Zum Inhalt springen
Boxenplan

Datenschutzerklärung

Diese Erklärung gilt für die Website boxenplan.com und für die Boxenplan-App, die wir für Autohäuser betreiben (erreichbar unter kundenspezifischen Adressen wie pz.boxenplan.com). Sie gilt außerdem für unsere Ansprache von Unternehmen per Brief und Telefon (Abschnitt 5).

1. Verantwortlicher

Felix Züchner, Boxenplan, c/o flexdienst – #20508, Kurt-Schumacher-Straße 76, 67663 Kaiserslautern, Deutschland, E-Mail [email protected], Telefon +49 212 25085094-10.

Eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter ist nicht benannt; eine Benennungspflicht nach Art. 37 DSGVO / § 38 BDSG besteht nicht.

Abgrenzung: Wer ist wofür verantwortlich?

Für die Inhalte der Website sind wir Verantwortlicher im Sinne der DSGVO. Für die Mitarbeiterdaten in der App ist dagegen das jeweilige Autohaus als unser Kunde verantwortlich; wir verarbeiten diese Daten ausschließlich weisungsgebunden als Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO (siehe AVV). Beschäftigte eines Kunden richten Auskunfts- und Löschverlangen bitte an ihren Arbeitgeber; wir leiten Anfragen dorthin weiter. Dasselbe gilt für die Daten der Personen, die bei einem Kunden ein Fahrzeug leihen oder mieten, etwa im Kundenstamm (Abschnitt 6): Verantwortlich ist der Kunde, Auskunft, Widerspruch und Löschung richten sie bitte an ihn.

2. Hosting und Bereitstellung

Die Anwendung läuft auf einem von uns verwalteten virtuellen Server im Rechenzentrum Nürnberg (Deutschland) der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen. Hetzner stellt die Infrastruktur (Server, Speicher, Netzanbindung) bereit und ist unser Auftragsverarbeiter; mit Hetzner besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Die Betriebsdaten der Anwendung liegen auf einem verschlüsselten Datenträger (siehe Anlage 1 des AVV). Tägliche Sicherungen werden verschlüsselt auf einem Speicher von Hetzner am Standort Falkenstein (Deutschland) abgelegt, 30 Tage aufbewahrt und danach automatisch gelöscht. Durch das Hosting findet keine Übermittlung in Drittländer statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere und zuverlässige Betrieb.

Jeder Betrieb, der Boxenplan nutzt, wird als eigener Mandant mit einer eigenen Datenbank und einem eigenen Ablageordner für Fotos und Vertragsdokumente betrieben; die Daten verschiedener Betriebe werden nicht in gemeinsamen Tabellen gespeichert. Zugangscodes und Benachrichtigungen gelten nur innerhalb des eigenen Betriebs. Einzelheiten stehen in Anlage 1 des AVV.

Der Zugang aus dem Internet läuft über Cloudflare (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA) als Content-Delivery-Network, Reverse Proxy und Tunnel-Dienst. Cloudflare verarbeitet dabei IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Referrer und Browserkennung, um die Auslieferung technisch zu ermöglichen und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere und störungsfreie Betrieb.

Drittlandtransfer: Dabei können Daten in die USA und weitere Drittländer übermittelt werden. Cloudflare, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend haben wir mit Cloudflare die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914) nebst Auftragsverarbeitungsvertrag geschlossen. Trotz dieser Garantien lässt sich ein Zugriff staatlicher Stellen in den USA nicht vollständig ausschließen. Eine auf die EU beschränkte Auslieferung („Regional Services“ bzw. „Data Localization Suite“) haben wir nicht gebucht.

Server-Logs

Beim Aufruf werden technische Zugriffsdaten protokolliert (IP-Adresse, Zeitpunkt, angefragte Adresse, Statuscode, übertragene Datenmenge, Browser- und Betriebssystemkennung). Sie dienen dem Betrieb, der Fehlersuche und der Sicherheit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: Die Protokolle des Servers werden nach 7 Tagen automatisch gelöscht. Die Anwendung selbst führt kein Zugriffsprotokoll mit IP-Adressen; ihre Betriebsmeldungen (etwa Fehler) werden auf dem verschlüsselten Datenträger abgelegt und ab einer festen Größe überschrieben. Eine Zusammenführung dieser Daten mit anderen Datenquellen findet nicht statt.

