Datenschutzerklärung

1. Verantwortlicher und Geltungsbereich

Diese Datenschutzerklärung gilt für KDFahrzeugmanager einschließlich KdCrossUploader und KdElsaUploader unter der jeweiligen Adresse der Anwendung (https://kdfahrzeugmanager.de). Sie umfasst Website, Plattform und die jeweils genutzten Zusatzfunktionen.

Bei einer ausschließlich lokal beim Kunden betriebenen Installation erhält cadma solutions nicht bereits durch die Bereitstellung der Software Zugriff auf sämtliche Nutzdaten. Hosting, Synchronisierung, Schnittstellen und ein ausdrücklich beauftragter Support können dagegen eine Verarbeitung durch uns oder weitere Empfänger auslösen.

2. Rollen, Zwecke und Rechtsgrundlagen

Für unsere Website, Anfragen, Vertragsverwaltung, Abrechnung und eigene Sicherheitsmaßnahmen handeln wir als Verantwortlicher. Vorvertragliche Anfragen und die Erfüllung eines Vertrags mit einer natürlichen Person beruhen auf Art. 6 Abs. 1 lit. b DSGVO. Die Kommunikation mit Beschäftigten unserer Geschäftskunden und die Sicherung unseres Angebots stützen wir auf Art. 6 Abs. 1 lit. f DSGVO; unsere Interessen sind die Bearbeitung geschäftlicher Anliegen sowie ein zuverlässiger, gegen Missbrauch geschützter Betrieb. Gesetzliche Aufbewahrungspflichten beruhen auf Art. 6 Abs. 1 lit. c DSGVO. Soweit eine Einwilligung erforderlich ist, gilt Art. 6 Abs. 1 lit. a DSGVO.

Für personenbezogene Fach- und Beschäftigtendaten, die unsere Kunden in die Produkte einstellen oder importieren, ist regelmäßig der jeweilige Kunde verantwortlich. Soweit wir diese Daten für ihn verarbeiten, handeln wir weisungsgebunden als Auftragsverarbeiter. Unser Softwarevertrag ersetzt die Rechtsgrundlage des Kunden gegenüber seinen Beschäftigten, Kunden oder anderen betroffenen Personen nicht. Er bestimmt insbesondere Zwecke, Berechtigungen, Empfänger und Löschfristen und erfüllt seine Informationspflichten nach Art. 13 und 14 DSGVO.

Beschäftigtendaten erfordern eine im Einzelfall passende Grundlage, insbesondere § 26 BDSG und Art. 88 DSGVO. Krankheitsangaben sind Gesundheitsdaten nach Art. 9 DSGVO. Ihre Verarbeitung setzt zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO voraus, insbesondere im Zusammenhang mit § 26 Abs. 3 BDSG. Diagnosen und andere nicht erforderliche Gesundheitsangaben sollen nicht in Freitextfelder eingetragen werden. Freiwilligkeit und Wirksamkeit einer Einwilligung sind gesondert zu prüfen.

3. Ihre Rechte

Unter den gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Sie können einer Verarbeitung nach Art. 6 Abs. 1 lit. f DSGVO aus Gründen Ihrer besonderen Situation widersprechen. Einer Verarbeitung für Direktwerbung können Sie jederzeit widersprechen. Eine erteilte Einwilligung können Sie mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der vorherigen Verarbeitung bleibt unberührt.

Bitte wenden Sie sich an info@cadma-solutions.de. Betrifft die Anfrage Daten eines unserer Kunden, leiten wir sie an den zuständigen Verantwortlichen weiter und unterstützen ihn nach dem AVV. Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen oder bei der Behörde Ihres Aufenthalts- oder Arbeitsortes.

Die für einen Vertrag bzw. die gewünschte Funktion erforderlichen Pflichtangaben sind bereitzustellen; ohne sie können wir die betreffende Leistung nicht erbringen. Freiwillige Angaben sind nicht verpflichtend. Wir treffen im Rahmen der hier beschriebenen eigenen Website- und Vertragsverarbeitung keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung nach Art. 22 DSGVO.

