Datenschutzerklärung

1. Verantwortlicher

Diese Datenschutzerklärung gilt für die Dienste unter fuhrpark-zentrale.de. Verantwortlich im Sinne der DSGVO ist:

Buildhaus Group Limited

Eingetragen in England und Wales (Handelsregisternummer 17294701)

Paddock Cottage, Cooks Pond Road, Milland, Hampshire, GU30 7JY, Vereinigtes Königreich

E-Mail: kontakt@fuhrpark-zentrale.de

2. Erhebung und Speicherung personenbezogener Daten

Wir erheben personenbezogene Daten, wenn Sie unsere Website besuchen, sich registrieren oder unsere Dienste nutzen. Dazu gehören:

• Kontodaten: Name, E-Mail-Adresse, Unternehmensname
• Authentifizierungsdaten: Passwort-Hash (bei E-Mail/Passwort-Registrierung), Microsoft-Konto-ID (bei SSO), Google-Nutzer-ID (bei Google-Anmeldung)
• Nutzungsdaten: IP-Adresse (durch Cloudflare-Infrastruktur), Zeitpunkt des Zugriffs
• Vertragsdaten: Informationen zu Ihrem Abonnement und Zahlungsstatus
• Fuhrparkdaten: Von Ihnen eingegebene Daten zu Fahrzeugen, Fahrern, Wartungen und Protokollen
• Dokumentendaten: Wenn Sie unsere Funktion zum Dokumentenscan nutzen, laden Sie Bilder von Dokumenten hoch (z. B. Führerscheine, Versicherungsnachweise, Rechnungen, Bußgeldbescheide, Prüfbescheinigungen). Diese Bilder und die darin enthaltenen personenbezogenen Daten, die u. a. Name, Geburtsdatum, Führerscheinnummer, Anschrift eines Fahrers sowie Angaben zu Verkehrsverstößen umfassen können, werden verarbeitet, um deren Inhalt automatisch auszulesen (siehe Abschnitt 6).
• Aktivitätsprotokolle: Systemseitig aufgezeichnete Aktionen (Erstellen, Bearbeiten, Löschen, Anmeldung, Abmeldung) zur Revisionssicherheit

3. Zweck der Datenverarbeitung

Wir verarbeiten Ihre Daten für folgende Zwecke:

• Bereitstellung und Verbesserung unserer Dienste (Art. 6 Abs. 1 lit. b DSGVO)
• Kommunikation mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO)
• Abrechnung und Zahlungsabwicklung (Art. 6 Abs. 1 lit. b DSGVO)
• Sicherheit und Missbrauchsprävention (Art. 6 Abs. 1 lit. f DSGVO)
• Revisionssichere Protokollierung (Art. 6 Abs. 1 lit. f DSGVO)

4. Authentifizierung und Anmeldedaten

Unsere Plattform unterstützt drei Anmeldemethoden. Je nach gewählter Methode verarbeiten wir folgende Daten:

• E-Mail/Passwort: E-Mail-Adresse, Vorname, Nachname, Unternehmensname, verschlüsselter Passwort-Hash (bcrypt). Das Klartextpasswort wird niemals gespeichert.
• Microsoft SSO (Entra ID): E-Mail-Adresse, Name, Azure-AD-Mandanten-ID, Azure-AD-Objekt-ID. Diese Daten werden von Microsoft verarbeitet und uns nach erfolgreicher Authentifizierung übermittelt.
• Google OAuth: E-Mail-Adresse, Name, Google-Nutzer-ID. Diese Daten werden von Google verarbeitet und uns nach erfolgreicher Authentifizierung übermittelt.

Nach der Anmeldung werden Sitzungstoken lokal in Ihrem Browser gespeichert (localStorage/sessionStorage). Diese Token werden beim Abmelden oder bei Kontolöschung entfernt.

