# Datenschutzerklärung der FoxCar GmbH ## 1. Verantwortlicher und Datenschutzkontakt Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist: FoxCar GmbH Lothringerstraße 53 52070 Aachen Deutschland Vertreten durch den Geschäftsführer Malte Kretzschmar E-Mail: [service@foxcar.de](mailto:service@foxcar.de) Amtsgericht Aachen, HRB 25026 Umsatzsteuer-Identifikationsnummer: DE344992216 Ein Datenschutzbeauftragter ist nicht benannt. Datenschutzanfragen und Anträge zur Ausübung von Betroffenenrechten können an `service@foxcar.de` gerichtet werden. ## 2. Für welche Angebote diese Erklärung gilt Diese Erklärung gilt für die Verarbeitung personenbezogener Daten im Zusammenhang mit: - den kundenbezogenen Webseiten und Webanwendungen unter `foxcar.de` und den zugehörigen Subdomains, insbesondere der Informationsseite, Onlinebuchung, Kunden-, Zahlungs-, Gutschein- und Self-Service-Seiten sowie den hierfür benötigten APIs, - der freiwillig installierbaren FoxCar-App für Android und iOS, - der Anbahnung, Durchführung und Abrechnung von Fahrzeugmieten, - dem Kundenkonto, der Kommunikation und dem Kundenservice, - der Identitäts- und Führerscheinprüfung, - Zahlungen, Buchhaltung, Schadenbearbeitung sowie der Geltendmachung und Abwehr von Ansprüchen. Die Buchung und die dafür notwendigen Websysteme sind Teil der vertraglichen Leistung. Die Installation und Nutzung der mobilen App ist freiwillig. Wird eine optionale App-Funktion gewählt, werden die für diese Funktion erforderlichen Daten verarbeitet. ## 3. Allgemeine Rechtsgrundlagen Je nach Verarbeitung stützen wir uns insbesondere auf folgende Rechtsgrundlagen: - Art. 6 Abs. 1 Buchst. b DSGVO für vorvertragliche Maßnahmen und die Durchführung der Fahrzeugmiete oder eines sonstigen Vertrags, - Art. 6 Abs. 1 Buchst. c DSGVO für gesetzliche Pflichten, insbesondere handels- und steuerrechtliche Aufbewahrungs- und Nachweispflichten, - Art. 6 Abs. 1 Buchst. f DSGVO für berechtigte Interessen von FoxCar oder Dritten, soweit die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen, - Art. 6 Abs. 1 Buchst. a DSGVO, wenn wir eine freiwillige Einwilligung einholen. Bei Speicherung von Informationen auf einem Endgerät oder einem Zugriff auf dort gespeicherte Informationen beachten wir außerdem § 25 TDDDG. Technisch unbedingt erforderliche Speicherungen beruhen auf § 25 Abs. 2 Nr. 2 TDDDG. Nicht erforderliche Speicherungen und Zugriffe bedürfen grundsätzlich einer vorherigen Einwilligung nach § 25 Abs. 1 TDDDG. # Teil I – Webseiten und Onlinebuchung ## 4. Hosting, Datenbank, E-Mail und Serverprotokolle Unsere Webseiten, APIs, Datenbanken und E-Mail-Postfächer werden überwiegend durch folgenden Auftragsverarbeiter in Deutschland bereitgestellt: hosting.de GmbH Franzstraße 51 52064 Aachen Deutschland [Datenschutzhinweise von hosting.de](https://www.hosting.de/ueber-uns/datenschutz/) Mit hosting.de besteht ein Vertrag zur Auftragsverarbeitung. Die FoxCar-Systeme werden in Aachen gehostet. Beim Aufruf einer Webseite oder API werden technisch erforderliche Verbindungsdaten verarbeitet. Dazu gehören insbesondere: - IP-Adresse, - Datum und Uhrzeit des Abrufs, - aufgerufene Adresse und HTTP-Methode, - Referrer-Adresse, - Browser, Betriebssystem und User-Agent, - HTTP-Status, übertragene Datenmenge und technische Fehlermeldungen. Die Verarbeitung dient der Auslieferung der Inhalte, der Stabilität und Fehleranalyse sowie der Erkennung und Abwehr missbräuchlicher Zugriffe. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Unsere berechtigten Interessen liegen im sicheren, stabilen und nachvollziehbaren Betrieb unserer Angebote. Die von hosting.de geführten Webserver- und Fehlerprotokolle werden regulär nach sieben Tagen gelöscht. Protokolle, die zur Aufklärung eines konkreten Sicherheitsvorfalls benötigt werden, können bis zum Abschluss der Untersuchung und einer sich anschließenden Rechtsverfolgung gesondert gesichert werden. FoxCar-Sicherungskopien können gelöschte Daten noch bis zu zwölf Monate enthalten. Sicherungskopien werden ausschließlich zur Wiederherstellung und Absicherung der Systeme verwendet und im regulären Sicherungszyklus überschrieben. ## 5. Technisch erforderliche Cookies und lokale Speicherungen Die Webangebote verwenden Cookies und vergleichbare Speichermechanismen, soweit dies für die angeforderte Funktion erforderlich ist. Dazu gehören insbesondere: | Speicherung | Zweck | Laufzeit | | --- | --- | --- | | PHP-/Sitzungscookie | Sitzung, Login, Buchungs- und Self-Service-Ablauf | Browsersitzung; das Cookie enthält kein festes Ablaufdatum | | `foxcar_payment` | Schutz und Fortsetzung einer Zahlungsseite | bis zu 30 Minuten | | `tg_user` | Zuordnung eines angeforderten Telegram-Logins | Browsersitzung | | `auth_user` in IndexedDB, ersatzweise Local Storage | Wiederherstellung des angemeldeten Buchungskontos; das Zugriffstoken wird dort nicht dauerhaft gespeichert | bis zum Logout beziehungsweise zur lokalen Löschung | Rechtsgrundlage für die Endgerätespeicherung ist § 25 Abs. 2 Nr. 2 TDDDG. Die anschließende Verarbeitung erfolgt je nach Funktion nach Art. 6 Abs. 1 Buchst. b oder f DSGVO. Für nicht erforderliche Analysen, Werbung und externe Medien ist grundsätzlich eine vorherige Einwilligung erforderlich. Über die Schaltfläche „Datenschutz“ können Sie Ihre Auswahl treffen und jederzeit mit Wirkung für die Zukunft ändern. ## 6. Besuchswege, anonyme Gesamtzahlen und Drittanbieter-Messungen Über die Schaltfläche „Datenschutz“ können Sie „FoxCar Server Analyse“ und „Drittanbieter Messungen“ getrennt erlauben oder ablehnen. Beide Auswahlmöglichkeiten sind freiwillig