Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die in dieser Erklärung genannten eigenen Verarbeitungen ist
Johann Sinner
KFZ-Zulassungsservice Sinner
Van-Melle-Straße 1
32760 Detmold
Telefon: +49 (0)5231 4569970
E-Mail: info@cleverzulassen.de
Diese Erklärung gilt für die Software Karvio, also die Anwendung, in der Konten, Vorgänge und Dokumente verarbeitet werden, und für die öffentliche Website karvio.de. Die Website ist unten gesondert beschrieben. Sie hat kein Kontaktformular, keinen Newsletter und keine Nutzerkonten.
Wann wir verantwortlich sind und wann Ihr Zulassungsdienstleister
Für Nutzerkonten, den Betrieb, die Sicherheit, die Abrechnung und die Statistik von Karvio sind wir verantwortlich.
Für die Inhalte der Vorgänge sind wir Auftragsverarbeiter. Verantwortlicher dafür ist der Zulassungsdienstleister bzw. das Unternehmen, das den Vorgang in Karvio führt. Das betrifft insbesondere Vollmachten, Ausweise, Bankkarten, Fahrzeugdaten, Unterschriften und Angaben, die über einen Freigabelink übermittelt werden. Ihre Rechte auf Auskunft, Berichtigung oder Löschung zu diesen Angaben machen Sie zuerst bei diesem Unternehmen geltend. Sie können sich zusätzlich an info@cleverzulassen.de wenden. Wir leiten Ihr Anliegen an den Verantwortlichen weiter, soweit wir den Vorgang zuordnen können.
Ihre Rechte
Sie haben gegenüber dem jeweiligen Verantwortlichen diese Rechte:
- Auskunft über die gespeicherten Daten und die Verarbeitung (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit, soweit die Verarbeitung auf einem Vertrag oder einer Einwilligung beruht und automatisiert erfolgt (Art. 20 DSGVO)
- Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
- Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
Sie können sich bei einer Aufsichtsbehörde beschweren, etwa bei der Behörde Ihres Wohnorts oder bei der für uns zuständigen Behörde:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2-4
40213 Düsseldorf
Telefon: 0211 38424-0
E-Mail: poststelle@ldi.nrw.de
Eine Liste der Aufsichtsbehörden finden Sie unter https://www.bfdi.bund.de/DE/Service/Anschriften/Laender/Laender-node.html.
Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlicher erheblicher Beeinträchtigung findet nicht statt. Die Texterkennung befüllt Felder vor. Ob ein Vorgang so verwendet wird, entscheiden die Nutzer der Anwendung.
Besuch der Anwendung und Server-Logfiles
Art und Zweck der Verarbeitung
Beim Aufruf der Anwendung verarbeitet der Server technisch erforderliche Angaben, insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Browsertyp und Betriebssystem. Das dient dem Verbindungsaufbau, der Stabilität und der Sicherheit.
Rechtsgrundlage
Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere und stabile Betrieb.
Empfänger
Der Hoster Render Services, Inc., Rechenzentrum Frankfurt am Main, als Auftragsverarbeiter. Warteschlangen für die technische Abwicklung liegen beim selben Hoster in Frankfurt und enthalten kurzzeitig Auftragsdaten wie Vorgangsnummern.
Speicherdauer
Logfiles, deren Speicherdauer wir selbst steuern, löschen wir nach spätestens 14 Tagen. Protokolle, die der Hoster für den Betrieb seiner Plattform führt, bleiben nur so lange gespeichert, wie er sie für Sicherheit und Störungsanalyse braucht.
Bereitstellung
Ohne die IP-Adresse lässt sich die Anwendung nicht ausliefern. Ein Widerspruch gegen diese technisch erforderliche Verarbeitung ist deshalb nicht möglich, ohne den Dienst zu beenden.
Lokale Speicherung
Art und Zweck der Verarbeitung
Karvio speichert im Browser Angaben, damit Anmeldung und Bedienung funktionieren. Je nachdem, ob die Anmeldung gemerkt werden soll, liegen sie im lokalen Speicher oder im Sitzungsspeicher:
- Zugangs- und Aktualisierungstoken
- die zuletzt gewählte Organisation und ihre Art
- Ihre Entscheidung zur Statistik unter dem Schlüssel
vr_consent
In der Anwendung Karvio setzen wir darüber hinaus keine weiteren Cookies. Die öffentliche Website setzt für den beschriebenen Inhalt keine Statistik- oder Werbe-Cookies.
Rechtsgrundlage
Die Anmeldedaten verarbeiten wir zur Durchführung des Vertrags und zur sicheren Nutzung, Art. 6 Abs. 1 lit. b und lit. f DSGVO. Die gespeicherte Einwilligungsentscheidung verarbeiten wir, um diese Entscheidung nachweisen und umsetzen zu können, Art. 6 Abs. 1 lit. c und lit. f DSGVO.
