Datenschutzerklärung

E-Mail: info@werkstatto.de

Verantwortlich im Sinne der DSGVO ist die oben genannte natürliche Person. Anliegen zum Datenschutz können an die angegebene E-Mail-Adresse gerichtet werden.

Für die Verarbeitung von Konto-, Vertrags-, Abrechnungs-, Sicherheits- und Websitedaten ist Werkstatto grundsätzlich selbst verantwortlich. Soweit eine Werkstatt Daten ihrer Kunden, Beschäftigten oder sonstiger betroffener Personen in der Anwendung verarbeitet, ist regelmäßig die Werkstatt Verantwortliche und Werkstatto verarbeitet diese Daten nach deren Weisungen als Auftragsverarbeiter. Hierfür ist vor der produktiven Nutzung eine Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO abzuschließen.

Je nach Nutzung der Anwendung können insbesondere folgende Daten verarbeitet werden:

• Konto- und Anmeldedaten, insbesondere E-Mail-Adresse, Benutzer-ID, Rollen und Anmeldezeitpunkte
• Werkstatt- und Mitarbeiterdaten sowie Berechtigungsinformationen
• Kundendaten wie Name, Anschrift, Telefonnummer und E-Mail-Adresse
• Fahrzeugdaten wie Hersteller, Modell, Kennzeichen, Kilometerstand, HSN, TSN, Fahrzeug-Identifizierungsnummer, Erstzulassung und technische Fahrzeugdaten
• hochgeladene Fahrzeugscheine sowie daraus erkannte Texte, Tabellen und Feldwerte; Fahrzeugscheine können außerdem Namen, Anschriften und weitere Angaben zum Fahrzeughalter enthalten
• Auftrags-, Leistungs-, Preis-, Rechnungs- und Zahlungsdaten
• Vertrags- und Abrechnungsdaten wie gewählter Tarif, Abrechnungszeitraum, Stripe-Kunden- und Abonnementkennung sowie Zahlungs- und Abonnementstatus
• E-Mail-Versanddaten wie Empfänger, Versandzeitpunkt, Zustellstatus, technische Fehler sowie gegebenenfalls Öffnungs- und Klickereignisse
• Technische Daten wie IP-Adresse, Browser, Betriebssystem, Zeitpunkt eines Zugriffs, aufgerufene URL und Serverprotokolle
• Eine nicht umkehrbare, pseudonyme Besucherkennung für die aggregierte Reichweitenmessung der öffentlichen Website
• Bei erteilter Analyse-Einwilligung pseudonyme Nutzungsdaten wie aufgerufene Seitenbereiche, ausgewählte Funktionsereignisse, Benutzer- und Werkstatt-ID, Rolle, Tarif sowie technische Browser- und Geräteinformationen

Die Webanwendung wird über Vercel bereitgestellt. Anbieter ist Vercel Inc., USA. Beim Aufruf können technisch notwendige Verbindungs- und Protokolldaten verarbeitet werden, insbesondere IP-Adresse, Zeitpunkt, angeforderte URL, Geräte- und Browserinformationen sowie Fehlerdaten.

Die Verarbeitung erfolgt zur sicheren, schnellen und stabilen Bereitstellung der Anwendung auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO. Das berechtigte Interesse besteht im sicheren technischen Betrieb des Dienstes.

Vercel Web Analytics und Speed Insights sind derzeit nicht aktiviert. Werden später optionale Analysefunktionen aktiviert, werden diese Hinweise und gegebenenfalls die Einwilligungsverwaltung vorher angepasst.

Für Datenbank, Benutzeranmeldung, Berechtigungsverwaltung und private Dateispeicherung wird Supabase eingesetzt. Die Anwendung nutzt insbesondere eine PostgreSQL-Datenbank, Supabase Auth, Supabase Storage und Row Level Security. Das Supabase-Projekt ist derzeit in der Region Frankfurt („eu-central-1“) eingerichtet.

Über Supabase werden Konto-, Werkstatt-, Kunden-, Fahrzeug-, Auftrags-, Rechnungs- und Versandstatusdaten sowie hochgeladene Fahrzeugscheine in einem nicht öffentlichen Speicherbereich verarbeitet. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. b, c und f DSGVO entsprechend den oben beschriebenen Zwecken.

Für den optionalen Fahrzeugschein-Import wird Azure AI Document Intelligence von Microsoft eingesetzt. Nur wenn ein Nutzer den Import startet, wird das ausgewählte PDF oder Bild zur Analyse an den Dienst übermittelt. Das Layout-Modell erkennt Text und Tabellen; Werkstatto ordnet daraus relevante Fahrzeugfelder zu.

Microsoft speichert Eingabedokumente und Analyseergebnisse nach eigenen Angaben vorübergehend in der für die Azure-Ressource gewählten Region und löscht sie grundsätzlich innerhalb von 24 Stunden. Das in Werkstatto gespeicherte Original bleibt davon getrennt und wird durch spätere Änderungen an Fahrzeugfeldern nicht verändert. Anbieter für Kunden im Europäischen Wirtschaftsraum ist regelmäßig Microsoft Ireland Operations Limited, Irland.