und werden nur nach Ihrer Einwilligung aktiviert. Die gemeinsame Drittanbieter-Auswahl gilt für die hier beschriebenen aktivierten Anbieter; derzeit ist dies OpenAI. Ihre Buchung bleibt mit jeder Auswahl möglich, auch mit „Nur Notwendige“. ### Gesamtzahlen ohne Besucherkennung Unabhängig von dieser Auswahl zählen unsere Server technische Abrufe und Buchungsvorgänge unmittelbar als Summen je 15-Minuten-Intervall, festem Bereich und Ereignistyp. Dazu gehören die Auslieferung eines für die Website benötigten Skripts, Weiterleitungen über festgelegte Buchungs- und Kontaktlinks sowie Anfragen zu Fahrzeugen, Verfügbarkeit, Preisen und Buchungsanlage. Die Zähler speichern keine IP-Adresse, Browserinformationen, Kunden- oder Sitzungskennung, Herkunftsadresse oder Kampagnenparameter. Für diese Zähler setzen oder lesen wir keine Cookies und lösen keine zusätzlichen Messanfragen im Browser aus. Sie enthalten weder einzelne Besuchswege noch eine Anzahl unterschiedlicher Personen; wiederholte und automatisierte Abrufe können mitgezählt werden. Diese Beschreibung betrifft ausschließlich die Summenzähler. Die für den Website- und API-Betrieb bestehenden Serverprotokolle und die technische Protokollierung einzelner API-Aufrufe sind davon getrennte Verarbeitungen. ### FoxCar Server Analyse mit Einwilligung Wenn Sie zustimmen, verbinden wir Seitenaufrufe, Herkunftsdomains, Kampagnenkennzeichnungen, sichtbare Nutzungszeit, Buchungs- und Kontaktklicks sowie Schritte und Fehler im Buchungsablauf zu einem Besuch. So können wir Wege von der Startseite durch die Buchung und mögliche Abbrüche nachvollziehen. Seitenpfade werden ohne URL-Parameter oder Fragmente erfasst. Browserinformationen (User-Agent) helfen bei der technischen Auswertung und Bot-Erkennung. Bei angemeldeten Nutzern können wir Buchungsschritte dem Kundenkonto zuordnen; erfolgreiche Buchungen werden mit Buchungsreferenz und Buchungswert erfasst. Kontaktklicks enthalten keine Nachrichten oder eingegebenen Kontaktdaten. Die zufällige Sitzungskennung und die Herkunft werden im Cookie `foxcar_analytics_session` auf unseren FoxCar-Subdomains gespeichert. Es läuft nach 30 Minuten ohne erfasstes Ereignis ab. Eine Kennung für den Buchungsversuch liegt für die Dauer des Tabs im Sitzungsspeicher. Wir erzeugen dafür keinen dauerhaften Browser-Fingerprint. Ihre Auswahl wird für bis zu 180 Tage im Cookie `foxcar_tracking_consent` gespeichert. ### Drittanbieter Messungen: OpenAI Sofern diese Option angeboten wird und Sie zustimmen, speichern wir die von OpenAI bereitgestellte Anzeigen-Klickkennung `oppref` im Cookie `__oppref` für bis zu 30 Tage auf unseren Subdomains und geben sie beim Wechsel zur Buchung weiter. Nach erfolgreicher Buchungsanlage übermitteln unsere Server über die OpenAI Conversions API den Abschluss mit Zeitpunkt, Buchungswert in Euro, Anzeigen-Klickkennung, der Adresse der Buchungsseite und einer Ereigniskennung gegen Doppelzählungen. Das hilft, Buchungen einer Anzeige zuzuordnen. Hierfür laden wir keinen OpenAI-Pixel und senden keine Seitenaufrufe oder Buchungsstarts an OpenAI. Wir übermitteln keine Namen, E-Mail-Adressen, Telefonnummern, Kundenkennungen, Hashes solcher Angaben, IP-Adressen oder User-Agents unserer Besucher. Die Ereignisse werden mit einem Ausschluss von künftiger nutzerbezogener Personalisierung übermittelt. OpenAI kann die Anzeigen-Klickkennung für die Zuordnung verwenden; die Werbemessung ist daher nicht mit den anonymen Summenzählern gleichzusetzen. Daten können außerhalb der EU, insbesondere in den USA, verarbeitet werden. Weitere Informationen finden Sie in der [Datenschutzerklärung von OpenAI](https://openai.com/policies/privacy-policy/) und der [Beschreibung der Conversions API](https://developers.openai.com/ads/conversions-api). Die optionalen Speicherzugriffe für Besuchsanalyse und Werbemessung richten wir nach Ihrer Einwilligung gemäß [§ 25 TDDDG](https://www.gesetze-im-internet.de/ttdsg/__25.html). Personenbeziehbare Buchungsanalysedaten werden drei Jahre nach ihrer Erfassung anonymisiert. Dabei entfernt FoxCar insbesondere Kunden-, Buchungs-, Fahrzeug-, Sitzungs-, Versuchs- und Ereigniskennungen sowie detaillierte Buchungsangaben, Nutzeragenten und freie Metadaten. ## 7. Kundenkonto, Registrierung und Anmeldung Eine Onlinebuchung setzt ein Kundenkonto voraus; eine Gastbuchung ist nicht vorgesehen. Für Registrierung und Kontoverwaltung verarbeiten wir insbesondere: - Vorname und Nachname, - E-Mail-Adresse und Mobiltelefonnummer, - Straße, Hausnummer, Postleitzahl, Ort und Ländercode, - Passwort in Form eines kryptografischen Passwort-Hashes, - Kunden-, Login- und Tokenkennungen, - Zeitpunkt des letzten Logins, - IP-Adresse, Kennung des Loginversuchs, Versuchszähler, Zeitfenster und gegebenenfalls Sperrzeit zur Missbrauchsabwehr. Rechtsgrundlage für Konto und Login ist Art. 6 Abs. 1 Buchst. b DSGVO. Die Absicherung der Konten und Systeme erfolgt auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse liegt in der Verhinderung unbefugter Zugriffe und automatisierter Angriffe. Der Login erfolgt mit E-Mail-Adresse und Passwort oder, soweit auf der betreffenden Seite angeboten, über Telegram. Ein Login mit Google oder Apple wird nicht angeboten. Kontodaten werden grundsätzlich aufbewahrt, solange das Konto besteht. Eine automatische Löschung allein wegen Inaktivität ist nicht eingerichtet. Die Person kann ihr Konto in der FoxCar-App löschen oder sich an `service@foxcar.de` wenden. Daten, die noch für laufende Verträge, gesetzliche Pflichten oder Rechtsansprüche benötigt werden, werden nach Kontolöschung nur noch für diesen