Datenschutzerklärung

1. Einleitung und Verantwortlicher

Der Schutz Ihrer persönlichen Daten ist für uns von besonderer Bedeutung. In dieser Datenschutzerklärung informieren wir Sie ausführlich über den Umgang mit Ihren Daten beim Besuch unserer Website und der Inanspruchnahme unserer Dienste.

Verantwortlicher im Sinne der DSGVO:

Hannes Werner
Flare Solutions
Karl-Marx-Weg 20
06242 Krumpa
Deutschland

E-Mail: info@schadenmelden24.com
Telefon: +49 152 03037738

Datenschutz-Ansprechpartner:
Bei Fragen zum Datenschutz erreichen Sie uns unter:
E-Mail: info@schadenmelden24.com

Die Bestellung eines formellen Datenschutzbeauftragten nach Art. 37 DSGVO ist nicht erforderlich (Flare Solutions ist Einzelunternehmen mit weniger als 20 Personen, die regelmäßig personenbezogene Daten verarbeiten, § 38 BDSG). Datenschutzanfragen werden vom Verantwortlichen persönlich als Datenschutz-Ansprechpartner bearbeitet.

2. Grundlagen der Datenverarbeitung

Wir verarbeiten personenbezogene Daten auf Grundlage der folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung des Betroffenen
• Art. 6 Abs. 1 lit. b DSGVO: Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen
• Art. 6 Abs. 1 lit. c DSGVO: Erfüllung rechtlicher Verpflichtungen
• Art. 6 Abs. 1 lit. f DSGVO: Berechtigte Interessen zur Wahrung unserer Geschäftsinteressen

3. Erhebung und Speicherung personenbezogener Daten

3.1 Beim Besuch der Website

Beim Aufrufen unserer Website werden durch den auf Ihrem Endgerät zum Einsatz kommenden Browser automatisch Informationen an den Server unserer Website gesendet. Diese Informationen werden temporär in einem sogenannten Logfile gespeichert. Folgende Informationen werden dabei ohne Ihr Zutun erfasst und bis zur automatisierten Löschung gespeichert:

• IP-Adresse des anfragenden Rechners
• Datum und Uhrzeit des Zugriffs
• Name und URL der abgerufenen Datei
• Website, von der aus der Zugriff erfolgt (Referrer-URL)
• verwendeter Browser und ggf. das Betriebssystem Ihres Rechners sowie der Name Ihres Access-Providers

Die genannten Daten werden durch uns zu folgenden Zwecken verarbeitet: Gewährleistung eines reibungslosen Verbindungsaufbaus der Website, Gewährleistung einer komfortablen Nutzung unserer Website, Auswertung der Systemsicherheit und -stabilität sowie zu weiteren administrativen Zwecken.

Die Rechtsgrundlage für die Datenverarbeitung ist Art. 6 Abs. 1 S. 1 lit. f DSGVO. Unser berechtigtes Interesse folgt aus oben aufgelisteten Zwecken zur Datenerhebung. In keinem Fall verwenden wir die erhobenen Daten zu dem Zweck, Rückschlüsse auf Ihre Person zu ziehen.

3.2 Bei Nutzung unseres Kontaktformulars

Bei Fragen jeglicher Art bieten wir Ihnen die Möglichkeit, mit uns über ein auf der Website bereitgestelltes Formular Kontakt aufzunehmen. Dabei ist die Angabe einer validen E-Mail-Adresse erforderlich, damit wir wissen, von wem die Anfrage stammt und um diese beantworten zu können. Weitere Angaben können freiwillig getätigt werden.

Die Datenverarbeitung zum Zwecke der Kontaktaufnahme mit uns erfolgt nach Art. 6 Abs. 1 S. 1 lit. a DSGVO auf Grundlage Ihrer freiwillig erteilten Einwilligung.

Die für die Benutzung des Kontaktformulars von uns erhobenen personenbezogenen Daten werden nach Erledigung der von Ihnen gestellten Anfrage automatisch gelöscht.

3.3 Bei Registrierung und Vertragsschluss

Zur Durchführung eines Vertrags erheben wir folgende personenbezogene Daten:

• Firmenname und Ansprechpartner
• Anschrift (Straße, Hausnummer, Postleitzahl, Ort)
• E-Mail-Adresse
• Telefonnummer (falls angegeben)
• Zahlungsdaten (abhängig vom gewählten Zahlungsverfahren)

Die Datenverarbeitung erfolgt auf Ihre Anfrage hin und ist nach Art. 6 Abs. 1 S. 1 lit. b DSGVO für die genannten Zwecke zur Erfüllung des Vertrags und vorvertraglicher Maßnahmen erforderlich.

Die personenbezogenen Daten, die wir für die Durchführung des Vertrags verarbeiten, speichern wir, solange Ihr Konto besteht. Mit der Kontolöschung werden sie gelöscht (Abschnitt 12). Ausgenommen sind die Rechnungen, die wir Ihnen ausgestellt haben: Sie bewahren wir 8 Jahre ab Ende des Jahres auf, in dem sie ausgestellt wurden, und darüber hinaus nur, solange die Steuerfestsetzung noch offen ist, etwa wegen einer Betriebsprüfung oder eines Einspruchs. Dazu sind wir nach Art. 6 Abs. 1 S. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 14b UStG verpflichtet. Außerdem bewahren wir den Nachweis Ihres Löschantrags 3 Jahre auf (Abschnitt 12).

Profilbild und Logo (freiwillig): Jedes Konto kann in den Einstellungen unter „Logo und Profilbild“ bzw. „Profilbild“ ein Bild hochladen. Es ist zugleich das Bild Ihres Kontos in der Plattform (Seitenleiste, Konto-Menü, Kopf der Einstellungen). Wer es sieht, hängt von der Rolle ab:

• Vertreter, Administratoren, Speditionen und Konten einer Verbund-Zentrale ohne Verbund-Logo (Profilbild): Das Bild wird schon in Ihrem Browser auf 256 × 256 Pixel verkleinert und in einem nicht öffentlichen Speicher bei unserem Hosting-Dienstleister Supabase gespeichert (Abschnitt 5). Es wird nur Ihnen selbst angezeigt, andere Nutzer sehen es nicht.
• Werkstätten (Firmenlogo): Das Logo wird in Ihrem Browser ohne Zuschnitt als PNG mit höchstens 512 Pixeln Längskante gespeichert, und zwar in einem öffentlich erreichbaren Speicher bei Supabase. Es erscheint in Ihrer Plattform sowie auf Ausdrucken (etwa Eigenauftrag, Provisions-Abrechnung) und im Kundenportal Ihrer Kunden. Hochladen und Entfernen des Logos setzt ein aktives Werkstatt-Abo voraus.
• Agenturen (Agentur-Logo): Die Datei wird an unseren Server geschickt, dort geprüft und als PNG mit höchstens 512 Pixeln Längskante und höchstens 2 MB neu gespeichert (dabei fallen Metadaten wie der Aufnahmeort weg), in einem nicht öffentlichen Speicher bei Supabase. In der Plattform sehen es nur Sie. Auf E-Mails an Ihre Kunden, in PDF-Berichten und im Kundenportal erscheint es nur, solange die Agentur das Premium-Abo hat; sonst steht dort das Aussehen von SchadenMelden24.
• Verbund-Zentralen (Verbund-Logo): Inhaber und Manager der Zentrale können das Logo des Verbunds hochladen, ersetzen und entfernen. Es wird auf unserem Server neu gespeichert (höchstens 1024 Pixel, ohne Metadaten) und liegt in einem öffentlich erreichbaren Speicher bei Supabase. Es erscheint bei allen Konten der Zentrale und bei den Mitglieds-Werkstätten als Kennzeichnung des Verbunds.

Wer früher ein Firmenlogo und ein Profilbild hatte, sieht in der Plattform das Logo; das Profilbild bleibt nicht öffentlich gespeichert, bis Sie es unter „Logo und Profilbild“ löschen. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO (Bereitstellung der von Ihnen gewünschten Kontofunktion). Sie können jedes Bild jederzeit an derselben Stelle entfernen (das Werkstatt-Logo nur mit aktivem Abo). Mit der Löschung Ihres Kontos werden Profilbild, Werkstatt-Logo und Agentur-Logo ebenfalls gelöscht; bei Agenturen auch die Angaben für den Briefkopf (Firmenname, Adresse, Telefon, Absendername, Farbe).

3.4 Bei Nutzung der Kamerafunktion

An einigen Stellen der Plattform können Sie ein Foto direkt mit der Kamera Ihres Geräts aufnehmen, etwa Schadensfotos, Fotos bei der Fahrzeugannahme oder ein Foto des Kennzeichens. Die Kamera öffnet sich erst, wenn Sie die jeweilige Foto-Schaltfläche antippen, und dient nur dieser Aufnahme; am Computer öffnet sich stattdessen die übliche Dateiauswahl. Einen weitergehenden Zugriff auf Ihre Kamera haben wir nicht. Schadens- und Annahmefotos erhalten wir erst, wenn Sie sie bestätigen.

Das Kennzeichen liest Ihr Gerät selbst aus; das Foto wird dafür nicht an uns übertragen.

Die Rechtsgrundlage für den Kamerazugriff ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Nutzung der Kamera ist freiwillig; ohne Ihr Antippen entsteht keine Aufnahme.

3.5 Bei Nutzung des Werkstatt-Marktplatzes

Sofern der Werkstatt-Marktplatz freigeschaltet ist, können Werkstätten dort überzählige Ersatzteile anbieten und bei anderen Werkstätten anfragen. Teilnehmen können nur verifizierte, aktive Werkstätten mit laufendem Abonnement. Dabei verarbeiten wir:

• Inserate: Bezeichnung, Kategorie, Teilenummern (OEM-Nummer, Eurocode, HSN/TSN), Zustand, Preis, Menge, Beschreibung, Fahrzeugangaben (Hersteller, Modell, Baujahre), bei Glas Glasart und Ausstattung, Postleitzahl und Ort des Standorts sowie bis zu 12 Fotos (JPEG, PNG oder WebP, je höchstens 2 MB) in einem nicht öffentlichen Speicher. Aktive Inserate sehen alle teilnehmenden Werkstätten, in der Detailansicht mit dem Namen der anbietenden Werkstatt. Fotos werden nur über Links abgerufen, die nach einer Stunde ablaufen.
• Anfragen und Nachrichten: Anfragen zu einem Inserat und die anschließenden Textnachrichten (ohne Anhänge, je höchstens 2.000 Zeichen) sehen nur die beiden beteiligten Werkstätten; jede Seite sieht dabei den Namen der anderen Werkstatt.
• Benachrichtigungen: Bei einer neuen Anfrage erhält die anbietende Werkstatt eine E-Mail über unseren Versanddienstleister Resend (Abschnitt 5) mit Bezeichnung, OEM-Nummer und Menge des Teils, dem Namen der anfragenden Werkstatt und dem Anfragetext sowie einen Hinweis in der Benachrichtigungsglocke der Plattform. Neue Nachrichten in einer bestehenden Anfrage melden wir nur in der Glocke, mit einer kurzen Vorschau des Textes. Beides lässt sich in den Benachrichtigungseinstellungen abschalten.
• Fahrzeug-Identifizierungsnummer (VIN): Beim Anbieten und Suchen kann eine VIN eingegeben werden. Unser Server ermittelt daraus das Modelljahr; die VIN wird dabei weder gespeichert noch protokolliert. Nur wenn zusätzlich die Online-Abfrage freigeschaltet ist, übermittelt unser Server die VIN an den Dienst vPIC der US-Verkehrssicherheitsbehörde NHTSA (USA), um Hersteller und Modelljahr zu ergänzen.

Zugriff auf Inserate, Anfragen und Nachrichten haben außerdem die Administratoren von SchadenMelden24.

Speicherdauer: Aktive Inserate werden 90 Tage nach ihrer Erstellung automatisch auf „abgelaufen“ gesetzt. Verkaufte, zurückgezogene oder abgelaufene Inserate löschen wir 90 Tage nach der letzten Änderung samt zugehörigen Anfragen und Nachrichten; ihre Fotos werden anschließend aus dem Speicher entfernt. Geschlossene Anfragen löschen wir 90 Tage nach dem Schließen, ihre Nachrichten bereits 14 Tage danach; nicht geschlossene Anfragen löschen wir 30 Tage nach ihrer Erstellung. Löschen Sie ein Inserat selbst, entfernen wir es sofort samt Anfragen und Nachrichten; seine Fotos werden anschließend automatisch aus dem Speicher entfernt. Fotos, die Sie beim Bearbeiten aus einem Inserat entfernen, und Fotos, die keinem Inserat zugeordnet sind (etwa nach einem abgebrochenen Hochladen), löschen wir automatisch, in der Regel innerhalb von zwei Tagen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Marktplatzes nach dem Nutzungsvertrag mit Ihrer Werkstatt).

