Der Schutz deiner personenbezogenen Daten ist uns wichtig. Nachfolgend informieren wir dich darüber, welche personenbezogenen Daten wir im Zusammenhang mit unserer Website (velotakt.com), dem Werkstatt-Cockpit von velotakt und der Kommunikation mit dir verarbeiten, zu welchen Zwecken und auf welcher Rechtsgrundlage dies geschieht sowie welche Rechte dir zustehen. Grundlage ist insbesondere die Datenschutz-Grundverordnung (DSGVO) sowie das Bundesdatenschutzgesetz (BDSG) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).
1. Verantwortlicher und Kontakt
Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die Verarbeitung im eigenen Namen (siehe zur Abgrenzung Ziffer 2) ist:
Timm Ehlbeck
Willy-Brandt-Allee 31
23554 Lübeck
Deutschland
E-Mail: mail@velotakt.com
Weitere Angaben findest du in unserem Impressum. Für Anfragen rund um den Datenschutz kannst du dich auch über unser Kontaktformular an uns wenden.
Datenschutzbeauftragter
Ein Datenschutzbeauftragter ist gesetzlich derzeit nicht verpflichtend zu bestellen. [Angabe ergänzen: „Ein Datenschutzbeauftragter wurde nicht bestellt." oder Name und Kontaktdaten des bestellten Datenschutzbeauftragten.]
2. Überblick und Doppelrolle: Verantwortlicher und Auftragsverarbeiter
velotakt ist eine Software-as-a-Service-Lösung – ein „Werkstatt-Cockpit für Fahrradläden". Über velotakt können Fahrradwerkstätten unter anderem Online-Terminbuchung, Dienstplan, Checklisten, TSE-Kasse, Rechnungen, Verleih und ein Kundenportal abbilden. Die Server stehen in Deutschland, die Verarbeitung erfolgt DSGVO-konform; wir setzen keine externen Tracker ein.
Datenschutzrechtlich nehmen wir dabei zwei unterschiedliche Rollen ein. Es ist wichtig, diese auseinanderzuhalten, weil sich danach richtet, wer Verantwortlicher ist und welche Datenschutzerklärung für dich gilt:
(a) velotakt als Verantwortlicher. Für unsere eigene Website (velotakt.com, Marketing- und Informationsseiten), das Kontaktformular sowie die Anlage und Verwaltung von Werkstatt-Accounts sind wir selbst Verantwortlicher im Sinne der DSGVO. Für diese Verarbeitungen gilt die vorliegende Datenschutzerklärung.
(b) velotakt als Auftragsverarbeiter. Soweit eine Werkstatt das Cockpit nutzt, um Termin- und Kundendaten ihrer eigenen Endkund:innen zu verarbeiten (z. B. Buchungen, Kundendaten, Belege), verarbeiten wir diese Daten im Auftrag und nach Weisung der jeweiligen Werkstatt. Verantwortliche im datenschutzrechtlichen Sinne ist dann die Werkstatt; velotakt ist Auftragsverarbeiter (Art. 28 DSGVO). Für diese Endkund:innen-Daten gilt die Datenschutzerklärung der jeweiligen Werkstatt, nicht die vorliegende Erklärung.
Die nachfolgenden Ziffern 3 bis 7 betreffen im Wesentlichen die Verarbeitungen, für die velotakt selbst Verantwortlicher ist. Ziffer 8 erläutert unsere Rolle als Auftragsverarbeiter der Werkstätten.
3. Verarbeitung beim Besuch der Website (Server-Logfiles)
Bei jedem Aufruf unserer Website werden durch den Server automatisch Informationen erfasst, die dein Browser übermittelt. Dies sind technisch notwendige Zugriffsdaten, die in sogenannten Server-Logfiles gespeichert werden. Erfasst werden insbesondere:
- die (ggf. gekürzte) IP-Adresse des anfragenden Geräts [Kürzung/anonymisierte Speicherung bestätigen bzw. ergänzen]
- Datum und Uhrzeit des Zugriffs (Zeitstempel)
- die angefragte Seite bzw. Datei sowie der Zugriffsstatus
- [weitere Log-Details ergänzen, z. B. übertragene Datenmenge, Referrer-URL, Browsertyp/-version, Betriebssystem]
Die Verarbeitung dieser Daten ist erforderlich, um die Auslieferung der Website technisch zu ermöglichen, die Systemsicherheit und Stabilität zu gewährleisten sowie missbräuchliche Zugriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und funktionsfähigen Betrieb der Website).
