Datenschutzerklärung

Stand: 21.09.2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für den Betrieb dieses Portals ist:

Nutzen Sie das Portal als Kunde einer Werkstatt, ist für Ihre Kunden-, Fahrzeug- und Auftragsdaten die jeweilige Werkstatt verantwortlich. Wir verarbeiten diese Daten nur in deren Auftrag und nach deren Weisung (Auftragsverarbeitung nach Art. 28 DSGVO). Anfragen zu diesen Daten richten Sie bitte an Ihre Werkstatt; wir leiten eingehende Anfragen dorthin weiter.

2. Verarbeitete Daten und Zwecke

Wir verarbeiten personenbezogene Daten ausschließlich, soweit dies für Betrieb und Abwicklung des Portals erforderlich ist:

• Konto und Registrierung: Name, E-Mail-Adresse, Passwort (nur als kryptografischer Hash gespeichert), Werkstatt-/Firmendaten, ggf. Telefon und Anschrift, Rolle und Berechtigungen, zur Bereitstellung des Nutzerkontos (Art. 6 Abs. 1 lit. b DSGVO).
• Kunden- und Fahrzeugdaten: Kontaktdaten, Fahrzeuge (Fahrgestellnummer/FIN, Kennzeichen, Kilometerstand, technische Merkmale), Aufträge, Termine, Fotos, Dokumente, Serviceeinträge sowie Diagnose- und Fehlerspeicherdaten, zur Auftragsabwicklung und Dokumentation der ausgeführten Arbeiten (Art. 6 Abs. 1 lit. b und lit. f DSGVO). Im Kundenportal wird die Fahrgestellnummer standardmäßig verkürzt dargestellt.
• Nachrichten und Uploads: Inhalte, die Sie im Portal an Ihre Werkstatt senden oder hochladen, zur Kommunikation über den jeweiligen Vorgang (Art. 6 Abs. 1 lit. b DSGVO).
• Bestellungen: Bestell- und Rechnungsdaten, ausgewählte Produkte, SW-Train, Fahrgestellnummer (VIN), Preise, Bestell- und Zahlungsstatus, zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und zur Erfüllung steuer-/handelsrechtlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO).
• Zahlungsabwicklung: Die Zahlung erfolgt über PayPal. Die Zahlungsdaten werden direkt von PayPal verarbeitet; wir erhalten von PayPal lediglich Transaktions- und Statusdaten (Zahlungsstatus, Transaktionsnummer, Betrag).
• Downloads: Zeitpunkt, freigegebene Datei und IP-Adresse eines Downloads, zur Missbrauchskontrolle und zum Nachweis der Auslieferung (Art. 6 Abs. 1 lit. b und lit. f DSGVO).
• Sicherheits- und Zugriffsprotokolle: Nutzerkennung, IP-Adresse, Zeitpunkt und Art des Zugriffs bzw. der Änderung, zur Abwehr von Missbrauch und zum Nachweis von Berechtigungsänderungen (Art. 6 Abs. 1 lit. f DSGVO, Art. 32 DSGVO).
• Benachrichtigungen: In-App- und E-Mail-Benachrichtigungen zu Ihren Vorgängen (Art. 6 Abs. 1 lit. b DSGVO). Push-Benachrichtigungen erhalten Sie nur, wenn Sie diese im Browser ausdrücklich aktivieren (Art. 6 Abs. 1 lit. a DSGVO); dabei werden die Push-Adresse Ihres Browsers und die Browserkennung gespeichert. Sie können die Einwilligung jederzeit durch Deaktivieren widerrufen.
• Zugangslinks: Bei einem per E-Mail zugesandten Zugangslink speichern wir Erstellung, Versand, Nutzung und Widerruf des Links mit Zeitpunkt und IP-Adresse als Nachweis (Art. 6 Abs. 1 lit. f DSGVO).
• Einwilligung zur sofortigen Ausführung: Zeitpunkt und IP-Adresse Ihrer Bestätigung, dass mit der Ausführung sofort begonnen werden darf, als Nachweis (Art. 6 Abs. 1 lit. c und lit. f DSGVO).