3.6 Bei Nutzung des Werkstatt-Netzwerks

Sofern das Werkstatt-Netzwerk freigeschaltet ist, können sich Werkstätten dort untereinander austauschen. Teilnehmen können nur verifizierte, aktive Werkstätten mit laufendem Abonnement. Das Netzwerk ist nicht für Daten von Endkunden bestimmt; diese dürfen dort nicht veröffentlicht werden. Dabei verarbeiten wir:

• Verzeichnis: Teilnehmende Werkstätten erscheinen für andere Teilnehmer mit Firmenname, Postleitzahl und Ort des Hauptstandorts, den Spezialisierungen ihrer Standorte und – falls hinterlegt – einer Kurzvorstellung, die nur Geschäftsangaben enthalten soll. Die Aufnahme ist voreingestellt; in den Netzwerk-Einstellungen können Sie Ihre Werkstatt jederzeit ausblenden.
• Pinnwand: Beiträge (Teilegesuche und Ankündigungen) mit Titel, Text, Ortsangaben, Teile- und Fahrzeugangaben und Fotos sehen alle teilnehmenden Werkstätten, solange sie aktiv sind, zusammen mit dem Namen der verfassenden Werkstatt. Reaktionen werden anderen nur als Anzahl angezeigt, nicht mit Namen.
• Chats: Nachrichten in Einzel- und Gruppenchats und angehängte Bilder sehen nur die Mitglieder des jeweiligen Chats; neue Nachrichten werden in Echtzeit übertragen. Gruppen verwaltet die anlegende Werkstatt; sie kann weitere Werkstätten aufnehmen oder entfernen, was als Systemnachricht im Chat erscheint. Verlässt sie die Gruppe, übernimmt das am längsten beteiligte Mitglied die Verwaltung. Einen Einzelchat können Sie für sich ausblenden; für die andere Werkstatt bleibt er bestehen. Hat die andere Werkstatt ihr Konto gelöscht, können Sie den Einzelchat selbst endgültig löschen.
• Fotos und Bilder (JPEG, PNG oder WebP, je höchstens 2 MB) liegen in einem nicht öffentlichen Speicher.
• Benachrichtigungen: Neue Einzelnachrichten melden wir in der Benachrichtigungsglocke der Plattform. Werden Sie in eine Gruppe aufgenommen, erhalten Sie eine E-Mail mit dem Gruppennamen über Resend (Abschnitt 5). Beides lässt sich in den Benachrichtigungseinstellungen abschalten.
• Meldungen: Beiträge, Nachrichten und Profile können mit einer Begründung und bis zu 5 Bildern als Beleg gemeldet werden. Meldungen sehen nur die meldende Werkstatt und unsere Administratoren. Diese prüfen gemeldete Inhalte, können sie löschen und halten ihre Entscheidung mit Begründung fest; Moderationsschritte werden protokolliert.

Lesezugriff auf Verzeichnisprofile, Beiträge und Chats einschließlich Bildern haben außerdem die Administratoren von SchadenMelden24.

Speicherdauer: Solange das Netzwerk freigeschaltet ist, setzen wir aktive Pinnwand-Beiträge 90 Tage nach ihrer Erstellung auf „abgelaufen“ und löschen erledigte, zurückgezogene oder abgelaufene Beiträge 30 Tage danach samt Fotos; abgeschlossene Meldungen löschen wir 90 Tage nach dem Abschluss samt Belegbildern. Einzel- und Gruppenchats, in denen 12 Monate lang keine neue Nachricht erschienen ist (auch keine Systemnachricht, etwa über ein neues Mitglied), löschen wir vollständig mit allen Nachrichten und angehängten Bildern; bei einem Chat ohne Nachricht zählt der Tag, an dem er angelegt wurde. Das prüfen wir täglich, auch wenn das Netzwerk nicht freigeschaltet ist. Solange in einem Chat geschrieben wird, bleiben auch seine älteren Nachrichten erhalten. Unabhängig davon kann unsere Moderation gemeldete Nachrichten löschen. Verzeichnis-Einstellungen und Kurzvorstellung bleiben, bis Sie sie ändern.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Netzwerks nach dem Nutzungsvertrag mit Ihrer Werkstatt); für die voreingestellte Aufnahme ins Verzeichnis und die Moderation gemeldeter Inhalte Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem auffindbaren und rechtssicheren Netzwerk). Der Aufnahme ins Verzeichnis können Sie nach Art. 21 DSGVO widersprechen, am einfachsten über die Netzwerk-Einstellungen.

4. Weitergabe von Daten

Eine Übermittlung Ihrer persönlichen Daten an Dritte zu anderen als den im Folgenden aufgeführten Zwecken findet nicht statt.

Wir geben Ihre persönlichen Daten nur an Dritte weiter, wenn:

• Sie Ihre ausdrückliche Einwilligung dazu erteilt haben nach Art. 6 Abs. 1 S. 1 lit. a DSGVO
• die Weitergabe zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist
• die Weitergabe zur Erfüllung einer rechtlichen Verpflichtung nach Art. 6 Abs. 1 S. 1 lit. c DSGVO erforderlich ist
• dies gesetzlich zulässig und nach Art. 6 Abs. 1 S. 1 lit. b DSGVO für die Abwicklung von Vertragsverhältnissen mit Ihnen erforderlich ist
• die Weitergabe nach Art. 6 Abs. 1 S. 1 lit. f DSGVO zur Wahrung berechtigter Interessen erforderlich ist und Ihre Interessen nicht überwiegen (etwa im Werkstatt-Verbund, siehe unten)

Werkstatt-Verbund: Gehört Ihre Werkstatt einem Werkstatt-Verbund an, zeigen wir der Verbund-Zentrale die Firmen- und Standortdaten Ihrer Werkstatt und deren Kontaktdaten. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO (berechtigtes Interesse von Werkstatt und Verbund, einander bei einem Anliegen zu erreichen), beim Einzelunternehmen zusätzlich Art. 6 Abs. 1 S. 1 lit. b DSGVO. Fragt Ihre Werkstatt den Beitritt zu einem Verbund an oder beantwortet sie eine Einladung, sieht die Zentrale dieses Verbunds die Anfrage oder die Antwort. Welche Daten das genau sind, wer sie sieht und wie lange wir sie speichern, steht in Abschnitt 17.5.

5. Auftragsverarbeiter und Sub-Prozessoren

Für den Betrieb unserer Plattform setzen wir die folgenden Auftragsverarbeiter (Sub-Prozessoren) ein. Mit allen Dienstleistern bestehen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO. Für Übermittlungen in Drittländer bestehen EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO.

Hinweis zum WhatsApp-Versand: Wir bieten Versicherungen und Werkstaetten die Möglichkeit, Kundenportal-Zugangslinks per WhatsApp zu versenden. Dies erfolgt über einen Deep-Link (wa.me) im Browser des Benutzers — SchadenMelden24 selbst kommuniziert NICHT mit Meta/WhatsApp. Die Datenverarbeitung erfolgt durch den WhatsApp-Account des jeweiligen Nutzers (Versicherung/Werkstatt) und unterliegt deren Vertrag mit Meta.

Eine vollständige Liste der Sub-Prozessoren mit Kontaktdaten finden Sie auch in unserem Auftragsverarbeitungsvertrag (AV-Vertrag).

6. Kundenportal (gesicherter Zugang für Endkunden)

Wir bieten Endkunden – Versicherungsnehmern sowie Kunden, deren Auftrag eine Werkstatt direkt über unsere Plattform abwickelt – einen persönlichen Zugang zu ihrem Auftrag. Dort können sie den Bearbeitungsstand einsehen, mit der Werkstatt Nachrichten austauschen, Dateien hochladen und Termine abstimmen. Dieser Zugang erfordert keine dauerhafte Registrierung und kein Passwort.

Zugang und Bestätigung: Der Zugang erfolgt in drei Schritten:

• Zugangs-Link: Die Werkstatt oder Versicherung schickt Ihnen einen persönlichen Link per E-Mail oder über ihr eigenes WhatsApp (siehe Hinweis in Abschnitt 5). Der Link gilt 30 Tage; wird er Ihnen erneut geschickt (etwa mit einem Terminvorschlag), gilt er ab dann wieder 30 Tage. Zum Link speichern wir Ihren Namen, die E-Mail-Adresse (sofern angegeben), einen Aufrufzähler, die Zeitpunkte des letzten Aufrufs und des letzten Sitzungsaufbaus sowie den Zeitpunkt, zu dem erstmals ein Code bestätigt wurde. Der Link allein zeigt noch keine Auftragsdaten an.
• Kennzeichen: Bevor wir einen Code versenden, geben Sie das Kennzeichen Ihres Fahrzeugs ein. Wir gleichen es mit dem Auftrag ab und speichern Ihre Eingabe nicht. Ist am Auftrag kein Kennzeichen hinterlegt, entfällt dieser Schritt.
• E-Mail-Bestätigungscode (Zwei-Faktor): Anschließend senden wir einen einmaligen, sechsstelligen Code an die im Auftrag hinterlegte E-Mail-Adresse (Gültigkeit 15 Minuten). Erst nach Eingabe des Codes werden Ihre Auftragsdaten angezeigt. Die Bestätigung gilt nur für diesen Link und nur in dem Browser auf dem Gerät, in dem Sie den Code eingegeben haben. Auf einem anderen Gerät, in einem anderen Browser, nach dem Löschen Ihrer Cookies oder nach Ablauf der Sitzung ist erneut ein Code nötig. Je Link versenden wir höchstens drei Codes in 15 Minuten; nach fünf falschen Eingaben wird ein Code ungültig.

Sitzung und Sicherheitsdaten: Beim Öffnen des Links legen wir eine Sitzung an und speichern deren Kennung in einem technisch notwendigen Cookie (sm24_kunde_link_session, Einzelheiten in Abschnitt 8.1). So erkennt das Portal Ihr Gerät nach der Code-Eingabe als bestätigt. Zur Sitzung speichern wir, ob sie per Code bestätigt ist, wann sie angelegt und zuletzt genutzt wurde, sowie je einen Prüfwert (SHA-256-Hash) Ihrer IP-Adresse und Ihrer Browser-Kennung (User-Agent). Vom Bestätigungscode speichern wir ebenfalls nur einen Prüfwert. IP-Adresse und Browser-Kennung selbst speichern wir hierfür nicht im Klartext. Die beiden Prüfwerte dienen dazu, bei Missbrauchsverdacht nachvollziehen zu können, von wo aus eine Sitzung eröffnet wurde. Sie werden ohne geheimen Schlüssel gebildet und sind deshalb pseudonym, nicht anonym.

Begrenzung der Anfragen: Um Überlastung und das Durchprobieren von Codes zu verhindern, zählen wir die Anfragen an das Kundenportal je IP-Adresse. Die IP-Adresse wird dafür zusammen mit dem Zähler kurzzeitig gespeichert und spätestens nach etwa zwei Stunden gelöscht.

Angezeigte Daten: Nach der Bestätigung ruft das Portal die Daten ab, die Werkstatt oder Versicherung zu Ihrem Auftrag hinterlegt haben:

• Auftragsnummer, Bearbeitungsstand (Fortschrittsanzeige), Termin und Terminvorschläge
• Name, Anschrift und Telefonnummer der beauftragten Werkstatt
• Ihre Kontaktdaten (Name, Telefonnummer, E-Mail-Adresse)
• Fahrzeugdaten (u. a. Marke, Modell, Kennzeichen, Fahrzeug-Identifizierungsnummer, Erstzulassung)
• Schadensdaten (Schadensart, Schadendatum, Beschreibung) sowie bei über eine Versicherung vermittelten Schäden Versicherung, Versicherungsnummer und Selbstbeteiligung
• Nachrichten zwischen Ihnen und der Werkstatt im Rahmen des Auftrags
• Fotos und Dokumente, die Sie, die Werkstatt oder die Versicherung zum Auftrag hochgeladen haben

Ihre Eingaben im Portal: Nachrichten, Terminangaben (Annahme eines Terminvorschlags, eigener Terminvorschlag mit optionaler Anmerkung, Absage mit Begründung) und hochgeladene Dateien speichern wir beim Auftrag. Hochladen können Sie Fotos und Dokumente (z. B. Schadensfotos oder den Fahrzeugschein) in den Formaten JPEG, PNG, WebP, PDF und Word (DOC, DOCX) mit höchstens 10 MB je Datei. Die Dateien liegen im Dateispeicher unseres Auftragsverarbeiters Supabase (siehe Abschnitt 5). Eigene Uploads können Sie im Portal wieder löschen. Ihre Nachrichten, Dateien und Terminangaben erhält die beauftragte Werkstatt. Nachrichten und Dateien sieht außerdem die Versicherung, wenn der Auftrag über sie vermittelt oder ihr zugeordnet wurde, und bei der Schadenmeldung eines Spediteurs (Abschnitt 6b) auch dieser.

