Datenschutzerklärung

1. Verantwortlicher

Proinnova – Thomas Schulten
Mittelstraße 1, 56379 Winden
Telefon: 0176 61518248 · E-Mail: info@tachodashboard.de

2. Überblick: zwei Rollen

Wir verarbeiten personenbezogene Daten in zwei Rollen:

• Als Verantwortlicher für den Besuch dieser Website, Ihr Kundenkonto, Vertrag und Abrechnung, den DDD-Schnellcheck und Ihre Anfragen an uns. Dafür gilt diese Datenschutzerklärung.
• Als Auftragsverarbeiter für die Fahrer- und Fahrzeugdaten, die unsere Kunden in TachoDash auswerten (Ziffer 11). Verantwortlich ist dann das Unternehmen, das TachoDash nutzt. Die Einzelheiten regelt unser Auftragsverarbeitungsvertrag (AVV). Sind Sie Fahrerin oder Fahrer, wenden Sie sich mit Fragen bitte zuerst an Ihren Arbeitgeber.

3. Hosting und Serverstandort

TachoDash läuft auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland im Rechenzentrum Nürnberg. Eine verschlüsselte Sicherungskopie liegt in einem zweiten Hetzner-Rechenzentrum in Falkenstein/Vogtland. Mit Hetzner besteht ein Vertrag über Auftragsverarbeitung (Art. 28 DSGVO). Für einzelne Aufgaben setzen wir weitere Dienstleister ein, teils außerhalb Deutschlands und der EU; sie sind in Ziffer 13 vollständig aufgeführt.

Gerichtsbarkeit und Schutz vor Zugriffen aus Drittländern (Art. 28 der Verordnung (EU) 2023/2854, „Data Act“): Die IT-Infrastruktur, auf der TachoDash die Daten unserer Kunden verarbeitet und sichert, steht ausschließlich in Deutschland und wird von einem deutschen Unternehmen betrieben; sie unterliegt deutschem Recht und dem Recht der Europäischen Union. Unsere Maßnahmen gegen einen unrechtmäßigen staatlichen Zugriff aus Drittländern: Kundendaten liegen nur auf diesen Servern; Sicherungskopien werden vor dem Verlassen des Servers verschlüsselt, den Schlüssel haben nur wir; Dienstleister außerhalb der EU erhalten nur die in Ziffer 13 genannten Daten. Ein Ersuchen einer Behörde oder eines Gerichts eines Drittlands erfüllen wir nur auf Grundlage einer internationalen Übereinkunft (Art. 32 Data Act) und unterrichten den betroffenen Kunden vorher, soweit das zulässig ist.

4. Server-Logfiles

Beim Aufruf der Anwendung speichert unser Webserver automatisch Zugriffsdaten: IP-Adresse, Datum und Uhrzeit, abgerufene Seite, Verweisquelle und Browsertyp. Das ist für den sicheren und stabilen Betrieb technisch erforderlich und dient der Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO). Bei wiederholt fehlgeschlagenen Anmeldungen wird die IP-Adresse vorübergehend gesperrt. Die Protokolle des Webservers löschen wir nach 14 Tagen, das Systemprotokoll des Servers nach höchstens 45 Tagen.

5. Nutzerkonto, Anmeldung und Cookies

Für die Nutzung legen wir ein Nutzerkonto an (Name, E-Mail-Adresse, Rolle; das Passwort speichern wir nur als Hash, nicht im Klartext). Beim Aufruf unserer Seiten setzen wir ein technisch notwendiges Sitzungs-Cookie. Es enthält einen Schutzwert gegen gefälschte Anfragen, nach der Anmeldung zusätzlich Ihre Anmeldung, und endet mit dem Schließen des Browsers. Tracking- oder Marketing-Cookies setzen wir nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Sicherheitsfunktionen Art. 6 Abs. 1 lit. f DSGVO; für das Cookie § 25 Abs. 2 Nr. 2 TDDDG.