5. Weitergabe von Daten an Dritte

Wir geben Ihre Daten nur an Dritte weiter, wenn dies zum Betrieb unserer Plattform erforderlich ist (siehe Abschnitt 8 für eine vollständige Liste der Auftragsverarbeiter):

• Zahlungsabwicklung: Stripe
• Hosting und Datenbank: Hetzner (Deutschland)
• Frontend-Bereitstellung: Cloudflare
• E-Mail-Versand: SendGrid (Twilio)
• Microsoft-Anmeldung: Microsoft Entra ID (optional)
• Google-Anmeldung: Google LLC (optional)

6. KI-gestützte Dokumentenverarbeitung (OCR) und Datenimport

Um Ihnen Zeit zu sparen, bietet unsere Plattform zwei optionale KI-gestützte Funktionen:

• Dokumentenscan (OCR): Wenn Sie ein Dokument fotografieren oder hochladen (z. B. Führerschein, Versicherungsnachweis, Rechnung, Bußgeldbescheid oder Prüfbescheinigung), wird das Bild an unseren KI-Dienstleister Anthropic übermittelt, der die relevanten Felder automatisch ausliest. Das Bild wird ausschließlich zu diesem Zweck verarbeitet.
• Tabellenimport: Beim Import einer Fuhrpark-Tabelle während der Einrichtung können die Spaltenüberschriften und eine kleine Stichprobe von Zeilen an Anthropic übermittelt werden, um Ihre Spalten den richtigen Feldern zuzuordnen.

Verarbeiter: Anthropic PBC (USA), als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags.

Rechtsgrundlage: Erfüllung unseres Vertrags mit Ihnen sowie unser berechtigtes Interesse an einer effizienten und korrekten Dateneingabe (Art. 6 Abs. 1 lit. b und f DSGVO). Diese Funktionen sind optional. Sie können die Angaben jederzeit auch manuell eingeben.

Drittlandübermittlung: Anthropic verarbeitet Daten in den USA. Diese Übermittlung ist durch die EU-Standardvertragsklauseln abgesichert (Art. 46 DSGVO).

Speicherung und KI-Training: Anthropic verwendet über seine kommerzielle API übermittelte Daten nicht zum Training seiner Modelle und löscht Ein- und Ausgaben innerhalb von 30 Tagen. Wir speichern das hochgeladene Bild nach der Verarbeitung nicht; ausgelesene Angaben werden nur gespeichert, wenn Sie den Datensatz speichern.

Lichtbild auf Dokumenten: Ein Führerscheinbild kann ein Lichtbild enthalten. Wir verarbeiten es ausschließlich, um die aufgedruckten Angaben auszulesen, nicht zur biometrischen Identifizierung.

7. Ihre Rechte

Sie haben das Recht auf:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO): einsehbar direkt in der Anwendung
• Berichtigung unrichtiger Daten (Art. 16 DSGVO): über die Profileinstellungen
• Löschung Ihrer Daten (Art. 17 DSGVO): über die Funktion „Konto löschen" in den Einstellungen (Passwortbestätigung erforderlich)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO): Fahrzeug- und Fuhrparkdaten können als CSV, Excel oder PDF exportiert werden
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Zur Ausübung Ihrer Rechte oder bei Fragen wenden Sie sich bitte an uns (Kontakt siehe unten).

8. Auftragsverarbeiter

Wir nutzen folgende Drittanbieter zum Betrieb unserer Plattform. Alle Auftragsverarbeiter sind vertraglich zur Einhaltung der DSGVO verpflichtet. Soweit Daten außerhalb der EU verarbeitet werden, bestehen angemessene Schutzmaßnahmen gemäß Art. 46 DSGVO (z. B. Standardvertragsklauseln):

