Datenschutzhinweise

1. Verantwortliche und Rollen

RootFrame IT-Dienstleistungen, Inhaber Meliksah Koc, Ölweg 63, 49084 Osnabrück, Deutschland, E-Mail kontakt@buchdeinauto.de, ist verantwortlich für Betrieb, Sicherheit und Nutzung der Plattform, Kundenkonten, Plattformkommunikation und Vermittlung.

Kemal Karadayi („Autopark Nord“), Pagenstecherstr 48, 49090 Osnabrück, Deutschland, E-Mail rent@autopark-osnabrueck.de, ist verantwortlich für Prüfung und Durchführung der Fahrzeugmiete, Übergabe, Rückgabe, Schadenbearbeitung, gesetzliche Halterpflichten und eigene Kundenkommunikation.

RootFrame beantwortet Datenschutzanfragen zum Plattformbetrieb; Autopark Nord beantwortet Datenschutzanfragen zur Durchführung der Fahrzeugmiete. Bei unklarer Zuständigkeit kann die Anfrage an beide Kontakte gerichtet werden.

2. Datenschutzkontakte

RootFrame: Ölweg 63, 49084 Osnabrück, Deutschland; E-Mail: kontakt@buchdeinauto.de.

Autopark Nord: Pagenstecherstr 48, 49090 Osnabrück, Deutschland; E-Mail: rent@autopark-osnabrueck.de.

3. Aufruf von Website und App

Beim Aufruf verarbeiten die Systeme technisch erforderliche Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse, übertragene Datenmenge, Referrer soweit übermittelt, Browser- beziehungsweise App- und Betriebssysteminformationen sowie Sicherheits- und Fehlerdaten.

Die Verarbeitung erfolgt zur Bereitstellung und Absicherung des Dienstes auf Grundlage von Art. 6 Absatz 1 Buchstabe b DSGVO bei angeforderter Nutzung und Art. 6 Absatz 1 Buchstabe f DSGVO. Berechtigte Interessen sind ein stabiler, sicherer und missbrauchsgeschützter Betrieb sowie die Fehleranalyse.

Server- und Sicherheitsprotokolle werden grundsätzlich nach 30 Tagen gelöscht. Bei einem konkreten Sicherheitsvorfall können die dafür erforderlichen Protokolldaten bis zur abschließenden Aufklärung und Bearbeitung des Vorfalls gespeichert werden.

4. Hosting bei Hetzner

Für den Betrieb der Plattform nutzen wir einen virtuellen privaten Server (VPS) der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland. Im Rahmen des Hostings werden technische Verbindungs- und Protokolldaten sowie die auf dem Server gespeicherten Konto-, Buchungs- und Vertragsdaten verarbeitet.

Hetzner wird für das Hosting als Auftragsverarbeiter nach Art. 28 DSGVO eingesetzt. Die Verarbeitung dient der Bereitstellung der angeforderten Plattform- und Vertragsfunktionen nach Art. 6 Absatz 1 Buchstabe b DSGVO sowie dem sicheren und zuverlässigen Betrieb nach Art. 6 Absatz 1 Buchstabe f DSGVO.

Der VPS wird am Serverstandort Nürnberg in Deutschland in der Netzwerkzone eu-central betrieben. Mit Hetzner wurde ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abgeschlossen.

Für den VPS ist die Backup-Funktion von Hetzner aktiviert. Die Sicherungskopien werden innerhalb der Hetzner-Infrastruktur gespeichert und höchstens 30 Tage aufbewahrt. RootFrame bleibt für die Konfiguration, Kontrolle und Wiederherstellbarkeit der Datensicherungen verantwortlich.

5. Suche und technisch notwendiger Gerätespeicher

Die Plattform speichert ausgewählte Suchdaten wie Fahrzeugart, Fahreraltersgruppe, Orte und Mietzeitraum lokal auf dem Gerät, damit der ausdrücklich gewünschte Such- und Buchungsablauf fortgesetzt werden kann. Außerdem werden technisch notwendige Buchungsreferenzen und kryptografische Zugriffstoken lokal beziehungsweise für die Sitzung gespeichert.

