Stand: Januar 2026

Wir nehmen den Schutz Ihrer personenbezogenen Daten sehr ernst. In dieser Datenschutzerklärung informieren wir Sie gemäß Art. 13 und Art. 14 der Datenschutz-Grundverordnung (DSGVO) sowie dem Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) darüber, welche Daten wir im Rahmen der Nutzung der Plattform F3 Finanz erheben, zu welchen Zwecken wir sie verarbeiten und welche Rechte Ihnen zustehen.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist die Betreiberin der Plattform F3 Finanz, erreichbar unter der Domain f3finanz.com.

Kontakt für Datenschutzanfragen:
F3 Finanz GmbH
Marco Buttgereit
Schulredder 4, 24106 Kiel, Deutschland
E-Mail: impressum@f3finanz.de

2. Übersicht der Plattform

F3 Finanz ist eine webbasierte Plattform für die Abwicklung von Finanzierungs- und Leasinganträgen im Bereich Kraftfahrzeuge. Die Plattform umfasst folgende Bereiche:

• Ein öffentliches Portal für Informationen und Kundenanfragen
• Ein zugriffsbeschränktes Händlerportal für die Antragsverwaltung
• Ein zugriffsbeschränktes Administrationsportal für die Plattformverwaltung
• Ein zugriffsbeschränktes Bankenportal für die Bearbeitung zugewiesener Anträge

3. Kategorien verarbeiteter Daten

Im Rahmen der Nutzung der Plattform werden die folgenden Kategorien personenbezogener Daten verarbeitet:

3.1 Stammdaten

Vor- und Nachname, Geburtsdatum, Anschrift, Familienstand und weitere zur Identifikation erforderliche Angaben.

3.2 Kontaktdaten

E-Mail-Adresse, Telefonnummer und gegebenenfalls weitere Kommunikationsdaten.

3.3 Finanzdaten

Angaben zu Einkommen, Ausgaben, bestehenden Verbindlichkeiten, Wohnsituation, Mietkosten, Steuerdaten sowie Angaben zur Beschäftigungssituation und zum Arbeitgeber. Diese Daten sind für die Prüfung und Bearbeitung von Finanzierungsanträgen erforderlich.

3.4 Unternehmensdaten

Bei gewerblichen Antragstellern und Händlern: Firma, Rechtsform, Handelsregisternummer, Umsatzsteuer-Identifikationsnummer, Geschäftsadresse und branchenspezifische Angaben.

3.5 Fahrzeugdaten

Angaben zum zu finanzierenden Fahrzeug, darunter Marke, Modell, Preis, Fahrgestellnummer und Zulassungsinformationen.

3.6 Dokumenten-Uploads

Hochgeladene Dateien wie Gehaltsnachweise, betriebswirtschaftliche Auswertungen (BWA), Steuerunterlagen, Kontoauszüge, Arbeitsverträge, Fahrzeugscheine und vergleichbare Dokumente. Zulässige Dateiformate sind PDF, JPG und PNG.

3.7 Kommunikationsdaten

Inhalte aus dem internen Ticket- und Nachrichtensystem, einschließlich Betreff, Nachrichtentext und zugehöriger Dateianhänge.

3.8 Zugangsdaten

E-Mail-Adresse und Passwort (ausschließlich in kryptografisch gehashter Form gespeichert) für die Anmeldung in den zugriffsbeschränkten Bereichen.

3.9 Technische Zugriffsdaten und Protokolldateien

Bei jedem Zugriff auf die Plattform werden folgende Daten automatisch erhoben und in Protokolldateien (Logfiles) gespeichert:

• IP-Adresse des zugreifenden Geräts
• Datum und Uhrzeit des Zugriffs
• Aufgerufene Seite bzw. Ressource
• Übertragene Datenmenge
• HTTP-Statuscode
• Verwendeter Browser und Betriebssystem (User-Agent)
• Verweisende Seite (Referrer), sofern vorhanden

3.10 Audit-Protokolldaten

Zur Gewährleistung der Nachvollziehbarkeit und Sicherheit werden sicherheitsrelevante Aktionen innerhalb der Plattform protokolliert. Dabei werden erfasst: Art der Aktion, betroffene Entität, IP-Adresse, User-Agent sowie Zeitpunkt der Aktion. Diese Protokollierung erfolgt auf Grundlage unseres berechtigten Interesses an der Sicherheit und Integrität der Plattform.

