Datenschutzerklärung

1. Überblick und Rollen

Diese Erklärung informiert über die Verarbeitung personenbezogener Daten auf der Website dsp-codriver.de (Startseite, Hilfe-Center, Rechtstexte) und in der Plattform CoDriver (Web-App sowie Apps für iOS und Android, jeweils für Admins, Dispatcher und Fahrer).

• Wir sind Verantwortlicher für den Besuch der Website, Kontaktanfragen, die Registrierung und Verwaltung von Kundenkonten, Abrechnung und Support.
• Der jeweilige DSP (unser Kunde) ist Verantwortlicher für alle Daten, die er in der Plattform verarbeitet, zum Beispiel Daten seiner Fahrer, Bewerber, Dispatcher und Fahrzeuge. Für diese Daten handeln wir als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage unseres Auftragsverarbeitungsvertrags (AVV). Fahrer und Bewerber wenden sich mit Fragen zu ihren Daten bitte zuerst an ihren Arbeitgeber bzw. den DSP; Anfragen, die uns erreichen, leiten wir an den DSP weiter.

2. Verantwortlicher

E-Mail: info@kw-agentur.de

Ein Datenschutzbeauftragter ist nach § 38 BDSG nicht benannt, da die gesetzlichen Voraussetzungen nicht vorliegen. Datenschutzanfragen richten Sie bitte an die oben genannte E-Mail-Adresse.

3. Hosting, Server-Protokolle und Sicherheit

Website und Plattform werden bei Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) über Google Firebase und Google Cloud betrieben. Datenbank (Cloud Firestore), Dateispeicher (Cloud Storage), serverseitige Funktionen (Cloud Functions/Cloud Run) und Datensicherungen liegen in der Region europe-west3 (Frankfurt am Main). Die Auslieferung der Website erfolgt über das weltweite Content-Delivery-Netz von Firebase Hosting.

Beim Start lädt die Web-App die Programmbibliotheken von Firebase (Anmeldung, Datenbank, Dateien, Funktionen) vom Google-Server www.gstatic.com. Dabei wird Ihre IP-Adresse an Google übertragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO (Bereitstellung der Plattform).

Beim Aufruf verarbeitet der Hosting-Dienst technisch notwendige Verbindungsdaten (IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer, Browser-Kennung) in Server-Protokollen, um die Seiten auszuliefern und den Betrieb und die Sicherheit zu gewährleisten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Protokolle werden nur für einen begrenzten Zeitraum gespeichert und von uns ausschließlich zur Fehler- und Missbrauchsanalyse ausgewertet.

Mit Google besteht ein Vertrag zur Auftragsverarbeitung (Data Processing Addendum). Es ist nicht ausgeschlossen, dass Google LLC (USA) im Einzelfall Zugriff erhält; Google ist unter dem EU-US Data Privacy Framework zertifiziert, zusätzlich gelten die EU-Standardvertragsklauseln. Die Übertragung erfolgt verschlüsselt (TLS).

4. Cookies und lokale Speicherung

Wir setzen keine Tracking-, Analyse- oder Marketing-Cookies ein und binden keine Werbe- oder Analysedienste ein. Ein Einwilligungsbanner ist daher nicht erforderlich.

Technisch notwendig speichern wir Informationen im Speicher Ihres Browsers (§ 25 Abs. 2 Nr. 2 TDDDG):

• die Anmeldesitzung der Plattform (Firebase Authentication, IndexedDB/Local Storage), damit Sie angemeldet bleiben,
• Einstellungen wie die gewählte Sprache,
• nach der ersten Nutzung der App einen Merker, damit Sie beim nächsten Aufruf von dsp-codriver.de direkt zur App statt zur Startseite gelangen.

Diese Einträge werden nicht an Dritte weitergegeben. Sie können sie jederzeit über die Einstellungen Ihres Browsers löschen. Für die Apps für iOS und Android gilt Abschnitt 6.

