Datenschutzerklärung

Stand: [Monat Jahr]

1. Zwei Rollen — bitte zuerst lesen

Wir verarbeiten personenbezogene Daten in zwei unterschiedlichen Rollen.

Website und Vertragsverhältnis mit unseren Kunden. Hier sind wir
Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Das betrifft alles, was
in den Abschnitten 4 bis 12 beschrieben ist.

Nutzung der CargoSteps-Plattform. Sendungs-, Kontakt- und Standortdaten,
die unsere Kunden in die Plattform einstellen oder dort erzeugen,
verarbeiten wir weit überwiegend im Auftrag des jeweiligen Kunden nach
Art. 28 DSGVO. Verantwortlicher ist dann das Unternehmen, das den Auftrag
erteilt hat — etwa der Spediteur, das Transportunternehmen oder der
Versender. Wenn Sie als Fahrerin, Fahrer, Empfängerin oder Empfänger
Auskunft über diese Daten verlangen oder ihrer Verarbeitung widersprechen
möchten, wenden Sie sich bitte an dieses Unternehmen. Sie können sich auch
an uns wenden; wir leiten Ihr Anliegen dann unverzüglich an den
Verantwortlichen weiter. Näheres in Abschnitt 13.

2. Verantwortlicher

CargoSteps GmbH & Co. KG
Cargo City Süd, Am Tor 31
60549 Frankfurt am Main
Deutschland

Telefon: +49 69 756 625 690
E-Mail: [datenschutz@cargosteps.com]

3. Ihre Rechte

Sie haben uns gegenüber die folgenden Rechte:

• Auskunft (Art. 15 DSGVO) darüber, ob und welche Daten wir zu Ihnen verarbeiten
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO), soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen (Art. 21 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Für die Ausübung genügt eine formlose Nachricht an die oben genannte
Adresse.

Beschwerderecht. Sie können sich jederzeit bei einer
Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Postfach 3163, 65021 Wiesbaden
poststelle@datenschutz.hessen.de

Hinweis zum Widerspruchsrecht

Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten,
können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben,
jederzeit Widerspruch einlegen. Wir verarbeiten die Daten dann nicht mehr,
es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die
Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung
oder Verteidigung von Rechtsansprüchen.

4. Hosting

Diese Website und die CargoSteps-Plattform werden bei Heroku betrieben,
einem Dienst der Salesforce, Inc. In Europa erbracht durch:

Salesforce Technologies Ireland Limited
5 Hanover Quay, Dublin 2, Irland

Wir nutzen die Region Europa (Frankfurt). Die Anwendungsdaten und die
Datenbank werden dementsprechend in Rechenzentren innerhalb der
Europäischen Union gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes
Interesse liegt im sicheren und zuverlässigen Betrieb unseres Angebots.
Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach
Art. 28 DSGVO.

Zugriff aus Drittländern. Auch bei Speicherung innerhalb der EU kann
im Rahmen von Wartung und Support ein Zugriff aus den Vereinigten Staaten
nicht ausgeschlossen werden. Grundlage hierfür sind die
Standardvertragsklauseln der EU-Kommission sowie die Zertifizierung von
Salesforce, Inc. unter dem EU-US Data Privacy Framework.

5. Server-Logfiles

Beim Aufruf unserer Seiten erhebt der Server automatisch:

• IP-Adresse der anfragenden Stelle
• Datum und Uhrzeit der Anfrage
• Aufgerufene Seite oder Datei
• Übertragene Datenmenge und Meldung über den Zugriffserfolg
• Referrer-URL
• Browsertyp, Browserversion und Betriebssystem

Eine Zusammenführung dieser Daten mit anderen Datenquellen erfolgt nicht.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes
Interesse liegt in der Auslieferung der Website, der Systemsicherheit und
der Aufklärung von Missbrauch.

Speicherdauer: [z. B. 7 Tage, danach automatische Löschung oder
Anonymisierung der IP-Adresse]

6. Cookies

Wir verwenden Cookies und vergleichbare Technologien. Dienste zu
Analyse-, Werbe- oder Trackingzwecken setzen wir nicht ein.

Sitzungs- und Sicherheits-Cookies. Zur Aufrechterhaltung Ihrer
Anmeldung und zum Schutz vor Cross-Site-Request-Forgery.

Auf der öffentlichen Sendungsverfolgung wird ein Sitzungs-Cookie bereits
beim Aufruf der Seite gesetzt, weil die Schaltfläche zum Laden der Karte
ein Sicherheitsmerkmal gegen Cross-Site-Request-Forgery enthält. Das
Cookie dient ausschließlich diesem Zweck sowie der Speicherung Ihrer
Entscheidung über die Kartenanzeige. Es findet keine Auswertung Ihres
Verhaltens statt.