Die Speicherung ist für die angeforderte Funktion erforderlich und erfolgt ohne Einwilligungsbanner nach § 25 Absatz 2 Nummer 2 TDDDG. Die Daten bleiben bis zur Löschung durch die App, den Browser oder eine vorgesehene Aufräumfunktion gespeichert. Zugriffstoken sind wie Zugangsdaten zu behandeln.

Im Browser speichern wir Ihre Entscheidung zu optionalen Technologien, damit wir sie bei späteren Besuchen beachten können. Nur bei Marketing-Einwilligung speichern wir außerdem eine begrenzte Anzahl bereits behandelter Buchungsnummern lokal, um doppelte Conversion-Meldungen zu vermeiden; ältere Einträge werden bei weiterer Nutzung entfernt. Einzelheiten zu Google Ads stehen in Abschnitt 6.

6. Google Ads und Einwilligung im Web

Wenn Sie der Kategorie „Marketing“ zustimmen, nutzen wir auf der Website Google Ads, um die Wirkung unserer Anzeigen zu messen und Werbung zu verbessern und zu personalisieren. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die Google-Ads-Technologie wird erst nach Ihrer Einwilligung geladen. Nach einem Widerruf senden wir keine weiteren Buchungs-Conversions.

Dabei kann Google insbesondere technische Verbindungs- und Geräteinformationen, die aufgerufene Seite, die Herkunft des Besuchs, Werbeklick-Kennungen sowie Cookies und ähnliche Kennungen erhalten. Bei einer bestätigten, bezahlten Buchung übermitteln wir für die Conversion-Messung zusätzlich Buchungsnummer, Buchungswert und Währung. Namen, Kontaktdaten und Anschrift übermitteln wir dafür nicht. Google kann die erhaltenen Daten auch für die Personalisierung von Werbung verwenden. Informationen zur Verarbeitung und Speicherdauer bei Google finden Sie unter https://policies.google.com/privacy und https://policies.google.com/technologies/cookies.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Absatz 1 Buchstabe a DSGVO und, soweit Informationen auf Ihrem Gerät gespeichert oder ausgelesen werden, § 25 Absatz 1 TDDDG. Die Einwilligung ist freiwillig und für die Buchung nicht erforderlich. Sie können sie jederzeit über den Cookie-Button unten rechts mit Wirkung für die Zukunft widerrufen oder ändern. Bereits gesetzte Cookies können Sie in Ihren Browser-Einstellungen löschen.

6a. Matomo-Statistik auf unserem eigenen Server

Wenn Sie der Kategorie „Statistik“ zustimmen, nutzen wir Matomo auf unserem eigenen Hetzner-Server, um Seitenbesuche, Besucherwege und Buchungsschritte auszuwerten. Wir verwenden keine Matomo Cloud und keine Heatmaps oder Sitzungsaufzeichnungen. Erfasst werden Seiten ohne URL-Abfrageparameter, Zeitpunkte, technische Geräteinformationen, Herkunfts-Websites und standardisierte Buchungsereignisse. IP-Adressen werden vor der Speicherung um mindestens zwei Bytes gekürzt.

Namen, Kontaktdaten, Anschriften, Formulareingaben und Buchungsnummern werden nicht an Matomo übermittelt. Zur Wiedererkennung von Besuchen verwendet Matomo Cookies mit höchstens 90 Tagen Laufzeit; Herkunfts-Cookies bleiben höchstens 30 Tage, Sitzungs-Cookies etwa 30 Minuten bestehen. Im Sitzungsspeicher des Browsers merken wir bis zu 20 bereits gemeldete Buchungsreferenzen, um doppelte Erfolgsmeldungen zu vermeiden; diese Referenzen werden nicht übertragen.

Rechtsgrundlage ist Ihre freiwillige Einwilligung nach Art. 6 Absatz 1 Buchstabe a DSGVO und § 25 Absatz 1 TDDDG. Ohne Statistik-Einwilligung wird Matomo nicht geladen. Sie können Ihre Einwilligung jederzeit in den Cookie-Einstellungen widerrufen; danach werden keine weiteren Nutzungsereignisse gesendet und Matomo-Tracking-Cookies gelöscht. Einzelne Besuchsdaten werden nach 90 Tagen gelöscht, aggregierte Berichte nach 12 Monaten. Matomo-Statistik wird in der nativen iOS-App nicht aktiviert.

