Datenschutzerklärung

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Plattform ist:

MATTALNET GRUPP OÜ
Tuukri tn 19-315
10120 Tallinn, Estland (Estonia)
Registrikood: 14744075
USt-IdNr.: EE102519059

Vertreten durch: Andreas A. Gleim (Geschäftsführer)
E-Mail: mail@grk-logistik.one

Ansprechpartner für Datenschutzfragen: Andreas A. Gleim — gleiche E-Mail-Adresse.

• Kontodaten: Name, E-Mail, Telefon, Unternehmensname, Funktion, Passwort-Hash (bcrypt)
• Standort & GPS: Echtzeitposition von Fahrzeugen (Breite, Länge, Geschwindigkeit, Fahrtrichtung), Geofencing-Ereignisse, Routenprotokolle
• Zahlungsdaten: Rechnungsadresse, Zahlungsmethode (tokenisiert durch Stripe), Transaktionshistorie. Vollständige Kreditkartendetails werden ausschließlich von Stripe Inc. verarbeitet.
• Telegram-Bot: Telegram-Nutzer-ID, Username, Nachrichten in 9 Sprachen
• Push-Tokens: APNs (iOS) und FCM (Android) Gerätekennungen
• Operativ: Aufträge, Fahrzeugdaten, Tachograph-Daten, Tankbelege (OCR), digitale Unterschriften, CMR-Frachtbriefe, Barcode-Scans, Lohnabrechnungen, ESG-Kennzahlen
• KI-Verarbeitung: Disposition + OCR, keine besonderen Kategorien gemäß Art. 9 DSGVO
• Technisch: IP-Adresse, Browser/OS, Zugriffszeit, App-Version, Referrer
• Marktplatz: Angebote, Subunternehmer-Verträge, Bewertungen

a) Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)
Betrieb der SaaS-Plattform, Tracking, Auftragsmanagement, Zahlungsabwicklung über Stripe, Lohnabrechnung, native Mobile-Apps, Telegram-Bot.

b) Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO)
Betriebssicherheit, Betrugsprävention, Logfile-Analyse, Performance-Verbesserung, KI-Optimierung. Unsere Interessen überwiegen, da die Verarbeitung auf den Plattformbetrieb beschränkt ist und geeignete Schutzmaßnahmen getroffen werden.

c) Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)
Marketing-E-Mails, optionale Push-Benachrichtigungen, Telemetrie. Jederzeit widerrufbar.

d) Rechtliche Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO)
Aufbewahrungspflichten nach Handels-/Steuerrecht (Estland 7 Jahre), Tachograph-Daten nach EU-VO 561/2006 + 165/2014.

Wir geben Daten nur an folgende Auftragsverarbeiter und Dritte weiter:

• Stripe Inc. (USA, Standardvertragsklauseln) — Zahlungsabwicklung
• Anthropic PBC (USA, SCCs) — KI-Disposition (Claude)
• OpenAI Inc. (USA, SCCs) — Sprachsynthese (Whisper) + OCR
• Telegram FZ-LLC (UAE) — Bot-Kommunikation
• Google LLC (USA, SCCs) — Maps API
• Apple Inc. + Google LLC — Push-Notifications (APNs/FCM)
• EU-Hoster — Server-Infrastruktur

Keine Weitergabe an Werbepartner. Keine Datenweitergabe an Drittländer ohne Garantien gemäß Kapitel V DSGVO.

• Kontodaten: bis Account-Löschung + 30 Tage Backup-Vorlauf
• GPS- und Operativdaten: bis zu 2 Jahre für Fahrtenanalyse, dann anonymisiert
• Tachograph-Daten: mind. 1 Jahr (gesetzliche Pflicht), max. 2 Jahre
• Lohnabrechnungen, Rechnungen: 7 Jahre (estnisches Handels-/Steuerrecht)
• Logs: 90 Tage rotierend
• Marketing-Einwilligungen: bis Widerruf

Sie haben jederzeit das Recht auf:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung Ihrer Daten — "Recht auf Vergessenwerden" (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit in maschinenlesbarem Format (Art. 20)
• Widerspruch gegen die Verarbeitung (Art. 21)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77) — z.B. Estnische Datenschutzbehörde Andmekaitse Inspektsioon

Bitte nutzen Sie für die Ausübung dieser Rechte: mail@grk-logistik.one — wir antworten innerhalb von 30 Tagen.

• Verschlüsselung im Transport: TLS 1.3, HSTS, HTTPS-Only
• Verschlüsselung im Ruhezustand: AES-256-GCM für Geheimnisse (API-Keys, Passwörter)
• Authentifizierung: bcrypt-12, optional TOTP (RFC 6238) und Passkeys (WebAuthn)
• Zugriffskontrolle: Strikte Rollen-Trennung SUPER_ADMIN/ADMIN/MANAGER/DRIVER/CUSTOMER
• Backups: Tägliche verschlüsselte Snapshots, EU-Region
• Audit-Logs: Alle administrativen Aktionen werden protokolliert
• JWT-Token-Revocation: Redis-Denylist für sofortigen Logout

Wir setzen ausschließlich technisch notwendige Cookies:

• `grk_access` / `grk_refresh`: HttpOnly-Sitzungscookies (Authentifizierung)
• `grk_lang`: Sprache der Oberfläche
• `grk-auth`: Persistierter User-Profile-State (kein Token!)

Keine Tracking-Cookies, keine Drittanbieter-Pixel, kein Werbe-Tracking. Cookie-Banner ist daher nicht erforderlich.