Cookies von Stripe im Zahlungsbereich. Wenn Sie im angemeldeten
Bereich die Seiten zur Zahlung und Abonnementverwaltung aufrufen, setzt
unser Zahlungsdienstleister Stripe Cookies zur Betrugserkennung (unter
anderem __stripe_mid und __stripe_sid). Sie sind erforderlich, damit
die von Ihnen veranlasste Zahlung sicher abgewickelt und missbräuchliche
Transaktionen erkannt werden können. Näheres in Abschnitt 9.

Auf allen übrigen Seiten — sowohl im öffentlich zugänglichen Bereich
als auch im übrigen angemeldeten Bereich — wird kein Skript von Stripe
geladen und es werden keine Cookies von Stripe gesetzt. Stripe erhält dort
keine Daten über Sie.

Google Maps. Für die Kartendarstellung binden wir einen Dienst von
Google ein, der beim Laden Informationen auf Ihrem Endgerät speichert und
ausliest. Dies geschieht ausschließlich nach Ihrer Einwilligung.
Rechtsgrundlage ist § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1
lit. a DSGVO. Sie können Ihre Einwilligung jederzeit über [Link zu den
Einstellungen] mit Wirkung für die Zukunft widerrufen. Näheres in
Abschnitt 15.

Rechtsgrundlage für die technisch notwendigen Cookies ist § 25 Abs. 2
Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. b und lit. f DSGVO.
Eine Einwilligung ist hierfür nicht erforderlich.

7. Kontaktaufnahme

Wenn Sie uns per E-Mail, Telefon oder über ein Kontaktformular
kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, sofern die Anfrage der
Anbahnung oder Erfüllung eines Vertrags dient, sonst Art. 6 Abs. 1 lit. f
DSGVO aufgrund unseres berechtigten Interesses an der Beantwortung.

Wir löschen die Daten, sobald Ihre Anfrage abschließend bearbeitet ist und
keine gesetzlichen Aufbewahrungsfristen entgegenstehen.

8. Nutzerkonto

Zur Nutzung der Plattform legen Sie ein Nutzerkonto an. Dabei verarbeiten
wir:

• Name und geschäftliche E-Mail-Adresse
• Unternehmenszugehörigkeit und Rolle
• Passwort (ausschließlich als kryptografischer Hashwert)
• Zeitpunkt der Registrierung und der letzten Anmeldung
• [weitere Pflichtfelder ergänzen]

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Daten werden für die
Dauer des Vertragsverhältnisses gespeichert und danach gelöscht, soweit
keine Aufbewahrungspflichten bestehen.

9. Zahlungsabwicklung über Stripe

Für die Abwicklung von Zahlungen setzen wir Stripe ein.

Anbieter für Nutzer im Europäischen Wirtschaftsraum:
Stripe Payments Europe, Limited
The One Building, 1 Grand Canal Street Lower
Dublin 2, D02 H210, Irland

Zahlungsformular (Stripe Elements)

Die Eingabefelder für Ihre Zahlungsdaten werden technisch von Stripe
bereitgestellt und in unsere Seite eingebettet. Dazu wird beim Aufruf der
Zahlungs- und Abonnementseiten ein Skript von einem Server von Stripe
geladen. Ihre IP-Adresse sowie Browser- und Geräteinformationen werden
dabei an Stripe übermittelt. Auf allen anderen Seiten unseres Angebots
wird dieses Skript nicht geladen.

Ihre vollständigen Kartendaten und Ihre IBAN erreichen unsere Server
nicht. Wir erhalten von Stripe lediglich eine Referenz auf das
Zahlungsmittel sowie zur Wiedererkennung die letzten vier Stellen, die
Kartenmarke und das Ablaufdatum beziehungsweise die letzten Stellen der
IBAN.

Verarbeitete Daten

Name, Rechnungsanschrift, E-Mail-Adresse, Zahlungsbetrag und Währung,
Zeitpunkt der Transaktion, Angaben zum Zahlungsmittel sowie technische
Daten wie IP-Adresse, Geräte- und Browsermerkmale.

SEPA-Lastschrift

Bei Zahlung per SEPA-Lastschrift erteilen Sie ein
SEPA-Basislastschriftmandat zugunsten der CargoSteps GmbH & Co. KG und der
Stripe Payments Europe, Limited als unserem Zahlungsdienstleister.