7. Kundenkonto und E-Mail-Verifizierung

Bei Registrierung werden E-Mail-Adresse, gehashtes Passwort, Vor- und Nachname, Telefonnummer, optional Firma, Rollen- und Kontostatus sowie Zeitpunkte der Kontoerstellung und E-Mail-Verifizierung verarbeitet. Der per E-Mail versandte Verifizierungscode wird nur in gehashter Form und mit Ablaufzeit gespeichert.

Rechtsgrundlage ist Art. 6 Absatz 1 Buchstabe b DSGVO für Einrichtung und Nutzung des freiwilligen Kundenkontos. Sicherheits- und Missbrauchsprüfungen beruhen zusätzlich auf Art. 6 Absatz 1 Buchstabe f DSGVO.

Kontodaten werden bis zur Löschung des Kontos gespeichert. Angemeldete Kunden können ihr Konto im Profil nach erneuter Passworteingabe selbst löschen; alternativ kann die Löschung über den App-Support per E-Mail an support@buchdeinauto.de beantragt werden. Dabei werden das Kundenkonto und die Verknüpfung zu historischen Buchungen entfernt. Ein technisch nicht sofort aus Sicherungskopien entfernbarer Datenbestand wird spätestens nach 30 Tagen überschrieben oder gelöscht. Davon ausgenommen sind Buchungs-, Vertrags-, Zahlungs- und Rechnungsdaten, die aufgrund gesetzlicher Aufbewahrungspflichten oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen länger benötigt werden. Diese Daten werden nur noch für die genannten Zwecke verarbeitet.

Bei der Kontolöschung kann freiwillig ein standardisierter Grund angegeben werden. Nur bei der Auswahl „Sonstiges“ ist zusätzlich ein freiwilliger Hinweis möglich. Das Feedback wird ohne Kundenkonto- oder Buchungsreferenz gespeichert, ausschließlich zur Verbesserung des Angebots ausgewertet und nach 90 Tagen gelöscht.

8. Buchung und Vermittlung

Verarbeitet werden insbesondere Name, E-Mail, Telefonnummer, optional Firma, Rechnungsanschrift, Fahreraltersgruppe, Fahrzeug beziehungsweise Fahrzeugklasse, Mietzeitraum, Orte, Extras, Preise, Kaution, Inklusiv- und Zusatzkilometer, Buchungs- und Zahlungsstatus sowie technische Buchungsreferenzen.

RootFrame verarbeitet diese Daten zur Anbahnung und Vermittlung des Mietvertrags sowie zur Buchungsverwaltung nach Art. 6 Absatz 1 Buchstabe b DSGVO. Die für die Entscheidung und Durchführung erforderlichen Daten werden an Autopark Nord übermittelt. Autopark Nord verarbeitet sie zur Anbahnung und Erfüllung des Mietvertrags ebenfalls nach Art. 6 Absatz 1 Buchstabe b DSGVO.

Buchungs-, Auslastungs-, Umsatz- und Zahlungsdaten werden im geschützten Verwaltungsbereich außerdem intern statistisch ausgewertet, um den Geschäftsbetrieb zu steuern, das Fahrzeugangebot zu planen und betriebliche Abläufe zu verbessern. Rechtsgrundlage ist Art. 6 Absatz 1 Buchstabe f DSGVO; berechtigte Interessen sind eine bedarfsgerechte Angebots- und Kapazitätsplanung sowie die wirtschaftliche und technische Optimierung des Dienstes. Diese Auswertungen dienen weder Werbung noch einer Profilbildung über das Nutzungsverhalten außerhalb der Plattform.

Pflichtangaben sind erforderlich, um die Buchung zu bearbeiten und den Mietvertrag durchzuführen. Ohne sie kann die Buchung nicht abgeschlossen werden. Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung findet nicht statt.

9. Fahrzeugübergabe, Rückgabe und Nachberechnung

Autopark Nord beziehungsweise berechtigte Mitarbeitende verarbeiten bei Übergabe und Rückgabe insbesondere Identitäts- und Führerscheinprüfmerkmale, zugewiesenes Fahrzeug einschließlich Kennzeichen und FIN, Zeitpunkte, Kilometerstände, Reifenprofil, Protokoll- und Zustandsdaten sowie gegebenenfalls Mehrkilometer, Schäden und daraus folgende Abrechnungen. Der Tankstand bei Übergabe wird als vollgetankt dokumentiert.