Anonyme Zugriffszählung

Wir zählen, wie oft eine Seite an einem Tag aufgerufen wurde, und – sofern Ihr Browser sie mitsendet – die Domain der verweisenden Seite (etwa einer Suchmaschine). Gespeichert wird ausschließlich ein Tageszähler je Seite, also eine reine Zahl. Dabei werden keine Cookies gesetzt und weder IP-Adressen noch Kennungen, Gerätemerkmale oder einzelne Aufrufe gespeichert; eine Wiedererkennung von Besucherinnen und Besuchern ist damit ausgeschlossen, ein Personenbezug entsteht nicht. Die Zählung läuft auf unserem eigenen Server, ein externer Dienst kommt nicht zum Einsatz. Da hierfür weder Informationen auf Ihrem Endgerät gespeichert noch ausgelesen werden, ist keine Einwilligung nach § 25 TDDDG erforderlich. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datensparsamen Reichweitenmessung). Speicherdauer: rund 13 Monate, danach automatische Löschung.

3. Keine Cookies, kein Tracking

Wir setzen keine Analyse-, Werbe- oder Tracking-Dienste ein, binden keine externen Schriftarten, Karten, Videos oder Social-Media-Elemente ein und setzen keine Cookies. Deshalb gibt es auch kein Cookie-Banner. Die oben beschriebene anonyme Zugriffszählung kommt ohne Cookies und ohne personenbezogene Daten aus.

In der App speichert Ihr Gerät nach der Anmeldung ein Zugangs-Token lokal im Browser (localStorage), damit Sie angemeldet bleiben; ebenso die Einstellung für hell/dunkel und den Hinweis, dass die Bedienhilfe bereits angezeigt wurde. Diese Speicherung ist für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und benötigt daher keine Einwilligung. Die Daten verlassen Ihr Gerät nicht und werden beim Abmelden gelöscht.

Auf der Website speichert Ihr Browser nur dann einen Wert lokal (localStorage, Schlüssel bp_thema), wenn Sie den Schalter für helles oder dunkles Design benutzen. Er enthält allein diese Wahl, verlässt Ihr Gerät nicht und ist für die von Ihnen gewünschte Darstellung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

4. Kontaktformular „Anfrage“, Anfragen per E-Mail und Support-Chat

Wenn Sie das Formular absenden, verarbeiten wir die dort eingegebenen Angaben: Name, Betrieb, eine Kontaktmöglichkeit (E-Mail-Adresse oder Telefonnummer), optional eine Nachricht und das gewählte Anliegen (etwa Schulung, Preise), dazu Zeitpunkt der Anfrage sowie – zum Schutz vor Missbrauch – die gekürzte IP-Adresse.

Die Anfrage wird ausschließlich auf unserem Server gespeichert und nicht per E-Mail weitergeleitet. Ein Captcha-Dienst oder ein externes Formular-Tool kommt nicht zum Einsatz. Antworten wir Ihnen per E-Mail, versenden wir diese über mailbox.org (siehe Abschnitt 8).

Anfragen per E-Mail

Schreiben Sie uns an [email protected], verarbeiten wir die Angaben, die Sie selbst mitschicken: Absenderadresse und Name, angeschriebene Adresse, Betreff, Text, Anhänge sowie Datum und Uhrzeit.

Support-Chat aus der App

Beschäftigte unserer Kunden können in der App unter „Mehr“ einen Support-Chat mit uns öffnen; die Leitung eines Betriebs kann dort zusätzlich Verbesserungen vorschlagen. Verarbeitet werden der Text der Nachricht, mitgeschickte Fotos, Name, Rolle und Abteilung der schreibenden Person, der Betrieb und der Zeitpunkt.

5. Direktwerbung an Unternehmen

Wir sprechen Autohäuser, Werkstattbetriebe und Autovermietungen von uns aus an, um sie auf Boxenplan aufmerksam zu machen: mit einem Brief, den wir selbst drucken und mit der Deutschen Post verschicken, und in der Regel eine Woche später mit einem Anruf. Dafür führen wir in unserer internen Verwaltung eine Liste von Unternehmen. Personenbezogen sind darin vor allem die Angaben zu Ansprechpersonen, bei Einzelunternehmen auch Firma und Anschrift.

