Datenschutzerklärung Werkstakt

Verantwortlich für die Verarbeitung personenbezogener Daten im Zusammenhang mit Werkstakt ist:

Florian Henker Mobividuell Erna-Berger-Straße 17 01156 Dresden Deutschland

E-Mail: contact@mobividuell.de
Telefon: +49 1511 6511198

Mobividuell und der Betrieb der eigenen Werkstatt (einschließlich Nutzung von Werkstakt) erfolgen durch dieselbe natürliche Person (Einzelunternehmen). Es besteht keine getrennte Auftragsverarbeitung zwischen „Werkstatt“ und „Werkstakt“.

Für Datenschutzanfragen erreichen Sie uns unter: datenschutz@werkstakt.de

Ein Datenschutzbeauftragter ist derzeit nicht bestellt. Die Notwendigkeit wird bei Änderung von Organisation oder Risikoprofil erneut geprüft.

Wir verarbeiten personenbezogene Daten, soweit dies für den Betrieb der Website bzw. Anwendung und für die Abwicklung von Werkstattanfragen und -aufträgen erforderlich ist oder eine gesetzliche Pflicht besteht.

Diese Datenschutzerklärung beschreibt die aktuelle Nutzung von Werkstakt für die eigene Werkstatt. Sie umfasst nicht die Nutzung durch fremde Werkstätten als kommerzielle Plattformkunden und nicht Funktionen, die derzeit nicht aktiv eingesetzt werden.

Beim Aufruf unserer Website bzw. der Anwendung werden Verbindungsdaten verarbeitet, die für die Auslieferung der Inhalte und den sicheren Betrieb erforderlich sind. Dazu können insbesondere gehören:

• IP-Adresse
• Datum und Uhrzeit der Anfrage
• aufgerufene Adresse / Pfad
• übertragene Datenmenge
• Angaben zum verwendeten Browser bzw. Endgerät
• Fehlermeldungen / technische Statusinformationen

Zweck: Bereitstellung der Website/App, technische Sicherheit, Nachvollziehen von Störungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an sicherem und stabilem technischen Betrieb, Zugangsschutz/Missbrauchsabwehr und technischer Fehleranalyse.

Wir hosten Website und Anwendung über Vercel. Vercel stellt Hosting, Auslieferung, Programmierschnittstellen (APIs) und Serverless-Funktionen bereit und verarbeitet dabei Verbindungs- und Betriebsdaten (einschließlich technischer Protokolle/Logs).

Internationaler Bezug: Die derzeitige Production-Laufzeit der Serverless Functions ist in der Region iad1 (USA) dokumentiert. Eine Verarbeitung in den USA kann daher erfolgen. Der aktuelle Auftragsverarbeitungsvertrag mit Vercel enthält die EU-Standardvertragsklauseln (SCC) von 2021, soweit diese für Übermittlungen gelten. Vercel gibt zudem die Teilnahme/Zertifizierung am EU-U.S. Data Privacy Framework an. Es wird nicht behauptet, dass ausschließlich ein bestimmter Transfermechanismus genutzt wird.

Zweck: Bereitstellung und Betrieb von Website/App, APIs, Sicherheit und Betriebsprotokollierung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb, Missbrauchsabwehr, Fehleranalyse); soweit die Nutzung für die Vertragserfüllung erforderlich ist, Art. 6 Abs. 1 lit. b DSGVO.

Informationen zu den anwendbaren Transfergarantien und – soweit anwendbar – Kopien der vertraglichen Garantien können unter datenschutz@werkstakt.de angefordert werden.

Für die Anwendungsdaten nutzen wir Supabase (Datenbank, Authentifizierung, privaten Dateispeicher und – soweit genutzt – Realtime-Funktionen).

Dort können insbesondere Kundendaten, Fahrzeugdaten, Anfragen, Kostenvoranschläge (KVA), Freigaben, Werkstattaufträge, Dokumentmetadaten und hochgeladene Dateien gespeichert werden.