Rechtsgrundlage ist die Durchführung des Mietvertrags nach Art. 6 Absatz 1 Buchstabe b DSGVO sowie, soweit einschlägig, die Erfüllung gesetzlicher Pflichten nach Art. 6 Absatz 1 Buchstabe c DSGVO und die Durchsetzung oder Abwehr von Ansprüchen nach Art. 6 Absatz 1 Buchstabe f DSGVO.

Kopien von Ausweis oder Führerschein werden nicht routinemäßig angefertigt. Falls Autopark Nord Kopien in Ausnahmefällen benötigt, sind Zweck, Rechtsgrundlage, Umfang und Löschfrist vorab gesondert festzulegen.

10. Zahlungsabwicklung über Mollie

Für die technische Abwicklung von Onlinezahlungen nutzen RootFrame und Autopark Nord den Zahlungsdienstleister Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande („Mollie“). Mollie ist ein regulierter Zahlungsdienstleister und verarbeitet personenbezogene Daten im Rahmen seiner Zahlungsdienste in eigener datenschutzrechtlicher Verantwortlichkeit.

Beim Start einer Zahlung werden Betrag, Währung, eine Buchungsnummer als Transaktionsreferenz, eine Zahlungsbeschreibung sowie die für Rückleitung und Zahlungsstatus erforderlichen technischen Adressen an Mollie übermittelt. Beim Aufruf des von Mollie bereitgestellten Checkouts verarbeitet Mollie außerdem technische Verbindungsdaten wie IP-Adresse, Browser- und Geräteinformationen. Die für die gewählte Zahlungsart erforderlichen Zahlungs- und Authentifizierungsdaten, etwa Konto- oder Kartendaten, werden unmittelbar bei Mollie beziehungsweise den beteiligten Zahlungsstellen eingegeben. Abhängig von der Zahlungsart kann Mollie zusätzlich Namen, Anschrift, E-Mail-Adresse oder Telefonnummer verarbeiten.

Die jeweils verfügbaren Zahlungsarten werden im Mollie-Checkout angezeigt und können von Land, Währung, Endgerät und den für das Zahlungsprofil freigeschalteten Verfahren abhängen. Die Plattform erhält von Mollie insbesondere Zahlungs-ID, Zahlungsstatus, gewählte Zahlungsart und Checkout-Adresse. Vollständige Karten-, Konto- oder Authentifizierungsdaten werden nicht in der Plattform gespeichert.

RootFrame und Autopark Nord verarbeiten die Zahlungsdaten zur Einleitung, Durchführung, Statusprüfung und gegebenenfalls Rückabwicklung der vom Kunden gewünschten Buchung auf Grundlage von Art. 6 Absatz 1 Buchstabe b DSGVO. Soweit gesetzliche Aufbewahrungs- oder Nachweispflichten bestehen, beruht die Verarbeitung zusätzlich auf Art. 6 Absatz 1 Buchstabe c DSGVO; die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen beruht auf Art. 6 Absatz 1 Buchstabe f DSGVO. Mollie verarbeitet Daten nach eigener Verantwortlichkeit insbesondere zur Zahlungsabwicklung, Betrugsprävention, Gewährleistung der Sicherheit des Finanzsektors und Erfüllung finanzaufsichtsrechtlicher Pflichten.

Empfänger können neben Mollie – abhängig von der gewählten Zahlungsart – Banken, Kartenorganisationen, Zahlungsnetzwerke, Anbieter der jeweiligen Zahlungsart, technische Dienstleister und Stellen zur Betrugsprävention sowie bei gesetzlicher Verpflichtung Behörden sein. Mollie kann dabei eigene Auftragsverarbeiter und weitere Verantwortliche einsetzen.