Datenexport und Löschantrag im Portal: Nach der Code-Bestätigung können Sie im Portal eine Auskunft über Ihre Daten sofort als JSON-Datei herunterladen (Art. 15 und Art. 20 DSGVO). Sie enthält die zu Ihrem Auftrag gespeicherten Kontakt-, Fahrzeug-, Schadens- und Termindaten, die Nachrichten und eine Liste der Dateien; die Dateien selbst laden Sie im Portal herunter. Außerdem können Sie dort die Löschung Ihrer Daten beantragen (Art. 17 DSGVO). Den Antrag speichern wir mit Ihrer optionalen Begründung, dem Namen und der E-Mail-Adresse aus dem Zugangs-Link, einer gekürzten IP-Adresse und Ihrer Browser-Kennung und bearbeiten ihn innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Solange ein Schadenverfahren läuft, kann sich die Löschung bis zu dessen Abschluss verschieben (Art. 17 Abs. 3 lit. e DSGVO). Nach der Erledigung bewahren wir den Antrag 3 Jahre ab Ende des Jahres der Erledigung als Nachweis auf und löschen ihn dann automatisch; wird der Zugangs-Link vorher gelöscht, bleibt der Antrag ohne Verbindung zum Link bestehen.

Empfänger: Die Daten liegen bei unseren Auftragsverarbeitern Supabase (Datenbank und Dateispeicher) und Vercel (Hosting). Zugangs-Links und Bestätigungscodes versenden wir per E-Mail über Resend. Technische Fehlerberichte und Leistungsmessungen gehen an Sentry; Zugangs-Links werden darin unkenntlich gemacht. Haben Sie der Fehleranalyse zugestimmt, kann eine Aufzeichnung die Adresse der aufgerufenen Seite und damit Ihren Zugangs-Link enthalten (Abschnitt 8.3). Einzelheiten zu diesen Dienstleistern finden Sie in Abschnitt 5.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für Statuseinsicht, Nachrichten, Dateien, Terminabstimmung, den Versand von Link und Code sowie die Kundenportal-Sitzung; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Absicherung des Zugangs gegen Missbrauch) ebenfalls für die Kundenportal-Sitzung sowie für Kennzeichen-Abgleich, Prüfwerte und die Begrenzung der Anfragen; Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) für die Bearbeitung von Datenexport und Löschantrag. Soweit wir im Auftrag der Werkstatt oder Versicherung tätig sind (Abschnitte 6a und 12), ist diese verantwortlich; die genannten Rechtsgrundlagen betreffen deren Vertragsverhältnis mit Ihnen.

Speicherdauer: Nach Ablauf des Zugangs-Links sind keine Auftragsdaten mehr abrufbar. Eine Sitzung gilt 30 Tage; nach der Code-Bestätigung beginnt diese Frist bei jedem Aufruf des Portals neu. Abgelaufene Sitzungen löschen wir, sobald sie erneut verwendet werden. Sieben Tage nach Ablauf des Zugangs-Links löscht ein täglicher Löschlauf den Link zusammen mit allen zugehörigen Sitzungen, Prüfwerten und Codes. Eine Übersicht finden Sie in Abschnitt 9.

6a. Informationspflicht bei Erhebung über Dritte (Art. 14 DSGVO)

Verantwortlichkeit bei Endkundendaten: Wenn eine Versicherung über unsere Plattform einen Schadenfall an eine Werkstatt vermittelt, übermittelt sie uns und der ausgewählten Werkstatt personenbezogene Daten ihrer Versicherungsnehmer*innen (Name, Kontaktdaten, Fahrzeug- und Schadensdaten). Für diese Daten ist die jeweilige Versicherung der Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. Flare Solutions (Inhaber Hannes Werner) handelt bezüglich dieser Daten als Auftragsverarbeiter (Art. 28 DSGVO) auf Weisung der Versicherung.

Informationspflicht der Versicherung: Die Pflicht zur Information der betroffenen Endkund*innen über die Datenverarbeitung nach Art. 14 DSGVO trifft die Versicherung als Verantwortliche. Sie stellt im Rahmen ihrer eigenen Datenschutzerklärung und Kunden­kommunikation sicher, dass die betroffenen Personen über die Weitergabe an Reparaturdienstleister und deren Plattformen (einschließlich SchadenMelden24) informiert werden.

Unsere Unterstützung: Zur Unterstützung der Versicherungen bei der Erfüllung ihrer Informationspflicht versendet unsere Plattform standardmäßig automatisch eine Informations-E-Mail nach Art. 14 DSGVO an die betroffenen Endkund*innen, sobald ein Schadenfall mit hinterlegter E-Mail-Adresse angelegt wird. Die jeweilige Versicherung kann diesen automatischen Versand in ihren Einstellungen deaktivieren, sofern sie ihre Informationspflicht selbst erfüllt. Zuständiger Ansprechpartner für Betroffenenrechte nach Art. 14 bleibt die jeweilige Versicherung; wir leiten eingehende Anfragen von Endkund*innen unverzüglich an die zuständige Versicherung weiter und informieren Sie unter info@schadenmelden24.com.

Rechtsgrundlage unserer Verarbeitung: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Auftragsverarbeitungsvertrags mit der Versicherung) sowie Art. 28 DSGVO.

Nach der Löschung eines beteiligten Unternehmens: Löscht die Versicherung oder die Werkstatt ihr Konto, bleibt der gemeinsame Schadenfall für das andere Unternehmen erhalten (Abschnitt 12). Endkund*innen wenden sich dann mit ihren Anliegen an das verbleibende Unternehmen.

6b. Spediteur-Accounts und Fahrerdaten (Flottenkunden)

Wer ist betroffen: Spediteure (Flottenkunden) sind gewerbliche Fuhrpark-Betreiber, die von einer Werkstatt über unsere Plattform per Einladung als Kunde angelegt werden. Ein Spediteur meldet Schäden an seinen eigenen Fahrzeugen ausschließlich an die Werkstatt, an die er gerade gebunden ist (die Werkstatt, die ihn eingeladen hat; nach einem Wechsel über eine neue Einladung die neue Werkstatt) — es findet keine Vermittlung an Versicherungen oder andere Werkstätten statt.

6b.1 Spediteur-Kontodaten

Zum Betrieb des Spediteur-Kontos verarbeiten wir die folgenden Geschäftskontaktdaten: Firmenname, Name des Ansprechpartners, Telefonnummer und E-Mail-Adresse. Diese Daten werden bei der Einladung durch die Werkstatt erhoben (indirekte Erhebung über Dritte, vgl. Abschnitt 6a) und vom Spediteur bei der Registrierung bestätigt bzw. ergänzt. Die Einladung selbst speichert die genannten Geschäftskontaktdaten (Firma, Ansprechpartner, Telefon) für die Dauer ihrer Gültigkeit von sieben Tagen bis zur Registrierung des Spediteurs (einmalige Verwendung).

6b.2 Fahrerdaten

Der Spediteur kann zu seinem Fuhrpark Fahrerdaten hinterlegen. Wir verarbeiten dabei folgende personenbezogene Daten der Fahrer*innen:

• Name der Fahrerin / des Fahrers
• Telefonnummer (sofern angegeben)
• Führerschein-Kontrolldatum — das Datum der letzten Führerscheinkontrolle

Zusätzlich kann der Spediteur bei einer konkreten Schadenmeldung einen Fahrernamen und eine Fahrer-Telefonnummer als Momentaufnahme zum Schadenfall hinterlegen (Zuordnung des betroffenen Fahrers zur jeweiligen Meldung).

6b.3 Zweck der Verarbeitung

Die Fahrerdaten werden zu zwei Zwecken verarbeitet:

• Schadenabwicklung: Zuordnung des betroffenen Fahrers zur jeweiligen Schadenmeldung, damit die Werkstatt den Schaden sachgerecht bearbeiten kann.
• Halterhaftung und Unfallverhütung (UVV): Das Führerschein-Kontrolldatum dokumentiert die regelmäßige Führerscheinkontrolle, zu der der Fuhrpark-Halter im Rahmen seiner Halterpflichten und der Unfallverhütungsvorschriften (UVV) gesetzlich verpflichtet ist.

6b.4 Rechtsgrundlage

Rechtsgrundlage für die Verarbeitung der Spediteur-Konto- und Fahrerdaten ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertragsverhältnisses zwischen Werkstatt und Spediteur sowie Bereitstellung der Plattform) sowie — bezogen auf die Führerschein-Kontrolldokumentation — Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Erfüllung der Halterhaftungs- und UVV-Pflichten des Fuhrpark-Halters).

6b.5 Speicherdauer

• Fahrer- und Fuhrpark-Stammdaten: Solange die Zusammenarbeit mit der Werkstatt besteht, verwaltet der Spediteur seine Fahrer- und Fahrzeugliste selbst (Anlegen, Ändern, Löschen); die Daten bleiben gespeichert, bis er sie löscht oder sein Zugang gelöscht wird. Beendet die Werkstatt die Zusammenarbeit, löst der Spediteur die Bindung an sie selbst oder wird ihr Konto gelöscht, kann der Spediteur diese Daten weiter ansehen, aber nicht mehr ändern oder selbst löschen. Nach einer Deaktivierung sieht die Werkstatt diese Daten weiter; nach dem Lösen der Bindung oder der Löschung ihres Kontos nicht mehr. Sie bleiben dann gespeichert, bis wir sie auf Antrag löschen (E-Mail an info@schadenmelden24.com) oder der Zugang des Spediteurs gelöscht wird.
• Fahrerdaten in einer konkreten Schadenmeldung: Der zum Schadenfall hinterlegte Fahrername und die Fahrer-Telefonnummer bleiben gespeichert, solange der jeweilige Auftrag besteht (siehe Abschnitt 9).
• Aufträge aus Schadenmeldungen des Spediteurs: Sie bleiben für den Spediteur gespeichert und lesbar, bis sein Zugang gelöscht wird – auch wenn die Werkstatt sie löscht, die Zusammenarbeit mit ihm beendet (Deaktivierung), er die Bindung an die Werkstatt selbst löst oder die Werkstatt ihr eigenes Konto löscht; in der Anwendung sieht die Werkstatt gelöschte Aufträge danach nicht mehr. Nach einer Deaktivierung, dem Lösen der Bindung oder der Löschung des Werkstatt-Kontos kann der Spediteur keine neuen Schäden mehr melden und keine Nachrichten mehr schreiben, bis ihn die Werkstatt wieder aktiviert oder eine Werkstatt ihn neu einlädt. Wechselt der Spediteur über eine neue Einladung zu einer anderen Werkstatt, bleiben seine bisherigen Aufträge bei der Werkstatt, die sie bearbeitet hat; seine Konto-, Fahrzeug- und Fahrerdaten sieht ab dann nur noch die neue Werkstatt. Aufträge früherer Werkstätten kann er danach nur noch lesen, aber keine Nachrichten oder Dateien mehr dazu senden – außer er ist wieder an dieselbe Werkstatt gebunden. Gelöscht werden die Aufträge bei der täglichen Bereinigung, sobald der Zugang des Spediteurs gelöscht ist und auch die Werkstatt sie gelöscht hat. Chat-Nachrichten zum Auftrag löschen wir unabhängig davon 14 Tage nach Abschluss oder Stornierung des Auftrags (Abschnitt 9).

Eine automatisierte Löschung der Fahrer-Stammdaten nach Zeitablauf findet nicht statt. Während der Zusammenarbeit löscht der Spediteur sie selbst; danach löschen wir sie auf Antrag oder mit dem Zugang des Spediteurs. Seinen Zugang kann ein Spediteur nicht selbst in der Anwendung löschen; die Löschung beantragt er per E-Mail an info@schadenmelden24.com (siehe auch Betroffenenrechte unten).

6b.6 Gemeinsame Verantwortlichkeit

Solange die Zusammenarbeit mit einer Werkstatt besteht, sind für die im Rahmen der Spediteur-Beziehung über die Plattform verarbeiteten Daten diese Werkstatt und Flare Solutions (Inhaber Hannes Werner, Betreiber von SchadenMelden24) gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO. Die Werkstatt legt den Zweck der Schadenabwicklung für ihren Betrieb fest; Flare Solutions stellt die Plattform bereit und bestimmt die technischen Mittel der Verarbeitung. Die Wahrnehmung der wesentlichen datenschutzrechtlichen Pflichten — insbesondere der Betroffenenrechte (Abschnitt 6b.7) und der Informationspflichten — wird zwischen den gemeinsam Verantwortlichen abgestimmt. Zentrale Anlaufstelle für Betroffene ist info@schadenmelden24.com; Anfragen können auch an die jeweilige Werkstatt gerichtet werden.