Für Konten mit Verwaltungsrechten ist ein zweiter Anmeldeschritt Pflicht. Nutzen Sie dafür eine Authenticator-App, bleibt der Schlüssel bei uns und auf Ihrem Gerät. Wählen Sie die SMS, übermitteln wir Ihre Mobilfunknummer und den Einmalcode an unseren SMS-Dienstleister SMSAPI (Polen).

6. Reichweitenmessung (Umami, auf unserem Server)

Wie oft unsere öffentlich zugänglichen Seiten aufgerufen werden (Startseite, Tarife, Blog, Rechtstexte, DDD-Schnellcheck sowie Anmeldung und Registrierung), messen wir mit der Analyse-Software Umami. Sie läuft auf unserem eigenen Server in Deutschland; es werden keine Daten an Dritte übermittelt und keine Daten in Drittländer übertragen.

Gemessen wird ausschließlich auf unserem Server: Ihr Browser lädt dafür kein Skript, es werden keine Cookies gesetzt und keine Informationen aus Ihrem Endgerät ausgelesen oder darauf gespeichert. Nach dem Abruf einer Seite meldet unser Webserver an Umami:

• die aufgerufene Adresse ohne angehängte Parameter; bei Adressen, die einen Zugangsschlüssel enthalten (z. B. Links zum Zurücksetzen des Passworts oder zu einem Schnellcheck-Report), nur das allgemeine Muster der Adresse, nicht den Schlüssel;
• die Verweisquelle, wenn Sie von einer fremden Website kommen, ebenfalls ohne Parameter;
• die Kennung Ihres Browsers (User-Agent) und Ihre IP-Adresse.

Umami leitet daraus Browsertyp, Betriebssystem, Gerätetyp und den ungefähren Standort (Land, gegebenenfalls Region und Ort) ab und bildet aus IP-Adresse und Browserkennung einen Prüfwert (Hash), um die Aufrufe eines Besuchs zusammenzufassen. Die IP-Adresse selbst wird dabei nur verarbeitet, nicht gespeichert. Die Statistik lässt keinen Rückschluss auf Sie als Person zu, und wir führen sie nicht mit anderen Daten zusammen.

Rechtsgrundlage ist unser berechtigtes Interesse, die Nutzung unseres Angebots zu verstehen und es bedarfsgerecht zu gestalten (Art. 6 Abs. 1 lit. f DSGVO). Weil dabei nicht auf Ihr Endgerät zugegriffen wird, ist § 25 TDDDG nicht berührt. Sie können der Messung widersprechen (Ziffer 17).

Im angemeldeten Kundenbereich findet keine Reichweitenmessung statt.

7. Vertrag, Zahlung und Rechnungen

Für Vertrag und Abrechnung verarbeiten wir Firmenname, Anschrift, Ansprechpartner, E-Mail-Adresse, gegebenenfalls die USt-IdNr. sowie Tarif, Zahlungen und Rechnungen (Art. 6 Abs. 1 lit. b und c DSGVO). Eine USt-IdNr. aus einem anderen EU-Staat lassen wir über das Bestätigungsverfahren der EU-Kommission (VIES) prüfen, weil davon die Umsatzsteuer abhängt. Rechnungen schicken wir Ihnen als PDF per E-Mail; eine Kopie dieser E-Mail (mit Rechnung und gegebenenfalls Freischalt-Code) geht an unser Postfach bei Google, in dem wir unsere Buchhaltung und Korrespondenz bearbeiten (Ziffer 13).

Bezahlt wird über den Zahlungsdienstleister SumUp. Ihre Zahlungsdaten (z. B. Kartendaten) geben Sie direkt bei SumUp ein; SumUp verarbeitet sie als eigener Verantwortlicher nach seiner eigenen Datenschutzerklärung. Wir erhalten nur Betrag, Status und Transaktionsnummer.