Zweck gesperrt weiterverarbeitet. Web-Zugriffstoken haben je nach Loginweg eine Gültigkeit von bis zu einem Monat, App-Zugriffstoken von bis zu zwölf Monaten. Auf dem Server werden Token nur gehasht gespeichert. Login- und Sicherheitsdaten wie abgelaufene Token, Authentifizierungssitzungen, Login-Herausforderungen, fehlgeschlagene Loginversuche und Rate-Limit-Einträge werden spätestens ein Jahr nach ihrer Erstellung beziehungsweise ihrem Ablauf automatisch gelöscht. ## 8. Onlinebuchung und Durchführung der Miete Zur Anbahnung, Durchführung und Abwicklung einer Fahrzeugmiete verarbeiten wir je nach Vorgang insbesondere: - Kunden- und Kontaktdaten, - Buchungsnummer, Fahrzeug und gebuchten Zeitraum, - Tarife, Preise, Kilometerpreis, Rabatte, Gutscheine und gewählte Zusatzoptionen, - Buchungs-, Bestätigungs-, Abhol-, Rückgabe-, Stornierungs- und Rechnungszeitpunkte, - Kilometerstände bei Abholung und Rückgabe, - Zahlungsstatus, Rechnungs- und Transaktionsbezug, - Buchungsnotizen, Kommunikation und Supportvorgänge, - Daten zu zusätzlichen Fahrerinnen und Fahrern, - Daten zu Fahrzeugzustand, Schäden, Unfällen, Verstößen und sonstigen Vertragsstörungen. Die Bereitstellung der im Buchungsformular als Pflichtfeld bezeichneten Daten ist für den Vertragsschluss erforderlich. Ohne Kundenkonto, vollständige Kontaktdaten und die notwendigen Buchungsangaben kann die Buchung nicht durchgeführt werden. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO. Handels- und steuerrechtlich erforderliche Unterlagen verarbeiten wir nach Art. 6 Abs. 1 Buchst. c DSGVO. Zur Betrugsprävention, zum Schutz der Fahrzeugflotte sowie zur Geltendmachung oder Abwehr von Ansprüchen verarbeiten wir erforderliche Daten nach Art. 6 Abs. 1 Buchst. f DSGVO. Handelsbücher, Abschlüsse und vergleichbare Unterlagen werden regelmäßig zehn Jahre, Buchungsbelege regelmäßig acht Jahre und Handels- oder Geschäftsbriefe regelmäßig sechs Jahre aufbewahrt, jeweils nach Maßgabe der anwendbaren gesetzlichen Fristberechnung. Nicht aufbewahrungspflichtige Vertragsdaten werden gelöscht, sobald sie für Vertragsabwicklung, Gewährleistung, Verjährung oder Rechtsverteidigung nicht mehr benötigt werden. ## 9. Identitäts- und Führerscheindokumente Vor oder im Zusammenhang mit einer Miete können Fotos folgender Dokumente hochgeladen werden: - Vorder- und Rückseite des Personalausweises oder eines vergleichbaren Identitätsdokuments, - Vorder- und Rückseite des Führerscheins, - ein zusätzliches, für die Prüfung erforderliches Dokument. Die Verarbeitung dient der Prüfung von Identität, Fahrerlaubnis und Mietberechtigung sowie der Dokumentation der ordnungsgemäßen Fahrzeugüberlassung. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO. Soweit Unterlagen für die Abwehr konkreter Ansprüche benötigt werden, beruht die weitere Verarbeitung auf Art. 6 Abs. 1 Buchst. f DSGVO. Gespeichert werden neben dem Bild die Kunden- und Uploaderkennung, Dokumentenart, Dateipfad, ursprünglicher Dateiname, MIME-Typ, Dateigröße und Uploadzeitpunkt. In hochgeladenen Bildern enthaltene EXIF- oder GPS-Metadaten bleiben erhalten. Ein Vorschaubild wird zusätzlich erzeugt. Beim Dokumentupload erhält ein interner Telegram-Chat eine Benachrichtigung mit Dokumentenart, Namen und Kundenkennungen der beteiligten Personen. Das Dokument selbst wird nicht an Telegram gesendet. Auf die Dokumente dürfen nur berechtigte Personen zugreifen. Nutzer können einzelne Dokumente in der App löschen, soweit keine vorrangige Aufbewahrungspflicht besteht. FoxCar löscht Ausweis- und Führerscheinfotos einschließlich zugehöriger Vorschaubilder und Datenbankeinträge automatisch zwölf Monate nach dem Upload. ## 10. Zusätzliche Fahrerinnen und Fahrer sowie Mitfahrende Von zusätzlichen Fahrerinnen und Fahrern erfasst FoxCar nur den Namen. Die buchende Person muss zur Angabe berechtigt sein und die zusätzliche Person vor der Übermittlung auf diese Datenschutzerklärung hinweisen. FoxCar verwendet die Namen zur Durchführung des Mietvertrags und zur Klärung von Schäden, Verstößen oder Ansprüchen nach Art. 6 Abs. 1 Buchst. b und f DSGVO. Fahrzeug- und Standortdaten können außerdem Personen betreffen, die das Fahrzeug abweichend vom Mieter führen oder mitfahren, auch wenn die Fahrzeugsensorik diese Personen nicht unterscheiden kann. Die buchende Person ist verpflichtet, alle berechtigten Fahrer über die Fahrzeugdatenerfassung zu informieren. Im Fahrzeug erscheint regelmäßig ein Hinweissymbol zur aktiven Datenübertragung. ## 11. Manuelle Risikoprüfung, Sperrliste und Creditreform FoxCar führt Buchungs- und Vertragsentscheidungen grundsätzlich manuell durch. Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung findet nicht statt. Zur Abwehr von Zahlungsausfällen, Betrug, erheblichem Vertragsmissbrauch und Gefahren für die Fahrzeugflotte führt FoxCar eine manuell gepflegte Sperrliste. Hierzu werden nur die zur sicheren Wiedererkennung und Dokumentation des Sperrgrundes erforderlichen Kunden- und Vorgangsdaten verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse liegt im Schutz vor erheblichen Zahlungsausfällen, Missbrauch und Schäden. Über die Aufnahme entscheidet FoxCar als Hausregel im Einzelfall nach persönlicher Bewertung; eine automatisierte Entscheidung findet nicht statt. Sperrlisteneinträge werden 30 Jahre ab ihrer Eintragung aufbewahrt und danach gelöscht. Nur in begründeten Verdachtsfällen kann FoxCar nach vorheriger Information der betroffenen Person eine Bonitätsauskunft bei folgendem Empfänger einholen: Creditreform Aachen Paul Raab KG Charlottenburger Allee 27–29 52068 Aachen [Datenschutzhinweise von