Nach dem Lösen der Bindung oder der Löschung des Werkstatt-Kontos: Löst der Spediteur die Bindung an seine Werkstatt selbst oder wird das Konto der Werkstatt gelöscht, bewahren wir die Aufträge, Fahrzeug- und Fahrerdaten des Spediteurs weiter für ihn zum Nachlesen auf (Abschnitt 6b.5). Für diese Aufbewahrung zum Nachlesen für den Spediteur ist Flare Solutions (Inhaber Hannes Werner, Betreiber von SchadenMelden24) allein verantwortlich. Rechtsgrundlage ist für die Daten des Spediteurs selbst Art. 6 Abs. 1 lit. b DSGVO (Nutzungsverhältnis zwischen Flare Solutions und dem Spediteur über seinen Zugang); für die Daten seiner Fahrerinnen und Fahrer, einschließlich der Führerschein-Kontrolldokumentation, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Spediteurs, seine Schadenfälle und Kontrollen weiter nachweisen zu können, vgl. Abschnitt 6b.4). Hat der Spediteur die Bindung selbst gelöst, bleiben die Aufträge, die die bisherige Werkstatt bearbeitet hat, für deren eigene Unterlagen zugleich in ihrer Verantwortung. Dasselbe gilt, wenn der Spediteur über eine neue Einladung zu einer anderen Werkstatt wechselt, für die Aufträge der bisherigen Werkstatt: Für ihre Aufbewahrung zum Nachlesen für den Spediteur ist Flare Solutions allein verantwortlich, die bisherige Werkstatt für ihre eigenen Unterlagen. Beendet die Werkstatt die Zusammenarbeit dagegen nur (Deaktivierung), bleibt es bei der gemeinsamen Verantwortlichkeit: Die Werkstatt sieht die Daten weiter, der Spediteur kann sie nur noch lesen. Anfragen richten Sie bitte an info@schadenmelden24.com. Nimmt der Spediteur die Einladung einer Werkstatt an, gilt für die neue Zusammenarbeit wieder die gemeinsame Verantwortlichkeit mit dieser Werkstatt.

Eigenverantwortung des Spediteurs für Fahrereingaben: Soweit der Spediteur Daten seiner Fahrerinnen und Fahrer eingibt, ist er hierfür datenschutzrechtlich selbst (mit)verantwortlich. Ihn trifft insbesondere die Pflicht, seine Fahrerinnen und Fahrer gemäß Art. 13 bzw. Art. 14 DSGVO über die Verarbeitung ihrer Daten zu informieren.

6b.7 Betroffenenrechte

Betroffene Fahrer*innen haben insbesondere das Recht auf Auskunft (Art. 15 DSGVO), auf Berichtigung unrichtiger Daten (Art. 16 DSGVO) und auf Löschung (Art. 17 DSGVO). Solange die Zusammenarbeit mit der Werkstatt besteht, löscht der Spediteur Fahrer- und Fuhrpark-Stammdaten selbst über die Verwaltung seines Fuhrparks; darüber hinaus können Betroffene ihre Rechte auf Antrag geltend machen. Nach dem Ende der Zusammenarbeit, dem Lösen der Bindung durch den Spediteur oder der Löschung des Werkstatt-Kontos löschen wir diese Daten auf Antrag oder mit der Löschung des Spediteur-Zugangs. Anfragen richten Sie bitte an info@schadenmelden24.com; solange eine Werkstatt beteiligt ist (auch nach einer Deaktivierung), können Sie sich auch an diese Werkstatt wenden (Abschnitt 6b.6).

6b.8 Keine Weitergabe, kein Geldfluss

Die Spediteur- und Fahrerdaten werden ausschließlich zur Abwicklung der Schadenmeldungen zwischen dem Spediteur und der gebundenen Werkstatt verarbeitet. Eine Weitergabe dieser Daten an Dritte über die zur Bereitstellung der Plattform eingesetzten Auftragsverarbeiter (siehe Abschnitt 5) hinaus findet nicht statt. Über die Plattform wird im Rahmen der Spediteur-Schadenmeldungen kein Zahlungsverkehr abgewickelt.

6c. Auftragssuche und Status-Link

Auf unserer Seite „Auftrag suchen“ können Endkunden ohne Anmeldung den Bearbeitungsstand ihres Auftrags abrufen. Dazu geben Sie Auftragsnummer und Kennzeichen ein. Beides wird verschlüsselt im Inhalt der Anfrage übertragen (nicht in der Adresszeile), mit dem Auftrag abgeglichen und nicht gespeichert.

Status-Link: Passen Auftragsnummer und Kennzeichen zusammen, erhalten Sie einen Status-Link. Werkstätten können einen solchen Link auch selbst erzeugen und an Sie weitergeben. Der Link gilt 30 Tage ab Ausstellung bzw. letzter Erneuerung. Er zeigt nur Auftragsnummer, Bearbeitungsstand, den Namen der Werkstatt und das Datum der Auftragsanlage – keine Kontakt-, Fahrzeug- oder Schadensdaten. Zum Link speichern wir die Anzahl der Aufrufe und den Zeitpunkt des letzten Aufrufs.

Schutz vor Missbrauch: Damit niemand fremde Auftragsnummern durchprobieren kann, sind von einer IP-Adresse höchstens fünf Suchen in fünf Minuten möglich; nach zehn Fehlversuchen innerhalb von 30 Minuten sperren wir weitere Suchen von dieser IP-Adresse vorübergehend. Dafür speichern wir die IP-Adresse zusammen mit einem Zähler kurzzeitig und löschen sie spätestens nach etwa zwei Stunden.

Rechtsgrundlage und Speicherdauer: Art. 6 Abs. 1 lit. b DSGVO (Information über den Auftrag) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz der Auftragsdaten vor unbefugtem Abruf) für die Begrenzung der Suchen. Soweit wir im Auftrag der Werkstatt oder Versicherung tätig sind (Abschnitte 6a und 12), ist diese verantwortlich; die genannten Rechtsgrundlagen betreffen deren Vertragsverhältnis mit Ihnen. Abgelaufene Status-Links löschen wir 30 Tage nach ihrem Ablauf automatisch.

7. Termin-Erinnerungen und Kalender-Synchronisation

7.1 Automatische Termin-Erinnerungs-E-Mails

Sobald eine Werkstatt einen Reparatur-Termin in unserer Plattform terminiert, versenden wir automatisch Termin-Erinnerungs-E-Mails an den Endkunden (Versicherungsnehmer) und an die zuständige Werkstatt — in der Regel 24 Stunden und 2 Stunden vor dem Termin. Die E-Mails enthalten Auftragsnummer, Datum/Uhrzeit, Werkstatt-Adresse und einen iCalendar-Anhang (.ics) zum Eintragen in den eigenen Kalender.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Termin-Information) i.V.m. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Reduktion von No-Shows). Versand erfolgt über Resend Inc. (siehe Sub-Prozessoren-Tabelle).

Speicherdauer Reminder-Protokoll: 2 Jahre nach Versand (termin_reminder_log). Die ICS-Anhaenge selbst werden nicht persistent gespeichert.

7.2 Abgleich mit Google Kalender und Google Tasks (alle Nutzer — freiwillig)

Alle Nutzerinnen und Nutzer von SchadenMelden24 (Werkstätten, Versicherungen, Vermittler, Spediteure, Verbund-Zentralen und die Plattform-Verwaltung) können ihren SchadenMelden24-Kalender freiwillig mit ihrem eigenen Google-Konto verbinden. Dann erscheinen Termine aus dem verbundenen Google-Kalender auch in SchadenMelden24 und umgekehrt. Die Verknüpfung erfolgt über den OAuth2-Standard-Flow (PKCE) bei Google. Vor dem Verbinden wird der Umfang ausdrücklich angezeigt und bestätigt. Werkstätten, deren Google-Verbindung schon besteht, müssen dem erweiterten Abgleich ihrer eigenen Termine (siehe unten) gesondert zustimmen; ohne diese Zustimmung läuft ihr bisheriger Abgleich unverändert weiter.

Welche Berechtigungen wir bei Google anfragen: Im Grundumfang openid und userinfo.email (Anzeige, mit welchem Google-Konto verbunden ist) sowie calendar.events (Termine lesen und schreiben); Werkstätten zusätzlich userinfo.profile. Nur wenn Sie den Abgleich von Aufgaben einschalten, kommt tasks hinzu (Aufgaben in Google Tasks lesen und schreiben). Nur wenn eine Werkstatt aktiv „Kalender wählen“ anklickt, kommen zwei weitere schmale Berechtigungen hinzu: calendar.calendarlist.readonly (Liste der vorhandenen Kalender lesen) und calendar.app.created (einen eigenen, von uns angelegten Zweitkalender erstellen). Ist die Übernahme der Farben freigeschaltet, fragen wir beim Verbinden – bei bestehenden Verbindungen erst nach Klick auf „Farben aus Google übernehmen“ – zwei weitere Leseberechtigungen an: calendar.calendarlist.readonly (Farbe Ihres Kalenders lesen) und calendar.calendars.readonly (Farben Ihrer Termin-Labels lesen). Wir fragen bewusst keine breiteren Umfänge wie calendar oder calendar.readonly an.

Was wir an Google übermitteln (Richtung SchadenMelden24 → Google): Ihre eigenen Kalender-Einträge, also Termine (Titel, Zeit, Ort, Beschreibung, Wiederholung, Farbe) und – wenn eingeschaltet – Aufgaben (Titel, Notiz, Fälligkeitstag, erledigt ja/nein samt Zeitpunkt). Bei Versicherungen, Vermittlern, Spediteuren, Verbund-Zentralen und der Plattform-Verwaltung übermitteln wir keine Auftrags- oder Kundendaten; die Termine Ihrer Aufträge sehen Sie nur in SchadenMelden24. Bei Werkstätten kommen wie bisher die Kundentermine hinzu, und zwar datensparsam: Auftragsnummer, Nachname bzw. Firmenname des Endkunden, Schadensart bzw. Bezeichnung, Termin-Zeitraum, Adresse und Farbe des Werkstatt-Standorts, ein Link zum Auftrag und ein kurzer Hinweissatz. Ausdrücklich nicht übermittelt werden Vorname, Telefonnummer, Kennzeichen, VIN und Schadensbilder. Zusätzlich schreiben wir Sperrzeiten der Werkstatt („Wir haben zu“, Pausen, Urlaub) als Termin in den gewählten Kalender.

Was wir von Google speichern (Richtung Google → SchadenMelden24): Damit Sie Ihre Google-Termine in SchadenMelden24 sehen und bearbeiten können, speichern wir von den Terminen des verbundenen Kalenders Titel, Beginn und Ende, Ort, Beschreibung, Wiederholungsregel samt Ausnahmen, die Farbe des Termins und einen Link auf den Termin bei Google (Titel höchstens 300, Ort höchstens 500, Beschreibung höchstens 8.000 Zeichen). Berücksichtigt werden Termine ab 90 Tagen vor dem jeweils letzten vollständigen Abgleich (beim ersten Verbinden und gelegentlich danach, etwa beim erneuten Verbinden) und alle künftigen Termine; Serien, die früher begonnen haben, kommen vollständig mit. Bereits übernommene ältere Termine bleiben bis zur Trennung gespeichert. Teilnehmerlisten und Anhänge, die Google mitliefert, werten wir nicht aus und speichern wir nicht. Einladungen anderer Personen zeigen wir nur an, sofern die einladende Person Änderungen durch Gäste nicht erlaubt hat; ebenso Termine, die nur Google ändern darf (z. B. Geburtstage). Haben Sie der Übernahme der Farben zugestimmt, lesen wir außerdem die Farbe Ihres Kalenders und die Farben Ihrer Termin-Labels und speichern nur diese Farbwerte, damit Ihre Termine hier in denselben Farben wie in Google erscheinen; die Namen der Labels lesen und speichern wir nicht. Ist der Aufgaben-Abgleich eingeschaltet, speichern wir von Ihren Google-Aufgaben Titel, Notiz, Fälligkeitstag und den Erledigt-Status. Bei Werkstätten speichert der Abgleich der Kundentermine außerdem — unabhängig vom erweiterten Abgleich — von fremden Terminen des verbundenen Kalenders Datum, Start- und Endzeit, Farbe, einen Link und den Titel (gekürzt auf 120 Zeichen), damit die Terminvorschläge keine bereits belegten Zeiten anbieten und der Kalender zeigt, wodurch eine Zeit belegt ist. Bitte beachten Sie: Wenn Sie einen Kalender verknüpfen, der auch private Termine enthält, werden diese in Ihrem SchadenMelden24-Kalender sichtbar; andere Nutzer sehen Ihren Kalender nicht. Werkstätten können über „Kalender wählen“ einen eigenen Arbeitskalender verwenden.

Technische Begleitdaten: Wir speichern den verschlüsselten Refresh-Token, den von Google zurückgemeldeten Berechtigungsumfang, bei Werkstätten zusätzlich das Profilbild des Google-Kontos, einen Abgleich-Stand je Kalender, die Kennungen und Versionsangaben der abgeglichenen Termine und Aufgaben sowie bei Werkstätten je Standort die Kennung des gewählten Kalenders und — damit Google uns Änderungen sofort melden kann — die Kennungen des Benachrichtigungskanals samt Ablaufdatum. Das Geheimnis dieses Kanals wird ausschließlich als SHA-256-Prüfwert gespeichert, nie im Klartext. Der Abgleich läuft beim Öffnen des Kalenders und sonst regelmäßig im Hintergrund, in der Regel alle paar Minuten (Aufgaben seltener).

Datenübertragung in die USA: Google LLC (Calendar API, Tasks API) verarbeitet Termin- und Aufgaben-Daten in den USA. Google ist nach dem EU-US Data Privacy Framework (TADPF) zertifiziert; zusätzlich gelten EU-Standardvertragsklauseln (SCC, Art. 46 Abs. 2 lit. c DSGVO) als Fallback.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (ausdrückliche Einwilligung beim Verbinden bzw. beim Einschalten des erweiterten Abgleichs) i.V.m. Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Kalender- und Terminmanagement).