4. Zwecke der Verarbeitung und Rechtsgrundlagen

4.1 Durchführung und Anbahnung von Verträgen (Art. 6 Abs. 1 lit. b DSGVO)

Die Verarbeitung von Stamm-, Kontakt-, Finanz-, Fahrzeug- und Unternehmensdaten erfolgt zur Begründung, Durchführung und Abwicklung von Finanzierungs- und Leasingverträgen. Dies umfasst insbesondere:

• Entgegennahme und Bearbeitung von Finanzierungsanträgen
• Prüfung der Bonität und Kreditwürdigkeit
• Kommunikation im Rahmen des Antragsprozesses
• Verwaltung der Händler- und Bankpartnerkonten

4.2 Erfüllung rechtlicher Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO)

Bestimmte Daten verarbeiten wir zur Erfüllung gesetzlicher Pflichten, beispielsweise handels- und steuerrechtlicher Aufbewahrungspflichten, geldwäscherechtlicher Sorgfaltspflichten sowie aufsichtsrechtlicher Anforderungen.

4.3 Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)

Auf Grundlage unseres berechtigten Interesses verarbeiten wir Daten für folgende Zwecke:

• Gewährleistung der IT-Sicherheit und des ordnungsgemäßen Betriebs der Plattform
• Erkennung und Verhinderung von Missbrauch, unbefugten Zugriffen und Betrugsversuchen
• Protokollierung sicherheitsrelevanter Vorgänge (Audit-Log)
• Fehlerbehebung und Verbesserung der Plattform
• Schutz vor automatisiertem Missbrauch mittels CAPTCHA-Technologie

4.4 Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)

Soweit wir Ihre Einwilligung für bestimmte Verarbeitungsvorgänge einholen, bildet diese die Rechtsgrundlage. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Durch den Widerruf wird die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung nicht berührt.

5. KI-gestützte Dokumentenanalyse

5.1 Beschreibung und Zweck

Zur Unterstützung der Bonitäts- und Plausibilitätsprüfung setzt die Plattform eine KI-gestützte Dokumentenanalyse ein. Dabei werden hochgeladene Dokumente wie Gehaltsnachweise, betriebswirtschaftliche Auswertungen, Steuerunterlagen und vergleichbare Finanzunterlagen maschinell ausgewertet. Ziel ist die Extraktion und Prüfung finanzieller Kennzahlen, die Bewertung der Datenqualität sowie eine erste Einschätzung der Kreditwürdigkeit.

5.2 Art der Verarbeitung

Die Analyse erfolgt unter Einsatz externer KI-Dienste. Je nach Dokumentenart werden dabei unterschiedliche Verfahren angewendet:

• Für die Mehrzahl der Dokumente werden visuelle Darstellungen (Bilder der Dokumentenseiten) an den KI-Dienst übermittelt, um eine zuverlässige Erkennung auch bei gescannten oder fotografierten Unterlagen zu ermöglichen.
• Für besonders sensible Dokumente wie Personalausweise erfolgt ausschließlich eine textbasierte Analyse. Das Dokument selbst wird in diesen Fällen nicht an externe Dienste übermittelt, sondern es wird lediglich der zuvor lokal extrahierte Text verarbeitet.

5.3 Keine ausschließlich automatisierte Entscheidungsfindung

Die KI-gestützte Analyse dient ausschließlich als Unterstützungswerkzeug für die menschliche Entscheidungsfindung. Es findet keine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 Abs. 1 DSGVO statt, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt. Die Ergebnisse der KI-Analyse werden stets von qualifizierten Mitarbeitern geprüft, bevor eine Entscheidung über einen Finanzierungsantrag getroffen wird.