Creditreform Aachen](https://www.creditreform.de/aachen/datenschutz) Für die CONSUMER-Auskunft übermittelt FoxCar Anrede, Vor- und Nachnamen, Geburtsdatum und aktuelle Anschrift sowie, soweit vorhanden und zur eindeutigen Zuordnung erforderlich, Geburtsnamen und eine zweite oder frühere Anschrift. Außerdem werden der konkrete Anlass und das berechtigte Interesse des Abrufs dokumentiert. Je nach gewählter Auskunftsvariante erhält FoxCar eine Adress- und Identitätsprüfung, eine Einordnung der Bonität in eine von sechs Risikoklassen und gegebenenfalls Informationen über bekannte Anschriften, gerichtliche Negativmerkmale, Insolvenzverfahren, Inkassovorgänge, negative Zahlungserfahrungen und Unternehmensbeteiligungen. Optionale mikrogeografische Daten werden nur verarbeitet, wenn sie Bestandteil der gewählten Auskunft sind. Die Auskünfte werden nach Angaben von Creditreform aus der Datenbank der infoscore Consumer Data GmbH, einem Unternehmen der Experian-Gruppe, erteilt. Das Ergebnis wird von einem Mitarbeiter geprüft und führt nicht automatisch zu einer Ablehnung, Sperre oder Kautionsentscheidung. FoxCar bewahrt die abgerufene Auskunft und das gespeicherte Ergebnis sechs Monate ab dem Abruf auf und löscht sie anschließend. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; die berechtigten Interessen liegen in einer der konkreten Risikolage angemessenen Prüfung der Zahlungsfähigkeit und im Schutz vor Zahlungsausfällen. ## 12. Schäden, Unfälle, Bußgelder und Rechtsansprüche Bei Schäden, Unfällen, Verkehrs- oder Parkverstößen und vergleichbaren Vorgängen verarbeiten wir je nach Fall insbesondere Namen, Kontakt- und Führerdaten, Buchungs- und Fahrzeugbezug, Ort und Zeitpunkt, Schilderung, Bildmaterial, Kosten, Korrespondenz, behördliche Akten- und Rechnungsdaten. Die Verarbeitung dient der Vertragserfüllung, der Erfüllung gesetzlicher Pflichten sowie der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. b, c und f DSGVO. Bei einem Verkehrs- oder Parkverstoß werden die zur Fahrer- beziehungsweise Mieterzuordnung erforderlichen Daten an die zuständige Ordnungs- oder sonstige Behörde weitergegeben. Je nach Vorgang können außerdem Polizei und Gerichte Daten erhalten. # Teil II – Fahrzeugstandort und Telemetrie ## 13. Verarbeitete Fahrzeugdaten Die FoxCar-Fahrzeuge übermitteln fortlaufend Fahrzeug- und Telemetriedaten über Tesla und den Dienst Tessie. Abhängig von Fahrzeugzustand und Schnittstelle umfasst dies insbesondere: - aktuelle und historische Positionen sowie Routen und Zeitpunkte, - Geschwindigkeit und Fahrtdaten, - Kilometerstand, - Ladezustand, Reichweite, Ladevorgänge, Energiemenge und Ladekosten, - Tür-, Verriegelungs- und Ladeanschlussstatus, - technische Zustände, Warnungen und Diagnosedaten, - Fahrzeugidentifikationsnummer und Zuordnung zur Buchung. FoxCar ruft keine Kamera-, Dashcam-, Innenraumkamera-, Bild- oder Audiodaten zentral ab und speichert solche Aufnahmen nicht zentral. Fahrzeugkameras können für fahrzeugeigene Sicherheits- und Assistenzfunktionen lokal verarbeiten; dies ist nicht Teil der von FoxCar abgerufenen Telemetrie. ## 14. Zwecke, Rechtsgrundlagen und Zugriff FoxCar verwendet die Fahrzeugdaten für folgende Zwecke: 1. Abrechnung von gefahrenen Kilometern und Ladekosten, 2. Fahrzeugübergabe und Rückgabe, 3. Flottenwartung, technische Diagnose und Betriebssicherheit, 4. konkret erforderlichen Live-Support während einer Miete, 5. Ortung bei Diebstahl, Unterschlagung oder erheblich verspäteter Rückgabe, 6. Aufklärung von Schäden, Unfällen und Vertragsverstößen sowie Geltendmachung oder Abwehr von Ansprüchen. Eine individuelle Bewertung des Fahrstils zur Preisbildung oder Sanktionierung findet nicht statt. Live-Position und Fahrverläufe dürfen organisatorisch nur von der Geschäftsführung und nur für einen der genannten Zwecke eingesehen werden. Weitere Zugänge dürfen nur nach dokumentierter Erforderlichkeit eingerichtet werden. Soweit Daten für Übergabe, Rückgabe, Support und Abrechnung erforderlich sind, ist Art. 6 Abs. 1 Buchst. b DSGVO die Rechtsgrundlage. Verarbeitung zum Schutz der Flotte, zur Aufklärung konkreter Vorfälle sowie zur Anspruchsdurchsetzung beruht auf Art. 6 Abs. 1 Buchst. f DSGVO. Unsere berechtigten Interessen liegen im Schutz der Fahrzeuge und der Kunden, einer nachvollziehbaren Abrechnung und der effektiven Aufklärung konkreter Schäden oder Rechtsfälle. Reguläre Positions-, Routen-, Fahrt-, Lade- und sonstige Telemetriedaten werden zehn Jahre gespeichert. Für einen konkreten Schaden-, Diebstahl- oder Rechtsfall gesicherte Daten werden ebenfalls bis zu zehn Jahre aufbewahrt, soweit sie für den Vorgang und die Abwehr oder Durchsetzung von Ansprüchen erforderlich sind. ## 15. Tesla und Tessie Die Fahrzeuge und die zugrunde liegende Fahrzeugplattform stammen von Tesla. Über die Tesla-Fahrzeug- beziehungsweise Flottenschnittstelle wird der Abruf durch autorisierte Drittanwendungen ermöglicht. Je nach Vertrag können Tesla Germany GmbH, Tesla Motors Netherlands B.V., Tesla, Inc. oder weitere in Teslas Datenschutzhinweisen genannte Gesellschaften Daten verarbeiten. [Datenschutzhinweise von Tesla](https://www.tesla.com/de_de/legal/privacy) FoxCar verwendet für den Abruf, die Darstellung und Auswertung der Fahrzeugtelemetrie außerdem: Tessie Technology LLC, USA [Datenschutzhinweise von Tessie](https://www.tessie.com/privacy) [Sicherheitsinformationen von Tessie](https://www.tessie.com/security) FoxCar übermittelt an Tessie unter anderem die für den Fahrzeugzugriff erforderliche Autorisierung. Fahrten werden bei Tessie mit Buchungsnummer, Initiale und Nachname