Empfänger
Die Angaben verbleiben in Ihrem Browser. Mit den Anfragen an die Anwendung gelangen die Token an unseren Server beim Hoster in Frankfurt.
Speicherdauer
Sitzungsdaten enden, wenn Sie sich abmelden, die Sitzung abläuft oder Sie die Browserdaten löschen. Die Einwilligungsentscheidung bleibt gespeichert, bis Sie sie ändern oder die Browserdaten löschen.
Bereitstellung
Ohne die Anmeldedaten können Sie das Konto nicht verwenden. Statistik bleibt davon unabhängig und ist im nächsten Abschnitt zur Statistik beschrieben.
Registrierung und Nutzerkonto
Art und Zweck der Verarbeitung
Für ein Konto verarbeiten wir E-Mail-Adresse, Anrede, Vor- und Nachname, das Passwort ausschließlich als Hash mit Salt, den Status der E-Mail-Bestätigung, Tokens für die Bestätigung und das Zurücksetzen des Passworts sowie die Zuordnung zu einer Organisation. Einladungen enthalten die E-Mail-Adresse der eingeladenen Person und einen Link.
Rechtsgrundlage
Für die Daten des Zulassungsdienstleisters, der das Abonnement abschließt, gilt Art. 6 Abs. 1 lit. b DSGVO.
Für Konten von Personen, die dieser Kunde einlädt und die selbst keinen Vertrag mit uns schließen, gilt Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, die gebuchte Software den Personen bereitzustellen, die der Kunde benennt. Der Kunde informiert diese Personen und sorgt, soweit nötig, für eine eigene Grundlage gegenüber seinen Mitarbeitern.
E-Mails zur Bestätigung der Adresse oder zum Zurücksetzen des Passworts stützen sich auf dieselbe Grundlage wie das jeweilige Konto.
Empfänger
Der Hoster in Frankfurt und IONOS SE für den Versand dieser E-Mails.
Speicherdauer
Für die Dauer des Vertrags. Danach löschen wir das Konto, soweit keine Aufbewahrungspflicht entgegensteht. Abrechnungsdaten richten sich nach dem Abschnitt zu kostenpflichtigen Leistungen.
Bereitstellung
Ohne E-Mail-Adresse und Passwort können wir kein Konto anlegen. Die Angabe von Name und Anrede ist für die Nutzung der Anwendung vorgesehen.
Kostenpflichtige Leistungen
Art und Zweck der Verarbeitung
Im Probelauf ist die Zahlungsabwicklung nicht live geschaltet. Es wird die Testumgebung von Stripe genutzt. Echte Kartendaten werden dort nicht verarbeitet. Soweit in dieser Testumgebung Abrechnungsdaten anfallen, sind das Name, E-Mail-Adresse, Anschrift und eine Kundenkennung des Zahlungsdienstleisters.
Rechtsgrundlage
Art. 6 Abs. 1 lit. b DSGVO, soweit die Testdaten einen Probevertrag vorbereiten, sonst Art. 6 Abs. 1 lit. f DSGVO für den technischen Probelauf.
Empfänger
Stripe Payments Europe Limited, Irland, nur in der Testumgebung.
Speicherdauer
Testdaten löschen wir, sobald der Probelauf sie nicht mehr braucht. Aufbewahrungsfristen für echte Rechnungen gelten erst, wenn die Abrechnung live geschaltet ist.
Bereitstellung
Für die Nutzung der Anwendung im Probelauf sind diese Angaben nicht erforderlich.
Vorgangsdaten im Auftrag
Art und Zweck der Verarbeitung
Im Auftrag des jeweiligen Kunden speichern und zeigen wir die Daten der Zulassungsvorgänge. Dazu gehören Name, Anrede, Geburtsdatum, Geburtsort und Anschrift von Haltern und Zahlern, Fahrzeug- und Kennzeichendaten, Fahrzeug-Identifizierungsnummer, eVB-Nummer, Bankverbindung, Unterschriftsbilder sowie hochgeladene Dokumente, insbesondere Ausweis, Fahrzeugschein, Fahrzeugbrief, Bankkarte, Handelsregisterauszug und Gewerbeanmeldung, und die daraus erzeugten Unterlagen. Außerdem speichern wir, welches Nutzerkonto einen Eintrag erstellt oder geändert hat.
Dateien liegen in der Datenbank des Hosters in Frankfurt. Über einen Freigabelink kann eine Person ohne eigenes Konto Dokumente und Angaben zu genau diesem Vorgang übermitteln. Die E-Mails dazu enthalten den Link und die für die Bitte nötigen Angaben.
