Datenschutzerklärung

1. Verantwortlicher

[[FIRMA]] [[ANSCHRIFT]] Vertreten durch: [[VERTRETUNGSBERECHTIGT]] E-Mail: [[EMAIL]] · Telefon: [[TELEFON]]

Datenschutzkontakt: [[EMAIL-DATENSCHUTZ]]

Wir haben keinen Datenschutzbeauftragten benannt, weil die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG nicht vorliegen. Ihre Anfragen beantworten die Vertretungsberechtigten selbst.

2. Worum es geht – und worum nicht

WerkstattKlar ist eine Software für Kfz-Werkstätten. Wir unterscheiden zwei Rollen:

Sie haben eine Anfrage an eine Werkstatt gestellt oder nutzen ein Kundenportal? Dann gelten die Datenschutzhinweise dieser Werkstatt, die auf der Anfrageseite und im Portal verlinkt sind (/w/<werkstatt>/datenschutz). Wenden Sie sich mit Auskunfts-, Lösch- oder sonstigen Anliegen bitte direkt an die Werkstatt. Erreicht uns ein solches Anliegen, leiten wir es unverzüglich an die zuständige Werkstatt weiter und informieren Sie darüber.

3. Aufruf der Website und Server-Protokolle

Bei jedem Aufruf verarbeitet unser Hosting-Anbieter Vercel technisch notwendige Daten:

• IP-Adresse, Datum und Uhrzeit, angeforderte Adresse (Pfad), HTTP-Methode und Statuscode, übertragene Datenmenge, Referrer (soweit übermittelt), Browser-Kennung (User-Agent), Region des bearbeitenden Servers.

Zweck: Auslieferung der Seiten, Stabilität, Erkennung und Abwehr von Angriffen und Missbrauch (z. B. Begrenzung der Anfragen pro IP-Adresse), Fehleranalyse. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und funktionsfähigen Betrieb; für die Sicherheitsmaßnahmen zusätzlich Art. 32 DSGVO. Speicherdauer: Die technischen Protokolle bei Vercel werden nach [[LOGFRIST-VERCEL]] automatisch gelöscht, Protokolle der Datenbank- und Anmeldedienste bei Supabase nach [[LOGFRIST-SUPABASE]]. ⚠ PRÜFEN: tatsächliche Fristen im gebuchten Vercel-Pro- bzw. Supabase-Pro-Tarif; keine Log-Drains mit längerer Aufbewahrung einrichten, ohne diesen Abschnitt anzupassen.

Inhalte von Anfragen, Nachrichten und Zugangs-Links zu Kundenportalen schreiben wir bewusst nicht in Protokolle.

4. Cookies und Zugriff auf Ihr Endgerät

Wir setzen ausschließlich technisch notwendige Cookies ein. Es gibt keine Analyse-, Marketing- oder Tracking-Cookies, keine Zählpixel und keine eingebundenen Dienste Dritter (auch keine externen Schriftarten – die Schriften werden von unserem eigenen Server ausgeliefert).

Die Cookies sind mit den Attributen HttpOnly, Secure und SameSite=Lax gesetzt.

Rechtsgrundlage für das Speichern und Auslesen: § 25 Abs. 2 Nr. 2 TDDDG – die Cookies sind unbedingt erforderlich, damit wir den von Ihnen ausdrücklich gewünschten Dienst (Anmeldung im Werkstattbereich) bereitstellen können. Eine Einwilligung ist dafür nicht erforderlich. Die anschließende Verarbeitung der Daten stützen wir auf Art. 6 Abs. 1 lit. b DSGVO (Nutzung des Werkstattbereichs im Rahmen des Vertrags) bzw. lit. f DSGVO (für Mitarbeitende der Werkstatt, siehe Ziffer 6).

5. Kontaktaufnahme

Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben (Name, Kontaktdaten, Inhalt der Nachricht, ggf. Firma) zur Bearbeitung Ihres Anliegens. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn Ihr Anliegen einen Vertrag oder dessen Anbahnung betrifft; sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Speicherdauer: Wir löschen die Korrespondenz, wenn das Anliegen erledigt ist, spätestens nach 12 Monaten, es sei denn, sie ist ein aufzubewahrender Geschäftsbrief (§ 257 Abs. 1 Nr. 2, 3, Abs. 4 HGB: 6 Jahre).