gekennzeichnet. Tessie verarbeitet damit pseudonym beziehungsweise direkt einer Buchung zuordenbare Fahrzeug- und Standortdaten. Der Dienst sitzt in den USA; die vertragliche Rolle, die Unterauftragsverarbeiter, Serverregion, Löschfristen und konkrete Garantie für die Drittlandübermittlung werden derzeit anhand des FoxCar-Vertrags geprüft. # Teil III – Freiwillige FoxCar-App ## 16. App-Funktionen und eigenes FoxCar-Konto Die optionale FoxCar-App begleitet eine Miete. Sie bietet je nach Buchung und Fahrzeug insbesondere: - Anmeldung mit dem FoxCar-Konto, - Übersicht über Buchungen, Rechnungen und Mietdetails, - Start und Abschluss der Fahrzeugübernahme und -rückgabe, - Upload von Identitäts-, Führerschein-, Fahrzeug- und Schadenfotos, - Anzeige des Fahrzeugstandorts, - Fahrzeugaktionen wie Öffnen, Schließen, Hupen und Fahrtfreigabe, - Informationen zur Tesla-App, - eingebettete Neubuchung und Hilfeseiten, - Support über externe Telegram-Links, - Benachrichtigungseinstellungen und Kontolöschung. Die App greift für diese Funktionen auf die FoxCar-APIs unter `foxcar.de` zu. Dabei werden Konto-, Buchungs-, Fahrzeug-, Datei-, Geräte-, Verbindungs- und Sicherheitsdaten verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO, soweit die Verarbeitung für die gewählte App- oder Mietfunktion erforderlich ist. Sicherheitsverarbeitung beruht auf Art. 6 Abs. 1 Buchst. f DSGVO. ## 17. Geräteberechtigungen und lokale Speicherung Die App kann folgende Berechtigungen anfragen: - Internetzugriff, - Kamera und Fotomediathek beziehungsweise Dateien für vom Nutzer ausgelöste Dokument-, Fahrzeug- und Schadenuploads, - Benachrichtigungen für Push-Mitteilungen. Die App fordert keine Berechtigung zum Standort des Smartphones an und verarbeitet diesen nicht. Auf der Karte wird der vom Fahrzeug beziehungsweise vom FoxCar-Backend bezogene Fahrzeugstandort angezeigt. Auf dem Gerät werden verschlüsselt beziehungsweise im Betriebssystem-Schlüsselbund gespeichert: - FoxCar-Zugriffstoken, - Kundenkennung, Name, E-Mail-Adresse, Telefonnummer, Anschrift, Profilbild-URL, Gutscheinstand und Dokumentmetadaten, - Kennungen bereits gestarteter Fahrten. Sprache und Darstellungsmodus werden in den normalen App-Einstellungen des Geräts gespeichert. Beim Logout löscht die App die genannten lokalen FoxCar-Zugangs- und Profildaten. ## 18. Firebase, Push-Benachrichtigungen und App-Signale Für Anmeldung an der Push-Infrastruktur und den Versand von Push-Benachrichtigungen verwendet die App folgende Google-Firebase-Dienste: - Firebase Authentication mit einer Firebase-ID, die dem Kundenkonto zugeordnet wird, - Cloud Firestore für die Zuordnung der Firebase-ID zur FoxCar-Kundennummer und für Geräte-/Push-Token, - Cloud Functions for Firebase für Tokenregistrierung und Versand, - Firebase Cloud Messaging (FCM) für die Nachrichtenzustellung. In Firestore werden mindestens Firebase-ID, Erstellungszeitpunkt, FoxCar-Kundennummer, FCM-Token und Gerätetyp verarbeitet. Firebase Storage, Firebase Analytics und Firebase Crashlytics werden nicht verwendet. Anbieter für Nutzer im EWR ist grundsätzlich: Google Ireland Limited Gordon House, Barrow Street Dublin 4, Irland [Datenschutz und Sicherheit in Firebase](https://firebase.google.com/support/privacy/) Mit Google wurden die Datenverarbeitungsbedingungen akzeptiert. Firebase Authentication wird nach Angaben von Google ausschließlich in US-Rechenzentren betrieben; Firebase Cloud Messaging und weitere Firebase-Dienste nutzen globale Infrastruktur. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die vertraglichen Datenschutzbedingungen von Google. Die App fragt die Benachrichtigungsberechtigung des Betriebssystems ab. Erst nach Erteilung dieser Berechtigung wird ein Push-Token registriert. Notwendige Buchungs-, Miet- und Supporthinweise können nach Art. 6 Abs. 1 Buchst. b DSGVO versandt werden. Optionale Angebots-, Punkte-, allgemeine oder sonstige Werbemitteilungen erfordern eine gesonderte freiwillige Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO und gegebenenfalls § 7 UWG. Einstellungen können in der App geändert und die Betriebssystemberechtigung kann jederzeit entzogen werden. FCM-Token werden bei erkannter Ungültigkeit unmittelbar und ansonsten spätestens nach 365 Tagen ohne erneute Registrierung oder erfolgreiche Verwendung gelöscht. Technische Push-Aufträge einschließlich Zustellstatus und Fehlerangaben werden 30 Tage nach ihrer Verarbeitung gelöscht. Bei der Kontolöschung werden die Firebase-ID, die Firestore-Zuordnung und sämtliche zugehörigen Push-Token entfernt. Beim Öffnen oder Verwenden einzelner App-Funktionen können im eigenen FoxCar-Backend App-Signale gespeichert werden. Dazu gehören insbesondere Kundennummer, Signalname, Kanal, Kampagne, Ziel, Aktion, Buchungsnummer, Zeitpunkt und eine funktionsabhängige JSON-Nutzlast. Beim Öffnen einer Push-Nachricht kann die Nutzlast unter anderem Nachrichtenkennung, Versandzeitpunkt, Zielseite, Titel und Nachrichtentext enthalten. Die Daten dienen Funktionssteuerung, Zustell- und Fehleranalyse sowie der Nachvollziehbarkeit vom Nutzer ausgelöster App-Aktionen. ## 19. Google Maps in der App Die App verwendet Google Maps zur Anzeige des von FoxCar bereitgestellten Fahrzeugstandorts. Beim Öffnen der Karte verarbeitet Google insbesondere IP-Adresse, Geräte- und App-Informationen, Kartenabrufe und den dargestellten Fahrzeugstandort. Der Standort des Smartphones wird nicht an FoxCar übertragen. Anbieter ist Google Ireland Limited; eine Verarbeitung durch Google LLC und Unterauftragnehmer in Drittländern ist möglich. Die Karte wird erst aufgerufen, wenn