8. E-Mail-Kontakt und KI-gestützter Posteingang

E-Mails an info@tachodashboard.de gehen in unser Postfach bei Hetzner. Ein automatischer Ablauf ruft das Postfach alle 10 Minuten ab:

• Rückläufer (Unzustellbarkeitsmeldungen) und automatische Antworten wie Abwesenheitsnotizen erkennt er an technischen Merkmalen der Nachricht. Sie werden nur gezählt und nicht weiterverarbeitet.
• Nachrichten mit Tachograph-Dateien im Anhang werden nicht an die KI gegeben, sondern wie Einsendungen behandelt (Ziffer 11).
• Bei allen übrigen Nachrichten übermitteln wir Absender, Betreff und Text (höchstens 4.000 Zeichen, ohne Anhänge) an Anthropic PBC (USA). Dessen KI-Modell ordnet die Nachricht ein (Anfrage, Support, Spam) und entwirft bei Anfragen eine Antwort. Der Entwurf wird nicht automatisch versandt, sondern von uns geprüft. Anthropic nutzt die über die Schnittstelle übermittelten Inhalte nach seinen Vertragsbedingungen nicht zum Training seiner Modelle.
• Anschließend leiten wir die Nachricht an unser Postfach bei Google (Gmail) weiter, wo wir sie bearbeiten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage einen Vertrag betrifft oder vorbereitet, im Übrigen unser berechtigtes Interesse an einer schnellen und geordneten Bearbeitung (Art. 6 Abs. 1 lit. f DSGVO). Zur Übermittlung in die USA siehe Ziffer 13. Die KI trifft keine Entscheidungen über Sie; sie sortiert nur vor. Möchten Sie nicht, dass Ihre Nachricht automatisch vorsortiert wird, rufen Sie uns an oder schreiben Sie uns per Post. Ihre E-Mails bewahren wir auf, bis die Anfrage erledigt ist; geschäftliche Korrespondenz bewahren wir nach § 147 AO sechs Jahre auf.

9. Benachrichtigungen per E-Mail und Push

Benachrichtigungen aus TachoDash (z. B. Fristen, Verstöße, Erinnerungen) versenden wir über unseren Mailserver bei Hetzner. Fahrer, die in ihrem Browser Push-Benachrichtigungen einschalten, erhalten diese über den Push-Dienst ihres Browserherstellers (z. B. Google, Mozilla, Apple, Microsoft). Der Inhalt ist dabei Ende-zu-Ende verschlüsselt; der Push-Dienst sieht nur die Empfangsadresse des Geräts, den Zeitpunkt und die Größe der Nachricht. Push lässt sich jederzeit in den Browser-Einstellungen abschalten.

10. DDD-Schnellcheck ohne Kundenkonto

Der Schnellcheck richtet sich ausschließlich an Unternehmer. Sie laden selbst eine Tachograph-Datei hoch. Diese enthält personenbezogene Daten (u. a. Fahrername, Kartennummer, Tätigkeiten). Wir verarbeiten sie ausschließlich, um die von Ihnen beauftragte Auswertung zu erstellen (Art. 6 Abs. 1 lit. b DSGVO).

Die hochgeladene Datei und der erzeugte Report werden nur vorübergehend gespeichert und spätestens 48 Stunden nach dem Upload automatisch gelöscht. Rechtzeitig vorher erinnern wir Sie einmalig per E-Mail an den Download. Es wird kein Nutzerkonto angelegt; die Fahrdaten fließen nicht in unsere Kundendatenbank ein und werden nicht mit anderen Daten zusammengeführt.

Für den Kauf speichern wir Ihre E-Mail-Adresse (Zustellung von Guthaben-Code, Report und Rechnung), Ihren Firmennamen, Ihre USt-IdNr. (falls angegeben), Ihre Bestätigung, als Unternehmer zu bestellen, das Guthaben sowie die Zahlungsdaten. Geben Sie eine USt-IdNr. aus einem anderen EU-Staat an, speichern wir zusätzlich Ihre Anschrift, das Ergebnis der Prüfung über VIES (Ziffer 7) und die von VIES zu dieser Nummer gemeldeten Firmendaten (Name und Anschrift), weil die Rechnung dann ohne deutsche Umsatzsteuer und mit Ihrer Anschrift ausgestellt wird. Eine Kopie der E-Mail mit Guthaben-Code und Rechnung geht an unser Postfach bei Google für die Buchhaltung (Ziffer 13). Rechnungen unterliegen der gesetzlichen Aufbewahrungspflicht (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO).