Ihr Widerspruchsrecht gegen Direktwerbung

Sie können der Verarbeitung Ihrer Daten zum Zweck der Direktwerbung jederzeit und ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO). Es genügt eine kurze Nachricht an [email protected], ein Brief an Boxenplan, c/o flexdienst – #20508, Kurt-Schumacher-Straße 76, 67663 Kaiserslautern, oder ein Satz am Telefon. Nach einem Widerspruch verarbeiten wir Ihre Daten nicht mehr für Direktwerbung (Art. 21 Abs. 3 DSGVO): Wir löschen den Eintrag mit allem, was daran hängt, und schreiben und rufen Sie nicht mehr an. Damit das auch bei einer späteren Adressliste so bleibt, behalten wir dauerhaft nur den Firmennamen und das Datum des Widerspruchs als Sperrvermerk; ein gesperrtes Unternehmen lässt sich bei uns nicht erneut erfassen. Rechtsgrundlage für den Sperrvermerk ist unser berechtigtes Interesse, Ihren Widerspruch dauerhaft zu beachten (Art. 6 Abs. 1 lit. f DSGVO). Der gelöschte Eintrag selbst ist nach dem Löschen noch bis zu 30 Tage in unseren verschlüsselten Sicherungen enthalten und wird dann automatisch entfernt.

6. Anmeldung in der App (Zugangscode)

Beschäftigte des Kunden melden sich mit einem persönlichen Zugangscode an, den ihre Leitung vergibt. Verarbeitet werden Name, Rolle und Abteilung, der Zugangscode sowie ein zufälliges Sitzungs-Token. Ein Konto mit E-Mail-Adresse oder Passwort ist nicht erforderlich.

Eine Person kann auf bis zu fünf Geräten gleichzeitig angemeldet sein; jedes Gerät erhält ein eigenes Sitzungs-Token. Zu jeder Anmeldung speichern wir den Gerätetyp und den Browser (abgeleitet aus der Browserkennung, etwa „iPhone · Safari“), den Zeitpunkt der ersten Anmeldung und den Zeitpunkt der letzten Nutzung. IP-Adressen, die vollständige Browserkennung und Standortdaten speichern wir dafür nicht. Diese Angaben dienen allein dazu, dass jede Person ihre angemeldeten Geräte erkennen und einzeln abmelden kann. Jede Person sieht ihre Geräte unter „Mehr“ → „Meine Geräte“; die Leitung des Kunden kann die Geräte eines Kontos einsehen und abmelden, etwa wenn ein Gerät verloren geht.

Ein Token bleibt gültig, bis sich das Gerät abmeldet, es aus der Ferne abgemeldet wird, die Leitung den Code zurücksetzt oder die Anmeldung 90 Tage lang nicht genutzt wurde – dann endet sie automatisch. Mit dem Ende einer Anmeldung löschen wir auch die zugehörige Push-Registrierung des Geräts. Meldet sich eine Person auf einem sechsten Gerät an, endet die am längsten ungenutzte Anmeldung. Verantwortlich für diese Verarbeitung ist der jeweilige Kunde; Rechtsgrundlage ist dort in der Regel § 26 BDSG bzw. Art. 6 Abs. 1 lit. b und f DSGVO. Wir handeln als Auftragsverarbeiter.

Für das Vertragsarchiv richten Beschäftigte einen zweiten Faktor ein (Einmalcode aus einer Authenticator-App). Dabei speichern wir auf dem Server das dafür nötige Geheimnis sowie den Wiederherstellungscode, letzteren nur als Hash. Jeder Abruf eines Vertragsdokuments oder einer Ausweiskopie wird mit Zeitpunkt, handelnder Person, IP-Adresse und Gerät (Browserkennung) protokolliert; dieses Protokoll dient ausschließlich dem Nachweis der Zugriffskontrolle, ist für die Leitung des Kunden einsehbar und wird zusammen mit den Vertragsdokumenten aufbewahrt (siehe AVV, Anlage 1).

Änderungen an Daten in der App – etwa das Anlegen, Ändern oder Löschen einer Ausleihe, eines Schadens, einer Aufgabe oder eines Eintrags im Kundenstamm, Statuswechsel und Freigaben – werden in einem Aktivitätsprotokoll festgehalten: Zeitpunkt, handelnde Person, betroffener Datensatz, bei Wertänderungen der alte und der neue Wert, bei Löschungen der angegebene Grund sowie eine kurze Gerätebezeichnung (Gerätetyp und Browser); IP-Adressen werden dort nicht gespeichert. Einträge zum Kundenstamm nennen nur die Kundennummer, die Namen geänderter Felder und Anzahlen, nie Namen oder Kontaktdaten der Person: das Löschen eines Kunden steht dort mit Kundennummer und Grund, eine erteilte Datenauskunft mit Kundennummer und Form (PDF oder JSON), ein Import nur mit Zahlen. Führerschein- und Geburtsangaben stehen nie mit ihrem Wert im Protokoll, nur ob sie eingetragen sind. Festgehalten wird außerdem, wenn ein Gerät abgemeldet wird – aus der Ferne, durch die Leitung, beim Zurücksetzen des Zugangscodes oder weil die Gerätegrenze erreicht war. Reines Ansehen von Inhalten, Anmeldungen, das Abmelden am eigenen Gerät, Chat-Nachrichten, Push-Einstellungen, Standort- und Nutzungszeiten werden nicht erfasst. Das Protokoll lässt sich nachträglich nicht ändern, ist ausschließlich für die Leitung des Kunden einsehbar und wird nach 12 Monaten automatisch gelöscht. Es dient der Nachvollziehbarkeit von Änderungen (Art. 32 DSGVO), nicht der Leistungs- oder Verhaltenskontrolle (siehe Abschnitt 11).