Rechtsgrundlage
Verantwortlicher für diese Daten ist der Zulassungsdienstleister bzw. das Unternehmen, das den Vorgang führt. Dieser Verantwortliche legt die Rechtsgrundlage gegenüber den betroffenen Personen fest. Das kann ein Vertrag mit dem Fahrzeughalter, eine rechtliche Pflicht oder ein berechtigtes Interesse sein. Wir legen diese Grundlage nicht fest.
Wir verarbeiten die Vorgangsdaten ausschließlich als Auftragsverarbeiter auf Weisung dieses Verantwortlichen, Art. 28 DSGVO und der Anhang der Allgemeinen Geschäftsbedingungen. Art. 6 DSGVO ist dafür nicht noch einmal unsere eigene Rechtsgrundlage.
Dass wir dem Zulassungsdienstleister die Software bereitstellen, stützt sich im Verhältnis zu ihm auf den Nutzungsvertrag, Art. 6 Abs. 1 lit. b DSGVO. Das betrifft den Vertrag über Karvio, nicht die Inhalte der Vorgänge.
Empfänger
Der Hoster in Frankfurt, IONOS für E-Mails zu Freigaben, Unterschriften und Benachrichtigungen, und Koncile für die Texterkennung.
Speicherdauer
Für die Dauer des Vertrags mit dem Kunden. Nach Vertragsende löschen wir die Vorgangsdaten innerhalb von 30 Tagen, soweit kein gesetzlicher Aufbewahrungsgrund entgegensteht. Der Kunde kann einzelne Vorgänge und Dateien schon vorher in der Anwendung löschen.
Bereitstellung
Welche Angaben ein Vorgang braucht, legt der Kunde fest. Ohne die von ihm verlangten Dokumente kann der Vorgang in Karvio nicht vollständig vorbereitet werden. Gegenüber uns besteht keine Pflicht, einen Freigabelink zu nutzen.
Dokumentenanalyse durch Koncile
Art und Zweck der Verarbeitung
Wenn für einen Vorgang eine Texterkennung läuft, übermitteln wir das Dokumentbild an Koncile. Koncile liest die Felder aus, die der Vorgang braucht, etwa Name, Geburtsdatum, Anschrift, Kennzeichen oder Fahrzeug-Identifizierungsnummer. Wir übernehmen das Ergebnis in die Eingabefelder. Die Dokumente werden nicht zum Trainieren von Modellen verwendet.
Rechtsgrundlage
Die Texterkennung ist Teil der Auftragsverarbeitung der Vorgangsdaten. Die Rechtsgrundlage gegenüber den betroffenen Personen legt der Verantwortliche des Vorgangs fest. Wir führen die Übermittlung an Koncile auf seine Weisung aus.
Empfänger
Koncile als Unterauftragsverarbeiter. Das Hosting liegt in der EU bei AWS, Primärregion Paris, Ausweichregion Frankfurt. Dokumente, Extraktionsergebnisse, Protokolle und Sicherungen bleiben im Europäischen Wirtschaftsraum.
Speicherdauer
Bei uns gilt die Frist für Vorgangsdaten. Löschen wir ein Dokument bei Koncile, ist es dort sofort aus dem Produktivsystem entfernt, einschließlich der zugehörigen Protokolle. Aus den Sicherungen von Koncile ist es spätestens nach 30 Tagen gelöscht.
Bereitstellung
Ohne Übermittlung des Dokuments kann die Texterkennung nicht laufen. Angaben lassen sich auch von Hand eintragen, soweit die Anwendung das vorsieht.
Art und Zweck der Verarbeitung
Wir versenden E-Mails, die der Vertrag braucht: Einladung, Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts, Hinweise zu Vorgängen, Freigabelinks und Bitten um eine Unterschrift.
Rechtsgrundlage
Art. 6 Abs. 1 lit. b DSGVO. Soweit eine Benachrichtigung den sicheren Betrieb betrifft, zusätzlich Art. 6 Abs. 1 lit. f DSGVO.
Empfänger
IONOS SE, Deutschland, als Auftragsverarbeiter für den Versand.
Speicherdauer
Die Nachrichten liegen beim Empfänger nach dessen eigenen Regeln. Bei uns bleiben Versand und Inhalt so lange gespeichert, wie der zugehörige Vorgang oder das Konto besteht, und danach nur, soweit Handels- oder Steuerrecht das verlangt.
Bereitstellung
Ohne E-Mail-Adresse können wir Einladungen, Bestätigungen und Freigaben nicht zustellen.
