Datenschutzerklärung

Inhalt

Teil A. Grundlagen

1 Verantwortlicher und Kontakt

1. Verantwortlicher im Sinne der Datenschutz-Grundverordnung ist HyghSoft, Inhaber Samet Gülhan, Voßweg 18, 45896 Gelsenkirchen, Deutschland, soweit diese Erklärung nicht ausdrücklich etwas anderes bestimmt.
2. Eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter ist nicht benannt, weil die Voraussetzungen des Artikels 37 DSGVO und des § 38 BDSG für den Anbieter nicht vorliegen. Anfragen beantwortet der Inhaber selbst.
3. Anfragen zum Datenschutz richten Sie an contact@hyghsoft.de mit dem Wort Datenschutz im Betreff oder an die oben genannte Anschrift. Der Anbieter bestätigt den Eingang und antwortet innerhalb der gesetzlichen Fristen (Abschnitt 7).
4. Diese Erklärung gilt nicht für Internetseiten Dritter, die über eine Verknüpfung erreichbar sind, und nicht für Websites, die Kunden über HyghHosting betreiben; für deren Inhalte ist der jeweilige Kunde verantwortlich (Abschnitt 13).

2 Die drei Rollen im Überblick

Wer wissen möchte, was ein bestimmtes Unternehmen über ihn gespeichert hat, wendet sich an dieses Unternehmen. HyghSoft leitet solche Anfragen weiter und unterstützt das Unternehmen bei der Beantwortung, darf aber ohne dessen Weisung keine Auskunft aus dessen Bestand erteilen. Eine Ausnahme gilt für HyghCheck: dort ist HyghSoft die zentrale Anlaufstelle (Abschnitt 33).

3 Rechtsgrundlagen

4 Empfänger und Auftragsverarbeiter

Daten werden nur weitergegeben, soweit das zur Leistungserbringung erforderlich ist, der Betroffene eingewilligt hat oder eine rechtliche Verpflichtung besteht. Die vollständige Liste steht in Anlage 1.

• Unterauftragsverarbeiter, die im Auftrag von HyghSoft tätig werden. Mit ihnen bestehen Verträge nach Artikel 28 DSGVO.
• Dienste Dritter, die in eigener Verantwortung handeln, insbesondere Karten- und Schriftdienste sowie die Zustellung von Mitteilungen an Endgeräte.
• Teilnehmende Unternehmen im Warn- und Informationssystem, beschränkt auf geteilte Einträge und auf eine konkrete Abfrage.
• Steuerberatung, Banken und Zahlungsdienstleister, soweit für die Abwicklung erforderlich.
• Behörden und Gerichte, soweit eine rechtliche Verpflichtung besteht. Der Anbieter prüft jedes Verlangen und unterrichtet den Betroffenen, soweit ihm das erlaubt ist.
• Rechtsanwälte und Inkassodienstleister, soweit zur Durchsetzung oder Verteidigung von Ansprüchen erforderlich.

Ein Verkauf von Daten findet nicht statt. Eine Übermittlung an Werbenetzwerke findet nicht statt. Eine Auskunftei erhält keine Daten aus den Mandantenumgebungen; für die Meldung eigener offener Forderungen des Anbieters gilt Abschnitt 35.

5 Verarbeitung außerhalb der EU

1. Die Server von HyghSoft stehen in einem Rechenzentrum in Deutschland. Die Verarbeitung findet grundsätzlich in der Europäischen Union statt.
2. Bei einzelnen Diensten Dritter, insbesondere Karten- und Schriftdiensten, der Zustellung von Mitteilungen an Endgeräte, der Auslieferung von Programmbibliotheken und der Zuordnungshilfe mit künstlicher Intelligenz, ist eine Verarbeitung in den Vereinigten Staaten nicht ausgeschlossen.
3. Solche Übermittlungen stützen sich auf Standardvertragsklauseln nach Artikel 46 Absatz 2 Buchstabe c DSGVO und, soweit der jeweilige Anbieter zertifiziert ist, auf den Angemessenheitsbeschluss nach Artikel 45 DSGVO.
4. Für das Warn- und Informationssystem gilt der Grundsatz der regionalen Trennung: Einträge aus dem Europäischen Wirtschaftsraum werden Teilnehmern außerhalb nicht angezeigt (Abschnitt 34).