Um das Durchprobieren von Zugangscodes zu verhindern, zählen wir fehlgeschlagene Anmeldeversuche in drei Stufen. Je eingegebenem Code: nach fünf Fehlversuchen auf denselben Code ist dieser Code 15 Minuten gesperrt; die Sperre endet von selbst, die Leitung des Kunden wird benachrichtigt und kann sie früher aufheben. Der Code wird dafür nicht gespeichert, sondern nur ein mit einem Schlüssel je Installation gebildeter Hashwert, dazu die Zahl der Fehlversuche, eine kurze Gerätebezeichnung und die Zeitpunkte – niemals der eingegebene Code selbst. Je Absenderadresse verzögert sich ab dem zehnten Fehlversuch jede weitere Antwort um zwei Sekunden; gesperrt wird eine Adresse nie, damit ein gemeinsam genutzter Anschluss niemanden aussperrt. Für die gesamte Installation gilt zusätzlich eine Obergrenze an Fehlversuchen je Minute, die nur im Arbeitsspeicher gezählt wird. Bereits angemeldete Geräte sind von alledem nicht betroffen. Eine erfolgreiche Anmeldung löscht die Zählungen, andernfalls verfallen sie nach 24 Stunden. Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit der Verarbeitung (Art. 6 Abs. 1 lit. f, Art. 32 DSGVO).

Im Fuhrpark unterscheidet die App drei Nutzungsarten. Beim Kundenleihwagen gilt das oben Beschriebene. Bei einer Dienstfahrt fährt eine beschäftigte Person des Kunden; erfasst werden Fahrzeug, Name, Zeitraum, Kilometerstände und auf Wunsch ein Zweck – ein Vertrag, eine Unterschrift oder Ausweiskopien entstehen dabei nicht. Bei einer Probefahrt verarbeiten wir Name und Telefonnummer der interessierten Person, ein Foto des Führerscheins, die geplante Dauer, die begleitende Person aus dem Verkauf sowie Kilometerstände und Schadensangaben. Wird ein Probefahrt-Protokoll erstellt, enthält es zusätzlich die Unterschrift der interessierten Person samt Signaturprotokoll. Das Foto des Führerscheins erscheint ausschließlich als Seite dieses Dokuments und ist nicht einzeln abrufbar. Verantwortlich ist auch hier der jeweilige Kunde.

Angebote übermitteln wir Interessenten als persönlichen Link auf boxenplan.com (zufälliger Zugang, 30 Tage gültig, nicht indexierbar). Nimmt eine Person das Angebot dort an, speichern wir zur Nachvollziehbarkeit des Vertragsschlusses Name, Funktion, Zeitpunkt, Netzwerkadresse und eine kurze Gerätebezeichnung (Art. 6 Abs. 1 lit. b DSGVO). Diese Angaben bleiben zusammen mit dem Angebot für die Dauer der Geschäftsbeziehung und der gesetzlichen Aufbewahrungsfristen gespeichert.

Für die Einrichtung schicken wir einem neuen Kunden einen persönlichen Link auf boxenplan.com (zufälliger Zugang, 30 Tage gültig, nicht indexierbar). Darüber lädt der Kunde seine Unterlagen hoch: die Fahrzeugliste, eine Liste der Mitarbeiter mit Name, Abteilung und Rolle, seine Vertragsvorlage und bei Bedarf weitere Dateien. Wir verwenden sie nur, um Boxenplan für diesen Betrieb einzurichten, und löschen sie 90 Tage nach dem Eingang; in unseren verschlüsselten Sicherungen sind sie danach noch höchstens 30 Tage enthalten. IP-Adressen werden dabei nicht gespeichert. Für die Mitarbeiterdaten ist der Kunde verantwortlich, wir handeln als Auftragsverarbeiter (siehe AVV).