Widerruf: Sie können die Verknüpfung jederzeit im Kalender unter „Google Kalender“ → „Verbindung trennen“ widerrufen (Werkstätten auch in den Einstellungen unter „Termine“). Dabei widerrufen wir den Refresh-Token bei Google und löschen ihn sofort bei uns; bei Werkstätten werden vorher die Benachrichtigungskanäle bei Google abgemeldet. Aus Google übernommene Termine und Aufgaben löschen wir dabei sofort aus SchadenMelden24, ebenso die E-Mail-Adresse des Google-Kontos und bei Werkstätten die Belegungs-Zeiten aus dem Abgleich der Kundentermine. Beendet Google den Zugriff, etwa weil Sie ihn in Ihrem Google-Konto entzogen haben, löschen wir die übernommenen Termine und Aufgaben und bei Werkstätten die Belegungs-Zeiten ebenso, spätestens beim nächsten Abgleich (in der Regel innerhalb weniger Minuten). Die Verbindung zeigen wir dann als gestört, bis Sie sie trennen oder neu verbinden; beim Trennen löschen wir auch die übrigen Verbindungsdaten (E-Mail-Adresse, Berechtigungsumfang, Token, Kalenderfarbe). Ihre in SchadenMelden24 angelegten Einträge bleiben bei uns erhalten; die Kopien in Ihrem Google-Kalender bleiben dort, bis Sie sie in Google löschen. Werkstätten können den erweiterten Abgleich ihrer eigenen Termine auch einzeln abschalten. Bei der Löschung Ihres Kontos widerrufen wir die Verknüpfung ebenfalls und löschen alle Kalender-Daten. Für Werkstätten gilt zusätzlich: Termin-Zuordnungen der Kundentermine löschen wir nach 30 Tagen, ein Inaktivitäts-Cleanup greift nach 90 Tagen ohne Abgleich.

Google API Services User Data Policy (eingeschränkte Verwendung / „Limited Use“): Die Verwendung und Weitergabe der von Google-APIs erhaltenen Informationen durch SchadenMelden24 hält die Google API Services User Data Policy ein, einschließlich der Anforderungen zur eingeschränkten Verwendung („Limited Use“). Konkret verwenden wir die über die Google-Kalender- und die Google-Tasks-API erhaltenen Daten ausschließlich zur Bereitstellung und Verbesserung der Kalender- und Terminsynchronisations-Funktion, geben sie nicht an Dritte weiter (außer soweit dies zur Bereitstellung der Funktion zwingend erforderlich oder gesetzlich vorgeschrieben ist), nutzen sie nicht für Werbezwecke und lassen sie nicht durch Menschen einsehen, es sei denn, Sie haben ausdrücklich eingewilligt, es ist aus Sicherheits- bzw. Missbrauchs- oder rechtlichen Gründen erforderlich, oder die Daten sind aggregiert und anonymisiert.

7.3 Kalender in SchadenMelden24

Unabhängig von Google bieten wir allen Nutzerinnen und Nutzern einen Kalender für eigene Termine und Aufgaben; Werkstätten zusätzlich mit Kundenterminen, Pausen, Urlaub und Kapazitäts-Angaben. Eigene Einträge sieht nur das jeweilige Konto. Die Daten verbleiben in der EU (Supabase, Paris).

Speicherdauer: Solange Ihr Konto besteht. Mit der Kontolöschung werden die Termine gelöscht.

7a. Werbliche E-Mails

7a.1 Produktinformationen für Geschäftskunden

An registrierte Versicherungen und Werkstätten versenden wir gelegentlich Informationen zu neuen Funktionen, Angeboten und Produktneuigkeiten per E-Mail. Dieser werbliche Versand erfolgt ausschließlich, wenn Sie zuvor ausdrücklich eingewilligt haben (Opt-in); die Einwilligung ist standardmäßig deaktiviert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i.V.m. § 7 Abs. 2 UWG. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — entweder über Ihre Benachrichtigungs-Einstellungen oder über den Abmelde-Link in jeder werblichen E-Mail. Jede werbliche E-Mail enthält zusätzlich einen List-Unsubscribe-Header für die Ein-Klick-Abmeldung in Ihrem E-Mail-Programm.

7a.2 Bitte um eine Bewertung im Auftrag von Werkstätten

Werkstätten können einschalten, dass ihre Kunden nach einem erledigten Auftrag per E-Mail um eine Bewertung gebeten werden. Eine solche E-Mail geht nur an Kunden, die der Werkstatt dafür vorher eingewilligt haben (unterschriebenes Dokument „Einwilligung in Erinnerungen und Angebote“ mit dem Zweck Bewertung und dem Weg E-Mail), höchstens einmal je Auftrag und nur bis 14 Tage nach dem Abschluss. Verantwortlich ist die Werkstatt; wir handeln als ihr Auftragsverarbeiter (Art. 28 DSGVO) und versenden die E-Mail über Resend (Abschnitt 5).

Verarbeitete Daten: E-Mail-Adresse, Vor- und Nachname, Name und Anschrift der Werkstatt, der Zeitpunkt Ihrer Einwilligung, der betroffene Auftrag und, wenn Sie bewerten, Ihre Note und Ihr Kommentar. Rechtsgrundlage ist Ihre Einwilligung gegenüber der Werkstatt (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG).

Widerruf: jederzeit mit Wirkung für die Zukunft, über den Link in jeder dieser E-Mails (ohne Anmeldung) oder direkt bei der Werkstatt. Auskunft: Ihre Einwilligungen (auch vorgemerkte, noch nicht unterschriebene; mit Zweck, Zeitpunkt, Widerruf) stehen in der Datenauskunft, die Sie im Kundenportal Ihres Auftrags über „Meine Daten exportieren“ herunterladen können; die Werkstatt erhält sie mit der Datenauskunft ihres Kontos (Abschnitt 11). Speicherdauer: Den Nachweis Ihrer Einwilligung und eines Widerrufs speichern wir, solange das unterschriebene Dokument und Ihre Kundendaten bei der Werkstatt bestehen; ändert die Werkstatt Ihre E-Mail-Adresse, entfällt die Einwilligung für die alte Adresse. Der Link zur Bewertung gilt 30 Tage. Ihre Bewertung sieht nur die Werkstatt; sie wird mit dem Auftrag gelöscht.

Abmeldung aus früheren Erinnerungs-E-Mails: Haben Sie sich über den Abmelde-Link einer früheren Erinnerungs-E-Mail an Endkunden abgemeldet, speichern wir Ihre E-Mail-Adresse in einer Sperrliste, damit Sie keine solchen E-Mails mehr erhalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 21 Abs. 3 DSGVO. Der Eintrag bleibt bestehen, solange er nötig ist, um Ihren Widerspruch zu beachten.

8. Cookies und lokale Speicherung

Wir setzen auf unserer Seite Cookies und vergleichbare Technologien (Local Storage, Session Storage) ein. Hierbei handelt es sich um kleine Dateien bzw. Datensätze, die auf Ihrem Endgerät gespeichert werden. Einträge im Session Storage löscht Ihr Browser beim Schließen des Tabs; Einträge im Local Storage bleiben, bis wir sie löschen oder Sie Ihre Browserdaten löschen. Werbe- oder Tracking-Cookies setzen wir nicht ein; einwilligungspflichtig sind bei uns allein die Fehleranalyse und die Karten von Google Maps nach Abschnitt 8.3.

8.1 Technisch notwendige Cookies und Speicherungen

Diese Speicherungen sind für den Betrieb der Plattform zwingend erforderlich und können nicht deaktiviert werden:

• Anmeldung (Cookie sb-…-auth-token): Hält Ihre Anmeldung fest und enthält die Zugangs-Token für die sichere Kommunikation mit unserem Backend (Supabase); bei Bedarf wird es in mehrere Teile aufgeteilt. Es wird bei der Anmeldung gesetzt und bei der Abmeldung gelöscht; seine technische Höchstlaufzeit beträgt 400 Tage ab dem letzten Setzen.
• Kundenportal-Sitzung (sm24_kunde_link_session): Enthält die Kennung Ihrer Sitzung im Kundenportal, damit Ihr Gerät nach der Code-Eingabe als bestätigt erkannt wird (siehe Abschnitt 6). Für jeden Zugangs-Link gibt es ein eigenes Cookie; Ihr Browser sendet es nur bei Anfragen zu genau diesem Link, nicht an andere Seiten. Es ist für Skripte nicht lesbar (httpOnly) und wird nur über verschlüsselte Verbindungen übertragen. Laufzeit: 30 Tage; nach der Code-Bestätigung beginnt sie bei jedem Aufruf des Portals neu. Ein früher für denselben Zweck verwendetes Cookie (sm24_kunde_session) löschen wir, sobald Sie einen noch gültigen Zugangs-Link aufrufen; andernfalls läuft es spätestens 30 Tage nach seiner letzten Erneuerung ab.
• Ihre Auswahl im Cookie-Banner (Local Storage: sm24_consent, sm24_consent_shown, consent_session_id): Speichert Ihre Entscheidung samt Version und Zeitpunkt, damit das Banner nicht bei jedem Besuch erneut erscheint. sm24_consent und sm24_consent_shown bleiben, bis Sie Ihre Auswahl in den Datenschutz-Einstellungen Ihres Kontos zurücksetzen oder Ihre Browserdaten löschen. Zusätzlich protokollieren wir Ihre Auswahl als Nachweis auf unserem Server (Art. 7 Abs. 1 DSGVO): gewählte Kategorien, Version der Einwilligungstexte, Zeitpunkt, gekürzte IP-Adresse und Browser-Kennung. Sind Sie nicht angemeldet, ordnen wir den Nachweis über eine zufällige Kennung (consent_session_id) zu. Sie bleibt, bis Sie sich anmelden – dann verknüpfen wir den Nachweis mit Ihrem Konto und entfernen die Kennung aus Ihrem Browser – oder bis Sie Ihre Browserdaten löschen. Nachweise ohne Kontobezug löschen wir nach einem Jahr, zu Nachweisen mit Kontobezug siehe Abschnitt 9. Haben Sie in die Karten von Google Maps eingewilligt, speichern wir im selben Eintrag (sm24_consent) außerdem die interne Kennung Ihres Kontos (oder den Vermerk „nicht angemeldet“), damit die Einwilligung nur für dieses Konto gilt; diese Kennung verlässt Ihren Browser nicht.
• Geräteerkennung bei der Anmeldung (Cookie sm24_geraet): Enthält eine zufällige Kennung Ihres Browsers. Wir setzen es bei der Anmeldung, damit wir Sie per E-Mail warnen können, wenn sich jemand auf einem Gerät oder in einem Browser in Ihr Konto einloggt, mit dem Ihr Konto bisher nicht angemeldet war (siehe Abschnitt 15). Ihr Browser sendet es nur an die Adresse, unter der wir Anmeldungen erfassen, nicht an andere Seiten. Es ist für Skripte nicht lesbar (httpOnly). Die Kennung selbst speichern wir nicht, sondern nur einen daraus und aus Ihrem Konto gebildeten Prüfwert (SHA-256-Hash). Laufzeit: 400 Tage; sie beginnt bei jeder Anmeldung neu.
• Sicherheit im Admin-Bereich (nur für Administratoren): Im Local Storage der Zeitpunkt der letzten Aktivität, damit Administratoren nach 30 Minuten Inaktivität automatisch abgemeldet werden (gelöscht bei der Abmeldung), und im Session Storage ein Merker, dass die Anmelde-Benachrichtigung bereits versendet wurde.
• Neuladen nach Updates (Session Storage): Zeitstempel, damit die Seite nach einer Aktualisierung unserer Software höchstens einmal innerhalb von 30 Sekunden automatisch neu lädt und dadurch ausgelöste Folgefehler nicht als Fehlerbericht versendet werden.

Diese Cookies und Speicherungen setzen wir ohne Einwilligung, weil sie für den von Ihnen gewünschten Dienst (Anmeldung, Zugang zum Kundenportal, sicherer und stabiler Betrieb, Beachtung Ihrer Cookie-Auswahl) unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage für die Verarbeitung: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb der Plattform), für die Kundenportal-Sitzung zusätzlich Art. 6 Abs. 1 lit. b DSGVO (siehe Abschnitt 6) und für den Einwilligungsnachweis Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO.