Für transaktionale E-Mails wird Brevo eingesetzt. Hierbei werden insbesondere Empfängeradresse, Betreff, Nachrichteninhalt, Rechnungsanhänge, Versandzeitpunkt, technische Nachrichten-ID und Versandereignisse verarbeitet.

Brevo übermittelt Versandereignisse über einen abgesicherten Webhook an die Anwendung. Zu den Ereignissen können Versand, Zustellung, Öffnung, Klick, Verzögerung, Blockierung oder Unzustellbarkeit gehören.

Beim optionalen Import von Lieferanten-E-Mails empfängt und analysiert Brevo die an die werkstattspezifische Importadresse weitergeleitete Nachricht. An die Anwendung werden insbesondere Absender, Empfänger, Betreff, Nachrichteninhalt, technische Nachrichten-ID und erkannte Bestelldaten übermittelt. Die technische Nachrichten-ID wird in der Anwendung ausschließlich als Hash gespeichert.

Für kostenpflichtige Tarife werden Stripe Checkout und das Stripe-Kundenportal eingesetzt. Dabei verarbeitet Stripe insbesondere Kontakt-, Vertrags-, Zahlungs- und Transaktionsdaten. Werkstatto speichert die zur Zuordnung erforderlichen Stripe-Kunden- und Abonnementkennungen sowie den Zahlungs- und Abonnementstatus. Vollständige Karten- oder Bankdaten werden direkt bei Stripe eingegeben und nicht in der Werkstatto-Datenbank gespeichert.

Anbieter im Europäischen Wirtschaftsraum ist regelmäßig Stripe Payments Europe, Limited, Irland. Stripe kann abhängig vom jeweiligen Verarbeitungsvorgang als Auftragsverarbeiter oder als eigenständig Verantwortlicher tätig werden.

Ausgestellte Rechnungsoriginale können zusätzlich in einem gegen nachträgliche Veränderung geschützten Archiv auf Basis von Amazon S3 Object Lock gespeichert werden. Hierbei werden die in der Rechnung enthaltenen Kunden-, Leistungs-, Steuer- und Rechnungsdaten verarbeitet. Die Verarbeitung dient der Erfüllung gesetzlicher Aufbewahrungs- und Nachweispflichten gemäß Art. 6 Abs. 1 Buchst. c DSGVO. Dienstleister ist Amazon Web Services EMEA SARL, Luxemburg.

Personenbezogene Daten werden nur weitergegeben, soweit dies für den Betrieb, die Vertragserfüllung, gesetzliche Pflichten oder berechtigte Interessen erforderlich ist. Zu den eingesetzten technischen Dienstleistern gehören insbesondere:

• Vercel für Hosting und Serverfunktionen
• Supabase für Datenbank, Authentifizierung und private Dateispeicherung
• Brevo für den transaktionalen E-Mail-Versand
• Microsoft Azure für die optionale Analyse von Fahrzeugscheinen
• Stripe für Zahlung und Abonnementverwaltung
• Amazon Web Services für die revisionssichere Rechnungsarchivierung
• PostHog für die optionale Produkt- und Webanalyse

Soweit diese Anbieter personenbezogene Daten im Auftrag verarbeiten, werden Vereinbarungen zur Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen.

Bei Anbietern mit Sitz oder Unterauftragnehmern außerhalb des Europäischen Wirtschaftsraums kann eine Übermittlung personenbezogener Daten in Drittländer stattfinden. Soweit erforderlich, erfolgt eine solche Übermittlung auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien, insbesondere der Standardvertragsklauseln der Europäischen Kommission.

Die Anwendung verwendet technisch notwendige Authentifizierungs- und Sitzungsinformationen, damit angemeldete Nutzer erkannt und geschützt auf ihre Werkstattdaten zugreifen können. Diese Speicherung ist für den ausdrücklich gewünschten Dienst erforderlich.

Für die aggregierte Reichweitenmessung werden keine Analyse- Cookies und keine lokale Browserspeicherung verwendet.

Erst nach einer Einwilligung speichert PostHog pseudonyme Analysekennungen in Cookies beziehungsweise im lokalen Browserspeicher. Die Auswahl selbst und der PostHog-Cookie werden für höchstens zwölf Monate gespeichert. Bei einem Widerruf werden die pseudonyme Analysekennung und die zugehörigen Browser-Speicherungen entfernt und die weitere Erfassung beendet. Optionale Marketing-Cookies werden derzeit nicht eingesetzt.

Personenbezogene Daten werden nur so lange gespeichert, wie dies für den jeweiligen Zweck erforderlich ist. Kundendaten, Fahrzeuge und Aufträge werden grundsätzlich bis zur Beendigung der Geschäftsbeziehung beziehungsweise bis zur zulässigen Löschung gespeichert.