Über einen Kunden-Link kann der Kunde die Person, die ein Fahrzeug leiht, bitten, ihre Angaben vorab selbst einzutragen. Der Link besteht aus einem zufälligen Zugang, gilt 48 Stunden und nur für die eine Buchung; die Seite ist nicht indexierbar und erfordert keine Anmeldung. Die Person trägt auf dem eigenen Gerät Anrede, Name, Anschrift, Telefonnummer und E-Mail-Adresse ein, kann Führerschein und Personalausweis fotografieren und bestätigt die Datenschutzhinweise des Kunden. Ist die Buchung mit dem Eintrag der Person im Kundenstamm des Kunden verknüpft, zeigt die Seite die Kontaktdaten dieser Buchung (beim Übernehmen aus dem Kundenstamm dessen Angaben) zum Prüfen an, aber erst nach Eingabe der Postleitzahl ihrer Anschrift, wie sie in der Buchung steht (höchstens fünf Versuche je Link); vorher erscheint nur der Name. Ist der Kundenstamm eingeschaltet, steht der Hinweis zur Speicherung für künftige Ausleihen samt Widerspruchsrecht über einem Kästchen, mit dem die Person der Speicherung widerspricht; der Widerspruch wirkt mit dem Absenden. Die Angaben werden verschlüsselt übertragen und beim Kunden zunächst getrennt von der Buchung als „vom Kunden ausgefüllt“ abgelegt, bis eine beschäftigte Person sie prüft und übernimmt oder verwirft; erst mit der Übernahme werden die Fotos Teil des Vertragsdokuments. Nicht übernommene Angaben und Fotos werden 30 Tage nach Ende der Buchung automatisch gelöscht, mit der Buchung auch früher. Es werden dabei keine IP-Adressen und keine Standorte gespeichert; im Aktivitätsprotokoll steht nur, dass und wann Angaben eingegangen sind. Verantwortlich ist der jeweilige Kunde.

Im Modul Begrüßung führt der Kunde eine Tagesliste seines Empfangs: Anrede und Name der erwarteten Person, Uhrzeit, Anlass des Besuchs, zuständige beschäftigte Person, Kennzeichen oder Fahrzeug, eine kurze Notiz und Stichworte für den Empfang, dazu Kästchen, ob E-Mail-Adresse und Telefonnummer vorliegen, ob eine Einwilligungserklärung des Kunden für Werbung und Kontaktaufnahme (EWE, ein eigenes Dokument des Kunden, nicht der Leihvertrag) vorliegt, ob der Termin bestätigt, ein Leihwagen gebucht und das Fahrzeug bereitgestellt ist, sowie der Zeitpunkt der Ankunft. Die Kontaktdaten selbst werden dort nicht gespeichert, nur ob sie vorliegen. Übergaben, Rückgaben und Probefahrten des Tages werden beim Anzeigen aus der Leihwagenverwaltung übernommen und nicht gesondert abgelegt. Ob eine EWE vorliegt, wird auch an der Ausleihe als Ja/Nein vermerkt; bei einer späteren Buchung derselben Person (gleicher Nachname und gleiche Telefonnummer) wird dieser Vermerk vorbelegt. Bei der Ankunft erhält die zuständige Person eine Push-Benachrichtigung mit Anrede und Name. Einträge werden 30 Tage nach dem Besuchstag automatisch gelöscht; wer nicht erschienen ist, wird bis dahin so gekennzeichnet. Änderungen stehen im Aktivitätsprotokoll (Abschnitt 6). Verantwortlich ist der jeweilige Kunde; Rechtsgrundlage ist die Durchführung des Vertrags mit der besuchenden Person (Art. 6 Abs. 1 lit. b DSGVO) bzw. das berechtigte Interesse des Kunden an einem geordneten Empfang (Art. 6 Abs. 1 lit. f DSGVO).

Betreibt ein Kunde eine Autovermietung (Betriebsart in der Verwaltung), kommen weitere Angaben hinzu. Reserviert wird dort auf eine Fahrzeugklasse; das konkrete Fahrzeug wird später zugewiesen. Zu einer Buchung gehören Name, Anschrift, Telefonnummer, E-Mail-Adresse und Geburtsdatum der mietenden Person und jeder eingetragenen zusatzfahrenden Person, der Zeitraum, die gewählten Zusatzleistungen, der beim Buchen festgeschriebene Tarif, eine etwaige Anzahlung sowie Kaution und Zahlungsstand. Bei Firmenkunden kommt der Firmenname hinzu; Umsatzsteuer-Identifikationsnummer und vereinbarte Konditionen der Firma führt der Kunde im Kundenstamm (unten).