die entsprechende App-Funktion genutzt wird. Die von FoxCar veranlasste Verarbeitung erfolgt zur Bereitstellung der gewählten Mietfunktion nach Art. 6 Abs. 1 Buchst. b DSGVO. Für die Verarbeitung durch Google gelten ergänzend die [Datenschutzhinweise von Google](https://policies.google.com/privacy?hl=de). ## 20. Foto- und Datei-Uploads in der App Über die App können die in Ziffer 9 genannten Identitäts- und Führerscheindokumente sowie Abhol-, Rückgabe-, Fahrzeug- und Schadenfotos hochgeladen werden. Die Dateien werden auf den eigenen FoxCar-Systemen bei hosting.de und nicht in Firebase Storage gespeichert. Bei Fahrzeug- und Schadenfotos verarbeiten wir Datei, Dateipfad, Uploaderkennung, Buchungsnummer, Bildart, Uploadzeit und einen gegebenenfalls eingegebenen Kommentar. Dateien, Vorschaubilder und Datenbankeinträge werden automatisch drei Jahre nach dem Upload gelöscht. Fotos, die für einen konkreten Schadens- oder Rechtsfall benötigt werden, unterliegen derselben Frist. ## 21. Eingebettete Webseiten und App-Stores Einzelne Buchungs-, Angebots- und Hilfeseiten werden in einer eingebetteten Webansicht geladen. Für diese Seiten gelten zusätzlich die Hinweise in Teil I. Die Webansicht kann technisch erforderliche Cookies und Website-Speicher nutzen. Beim Logout werden solche Webview-Daten nicht automatisch vollständig gelöscht. Beim Download der App verarbeiten Apple beziehungsweise Google als Betreiber des jeweiligen App-Stores insbesondere Kontokennung, Download- und Kaufhistorie, Geräte-, Zahlungs- und Nutzungsdaten in eigener Verantwortung. Es gelten die Datenschutzhinweise des jeweiligen App-Stores. ## 22. Löschung des App-Kontos Die Kontolöschung kann in der App unter **Profil – Einstellungen – Konto löschen** nach Eingabe des Passworts und erneuter Bestätigung beantragt werden. FoxCar entfernt danach die aktive Login-Identität, Zugriffstoken, Einstellungen, App-Signale, Firebase-IDs und Push-Token sowie den unmittelbaren Zugriff auf das Kundenprofil und anonymisiert die nicht mehr benötigten Stammdaten. Daten, die aufgrund laufender Verträge, gesetzlicher Aufbewahrungspflichten oder konkreter Rechtsansprüche noch benötigt werden, werden nur für diesen Zweck gesperrt aufbewahrt. Für Identitäts- und Fahrzeugfotos gelten die in Ziffer 9 und 20 genannten Regelfristen. # Teil IV – Kommunikation, Zahlung und Buchhaltung ## 23. E-Mail und sonstige Kontaktaufnahme Auf der Informationswebseite wird kein Kontaktformular eingesetzt. Bei Kontakt per E-Mail oder über einen anderen gewählten Kanal verarbeiten wir Kontaktdaten, Inhalt, Anlagen, Zeitpunkt und die zugehörige Korrespondenz. Bezieht sich die Anfrage auf eine Buchung oder einen Vertrag, ist Art. 6 Abs. 1 Buchst. b DSGVO die Rechtsgrundlage. Andere Anfragen bearbeiten wir nach Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse liegt in der sachgerechten Beantwortung und Dokumentation. E-Mail-Kommunikation wird grundsätzlich zehn Jahre ab Abschluss des jeweiligen Vorgangs gespeichert und anschließend gelöscht, sofern keine längere gesetzliche Aufbewahrungsfrist besteht. E-Mail-Dienstleister und Auftragsverarbeiter ist die hosting.de GmbH. Mit hosting.de besteht ein Vertrag zur Auftragsverarbeitung. ## 24. Telegram FoxCar bietet Telegram als Kommunikations- und, auf einzelnen Seiten, als Loginweg an. Dabei können insbesondere verarbeitet werden: - Telegram-ID, Benutzername, Vorname und Profilbild-URL, - Authentifizierungszeitpunkt und technische Prüfdaten des Telegram-Logins, - Nachrichten, Sprach- oder Mediendateien und Zeitpunkte, - Buchungsnummer und Zuordnung zum Kundenkonto, - bei Nachrichten von FoxCar Empfänger-ID und Nachrichtentext. FoxCar speichert Telegram-ID und Telegram-Name im Kundenprofil und kann buchungsbezogene ein- und ausgehende Nachrichten in der eigenen Datenbank speichern. Telegram wird außerdem für interne Benachrichtigungen genutzt, etwa bei Buchungen oder Dokumentuploads. Die Nutzung von Telegram als Supportkanal ist freiwillig; FoxCar kann alternativ per E-Mail kontaktiert werden. Rechtsgrundlage für buchungs- und vertragsbezogene Kommunikation ist Art. 6 Abs. 1 Buchst. b DSGVO, im Übrigen Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse liegt in einem effizienten, vom Kunden gewählten Kommunikationsweg. Telegram-Kommunikation einschließlich Sprach-, Bild- und Dokumentnachrichten wird grundsätzlich zehn Jahre ab Abschluss des jeweiligen Vorgangs gespeichert und anschließend gelöscht, sofern keine längere gesetzliche Aufbewahrungsfrist besteht. Anbieter ist Telegram Messenger Inc. mit Sitz außerhalb des EWR. Telegram benennt für Personen im EWR die European Data Protection Office, Avenue Huart Hamoir 71, 1030 Brüssel, Belgien, als Vertreter. Nach der [Datenschutzerklärung von Telegram](https://telegram.org/privacy) werden Daten von EWR-Nutzern in Rechenzentren in den Niederlanden gespeichert; Übermittlungen innerhalb der Telegram-Gruppe, unter anderem in die Britischen Jungferninseln und nach Dubai, können auf Standardvertragsklauseln beruhen. Telegram verarbeitet die Daten im Übrigen als eigener Verantwortlicher. Auf mehreren Buchungs-, Zahlungs- und Rückblickseiten wird das Telegram-Login- Widget unmittelbar von `telegram.org` geladen. Bereits beim Laden können IP-Adresse, Browser- und Gerätedaten an Telegram übermittelt werden. ## 25. Stripe Für Kartenzahlungen und den Gutscheinshop verwendet FoxCar Stripe Checkout. Anbieter im EWR ist: Stripe Payments Europe, Limited 1 Grand Canal Street Lower Grand Canal Dock, Dublin Irland [Datenschutzhinweise von Stripe](https://stripe.com/de/privacy) Je nach Zahlung