8.2 Einstellungen, Entwürfe und Anzeige-Zustände

Wenn Sie die jeweilige Funktion nutzen, legen wir im Local Storage bzw. Session Storage Ihres Browsers außerdem Folgendes ab – die Design-Auswahl auch ohne Konto, alles Übrige nur im angemeldeten Bereich. Diese Angaben bleiben in Ihrem Browser und werden nicht an uns übertragen:

• Von Ihnen gewählte Einstellungen: z. B. helles oder dunkles Design (über den Umschalter in der Kopfzeile, auch ohne Konto), geöffnete oder geschlossene Seitenleiste, Kalender- und Filtereinstellungen, gespeicherte Listenansichten, zuletzt gewählter Standort und Alarmeinstellungen für neue Aufträge. Gespeichert, sobald Sie die Einstellung ändern; sie bleiben, bis Sie sie ändern oder Ihre Browserdaten löschen.
• Eingabe-Entwürfe: Nicht abgeschickte Eingaben auf der Seite „Neuer Auftrag“ und im Einrichtungsassistenten für Werkstätten, damit bei einer Unterbrechung nichts verloren geht. Der Auftragsentwurf enthält von Kunde und Fahrzeug nur deren Kennungen, außerdem Ihre Eingaben zur Versicherungszuordnung und zur Aufgabe. Er wird bei der Abmeldung gelöscht; ist er älter als sieben Tage, wird er beim nächsten Öffnen der Seite verworfen. Der Entwurf des Einrichtungsassistenten wird nach dessen Abschluss gelöscht.
• Hinweise, die Sie ausgeblendet haben: Merker, dass Sie einen Hinweis geschlossen oder den kurzen Rundgang beendet haben, damit diese nicht erneut erscheinen, sowie der Schritt, bis zu dem Sie die Einführung durchlaufen haben. Der Einführungsschritt wird nach Abschluss der Einführung gelöscht, die übrigen Merker bleiben, bis Sie Ihre Browserdaten löschen.
• Rückkehr zu Listen und Abo-Wechsel (Session Storage): Wenn Sie aus einer Liste einen Eintrag öffnen, merken wir uns Filter und Scrollposition, damit Sie beim Zurückgehen an derselben Stelle landen. Wechseln Sie in das Kundenportal unseres Zahlungsdienstleisters Stripe, merken wir uns Ihren bisherigen Abo-Stand, um Ihnen die Änderung danach anzeigen zu können. Beides löscht Ihr Browser beim Schließen des Tabs.

Diese Speicherungen entstehen nur, wenn Sie die jeweilige Funktion nutzen, und dienen allein dazu, sie so bereitzustellen, wie Sie sie verwenden. Wir setzen sie deshalb ohne Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Plattform).

Außerdem legen wir ohne Ihr Zutun zwei Merker im Local Storage ab: dass die Willkommensanzeige nach der ersten Anmeldung erschienen ist, und an welchem Tag die Erinnerung an offene Auftragsabschlüsse zuletzt angezeigt wurde (sie erscheint höchstens einmal täglich). Sie enthalten nur eine Kennung Ihres Kontos bzw. ein Datum und bleiben, bis Sie Ihre Browserdaten löschen. Sie dienen allein dazu, dieselben Hinweise nicht wiederholt anzuzeigen. Wir setzen sie ohne Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG); Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer Oberfläche ohne wiederholte Hinweise).

8.3 Cookie-Banner und Einwilligungsverwaltung

Beim ersten Besuch unserer Website wird Ihnen ein Cookie-Banner angezeigt, über das Sie Ihre Präferenzen für nicht-essenzielle Cookies konfigurieren können. Sie können Ihre Einstellungen jederzeit über den Link „Cookie-Einstellungen“ im Footer der Seite ändern; die Einwilligung in Karten von Google Maps auch direkt unter der Karte (Knopf „Google-Karte ausblenden und Einwilligung widerrufen“), denn im Bereich nach der Anmeldung gibt es keinen Footer. Wir verwenden keine Werbe- oder Tracking-Cookies für Marketing-Zwecke.

Fehleranalyse (nur mit Einwilligung): Tritt ein technischer Fehler auf, übermitteln wir eine Aufzeichnung von bis zu einer Minute vor dem Fehler und des weiteren Besuchs an unseren Dienstleister Sentry (Datenspeicherung in Deutschland, siehe Abschnitt 5), damit wir den Fehler beheben können. Texte, Eingaben und Bilder sind dabei unkenntlich. Die Aufzeichnung endet nach 15 Minuten ohne Aktivität, spätestens nach 60 Minuten. Sie kann die Adresse der aufgerufenen Seite enthalten, im Kundenportal also Ihren Zugangs-Link, in der Auftragssuche den Status-Link. Dazu legt Sentry Kennung und Zeitangaben der Aufzeichnung im Session Storage ab. Ihre Einwilligung in der Kategorie „Fehleranalyse“ wirkt ab dem nächsten Laden der Seite; ein Widerruf über die „Cookie-Einstellungen“ oder die Datenschutz-Einstellungen Ihres Kontos beendet eine laufende Aufzeichnung sofort. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die Sie jederzeit mit Wirkung für die Zukunft widerrufen können.

Externe Karten (Google Maps, nur mit Einwilligung): Die Karten in der Software (Standort-Heatmap, Schadens-Karte, Standort-Karte des Verbunds) zeigt Google Maps. Erst wenn Sie in der Kategorie „Externe Karten (Google Maps)“ zustimmen oder unter einer Karte „Google-Karte anzeigen“ wählen, baut Ihr Browser eine Verbindung zu Google auf und lädt Skripte, Schriften und Kartenkacheln von Google-Servern. Dabei übertragen Sie an die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, die als eigene Verantwortliche handelt, Ihre IP-Adresse, Browser- und Geräteangaben, die Domain unserer Seite und den angezeigten Kartenausschnitt. Google kann die Daten weltweit, auch in den USA, verarbeiten (EU-US Data Privacy Framework, Standardvertragsklauseln) und eigene Kennungen setzen. Es gilt die Datenschutzerklärung von Google (policies.google.com/privacy). Ohne Ihre Zustimmung zeigen wir die Karte mit OpenStreetMap-Kacheln (Abschnitt 5) und laden nichts von Google; dasselbe gilt, wenn Google nicht erreichbar ist. Ihre Einwilligung gilt nur für das Konto, mit dem Sie sie erteilt haben, und läuft nach 24 Monaten ab; danach fragen wir erneut. Widerruf jederzeit mit Wirkung für die Zukunft: unter „Cookie-Einstellungen“ oder direkt unter der Karte; die Seite lädt dann neu und Google wird nicht mehr kontaktiert. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

9. Aufbewahrungsfristen

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Verarbeitungszweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Im Folgenden finden Sie eine Übersicht unserer Aufbewahrungsfristen:

10. Betroffenenrechte

Sie haben das Recht:

• gemäß Art. 15 DSGVO Auskunft über Ihre von uns verarbeiteten personenbezogenen Daten zu verlangen
• gemäß Art. 16 DSGVO unverzüglich die Berichtigung unrichtiger oder Vervollständigung Ihrer bei uns gespeicherten personenbezogenen Daten zu verlangen
• gemäß Art. 17 DSGVO die Löschung Ihrer bei uns gespeicherten personenbezogenen Daten zu verlangen
• gemäß Art. 18 DSGVO die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen
• gemäß Art. 20 DSGVO Ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten (Datenübertragbarkeit)
• gemäß Art. 7 Abs. 3 DSGVO Ihre einmal erteilte Einwilligung jederzeit gegenüber uns zu widerrufen
• gemäß Art. 77 DSGVO sich bei einer Aufsichtsbehörde zu beschweren

11. Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie haben das Recht, alle Ihre bei uns gespeicherten personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Werkstätten und Versicherungen können den Export selbst in den Einstellungen unter „Datenschutz“ erstellen:

• Datenformat: als JSON- oder CSV-Datei, je nach gewähltem Knopf.
• Enthaltene Daten für alle: Profil, Einwilligungen, Benachrichtigungs-Einstellungen, Ihre eigenen Einträge im Änderungsprotokoll und Kundenportal-Links.
• Zusätzlich für Werkstätten: Werkstatt- und Standortdaten, Schadensfälle und Aufträge, Kunden und Fahrzeuge, Kalender-Termine und Sperrzeiten, die Nachrichten in Ihren Vorgängen (gesendet und empfangen), Abonnements, Rechnungen, Zahlungen, Mahnungen, Kassenbuch, Rechtsdokumente aus Eigenaufträgen, die Einwilligungen Ihrer Kunden in die Bitte um eine Bewertung (auch vorgemerkte, noch nicht unterschriebene; als Nachweis, mit Zeitpunkt und Widerruf) und Annahmeprotokolle (jeweils als Daten, ohne PDF und Fotos) sowie Tickets im Werkstatt-Verbund.
• Zusätzlich für Versicherungen (Agentur-Inhaber): Firmendaten, Briefkopf der Agentur (Firma, Adresse, Telefon, Absendername der E-Mails, Farbe und Logo-Pfad), Schadensfälle, die Nachrichten in Ihren Schadensfällen (gesendet und empfangen), Abonnements und die Provisionsübersichten (als Daten, ohne PDF).
• Nicht enthalten: hochgeladene Dateien wie Fotos, Dokumente und PDFs. Sie können sie einzeln in der App herunterladen oder vor der Kontolöschung per E-Mail an info@schadenmelden24.com anfordern.
• Bereitstellung: Der Export steht sofort bereit. Der Download-Link ist 7 Tage gültig und kann einmal genutzt werden. Sie können jederzeit einen neuen Export erstellen, auch direkt vor der Kontolöschung.

Alternativ können Sie den Datenexport per E-Mail an info@schadenmelden24.com anfordern.

12. Kontolöschung

Werkstätten und Versicherungen können ihr Konto in den Einstellungen unter „Datenschutz“ selbst löschen. Eine Versicherung mit Vermittler-Zugängen entfernt diese vorher. Gehören zu einer Werkstatt Zugänge von Speditionskunden, lösen wir diese gemeinsam mit der Werkstatt auf, weil die Speditionen eigene Daten bei uns führen. Die Löschung anderer Konten (etwa Vermittler, Speditionskunden, Verbund-Zentralen) beantragen Sie per E-Mail an info@schadenmelden24.com. Die Löschung läuft so ab:

1. Datenexport-Angebot: Vor der Löschung können Sie Ihre Daten als JSON-Datei herunterladen (Abschnitt 11). Hochgeladene Dateien sind darin nicht enthalten; Sie können sie einzeln herunterladen oder vorher per E-Mail an info@schadenmelden24.com anfordern. Nach der Löschung können wir keine Kopie mehr liefern.
2. Löschung Ihrer Daten: Ihr Zugang und die Daten, die Sie über die Plattform verwalten, werden gelöscht: Kunden, Aufträge, Schadensfälle ohne weiteres beteiligtes Unternehmen samt ihren Nachrichten, Einstellungen, Einwilligungsnachweise und Abonnement, bei Versicherungen auch die Provisionsübersichten samt PDF und Empfängerangaben. Von den Provisionsübersichten bleibt nur ein Vermerk ohne Namen und Anschrift (Nummer, Zeitraum, Erstellungsdatum; die Summen stehen auf 0), damit die Aufträge der Werkstatt als abgerechnet erkennbar bleiben. Er wird gelöscht, sobald kein Auftrag mehr auf ihn verweist. Ebenso gelöscht werden Ihre hochgeladenen Dateien (Fotos, Dokumente, Logos, Bilder aus Lager, Netzwerk und Marktplatz), soweit sie nicht zu einem Vorgang gehören, der für ein anderes Unternehmen erhalten bleibt; Bilder in Netzwerk-Chats bleiben mit dem Chat erhalten (siehe nächster Punkt). Diese Daten verarbeiten wir in Ihrem Auftrag (Art. 28 DSGVO) und löschen sie mit dem Konto (Art. 28 Abs. 3 lit. g DSGVO). Eine Aufbewahrung für Sie findet nicht statt. Ihre eigenen Aufbewahrungspflichten (etwa nach § 147 AO) erfüllen Sie selbst, zum Beispiel mit dem Datenexport.
3. Gemeinsame Vorgänge: Schadensfälle, an denen ein weiteres Unternehmen beteiligt ist, bleiben für dieses Unternehmen erhalten, samt Kundendaten, Dateien und Nachrichten. Als beteiligtes Unternehmen zählt auch ein Spediteur, der den Schaden über seinen Zugang bei Ihrer Werkstatt gemeldet hat: Löscht eine Werkstatt ihr Konto, bleiben diese Aufträge samt Dateien und Nachrichten für den Spediteur zum Nachlesen erhalten, ebenso sein Zugang mit seinen Fahrzeug- und Fahrerdaten (Abschnitte 6b.5 und 6b.6). Ihr Firmenname kann darin als Auftraggeber oder ausführende Werkstatt stehen bleiben, weil das andere Unternehmen ihn für seine eigenen Unterlagen braucht. Ihre eigenen Nachrichten bleiben ebenfalls stehen; als Absender steht dann „Gelöschtes Konto (Werkstatt)“ bzw. „Gelöschtes Konto (Versicherung)“, ohne Namen und ohne Kennung. Für diese Nachrichten gelten weiter die Fristen aus Abschnitt 9. Tickets im Werkstatt-Verbund bleiben für den Verbund erhalten, ohne Angabe des Absenders. Ebenso bleiben Gespräche im Werkstatt-Netzwerk für die anderen Werkstätten erhalten, auch solche, die Sie begonnen haben, samt Ihren Nachrichten und den Bildern darin; als Absender Ihrer Nachrichten steht dann „Gelöschtes Konto“. In Hinweisen im Gruppenchat (etwa „… ist jetzt Admin“) und in Gruppennamen kann Ihr Firmenname stehen bleiben, wie bei gemeinsamen Vorgängen. Für diese Gespräche gilt weiter die Frist von 12 Monaten ohne neue Nachricht aus Abschnitt 9. Anders im Marktplatz: Marktplatz-Anfragen, die Sie gestellt oder zu Ihren Inseraten erhalten haben, werden mit allen Nachrichten gelöscht, auch für die andere Werkstatt.
4. Unsere Aufbewahrungspflichten: Wir bewahren nur zwei Dinge auf. Erstens die Rechnungen, die wir Ihnen für Ihr Abonnement ausgestellt haben: 8 Jahre ab Ende des Jahres, in dem sie ausgestellt wurden, und darüber hinaus nur, solange die Steuerfestsetzung noch offen ist, etwa wegen einer Betriebsprüfung oder eines Einspruchs (§ 147 Abs. 1 Nr. 4, Abs. 3 und 4 AO, § 14b UStG). Zweitens den Nachweis Ihres Löschantrags (Zeitpunkt, Ihre Angabe zum Datenexport, E-Mail-Adresse, Firmenname): 3 Jahre ab Ende des Jahres der Löschung (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO). Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. c DSGVO; insoweit ist das Recht auf Löschung nach Art. 17 Abs. 3 lit. b DSGVO ausgeschlossen. Wir verwenden diese Daten nur für diesen Zweck (Zweckbindung, Art. 5 Abs. 1 lit. b DSGVO) und löschen sie nach Ablauf der Frist.
5. Änderungsprotokoll: Die Protokolleinträge zu Ihrer Firma, Ihren Standorten, Ihrem Profil und zu Ihren Kunden, Fahrzeugen und Aufträgen löschen wir mit dem Konto, auch die Einträge, die beim Löschen selbst entstehen. Es bleiben nur zwei Arten von Einträgen: Einträge zu Nachrichten und Anhängen in gemeinsamen Schadensfällen, ohne Namen und Kontaktdaten, und Einträge zu Datensätzen anderer, in denen Sie als handelnde Person stehen; dort wird Ihre Kennung gelöscht oder sofort pseudonymisiert. Diese Einträge werden höchstens 10 Jahre aufbewahrt (Abschnitt 17.4).
6. Sicherungskopien: Sicherungskopien werden spätestens nach 30 Tagen überschrieben. Wird eine Sicherung zurückgespielt, löschen wir inzwischen gelöschte Konten erneut.
7. Bestätigung: Sie erhalten eine Bestätigung der Löschung per E-Mail.

