Datenschutzerklärung für die Anwendung Gebietsmanager

Diese Erklärung beschreibt, welche personenbezogenen Daten wir verarbeiten, wenn Sie die Web-Anwendung Gebietsmanager nutzen. Für die öffentliche Website gebietsmanager.com gilt deren eigene Datenschutzerklärung.

1. Verantwortlicher

wahoX GmbH
Im Winkel 1
01454 Wachau
Telefon: +49 (0) 35 205 / 18 96 33
E-Mail: support@gebietsmanager.com

2. Ihre Daten und die Daten Ihrer Kunden

Wir unterscheiden zwei Rollen:

• Als Verantwortliche verarbeiten wir die Daten, die wir für Ihr Konto, den Vertrag und die Abrechnung brauchen – beschrieben in dieser Erklärung.
• Im Auftrag unserer Kunden verarbeiten wir die Daten, die ein Unternehmen in der Anwendung speichert, etwa Standorte mit Ansprechpartnern, Gebiete, Notizen und Adresssuchen. Verantwortlich ist dafür das Unternehmen, das die Anwendung nutzt. Grundlage ist ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO. Fragen zu diesen Daten richten Sie bitte an das jeweilige Unternehmen.

3. Hosting und Server-Protokolle

Die Anwendung läuft auf einem Server der Keyweb AG, Neuwerkstraße 45/46, 99084 Erfurt, in Deutschland. Beim Aufruf verarbeitet der Server technisch erforderliche Daten, insbesondere IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browsertyp und Betriebssystem. Das dient der sicheren und fehlerfreien Bereitstellung (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolldateien werden nach 14 Tagen gelöscht, sofern sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls länger benötigt werden. Die Keyweb AG handelt in unserem Auftrag.

4. Anmeldung und Benutzerkonto

Für Ihr Konto verarbeiten wir Firma, Anrede, Titel, Vor- und Nachname, E-Mail-Adresse, Mobilfunknummer, Rechnungsanschrift, gegebenenfalls Telefonnummer und Umsatzsteuer-Identifikationsnummer, Ihr Passwort – nur als sicheren Hash, nie im Klartext – sowie den Zeitpunkt, zu dem Sie den AGB zugestimmt haben. Zu jeder Anmeldung speichern wir den Zeitpunkt und die IP-Adresse der letzten Anmeldung; beides wird bei der nächsten Anmeldung überschrieben.

Schlägt eine Anmeldung fehl, speichern wir einen Hash des eingegebenen Benutzernamens – nicht den Namen selbst –, die IP-Adresse und den Zeitpunkt, um das Erraten von Passwörtern zu bremsen: Nach fünf Fehlversuchen je Konto oder 30 je IP-Adresse ist die Anmeldung für 15 Minuten gesperrt. Diese Einträge löschen wir nach einem Tag (Art. 6 Abs. 1 lit. f DSGVO).

Rechtsgrundlage ist die Durchführung des Vertrags und der vorvertraglichen Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO); die Anmeldedaten dienen zusätzlich der Sicherheit Ihres Kontos (Art. 6 Abs. 1 lit. f DSGVO).

5. Bestätigung per E-Mail und SMS

Ihre E-Mail-Adresse bestätigen Sie über einen Link, den wir Ihnen senden. Ihre Mobilfunknummer bestätigen Sie mit einem Code, den wir Ihnen per SMS schicken. Die Nummer dient der Wiederherstellung Ihres Kontos, wenn Sie Ihr Passwort verlieren, und schützt vor Mehrfachanmeldungen zur kostenlosen Testphase. Jede Nummer kann nur einem Benutzer gehören.

Für den Versand der SMS übermitteln wir Ihre Mobilfunknummer und den Nachrichtentext an die seven communications GmbH & Co. KG, Kiel, die in unserem Auftrag handelt. Den Code speichern wir nur als Hash und nur bis zu seinem Ablauf. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

6. Vertrag, Zahlung und Rechnungen

Wenn Sie einen Tarif abschließen, verarbeiten wir Tarif, Laufzeit, gebuchte Leistungen, Zahlart, Rechnungsbeträge und den Zahlungsstatus (Art. 6 Abs. 1 lit. b und lit. c DSGVO).

SEPA-Lastschrift: Erteilen Sie uns ein SEPA-Lastschriftmandat, verarbeiten wir Kontoinhaber, IBAN und, falls Sie sie angeben, die BIC. Gläubiger ist der Anbieter unter seiner eigenen Gläubiger-Identifikationsnummer; ein Zahlungsdienstleister ist daran nicht beteiligt. Diese Daten speichern wir selbst und übermitteln sie an Billomat (siehe unten), wo die Lastschrift erzeugt wird. Zum Nachweis, dass Sie das Mandat erteilt haben, speichern wir zusätzlich den Zeitpunkt, die Fassung des Mandatstextes, Ihre IP-Adresse und die Browserkennung; dazu sind wir als Gläubiger verpflichtet, wenn das Mandat online erteilt wird (Art. 6 Abs. 1 lit. b und lit. f DSGVO). Die vollständige IBAN bewahren wir nur zum jeweils geltenden Mandat auf: Ersetzen Sie Ihre Bankverbindung, bleiben von der alten nur die letzten vier Stellen.

Kreditkarte und PayPal: Diese Zahlungen wickelt die Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande, ab. Dazu übermitteln wir Name, Firma, E-Mail-Adresse und den Betrag; Kartendaten oder PayPal-Zugang geben Sie direkt bei Mollie ein. Kartendaten speichern wir nicht. Mollie verarbeitet diese Daten auch in eigener Verantwortung, etwa zur Betrugsvorbeugung und aufgrund gesetzlicher Pflichten; es gilt die Datenschutzerklärung von Mollie (mollie.com/de/privacy).