übermittelt FoxCar insbesondere Betrag, Währung, Buchungs-, Rechnungs-, Kunden- oder Gutscheinbezug, Produkt- und Zeitraumbezeichnung, Zahlungsquelle und beim Gutscheinkauf die Käufer-E-Mail-Adresse. Stripe erhebt Zahlungs- und Kartendaten unmittelbar. FoxCar speichert keine vollständigen Kartendaten. Rechtsgrundlage der von FoxCar veranlassten Zahlungsabwicklung ist Art. 6 Abs. 1 Buchst. b DSGVO. Soweit gesetzliche Nachweise erforderlich sind, gilt Art. 6 Abs. 1 Buchst. c DSGVO. Stripe verarbeitet bestimmte Daten als eigener Verantwortlicher, insbesondere zur Betrugsprävention und Erfüllung eigener gesetzlicher Pflichten. ## 26. PayPal und Banküberweisung Bei Auswahl von PayPal wird ein Zahlungslink geöffnet. Dabei übermittelt FoxCar den Betrag und einen Buchungs- oder Rechnungsbezug in der Artikelbezeichnung. Weitere Konto- und Zahlungsdaten gibt die Person direkt bei PayPal ein. Anbieter ist PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg. PayPal verarbeitet die Daten als eigener Verantwortlicher. [Datenschutzhinweise von PayPal](https://www.paypal.com/de/legalhub/paypal/privacy-full) Bei Banküberweisung verarbeiten FoxCar und die beteiligten Banken insbesondere Kontoinhaber, IBAN, Betrag, Verwendungszweck, Buchungs- oder Rechnungsbezug und Buchungsdatum. Die Rechtsgrundlage ist jeweils Art. 6 Abs. 1 Buchst. b und, soweit Aufbewahrungspflichten bestehen, Buchst. c DSGVO. Auf der geöffneten Überweisungsansicht wird eine QR-Code-Bibliothek über den Dienst `jsDelivr` geladen. Dabei können IP-Adresse, Browserdaten, Zeitpunkt und aufgerufene Adresse an den CDN-Anbieter übermittelt werden. ## 27. Rechnungsstellung und Lexware Office FoxCar verwendet Lexware Office für Kundenkontakte, Rechnungen, Zahlungszuordnung und Buchhaltung. Dabei werden insbesondere Kundenkennung, Vor- und Nachname, Anschrift, E-Mail-Adresse, Telefonnummer, Buchungs- und Vertragsbezug, Rechnungspositionen, Schadensbeschreibung, Rechnungsnummer, Beträge, Fälligkeit und Zahlungsstatus verarbeitet. Anbieter und Auftragsverarbeiter ist: Haufe-Lexware GmbH & Co. KG Munzinger Straße 9 79111 Freiburg Deutschland [Datenschutz und Datensicherheit bei Lexware Office](https://www.lexware.de/datenschutz-datensicherheit/) Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. b DSGVO für Vertragsabwicklung und Art. 6 Abs. 1 Buchst. c DSGVO für handels- und steuerrechtliche Pflichten. Lexware Office stellt einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO bereit. # Teil V – Externe Inhalte und frühere Affiliate-Funktion ## 28. Externe Bibliotheken und Widgets Auf der Informationswebseite sind keine Google-Maps- oder YouTube-Inhalte eingebettet. Ein vorhandener Google-Maps-Link wird erst beim Anklicken geöffnet. Die Kontaktseite enthält nur E-Mail- und Telegram-Links und kein Formular. Auf einzelnen Buchungs-, Gutschein- und Kampagnenseiten werden externe Ressourcen geladen: - eine QR-Code-Bibliothek von `cdn.jsdelivr.net` (jsDelivr), - auf der Jahresrückblickseite zusätzlich das Telegram-Widget. Beim Abruf können die Anbieter insbesondere IP-Adresse, Browser- und Geräteinformationen, Zeitpunkt, Referrer und aufgerufene Seite verarbeiten. FoxCar stellt ersetzbare Bibliotheken und statische Dateien lokal bereit. Externe funktionsnotwendige Ressourcen werden nur geladen, wenn die betreffende Funktion ausdrücklich aufgerufen wird. Nicht erforderliche Ressourcen bedürfen einer vorherigen Einwilligung. ## 29. Frühere Affiliate- und Google-Ads-Funktion Für frühere Affiliate-Programme existiert weiterhin die Seite `/netads/`. Beim Aufruf wird ein Cookie `referrer` mit dem Wert des Vermittlerkanals für 60 Tage gesetzt. Der Cookie enthält keine Buchungsdetails. In der FoxCar-Datenbank kann der Vermittlerkanal jedoch mit Analyse- oder Buchungsdaten zusammengeführt werden. An den Affiliate-Partner wurde nur eine Gesamtsumme und keine einzelne Buchung übermittelt. Das Programm wird seit 2022 nicht aktiv eingesetzt. Der weiterhin erreichbare Pfad lädt Google Ads über `googletagmanager.com` und enthält Conversion-Code. Dabei können Online-Kennungen, IP-Adresse, Geräte- und Nutzungsdaten an Google übertragen werden. Affiliate- und Google-Ads-Tracking darf nur nach vorheriger Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 Buchst. a DSGVO aktiviert werden. Bei einer Reaktivierung wird FoxCar zusätzlich über beteiligte Partner, konkrete Daten, Empfänger, Auswertungszweck und Laufzeiten informieren. # Teil VI – Empfänger, Übermittlungen und Aufbewahrung ## 30. Empfänger und Empfängerkategorien Abhängig vom Vorgang können insbesondere folgende Empfänger Daten erhalten: - hosting.de als Hosting-, Datenbank-, Backup- und E-Mail-Dienstleister, - Google und Apple für App-Betrieb, Push-Infrastruktur, Karten und App-Stores, - Tesla und Tessie für Fahrzeugplattform, Fahrzeugzugriff und Telemetrie, - Telegram als gewählter Kommunikations- oder Loginanbieter, - OpenAI für die einwilligungsbasierte Messung von Anzeigen-Conversions, - Stripe, PayPal und beteiligte Banken für Zahlungen, - Haufe-Lexware für Rechnungsstellung und Buchhaltung, - Creditreform im begründeten Einzelfall, - die Steuerberaterin Ulrike Ohrner ausschließlich für Rechnungsdaten im Rahmen der Buchhaltung und steuerlichen Beratung, - Polizei, Ordnungs- und Bußgeldbehörden, Gerichte, Finanzbehörden und andere öffentliche Stellen, soweit die Übermittlung gesetzlich vorgeschrieben oder zur Bearbeitung eines konkreten Vorgangs erforderlich ist. Auftragsverarbeiter werden nach Art. 28 DSGVO vertraglich gebunden. Andere Empfänger verarbeiten Daten in eigener Verantwortung, soweit dies durch ihre gesetzliche oder vertragliche Rolle bestimmt ist. ## 31. Übermittlung in Drittländer Bei Google, Apple, Tesla, Tessie, Telegram und OpenAI kann eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums stattfinden. Eine Übermittlung erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Je nach Empfänger kann dies insbesondere auf einem Angemessenheitsbeschluss der Europäischen Kommission, einschließlich des EU-US Data Privacy Framework für zertifizierte US-Unternehmen, oder auf Standardvertragsklauseln der Europäischen Kommission und erforderlichen zusätzlichen Schutzmaßnahmen beruhen. