Datenschutzerklärung

Verantwortlicher für die in dieser Erklärung beschriebenen personenbezogenen Daten ist: „АНДИМАКС“ ООД ("Andimax" Ltd.), eine Gesellschaft mit beschränkter Haftung (bulg. ООД) nach bulgarischem Recht, eingetragen im bulgarischen Handelsregister. UIC (ЕИК): 203076382 USt-IdNr.: BG203076382 Sitz: Bulgaria, Sofia 1113, Izgrev district, Iztok, 1 Samokov St., fl. 8, ap. 37 Vertreten durch: Върбин Христов Дичев; Георги Руменов Бояджиев Unternehmensseite: https://www.andimax.net/ TOVR ist der Handelsname der von dieser Gesellschaft betriebenen Plattform. Kontakt zu allen Fragen aus dieser Erklärung: [email protected] Sicherheitsmeldungen: [email protected] Die vollständigen Unternehmensangaben haben eine eigene Seite — siehe Impressum.

Wir haben KEINEN Datenschutzbeauftragten bestellt. Wir sagen das ausdrücklich, weil Art. 37 DSGVO die Bestellung in bestimmten Fällen vorschreibt und Sie wissen dürfen, welche Position wir einnehmen. Nach unserer Einschätzung besteht unsere Kerntätigkeit im Betrieb einer Frachtplattform und nicht in der umfangreichen Überwachung von Personen; die Schwellen des Art. 37 Abs. 1 lit. b und c sind derzeit nicht erreicht. Abschnitt 10 erläutert, warum das eine Wertung und keine Selbstverständlichkeit ist und was wir stattdessen tun. Alle Datenschutzfragen gehen an [email protected] und werden von der Geschäftsführung bearbeitet.

Konto- und Nutzerdaten • Name, geschäftliche E-Mail-Adresse, von unserer Authentifizierung verarbeitete Anmeldedaten, Anmeldeverfahren, Profilbild, sofern hochgeladen. • Oberflächeneinstellungen: Sprache, Zeitzone, Einheiten, Anzeigewährung. • Aktivität im Produkt: Anmeldungen, Aktionen an Sendungen, Ketten und Angeboten. Unternehmensdaten • Firmenname, Anschrift, UIC/USt-IdNr., Transportlizenzen, CMR-Versicherung und die dazu hochgeladenen Nachweise. • Rechnungsanschrift, Rechnungen und Zahlungsstatus. Kartendaten verarbeitet Stripe; sie erreichen unsere Server nie. Betriebsdaten • Kennzeichen, Positionen, Verfügbarkeitsfenster und Kapazitäten von Fahrzeugen, aus Telematik-Integrationen oder öffentlichen Radaren. • Fahrerdaten, soweit eine Telematik-Integration sie liefert: Name, Führerscheinnummer, Lenk- und Arbeitszeiten aus dem Tachographen, Ruhezeiten, Eco-Driving-Bewertungen. • Sendungen, Routen, Preise, Angebote und Verhandlungsergebnisse. Kontakte und Kommunikation • Namen, Telefonnummern und E-Mail-Adressen von Kontakten bei Frachtführern und Verladern, auch von Personen, die keine TOVR-Nutzer sind. • Inhalte von E-Mails, Chatnachrichten und Telefonaten über die Plattform sowie Gesprächstranskripte. • KI-erzeugte Zusammenfassungen und Verhaltensprofile von Kontakten — Reaktionsfreude, Verhandlungsverhalten, Zuverlässigkeit — in unseren Contact-Intelligence-Tabellen. Technische Daten • IP-Adresse, User Agent, Zeitstempel und Fehlerdiagnosen. • Produktanalyse und Sitzungsaufzeichnung, aber NUR mit Ihrer Einwilligung — siehe Abschnitt 13.