Statistik
Art und Zweck der Verarbeitung
Erst nach Ihrer Einwilligung nutzen wir PostHog in der EU-Cloud, um zu verstehen, wie Karvio verwendet wird. Dabei können Nutzungsereignisse, die aufgerufene Seitenadresse sowie nach der Anmeldung eine Nutzer- und Organisationskennung verarbeitet werden. Die Seitenadresse enthält den Pfad der Seite, keine Abfrageparameter. Den geheimen Teil eines Freigabelinks übertragen wir nicht. Eine Sitzungsaufzeichnung, die den Bildschirm inklusive geöffneter Dokumente mitschneidet, setzen wir nicht ein. Ohne Anmeldung legen wir kein Personenprofil an.
PostHog ist hier unser eigener Dienstleister für diese Statistik. Die Dokumentdateien der Vorgänge werden an PostHog nicht übermittelt. Für die Inhalte der Vorgänge bleibt der Zulassungsdienstleister verantwortlich.
Rechtsgrundlage
Art. 6 Abs. 1 lit. a DSGVO.
Empfänger
PostHog, Inc., über die EU-Cloud (eu.i.posthog.com). PostHog ist ein Unternehmen in den USA und betreibt diese Instanz in der EU.
Speicherdauer
Wir löschen diese Daten nach längstens 12 Monaten.
Bereitstellung
Die Statistik ist freiwillig. Die Anwendung bleibt ohne Einwilligung nutzbar.
Widerruf
Sie können die Einwilligung in den Datenschutzeinstellungen der Anwendung mit Wirkung für die Zukunft widerrufen. Danach erfasst PostHog keine neuen Ereignisse mehr aus diesem Browser.
Empfänger außerhalb der EU
Anwendung, Datenbank und Warteschlangen stehen in Frankfurt am Main. E-Mails versendet IONOS in Deutschland. Koncile sitzt in Frankreich. PostHog läuft für uns in der EU.
Render und PostHog haben Gesellschaften in den USA oder können von dort auf einen Vorgang zugreifen, etwa bei Support. Soweit wir sie als Auftragsverarbeiter einsetzen und personenbezogene Daten ein Land außerhalb des Europäischen Wirtschaftsraums erreichen, stützt sich die Übermittlung auf einen Angemessenheitsbeschluss, insbesondere das EU-US Data Privacy Framework, soweit der Empfänger danach zertifiziert ist, und sonst auf Standardvertragsklauseln.
Öffentliche Website
Art und Zweck der Verarbeitung
Beim Aufruf von karvio.de verarbeitet der Webserver technisch erforderliche Angaben, insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse und Browsertyp. Die Seite zeigt Texte und Bilder und verlinkt auf AGB, Impressum und diese Erklärung. Es gibt dort kein Kontaktformular, keinen Newsletter, keine Nutzerkonten und keine eingebetteten Karten oder Videos. Schriftarten werden vom eigenen Webspace ausgeliefert.
Die öffentliche Website wird über UpdraftPlus gesichert. Die Sicherungskopien werden auf dem Webspace bei IONOS gespeichert und enthalten keine Vorgangsdaten der Karvio-Anwendung.
Rechtsgrundlage
Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist der Betrieb und die Sicherheit der Website.
Empfänger
IONOS als Hoster der Website in Deutschland.
Speicherdauer
Server-Protokolle der Website bleiben nur so lange gespeichert, wie der Hoster sie für Sicherheit und Störungsanalyse braucht. Wie lange UpdraftPlus die Sicherungskopien behält, richtet sich nach der im Plugin eingestellten Aufbewahrung.
Bereitstellung
Ohne die IP-Adresse lässt sich die Seite nicht ausliefern.
SSL-Verschlüsselung
Die Verbindung zur Karvio-Anwendung und zu karvio.de läuft verschlüsselt über HTTPS.
Widerspruch nach Art. 21 DSGVO
Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen, die auf Art. 6 Abs. 1 lit. f DSGVO beruht. Das gilt auch für ein auf diese Vorschrift gestütztes Profiling.
Nach einem Widerspruch verarbeiten wir diese Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Richten Sie den Widerspruch an Johann Sinner, Van-Melle-Straße 1, 32760 Detmold, Telefon +49 (0)5231 4569970, E-Mail info@cleverzulassen.de. Betrifft der Widerspruch Vorgangsdaten, für die Ihr Zulassungsdienstleister verantwortlich ist, leiten wir ihn dorthin weiter.
Änderung dieser Erklärung
Wir passen diese Erklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt die Fassung, die zum Zeitpunkt Ihres Besuchs auf der Seite veröffentlicht ist.
Fragen zum Datenschutz
Fragen zum Datenschutz richten Sie an die oben genannte verantwortliche Stelle. Ein Datenschutzbeauftragter ist nicht benannt. Die für den Datenschutz zuständige Person ist Johann Sinner, erreichbar unter den oben genannten Kontaktdaten.