4. Website, Kontakt und Browserspeicher

4.1 Technische Verbindungs- und Protokolldaten

Beim Abruf einer Seite oder Datei, auch eines direkt verlinkten Videos, werden insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse, übertragene Datenmenge, Status und Browserinformationen technisch verarbeitet. Protokolle dienen der Bereitstellung, Fehleranalyse und Missbrauchsabwehr auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Eine pauschale Anonymisierung nach sieben Tagen wird nicht zugesichert. Umfang, Anonymisierung und Rotation richten sich nach dem eingesetzten Hostingdienst und dem dokumentierten betrieblichen Löschkonzept; bei einem konkreten Sicherheitsvorfall können erforderliche Nachweise bis zur Klärung gesondert gesichert werden.

4.2 Kontakt und Vertragskommunikation

Bei einer Anfrage verarbeiten wir die übermittelten Kontakt- und Inhaltsdaten einschließlich erforderlicher Anhänge zur Bearbeitung Ihres Anliegens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b oder f DSGVO entsprechend Abschnitt 2. Erforderliche Vertrags-, Rechnungs- und Kommunikationsdaten können zusätzlich gesetzlichen Aufbewahrungspflichten unterliegen. Bitte übermitteln Sie keine unnötigen personenbezogenen Kundendaten oder Zugangsschlüssel.

4.3 Cookies und lokaler Speicher

Die Anwendung verwendet das Sitzungscookie kdfahrzeugmanager-session und XSRF-TOKEN für Sitzungsverwaltung und CSRF-Schutz. Die Sitzung ist für 120 Minuten Inaktivität konfiguriert; bei entsprechender Einstellung endet sie beim Schließen des Browsers. Die freiwillig gewählte Funktion „Angemeldet bleiben“ kann ein länger bestehendes Anmeldecookie setzen. Anzeigeeinstellungen und Funktionen wie die lokale FIN-Erkennung können zusätzlich Browserspeicher nutzen. Sie können diese Daten über Ihren Browser löschen; dann sind gegebenenfalls eine erneute Anmeldung oder Einstellung erforderlich. In dieser Anwendung sind keine eigenen Werbe- oder Trackingpixel vorgesehen.

Für einen ausdrücklich gewünschten Dienst unbedingt erforderliche Zugriffe auf das Endgerät fallen unter § 25 Abs. 2 Nr. 2 TDDDG. Andere Speicherzugriffe setzen grundsätzlich eine Einwilligung nach § 25 Abs. 1 TDDDG voraus. Die anschließende Verarbeitung personenbezogener Daten benötigt zusätzlich eine Grundlage nach der DSGVO. Ein Hinweisbanner allein macht eine nicht erforderliche Verarbeitung nicht zulässig.

4.4 Externe Ressourcen und Links

Ein bloßer Link auf ein anderes Produkt oder einen externen Anbieter löst noch keine Weitergabe aller dort verwalteten Fachinformationen aus. Beim Öffnen gelten die Hinweise des Zielangebots. Werden Ressourcen dagegen direkt vom Browser von einem externen Dienst geladen, erhält dieser mindestens die für den Abruf erforderlichen Verbindungsdaten. Eine solche Einbindung ist von einem bloßen Link zu unterscheiden.

5. Plattform, Personen und Datenquellen

KDFahrzeugmanager, KdCrossUploader und KdElsaUploader

Zur Bestandssteuerung, Pflege, Auslieferung, Aufbereitung, Werkstatt- und Jahresabschlussarbeit werden Nutzer- und Firmendaten, FIN, Kennzeichen, Fahrzeug- und Standortangaben, Kunden- und Kontaktdaten, Vertrags- und Bewertungsangaben, Termine, Aufgaben, Fotos, Notizen, Unterschriftsbilder und Bearbeitungsnachweise verarbeitet. Die Teamplanung verarbeitet außerdem Abwesenheiten; die Kennzeichnung „Krankheit“ kann Gesundheitsdaten betreffen. Die Anwendung ist herstellerunabhängig; eine TSQ-Dokumentation ist nur einer der möglichen Zwecke.