Die Primärregion des aktuellen Production-Projekts ist eu-north-1 (Stockholm). Soweit erfasste Drittlandübermittlungen vorkommen, sieht der Supabase-AVV EU-Standardvertragsklauseln vor. Daraus folgt keine Aussage, dass die gesamte Verarbeitungskette ausschließlich in der EU stattfindet.

Zweck: Betrieb der Werkstattanwendung, Speicherung und Abruf der Fall-/Dokumentdaten, Authentifizierung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die vertragliche und vorvertragliche Werkstattabwicklung; Art. 6 Abs. 1 lit. f DSGVO für sicheren technischen Betrieb, Zugangsschutz und Fehleranalyse; Art. 6 Abs. 1 lit. c DSGVO, soweit gesetzliche Pflichten greifen.

Informationen zu den anwendbaren Transfergarantien und – soweit anwendbar – Kopien der vertraglichen Garantien können unter datenschutz@werkstakt.de angefordert werden.

Für die Anmeldung an Werkstakt (Werkstattnutzer bzw. Kundenzugang, soweit freigeschaltet) verarbeiten wir Authentifizierungsdaten, insbesondere E-Mail-Adresse sowie Sitzungs-/Kontoinformationen.

Die Authentifizierung erfolgt über Supabase Auth. Für den Login von Kundinnen und Kunden kann ein Einmalcode (OTP) per E-Mail versendet werden. Der Versand dieser Authentifizierungs-E-Mails erfolgt über den bei Supabase konfigurierten Custom-SMTP-Pfad mit dem Transaktions-Mail-Dienst Rapidmail (SMTP-Relay). Dabei durchlaufen die E-Mail-Adresse und der Authentifizierungsinhalt notwendigerweise die Mail-Zustellungskette (Supabase Auth → Rapidmail SMTP → Empfänger-Mailbox).

Zweck: Zugangsschutz und Berechtigungsverwaltung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit der Zugang zur Vertragserfüllung erforderlich ist; im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Zugangsschutz und Missbrauchsabwehr).

Wenn Sie Werkstakt für die Abwicklung einer Werkstattanfrage bzw. eines Auftrags nutzen, verarbeiten wir insbesondere folgende Datenkategorien (soweit sie tatsächlich erhoben werden):

• Identitäts- und Kontaktdaten (z. B. Name, E-Mail, Telefon, Adresse, Firma)
• Fahrzeugdaten (z. B. Marke/Modell, HSN/TSN, Kennzeichen, VIN, HU-Angaben, Kilometerstand)
• Anfrage-/Problembeschreibungen und Werkstattnotizen
• Mängel-/Positionsdaten
• Bilddokumentation zum Fahrzeug oder Auftrag (z. B. Fotos von Mängeln oder Fahrzeug-/Reparaturzuständen, soweit im Werkstattprozess erfasst)
• Kostenvoranschlag (KVA), Freigaben und Statusinformationen
• Werkstattauftragsdaten und Abschlussstatus
• Zeitstempel und technische Vorgangsdaten

Der typische Ablauf ist:
Kundenanlage → Fahrzeug → Anfrage → KVA → Freigabe → Werkstattauftrag → Dokumente → Abschluss

Zweck: Vorbereitung und Durchführung des Werkstattauftrags, Dokumentation, Kundenkommunikation.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die vertragliche und vorvertragliche Abwicklung; Art. 6 Abs. 1 lit. c DSGVO, soweit gesetzliche Aufbewahrungspflichten bestehen; Art. 6 Abs. 1 lit. f DSGVO nur für den sicheren technischen Betrieb, Zugangsschutz/Missbrauchsabwehr und technische Fehleranalyse.