5. Schriftarten, Kartendarstellung und Inhalte Dritter

Die Website und das Hilfe-Center verwenden ausschließlich lokal gehostete Schriftarten; es werden keine Schriftarten von Google-Servern nachgeladen. Auch die Darstellungs-Engine der Web-App wird von unserem eigenen Hosting geladen.

Die Web-App enthält ihre Schriften lokal, auch die Ersatzschriften für Zeichen, die in der Hauptschrift fehlen (zum Beispiel arabische Schrift oder Emojis). Auch diese werden von unserem Hosting geladen.

In einzelnen Bereichen der Plattform (Kartenansicht und Adresssuche bei Arbeitsorten) werden Kartenkacheln und Suchergebnisse von der OpenStreetMap Foundation (St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich) geladen; dabei werden Ihre IP-Adresse und der eingegebene Suchbegriff übermittelt. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Schulungsvideos in der Academy der Fahrer (zum Beispiel Green Book) liegen bei Google Drive (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Ein Video wird erst geladen, wenn Sie es antippen; die App weist an dieser Stelle darauf hin. Beim Abspielen werden Ihre IP-Adresse und technische Angaben zu Browser bzw. Gerät an Google übermittelt, und Google kann dabei Informationen auf Ihrem Gerät speichern. Eine Verarbeitung in den USA ist nicht ausgeschlossen; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert. Hinterlegt Ihr DSP eigene Videos bei einem anderen Anbieter, nennt die App diesen Anbieter an derselben Stelle. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung der Schulungsinhalte); der Zugriff auf Ihr Gerät erfolgt erst nach Ihrem Antippen (§ 25 Abs. 1 TDDDG).

Auf der Startseite zeigen wir freigegebene Kundenbewertungen an, die beim Seitenaufruf aus unserer eigenen Datenbank (Google Cloud Firestore, siehe Abschnitt 3) geladen werden.

6. Apps für iOS und Android

CoDriver steht zusätzlich als App für iOS und Android zur Verfügung. Die Apps greifen auf dieselbe Plattform zu wie die Web-App; für die dort verarbeiteten Daten gelten die übrigen Abschnitte dieser Erklärung, insbesondere Abschnitt 10. Kartenansichten laden wie in der Web-App Kartenkacheln von OpenStreetMap (Abschnitt 5). Schulungsvideos öffnen sich erst nach dem Antippen im In-App-Browser von Google Drive (Abschnitt 5). Schriftarten sind in den Apps enthalten und werden nicht nachgeladen.

Download über App Store und Google Play

Die Apps erhalten Sie über den App Store der Apple Distribution International Ltd. (Hollyhill Industrial Estate, Hollyhill, Cork, Irland) und über Google Play der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Beim Herunterladen verarbeiten diese Anbieter eigene Daten, etwa zu Ihrem Nutzerkonto, Ihrem Gerät und dem Zeitpunkt des Downloads, als eigenständige Verantwortliche nach ihren eigenen Datenschutzerklärungen (Apple, Google). Auf diese Verarbeitung haben wir keinen Einfluss. Je nach den Einstellungen Ihres Geräts stellen uns Apple bzw. Google zusätzlich Absturzberichte und zusammengefasste Statistiken bereit; diese nutzen wir nur zur Fehlerbehebung und ordnen sie keiner Person zu.

Berechtigungen auf Ihrem Gerät

Die Apps fragen eine Berechtigung erst an, wenn Sie eine Funktion nutzen, die sie benötigt. Sie können jede Berechtigung ablehnen und in den Einstellungen Ihres Geräts jederzeit widerrufen; dann steht nur die betreffende Funktion nicht oder eingeschränkt zur Verfügung.

