
Drittland:: Google LLC (USA). Es werden keine personenbezogenen Daten übermittelt.

KI-Dienst für Gutachten, Nischen-Ideen und Standortberatung

Zweck:: Erstellen kurzer Texte zu Analyseergebnissen.
Daten:: Nur berechnete Analysedaten (z. B. Straßenname, Scores, Anzahl von Anbietern, Gebietskennzahlen, Wunsch-Texte und -Kategorien in der Umgebung ohne Nutzerangaben). Keine E-Mail-Adresse, kein Name, keine Nutzer-ID.
Rechtsgrundlage:: Art. 6 Abs. 1 lit. b DSGVO (von dir angeforderte Funktion).
Speicherdauer:: Erzeugte Texte werden in unserer Datenbank zwischengespeichert. Laut Lovable-Dokumentation werden App-Endnutzerdaten nicht zum Training von Lovable-Modellen verwendet. Daraus folgt keine Zusage, dass Modellanbieter Anfragen überhaupt nicht speichern: Aufbewahrung zur Sicherheit und Fehleranalyse kann je nach Modell und Einstellungen stattfinden; konkrete Fristen sind vor Veröffentlichung zu prüfen.
Drittland:: Anfragen laufen über Lovable an den jeweils eingesetzten Modellanbieter, möglicherweise außerhalb des EWR. Die geltenden Anbieter, Aufbewahrungsregeln und vereinbarten Übermittlungsmaßnahmen müssen vor Veröffentlichung geprüft werden.

Rechner, gemerkte Ideen und Businesspläne

Zweck:: Deine Berechnungen („Rechnet sich das?“), gemerkten Ideen und Businesspläne für dich speichern und auf Wunsch einen Businessplan-Entwurf erstellen.
Daten:: Deine Eingaben im Rechner (z. B. Miete, Personal, Investition), der gewählte Ort und deine Angaben im Businessplan-Fragebogen (z. B. Name, Qualifikation, Berufserfahrung, Rechtsform, Angebot, Preise, Startdatum, Marketing). Für die Texterstellung werden diese Angaben zusammen mit den Gebietsdaten an den oben genannten KI-Dienst übertragen – ohne E-Mail-Adresse und Nutzer-ID. Gib dort nur an, was im Plan stehen soll.
Rechtsgrundlage:: Art. 6 Abs. 1 lit. b DSGVO (von dir angeforderte Funktion).
Speicherdauer:: Bis du die Berechnung oder den Plan unter „Mein Gründungsplan“ löschst oder dein Konto löschen lässt. PDF- und Word-Dateien entstehen nur in deinem Browser.
Drittland:: Für die Texterstellung wie beim KI-Dienst (Lovable AI Gateway, Schweden; Sprachmodell von OpenAI, USA; Absicherung über das EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln). Speicherung in unserer Datenbank (EU).

Kunden vor der Gründung (Ideen und Interesse)

Zweck:: Gründer stellen geplante Geschäftsideen vor; angemeldete Nutzer zeigen unverbindlich Interesse und geben Feedback.
Daten:: Bei Ideen: Titel, Geschäftstyp, Beschreibung, Angebot/Preise, optional ein Bild, geplanter Start, Status und der gewählte Standort. Öffentlich zeigen wir nur einen auf ca. 300 m gerundeten Punkt und keine Nutzer-ID; den genauen Punkt sieht nur der Gründer. Bei Reaktionen: „Ich wäre Kunde“, „Ich würde vorbestellen“ (nur unverbindliches Interesse, keine Zahlung), Häufigkeit, Feedback-Text und – nur wenn du es willst – ein auf ca. 1 km gerundeter Wohnort. Öffentlich erscheinen nur Gesamtzahlen und Feedback-Texte ohne Namen; der Gründer sieht zusätzlich grobe Entfernungsgruppen (unter 1 km / 1–3 km / weiter).
Rechtsgrundlage:: Art. 6 Abs. 1 lit. b DSGVO (von dir genutzte Funktion).
Speicherdauer:: Bis du die Idee bzw. deine Rückmeldung löschst, sie nach einer Meldung gesperrt/entfernt wird oder dein Konto gelöscht wird (Ideen, Bilder und Rückmeldungen werden dann mit gelöscht).
Drittland:: Speicherung in unserer Datenbank und unserem Dateispeicher (EU). Teilen per WhatsApp erfolgt nur, wenn du selbst auf „Per WhatsApp teilen“ tippst.

„Fehlt hier ein Laden?“ (Meldungen)

Zweck:: Angemeldete Nutzer melden Geschäfte, die in den Kartendaten fehlen, damit die Konkurrenz-Zählung genauer wird.
Daten:: Kategorie, optional Name und Anzahl der Geschäfte, gewählte Position, Zeitpunkt und deine Nutzer-ID (nur für Spamschutz und um unabhängige Bestätigungen zu erkennen, höchstens 10 Meldungen am Tag). Einzelmeldungen erscheinen anonym als Hinweis („1 Nutzer meldet …“); nach Freigabe durch uns oder Bestätigung durch zwei verschiedene Nutzer zählt die Meldung ohne Personenbezug als Quelle „Von Nutzern gemeldet“. Über „Stimmt etwas nicht?“ kannst du außerdem bestätigen, dass es hier keinen Anbieter gibt, oder melden, dass ein Laden geschlossen hat; das fließt nur als anonyme Zahl in die Datenqualität ein. Deine Nutzer-ID wird nie angezeigt.
Rechtsgrundlage:: Art. 6 Abs. 1 lit. b DSGVO (von dir genutzte Funktion) und lit. f (genauere Analysen, Spamschutz).
Speicherdauer:: Bis du dein Konto löschst; dann werden auch deine Meldungen gelöscht.
Drittland:: Speicherung in unserer Datenbank (EU).