Für freigeschaltete Online-Zahlungen nutzen wir Stripe. Werkstakt/Mobividuell speichert keine Zahlungskartennummern (PAN/CVV) selbst. Stripe verarbeitet Zahlungs- und Transaktionsdaten, soweit dies für die jeweilige Zahlung erforderlich ist. Stripe kann je nach Verarbeitungskontext in unterschiedlichen datenschutzrechtlichen Rollen handeln. Nicht jeder Stripe-Zahlungsmodus ist derzeit freigeschaltet; derzeit ist insbesondere die Online-Anzahlung (Deposit) über Stripe freigeschaltet. Eine EU-only-Zusage wird nicht gemacht.

Nach erfolgreicher Speicherung einer Werkstattanfrage kann Werkstakt Transaktions-E-Mails versenden (z. B. Bestätigung an Kundinnen und Kunden sowie Benachrichtigung an die Werkstatt). Der Versand erfolgt über den konfigurierten Transaktions-SMTP-Pfad mit Rapidmail. Ein Fehlschlag des E-Mail-Versands rollt eine bereits erfolgreich gespeicherte Werkstattanfrage nicht zurück; Rapidmail ist nicht Voraussetzung für die Speicherung der Anfrage selbst.

Sie bzw. die Werkstatt können Dokumente zum Fahrzeug oder Auftrag hochladen (z. B. HU-Bericht, Fahrzeugschein, Rechnung, Gutachten, Service-Nachweis oder sonstige unterstützende Unterlagen). Die Dateien werden in einem privaten Speicher abgelegt und nur über geschützte Zugangswege (u. a. zeitlich begrenzte Zugriffs-URLs nach Berechtigungsprüfung) bereitgestellt.

Auftragsbezogene Bilddokumentation (z. B. Fotos von Mängeln oder Fahrzeug-/Reparaturzuständen, soweit im Werkstattprozess erfasst) wird in einem nicht öffentlich zugänglichen Speicherbereich gespeichert. Der Abruf erfolgt über anwendungsseitig berechtigungsgeprüfte, zeitlich begrenzte Zugriffswege.

Auf Self-Service-/Anfrageflächen kann optional ein Fahrzeugschein-Scan genutzt werden. Alternativ bleibt die manuelle Fahrzeugeingabe verfügbar; der Scan ist nicht erforderlich, um eine Werkstattanfrage abzuschließen.

Für den kundenbezogenen Self-Service-OCR-Pfad ist eine ausdrückliche, vom Google-Ads-Consent getrennte Einwilligung erforderlich. Erst nach erfolgreichem Abschluss dieses Einwilligungsschritts wird das hochgeladene Bild bzw. die PDF des Zulassungsdokuments zur automatisierten Texterkennung und Vorausfüllung an Google Cloud / Vertex AI übermittelt. Die Einwilligungsentscheidung wird vor dem OCR-Aufruf dokumentiert. Schlägt diese Dokumentation fehl, startet der Scan nicht. Diese technische Dokumentation ersetzt keine eigenständige rechtliche Bewertung der Einwilligung in jedem Einzelfall.

Im Werkstatt-/Operator-Kontext kann die OCR-Funktion als technisches Hilfsmittel zur Erfassung und Vorausfüllung von Fahrzeugdaten bei der Bearbeitung von Werkstattanfragen und -aufträgen eingesetzt werden. Dieser Pfad ist vom kundenbezogenen Self-Service-OCR und dessen Einwilligungsmechanismus getrennt.

Nach unserem aktuellen Implementierungsstand werden Kontaktdaten und die Anfrage-ID durch unsere Anwendung im OCR-Aufruf nicht gezielt mitgesendet; unabhängig davon kann die Google-Cloud-Infrastruktur technische Metadaten der Verarbeitung verarbeiten.

Bitte laden Sie keine unnötigen besonders sensiblen Informationen hoch. Freitexte und Dokumentinhalte können unbeabsichtigt zusätzliche personenbezogene Angaben enthalten.