6. Werkstatt-Nutzerkonten

Werkstätten erhalten ein Konto nur über einen persönlichen Einladungslink. Für Inhaber und Mitarbeitende verarbeiten wir:

• Stammdaten: Name, geschäftliche E-Mail-Adresse, Rolle (Inhaber/Mitarbeiter), Funktionsbezeichnung, Farbe des Profilkürzels.
• Anmeldedaten: Passwort (nur als Hash beim Anmeldedienst Supabase), TOTP-Geheimnis für die Zwei-Faktor-Anmeldung, Wiederherstellungscodes (nur als Hash).
• Einladungen: E-Mail-Adresse, Name, Rolle, Zeitpunkt; der Einladungslink ist 7 Tage gültig und nur als Hash gespeichert.
• Sitzungen: Zeitpunkt der Anmeldung, Gerät/Browser (aus dem User-Agent), ungefähre Region (aus der IP-Adresse abgeleitet), letzte Aktivität. So können Sie Ihre aktiven Sitzungen einsehen und beenden. ⚠ PRÜFEN: ob und wie die Region ermittelt wird (Vercel-Geo-Header vs. eigener Dienst) – Formulierung anpassen.
• Vertragsnachweise: Version und Zeitpunkt der Annahme von AGB und Auftragsverarbeitungsvertrag sowie die annehmende Person.

Passwortprüfung: Bei Vergabe eines Passworts prüft Supabase, ob es in bekannten Datenlecks vorkommt. Dazu wird nach dem k-Anonymitätsverfahren nur ein kurzer Anfang des Hashwerts an den Dienst „Have I Been Pwned“ übermittelt; das Passwort selbst oder Ihre E-Mail-Adresse werden nicht übermittelt. ⚠ PRÜFEN: aktuelle Umsetzung bei Supabase (Anbieter, Verfahren).

Zwecke: Bereitstellung des Zugangs, Absicherung der Konten (Zwei-Faktor-Pflicht, Sitzungsverwaltung), Vertragsdurchführung und Nachweis der Vertragsannahme. Rechtsgrundlagen:

• Für den Vertragspartner selbst (z. B. Inhaber eines Einzelunternehmens): Art. 6 Abs. 1 lit. b DSGVO.
• Für Mitarbeitende und für vertretungsberechtigte Personen einer Gesellschaft: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse und das der Werkstatt liegt darin, den vereinbarten Dienst den von der Werkstatt benannten Personen sicher bereitzustellen.
• Sicherheitsmaßnahmen zusätzlich Art. 32 DSGVO.

⚠ PRÜFEN: Abgrenzung. Was Mitarbeitende innerhalb der Werkstatt-Vorgänge tun (Zuweisung einer Anfrage, interne Notizen, Aktivitätsverlauf, Absender von Nachrichten), verarbeiten wir im Auftrag der Werkstatt; Verantwortliche ist insoweit die Werkstatt.

Speicherdauer: Für die Dauer des Nutzerkontos. Deaktiviert die Werkstatt ein Konto, löschen wir die Anmeldedaten nach 30 Tagen. Der Name bleibt als Urheberangabe in Vorgängen der Werkstatt erhalten, bis diese gelöscht werden. Sitzungseinträge löschen wir 30 Tage nach Ende der Sitzung, nicht angenommene Einladungen 30 Tage nach Ablauf. Vertragsnachweise bewahren wir 6 Jahre nach Vertragsende auf (§ 257 HGB, Verjährung). Einzelheiten stehen in unserem Löschkonzept.

7. System-E-Mails

Wir versenden E-Mails, die für die Nutzung erforderlich sind: Einladung, Passwort zurücksetzen, Sicherheitshinweise (z. B. neue Anmeldung, 2FA geändert), Benachrichtigungen über neue Anfragen/Nachrichten sowie Hinweise zu Wartung und Vertrag. Versanddienstleister ist [[E-MAIL-ANBIETER]] ([[E-MAIL-ANBIETER-SITZ]]). Die E-Mails enthalten keine Öffnungs- oder Klickverfolgung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO (wie Ziffer 6). Speicherdauer: Versandprotokolle (Empfänger, Vorlage, Zeitpunkt, Zustellstatus) löschen wir nach 90 Tagen; beim Versanddienstleister gelten dessen Protokollfristen (siehe Subprozessorliste).

Werbe-E-Mails oder Newsletter versenden wir nicht. ⚠ PRÜFEN: Falls später geplant, § 7 Abs. 2 Nr. 2, Abs. 3 UWG beachten und diesen Abschnitt ergänzen.