Rechnungen: Unsere Rechnungen erstellen und versenden wir mit Billomat, einem Dienst der Billomat GmbH & Co. KG, Nürnberg, die in unserem Auftrag handelt. Dazu übermitteln wir Firma, Ansprechpartner, Rechnungsanschrift, E-Mail-Adresse, Umsatzsteuer-Identifikationsnummer und die Rechnungspositionen. Zahlen Sie per SEPA-Lastschrift, übermitteln wir außerdem Kontoinhaber, IBAN, gegebenenfalls die BIC sowie Mandatsreferenz und Datum der Mandatserteilung, damit dort die Lastschrift erzeugt werden kann.

Prüfung der Umsatzsteuer-Identifikationsnummer: Geben Sie eine Nummer aus der EU oder der Schweiz an, prüfen wir sie über das Mehrwertsteuer-Informationsaustauschsystem (VIES) der Europäischen Kommission bzw. das UID-Register des Schweizer Bundesamts für Statistik (Art. 6 Abs. 1 lit. c DSGVO).

Rechnungen und Buchungsbelege bewahren wir für die Dauer der gesetzlichen Aufbewahrungsfristen auf (§ 257 HGB, § 147 AO).

7. E-Mails

Bestätigungen, Erinnerungen – etwa vor dem Ende der Testphase oder vor einer Löschung – und Hinweise zu Ihrem Vertrag senden wir über unseren eigenen Mailserver bei der Keyweb AG. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

8. Adresssuche

Die Adresssuche nutzt die Google Places API der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die Anfrage stellt unser Server, nicht Ihr Browser: Google erhält nur den eingegebenen Suchtext (ab drei Zeichen), den gewählten Vorschlag und eine zufällige Sitzungskennung, aber weder Ihre IP-Adresse noch Angaben zu Ihrem Konto. Eine Übermittlung in die USA ist nicht auszuschließen; die Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert. Suchergebnisse halten wir nur während Ihrer Sitzung vor, einen Suchverlauf speichern wir nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; enthält die Suche Adressen Dritter, verarbeiten wir sie im Auftrag des nutzenden Unternehmens (Abschnitt 2).

9. Karten, Ortssuche und Einzugsgebiete

Das Kartenmaterial stammt von OpenStreetMap. Unser Server lädt die Kartenkacheln und hält sie vor; Ihr Browser stellt keine Verbindung zu OpenStreetMap her. Für die Suche nach Orten fragt unser Server den Dienst Nominatim der OpenStreetMap Foundation an und übermittelt dabei nur den Suchbegriff; Ergebnisse speichern wir bis zu 90 Tage ohne Bezug zu einem Benutzer. Einzugsgebiete nach Fahrzeit berechnet ein Routing-Dienst auf unserem eigenen Server.

10. Cookies und Speicher im Browser

Die Anwendung verwendet nur technisch notwendige Cookies (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b und f DSGVO):

• sid – Sitzungs-Cookie für die Anmeldung; wird mit dem Ende der Sitzung gelöscht.
• remember – nur wenn Sie „Angemeldet bleiben“ wählen; hält Sie bis zu 30 Tage angemeldet. Der Wert wird bei jeder Nutzung erneuert und bei der Abmeldung gelöscht.

Im Speicher Ihres Browsers legen wir außerdem zwei Einstellungen ab, die Ihren Rechner nicht verlassen: ob die Heatmap eine lokale Skala nutzt und welche Datenpakete in der Demografie aufgeklappt sind (letzteres nur bis zum Schließen des Tabs).

Wir setzen keine Analyse-, Tracking- oder Werbewerkzeuge ein.

11. Protokolle in der Anwendung

Zur Nachvollziehbarkeit protokolliert die Anwendung Änderungen an gespeicherten Daten und an Gebieten mit Zeitpunkt und handelndem Benutzer. Technische Fehler protokollieren wir, um sie zu beheben; dabei können Angaben zur Anfrage anfallen. Scheitert eine Registrierung, halten wir nur die IP-Adresse und den Grund fest, nie die eingegebenen Daten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Fehlerprotokolle löschen wir nach 90 Tagen, die Einträge zu gescheiterten Registrierungen nach 30 Tagen. Änderungs- und Gebietsprotokolle bleiben, solange das Konto des Unternehmens besteht.

12. Speicherdauer und Löschung

Wir speichern Ihre Daten, solange Ihr Konto besteht. Endet die Testphase ohne Tarifabschluss oder endet Ihr Vertrag, bleiben die Daten sechs Monate gespeichert, damit Sie weiterarbeiten können, wenn Sie wieder einen Tarif abschließen. Ein bis zwei Monate vor Ablauf erinnern wir Sie per E-Mail. Danach löschen wir Standorte, Gebiete, Benutzerkonten und Protokolle. Buchungen und Rechnungen bewahren wir für die Dauer der gesetzlichen Pflichten auf.

13. Empfänger

Ihre Daten erhalten nur die in dieser Erklärung genannten Dienstleister, soweit es für den jeweiligen Zweck nötig ist. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter.

14. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Wenden Sie sich dazu an die oben genannten Kontaktdaten.

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere bei der für uns zuständigen Sächsischen Datenschutz- und Transparenzbeauftragten (datenschutz.sachsen.de).

15. Pflicht zur Bereitstellung

Die Angaben bei der Anmeldung sind für den Vertrag erforderlich; ohne sie können wir kein Konto einrichten. Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt.

Stand: September 2026. Wir passen diese Erklärung an, wenn sich die Anwendung oder die Rechtslage ändert.