Zweck: Dokumentation und Bearbeitung des Werkstattfalls; optional Unterstützung der Fahrzeugeingabe durch automatisierte Extraktion.
Rechtsgrundlage (Dokumentenupload allgemein): Art. 6 Abs. 1 lit. b DSGVO; ggf. Art. 6 Abs. 1 lit. c DSGVO bei gesetzlich relevanten Unterlagen.
Rechtsgrundlage (kundenbezogener optionaler Self-Service-OCR): Art. 6 Abs. 1 lit. a DSGVO, soweit die Verarbeitung personenbezogene Daten betrifft, die von dieser Einwilligung erfasst sind.
Rechtsgrundlage (OCR im Werkstatt-/Operator-Kontext): Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in einer effizienten und fehlerarmen Erfassung von Fahrzeugdaten im Werkstattprozess. Die Rechtsgrundlagen der zugrunde liegenden Anfrage- und Auftragsbearbeitung, insbesondere Art. 6 Abs. 1 lit. b DSGVO, bleiben hiervon unberührt.

Getrennt vom Fahrzeugschein-Scan kann auf Anfrageflächen optional eine automatisierte Ersteinschätzung / Kostenorientierung (Kunden-Preview) angeboten werden. Dabei werden ausgewählte Angaben an Google Cloud / Vertex AI übermittelt:

• Problemweg: Marke/Modell soweit vorhanden, Kilometerstand, Kraftstoff, Problemkategorie, strukturierte Antworten sowie optional Freitext.
• Wartungsweg: Marke/Modell soweit vorhanden, Kilometerstand, Kraftstoff, angeforderte Leistung und strukturierte Antworten.

Diese Preview ist optional und erfordert eine eigenständige ausdrückliche Einwilligung, getrennt von der Fahrzeugschein-OCR-Einwilligung und vom Google-Ads-Consent. Die Werkstattanfrage bleibt auch ohne Preview vollständig nutzbar. Ohne erfolgreiche Dokumentation der Preview-Einwilligung startet kein Vertex-Aufruf für diese Funktion.

Ergebnis: mögliche Ursachen (1–3) bzw. ein ungefährer, nicht regionalisierter Kostenrahmen. Das ist keine Diagnose und kein Kostenvoranschlag und keine verbindliche Preisaussage. Preview-Eingaben und -Ergebnisse werden im MVP nicht als Geschäftsvorgang dauerhaft gespeichert; die Einwilligungsentscheidung selbst wird dokumentiert. Kontaktdaten, VIN, Kennzeichen, HSN/TSN und Anfrage-/Kunden-IDs werden in der strukturierten Preview-Anfrage nicht gezielt mitgesendet. Optionaler Freitext kann freiwillig eingegebene personenbezogene Angaben enthalten.

Rechtsgrundlage (optionale Kunden-Preview-KI): Art. 6 Abs. 1 lit. a DSGVO für die von der jeweiligen Preview-Einwilligung erfassten Daten. Diese technische Dokumentation ersetzt keine eigenständige rechtliche Bewertung in jedem Einzelfall. Internationale Verarbeitung bei Google Cloud / Vertex AI richtet sich nach den für den Vertex-Anbieter bereits beschriebenen Transferhinweisen.

Für die geschäftliche E-Mail-Kommunikation unter Adressen von werkstakt.de (u. a. service@werkstakt.de, login@werkstakt.de, datenschutz@werkstakt.de) nutzen wir Proton (Proton Workspace / Proton Mail). Dabei werden Inhalte und Metadaten der Korrespondenz beim E-Mail-Anbieter verarbeitet.

Proton hat seinen Sitz in der Schweiz. Für die Schweiz besteht derzeit ein Angemessenheitsbeschluss der Europäischen Kommission.

Zweck: Kunden- und Geschäftskommunikation, Datenschutzanfragen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für vertragliche und vorvertragliche E-Mail-Kommunikation; Art. 6 Abs. 1 lit. f DSGVO für sonstige erforderliche Geschäftskommunikation; Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 12 ff. DSGVO für die Bearbeitung von Datenschutz- bzw. Betroffenenanfragen.