Hinweise auf eigene ähnliche Angebote: Ihre E-Mail-Adresse nutzen wir außerdem, um Sie in der Erinnerungs-E-Mail vor der Löschung Ihres Reports auf unser TachoDash-Abonnement hinzuweisen (§ 7 Abs. 3 UWG; Art. 6 Abs. 1 lit. f DSGVO, Direktwerbung). Darauf weisen wir Sie schon bei der Eingabe der Adresse hin. Sie können dem jederzeit widersprechen, ohne dass Ihnen andere als die Übermittlungskosten nach den Basistarifen entstehen – formlos per E-Mail an info@tachodashboard.de oder durch eine Antwort auf die Erinnerungs-E-Mail. Danach enthalten unsere E-Mails an Sie keinen solchen Hinweis mehr.

Laden Sie Daten Dritter hoch (z. B. Ihrer Fahrer), sind Sie für die Zulässigkeit der Übermittlung verantwortlich.

11. Fahrer- und Fahrzeugdaten im Kundenkonto (Auftragsverarbeitung)

Kernfunktion von TachoDash ist die Auswertung digitaler Tachograph-Daten (DDD-Dateien von Fahrerkarten und Fahrzeugeinheiten). Diese enthalten personenbezogene Daten der Fahrer (u. a. Name, Kartennummer, Geburtsdatum, Lenk-, Arbeits- und Ruhezeiten, gefahrene Strecken, Ortsangaben). Dazu kommen Nachweise wie Belehrungen, Führerschein- und Abfahrtkontrollen mit Fotos und Unterschrift.

Verantwortlich für diese Daten ist das Unternehmen, das TachoDash nutzt (unser Kunde). Wir verarbeiten sie ausschließlich nach seinen Weisungen als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage unseres Auftragsverarbeitungsvertrags, dem jeder Kunde zustimmt. Für eigene Zwecke nutzen wir die Daten nicht. Empfänger sind nur die in Ziffer 13 genannten Dienstleister, die von unserem Kunden bestimmten Empfänger (z. B. Disponenten, Benachrichtigungen) und Behörden, wenn eine gesetzliche Pflicht dazu besteht.

Die Daten gelangen auf drei Wegen zu uns: über die Schnittstelle des Telematiksystems unseres Kunden (Fernauslesung), durch Hochladen oder per E-Mail an die persönliche Einsende-Adresse des Kunden. Das Postfach für diese Einsende-Adressen liegt bei der Hetzner Online GmbH in Deutschland. Eine E-Mail löschen wir dort, sobald alle Tachograph-Dateien daraus importiert sind. Einsendungen, die nicht oder nur teilweise verwertbar sind (z. B. ohne gültige Einsende-Adresse oder mit unlesbarer Datei), bleiben zur Prüfung im Postfach und werden spätestens nach 14 Tagen gelöscht. Kann eine Einsendung keinem Kundenkonto zugeordnet werden, erhalten wir zusätzlich einen Prüfhinweis mit Absender, Betreff, Text und Dateinamen (ohne die Dateien selbst) in unserem Postfach bei Google (Ziffer 13).

Nachweise (Belehrungen, Unterweisungen, Führerscheinkontrollen samt Foto des Führerscheins und Unterschrift, Abfahrtkontrollen samt Fotos) kann unser Kunde jederzeit einzeln löschen. Nachweise, die einem Fahrer zugeordnet sind, löschen wir automatisch 3 Jahre nach dem Tag, den unser Kunde als Ausscheiden des Fahrers einträgt.

12. Kartendarstellung (OpenStreetMap)

Für Karten im angemeldeten Bereich verwenden wir Kartenmaterial von OpenStreetMap. Die Kartenkacheln lädt Ihr Browser über unseren eigenen Server, der sie zwischenspeichert. Ihr Browser verbindet sich dabei nicht mit den Servern von OpenStreetMap; dort kommt nur die Anfrage unseres Servers an, nicht Ihre IP-Adresse.