• Kamera: für Fotos, die Sie selbst aufnehmen, zum Beispiel beim Fahrzeug-Check.
• Fotos und Dateien: wenn Sie Bilder oder Dokumente hochladen, etwa beim Fahrzeug-Check, in einem Unfallbericht, bei einer Abwesenheit oder für Ihre Unterlagen. Sie wählen die Dateien im Auswahldialog des Betriebssystems selbst aus; übertragen werden nur die Dateien, die Sie auswählen.
• Standort: nur während der Nutzung der App und nur, wenn Sie eine der folgenden Funktionen aufrufen. Eine Ortung im Hintergrund findet nicht statt.
  • Zeiterfassung, sofern Ihr Arbeitgeber sie nutzt: Beim Öffnen der Stempeluhr ermittelt die App Ihren Standort; beim Ein- und Ausstempeln wird damit geprüft, ob Sie sich an Ihrem Arbeitsort befinden. Gespeichert wird das Ergebnis dieser Prüfung, nicht Ihre genauen Koordinaten.
  • Unfallbericht: Wenn Sie den Unfallort über Ihren Standort eintragen, übernimmt die App Koordinaten und Adresse in das Formular; Sie können die Angabe vor dem Absenden ändern. Für die Umwandlung der Koordinaten in eine Adresse nutzt die App den Dienst des Betriebssystems; dabei werden die Koordinaten an Apple bzw. Google übermittelt.
  • Arbeitsorte (nur Admins): Beim Anlegen eines Arbeitsorts für die Zeiterfassung richtet die App die Karte auf Ihren Standort aus.

Rechtsgrundlage für den Zugriff auf Kamera, Dateien und Standort ist § 25 Abs. 2 Nr. 2 TDDDG, da er für die von Ihnen aufgerufene Funktion unbedingt erforderlich ist. Die so erfassten Fotos, Dateien und Angaben verarbeiten wir im Auftrag Ihres Arbeitgebers bzw. des DSP (Abschnitt 10).

Speicherung auf dem Gerät

Wie im Browser (Abschnitt 4) speichern die Apps technisch notwendige Informationen im Speicher der App auf Ihrem Gerät (§ 25 Abs. 2 Nr. 2 TDDDG): Ihre Anmeldung, damit Sie angemeldet bleiben oder zwischen verknüpften Stationskonten wechseln können, sowie Einstellungen und Merker wie die gewählte Sprache. Diese Daten werden nicht an Dritte weitergegeben. Sie entfernen sie, indem Sie sich abmelden und die App löschen.

Kein Tracking, keine Werbung

Die Apps enthalten keine Analyse-, Tracking- oder Werbedienste. Sie lesen keine Werbe-ID aus und verfolgen Ihre Nutzung nicht über Apps und Websites anderer Anbieter hinweg. Push-Benachrichtigungen versenden die Apps derzeit nicht.

Konto löschen

In der App können Sie unter Profil > „Konto löschen“ die Löschung Ihres Kontos beantragen. Alle Wege, Zuständigkeiten und Fristen beschreibt die Seite Konto löschen.

7. Kontakt, Support und Community

Wenn Sie uns per E-Mail, Telefon oder über die Feedback- und Ticketfunktion der App kontaktieren, verarbeiten wir Ihre Angaben (z. B. Name, E-Mail-Adresse, Nachricht, ggf. Screenshots) zur Bearbeitung Ihres Anliegens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, sofern Ihre Anfrage mit einem Vertrag zusammenhängt, ansonsten Art. 6 Abs. 1 lit. f DSGVO. Wir löschen die Daten, wenn das Anliegen abschließend bearbeitet ist und keine Aufbewahrungspflichten bestehen.

Die Teilnahme an unserer WhatsApp-Community ist freiwillig. Dort gelten die Bedingungen und die Datenschutzerklärung der WhatsApp Ireland Limited; Ihre Telefonnummer und Ihr Profil sind für andere Mitglieder der Gruppe sichtbar. Bitte teilen Sie dort keine personenbezogenen Daten Ihrer Fahrer.