Wir verarbeiten hierfür Ihren Namen, Ihre Anschrift, die letzten Stellen
der IBAN, die Mandatsreferenz sowie Datum und Zeitpunkt der
Mandatserteilung. Diese Angaben sind zur Durchführung des
Lastschriftverfahrens erforderlich und werden an Stripe sowie über die
beteiligten Zahlungsdienstleister an Ihr Kreditinstitut übermittelt.

Gläubiger-Identifikationsnummer: DE83ZZZ00001903652
(Gläubiger-Identifikationsnummer unseres Zahlungsdienstleisters Stripe,
über den die Lastschriften eingezogen werden)

Die Mandatsreferenz teilen wir Ihnen zusammen mit der Bestätigung der
Mandatserteilung mit. Vor jeder Belastung informieren wir Sie mit einer
Vorabankündigung über Betrag und Fälligkeitsdatum; die Ankündigungsfrist
ergibt sich aus unseren Allgemeinen Geschäftsbedingungen.

Sie können innerhalb von acht Wochen ab dem Belastungsdatum die Erstattung
des belasteten Betrags verlangen. Es gelten dabei die mit Ihrem
Kreditinstitut vereinbarten Bedingungen.

Abonnementverwaltung und Rechnungsdaten

Wir nutzen Stripe außerdem zur Verwaltung von Abonnements und zur
Erzeugung der Rechnungsdaten. Der Versand der Rechnungen erfolgt durch uns
selbst (Abschnitt 11).

Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO für die Abwicklung der von Ihnen beauftragten Zahlung und die Erfüllung des Nutzungsvertrags
• Art. 6 Abs. 1 lit. f DSGVO für Betrugsprävention und Risikobewertung; unser berechtigtes Interesse und das von Stripe liegen im Schutz vor missbräuchlichen Transaktionen
• Art. 6 Abs. 1 lit. c DSGVO, soweit Stripe geldwäscherechtlichen und sonstigen aufsichtsrechtlichen Pflichten unterliegt

Rolle von Stripe

Stripe verarbeitet einen Teil der Daten in unserem Auftrag, tritt daneben
aber für eigene Zwecke — insbesondere Betrugsprävention und Erfüllung
eigener regulatorischer Pflichten — als eigenständig Verantwortlicher auf.
Für diese Verarbeitung gilt die Datenschutzerklärung von Stripe:
https://stripe.com/de/privacy

Übermittlung in Drittländer

Stripe überträgt Daten auch an die Stripe, Inc. in den Vereinigten
Staaten. Grundlage sind die Standardvertragsklauseln der EU-Kommission
sowie die Zertifizierung von Stripe, Inc. unter dem EU-US Data Privacy
Framework.

10. Rechnungsstellung und gesetzliche Aufbewahrung

Rechnungen und die zugrunde liegenden Buchungsbelege bewahren wir nach
§ 147 AO und § 257 HGB auf. Die Aufbewahrungsfrist beträgt für
Buchungsbelege acht Jahre, für Handelsbücher, Inventare, Bilanzen und
Jahresabschlüsse zehn Jahre. Handels- und Geschäftsbriefe sind sechs Jahre
aufzubewahren. Die Frist beginnt jeweils mit dem Ende des Kalenderjahres,
in dem der Beleg entstanden ist.

Für diese Dauer ist die Verarbeitung nach Art. 6 Abs. 1 lit. c DSGVO auf
die Erfüllung der Aufbewahrungspflicht beschränkt.

11. E-Mail-Versand

Für den Versand von System-, Benachrichtigungs- und Rechnungs-E-Mails
nutzen wir Postmark. Betreiberin des Dienstes ist die AC PM LLC, ein
verbundenes Unternehmen der ActiveCampaign, LLC,
1 North Dearborn Street, Chicago, IL 60602, Vereinigte Staaten.

Übermittelt werden Ihre E-Mail-Adresse, der Betreff, der Inhalt der
Nachricht einschließlich etwaiger Anhänge sowie Zustellinformationen wie
Zeitpunkt und Zustellstatus.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Mit dem Anbieter besteht
ein Vertrag zur Auftragsverarbeitung.

Die Übermittlung in die Vereinigten Staaten stützen wir auf die
Zertifizierung der ActiveCampaign, LLC unter dem EU-US Data Privacy
Framework, die die AC PM LLC als erfasstes Unternehmen einschließt, sowie
auf den hierzu ergangenen Angemessenheitsbeschluss der Europäischen
Kommission vom 10. Juli 2023. Ergänzend gelten die
Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c
DSGVO.