13. Automatisierte Entscheidungsfindung (Art. 22 DSGVO)

Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 Abs. 1 DSGVO statt, d. h. keine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlich erheblicher Weise beeinträchtigt.

Werkstatt-Empfehlungen (Scoring-Verfahren): Für Versicherungskunden bieten wir im Premium-Tarif ein algorithmisches Scoring-Verfahren an, das passende Werkstatt-Standorte anhand von Faktoren wie Entfernung (Standort-Nähe), Auslastung und bisheriger Zusammenarbeit vorschlägt. Die Vorschläge sind unverbindlich und betreffen die Auswahl einer geeigneten Werkstatt durch den Versicherer; sie entfalten für den/die Versicherungsnehmer*in als betroffene Person keine rechtliche Wirkung im Sinne von Art. 22 DSGVO. Die letztendliche Freigabe und Beauftragung erfolgt stets durch einen Sachbearbeiter der Versicherung.

Alle Entscheidungen, die Auswirkungen auf die Vertragsbeziehung haben (z. B. Statuswechsel, Provisionsberechnungen, Freigaben), werden von natürlichen Personen getroffen oder von diesen initiiert und kontrolliert. Sollten Sie dennoch Einwand gegen eine konkrete automatisierte Vermittlung erheben wollen, können Sie sich jederzeit unter info@schadenmelden24.com an uns wenden.

14. Widerspruchsrecht

Sofern Ihre personenbezogenen Daten auf Grundlage von berechtigten Interessen nach Art. 6 Abs. 1 S. 1 lit. f DSGVO verarbeitet werden, haben Sie das Recht, gemäß Art. 21 DSGVO Widerspruch gegen die Verarbeitung Ihrer personenbezogenen Daten einzulegen, soweit dafür Gründe vorliegen, die sich aus Ihrer besonderen Situation ergeben oder sich der Widerspruch gegen Direktwerbung richtet.

Möchten Sie von Ihrem Widerrufs- oder Widerspruchsrecht Gebrauch machen, genügt eine E-Mail an info@schadenmelden24.com.

15. Datensicherheit

Wir verwenden innerhalb des Website-Besuchs das verbreitete SSL/TLS-Verfahren (Transport Layer Security 1.3) in Verbindung mit der jeweils höchsten Verschlüsselungsstufe, die von Ihrem Browser unterstützt wird.

Zusätzlich setzen wir folgende technische und organisatorische Maßnahmen (TOMs) ein:

• Verschlüsselung bei Speicherung: AES-256-Bit-Verschlüsselung für ruhende Daten (at rest)
• Zugriffskontrolle: Row Level Security (RLS) auf Datenbankebene, rollenbasierte Berechtigungen
• Pseudonymisierung: Wo möglich, werden Daten pseudonymisiert verarbeitet
• Protokollierung: Änderungen an Konto-, Firmen- und Standortdaten, an Kunden, Fahrzeugen und Werkstatt-Aufträgen werden protokolliert, ebenso das Anlegen und Löschen von Nachrichten und Anhängen in Schadensfällen. Statuswechsel von Aufträgen und Schadensfällen stehen in einer eigenen Statushistorie.
• Schutz Ihres Kontos: Anmeldungen, Passwort- und E-Mail-Änderungen, fehlgeschlagene Passwortprüfungen und Änderungen am Zwei-Faktor-Schutz protokollieren wir mit Zeitpunkt, gekürzter IP-Adresse, Browser-Kennung (User-Agent) und, soweit verfügbar, ungefährem Ort (Stadt und Land, wie ihn unser Hoster Vercel aus der IP-Adresse ableitet), bei Anmeldungen zusätzlich mit dem Prüfwert des Geräts (Abschnitt 8.1). Meldet sich jemand auf einem Gerät oder in einem Browser an, mit dem Ihr Konto bisher nicht angemeldet war, oder wird der Zwei-Faktor-Schutz geändert, erhalten Sie eine E-Mail mit diesen Angaben und der vollständigen IP-Adresse, sofern Sie diese Benachrichtigung nicht in Ihren Einstellungen abgeschaltet haben. Ob Ihr Konto mit einem Gerät schon angemeldet war, erkennen wir am Cookie aus Abschnitt 8.1. Fehlt es, etwa weil Ihr Browser seine Daten gelöscht hat, oder ist es für Ihr Konto neu, vergleichen wir die gekürzte IP-Adresse und die Browser-Kennung ohne Zahlenangaben wie Versionsnummern mit den protokollierten Anmeldungen Ihres Kontos aus den letzten 30 Tagen. Die Protokolleinträge löschen wir nach 90 Tagen (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse am Schutz Ihres Kontos vor fremdem Zugriff).
• Regelmäßige Sicherheitsüberprüfungen: Kontinuierliche Überprüfung der Sicherheitsmaßnahmen

Weitere Details zu unseren technischen und organisatorischen Maßnahmen finden Sie in unserem Auftragsverarbeitungsvertrag (AV-Vertrag).

16. Externe Dienste

Google Fonts (lokales Hosting)

Diese Seite nutzt zur einheitlichen Darstellung von Schriftarten so genannte Google Fonts, die von Google bereitgestellt werden. Die Google Fonts sind lokal installiert. Eine Verbindung zu Servern von Google findet dabei nicht statt.

Google Maps (Karten und Karten-Verlinkung)

Die Karten in der Software (z. B. Standort-Heatmap, Standort-Karte des Verbunds) zeigt Google Maps, aber nur, wenn Sie zugestimmt haben (Abschnitt 8.3). Vorher wird keine Verbindung zu Google aufgebaut; bis dahin und wenn Google nicht erreichbar ist, zeigen wir OpenStreetMap-Karten. Verantwortlich für die Verarbeitung durch Google ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, als eigene Verantwortliche. Zusätzlich bieten wir an einigen Stellen (z. B. bei der Werkstatt-Adresse) einen Link zur Routenplanung an, der Google Maps in einer separaten App oder einem neuen Browser-Tab öffnet; eine Datenübertragung an Google findet dabei erst statt, wenn Sie aktiv auf einen solchen Link klicken. Es gelten dann die Datenschutzbestimmungen von Google.

Soziale Netzwerke (Instagram und Facebook)

Wir unterhalten Profile in sozialen Netzwerken der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland — derzeit bei Instagram und Facebook. Wenn Sie eines dieser Profile aufrufen oder mit ihm interagieren, verarbeitet Meta Ihre Daten nach den eigenen Datenschutzbestimmungen. Das gilt unabhängig davon, ob Sie selbst ein Konto bei Meta besitzen. Diese Verarbeitung findet auf den Plattformen von Meta statt, nicht auf unserer Website.

Gemeinsame Verantwortlichkeit für Seiten-Statistiken (Art. 26 DSGVO)

Meta stellt uns zusammengefasste Statistiken zur Nutzung unserer Profile bereit („Insights“). Nach dem Urteil des Europäischen Gerichtshofs vom 05.06.2018 (Rechtssache C-210/16) sind wir für diese Verarbeitung gemeinsam mit Meta verantwortlich. Grundlage dafür ist die von Meta bereitgestellte Seiten-Insights-Ergänzung. Darin übernimmt Meta die vorrangige Verantwortung für die Verarbeitung der Insights-Daten und für die Erfüllung der Betroffenenrechte.

Wir selbst erhalten ausschließlich zusammengefasste Auswertungen — etwa die Reichweite eines Beitrags, die Anzahl der Interaktionen oder grobe Alters- und Regionsgruppen. Ein Rückschluss auf einzelne Personen ist uns darüber nicht möglich; wir können Ihr Nutzungsverhalten nicht individuell nachvollziehen.

Was wir selbst verarbeiten

Wenn Sie uns über ein soziales Netzwerk eine Nachricht schreiben oder einen Beitrag kommentieren, verarbeiten wir die dabei übermittelten Angaben — Ihren Profilnamen, den Inhalt Ihrer Nachricht und gegebenenfalls freiwillig genannte Kontaktdaten —, um Ihr Anliegen zu beantworten. Bitte übermitteln Sie uns auf diesem Weg keine sensiblen Daten. Für Anliegen mit Personenbezug nutzen Sie bitte info@schadenmelden24.com.

Rechtsgrundlage und Drittlandbezug

Rechtsgrundlage ist unser berechtigtes Interesse an Außendarstellung und Kommunikation mit Interessenten (Art. 6 Abs. 1 lit. f DSGVO). Bei Anfragen mit Vertragsbezug tritt Art. 6 Abs. 1 lit. b DSGVO hinzu. Eine Übermittlung in die USA an Meta Platforms, Inc. ist möglich; sie stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework vom 10.07.2023 sowie ergänzend auf Standardvertragsklauseln.

Ihre Möglichkeiten

• Sie können unsere Inhalte ansehen, ohne mit ihnen zu interagieren.
• Einstellungen zu Werbung und Datennutzung nehmen Sie direkt in Ihrem Meta-Konto vor.
• Ihre Betroffenenrechte (Abschnitt 10) können Sie sowohl uns gegenüber als auch gegenüber Meta geltend machen. Da Meta den unmittelbaren Zugriff auf die Daten hat, wenden Sie sich vorrangig dorthin; an uns gerichtete Anfragen leiten wir weiter.

Datenschutzhinweise von Meta: Facebook · Instagram

17. Weitere Verarbeitungstätigkeiten

Mit der Einführung des Versicherungs-Premium-Tarifs werden folgende zusätzliche Verarbeitungstätigkeiten durchgeführt. Die Abschnitte 17.1 bis 17.3 gelten nur für Nutzer des Premium-Tarifs; 17.5 und 17.6 betreffen Werkstätten in einem Werkstatt-Verbund oder auf dem Weg dorthin (Einladung, Beitrittsanfrage) und dessen Zentrale.

17.1 Premium-Abonnement-Abwicklung

Zweck: Verarbeitung zur Durchführung des Abonnement-Vertrags für den Versicherungs-Premium-Tarif, einschließlich Stripe-Zahlungsabwicklung, Abo-Verwaltung und Trial-Management.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Kategorien: Vertragsdaten, Zahlungsdaten (via Stripe), E-Mail-Adresse, Unternehmensbezeichnung.

Empfänger: Stripe Inc. (Zahlungsabwicklung, Datenverarbeitungsvertrag gemäß Art. 28 DSGVO).

Speicherdauer: Solange Ihr Konto besteht; mit der Kontolöschung gelöscht. Rechnungen, die wir Ihnen ausgestellt haben, bewahren wir 8 Jahre ab Ende des Ausstellungsjahres auf (§ 147 AO, § 14b UStG; siehe Abschnitt 9).