3. Cookies

Wir verwenden ausschließlich technisch notwendige Cookies: ein Sitzungs-Cookie für die Anmeldung, ein Cookie für die dauerhafte Anmeldung („angemeldet bleiben“, nur wenn Sie diese Funktion nutzen) sowie ein Cookie für die gewählte Sprache. Zusätzlich speichert Ihr Browser lokal (Local Storage) Ihre Oberflächeneinstellungen — gewählte Darstellung (hell/dunkel), Zustand der Seitenleiste und zuletzt aufgerufene Suchergebnisse. Diese Angaben verlassen Ihr Gerät nicht. Es findet keine Analyse, kein Tracking und keine Werbung statt; es werden keine Daten an Dritte zu Werbezwecken übermittelt. Eine Einwilligung nach § 25 Abs. 1 TDDDG ist dafür nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

4. Weitergabe an Dritte

Eine Weitergabe erfolgt nur, soweit es zur Vertragsabwicklung erforderlich oder gesetzlich vorgeschrieben ist. Für die Zahlungsabwicklung ist dies die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg. Die Datenschutzhinweise von PayPal finden Sie unter paypal.com/de/webapps/mpp/ua/privacy-full. Zum Versand von Benachrichtigungs- und Rechnungs-E-Mails nutzen wir einen E-Mail-/SMTP-Dienst, für den Betrieb der Server einen Hosting-Dienstleister. Mit diesen Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Eine Übermittlung in Drittländer findet darüber hinaus nicht statt.

5. Speicherdauer und Löschkonzept

Wir löschen personenbezogene Daten, sobald der Zweck entfallen ist und keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung erfolgt automatisiert nach festen Fristen:

• IP-Adressen in Sicherheitsprotokollen: nach 7 Tagen gekürzt, Protokolleintrag nach 12 Monaten gelöscht
• IP-Adressen zu Downloads: nach 30 Tagen gekürzt
• Protokolle zu Zugangslinks: nach 90 Tagen gelöscht
• Einmal-Token (Passwort zurücksetzen, E-Mail-Bestätigung, Einladung, Zugangslink): 30 bis 90 Tage
• Benachrichtigungen: 6 Monate (gelesen) bzw. 12 Monate (ungelesen)
• Rohdaten des Zahlungsdienstleisters: 6 Monate; die Buchungsdaten selbst unterliegen der gesetzlichen Aufbewahrungsfrist
• Rechnungs-, Bestell- und Auftragsdaten: 10 Jahre (§ 147 AO, § 14b UStG)
• Kontodaten: bis zum Ende des Nutzungsverhältnisses bzw. bis zur Löschung des Kontos

6. Pseudonymisierung

Jede Person erhält in unserem System eine zufällig erzeugte Kennung, die sich nicht aus Ihren Daten berechnen lässt. Diese Kennung verwenden wir intern anstelle Ihres Namens, etwa in Protokollen, Auskünften und im Support. Verlangen Sie die Löschung Ihrer Daten, ersetzen wir Ihren Namen, Ihre E-Mail-Adresse, Telefonnummer und Anschrift durch diese Kennung. Datensätze, die wir gesetzlich aufbewahren müssen (insbesondere Rechnungen), bleiben damit vollständig, sind aber keiner identifizierbaren Person mehr zuzuordnen (Art. 17 Abs. 3 lit. b DSGVO).

7. Ihre Rechte

Sie haben nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie ein Widerspruchsrecht (Art. 21).

Direkt im Portal: Angemeldete Nutzerinnen und Nutzer können unter Datenschutz (Konto → Datenschutz bzw. im Kundenportal am Seitenende) jederzeit eine vollständige Kopie ihrer Daten als maschinenlesbare Datei oder als Dokument herunterladen. Kundinnen und Kunden können ihre Daten dort außerdem selbst löschen; die Löschung wird sofort ausgeführt. Zugänge von Beschäftigten einer Werkstatt werden nicht im Self-Service gelöscht, weil sie zur jeweiligen Organisation gehören — hier genügt eine Nachricht an die oben genannte Adresse, wir prüfen die Aufbewahrungspflichten und löschen innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Auch alle übrigen Rechte können Sie formlos an diese Adresse richten.

Ihnen steht zudem ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO).

8. Datensicherheit

Die Übertragung erfolgt verschlüsselt über TLS/HTTPS. Passwörter werden ausschließlich als sicherer Hash gespeichert. Der Zugriff ist rollen- und rechtebasiert beschränkt; Daten verschiedener Werkstätten sind technisch strikt voneinander getrennt. Zugriffe auf Bestell- und Downloaddaten sind auf die berechtigte Werkstatt bzw. den Betreiber beschränkt. Änderungen an Berechtigungen und sicherheitsrelevante Vorgänge werden protokolliert.

9. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.