Chancen-Alarm und Benachrichtigungen

Zweck:: Orte, Städte, Geschäftstypen oder deine eigene Idee beobachten und dich über Änderungen informieren.
Daten:: Was du beobachtest (Punkt und Umkreis, Stadt, Geschäftstyp oder Idee), die gewählte Häufigkeit, ein technischer Vergleichsstand (z. B. Anzahl Anbieter, Top-Chancen) und deine Benachrichtigungen mit Lesestatus. Die Prüfung läuft automatisch auf unserem Server, nur mit gespeicherten Daten (OpenStreetMap, Overture, Bürger-Wünsche, Gapnest-Analysen) – ohne Google und ohne KI. E-Mail-Benachrichtigungen sind derzeit ausgeschaltet; sie kommen später nur nach ausdrücklicher Bestätigung (Double-Opt-in) und mit Abmeldelink in jeder Mail.
Rechtsgrundlage:: Art. 6 Abs. 1 lit. b DSGVO (von dir genutzte Funktion).
Speicherdauer:: Bis du die Beobachtung entfernst bzw. die Benachrichtigung löschst; Benachrichtigungen spätestens nach 180 Tagen. Bei Kontolöschung werden Beobachtungen und Benachrichtigungen mit gelöscht.
Drittland:: Speicherung in unserer Datenbank (EU). Nur du kannst deine Beobachtungen und Benachrichtigungen sehen.

Gründer-Matching (Profile, Kontaktanfragen, Chat)

Zweck:: Freiwillig Mitgründer, Partner und Menschen mit Fähigkeiten finden und sicher über die App Kontakt aufnehmen.
Daten:: Anzeigename (kein Klarname nötig), Stadt (auf ca. 1 km gerundet, kein genauer Ort), Rollen, Fähigkeiten, Branchen, Verfügbarkeit, Kurztext, optional verknüpfte eigene Ideen, Sichtbarkeit sowie die Bestätigung, mindestens 18 Jahre alt zu sein. Bei Kontakt: Anfrage-Text, Status, Chat-Nachrichten (nur Text), Blockierungen und Meldungen. E-Mail-Adressen und Telefonnummern werden in Profil und Anfrage automatisch abgelehnt.
Rechtsgrundlage:: Art. 6 Abs. 1 lit. a und b DSGVO (freiwillige Nutzung, jederzeit widerrufbar durch Ausblenden oder Löschen des Profils); Moderation nach Art. 6 Abs. 1 lit. f DSGVO.
Speicherdauer:: Bis du dein Profil löschst (Anfragen und Chats werden mit gelöscht). Bei Kontolöschung werden Profil, Anfragen, Chats, Blockierungen und Meldungen automatisch mit gelöscht.
Drittland:: Speicherung in unserer Datenbank (EU). Profile sehen nur angemeldete Nutzer und nur, wenn du sie sichtbar schaltest; Chats sehen nur die beiden Beteiligten. Wird ein Chat gemeldet, kann das Gapnest-Team ihn zur Prüfung einsehen. Nutzungshinweis: Gapnest vermittelt nur den Kontakt und prüft keine Personen – teile keine Bank- oder Ausweisdaten und triff dich an öffentlichen Orten.

Schriftarten

Zweck:: Einheitliche Darstellung der Schriften.
Daten:: Die Schriften werden direkt von unserem eigenen Server geladen. Es findet keine Verbindung zu Google oder anderen Schriftanbietern statt.
Rechtsgrundlage:: Art. 6 Abs. 1 lit. f DSGVO.
Speicherdauer:: Keine gesonderte Speicherung.
Drittland:: Keine.

4. Cookies und lokaler Speicher

Gapnest setzt keine Tracking- oder Werbe-Cookies. Im lokalen Speicher deines Browsers werden deine Anmeldung (Sitzungs-Token) und die Einstellung gespeichert, dass du die Einführung gesehen oder übersprungen hast. Die Anmeldung wird beim Abmelden entfernt; die Einführungseinstellung bleibt bis zur Löschung der Browserdaten. Dies dient nur der Anmeldung und deiner gewünschten Darstellung (§ 25 Abs. 2 TDDDG); keine Weitergabe für Werbung.

5. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist z. B. die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

6. Konto löschen und Daten herunterladen

Unter „Mein Gründungsplan“ kannst du deine eigenen Daten als JSON herunterladen (Art. 15/20 DSGVO) und dein Konto nach Eingabe von „LÖSCHEN“ selbst löschen. Entfernt werden Konto, eigene Wünsche und Stimmen, Ideen einschließlich Bilder, Reaktionen, Berechnungen, Businesspläne, Beobachtungen, Benachrichtigungen, Matching-Profil, Kontaktanfragen, gemeinsame Chats, Blockierungen und Meldungen. Danach wirst du abgemeldet. Der Export enthält eigene Datensätze und eigene Chat-Nachrichten, nicht fremde private Daten. Bereits heruntergeladene Dateien oder von anderen angefertigte Kopien können wir nicht zurückrufen. Technische Anbieterprotokolle und Sicherungskopien unterliegen deren Löschfristen; ihre sofortige Entfernung aus allen Sicherungen kann nicht zugesagt werden.

Alternativ kannst du Wünsche oder dein Konto per E-Mail an younesmahjoub@gmail.com löschen lassen. Für Anträge gelten die gesetzlichen Antwortfristen, regelmäßig ein Monat. Ohne Konto hilft uns die genaue Beschreibung des Wunschs, ihn zu finden.

Stand: 4. November 2026 · Anbietervereinbarungen und rechtliche Angaben vor Veröffentlichung prüfen.