8. Registrierung, Testphase und Kundenkonto

Für die Registrierung und die 30-tägige Testphase verarbeiten wir die Angaben zum Unternehmen und zur Ansprechperson (Firma, Name, E-Mail-Adresse, Telefonnummer, Stationen) sowie Zugangsdaten. Passwörter werden von Firebase Authentication ausschließlich als Hash gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung und -durchführung). Für die Testphase sind keine Zahlungsdaten erforderlich.

Die Daten speichern wir für die Dauer des Vertragsverhältnisses. Nach Vertragsende löschen wir sie, soweit keine gesetzlichen Aufbewahrungspflichten bestehen (insbesondere § 147 AO und § 257 HGB: Rechnungen und Buchungsbelege bis zu zehn Jahre).

9. Zahlungsabwicklung über Mollie

Kostenpflichtige Tarife rechnen wir über den Zahlungsdienstleister Mollie B.V. (Keizersgracht 126, 1015 CW Amsterdam, Niederlande) ab. Dafür werden Firma, Name, Rechnungsadresse, E-Mail-Adresse, Rechnungsbetrag und die gewählten Zahlungsdaten an Mollie übermittelt. Mollie verarbeitet Zahlungsdaten als eigenständiger Verantwortlicher im Rahmen seiner zahlungsdiensterechtlichen Pflichten; Zahlungsdaten wie Kartennummern speichern wir nicht selbst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und c DSGVO. Weitere Informationen: Datenschutzerklärung von Mollie.

10. Verarbeitung in der Plattform im Auftrag der DSPs

In der Plattform verarbeiten die DSPs Daten ihrer Beschäftigten und Bewerber sowie ihrer Fahrzeuge. Verantwortlicher ist der jeweilige DSP; wir verarbeiten diese Daten ausschließlich nach seiner Weisung (siehe AVV). Typische Datenkategorien sind:

• Stamm- und Kontaktdaten von Fahrern, Dispatchern und Bewerbern, Bewerbungsangaben und -unterlagen,
• Dokumente wie Führerschein, Aufenthaltstitel bzw. Arbeitserlaubnis und Verträge einschließlich Ablaufdaten für Erinnerungen,
• Schicht-, Wellen- und Monatspläne, Abwesenheiten, Urlaubs- und Zeitkonten,
• Leistungs- und Qualitätskennzahlen aus Amazon-Scorecards, Aufgaben, Bestätigungen und Aufforderungen,
• Schulungs- und Unterweisungsnachweise,
• Fahrzeugdaten, Fahrzeug-Checks mit Fotos, Unfall- und Schadensberichte,
• Telematikdaten (Standort, Kilometerstand, Fehlercodes, Ladezustand, Fahr-Ereignisse wie starkes Bremsen), die dem Fahrer des Tages über den Fahrzeug-Check zugeordnet werden,
• Login- und Zeiterfassungsdaten aus angebundenen HR-Systemen.

Die Rechtsgrundlage für diese Verarbeitung (z. B. Art. 6 Abs. 1 lit. b, c oder f DSGVO, Art. 88 DSGVO i. V. m. den einschlägigen Vorschriften des Beschäftigtendatenschutzes), die Information der Beschäftigten und – wo vorhanden – die Beteiligung des Betriebsrats liegen in der Verantwortung des DSP.

11. KI-gestützte Funktionen

Einige Funktionen nutzen KI-Modelle von Google, die ausschließlich in der EU verarbeitet werden:

• Vertex AI (Gemini), Region europe-west3 Frankfurt: Auswertung der Fotos von Fahrzeug-Checks (z. B. Schäden, Fotoqualität), Auslesen von Forecast-Screenshots und Serviceberichten, Wissens-Assistent zu Leasing-Fragen.
• Document AI, Region EU: Auslesen von Fahrzeugscheinen.
• Cloud Translation: Übersetzung von Texten im FAQ-Bereich in die Sprachen der Fahrer.

Nach den Vertragsbedingungen von Google Cloud werden die übermittelten Inhalte nicht zum Training der Modelle verwendet. Die Ergebnisse sind Vorschläge, die von Menschen geprüft werden; es findet keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO statt.