5.4 Rechtsgrundlage

Die KI-gestützte Dokumentenanalyse erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen) in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer effizienten und zuverlässigen Kreditprüfung).

5.5 Ergebnisspeicherung

Die Ergebnisse der KI-Analyse werden in der Datenbank der Plattform gespeichert. Gespeichert werden insbesondere: erkannter Dokumententyp, extrahierte Finanzkennzahlen, berechnete Verhältniskennzahlen, ein Zuverlässigkeitsscore, eine Risikoeinschätzung sowie eine zusammenfassende Bewertung. Die gespeicherten Analyseergebnisse unterliegen denselben Speicherfristen und Löschkonzepten wie die zugrundeliegenden Antragsdaten.

5.6 Ihre Rechte im Zusammenhang mit der KI-Analyse

Sie haben das Recht, eine Erläuterung der KI-gestützten Bewertung zu verlangen, Ihren Standpunkt geltend zu machen und eine Überprüfung des Ergebnisses durch einen Menschen zu erwirken. Wenden Sie sich hierfür an die unter Abschnitt 1 genannte Kontaktadresse.

6. Cookies und Session-Verwaltung

6.1 Technisch notwendige Cookies

Die Plattform verwendet ein Session-Cookie, das für die Bereitstellung der Plattformfunktionalität technisch zwingend erforderlich ist. Dieses Cookie dient ausschließlich der Aufrechterhaltung Ihrer Sitzung nach dem Login und enthält keine personenbezogenen Daten. Das Cookie wird mit den Sicherheitsattributen HttpOnly, Secure und SameSite konfiguriert, um unbefugten Zugriff zu verhindern. Es wird beim Schließen des Browsers oder bei Ablauf der Sitzung automatisch gelöscht.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TTDSG (technisch erforderliches Cookie) in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO.

6.2 Keine Tracking- oder Analyse-Cookies

Die Plattform setzt keine Tracking-Cookies, Analyse-Cookies oder Cookies zu Werbezwecken ein.

7. CAPTCHA-Schutz

Zum Schutz vor automatisiertem Missbrauch (z. B. durch Bots) setzen wir auf öffentlichen Formularen einen CAPTCHA-Dienst ein. Dabei wird im Hintergrund geprüft, ob eine Eingabe von einem Menschen oder einem automatisierten Programm stammt. Im Rahmen dieser Prüfung können technische Daten wie IP-Adresse, Browserdaten und Interaktionsverhalten an den Anbieter des CAPTCHA-Dienstes übermittelt werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor automatisiertem Missbrauch) sowie § 25 Abs. 2 Nr. 2 TTDSG.

8. E-Mail-Benachrichtigungen

Im Rahmen der Nutzung der Plattform versenden wir E-Mail-Benachrichtigungen, insbesondere bei:

• Eingang neuer Finanzierungsanträge
• Statusänderungen bestehender Anträge
• Neuen Nachrichten im Ticket-System
• Upload neuer Dokumente
• Sicherheitsrelevanten Ereignissen (z. B. Passwortrücksetzung)

Der Versand erfolgt über einen SMTP-Server. Die E-Mail-Kommunikation wird transportverschlüsselt (TLS) übermittelt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der zeitnahen Information der Beteiligten).

9. Weitergabe von Daten an Dritte

9.1 Bankpartner

Zur Bearbeitung von Finanzierungsanträgen können Antragsdaten einschließlich hochgeladener Dokumente an kooperierende Bankpartner weitergeleitet werden, denen der jeweilige Antrag zugewiesen wurde. Die Weitergabe erfolgt ausschließlich im Rahmen und zum Zweck der Antragsbearbeitung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Anfrage der betroffenen Person).

9.2 Hosting-Dienstleister

Die Plattform wird auf Servern innerhalb der Europäischen Union betrieben. Der Hosting-Dienstleister verarbeitet die Daten in unserem Auftrag und ausschließlich nach unserer Weisung auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO.