Für die Führerscheinprüfung verarbeitet der Kunde an der einzelnen Buchung Führerscheinnummer und -klassen, Ausstellungs- und Gültigkeitsdatum, die ausstellende Behörde, das Geburtsdatum und das Gültigkeitsdatum des Ausweises, dazu Aufnahmen von Führerschein und Ausweis. Eine Ausweisnummer wird nicht erfasst. Daraus prüft die App vor jeder Miete Mindestalter, Dauer des Führerscheinbesitzes und Gültigkeit, für die mietende Person und jede zusatzfahrende Person gleichermaßen (den Ausweis nur bei der mietenden Person). Diese Angaben stehen nur an der Buchung, nie im Kundenstamm. An der Buchung leert die App sie zehn Jahre nach dem Ende der Miete automatisch, auch bei den zusatzfahrenden Personen; das ist die handels- und steuerrechtliche Aufbewahrungsfrist. Im Vertragsdokument, das sie samt den Aufnahmen enthält, und in einer erteilten Fahrerauskunft (unten) bleiben sie erhalten: Vertragsdokumente löscht die App nicht automatisch, sondern nur der Kunde selbst mit Angabe eines Grundes. Die Aufnahmen erscheinen ausschließlich im Vertragsdokument und sind nicht einzeln abrufbar; wird eine Buchung gelöscht, löscht die App ihre Aufnahmen mit (in einem bereits freigegebenen Vertragsdokument bleiben sie). Rechtsgrundlage ist die Durchführung des Mietvertrags (Art. 6 Abs. 1 lit. b DSGVO); die Prüfung selbst dient zugleich dem berechtigten Interesse des Kunden, ein Fahrzeug nur an berechtigte Personen herauszugeben (Art. 6 Abs. 1 lit. f DSGVO).

Bei Übergabe und Rückgabe entstehen Pflichtaufnahmen des Fahrzeugs (vier Seiten, Tachostand, Tankanzeige, Innenraum), Kilometer- und Tankstand, eine Zubehör-Checkliste und die Unterschriften beider Seiten. Aus diesen Angaben errechnet die App einen Vorschlag zur Nachberechnung (Mehrkilometer, Tankdifferenz, verspätete Rückgabe, Reinigung, neue Schäden); gebucht wird er erst mit der Rechnung. Rechnungen tragen eine fortlaufende Nummer und sind unveränderbar; eine Berichtigung entsteht als Gegenrechnung.

Fragt eine Behörde nach einem Verkehrsverstoß, wer ein Fahrzeug zu einem bestimmten Zeitpunkt gefahren hat, erstellt der Kunde eine Fahrerauskunft. Festgehalten werden Kennzeichen, Zeitpunkt, Anlass, anfragende Behörde, Aktenzeichen, das herausgegebene Ergebnis als Kopie und die beschäftigte Person, die die Auskunft erstellt hat. Der Zugriff erfordert den zweiten Faktor und steht zusätzlich im Zugriffsprotokoll des Archivs (Abschnitt 6); diese Einträge sind unveränderbar und werden nicht automatisch gelöscht – sie belegen, wer wann welche Daten herausgegeben hat. Rechtsgrundlage ist die Erfüllung einer rechtlichen Verpflichtung des Kunden (Art. 6 Abs. 1 lit. c DSGVO, § 31a StVZO). Verantwortlich ist in allen diesen Fällen der jeweilige Kunde.

In beiden Betriebsarten kann der Kunde einen Kundenstamm führen: die Kontaktdaten wiederkehrender Personen, die bei ihm ein Fahrzeug leihen oder mieten, einmal statt bei jeder Buchung neu. Darin stehen nur Anrede, Vor- und Nachname, gegebenenfalls die Firma, die Anschrift (Straße, Postleitzahl, Ort, Land), Telefon- und Mobilnummer und E-Mail-Adresse, bei Firmenkunden einer Autovermietung zusätzlich die Umsatzsteuer-Identifikationsnummer und die vereinbarten Konditionen der Firma. Geburtsdatum, Führerschein- und Ausweisangaben, Ausweisaufnahmen, Sperrvermerke und freie Notizen stehen dort nicht. Aufgenommen werden nur Personen, die einen Kundenleihwagen leihen oder ein Fahrzeug mieten, nie Probefahrten und Dienstfahrten: Bei der Übergabe legt die App die Person an oder verknüpft die Buchung mit ihrem vorhandenen Eintrag, wenn genau ein Eintrag mit gleichem Nachnamen und gleicher E-Mail-Adresse oder Telefonnummer passt. Das geschieht nur, wenn die Person den Hinweis zum Kundenstamm nachweislich erhalten hat: mit ihrer Unterschrift unter die Übernahme, mit dem spätestens am Tag der Übergabe gedruckten Vertrag, über den Kunden-Link oder, indem eine beschäftigte Person ihr den Hinweis am Bildschirm gezeigt hat. Einträge entstehen außerdem von Hand, über den Kunden-Link oder aus einem Import (unten). Kontaktdaten aus früheren Ausleihen übernimmt die App nicht. Wirksam ist der Kundenstamm nur, solange die Vertragsvorlage des Kunden den Hinweis zum Kundenstamm trägt.