• Hetzner Online GmbH, Server-Hosting und Datenbank (alle Anwendungsdaten). Deutschland (Falkenstein/Nürnberg)
• Cloudflare, Inc., Frontend-Hosting und Content Delivery Network, global (verarbeitet HTTP-Anfragen und IP-Adressen)
• SendGrid (Twilio Inc.), Transaktionale E-Mail-Zustellung, EU/USA; Click-Tracking ist deaktiviert
• Stripe, Inc., Zahlungsabwicklung (Unternehmensname, Admin-E-Mail, Stripe-Kunden-ID), EU/USA
• Microsoft Corporation (Entra ID), SSO-Authentifizierung (optional), global
• Google LLC, OAuth-Authentifizierung (optional), global
• Anthropic PBC, KI-gestützter Dokumentenscan (OCR) und Spaltenzuordnung beim Tabellenimport; verarbeitet hochgeladene Dokumentbilder und importierte Fuhrparkdaten, USA. Abgesichert durch EU-Standardvertragsklauseln; Anthropic trainiert nicht mit diesen Daten und löscht sie innerhalb von 30 Tagen.
• Linear Orbit, Inc., Bearbeitung von In-App-Feedback; verarbeitet Ihre E-Mail-Adresse, Konto-Kennung und den von Ihnen übermittelten Feedback-Text, USA. Abgesichert durch EU-Standardvertragsklauseln.
• Instantly (Foo Monk LLC), Versand unserer geschäftlichen Interessenten-E-Mails (Name, berufliche Funktion, geschäftliche E-Mail-Adresse). USA. Abgesichert durch EU-Standardvertragsklauseln. Siehe Abschnitt 12.

Wir setzen keine Analyse- oder Werbedienste (z. B. Google Analytics) ein. Es werden keine Tracking-Cookies verwendet.

9. Cookies und lokale Datenspeicherung im Browser

Technisch notwendige Cookies

Unsere Anwendung verwendet ausschließlich technisch notwendige Cookies für die Authentifizierung:

• fleet_access (httpOnly-Cookie): Zugriffstoken (JWT, gültig 60 Minuten); wird bei jeder Anfrage automatisch mitgesendet
• fleet_refresh (httpOnly-Cookie): Refresh-Token (gültig 7 Tage); wird nur an den Authentifizierungs-Endpunkt gesendet

Diese Cookies sind mit den Attributen httpOnly, Secure und SameSite geschützt und können nicht per JavaScript ausgelesen werden.

CDN-Cookies

Unser CDN-Anbieter Cloudflare kann technisch notwendige Cookies für Bot-Schutz und Sicherheit setzen (z. B. __cf_bm). Diese Cookies dienen ausschließlich der Sicherheit und sind keine Tracking-Cookies.

Lokale Browser-Daten

Zusätzlich werden folgende Daten lokal in Ihrem Browser gespeichert:

• localStorage: Benutzerprofil, Token-Ablaufzeit, Spracheinstellung, Cookie-Hinweis-Status
• sessionStorage: Microsoft-MSAL-Authentifizierungsstatus (nur bei Microsoft-SSO-Anmeldung)

Diese Daten verlassen Ihren Browser nicht und werden bei der Abmeldung oder Kontolöschung entfernt.

Es werden keine Tracking-, Analyse- oder Werbe-Cookies eingesetzt.

10. Speicherdauer

Wir speichern Ihre Daten nur so lange, wie es für die Zwecke der Verarbeitung erforderlich ist oder gesetzliche Aufbewahrungsfristen gelten:

• Kontodaten: Gespeichert, solange Ihr Konto aktiv ist. Löschen Sie Ihr Konto, werden Ihre personenbezogenen Daten unmittelbar und dauerhaft entfernt, sofern keine Abhängigkeiten (z. B. zugewiesene Fahrzeuge) bestehen. In diesem Fall wird das Konto deaktiviert und die Daten beim nächsten Bereinigungsdurchlauf vollständig entfernt.
• Aktivitätsprotokolle: Aufgezeichnete Systemaktionen (Anmeldungen, Datenänderungen) werden für den Zeitraum Ihrer Kontoaktivität aufbewahrt.
• Gesetzliche Aufbewahrung: Handels- und steuerrelevante Daten können gemäß Handelsgesetzbuch (HGB §257) und Abgabenordnung (AO §147) bis zu 10 Jahre aufbewahrt werden.

11. Speicherort der Daten

Alle Anwendungsdaten werden auf Servern der Hetzner Online GmbH in Deutschland (Falkenstein/Nürnberg) gespeichert. Die Auslieferung der Webanwendung erfolgt über das Cloudflare-Netzwerk (globale CDN-Infrastruktur), wobei HTTP-Anfragen und IP-Adressen durch Cloudflare verarbeitet werden.