Speicherdauer: Die Logfiles werden für [Speicherdauer der Server-Logfiles ergänzen, z. B. 7/14/30 Tage] gespeichert und anschließend gelöscht oder anonymisiert, sofern sie nicht ausnahmsweise zur Aufklärung eines konkreten sicherheitsrelevanten Vorfalls länger benötigt werden.
4. Cookies und lokale Speicher
Wir setzen ausschließlich technisch notwendige Cookies bzw. vergleichbare Speichertechnologien ein. Dazu zählen insbesondere ein Session-Cookie zur Aufrechterhaltung der Sitzung sowie ein Token zum Schutz vor Cross-Site-Request-Forgery (CSRF-/XSRF-Token). Diese sind erforderlich, damit die Website und – nach Anmeldung – das Cockpit technisch funktionieren.
Ein Tracking durch Dritte findet nicht statt; wir verwenden keine Analyse-, Statistik- oder Marketing-Cookies. Das Speichern der genannten Informationen auf deinem Endgerät ist für die Erbringung des von dir ausdrücklich gewünschten Dienstes unbedingt erforderlich, sodass keine Einwilligung erforderlich ist. Rechtsgrundlage für die Speicherung bzw. den Zugriff auf Endeinrichtungen ist § 25 Abs. 2 Nr. 2 TDDDG; die anschließende Verarbeitung der Daten stützen wir auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am technisch fehlerfreien und sicheren Betrieb).
5. Schriftarten (Fonts)
Zur einheitlichen Darstellung binden wir Schriftarten über den Dienst bunny.net (betrieben von der BunnyWay d.o.o., Slowenien) ein. bunny.net stellt einen datenschutzfreundlichen Spiegel der Google Fonts bereit und protokolliert nach eigener Aussage keine personenbezogenen Daten der Websitebesucher:innen zu Werbe- oder Trackingzwecken. Zur Auslieferung der Schriften wird technisch bedingt die IP-Adresse deines Geräts verarbeitet.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren, schnellen und einheitlichen Darstellung unserer Website). bunny.net wird als Empfangs- bzw. Dienstleister tätig [prüfen und ergänzen: ob und in welcher Form ein AVV nach Art. 28 DSGVO bzw. eine sonstige vertragliche Grundlage besteht].
6. Kontaktaufnahme (Kontaktformular und E-Mail)
Wenn du uns über das Kontaktformular oder per E-Mail kontaktierst, verarbeiten wir die von dir angegebenen Daten – insbesondere Name, E-Mail-Adresse und den Inhalt deiner Nachricht – um deine Anfrage zu bearbeiten und zu beantworten. Über das Kontaktformular eingegebene Angaben werden zu diesem Zweck per E-Mail an uns übermittelt.
Rechtsgrundlage ist – sofern deine Anfrage auf den Abschluss oder die Durchführung eines Vertrags gerichtet ist – Art. 6 Abs. 1 lit. b DSGVO, im Übrigen unser berechtigtes Interesse an der Beantwortung von Anfragen gemäß Art. 6 Abs. 1 lit. f DSGVO. Die Daten werden gelöscht, sobald die Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen (siehe Ziffer 11).
7. Werkstatt-Accounts (Registrierung und Nutzung des Cockpits)
Wenn du für eine Werkstatt einen Account bei velotakt anlegst und das Cockpit nutzt, verarbeiten wir die zur Bereitstellung des Nutzerkontos erforderlichen Daten. Dazu gehören insbesondere:
- Name der Ansprechperson und E-Mail-Adresse
- Zugangsdaten (z. B. Passwort in verschlüsselter/gehashter Form)
- Nutzungs- und Protokolldaten zur Bereitstellung, Absicherung und Abrechnung des Dienstes
- [ggf. weitere Bestands-/Vertragsdaten der Werkstatt ergänzen, z. B. Firmierung, Anschrift, Zahlungsdaten]
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Begründung und Durchführung des Nutzungsverhältnisses) sowie Art. 6 Abs. 1 lit. f DSGVO hinsichtlich der Absicherung und Weiterentwicklung des Dienstes. Soweit wir zur Aufbewahrung gesetzlich verpflichtet sind, gilt zusätzlich Art. 6 Abs. 1 lit. c DSGVO.