Zweck ist, die Angaben bei einer künftigen Ausleihe oder Miete nicht erneut erfassen zu müssen. Rechtsgrundlage ist die Durchführung des Vertrags mit der Person (Art. 6 Abs. 1 lit. b DSGVO) und das berechtigte Interesse des Kunden, wiederkehrende Personen ohne erneute Erfassung zu bedienen (Art. 6 Abs. 1 lit. f DSGVO); eine Einwilligung wird dafür nicht eingeholt. Die Person erfährt davon durch einen Hinweis im Leih- oder Mietvertrag und im Kunden-Link, der das Widerspruchsrecht eigens nennt. Widerspricht sie der Speicherung (Art. 21 DSGVO), vermerkt der Kunde das in der App, oder sie kreuzt es im Kunden-Link selbst an. Dann löscht die App den Eintrag nach der laufenden Ausleihe oder Miete, bei einer Miete, die noch abzurechnen ist, nach der Abrechnung, spätestens 90 Tage nach ihrem Ende. Künftige Buchungen, die mit dem Eintrag verknüpft sind, werden sofort von ihm gelöst und nicht wieder aufgenommen. Damit der Widerspruch auch danach beachtet wird, behält die App von E-Mail-Adresse und Telefonnummern der Person nur Hashwerte (mit einem Schlüssel je Kunde gebildet, ohne Namen und ohne Bezug zu einem Eintrag im Kundenstamm), und zwar unbefristet. An einer Buchung mit Widerspruch steht, welche dieser Hashwerte ihr Widerspruch angelegt hat, solange die Buchung besteht. Trifft eine spätere Ausleihe darauf, nimmt die App die Person nicht automatisch auf, sondern fragt nach; aufgenommen wird sie dann nur mit ihrer ausdrücklichen Zustimmung, und ein Import legt sie nicht neu an. Nimmt die Leitung des Kunden einen Widerspruch an einer Buchung zurück, löscht die App die Hashwerte, die dieser Widerspruch angelegt hat, soweit kein anderer Widerspruch sie trägt. Rechtsgrundlage ist das berechtigte Interesse des Kunden, einen Widerspruch dauerhaft zu beachten (Art. 6 Abs. 1 lit. f DSGVO).

Gelöscht wird ein Eintrag automatisch nach einer Frist ohne neue Ausleihe oder Miete, die der Kunde zwischen einem und zehn Jahren einstellt; die Vorgabe sind drei Jahre ohne Ausleihe. Die Frist beginnt mit dem Ende der letzten Ausleihe, bei einem importierten Eintrag mit der in der Datei angegebenen letzten Ausleihe (fehlt sie, mit dem Importtag), bei einem Eintrag ohne Ausleihe mit dem Anlegen. Eine kürzere Frist gilt sofort für alle Einträge, eine längere für eine Person erst ab ihrer nächsten Ausleihe, damit niemand länger gespeichert bleibt als in dem Hinweis genannt, den er erhalten hat. Die Leitung des Kunden kann einen Eintrag jederzeit mit Angabe eines Grundes löschen. Sie erstellt der Person auf Verlangen eine Datenauskunft nach Art. 15 DSGVO als PDF oder als maschinenlesbare Datei (JSON): gespeicherte Angaben, Herkunft, Zweck, Rechtsgrundlage, Speicherdauer und Empfänger, dazu die verknüpften Ausleihen mit den Angaben der Buchung, Verträgen, Unterschriften, Rechnungen und Fahrerauskünften. Die Auskunft erfordert den zweiten Faktor. Schaltet der Kunde den Kundenstamm ab, bleiben die Einträge erhalten, die Löschfrist läuft weiter, und Auskunft und Löschen bleiben möglich.