Informationen zu den anwendbaren Transfergarantien und – soweit anwendbar – Kopien der vertraglichen Garantien können unter datenschutz@werkstakt.de angefordert werden.

Für die Anmeldung und Aufrechterhaltung einer angemeldeten Sitzung verwendet Werkstakt technisch erforderliche Authentifizierungs- und Sitzungsmechanismen. Diese sind notwendig, damit der ausdrücklich angeforderte Login- und Kontobereich bereitgestellt und geschützt werden kann.

Soweit dabei Informationen auf dem Endgerät gespeichert oder ausgelesen werden, erfolgt dies für diese unbedingt erforderlichen Funktionen auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG.

Soweit hierbei personenbezogene Daten verarbeitet werden, richtet sich die weitere Verarbeitung nach den jeweils einschlägigen Rechtsgrundlagen der DSGVO, insbesondere Art. 6 Abs. 1 lit. b DSGVO für die Nutzung des Kunden-/Werkstattzugangs und Art. 6 Abs. 1 lit. f DSGVO für erforderliche Sicherheits- und Zugriffsschutzmaßnahmen.

Auf den Anfrageflächen (insbesondere /anfrage und zugehörige Funnel) kann Google Ads zur Messung eingesetzt werden, ob aus einer Anzeige eine Werkstattanfrage entsteht. Das Google-Werbe-Tag wird erst nach Ihrer ausdrücklichen Zustimmung („Zustimmen“) geladen. Die Wahl „Nur notwendige“ lässt die Werkstattanfrage weiterhin vollständig nutzbar; eine Zustimmung zur Werbemessung ist dafür nicht erforderlich. Sie können Ihre Entscheidung über „Datenschutz-Einstellungen“ erneut öffnen und ändern.

Soweit die Verarbeitung personenbezogener Daten für diese Werbemessung auf Ihrer Zustimmung beruht, stützen wir sie auf Art. 6 Abs. 1 lit. a DSGVO. Soweit das Google-Werbe-Tag Informationen in Ihrer Endeinrichtung speichert oder auf bereits gespeicherte Informationen zugreift, erfolgt dies auf Grundlage Ihrer Einwilligung nach § 25 Abs. 1 TDDDG.

Nach erfolgreicher Speicherung einer Werkstattanfrage kann – sofern Sie die Werbemessung erlaubt haben – ein Conversion-Ereignis an Google Ads übermittelt werden. Unsere Anwendung setzt dabei nach unserem Stand insbesondere eine technische Vorgangs-/Transaktionskennung als Conversion-Parameter; Name, E-Mail, Telefon, VIN, Kennzeichen oder Freitext der Anfrage werden durch unseren Conversion-Adapter nicht gezielt als Conversion-Parameter übergeben. Unabhängig davon kann das Google-Tag im Browser weitere technische Daten verarbeiten.

Andere Marketing-, Analyse- oder Werbe-Tracking-Technologien wie Google Analytics, Meta Pixel, Matomo oder Hotjar setzen wir nach unserem aktuellen Stand nicht ein.

Die Website bzw. Anwendung ist nicht „cookie-frei“.

Zur technischen Bereitstellung setzen wir derzeit insbesondere folgende Empfänger bzw. Dienstleister ein (ohne dass jede Nennung automatisch eine Auftragsverarbeitung i. S. d. Art. 28 DSGVO bedeutet):

Weitere Empfänger kommen nur in Betracht, soweit Sie uns z. B. im Rahmen einer Anfrage selbst anschreiben oder eine gesetzliche Pflicht zur Offenlegung besteht.