Soweit Auftragsverarbeiter Daten außerhalb der EU verarbeiten (SendGrid, Stripe, Microsoft, Google, Anthropic, Linear), bestehen angemessene Schutzmaßnahmen gemäß Art. 46 DSGVO.

12. Interessenten- und Marketingdaten (geschäftliche Kontakte)

Wenn Sie eine E-Mail von uns erhalten haben und kein Kunde sind, erklärt dieser Abschnitt, woher wir Ihre Daten haben, warum wir sie verarbeiten und wie Sie dies beenden können.

Verantwortlicher. Buildhaus Group Limited, registriert in England und Wales, Registernummer 17294701. Die Kontaktdaten finden Sie in Abschnitt 1.

Wen wir kontaktieren. Wir kontaktieren Personen in ihrer beruflichen Funktion in Unternehmen, die einen Fuhrpark betreiben, etwa Fuhrparkleitung, Büroleitung oder Geschäftsführung. Wir versenden wissentlich keine Werbe-E-Mails an Privatpersonen und verwenden keine privaten Adressen.

Welche Daten wir verarbeiten. Ihren Namen, Ihre berufliche Funktion und Ihre geschäftliche E-Mail-Adresse sowie Name, Registernummer, Region und, soweit veröffentlicht, die Fuhrparkgröße Ihres Unternehmens.

Woher wir die Daten haben. Aus zwei Arten von Quellen. Öffentlich zugängliche Quellen: öffentliche Register, Branchen-, Handwerkskammer- und Innungsverzeichnisse sowie die Website des Unternehmens. Und aus einer kommerziellen Datenbank für Geschäftskontakte, Apollo.io, die berufliche Kontaktdaten zusammenträgt und kein öffentliches Register ist.

Rechtsgrundlage. Unser berechtigtes Interesse daran, Unternehmen ein für sie relevantes Produkt anzubieten (Art. 6 Abs. 1 lit. f DSGVO). Wir haben eine Interessenabwägung durchgeführt und dokumentiert; wir stellen sie Ihnen auf Anfrage zur Verfügung. Besondere Kategorien personenbezogener Daten verarbeiten wir nicht.

Keine automatisierte Entscheidungsfindung. Wir treffen keine ausschließlich automatisierten Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen.

Empfänger. Instantly (Foo Monk LLC), 30 N. Gould St., Ste. R, Sheridan, Wyoming 82801, USA, versendet unsere E-Mails als Auftragsverarbeiter in unserem Auftrag. Ihre Daten werden in den USA verarbeitet, abgesichert durch EU-Standardvertragsklauseln. Auch einzelne Unterauftragsverarbeiter sind außerhalb der EU ansässig, unter denselben Garantien.

Speicherdauer. Wir löschen Ihren Datensatz zwölf Monate nach der ersten Kontaktaufnahme, sofern Sie nicht Kunde werden. Bei einem Widerspruch handeln wir unverzüglich.

Ihre Rechte, insbesondere Ihr Widerspruchsrecht. Sie können dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO). Wir stellen die Kontaktaufnahme dann ein und löschen Ihren Interessenten-Datensatz. Zur Umsetzung Ihres Widerspruchs speichern wir dauerhaft nur das Notwendigste (einen Hashwert Ihrer E-Mail-Adresse auf einer Sperrliste), damit wir Sie nicht versehentlich erneut kontaktieren. Ihnen stehen zudem die Rechte auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung zu. Jede E-Mail enthält einen Abmeldelink. Sie können sich außerdem bei der für Sie zuständigen Datenschutz-Aufsichtsbehörde beschweren.

Für einen Widerspruch oder Rückfragen genügt der Abmeldelink in einer unserer E-Mails oder eine E-Mail an die in Abschnitt 1 genannte Adresse.

13. Kontakt und Beschwerderecht

Bei Fragen zum Datenschutz wenden Sie sich bitte per E-Mail an uns.

Sie haben außerdem das Recht, sich bei der für Sie zuständigen Datenschutz-Aufsichtsbehörde zu beschweren. In Deutschland ist dies je nach Bundesland die zuständige Landesbehörde (z. B. der Landesbeauftragte für den Datenschutz).

Stand: Juni 2026