Bereitstellung der Plattform für Ihr Unternehmen — Art. 6 Abs. 1 lit. b DSGVO, Vertragserfüllung (für unsere Nutzer), und Art. 6 Abs. 1 lit. f, berechtigtes Interesse (für benannte Kontakte bei einem Kunden oder Frachtführer, die selbst nicht Vertragspartei sind). Frachtvermittlung, Kettenbildung und Disposition einschließlich Verarbeitung von Fahrzeugpositionen und Fahrerzeiten — Art. 6 Abs. 1 lit. b und lit. f. Das berechtigte Interesse ist das Interesse unseres Kunden am rechtskonformen und wirtschaftlichen Flottenbetrieb sowie unser Interesse an der Leistungserbringung. KI-Unterstützung in TOVR fOS: Disposition in natürlicher Sprache, Dokumentenauswertung, Entwurf und Verhandlung von Nachrichten — Art. 6 Abs. 1 lit. b für Daten Ihres eigenen Unternehmens, lit. f für darin enthaltene Kontaktdaten Dritter. Kontaktaufnahme mit Frachtführern und Verladern im Auftrag eines Kunden, per E-Mail, Chat oder Telefon — Art. 6 Abs. 1 lit. f. Unser berechtigtes Interesse ist die Organisation von Transporten, Ihres die Erreichbarkeit zu Fracht, die Sie angeboten oder gesucht haben. Sie können jederzeit widersprechen, siehe Abschnitt 11. Profilbildung zu Kontakten bei Frachtführern und Verladern, um passende Partner für eine Ladung zu reihen — Art. 6 Abs. 1 lit. f. Was dabei entschieden wird und was nicht, steht in Abschnitt 9. Abrechnung, Buchhaltung und Steuern — Art. 6 Abs. 1 lit. b und lit. c, rechtliche Verpflichtung nach bulgarischem Handels- und Steuerrecht. Sicherheit, Missbrauchsabwehr, Rate Limiting und Audit-Protokolle — Art. 6 Abs. 1 lit. f. Produktanalyse und Sitzungsaufzeichnung — Art. 6 Abs. 1 lit. a, Einwilligung, sowie Art. 5 Abs. 3 der ePrivacy-Richtlinie für das Speichern und Auslesen auf Ihrem Endgerät. Wir stützen davon NICHTS auf ein berechtigtes Interesse. Vor Ihrer Antwort auf das Banner wird nichts geladen, und der Widerruf ist ein Klick. Werbe-E-Mails an Personen, die sie angefordert haben — Art. 6 Abs. 1 lit. a, Einwilligung, in jeder Nachricht widerrufbar.

Manche Personen, deren Daten wir halten, haben sich nie bei TOVR angemeldet. Art. 14 DSGVO verlangt, dass wir die Quelle nennen: • Telematikanbieter, die ein Frachtführer angebunden hat — Frotcom, Mapon, Wialon, OBS, Volvo, ZF Transics und andere. Quelle von Fahrzeugpositionen und Fahrerdaten einschließlich Tachographenzeiten. • Frachtenbörsen und Ladungsbörsen — TIMOCOM, LKW Walter, Trans.eu / Teleroute, Lardi-Trans, Cargopedia, Saloodo, CargoRadar, Transporeon. Quelle von Sendungsangeboten und der daran hängenden Kontaktdaten. • Öffentliche Register und öffentliche Unternehmensdaten zur Verifizierung. • Unsere Kunden selbst, die Kontaktdaten ihrer Partner eingeben oder importieren. • Von einem Nutzer angebundene Postfächer (Gmail oder Microsoft 365), deren Nachrichteninhalte zur Extraktion von Frachtinformationen gelesen werden. Wenn Sie zu diesen Personen gehören, gibt es eine eigens für Sie geschriebene Information: siehe „Hinweis für Fahrer und Kontakte“.