8. Vertrag und Abrechnung

Für Vertragsschluss, Rechnungsstellung und Buchhaltung verarbeiten wir: Firma, Anschrift, Ansprechpartner, Rechnungs-E-Mail, USt-IdNr., gebuchter Tarif, Nutzungszähler (z. B. Anzahl Anfragen und Nutzer pro Monat), Rechnungen, Zahlungseingänge und die dabei von Ihrer Bank übermittelten Angaben (Kontoinhaber, IBAN, Verwendungszweck). Dienstleister: [[BUCHHALTUNGSTOOL]] ([[BUCHHALTUNGSTOOL-SITZ]]) für Rechnungen und Buchhaltung; [[BANK]] für den Zahlungsverkehr; [[STEUERBERATER]] für Buchführung und Steuererklärungen (eigenverantwortlich als Berufsgeheimnisträger). Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag); Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB, § 14b UStG (Aufbewahrung). Speicherdauer: Buchungsbelege und Rechnungen 8 Jahre, Handelsbücher, Jahresabschlüsse und Inventare 10 Jahre, empfangene und abgesandte Handels- und Geschäftsbriefe 6 Jahre, jeweils ab Ende des Kalenderjahres. ⚠ PRÜFEN: Fristen nach dem Vierten Bürokratieentlastungsgesetz (BEG IV) mit dem Steuerberater bestätigen.

9. Sicherheits- und Audit-Protokoll

Wir protokollieren sicherheitsrelevante Vorgänge: Anmeldungen und Fehlversuche, Änderungen an 2FA und Passwort, Einladungen, Rollenänderungen, Datenexporte, Aktionen der Plattform-Administratoren sowie jeden Support-Zugriff auf Inhalte einer Werkstatt (nur nach zeitlich begrenzter Freigabe durch die Werkstatt). Gespeichert werden Zeitpunkt, handelnde Person, betroffener Datensatz (Kennung, keine Inhalte) und ggf. IP-Adresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Nachvollziehbarkeit, Missbrauchs- und Angriffserkennung) i. V. m. Art. 32 DSGVO. Speicherdauer: [[AUDIT-LOG-FRIST]] (Vorschlag: 24 Monate), danach automatische Löschung. Das Protokoll ist technisch gegen nachträgliche Änderung geschützt.

10. Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister als Auftragsverarbeiter ein (Verträge nach Art. 28 DSGVO liegen vor bzw. werden vor Nutzung abgeschlossen):

Die aktuelle Liste mit Einzelheiten finden Sie unter https://[[DOMAIN]]/subprozessoren.

Weitere Empfänger: Steuerberater (Ziffer 8); Behörden und Gerichte nur, soweit wir gesetzlich verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO).

11. Übermittlung in Drittländer

Vercel hat seinen Sitz in den USA, Supabase in Singapur (mit einer Betriebsgesellschaft in den USA). Wir haben die Datenhaltung in Rechenzentren in Frankfurt am Main konfiguriert. Dennoch können Mitarbeitende oder Unterauftragnehmer dieser Anbieter für Betrieb und Support aus Drittländern zugreifen, und Anfragen werden über das weltweite Netz von Vercel entgegengenommen. Für diese Fälle stützen wir die Übermittlung auf:

• bei Vercel Inc. den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), unter dem Vercel zertifiziert ist (⚠ vor Launch im DPF-Register bestätigen), sowie ergänzend EU-Standardvertragsklauseln;
• bei Supabase die mit dem Anbieter vereinbarten EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); Supabase ist nicht unter dem Data Privacy Framework zertifiziert.

Eine Kopie der Garantien erhalten Sie auf Anfrage an [[EMAIL-DATENSCHUTZ]].

12. Speicherdauer im Überblick

Gelöschte Daten können bis zum Ablauf der Sicherungsrotation (höchstens 7 Tage) noch in Datensicherungen enthalten sein.

13. Pflicht zur Bereitstellung

Die Angaben unter Ziffer 6 und 8 brauchen wir, um den Vertrag zu schließen und den Zugang bereitzustellen; ohne sie ist die Nutzung nicht möglich. Die technischen Daten unter Ziffer 3 fallen bei jedem Aufruf zwangsläufig an.

14. Ihre Rechte

Sie haben das Recht auf

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO).

Schreiben Sie dazu an [[EMAIL-DATENSCHUTZ]].

Widerspruchsrecht (Art. 21 DSGVO) Soweit wir Ihre Daten auf Art. 6 Abs. 1 lit. f DSGVO stützen, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Beschwerderecht: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist: [[AUFSICHTSBEHOERDE]].

15. Keine automatisierte Entscheidungsfindung

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Wir erstellen keine Profile. Die automatische, vorübergehende Begrenzung zu vieler Anfragen (Rate Limiting) dient allein der technischen Sicherheit.

16. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Version [[VERSION]] · Stand: 29.09.2026