KdCrossUploader übernimmt bei Freischaltung ausgewählte CROSS-Kunden-, Fahrzeug-, Bestands- und Verkaufsdaten. KdElsaUploader bzw. der manuelle ELSA-Upload verarbeitet Original-PDFs, darin enthaltene Personenangaben, Prüfpunkte, Vorschaubilder, Bearbeitungswerte und Versionen. Die ELSA-PDF-Analyse erfolgt auf dem Anwendungsserver und verwendet dafür keinen externen KI-Dienst. Eine aktivierte CADMA-Verbindung kann Fotos und Dateiinformationen übertragen; die Verbindung zum KDFahrdienstplaner kann Fahrer-, Kunden-, Fahrzeug- und Termindaten austauschen. Eigene Webhooks und Exporte gehen an die vom Kunden eingerichteten Empfänger.

Im angemeldeten Bereich werden Diagrammressourcen von jsDelivr geladen; der optionale FIN-Kamerascanner lädt über Tesseract.js ebenfalls Erkennungsressourcen von diesem CDN. Dabei fallen Verbindungsdaten beim CDN an. Die FIN-Erkennung selbst erfolgt im Browser; eine Übertragung der Kamerabilder an jsDelivr ist dafür nicht vorgesehen. Weitere Angaben enthalten die produktspezifischen Datenschutzhinweise.

Betroffen sind Nutzer, Beschäftigte, Fahrer, Prüfer und Unterzeichnende, Kunden, Interessenten, Vorbesitzer und weitere in Dokumenten oder Vorgängen genannte Personen. Daten stammen von Ihnen, dem jeweiligen Verantwortlichen und dessen angebundenen Quellsystemen sowie aus den bei Nutzung entstehenden Ereignissen. Firmenzuordnung, Rollen, Gruppenrichtlinien und persönliche Rechte begrenzen die Sichtbarkeit.

Sicherheits- und Auditprotokolle können insbesondere Benutzerzuordnung, IP-Adresse, Zeitpunkt, Aktion, betroffenen Vorgang und erforderliche Änderungsangaben enthalten. Es wird keine lückenlose Protokollierung jeder Aktion zugesichert. Die Aufbewahrung richtet sich nach dem jeweiligen Sicherheits-, Nachweis- und Löschzweck; nicht jeder Audit-Eintrag ist ein steuerlich zehn Jahre aufzubewahrender Beleg.

Benachrichtigungs-E-Mails betreffen insbesondere Aktivierung, Passwortzurücksetzung und betriebliche Erinnerungen. Empfänger sind die jeweils betroffenen oder vom Verantwortlichen bestimmten Nutzer. Eine Bildschirmauswertung, die FIN-Erkennung oder ein vorgeschlagener betrieblicher Risikowert ist keine automatische Entscheidung über eine Person nach Art. 22 DSGVO.

Externe Diagramm- und OCR-Ressourcen

Für Diagramme wird Chart.js im angemeldeten Bereich von cdn.jsdelivr.net geladen. Bei Nutzung des optionalen FIN-Kamerascanners lädt Tesseract.js ebenfalls Erkennungsressourcen von diesem CDN. Dabei verarbeitet das CDN insbesondere Ihre IP-Adresse, Abrufzeit, Ressourcenadresse und erforderliche Browser-/Verbindungsinformationen. Die FIN-Erkennung erfolgt im Browser; die Kamerabilder werden dafür nicht an das CDN gesendet. Die Kamera wird erst nach Ihrer Browserfreigabe verwendet. Die Bereitstellung der Ressourcen dient der gewählten Anwendungsfunktion auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, soweit die Voraussetzungen einschließlich der Interessenabwägung erfüllt sind. Einzelheiten zum Anbieter enthält die jsDelivr-Datenschutzerklärung. Ein deutsches Anwendungs-Hosting schließt die Nutzung internationaler CDN-Infrastruktur nicht aus.