8. Verarbeitung im Auftrag der Werkstatt (Buchungs- und Kundendaten)
Nutzt eine Werkstatt das Cockpit, um Termine, Kund:innen und Belege zu verwalten, verarbeitet velotakt die dabei anfallenden personenbezogenen Daten der Endkund:innen ausschließlich im Auftrag und nach Weisung der jeweiligen Werkstatt (Art. 28 DSGVO). Verantwortliche im Sinne der DSGVO ist in diesem Fall die Werkstatt.
Im Auftrag der Werkstatt können insbesondere folgende Endkund:innen-Daten verarbeitet werden:
- Name, E-Mail-Adresse und Telefonnummer
- Angaben zum Fahrrad (Typ, Modell) sowie das Anliegen bzw. die Beschreibung
- Termindaten (Datum, Uhrzeit, Status der Buchung)
- Belege und Rechnungen im Zusammenhang mit der Werkstattleistung
Wenn du als Endkund:in einen Termin bei einer Werkstatt buchst oder deren Kundenportal nutzt, ist für die Verarbeitung deiner Daten die jeweilige Werkstatt verantwortlich. Bitte wende dich für Auskünfte und zur Ausübung deiner Betroffenenrechte an diese Werkstatt und beachte deren Datenschutzerklärung. velotakt handelt insoweit ausschließlich weisungsgebunden auf Grundlage eines Auftragsverarbeitungsvertrags.
9. Empfänger und Auftragsverarbeiter
Zur Erbringung unserer Leistungen setzen wir sorgfältig ausgewählte Dienstleister ein, die für uns personenbezogene Daten verarbeiten. Mit diesen bestehen, soweit erforderlich, Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Eine Weitergabe an Dritte zu deren eigenen Zwecken findet nicht statt.
Hosting
Unsere Website und das Cockpit werden bei der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland, betrieben. Die Server stehen in Deutschland. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Der Dienstleister verarbeitet die Daten ausschließlich zur Bereitstellung und Absicherung des Betriebs.
E-Mail-Versand
Für den Versand von E-Mails (z. B. Bestätigungs-, Erinnerungs- und Systemnachrichten) nutzen wir einen SMTP-Dienstleister. Der Versand erfolgt technisch über mail.lieblingsplatz.app; Betreiber und Auftragsverarbeiter ist [Name und Anschrift des tatsächlichen Betreibers des Mail-/SMTP-Dienstes ergänzen – AVV nach Art. 28 DSGVO]. Übermittelt werden dabei die für den Versand erforderlichen Daten (z. B. Empfängeradresse und Inhalt der Nachricht).
Schriftarten
Für die Bereitstellung der Schriftarten setzen wir bunny.net (BunnyWay d.o.o., Slowenien) ein (siehe Ziffer 5) [Rechtsgrundlage/AVV bestätigen].
[Weitere Empfänger/Auftragsverarbeiter ergänzen, falls zutreffend, z. B. Zahlungsdienstleister, Fehler-/Monitoring-Dienste, Backup-Anbieter.]
10. Übermittlung in Drittländer
Eine Verarbeitung deiner Daten in einem Land außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums (Drittland) findet grundsätzlich nicht statt. Sofern im Einzelfall doch eine Übermittlung in ein Drittland erfolgt (z. B. bei einzelnen Dienstleistern), geschieht dies nur beim Vorliegen der gesetzlichen Voraussetzungen, insbesondere auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission oder geeigneter Garantien wie den EU-Standardvertragsklauseln (SCC) nach Art. 46 DSGVO.
[Prüfen und konkretisieren: Ob und bei welchen der unter Ziffer 9 genannten Dienstleister (z. B. Fonts, E-Mail-Versand) eine Drittlandübermittlung erfolgt, sowie die jeweilige Rechtsgrundlage/Garantie. Falls keine Drittlandübermittlung stattfindet, hier klarstellend „Eine Übermittlung in Drittländer findet nicht statt." aufnehmen.]