Innerhalb von TOVR ist der Zugriff auf die Organisation beschränkt, zu der die Daten gehören, und wird bei jeder Abfrage von unserer Autorisierungsschicht durchgesetzt. Unsere Mitarbeitenden greifen nur auf Produktivdaten zu, soweit Support oder Störungsbearbeitung es erfordert. Außerhalb von TOVR setzen wir Auftragsverarbeiter ein. Die vollständige Liste mit Land und erhaltenen Daten steht auf einer eigenen Seite: Unterauftragsverarbeiter. Kurz gefasst sind das unser Hoster (Hetzner, Deutschland), unser Ingress-Anbieter (Cloudflare), AWS in eu-central-1 für E-Mail und Dateispeicher, Stripe für die Abrechnung, PostHog EU Cloud für eingewilligte Analyse, KI-Anbieter für den Assistenten, Sprachanbieter für Telefonie sowie die von Ihnen angebundenen Frachtenbörsen und Telematiksysteme. Wir übertragen Vermittlungsergebnisse außerdem zurück in angebundene Systeme von Frachtführern, sofern ein Kunde sie verbunden hat. Wir verkaufen KEINE personenbezogenen Daten und betreiben weder Werbung noch seitenübergreifendes Tracking. An Behörden geben wir Daten nur weiter, soweit wir rechtlich dazu verpflichtet sind.

Anwendung, Datenbank und Geo-Stack werden in Deutschland gehostet. Die Analyse läuft, sofern eingewilligt, in der EU-Cloud von PostHog. Einige Auftragsverarbeiter sitzen in den Vereinigten Staaten: Anthropic, Deepgram, ElevenLabs, Cartesia, Telnyx sowie Teile von Cloudflare, Stripe, Google und Microsoft. Übermittlungen erfolgen auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914), ergänzt um Transportverschlüsselung und — soweit der Anbieter teilnimmt — das EU-US Data Privacy Framework. Eine Kopie der für eine bestimmte Übermittlung geltenden Garantien erhalten Sie unter [email protected]. Adresssuche und Routenberechnung verlassen unsere Infrastruktur NICHT: wir betreiben eigene Photon- und Valhalla-Instanzen, statt Adressen an einen Kartendienst zu senden.

• Konto- und Unternehmensdaten: für die Dauer des Kontos, danach 5 Jahre entsprechend den bulgarischen handelsrechtlichen Aufbewahrungspflichten. • Rechnungen, Zahlungsbelege und Buchhaltungsdaten: 10 Jahre nach bulgarischem Steuerrecht. • Positionshistorie von Fahrzeugen: 90 Tage, danach aggregiert, sodass weder Fahrzeug noch Fahrer identifizierbar bleiben. • Fahrerdaten einschließlich Lenk- und Arbeitszeiten: 12 Monate ab Erhebung, sofern nicht die eigene gesetzliche Aufbewahrungspflicht des Frachtführers länger läuft — dann ist es dessen Aufzeichnung und nicht unsere. • Sendungen, Ketten, Angebote und deren Ergebnisse: Kontodauer plus 5 Jahre als Handelsunterlagen. • Chattranskripte und KI-Konversationen: 24 Monate. • Gesprächsaufnahmen: 30 Tage. Transkripte: 12 Monate. • Contact-Intelligence-Profile: 24 Monate ab der letzten Interaktion, danach Löschung. • API-Metadaten (Zeitstempel, Toolname, Antwortstatus): 30 Tage. Anfrageinhalte werden nicht protokolliert. • Sicherheits- und Auditprotokolle: 12 Monate. • Eingewilligte Analyse und Sitzungsaufzeichnung: wie in PostHog konfiguriert, derzeit 12 Monate für Ereignisse und 30 Tage für Aufzeichnungen. Kollidiert eine Frist mit einer gesetzlichen Aufbewahrungspflicht, geht die Pflicht vor, und wir behalten nur das, was sie umfasst.

