Datenschutzerklärung

• Sie besuchen diese Website. Dann fallen Server-Protokolle an. Notwendige Cookies und ein Cookie-Hinweis (keine Marketing- oder Statistik-Skripte).
• Sie nutzen die Software. Dann kommen Konto, hochgeladene Unterlagen und Prüfberichte dazu.
• Sie melden einen Fake. Dann verarbeiten wir die Angaben zum gemeldeten Frachtführer und, falls Sie sie angeben, Ihre eigenen.
• Sie schreiben uns. Dann verarbeiten wir Ihre Anfrage.

Beim Abruf der Seiten überträgt Ihr Browser technisch notwendige Daten an den Server. Dazu zählen üblicherweise IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Browser und Betriebssystem. Rechtsgrundlage ist unser berechtigtes Interesse am sicheren und stabilen Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO).

Website und Software laufen in einer Anwendung bei Railway (Railway Corporation, San Francisco, USA) in der EU, Region Amsterdam. Datenbank, Anmeldung und Dateispeicher laufen bei Supabase (EU). Die Website wird über Cloudflare (Cloudflare, Inc., San Francisco, USA; Content Delivery Network) ausgeliefert und geschützt, das dabei auch Ihre IP-Adresse verarbeitet. Grundlage einer Übermittlung in die USA ist bei beiden das EU-US Data Privacy Framework bzw. Standardvertragsklauseln.

Abfrage- und Systemprotokolle werden ein Jahr gespeichert.

Verschlüsselung

Die Übertragung zwischen Ihrem Browser und unserem Server ist mit TLS verschlüsselt.

Schriften

Die Marketing-Schriften und die angemeldete Anwendung laden Space Grotesk, Inter und JetBrains Mono von diesem Server. Es besteht keine Verbindung zu Google Fonts.

Notwendige First-Party-Cookies und Local Storage betreiben die Website und das angemeldete Produkt. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), soweit Sie ein Konto haben, und berechtigtes Interesse an einem nutzbaren, sicheren Dienst (Art. 6 Abs. 1 lit. f DSGVO).

Weitere Website-Daten (keine Cookies, aber vergleichbar):

• Serverprotokolle bei Railway: IP-Adresse, Zeit, aufgerufene Adresse, Browser-User-Agent — für Betrieb und Sicherheit der Website.
• Erste Sprachvorgabe: CDN-Länderheader (z. B. CF-IPCountry) oder eine lokale IP-zu-Land-Tabelle für DE/AT/CH/LI. Die Adresse geht nicht an einen Geolocation-Anbieter.
• Prüfung auf Testkonten-Missbrauch: Zeitzone, Sprache, Bildschirmklasse und Betriebssystemfamilie im Browser. Wir speichern einen HMAC der IP und dieser Geräteklasse — keinen eindeutigen Fingerabdruck.
• Anmelde-IP und User-Agent werden in einem nur serverseitigen Datensatz gespeichert (Missbrauchsprävention und DSGVO-Nachweis). Sie erscheinen nicht in den Einstellungen.
• Wenn Sie ein kostenpflichtiges Abo starten, läuft Stripe Checkout auf stripe.com und kann dort eigene Cookies setzen. Das geschieht nur, wenn Sie Checkout öffnen.

Der genaue Supabase-Cookie-Name enthält die Projektkennung (sb-…-auth-token). Bei großen Sitzungswerten gibt es geteilte Varianten.

Externe Medien: Schulungsvideos

Schulungsvideos liegen bei YouTube. Der YouTube-Player und seine Cookies werden erst geladen, wenn Sie im Cookie-Banner externen Medien zustimmen oder bei einem einzelnen Video auf Abspielen klicken. YouTube läuft im erweiterten Datenschutzmodus (youtube-nocookie.com). Beim Abspielen erhält Google Ihre IP-Adresse, Geräte- und Browserdaten sowie die Information, dass Sie das Video angesehen haben; Google kann eigene Cookies setzen. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021). Google kann die Daten in den USA verarbeiten (Drittland, Art. 44 ff. DSGVO).

• YouTube — Google Ireland Limited, Dublin, Ireland; Google LLC, USA (Schulungsvideos)

Sie können Ihre Auswahl jederzeit unter Cookie-Einstellungen ändern oder widerrufen: am Ende jeder Seite dieser Website und, wenn Sie angemeldet sind, im Kontomenü oben rechts. Der Widerruf berührt nicht, was vorher geladen wurde.

Benutzerkonto

Für das Konto verarbeiten wir die Angaben, die Sie bei der Anmeldung machen — Name, E-Mail-Adresse, Telefonnummer, Unternehmen, Zugangsdaten und optional eine UID-Nummer — sowie Nutzungsdaten wie Anmeldezeitpunkte und die Zahl der durchgeführten Prüfungen. Unter der Telefonnummer können wir Sie anrufen, um ein neues Konto vor der ersten Prüfung zu verifizieren. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

Bei der Registrierung speichern wir, dass Sie die AGB und — wenn Sie den Workspace anlegen — den Auftragsverarbeitungsvertrag angenommen haben, mit IP-Adresse, Zeitpunkt und angenommener Fassung. Diese Nachweise bewahren wir für die Dauer des Kontos und drei weitere Jahre auf, um den Vertragsschluss belegen zu können (Art. 6 Abs. 1 lit. b und f DSGVO).