11. Speicherdauer und Löschung
Wir verarbeiten und speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder wie es gesetzliche Aufbewahrungspflichten vorsehen. Nach Wegfall des Zwecks bzw. Ablauf der Fristen werden die Daten routinemäßig gelöscht oder anonymisiert.
- Rechnungen, Belege und steuerlich relevante Unterlagen werden aufgrund der gesetzlichen Aufbewahrungspflichten (insbesondere § 147 AO, § 257 HGB) für die vorgeschriebene Dauer (in der Regel 8 bis 10 Jahre) aufbewahrt.
- Server-Logfiles werden entsprechend der in Ziffer 3 genannten Frist gespeichert [Speicherdauer ergänzen].
- Kontakt- und Anfragedaten werden gelöscht, sobald die Anfrage abschließend bearbeitet ist und keine Aufbewahrungspflichten entgegenstehen.
- Account- und Vertragsdaten werden für die Dauer des Nutzungsverhältnisses und darüber hinaus im Rahmen gesetzlicher Fristen gespeichert.
Für Daten, die wir im Auftrag einer Werkstatt verarbeiten (Ziffer 8), richtet sich die Speicherdauer nach den Vorgaben der jeweiligen Werkstatt und den Regelungen des Auftragsverarbeitungsvertrags.
12. Deine Rechte als betroffene Person
Dir stehen nach der DSGVO im Rahmen der gesetzlichen Voraussetzungen die folgenden Rechte zu:
- Recht auf Auskunft über die zu dir verarbeiteten Daten (Art. 15 DSGVO)
- Recht auf Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Recht auf Löschung (Art. 17 DSGVO)
- Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
- Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
Soweit wir eine Verarbeitung auf ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) stützen, hast du das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit Widerspruch einzulegen. Beruht eine Verarbeitung auf deiner Einwilligung, kannst du diese jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
Zur Ausübung deiner Rechte genügt eine formlose Mitteilung an mail@velotakt.com oder über unser Kontaktformular. Betrifft deine Anfrage Daten, die wir im Auftrag einer Werkstatt verarbeiten (Ziffer 8), wende dich bitte an die jeweilige Werkstatt als Verantwortliche; wir unterstützen die Werkstatt bei der Erfüllung deiner Rechte im Rahmen des Auftragsverarbeitungsvertrags.
13. Beschwerderecht bei der Aufsichtsbehörde
Unbeschadet anderweitiger Rechtsbehelfe hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn du der Ansicht bist, dass die Verarbeitung deiner personenbezogenen Daten gegen geltendes Recht verstößt. Du kannst dich an die für deinen Wohnsitz oder Arbeitsplatz zuständige Behörde oder an die für uns zuständige Aufsichtsbehörde wenden.
Für uns zuständige Aufsichtsbehörde (nach Sitz in Schleswig-Holstein) ist beispielhaft das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD):
[Zuständige Aufsichtsbehörde und vollständige Kontaktdaten bestätigen/ergänzen, z. B.: Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein, Holstenstraße 98, 24103 Kiel.]
14. Automatisierte Entscheidungen und Profiling
Eine ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhende Entscheidung, die dir gegenüber rechtliche Wirkung entfaltet oder dich in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO), findet nicht statt.
[Prüfen und ergänzen, falls im Cockpit KI- oder automatisierte Funktionen zum Einsatz kommen, die personenbezogene Kundendaten verarbeiten: Beschreibung der Funktion, Zweck, Logik in Grundzügen und Rechtsgrundlage.]
15. Datensicherheit
Wir treffen angemessene technische und organisatorische Maßnahmen, um deine Daten gegen Verlust, Missbrauch und unbefugten Zugriff zu schützen. Die Datenübertragung zwischen deinem Browser und unseren Servern erfolgt verschlüsselt über TLS/HTTPS. Unsere Sicherheitsmaßnahmen werden entsprechend der technischen Entwicklung fortlaufend überprüft und angepasst.
16. Änderungen dieser Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen umzusetzen, etwa bei der Einführung neuer Funktionen. Für deinen erneuten Besuch gilt dann die jeweils aktuelle Fassung.