13. Empfänger und Übermittlung in Drittländer

Diese Dienstleister verarbeiten Daten in unserem Auftrag. Für die Daten unserer Kunden sind sie zugleich die Unterauftragsverarbeiter nach Anlage 2 des AVV.

Eigenständig verantwortlich sind SumUp (Zahlungen, Ziffer 7) und die EU-Kommission für das Bestätigungsverfahren der USt-IdNr. (VIES).

14. Sicherungskopien

Damit Daten nach einem Störfall wiederhergestellt werden können (Art. 32 Abs. 1 lit. c DSGVO), sichern wir Datenbank und Archiv stündlich. Auf dem Server liegen die Sicherungen der letzten 48 Stunden und ein Stand je Tag für 7 Tage. Außer Haus sichern wir ausschließlich in eine Storage Box der Hetzner Online GmbH in einem zweiten Rechenzentrum in Falkenstein/Vogtland (Deutschland): stündlich (diese Stände bleiben 7 Tage) und jede Nacht (davon behalten wir 14 tägliche, 8 wöchentliche und 10 monatliche Stände); dazu kommen tägliche Momentaufnahmen der Storage Box, die etwa 10 Tage bestehen. Die Daten werden auf unserem Server verschlüsselt, bevor sie ihn verlassen; das Passwort dazu haben nur wir, Hetzner kann die Sicherungen nicht lesen. Gelöschte Daten bleiben in den Sicherungen enthalten, bis diese überschrieben werden, spätestens nach 13 Monaten. Bis dahin verwenden wir die Sicherungen ausschließlich, um nach einem Ausfall Daten wiederherzustellen.

15. Speicherdauer

• Server-Logfiles: 14 Tage, Systemprotokoll höchstens 45 Tage.
• Nutzerkonto und Kundendaten: für die Dauer des Vertrags; nach Vertragsende, auch nach einer Testphase ohne Buchung, spätestens 90 Tage (AVV § 13).
• Fahrtenschreiberdaten im Kundenkonto: so lange, wie es unser Kunde festlegt: mindestens 12 Monate (Art. 10 Abs. 5 lit. a Ziff. ii VO (EG) Nr. 561/2006), voreingestellt 24 Monate (§ 21a Abs. 7 ArbZG), höchstens 120 Monate. Die Löschung löst der Kunde in TachoDash aus; nach Vertragsende gilt AVV § 13.
• Nachweise im Kundenkonto: bis unser Kunde sie löscht; Nachweise, die einem Fahrer zugeordnet sind, höchstens 3 Jahre nach dem eingetragenen Ausscheiden des Fahrers; nach Vertragsende gilt AVV § 13.
• Einsende-Postfach: bis zum Import der Tachograph-Dateien; nicht verwertbare Einsendungen höchstens 14 Tage.
• Schnellcheck: Datei und Report höchstens 48 Stunden; die Bestelldaten bis zum Ablauf des Guthabens (24 Monate), als Buchungsbeleg darüber hinaus nach den gesetzlichen Fristen.
• Rechnungen und Buchungsbelege: acht Jahre (§ 147 AO, § 14b UStG).
• E-Mails: bis zur Erledigung der Anfrage, geschäftliche Korrespondenz sechs Jahre (§ 147 AO).
• Sicherungskopien: auf dem Server bis zu 9 Tage, in der Storage Box die stündlichen Stände 7 Tage, die nächtlichen bis zu 12 Monate und 2 Wochen, zuzüglich etwa 10 Tage für die Momentaufnahmen; insgesamt spätestens 13 Monate (Ziffer 14).

16. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20 DSGVO). Bei Daten, für die ein Unternehmen als Kunde von TachoDash verantwortlich ist, richten Sie Ihr Anliegen bitte an dieses Unternehmen; wir unterstützen es bei der Erfüllung.

18. Keine automatisierte Entscheidung

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten (Art. 22 DSGVO). Die Auswertung von Lenk- und Ruhezeiten zeigt unseren Kunden mögliche Verstöße an; was daraus folgt, entscheidet ein Mensch.

19. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz.

Stand: 28.10.2026