Die Verarbeitung findet in den Vereinigten Staaten statt; eine
Speicherung innerhalb der Europäischen Union bietet der Anbieter für
diesen Dienst nicht an.

Wir messen nicht, ob und wann Sie unsere E-Mails öffnen. Zählpixel
und Link-Tracking sind deaktiviert.

Postmark speichert die Inhalte versendeter Nachrichten für einen
begrenzten Zeitraum zur Zustellkontrolle und Fehleranalyse
(standardmäßig 45 Tage) und löscht sie anschließend automatisch.

12. Mobile Anwendungen

Standortdaten. Unsere App kann den Standort des Geräts erfassen, um
Sendungspositionen zu aktualisieren. Die Erfassung erfolgt nur nach
ausdrücklicher Freigabe in den Systemeinstellungen Ihres Geräts und kann
dort jederzeit widerrufen werden. Rechtsgrundlage gegenüber uns ist die
Weisung des jeweiligen Auftraggebers; siehe Abschnitt 13.

Push-Benachrichtigungen. Zur Zustellung nutzen wir die Dienste der
Plattformbetreiber (Apple Push Notification service, Firebase Cloud
Messaging). Dabei wird ein Gerätetoken übermittelt. Sie können Push-
Benachrichtigungen in den Systemeinstellungen deaktivieren.

Analyse- oder Absturzberichte. [Anbieter benennen oder Abschnitt
streichen.]

13. Nutzung der Plattform: Verarbeitung im Auftrag

Sendungsdaten, Adressen von Versendern und Empfängern, Kontaktdaten von
Ansprechpartnern, Statusmeldungen, Fotos von Ablieferbelegen,
Unterschriften und Standortdaten verarbeiten wir auf Weisung und im
Auftrag des jeweiligen Kunden nach Art. 28 DSGVO. Wir nutzen diese Daten
nicht für eigene Zwecke, geben sie nicht an unbeteiligte Dritte weiter und
verkaufen sie nicht.

Verantwortlich für diese Verarbeitung ist das Unternehmen, das die
Daten in die Plattform eingestellt oder den Transportauftrag erteilt hat.
Von diesem Unternehmen erhalten Sie auch die Informationen nach Art. 13
und 14 DSGVO.

Standortdaten von Fahrpersonal sind besonders sensibel. Ob und in
welchem Umfang sie erhoben werden, entscheidet der jeweilige Arbeitgeber
als Verantwortlicher. Er ist auch für die arbeits- und
mitbestimmungsrechtliche Zulässigkeit verantwortlich.

Cross-Account-Sichtbarkeit. Ein Kennzeichen unserer Plattform ist,
dass mehrere beteiligte Unternehmen denselben Sendungsvorgang einsehen
können. Welches Unternehmen welche Daten sieht, steuert der jeweilige
Auftraggeber über die Freigaben in der Anwendung.

Öffentliche Sendungsverfolgung. Zu jeder Sendung kann ein Link
erzeugt werden, über den der Sendungsstatus ohne Anmeldung abrufbar ist.
Der Link enthält eine zufällig erzeugte, nicht erratbare Zeichenfolge.

Auf dieser Seite werden ausschließlich der Bestimmungsort mit
Postleitzahl, der Sendungsstatus, die Zeitpunkte der Statusänderungen und
die zugehörige Statushistorie angezeigt. Empfängernamen, Straßen und
Hausnummern werden dort nicht angezeigt, auch nicht auf der
Kartenansicht. Der Umfang dieser Anzeige ist von uns festgelegt und nicht
durch den Auftraggeber veränderbar.

Löschung. Nach Beendigung des Auftragsverhältnisses löschen wir die
Auftragsdaten oder geben sie zurück, je nach Weisung des Verantwortlichen
und vorbehaltlich gesetzlicher Aufbewahrungspflichten.

Unteraufträge. Wir setzen Unterauftragsverarbeiter ein, insbesondere
für Hosting und E-Mail-Zustellung. Eine aktuelle Übersicht stellen wir
unseren Kunden im Rahmen des Auftragsverarbeitungsvertrags zur Verfügung.

14. Keine Webanalyse

Wir setzen keine Webanalyse-, Tracking- oder Werbedienste ein. Ihr
Nutzungsverhalten auf unseren Seiten wird nicht ausgewertet und nicht an
Dritte übermittelt.