Eine Übermittlung in Drittländer kann insbesondere wie folgt vorkommen:

• Vercel: Verarbeitung in den USA möglich (aktuell dokumentierte Function-Region iad1). Der AVV enthält die EU-Standardvertragsklauseln (2021), soweit anwendbar. Vercel gibt die Teilnahme/Zertifizierung am EU-U.S. Data Privacy Framework an. Es wird nicht behauptet, dass ausschließlich ein Mechanismus gilt.
• Supabase: Primärregion der aktuellen Production-Daten eu-north-1 (Stockholm). Soweit erfasste Drittlandübermittlungen vorkommen, sieht der AVV EU-Standardvertragsklauseln vor. Keine EU-only-Zusage für die gesamte Kette.
• Proton: Sitz in der Schweiz; Angemessenheitsbeschluss der Europäischen Kommission für die Schweiz.
• Rapidmail: Zustellung von Auth-/Transaktionsmails über den konfigurierten SMTP-Relay. Nähere Angaben ergeben sich aus den Informationen von Rapidmail; eine abschließende Transferbewertung ist hiermit nicht verbunden.
• Google Cloud / Vertex AI: Bei Nutzung des optionalen Fahrzeugschein-Scans kann Google Cloud Daten auch außerhalb der EU/des EWR verarbeiten. Nähere Angaben ergeben sich aus den Informationen von Google; eine abschließende Transferbewertung ist hiermit nicht verbunden. Eine EU-only-Zusage wird nicht gemacht.
• Google Ads: Bei erlaubter Werbemessung kann Google Daten auch außerhalb der EU/des EWR verarbeiten. Dieser Pfad ist vom Vertex-OCR-Pfad getrennt. Nähere Angaben ergeben sich aus den Informationen von Google; eine abschließende Transferbewertung ist hiermit nicht verbunden.
• Stripe: Bei Nutzung freigeschalteter Online-Zahlungen kann Stripe Daten auch außerhalb der EU/des EWR verarbeiten. Nähere Angaben ergeben sich aus den Informationen von Stripe; eine abschließende Transferbewertung ist hiermit nicht verbunden. Eine EU-only-Zusage wird nicht gemacht.

Informationen zu den anwendbaren Transfergarantien und – soweit anwendbar – Kopien der vertraglichen Garantien können unter datenschutz@werkstakt.de angefordert werden.

Personenbezogene Daten speichern wir so lange, wie es für den jeweiligen Zweck der Werkstattbeziehung und die damit verbundenen Zwecke erforderlich ist. Soweit gesetzliche Aufbewahrungspflichten bestehen, werden betroffene Daten bzw. Unterlagen für die jeweils geltende gesetzliche Frist aufbewahrt und gelöscht, wenn diese Pflichten und sonstige berechtigte Aufbewahrungsgründe entfallen.

Technische Anbieter-Logs können den Vorgaben der jeweiligen Anbieter folgen.

Eine sofortige automatische Löschung in allen Fällen wird nicht zugesagt. Löschungen erfolgen nach Maßgabe der Zwecke und gesetzlichen Pflichten.

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere folgende Rechte:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO), soweit anwendbar
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung, soweit eine Verarbeitung tatsächlich auf Einwilligung beruht

Zur Ausübung Ihrer Rechte genügt eine Nachricht an datenschutz@werkstakt.de. Bitte haben Sie Verständnis, dass wir Ihre Identität prüfen und Löschungen, soweit gesetzliche Aufbewahrungspflichten entgegenstehen, nur eingeschränkt umsetzen können.

Sie haben zudem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.

Für die Bearbeitung einer Werkstattanfrage bzw. die Durchführung eines Auftrags sind bestimmte Angaben erforderlich (z. B. Kontaktdaten und relevante Fahrzeug-/Auftragsinformationen). Ohne diese Angaben kann die gewünschte Leistung unter Umständen nicht erbracht werden.

Weitere Angaben und freiwillige Dokument-Uploads sind optional, sofern sie nicht für den konkreten Fall benötigt werden.

Im dokumentierten aktuellen Kernprozess findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt, die Ihnen gegenüber eine rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt.

Wir passen diese Datenschutzerklärung an, wenn sich Technik, Prozesse oder Rechtslage ändern. Es gilt die jeweils veröffentlichte Fassung mit dem angegebenen Stand.

Stand: 16.09.2026