Rechnungs- und steuerrelevante Unterlagen werden für die jeweils geltenden gesetzlichen Aufbewahrungsfristen gespeichert. Daten können außerdem länger aufbewahrt werden, soweit dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Technische Protokolle und E-Mail-Ereignisse werden regelmäßig geprüft und gelöscht, sobald sie für Sicherheit, Fehlerbehebung oder Nachweispflichten nicht mehr benötigt werden.

Hochgeladene Fahrzeugscheine werden dem jeweiligen Fahrzeug zugeordnet gespeichert, bis ein berechtigter Nutzer sie ersetzt oder löscht beziehungsweise das zugehörige Fahrzeug oder die Werkstatt gelöscht wird, soweit keine gesetzlichen Pflichten oder berechtigten Gründe entgegenstehen. Die von Azure für die Analyse vorübergehend gespeicherten Eingabedokumente und Ergebnisse werden nach Angaben von Microsoft grundsätzlich innerhalb von 24 Stunden gelöscht.

Vertrags- und Abrechnungsdaten werden für die Dauer des Vertragsverhältnisses und anschließend entsprechend gesetzlicher handels- und steuerrechtlicher Aufbewahrungsfristen gespeichert. Gegen nachträgliche Änderungen geschützte Rechnungsarchive können während ihrer festgelegten Aufbewahrungsfrist technisch nicht vorzeitig verändert oder gelöscht werden.

Inhalte noch nicht übernommener Lieferanten-E-Mail-Importe werden grundsätzlich 30 Tage gespeichert. Nach einer erfolgreichen Übernahme entfernt die Anwendung Mailtext, Betreff, Absender- und Empfängerangaben sowie Bestätigungslinks sofort. Nicht übernommene Importe werden nach Ablauf der Frist regelmäßig automatisch gelöscht. Das Original im E-Mail-Postfach der Werkstatt wird durch die Anwendung weder verändert noch gelöscht.

Die pseudonymen Tagesdatensätze der Reichweitenmessung werden derzeit für die Bereitstellung der Gesamtstatistik gespeichert. Eine automatische Löschfrist ist hierfür derzeit nicht eingerichtet. Die Erforderlichkeit der Speicherung wird regelmäßig überprüft; nicht mehr benötigte Datensätze werden gelöscht oder so zusammengefasst, dass die pseudonyme Besucherkennung nicht mehr enthalten ist.

Analyseinformationen in PostHog werden nur so lange gespeichert, wie sie für die beschriebenen Auswertungen erforderlich sind. Die dort eingestellten Aufbewahrungsfristen werden regelmäßig überprüft; nicht mehr benötigte Daten werden gelöscht oder anonymisiert.

Daten, die für Benutzerkonto, Werkstattauftrag, Rechnungserstellung oder gesetzliche Pflichten erforderlich sind, müssen bereitgestellt werden. Ohne diese Daten kann die jeweilige Funktion möglicherweise nicht genutzt oder ein Auftrag nicht ordnungsgemäß bearbeitet werden.

Betroffene Personen haben im Rahmen der gesetzlichen Voraussetzungen insbesondere folgende Rechte:

• Auskunft über die verarbeiteten Daten
• Berichtigung unrichtiger Daten
• Löschung personenbezogener Daten
• Einschränkung der Verarbeitung
• Datenübertragbarkeit
• Widerspruch gegen bestimmte Verarbeitungen
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft

Zur Ausübung dieser Rechte genügt eine Nachricht an die oben genannte Kontaktadresse.

Erfolgt eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 Buchst. e oder f DSGVO, kann aus Gründen, die sich aus der besonderen Situation der betroffenen Person ergeben, Widerspruch gegen die Verarbeitung eingelegt werden. Bei Direktwerbung besteht ein jederzeitiges Widerspruchsrecht.

Betroffene Personen haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig ist insbesondere die Aufsichtsbehörde des gewöhnlichen Aufenthaltsorts, des Arbeitsplatzes oder des Orts des mutmaßlichen Datenschutzverstoßes.

Für den Sitz des Anbieters ist insbesondere der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg zuständig, Heilbronner Straße 35, 70191 Stuttgart, E-Mail: poststelle@lfdi.bwl.de.

Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet derzeit nicht statt. Automatisch erkannte Fahrzeugscheindaten sind unverbindliche Eingabevorschläge und können vor dem Speichern überprüft und geändert werden.

Es werden angemessene technische und organisatorische Maßnahmen eingesetzt, um Daten vor Verlust, Veränderung und unberechtigtem Zugriff zu schützen. Dazu gehören unter anderem verschlüsselte HTTPS-Verbindungen, rollenbasierte Berechtigungen, Row Level Security, serverseitig geschützte Zugangsschlüssel und protokollierte Versandereignisse. Dokumente werden in privaten, zugriffsgeschützten Speicherbereichen abgelegt.

Diese Datenschutzerklärung wird angepasst, wenn sich Funktionen, Dienstleister, Rechtsgrundlagen oder gesetzliche Anforderungen ändern. Die jeweils aktuelle Fassung ist innerhalb der Anwendung abrufbar.