Protokolle

Wir protokollieren jede Anmeldung und jede Prüfung mit Zeitpunkt, Zugangskonto, IP-Adresse und geprüftem Frachtführer (Name und UID-Nummer). Die Protokolle dienen der Sicherheit, der Support- und Fehleranalyse sowie der Erkennung und Aufklärung von Missbrauch, etwa systematischer Mehrfachabfragen. Sie werden ein Jahr gespeichert; länger nur, soweit dies zur Verfolgung eines konkreten Missbrauchsverdachts erforderlich ist oder das Gesetz es verlangt. Für diese Protokolle sind wir selbst Verantwortlicher. Rechtsgrundlage: berechtigtes Interesse an einem sicheren, missbrauchsfreien Dienst (Art. 6 Abs. 1 lit. f DSGVO).

Prüfung auf Missbrauch der Testphase

Um zu verhindern, dass jemand mit Wegwerfkonten zusätzliche kostenlose Prüfungen abgreift, berechnen wir einen Anmelde-Risikowert (nicht die Frachtdokument-Bewertung). Er kann das unbestätigte Gratis-Kontingent kürzen oder auf null setzen. Das Konto wird nicht abgelehnt; eine unbenutzte gültige UID oder ein Bezahlplan schaltet Prüfungen weiterhin frei. Signale: ob die Anmelde-E-Mail wegwerf-, rollen- oder Free-Mail-artig wirkt; wie viele Test-Mandanten kürzlich aus demselben Netz kamen; ob eine andere Sandbox in diesem Netz ihre Gratisprüfungen schon verbraucht hat; grobe Geräteklasse (Zeitzone, Sprache, Betriebssystem-Familie, Bildschirmklasse); Hinweise auf automatisierte Browser im User-Agent. Wir speichern einen HMAC der IP-Adresse und dieser Geräteklasse — nicht die Roh-IP, kein eindeutiger Gerätefingerabdruck (kein Canvas/WebGL/Audio). Sichtungs-Hashes etwa 30 Tage; der Wert bleibt am Mandanten bis zur Kontolöschung. Rechtsgrundlage: berechtigtes Interesse an der Verhinderung von Trial-Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

Liegt das Postfach nicht auf unserer lokalen Free-Mail-Liste, kann die Adresse an Bouncer gehen (bereits Auftragsverarbeiter für Kontaktadressen auf Dokumenten), um Wegwerf-, Rollen- oder Catch-all-Postfächer zu erkennen.

Hochgeladene Unterlagen

Sie laden Transportangebote, Frachtpapiere, Korrespondenz oder ganze E-Mails hoch. Damit geschieht Folgendes:

1. Jede Datei wird zuerst auf Schadsoftware geprüft. Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit des Systems und der Daten aller Nutzer (Art. 6 Abs. 1 lit. f DSGVO). Dafür setzen wir attachmentAV (widdix GmbH, Deutschland) ein; die Dateien werden dabei nicht gespeichert.
2. Eine Texterkennung liest die Daten aus und ordnet sie den Prüffeldern zu. Dafür setzen wir Google Cloud Document AI (EU) ein.
3. Der ausgelesene Text wird KI-gestützt ausgewertet. Dafür setzen wir OpenAI (API, nicht ChatGPT, mit Datenresidenz in Europa) ein.
4. Einzelne Angaben werden bei spezialisierten Diensten überprüft — Domain-Daten bei WhoisXML, E-Mail-Gültigkeit bei Bouncer, Telefonleitungstyp bei Twilio, UID bei VIES (öffentliche API der Europäischen Kommission).
5. Die Angaben werden nach den Prüfregeln der vier Module bewertet. Daraus entsteht der Prüfbericht mit dem cp-score.

Die vollständige Liste der Anbieter und ihrer Aufgaben steht auf der Seite Auftragsverarbeiter.

In diesen Unterlagen stehen regelmäßig personenbezogene Daten Dritter — etwa Name und Unterschrift des Fahrpersonals, Durchwahlen von Ansprechpartnern oder Angaben zu Einzelunternehmern. Was hochgeladen wird, entscheiden Sie. Wir verarbeiten diese Daten ausschließlich zum Zweck der von Ihnen angeforderten Prüfung.

Für die Daten, die Sie für eine Prüfung hochladen, sind wir Ihr Auftragsverarbeiter: Sie sind Verantwortlicher, und wir verarbeiten die Daten in Ihrem Auftrag nach dem Auftragsverarbeitungsvertrag (Art. 28 DSGVO), der bei der Registrierung angenommen wird. Selbst Verantwortlicher sind wir für unsere Protokolle, für die Missbrauchsprävention und für Daten, die wir nach Vertragsende aufbewahren.

Prüfberichte und cp-rating

Der Bericht bleibt in Ihrem Konto gespeichert. Jede Prüfung wird neu durchgeführt; gespeicherte Prüfdaten werden nicht für Prüfungen anderer Kunden verwendet. Prüfen Sie denselben Frachtführer erneut, können Ihre eigenen früheren Prüfungen dieses Frachtführers berücksichtigt werden, solange sie gespeichert sind.