17.2 Erweiterte Analytik und Reporting

Zweck: Berechnung erweiterter KPIs (Statistiken, Auftragsstatus, Provisionen) und Erstellung automatischer PDF-Monatsberichte für Premium-Nutzer.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Kategorien: Auftragsdaten, Statusdaten, Provisionsdaten.

Empfänger: Keine Weitergabe an Dritte; Verarbeitung innerhalb der Plattform.

Speicherdauer: Für die Dauer des Abonnements; Rohdaten gemäß allgemeiner Aufbewahrungsfristen.

17.3 Dokumentenmanagement

Zweck: Upload, Speicherung und Verwaltung von Verträgen und weiteren Dokumenten im privaten Cloud-Speicher, inkl. Ablaufdatum-Erinnerung und Versionierung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Kategorien: Vertragsdokumente und sonstige hochgeladene Dokumente, Metadaten (Dateiname, Ablaufdatum, Tags), Versionierungshistorie.

Empfänger: Supabase Inc. (Cloud-Speicher, Datenverarbeitungsvertrag gemäß Art. 28 DSGVO).

Speicherdauer: Bis Sie ein Dokument löschen, längstens bis zur Kontolöschung. Die Dokumente sind nicht im Datenexport enthalten; laden Sie sie vor der Kontolöschung einzeln herunter oder fordern Sie sie per E-Mail an info@schadenmelden24.com an.

17.4 Audit-Log und PII-Pseudonymisierung

Zweck: Protokollierung von Änderungen an den in Abschnitt 15 genannten Datenarten zur Nachvollziehbarkeit, automatische Pseudonymisierung personenbezogener Daten nach 3 Jahren zur Datensparsamkeit.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung, Nachweis- und Dokumentationspflichten) i.V.m. Art. 6 Abs. 1 lit. b DSGVO.

Kategorien: Benutzer-IDs (nach 3 Jahren pseudonymisiert), Aktionstypen, Zeitstempel, betroffene Datensatz-IDs, alte und neue Werte. Namen, Kontaktdaten, Anschriften, Kennzeichen und Fahrgestellnummern werden in den Werten unkenntlich gemacht; andere Angaben, etwa Freitexte, können im Klartext enthalten sein.

Empfänger: Keine Weitergabe; interne Verarbeitung und Bereitstellung für Compliance-Audits des Kunden.

Speicherdauer: Höchstens 10 Jahre; danach werden die Einträge gelöscht. Die Kennung der handelnden Person wird nach 3 Jahren pseudonymisiert. Bei einer Kontolöschung löschen wir sofort die Einträge zu Firma, Standorten, Profil, Kunden, Fahrzeugen und Aufträgen des Kontos, auch die beim Löschen entstehenden. Es bleiben nur Einträge zu Nachrichten und Anhängen in gemeinsamen Schadensfällen, ohne Namen und Kontaktdaten, und Einträge zu Datensätzen anderer, in denen die Kennung des Kontos gelöscht oder sofort pseudonymisiert wird (Abschnitt 12).

17.5 Werkstatt-Verbund (HQ-Funktion)

Zweck: Ist eine Werkstatt Mitglied eines Werkstatt-Verbunds (z.B. ein Filialnetz mit zentraler Verwaltung), werten Werkstatt und Verbund Auftragszahlen in Summe gemeinsam aus, verwalten die Provisionen des Verbunds und tauschen sich über verbund-interne Tickets aus. Co-Branding (Logo, Farben) wird in Kunden-Mails und im Werkstatt-Dashboard ausgespielt. Außerdem zeigt SchadenMelden24 der Verbund-Zentrale in eigener Verantwortung die Firmen- und Standortdaten der Werkstatt und ihre Kontaktdaten, damit der Verbund die Werkstatt bei einem Anliegen erreichen kann.

Rechtsgrundlage: Für die gemeinsame Auswertung, die Provisionen, die Tickets und das Co-Branding Art. 6 Abs. 1 lit. b DSGVO (Vertrag Mitglied ↔ Verbund) i.V.m. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Verbunds am Reporting); dafür sind Werkstatt und Verbund gemeinsam verantwortlich (Art. 26 DSGVO). Die Vereinbarung dazu steht im AV-Vertrag, § 13. Ihre Rechte können Sie gegenüber der Werkstatt oder dem Verbund geltend machen (Art. 26 Abs. 3 DSGVO); erste Anlaufstelle ist die Werkstatt. Für die Anzeige der Firmen-, Standort- und Kontaktdaten durch SchadenMelden24 Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse von Werkstatt und Verbund, einander bei einem Anliegen zu erreichen); ist die Werkstatt ein Einzelunternehmen, zusätzlich Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag mit der Werkstatt, die dem Verbund angehört).

Kategorien: Werkstatt-Stammdaten (Firmenname, Adresse), Kontaktdaten (Namen des Hauptansprechpartners und der Ansprechpartner der Standorte, Telefon und E-Mail-Adressen der Standorte, E-Mail-Adresse des Werkstatt-Kontos, mit der sich die Werkstatt anmeldet), Auftragszahlen in Summe (keine einzelnen Aufträge; Quoten und Zeiten erst ab 5 Aufträgen, damit sich nicht auf einzelne Fälle schließen lässt), Branding-Präferenzen, Provisions-Einstellungen des Verbunds, Tickets zwischen Werkstatt und Verbund-Zentrale.

Empfänger: Die Konten der Verbund-Zentrale, auch Konten mit reinem Leserecht. Für das, was der Verbund mit den angezeigten Daten tut, ist er selbst verantwortlich (Art. 4 Nr. 7 DSGVO).

Hinweis: Individuelle Aufschläge auf Pflicht-Provisionen (Werkstatt-Geschäftsgeheimnis) sind für die Verbund-Zentrale nicht einsehbar — dies wird durch technische Schutzmaßnahmen (RESTRICTIVE Row-Level-Security, Audit-Log-Pseudonymisierung) sichergestellt.

Speicherdauer: Dauer der Verbund-Mitgliedschaft; Tickets siehe Abschnitt 17.6.

Einladungen der Verbund-Zentrale: Inhaber und Manager einer Verbund-Zentrale können Werkstätten zum Beitritt einladen. Wir speichern dazu die E-Mail-Adresse, die die Zentrale angibt, und, wenn sie sie angibt, Firma, Postleitzahl und Ort als Vorschlag für die Registrierung, außerdem die Gültigkeit der Einladung (30 Tage, von der Zentrale wählbar bis 180 Tage), einen Widerruf, die Antwort der Werkstatt (angenommen oder abgelehnt, mit Zeitpunkt) sowie Zeitpunkt und Zahl der von uns verschickten E-Mails. Eine E-Mail mit dem Einladungs-Link schicken wir nur, wenn die Zentrale das ausdrücklich einschaltet; je Einladung höchstens drei E-Mails. Vor dem Versand muss die Zentrale sicherstellen und uns bestätigen, dass die eingeladene Werkstatt mit einer Einladung per E-Mail einverstanden ist. Für die Auswahl der Eingeladenen und ihre Angaben ist die Zentrale selbst verantwortlich. Ohne E-Mail von uns gibt die Zentrale den Link selbst weiter; wer ihn hat, sieht den Namen des Verbunds, die eingeladene E-Mail-Adresse und die Vorschläge. Die Einladungen sehen alle Konten der Verbund-Zentrale. Die eingeladene Werkstatt sieht sie in ihrem Konto, wenn die Einladung an ihre Anmelde-Adresse ging. Unsere Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse von Verbund und Werkstatt an einer einfachen Aufnahme in den Verbund), für die E-Mail zusätzlich die Einwilligung, die die Werkstatt der Verbund-Zentrale gegeben hat (§ 7 Abs. 2 Nr. 2 UWG); diese Einwilligung kann die Werkstatt gegenüber der Zentrale jederzeit widerrufen. Einladungen löschen wir 30 Tage nach Ablauf der Gültigkeit, auch beantwortete; hat sich eine Werkstatt über den Einladungs-Link neu registriert, bleibt die Einladung als Nachweis, bis ihr Konto oder der Verbund gelöscht wird.

Widerspruch gegen Einladungen: Sie können der Verwendung Ihrer Adresse für Einladungen jederzeit widersprechen (Abschnitt 14), etwa per E-Mail an info@schadenmelden24.com. Dann löschen wir alle offenen Einladungen an diese Adresse, auch die anderer Verbünde, verschicken keine E-Mails mehr dazu und nehmen die Adresse in eine Sperrliste auf, damit kein Verbund sie über SchadenMelden24 mehr einladen kann. In der Sperrliste speichern wir nicht die Adresse selbst, sondern nur den Zeitpunkt und einen daraus berechneten Prüfwert (eine Prüfsumme der klein geschriebenen Adresse), aus dem sich die Adresse nicht ablesen lässt; wer eine Adresse schon kennt, kann sie damit abgleichen. Eine Zentrale, die die Adresse erneut einladen will, erfährt nur, dass für diese Adresse keine Einladungen möglich sind, nicht warum und nicht, ob ein anderer Verbund beteiligt war. Beantwortete Einladungen und solche, über die sich eine Werkstatt registriert hat, bleiben als Nachweis wie oben beschrieben. Rechtsgrundlage der Sperrliste ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 21 DSGVO (wir müssen Ihren Widerspruch dauerhaft beachten) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, das nachweisen zu können). Den Eintrag behalten wir, solange es Einladungen über SchadenMelden24 gibt; auf Ihren Wunsch löschen wir ihn, dann sind wieder Einladungen an die Adresse möglich.

Beitrittsanfragen der Werkstatt: Eine Werkstatt kann bei der Registrierung oder später in ihren Einstellungen den Beitritt zu einem Verbund anfragen. Wir speichern dazu den gewünschten Verbund, den Zeitpunkt, das Konto, das angefragt hat, einen freiwilligen Hinweis und die Entscheidung der Zentrale mit Zeitpunkt und gegebenenfalls einem Ablehnungsgrund. Die Konten der Zentrale des gewünschten Verbunds sehen offene Anfragen mit dem Namen der Werkstatt, dem Ort ihres Hauptstandorts, dem Datum und dem Hinweis; entscheiden können Inhaber und Manager. E-Mails verschicken wir dabei nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, beim Einzelunternehmen zusätzlich Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag mit uns; die Anfrage stellt die Werkstatt selbst). Angenommene und abgelehnte Anfragen löschen wir 6 Monate nach der Entscheidung, zurückgezogene 6 Monate nach dem Zurückziehen; offene Anfragen bleiben gespeichert, bis das Werkstatt-Konto oder der Verbund gelöscht wird. Mit dem Beitritt gelten die übrigen Angaben dieses Abschnitts.

17.6 Werkstatt-Verbund-Ticketsystem

Zweck: Interne Kommunikation zwischen einem Werkstatt-Mitglied und seinem Verbund-Headquarter (HQ-Admin) über Tickets, Nachrichten und Datei-Anhänge. Themen umfassen Support-Anfragen, Onboarding, Vertragsangelegenheiten, Reklamationen sowie Pflicht-Provisions-Klaerungen. Diese Funktion ist ausschliesslich fuer Werkstätten verfügbar, die Mitglied eines Verbunds sind.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag Mitglied ↔ Verbund) i.V.m. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Verbunds an Steuerung und Compliance-Nachweisen).

Kategorien: Ticket-Titel und -Body, Nachrichten-Verlauf, Datei-Anhänge (Bucket gruppen-ticket-attachments), Status-Historie, SLA-Timer, Bewertungen.

Empfänger: Werkstatt-Mitarbeiter und HQ-Administrator der Verbund-Gruppe.

Speicherdauer: Geschlossene Tickets gelten als Geschäftskorrespondenz zwischen Werkstatt und Verbund. Sie bleiben 6 Jahre ab Ende des Jahres gespeichert, in dem sie geschlossen wurden (§ 257 Abs. 1 Nr. 2 und 3, Abs. 4 HGB; § 147 Abs. 1 Nr. 2 und 3, Abs. 3 AO), und werden danach gelöscht. Im Gegensatz zu Chat-Nachrichten in Aufträgen (14 Tage nach Abschluss) sind Verbund-Tickets handelsrechtlich relevant. Löscht eine Werkstatt ihr Konto, bleiben ihre Tickets für den Verbund erhalten; ihre eigenen Nachrichten darin stehen dann ohne Absender.

Schutzmaßnahmen: Gruppenscoped Row Level Security mit FORCE-RLS, Storage Signed-URLs (1h Gueltigkeit), zweistufige Authentifizierung (2FA / AAL2) verpflichtend für alle 16 Ticket-Routes auf der HQ-Seite.

18. Kontakt für Datenschutzangelegenheiten

Bei Fragen zum Datenschutz können Sie sich jederzeit an uns wenden:

Datenschutz-Ansprechpartner:
Hannes Werner
Flare Solutions
Karl-Marx-Weg 20
06242 Krumpa
Deutschland

E-Mail: info@schadenmelden24.com
Telefon: +49 152 03037738

Zuständige Aufsichtsbehörde:

Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Sachsen-Anhalt
Leiterstraße 9
39104 Magdeburg

Telefon: 0391 81803-0
E-Mail: poststelle@lfd.sachsen-anhalt.de
Website: https://datenschutz.sachsen-anhalt.de