9.3 KI-Dienstleister

Für die KI-gestützte Dokumentenanalyse werden Daten an spezialisierte KI-Dienstleister übermittelt. Die Übermittlung erfolgt auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO. Sofern eine Übermittlung in ein Drittland (außerhalb des EWR) stattfindet, erfolgt diese ausschließlich auf Grundlage angemessener Garantien gemäß Art. 46 DSGVO, insbesondere auf Basis von EU-Standardvertragsklauseln oder eines Angemessenheitsbeschlusses der Europäischen Kommission gemäß Art. 45 DSGVO.

9.4 E-Mail-Dienstleister

Für den Versand von E-Mail-Benachrichtigungen nutzen wir einen SMTP-Dienstleister, der die Daten in unserem Auftrag und nach unserer Weisung verarbeitet.

9.5 Keine sonstige Weitergabe

Eine darüber hinausgehende Weitergabe personenbezogener Daten an Dritte findet nicht statt, es sei denn, wir sind gesetzlich dazu verpflichtet oder Sie haben ausdrücklich eingewilligt.

10. Übermittlung in Drittländer

Die Plattform wird auf Servern innerhalb der Europäischen Union betrieben. Eine Übermittlung personenbezogener Daten in Länder außerhalb des Europäischen Wirtschaftsraums (EWR) findet grundsätzlich nur im Zusammenhang mit der KI-gestützten Dokumentenanalyse statt (siehe Abschnitt 5). In diesem Fall stellen wir durch geeignete Garantien sicher, dass ein angemessenes Datenschutzniveau gewährleistet ist. Dies erfolgt insbesondere durch:

• Angemessenheitsbeschlüsse der Europäischen Kommission gemäß Art. 45 DSGVO
• EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO
• Auftragsverarbeitungsverträge mit den jeweiligen Dienstleistern

11. Speicherdauer und Löschkonzept

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Verarbeitungszwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen dies vorsehen.

11.1 Antragsdaten

Daten zu Finanzierungsanträgen werden für die Dauer des Antragsprozesses und anschließend für die Dauer gesetzlicher Aufbewahrungspflichten gespeichert. Handels- und steuerrechtliche Aufbewahrungsfristen betragen in der Regel sechs bis zehn Jahre nach Ablauf des Kalenderjahres, in dem der Antrag abgeschlossen wurde.

11.2 Audit-Protokolle

Sicherheitsprotokolle werden für einen konfigurierbaren Zeitraum vorgehalten und danach automatisiert gelöscht. Der Aufbewahrungszeitraum richtet sich nach dem Grundsatz der Datenminimierung und beträgt in der Regel nicht mehr als zwölf Monate, sofern keine gesetzlichen Aufbewahrungspflichten eine längere Speicherung erfordern.

11.3 Server-Logfiles

Technische Zugriffsprotokolle werden für einen Zeitraum von bis zu 30 Tagen gespeichert und anschließend gelöscht.

11.4 KI-Analyseergebnisse

Die Ergebnisse der KI-gestützten Dokumentenanalyse werden zusammen mit dem jeweiligen Antrag gespeichert und unterliegen denselben Löschfristen.

11.5 Benutzerkonten

Zugangsdaten für Händler- und Bankpartnerkonten werden für die Dauer der Geschäftsbeziehung gespeichert. Nach Beendigung der Geschäftsbeziehung werden die Konten deaktiviert und die Daten nach Ablauf etwaiger gesetzlicher Aufbewahrungsfristen gelöscht.

12. Betroffenenrechte

Ihnen stehen die folgenden Rechte in Bezug auf Ihre personenbezogenen Daten zu:

12.1 Recht auf Auskunft (Art. 15 DSGVO)

Sie haben das Recht, Auskunft darüber zu verlangen, ob und welche personenbezogenen Daten wir über Sie verarbeiten. Sie erhalten auf Anfrage eine Kopie der verarbeiteten Daten.