12. Schnittstellen zu Systemen der Kunden

Auf Veranlassung des jeweiligen DSP verbindet sich CoDriver mit Systemen, für die der DSP einen eigenen Vertrag hat. CoDriver ruft dort Daten ab bzw. versendet Nachrichten im Auftrag des DSP:

• Kenjo (HR-Software): Mitarbeiter, Login-/Stempelzeiten, Soll-Zeiten,
• Geotab und Samsara (Telematik): Fahrzeugwerte, Standort, Fehlercodes, Fahr-Ereignisse,
• E-Mail-Versand über den vom DSP hinterlegten SMTP-Server (z. B. Benachrichtigungen, tägliche Warnungs-Mail),
• Twilio (SMS/WhatsApp), sofern der DSP ein eigenes Konto hinterlegt hat,
• Slack (Team-Chat): Meldungen in die vom DSP verbundenen Slack-Kanäle, z. B. fehlende oder zu frühe Kenjo-Logins, Fahrer mit Scorecard-Stufe Poor oder Fair und Telematik-Warnungen. Die Meldungen enthalten Fahrernamen bzw. Kennzeichen. Slack verarbeitet die Nachrichten auch in den USA.

Die Zugangsdaten zu diesen Systemen werden zusätzlich verschlüsselt gespeichert und verlassen den Server nicht. Für die Verarbeitung durch diese Anbieter ist der DSP mit seinem jeweiligen Vertragspartner verantwortlich.

13. Empfänger und Drittlandübermittlungen

Eine Weitergabe an sonstige Dritte erfolgt nur, wenn wir gesetzlich dazu verpflichtet sind oder Sie eingewilligt haben.

14. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen. In der Plattform gelten zusätzlich folgende Fristen:

• Fahr-Ereignisse der Telematik: Löschung nach 12 Monaten,
• Datensicherungen: rollierend 30 Tage,
• gelöschte Fahrer: zunächst als gelöscht markiert; nach 180 Tagen (sofern der DSP keine andere Frist festlegt) werden Login, Stammdaten, hochgeladene Dokumente, Profilfoto und Unfallfotos endgültig entfernt. Einträge in Plänen, Zeiterfassung und Auswertungen bleiben beim DSP, solange er sie für Abrechnung und gesetzliche Pflichten benötigt, und werden spätestens nach Vertragsende gelöscht,
• gelöschte Fahrzeuge: endgültige Entfernung nach 7 Tagen,
• nach Vertragsende: 30 Tage Möglichkeit zum Datenexport, danach Löschung gemäß AVV.

15. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein, unter anderem: Verschlüsselung aller Verbindungen (TLS) und der gespeicherten Daten, zusätzliche Verschlüsselung von Zugangsdaten zu Drittsystemen, strikte Trennung der Daten je DSP über serverseitige Zugriffsregeln, Rollen- und Rechtekonzept (Admin, Dispatcher, Fahrer), tägliche Datensicherungen in der EU, Protokollierung sicherheitsrelevanter Vorgänge und Löschroutinen. Details enthält Anlage 2 des AVV.

16. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3). Wenden Sie sich dazu an info@kw-agentur.de. Wie Sie die Löschung Ihres Kontos beantragen, beschreibt die Seite Konto löschen.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.

Betreffen Ihre Rechte Daten, die ein DSP in der Plattform verarbeitet, ist der DSP Ihr Ansprechpartner; wir unterstützen ihn dabei.

17. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

18. Pflicht zur Bereitstellung, Änderungen

Für den Besuch der Website müssen Sie keine personenbezogenen Daten angeben; technisch notwendige Verbindungsdaten fallen jedoch an. Für die Nutzung der Plattform sind die zur Anmeldung erforderlichen Angaben nötig.

Wir passen diese Erklärung an, wenn sich Funktionen oder Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.