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert. Für Tessie werden die konkrete Transfergarantie und die vertraglichen Schutzmaßnahmen noch geprüft. Informationen zu anwendbaren Garantien und eine Möglichkeit, eine Kopie zu erhalten, können über `service@foxcar.de` angefragt werden. ## 32. Zusammenfassung der Lösch- und Aufbewahrungsregeln | Datenart | Regel | | --- | --- | | Webserver- und Fehlerprotokolle | sieben Tage | | FoxCar-Backups | bis zu zwölf Monate; nur für Wiederherstellung und Systemsicherung | | Kundenkonto | bis zur Kontolöschung; keine automatische Löschung nur wegen Inaktivität | | Ausweis- und Führerscheinfotos | zwölf Monate nach Upload | | Fahrzeug-, Übergabe- und Rückgabefotos | drei Jahre nach Upload | | Buchungs-, Vertrags-, Rechnungs- und Zahlungsbelege | nach Zweck, gesetzlichen Aufbewahrungsfristen und Verjährung; regelmäßig sechs, acht oder zehn Jahre je Unterlagenart | | reguläre Standort-, Fahrt-, Lade- und Telemetriedaten | zehn Jahre | | Daten zu konkretem Schaden, Diebstahl oder Rechtsstreit | bis zu zehn Jahre, soweit für Vorgang und Ansprüche erforderlich | | Buchungsanalyse | nach drei Jahren Anonymisierung | | Login-, Sperr- und Sicherheitsdaten | spätestens ein Jahr nach Erstellung beziehungsweise Ablauf | | Telegram- und E-Mail-Kommunikation | zehn Jahre ab Abschluss des jeweiligen Vorgangs; länger nur bei gesetzlicher Aufbewahrungspflicht | | Firebase-IDs und Push-Token | bis zur Kontolöschung; ungültige Token unmittelbar, sonst spätestens nach 365 Tagen ohne erneute Registrierung oder erfolgreiche Verwendung | | Firebase-Push-Aufträge und Zustellstatus | 30 Tage nach der Verarbeitung | | manuelle Sperrliste | 30 Jahre ab Eintragung | | Creditreform-CONSUMER-Auskunft und gespeichertes Ergebnis | sechs Monate ab Abruf | Nach Wegfall des Zwecks werden Daten gelöscht oder so anonymisiert, dass eine Zuordnung zu einer Person nicht mehr möglich ist. Eine längere Aufbewahrung ist nur zulässig, soweit sie für gesetzliche Pflichten oder einen konkreten Rechtsanspruch erforderlich ist. ## 33. Pflicht zur Bereitstellung Pflichtfelder für Konto, Buchung, Identitäts- und Führerscheinprüfung sowie Zahlungsabwicklung sind für Abschluss und Durchführung der Fahrzeugmiete erforderlich. Ohne diese Daten kann FoxCar kein Fahrzeug überlassen. Freiwillige Angaben, die Nutzung der mobilen App, optionale Benachrichtigungen und Einwilligungen sind als solche zu behandeln. Ihre Ablehnung verhindert die Webbuchung nicht; lediglich die jeweilige optionale Funktion kann dann nicht bereitgestellt werden. ## 34. Keine ausschließlich automatisierten Entscheidungen FoxCar trifft keine ausschließlich automatisierten Entscheidungen einschließlich Profiling im Sinne von Art. 22 DSGVO. Bonitätsprüfungen, Sperrlisten, Kautionsentscheidungen und Buchungsentscheidungen werden von einem Mitarbeiter geprüft. Die eigenen Buchungs- und App-Analysen werden nicht für eine automatisierte individuelle Preisbildung oder Ablehnung verwendet. ## 35. Rechte betroffener Personen Unter den gesetzlichen Voraussetzungen bestehen insbesondere folgende Rechte: - Auskunft nach Art. 15 DSGVO, - Berichtigung nach Art. 16 DSGVO, - Löschung nach Art. 17 DSGVO, - Einschränkung der Verarbeitung nach Art. 18 DSGVO, - Datenübertragbarkeit nach Art. 20 DSGVO, - Widerspruch nach Art. 21 DSGVO, - Widerruf einer Einwilligung mit Wirkung für die Zukunft. Wenn wir Daten auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO verarbeiten, kann aus Gründen, die sich aus der besonderen Situation der betroffenen Person ergeben, Widerspruch eingelegt werden. Gegen Direktwerbung kann jederzeit ohne Angabe besonderer Gründe widersprochen werden. Anträge können an `service@foxcar.de` gerichtet werden. Zur Verhinderung einer unbefugten Auskunft kann FoxCar einen angemessenen Identitätsnachweis verlangen. Dabei soll vorrangig auf bereits vorhandene Kontoinformationen oder eine Bestätigung über den bestehenden Kommunikationskanal zurückgegriffen werden, anstatt eine neue Ausweiskopie anzufordern. ## 36. Beschwerderecht Betroffene Personen können sich bei einer Datenschutzaufsichtsbehörde beschweren. Die für FoxCar regelmäßig zuständige Behörde ist: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen Kavalleriestraße 2–4 40213 Düsseldorf E-Mail: [poststelle@ldi.nrw.de](mailto:poststelle@ldi.nrw.de) [www.ldi.nrw.de](https://www.ldi.nrw.de/) ## 37. Datensicherheit FoxCar trifft angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Hierzu gehören insbesondere verschlüsselte Übertragung, rollenbezogene Zugriffe, Passwort-Hashing, serverseitig gehashte Zugriffstoken, Sicherheits- und Rate-Limit-Verfahren sowie Sicherungskopien. Die Maßnahmen werden risikoorientiert überprüft und weiterentwickelt. ## 38. Aktualisierung Diese Datenschutzerklärung wird angepasst, wenn sich Verarbeitungen, Dienstleister oder rechtliche Anforderungen ändern. Es gilt die jeweils in den Webangeboten und der App verlinkte aktuelle Fassung. Stand: **6. September 2026**