12.2 Recht auf Berichtigung (Art. 16 DSGVO)

Sie haben das Recht, die unverzügliche Berichtigung unrichtiger oder die Vervollständigung unvollständiger personenbezogener Daten zu verlangen.

12.3 Recht auf Löschung (Art. 17 DSGVO)

Sie haben das Recht, die Löschung Ihrer personenbezogenen Daten zu verlangen, sofern die Voraussetzungen des Art. 17 DSGVO vorliegen. Dies gilt insbesondere, wenn die Daten für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind oder Sie Ihre Einwilligung widerrufen haben. Das Löschrecht besteht nicht, soweit die Verarbeitung zur Erfüllung gesetzlicher Aufbewahrungspflichten erforderlich ist.

12.4 Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen, wenn eine der in Art. 18 DSGVO genannten Voraussetzungen vorliegt.

12.5 Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie haben das Recht, die Sie betreffenden personenbezogenen Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Sie haben ferner das Recht, diese Daten einem anderen Verantwortlichen zu übermitteln.

12.6 Widerspruchsrecht (Art. 21 DSGVO)

Soweit wir Ihre Daten auf Grundlage eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen die Verarbeitung einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen.

12.7 Recht auf Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)

Soweit die Verarbeitung auf Ihrer Einwilligung beruht, haben Sie das Recht, diese Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Durch den Widerruf wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt.

12.8 Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt, haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Sie können sich dabei an die Aufsichtsbehörde Ihres Aufenthaltsortes, Ihres Arbeitsplatzes oder des Ortes des mutmaßlichen Verstoßes wenden.

13. Datensicherheit

Wir setzen umfangreiche technische und organisatorische Maßnahmen ein, um Ihre personenbezogenen Daten gegen Verlust, Zerstörung, Manipulation und unbefugten Zugriff zu schützen. Hierzu gehören insbesondere:

• Verschlüsselte Datenübertragung mittels TLS/SSL (HTTPS) für alle Verbindungen zur Plattform
• Kryptografisches Passwort-Hashing mit automatischem Rehashing bei Bedarf
• Session-Cookies mit den Sicherheitsattributen HttpOnly, Secure und SameSite
• Zugriffsbeschränkungen durch rollenbasierte Authentifizierung und Autorisierung
• Schutz vor automatisierten Angriffen durch Brute-Force-Erkennung und Konto-Sperrung nach wiederholten Fehlversuchen
• CSRF-Schutz (Cross-Site Request Forgery) für alle zustandsverändernden Anfragen
• Einschränkung zulässiger Upload-Dateitypen auf PDF, JPG und PNG
• Prepared Statements für alle Datenbankabfragen zum Schutz vor SQL-Injection
• Umfassende Audit-Protokollierung sicherheitsrelevanter Aktionen
• Regelmäßige Überprüfung und Aktualisierung der Sicherheitsmaßnahmen
• Wartungsmodus mit automatischer Invalidierung aktiver Sitzungen
• Serverstandort innerhalb der Europäischen Union

14. Auftragsverarbeitung

Soweit wir externe Dienstleister einsetzen, die in unserem Auftrag personenbezogene Daten verarbeiten, haben wir mit diesen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO geschlossen. Diese Verträge stellen sicher, dass die Dienstleister die Daten ausschließlich nach unserer Weisung verarbeiten und angemessene technische und organisatorische Sicherheitsmaßnahmen einhalten.

Auftragsverarbeiter werden insbesondere in folgenden Bereichen eingesetzt:

• Webhosting und Serverbetrieb
• E-Mail-Versand
• KI-gestützte Dokumentenanalyse
• CAPTCHA-Schutz

15. Aktualisierung dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte rechtliche Rahmenbedingungen oder bei Änderungen der Plattform oder der Datenverarbeitung anzupassen. Die jeweils aktuelle Fassung ist stets auf der Plattform abrufbar. Wesentliche Änderungen werden wir registrierten Nutzern in geeigneter Weise mitteilen.