TOVR bewertet und reiht. TOVR entscheidet nicht. Wir bilden Profile von Kontakten bei Frachtführern und Verladern — wie schnell sie antworten, wie sie verhandeln, wie zuverlässig sie eine Ladung abschließen — und bewerten Frachtvorschläge und Preisempfehlungen. Beides ORDNET, was ein Disponent sieht, und speist Entwürfe von Nachrichten, die ein Disponent versendet. Welcher Frachtführer angesprochen wird, welches Angebot abgegeben und welche Ladung vergeben wird, entscheidet ein Mensch. Es gibt keine automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 Abs. 1 DSGVO. Wir nehmen diese Position bewusst ein und tragen die Folge: Sollten wir eine Vergabe oder Absage jemals durchgängig automatisieren, ändert sich dieser Abschnitt und die Garantien des Art. 22 Abs. 3 greifen. Wenn Sie meinen, eine Entscheidung über Sie sei ohne menschliche Beteiligung getroffen worden, schreiben Sie an [email protected]; wir sagen Ihnen, was geschehen ist, und korrigieren es.

Wir halten Lenk- und Arbeitszeiten, Ruhezeiten, Eco-Driving-Bewertungen und KI-erzeugte Verhaltensprofile. Bezogen auf Fahrer und Kontakte sind das Daten über das Arbeitsverhalten von Personen, fortlaufend erhoben und systematisch ausgewertet. Ob das eine „umfangreiche regelmäßige und systematische Überwachung“ im Sinne der Art. 35 und 37 DSGVO ist, lässt sich vertreten — und wir beziehen lieber Position, als zu schweigen. Unsere Position: die Überwachung ist regelmäßig und systematisch, aber in unserem derzeitigen Maßstab nicht umfangreich im Sinne der Leitlinien der Artikel-29-Datenschutzgruppe — Zahl der Betroffenen, geografische Ausdehnung und Dauer sind begrenzt, und die Daten jedes Frachtführers werden allein für diesen verarbeitet. Was wir tun, weil sich das ändern kann: • Für die Verarbeitung von Fahrerdaten und für die Kontaktprofilbildung liegt eine Datenschutz-Folgenabschätzung vor, die wir bei wesentlichen Änderungen überprüfen. • Wir halten die Tachographen-Frist kurz (12 Monate) und die Positionshistorie kürzer (90 Tage). • Ändert sich der Maßstab, bestellen wir einen Datenschutzbeauftragten und veröffentlichen das hier. Wenn Sie unsere Einschätzung nicht teilen, hören wir das gern: [email protected].

Nach der DSGVO haben Sie das Recht auf: • Auskunft — eine Kopie der zu Ihnen gespeicherten Daten und die Angaben aus dieser Erklärung (Art. 15); • Berichtigung — Korrektur unrichtiger und Vervollständigung unvollständiger Daten (Art. 16); • Löschung — soweit ein Grund nach Art. 17 vorliegt; • Einschränkung — dass wir die Verarbeitung anhalten und die Daten aufbewahren, solange ein Streit geklärt wird (Art. 18); • Datenübertragbarkeit — die von Ihnen bereitgestellten Daten in maschinenlesbarem Format und, soweit technisch machbar, Übermittlung an einen anderen Verantwortlichen (Art. 20); • Widerspruch — gegen jede auf berechtigtem Interesse beruhende Verarbeitung einschließlich Profiling, aus Gründen Ihrer besonderen Situation (Art. 21 Abs. 1), und UNBEDINGT gegen Direktwerbung (Art. 21 Abs. 2); • Widerruf der Einwilligung — jederzeit, ohne die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung zu berühren (Art. 7 Abs. 3); • keiner ausschließlich automatisierten Entscheidung unterworfen zu werden (Art. 22) — siehe Abschnitt 9. Schreiben Sie dazu an [email protected] oder nutzen Sie die Datenschutz-Einstellungen in Ihrem Konto. Wir antworten innerhalb eines Monats, bei komplexen Anfragen verlängerbar um zwei weitere Monate; wir sagen Ihnen, wenn wir die Verlängerung brauchen. Kosten entstehen nicht. Sind Sie Fahrer oder geschäftlicher Kontakt und kein TOVR-Nutzer, gelten dieselben Rechte — im „Hinweis für Fahrer und Kontakte“ steht, wie Sie sie ohne Konto ausüben.