15. Kartendarstellung und Geocodierung

Anbieter beider nachfolgend beschriebener Dienste ist die Google Ireland
Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Kartendarstellung

Zur Anzeige von Karten binden wir Google Maps ein. Beim Laden der Karte
werden Ihre IP-Adresse sowie Angaben zu Browser, Betriebssystem und
Bildschirmauflösung an Google übermittelt. Google kann diese Daten mit
einem bestehenden Google-Konto verknüpfen, wenn Sie angemeldet sind.

Die Karte wird erst geladen, nachdem Sie eingewilligt haben.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25
Abs. 1 TDDDG. Ohne Einwilligung findet keine Übermittlung an Google statt.
Sie können Ihre Einwilligung jederzeit über [Link zu den Einstellungen]
mit Wirkung für die Zukunft widerrufen.

Geocodierung von Adressen

Um Sendungen auf der Karte darstellen zu können, ermitteln wir zu
Straßen- und Ortsangaben die zugehörigen geografischen Koordinaten.
Hierfür übermitteln unsere Server ausschließlich Straßenname und Ort an
einen Dienst von Google.

Wir übermitteln dabei keine personenbezogenen Daten. Namen,
Hausnummern, Firmierungen, Sendungsnummern und sonstige Angaben, die einen
Bezug zu einer bestimmten Person oder Sendung herstellen könnten, werden
nicht übertragen. Ihre IP-Adresse wird ebenfalls nicht übermittelt.

Rolle von Google

Google handelt bei der Nutzung der Google Maps Platform nicht als
Auftragsverarbeiter, sondern als eigenständig Verantwortlicher und
bestimmt Zwecke und Mittel der Verarbeitung selbst. Es gelten die
Controller-Controller-Datenschutzbestimmungen von Google:
https://business.safety.google/controllerterms/

Übermittlung in Drittländer

Google kann Daten auch an die Google LLC in den Vereinigten Staaten
übermitteln. Grundlage sind die Standardvertragsklauseln der
EU-Kommission sowie die Zertifizierung der Google LLC unter dem EU-US
Data Privacy Framework.

Weitere Informationen finden Sie in der Datenschutzerklärung von Google:
https://policies.google.com/privacy

16. Automatisierte Herabstufung bei fehlgeschlagener Zahlung

Wenn eine fällige Zahlung endgültig fehlschlägt, wird Ihr Konto
automatisiert auf den kostenlosen Tarif herabgestuft. Der Zugang zu
kostenpflichtigen Funktionen entfällt dann; Ihre Daten bleiben erhalten.

Grundlage dieser Entscheidung sind ausschließlich der Zahlungsstatus und
das erfolglose Verstreichen der [Anzahl] Zahlungsversuche. Eine Bewertung
Ihrer Person, Ihrer Bonität oder Ihres Verhaltens findet nicht statt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Soweit hierin eine
automatisierte Entscheidung im Sinne von Art. 22 DSGVO liegt, stützen wir
sie auf Art. 22 Abs. 2 lit. a DSGVO, da sie für die Durchführung des
Vertrags erforderlich ist.

Sie haben das Recht, eine Überprüfung durch einen Menschen zu
verlangen, Ihren eigenen Standpunkt darzulegen und die Entscheidung
anzufechten. Wenden Sie sich hierfür an [support@cargosteps.com]. Nach
Ausgleich des offenen Betrags wird Ihr Tarif wiederhergestellt.

17. Empfänger der Daten

Personenbezogene Daten geben wir weiter an:

• Salesforce/Heroku als Hostinganbieter
• Stripe zur Zahlungsabwicklung
• Postmark zur E-Mail-Zustellung
• Google zur Kartendarstellung und Geocodierung
• [weitere Auftragsverarbeiter ergänzen]
• Steuerberatung und Wirtschaftsprüfung im gesetzlich erforderlichen Umfang
• Behörden und Gerichte, soweit wir gesetzlich dazu verpflichtet sind
• Weitere Plattformteilnehmer, soweit der jeweilige Verantwortliche dies freigegeben hat (Abschnitt 13)

18. Übermittlung in Drittländer

Soweit Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet
werden, stützen wir dies auf einen Angemessenheitsbeschluss der
Europäischen Kommission, auf Standardvertragsklauseln nach Art. 46 Abs. 2
lit. c DSGVO oder auf eine Ausnahme nach Art. 49 DSGVO. Die betroffenen
Dienste sind in den jeweiligen Abschnitten benannt.

19. Sicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO,
um Ihre Daten gegen Verlust, Manipulation und unberechtigten Zugriff zu
schützen. Die Übertragung erfolgt durchgehend verschlüsselt über TLS.

20. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage oder
unsere Verarbeitung ändert. Es gilt jeweils die auf dieser Seite
veröffentlichte Fassung.