Die Plattform speichert Zahlungs-ID, Status und Zahlungsart zusammen mit der Buchung nach den in Abschnitt 14 genannten Fristen. Mollie speichert Zahlungsdaten nach eigener Angabe nur so lange, wie dies gesetzlich vorgeschrieben oder für die jeweiligen Verarbeitungszwecke erforderlich ist; als Finanzinstitut muss Mollie bestimmte Zahlungsdaten nach anwendbarem Recht mehrere Jahre aufbewahren. Bei Mollie oder von Mollie eingesetzten Empfängern kann es in Einzelfällen zu einer Verarbeitung außerhalb des Europäischen Wirtschaftsraums kommen. Nach eigener Angabe verwendet Mollie bei Übermittlungen in Staaten ohne Angemessenheitsbeschluss geeignete Garantien, insbesondere EU-Standardvertragsklauseln. Weitere Informationen, auch zu Betroffenenrechten gegenüber Mollie, enthält die Datenschutzerklärung von Mollie unter https://www.mollie.com/de/legal/privacy; Datenschutzanfragen an Mollie können an privacy@mollie.com gerichtet werden.

11. Domains, E-Mail und Support bei netcup

Bei Registrierung, Buchung und Support werden E-Mail-Adresse, Nachrichteninhalt, Zuordnungsdaten und Versandstatus verarbeitet. Rechtsgrundlage ist Art. 6 Absatz 1 Buchstabe b DSGVO für vertragsbezogene Kommunikation und Art. 6 Absatz 1 Buchstabe f DSGVO für nachvollziehbaren Kundenservice und Anspruchsbearbeitung.

Für die Verwaltung unserer Domains und für E-Mail nutzen wir die netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland. Beim E-Mail-Betrieb verarbeitet netcup insbesondere Absender- und Empfängeradressen, Nachrichteninhalte und Anhänge sowie technische Verbindungs-, Zustell- und Protokolldaten.

Der gesamte E-Mail-Verkehr, einschließlich automatischer Registrierungs- und Buchungsnachrichten sowie Supportanfragen, wird über den Tarif Webhosting 1000 von netcup am Standort Nürnberg in Deutschland abgewickelt. Mit netcup wurde ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abgeschlossen.

Die Domains sind bei netcup registriert und werden dort verwaltet. Die DNS-Konfiguration leitet Webaufrufe an die bei Hetzner betriebene Plattform und den E-Mail-Verkehr an das netcup-Webhosting weiter. Website, Backend und Datenbank werden nicht im netcup-Webhosting betrieben. Die Domainverwaltung bedeutet keine Registrierung von Domains für Plattformnutzer und keine Übermittlung ihrer Buchungsdaten an Domainvergabestellen.

Technische Mailprotokolle sowie Nachrichten ohne gesetzliche oder vertragliche Aufbewahrungspflicht werden grundsätzlich nach 30 Tagen gelöscht. Supportkorrespondenz wird ebenfalls nach 30 Tagen gelöscht, sofern sie nicht für die Vertragsabwicklung, die Bearbeitung eines laufenden Anliegens, die Rechtsverteidigung oder aufgrund gesetzlicher Aufbewahrungspflichten länger benötigt wird. Sicherungskopien dieser Daten werden spätestens nach 30 Tagen überschrieben oder gelöscht.

12. Empfänger

Empfänger sind – jeweils nur im erforderlichen Umfang – RootFrame, Autopark Nord, Hetzner und netcup für die oben beschriebenen Dienste, Mollie und die in Abschnitt 10 beschriebenen Zahlungsstellen sowie nach Marketing-Einwilligung Google für die in Abschnitt 6 beschriebene Werbemessung. Weitere Empfänger können IT-Wartungsdienstleister, Steuer- und Rechtsberatung sowie Behörden, Gerichte, Versicherer oder Anspruchsgegner bei bestehender Rechtsgrundlage sein.

Mit Hetzner und netcup wurden für die beschriebenen Auftragsverarbeitungen Verträge nach Art. 28 DSGVO abgeschlossen. Zugriffsberechtigungen im Verwaltungsbereich sind rollenbasiert zu begrenzen und regelmäßig zu überprüfen.

13. Drittlandübermittlungen

Das VPS-Hosting bei Hetzner und der E-Mail-Betrieb bei netcup erfolgen nach den gebuchten Standorten in Deutschland. Für diese Dienste ist keine Übermittlung personenbezogener Plattformdaten außerhalb des Europäischen Wirtschaftsraums vorgesehen.