Wenn Sie meinen, wir hätten Ihre Daten rechtswidrig verarbeitet, sagen Sie es uns bitte zuerst — [email protected] — damit wir es abstellen können. Sie haben unabhängig davon das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Unsere ist: Комисия за защита на личните данни (CPDP) — Commission for Personal Data Protection (CPDP) Sofia, Bulgarien https://www.cpdp.bg/ Sie können sich ebenso an die Aufsichtsbehörde des EU-Mitgliedstaats wenden, in dem Sie wohnen oder arbeiten oder in dem der behauptete Verstoß stattgefunden hat.

Unbedingt erforderliche Cookies halten Sie angemeldet und die Plattform sicher. Sie beruhen auf Art. 5 Abs. 3 ePrivacy, der ausnimmt, was zur Erbringung des von Ihnen gewünschten Dienstes unbedingt erforderlich ist. Alles andere braucht Ihre Einwilligung und holt sie ein, bevor irgendetwas geladen wird: • Produktanalyse (PostHog, EU-Server, im cookielosen Nur-Speicher-Modus). • Sitzungsaufzeichnung, eine EIGENE Entscheidung, die durch eine Einwilligung in die Analyse nie mit aktiviert wird. Sie können alles annehmen, alles ablehnen oder je Kategorie entscheiden und Ihre Antwort jederzeit über den Link „Cookie-Einstellungen“ im Fuß jeder Seite oder unter Einstellungen → Präferenzen → Datenschutz ändern. Global Privacy Control und Do Not Track werten wir als Ablehnung und zeigen dann gar kein Banner. Das vollständige Verzeichnis — jedes Cookie, jeder Browser-Speicherschlüssel, Inhalt und Dauer — steht in der Cookie-Richtlinie.

Wir verwenden TLS 1.2 oder besser auf jeder Verbindung, hashen API-Zugangsdaten unumkehrbar (SHA-256), begrenzen Zugriffstoken auf ihren Zweck und erzwingen die Mandantentrennung bei jeder Datenbankabfrage über unsere Autorisierungsschicht. Hochgeladene Dokumente liegen verschlüsselt in AWS eu-central-1. Wenn Sie eine Sicherheitslücke in der TOVR-Plattform oder -API finden, melden Sie sie an [email protected]. Unser maschinenlesbarer Kontakt steht unter https://tovr.eu/.well-known/security.txt. Wir bestätigen Meldungen innerhalb von 48 Stunden und nennen innerhalb von 5 Werktagen einen Zeitplan. Bitte testen Sie nicht gegen Daten anderer Kunden. Verletzungen des Schutzes personenbezogener Daten melden wir der CPDP innerhalb von 72 Stunden, soweit Art. 33 es verlangt, und benachrichtigen Betroffene direkt, soweit Art. 34 es verlangt.

Wir aktualisieren diese Erklärung, wenn sich die Verarbeitung ändert. Das Datum oben ist das Datum der aktuellen Fassung. Betrifft eine Änderung Sie wesentlich — ein neuer Zweck, eine neue Empfängerkategorie, eine neue Rechtsgrundlage — informieren wir Sie vorher, per E-Mail an Kontoinhaber und mit einem Hinweis im Produkt. Rein klarstellende Änderungen werden hier ohne gesonderte Benachrichtigung veröffentlicht. Diese Fassung ersetzt die Erklärung vom 17. Mai 2026, die Supabase und die Google Cloud Platform als Hoster und Datenbank nannte. Beide werden von TOVR nicht eingesetzt und haben unter dieser Plattform nie Ihre Daten erhalten; die Angabe war unrichtig und wurde entfernt.