Gelöscht wird der Satz im Kundenstamm. Die Angaben in den einzelnen Ausleihen und Vertragsdokumenten, in Rechnungen (gesetzliche Aufbewahrungspflicht) und in erteilten Fahrerauskünften bleiben nach deren eigenen Regeln erhalten; das Aktivitätsprotokoll vermerkt die Löschung nur mit Kundennummer und Grund; Einträge zu Ausleihen nennen den Namen bis zu zwölf Monate. In den verschlüsselten Sicherungen ist der gelöschte Satz noch bis zu 30 Tage enthalten. Verantwortlich ist der jeweilige Kunde.

Kunden, Fahrzeuge und künftige Buchungen kann der Kunde aus einer Datei übernehmen (Import aus einer CSV- oder Excel-Datei, nur Admin und Geschäftsführung). Die Datei wird nur im Arbeitsspeicher des Servers gelesen und danach sofort verworfen; gespeichert wird sie nicht. Übernommen werden nur die Spalten, die der Kunde einem der oben genannten Felder zuordnet. Alle übrigen Spalten, etwa Geburtsdaten, Ausweisnummern oder Bemerkungen aus einem anderen Programm, werden nicht übernommen und nirgends gespeichert, auch nicht in Protokollen, Fehlermeldungen oder gespeicherten Zuordnungen; eine gespeicherte Zuordnung enthält nur Spaltennamen. Ein Import lässt sich 24 Stunden lang rückgängig machen. Dafür hält die App von Einträgen, die der Import ergänzt hat, die vorherigen Werte 24 Stunden lang vor und löscht sie danach. Enthält die Datei die letzte Ausleihe einer Person, beginnt die Löschfrist mit diesem Tag; liegt er so lange zurück wie die Frist oder länger, übernimmt die App die Zeile nicht. Ohne diese Angabe beginnt die Löschfrist mit dem Importtag. Personen, die der Speicherung früher widersprochen haben (oben), legt der Import nicht neu an. Verantwortlich ist der jeweilige Kunde.

7. Push-Benachrichtigungen

Wer Benachrichtigungen aktiviert, erteilt dazu im Browser eine ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Dabei erzeugt der Browser eine Push-Adresse (Endpoint) samt Schlüsseln, die wir zusammen mit der Nutzerkennung speichern, um Meldungen zuzustellen – etwa eine neue Aufgabe, eine Erinnerung an eine Leihwagen-Übergabe oder die Dienst-Erinnerung.

Die Zustellung läuft technisch über den Push-Dienst des jeweiligen Browserherstellers (z. B. Google, Apple oder Mozilla), der dabei die Push-Adresse und den verschlüsselten Nachrichteninhalt verarbeitet; je nach Anbieter erfolgt dies auch in Drittländern. Die Einwilligung lässt sich jederzeit in der App oder in den Browsereinstellungen widerrufen; die gespeicherte Push-Adresse löschen wir dann.

8. Empfänger der Daten

Eine Weitergabe zu Werbezwecken oder ein Verkauf von Daten findet nicht statt.

9. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke nötig ist oder gesetzliche Aufbewahrungsfristen bestehen. Für Daten in der App gilt zusätzlich das mit dem Kunden vereinbarte Löschkonzept (siehe AVV, Anlage 1). Nach Vertragsende werden die Daten des Kunden gemäß Weisung zurückgegeben oder gelöscht.

10. Ihre Rechte

Sie haben uns gegenüber das Recht auf

Widerspruchsrecht: Sie können der Verarbeitung, die auf Art. 6 Abs. 1 lit. f DSGVO beruht, aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 Abs. 1 DSGVO).

Widerspruch gegen Direktwerbung: Verarbeiten wir Ihre Daten, um Ihnen Werbung zu schicken oder Sie anzurufen, können Sie dem jederzeit und ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO). Dann verarbeiten wir Ihre Daten für diesen Zweck nicht mehr (Art. 21 Abs. 3 DSGVO). Wie wir einen solchen Widerspruch umsetzen, steht in Abschnitt 5.

Wenden Sie sich dafür an [email protected]. Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO), insbesondere bei der für uns zuständigen Behörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

11. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Die App ist nicht auf eine Leistungs- oder Verhaltenskontrolle ausgelegt; das Zugriffsprotokoll des Vertragsarchivs und das Aktivitätsprotokoll (Abschnitt 6) dienen allein der Zugriffskontrolle und der Nachvollziehbarkeit von Änderungen (Art. 32 DSGVO), nicht der Leistungs- oder Verhaltenskontrolle.

12. Sicherheit

Die Übertragung erfolgt ausschließlich verschlüsselt über HTTPS (TLS). Weitere technische und organisatorische Maßnahmen beschreibt Anlage 1 des AVV.

13. Änderungen

Wir passen diese Erklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: 25. September 2026

Zuletzt aktualisiert am