6. Hosting, E-Mail und weitere Empfänger

Die bisher für die Bereitstellung benannten Infrastrukturdienste sind nachfolgend aufgeführt. Die für den einzelnen Auftrag tatsächlich eingesetzten Dienste, Leistungen und Verarbeitungsorte sind in der aktuellen Unterauftragnehmeranlage verbindlich zu konkretisieren. Eigene Installationen des Kunden können davon abweichen.

Ein Infrastrukturanbieter wird als Auftragsverarbeiter eingesetzt, soweit er personenbezogene Daten weisungsgebunden verarbeitet; hierfür ist ein Vertrag nach Art. 28 DSGVO erforderlich. Ein abgeschlossener Vertrag, eine bestimmte Zertifizierung oder ein konkreter Serverstandort wird nicht allein durch diese öffentliche Nennung nachgewiesen. Zahlungsdienste werden hier nicht als tatsächlich angebunden oder PCI-DSS-zertifiziert dargestellt, solange kein konkreter Dienst für das jeweilige Produkt benannt ist.

Weitere Empfänger können berechtigte Kundenadministratoren, vom Kunden aktivierte Integrationspartner und aufgrund gesetzlicher Pflichten zuständige Stellen sein. Ein Social-Login-Anbieter oder CDN ist hinsichtlich seiner konkreten Rolle gesondert zu beurteilen und nicht automatisch ein für sämtliche Fachinhalte eingesetzter Unterauftragsverarbeiter.

7. Drittlandübermittlungen

Ein Hostingstandort in Deutschland schließt weitere Auslandsverarbeitungen durch Social-Login, CDN, Support oder kundenseitig konfigurierte Schnittstellen nicht aus. Ob Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden, ist für den konkreten Empfänger und dessen Leistung zu prüfen. Für Übermittlungen müssen die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sein, etwa ein einschlägiger Angemessenheitsbeschluss oder geeignete Garantien einschließlich der erforderlichen zusätzlichen Prüfung und Schutzmaßnahmen.

Eine Einwilligung durch bloßes Öffnen einer Funktion wird nicht als allgemeine Übermittlungsgrundlage nach Art. 49 DSGVO behandelt. Informationen zu den für die konkrete Bereitstellung eingesetzten Empfängern, Verarbeitungsorten und gegebenenfalls einschlägigen Garantien können über unseren Datenschutzkontakt angefordert werden.

8. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur, solange sie für den jeweiligen Zweck, eine rechtliche Verpflichtung oder die erforderliche Geltendmachung bzw. Abwehr von Ansprüchen benötigt werden. Auftragsdaten werden nach den dokumentierten Weisungen und dem vereinbarten Löschkonzept des Kunden zurückgegeben oder gelöscht. Eine Deaktivierung eines Moduls oder Nutzerzugangs bedeutet noch keine Löschung aller zugehörigen Inhalte.

Eine automatische Löschung sämtlicher Daten oder Sicherungskopien nach 30 Tagen wird nicht allgemein zugesichert. Gesperrte Daten in Sicherungen dürfen nicht für andere Zwecke verwendet werden. Bei einer Wiederherstellung sind bereits erteilte Löschweisungen erneut umzusetzen.

9. Vertragsunterlagen und Änderungen

Die Auftragsverarbeitung wird im AVV und den vereinbarten TOMs konkretisiert. Für Ihre Fragen erreichen Sie uns über den oben genannten Datenschutzkontakt. Eine neue öffentliche Fassung ersetzt bestehende Verträge oder historische Modulnachweise nicht rückwirkend. Wesentliche Änderungen der Verarbeitungen erfordern aktualisierte Hinweise.