Mollie B.V. hat seinen Sitz in den Niederlanden und damit innerhalb des Europäischen Wirtschaftsraums. Im Rahmen der Zahlungsabwicklung können Mollie oder von Mollie eingesetzte Empfänger Daten in Einzelfällen außerhalb des Europäischen Wirtschaftsraums verarbeiten. Nach den Angaben von Mollie erfolgen Übermittlungen in Staaten ohne Angemessenheitsbeschluss auf Grundlage geeigneter Garantien, insbesondere EU-Standardvertragsklauseln. Weitere Einzelheiten enthält die in Abschnitt 10 verlinkte Datenschutzerklärung von Mollie.

Im Rahmen von Google Ads kann Google Daten auch außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA, verarbeiten. Angaben zu den von Google verwendeten Übermittlungsmechanismen finden Sie unter https://policies.google.com/privacy/frameworks.

Werden künftig weitere Dienste eingesetzt, die Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, erfolgt die Übermittlung nur auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien, insbesondere EU-Standardvertragsklauseln, und nach erforderlicher Risikoprüfung. Die Datenschutzhinweise werden vor Beginn einer solchen Verarbeitung entsprechend aktualisiert.

14. Speicherdauer

Bezahlte Buchungs-, Vertrags-, Zahlungs- und Rechnungsdaten werden für die Dauer der Vertragsabwicklung und anschließend nach den anwendbaren handels- und steuerrechtlichen Aufbewahrungsfristen gespeichert. Buchungsbelege sind regelmäßig acht Jahre, Handels- und Geschäftsbriefe regelmäßig sechs Jahre aufzubewahren; im Einzelfall können längere Fristen für offene Ansprüche gelten.

Abgebrochene oder fehlgeschlagene Prepaid-Reservierungen werden technisch nach 15 Minuten freigegeben und spätestens nach 30 Tagen gelöscht oder anonymisiert, sofern keine gesetzlichen Pflichten oder laufenden Ansprüche eine längere Speicherung erfordern.

Schaden- und Anspruchsdaten werden bis zur abschließenden Bearbeitung und anschließend bis zum Ablauf einschlägiger Verjährungsfristen gespeichert. Backups sind in ein dokumentiertes Löschkonzept einzubeziehen.

15. Fahrzeugortung und Telematik

Die Plattform greift nicht auf den Standort des Mobilgeräts zu. Die Mietfahrzeuge werden im Rahmen des angebotenen Dienstes nicht per GPS oder Telematik geortet.

Falls künftig eine Standort- oder Telematikverarbeitung eingeführt wird, werden diese Datenschutzhinweise vor deren Einsatz um die betroffenen Fahrzeuge, Datenarten, Zwecke, Rechtsgrundlagen, Empfänger und Löschfristen ergänzt.

16. Rechte betroffener Personen

Betroffene Personen haben nach den gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Sie können einer auf Art. 6 Absatz 1 Buchstabe f DSGVO beruhenden Verarbeitung aus Gründen ihrer besonderen Situation widersprechen.

Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Der Widerruf berührt die Rechtmäßigkeit der vorherigen Verarbeitung nicht. Zur Ausübung der Rechte kann der jeweilige Datenschutzkontakt angeschrieben werden; bei unklarer Zuständigkeit leitet die zuerst kontaktierte Stelle die Anfrage an die zuständige Stelle weiter.

17. Beschwerderecht

Betroffene Personen können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für die beiden in Osnabrück ansässigen Verantwortlichen ist der Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, zuständig; Website: www.lfd.niedersachsen.de.

18. Sicherheit und Aktualisierung

RootFrame und Autopark Nord treffen angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören HTTPS- und Transportverschlüsselung, sichere Passwortspeicherung, beschränkte und rollenbasierte Zugriffe, Firewall-Regeln, regelmäßige Sicherheitsupdates, die Protokollierung sicherheitsrelevanter Ereignisse, Datensicherungen über die aktivierte Hetzner-Backup-Funktion sowie geregelte Verfahren zur Behandlung von Datenschutzvorfällen.

RootFrame ist für die Absicherung und Aktualisierung des VPS und der Anwendungen, die Vergabe und Kontrolle von Zugriffsrechten, die Firewall-Konfiguration sowie die Kontrolle und Wiederherstellbarkeit der Datensicherungen verantwortlich.

Diese Hinweise werden angepasst, wenn sich Anbieter, Funktionen, Rechtsgrundlagen oder Datenflüsse ändern. Für eine Buchung maßgebliche Vertragsbedingungen werden dadurch nicht nachträglich verändert.