Speicherdauer

Prüfvorgänge, hochgeladene Dokumente, OCR- und Analysedaten sowie Ergebnisse werden dreieinhalb Jahre ab dem jeweiligen Prüfvorgang gespeichert, damit Sie durchgeführte Prüfungen innerhalb der für Transportverträge maßgeblichen Verjährungsfristen (insbesondere Art. 32 CMR) nachvollziehen und nachweisen können, und danach gelöscht. Nach Vertragsende bewahren wir diese Daten bis zum Ende dieser Frist als eigener Verantwortlicher gesperrt auf und verwenden sie ausschließlich zur Rechtsverfolgung oder -verteidigung.

Hosting der Software

Die Anwendung läuft auf Railway (EU, Region Amsterdam); Datenbank, Anmeldung und Dateispeicher auf Supabase (EU). Einige Anbieter, die Inhalt Ihrer Unterlagen verarbeiten, haben ihren Sitz oder ihr Mutterunternehmen außerhalb der EU; siehe Empfänger und Drittstaaten.

Zahlungsabwicklung

Kartenzahlungen wickelt Stripe (Stripe Payments Europe, Ltd., Dublin, wenn live) für uns ab. Zahlungsdaten geben Sie bei Stripe ein — vollständige Kartennummern erreichen uns nicht. Von Stripe erhalten wir, was wir für die Rechnungsstellung brauchen. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Stripe verarbeitet Zahlungsdaten in eigener Verantwortung und erhält keine Prüfdaten.

Absenden überträgt das Formular per HTTPS an unseren Server. Wir speichern die Meldung (und etwaige Belege) und benachrichtigen [email protected] per E-Mail. Wenn Sie eine E-Mail-Adresse angegeben haben, setzen wir sie als Reply-To, damit die Meldestelle antworten kann. Sie müssen keine eigene Mail schicken.

Akzeptierte Belege: PDF, JPEG, PNG und gespeicherte E-Mails (.eml / .msg), zusammen höchstens 25 MB. Office- oder ZIP-Dateien nehmen wir nicht an.

Was in die Bewertung künftiger Anfragen einfließt, wird zuvor anonymisiert. Wir veröffentlichen weder den gemeldeten Namen noch Ihre Angaben.

Wenn Sie uns per E-Mail oder Telefon schreiben, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage. Rechtsgrundlage sind vorvertragliche Maßnahmen oder Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) oder unser berechtigtes Interesse an der Beantwortung (Art. 6 Abs. 1 lit. f DSGVO).

UID-Nummern werden über das VIES-System der EU geprüft, Domainnamen bei WhoisXML. Das sind Abfragen öffentlicher Quellen und Register, keine Verarbeitung in unserem Auftrag. Der Zahlungsdienstleister (Stripe) verarbeitet Zahlungsdaten in eigener Verantwortung.

Die Daten werden in Rechenzentren in der Europäischen Union gespeichert. Eine Übermittlung in ein Land außerhalb des EWR, auch durch einen Fernzugriff eines dort ansässigen Anbieters, erfolgt nur auf einer Grundlage nach Art. 44 ff. DSGVO:

• Twilio prüft Rufnummern in den USA, auf Grundlage verbindlicher interner Datenschutzvorschriften (BCR).
• Railway, OpenAI, Resend und Cloudflare: EU-US Data Privacy Framework bzw. Standardvertragsklauseln.
• Supabase und Google Cloud: Standardvertragsklauseln.
• Microsoft 365: EU Data Boundary und Standardvertragsklauseln.

Bouncer und attachmentAV verarbeiten Daten nur in der EU. Die Grundlage je Anbieter steht auf der Seite Auftragsverarbeiter.

Das cp-rating bewertet Unternehmen, nicht Personen, und es entscheidet nichts. Ob ein Auftrag vergeben wird, entscheidet allein die Person in der Disposition — der Score ist eine Entscheidungshilfe. Nach unserer Einschätzung ist das keine automatisierte Entscheidung nach Art. 22 DSGVO.

Ihnen stehen uns gegenüber folgende Rechte zu:

• Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf von Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Schreiben Sie an [email protected]. Wir antworten innerhalb der gesetzlichen Monatsfrist. Betrifft Ihr Anliegen eine Prüfung, die einer unserer Kunden durchgeführt hat, sind wir Auftragsverarbeiter dieses Kunden und leiten das Anliegen an ihn weiter; er beantwortet es.

Unabhängig davon können Sie sich bei einer Aufsichtsbehörde beschweren. In Österreich ist das die Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb.gv.at.

Es gibt keinen Selbstbedienungs-Button zum Löschen eines Unternehmens und seiner Dateien. Schreiben Sie an [email protected], um die Löschung des Arbeitsbereichs, der Konten und der hochgeladenen Dateien zu verlangen. Wir behandeln das als administrativen DSGVO-Antrag.

Oktober 2026. Wir aktualisieren diese Erklärung, wenn sich die Verarbeitung ändert.