6 Speicherdauer und Löschung

1. Daten werden gelöscht, sobald der Zweck entfallen ist und keine gesetzliche Aufbewahrungspflicht entgegensteht. Anlage 2 nennt die Fristen im Einzelnen.
2. Steht einer Löschung eine Aufbewahrungspflicht entgegen, werden die Daten gesperrt und nur noch zu diesem Zweck verarbeitet.
3. In den Mandantenumgebungen der Kunden bestimmt der jeweilige Kunde die Fristen, soweit die Software das zulässt. Nach dem Ende eines Vertrages werden die Daten nach 30 Tagen gelöscht, wenn der Kunde sie nicht vorher abruft.
4. Sicherungen werden mindestens 30 Tage aufbewahrt. Ein gelöschter Datensatz verschwindet aus ihnen erst mit dem Ablauf der Aufbewahrung der jeweiligen Sicherung; ein gezieltes Löschen einzelner Datensätze aus einer bestehenden Sicherung ist technisch nicht möglich.

7 Ihre Rechte

8 Ist die Bereitstellung verpflichtend?

1. Für den Abschluss und die Durchführung eines Vertrages sind bestimmte Angaben erforderlich, insbesondere Firma, Anschrift, Ansprechpartner und Rechnungsangaben. Ohne sie kann der Vertrag nicht geschlossen oder durchgeführt werden.
2. Für ein persönliches Konto sind Name und eine elektronische Postadresse erforderlich. Weitere Angaben sind freiwillig, soweit die Oberfläche sie nicht als erforderlich kennzeichnet.
3. Eine gesetzliche Pflicht zur Bereitstellung besteht nur, soweit eine Vorschrift das anordnet, etwa im Steuerrecht.
4. Eine automatisierte Entscheidung im Einzelfall einschließlich Profilbildung im Sinne des Artikels 22 DSGVO findet nicht statt. Für HyghCheck gilt das ausdrücklich (Abschnitt 32).

Teil B. Internetseiten und öffentliche Angebote

9 Aufruf der Internetseiten

1. Beim Aufruf einer Internetseite übermittelt der Browser technische Angaben, die für die Auslieferung erforderlich sind: IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Statusmeldung, verweisende Seite und Angaben zu Browser und Betriebssystem.
2. Diese Angaben werden in Protokolldateien gespeichert. Zweck sind die Auslieferung der Seite, die Stabilität, die Erkennung und Abwehr von Angriffen sowie die Aufklärung von Missbrauch. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO.
3. Die Protokolldateien werden nach spätestens 30 Tagen gelöscht, soweit sie nicht zur Aufklärung eines konkreten Vorfalls benötigt werden. Angriffserkennung und Sperrlisten werden gesondert aufbewahrt (Abschnitt 37).
4. Eine Zusammenführung dieser Angaben mit anderen Datenquellen findet nicht statt. Eine Reichweitenmessung mit Wiedererkennung einzelner Besucher findet nicht statt.

10 Cookies und ähnliche Techniken

1. Auf den öffentlichen Internetseiten werden nur technisch erforderliche Cookies gesetzt, insbesondere zur Sprachwahl und zur Abwehr von Missbrauch bei Formularen. Rechtsgrundlage ist § 25 Absatz 2 TDDDG in Verbindung mit Artikel 6 Absatz 1 Buchstabe f DSGVO.
2. In den angemeldeten Bereichen werden Cookies und vergleichbare Speicher im Browser für die Sitzung, für die Anmeldung, für die Zwei-Faktor-Anmeldung und für Einstellungen der Oberfläche verwendet. Ohne sie ist eine Anmeldung nicht möglich.
3. Cookies zu Werbezwecken, zur Profilbildung und zur geräteübergreifenden Wiedererkennung werden nicht gesetzt. Ein Einwilligungsbanner ist deshalb nicht erforderlich.
4. Setzt der Anbieter künftig nicht erforderliche Cookies ein, holt er vorher eine Einwilligung ein und weist sie hier aus.

11 Eingebundene Dienste Dritter

Die genannten Dienste erhalten die Angaben, die für ihre Leistung technisch erforderlich sind. Einzelheiten zu den Anbietern und ihrer Einordnung stehen in Anlage 1.

12 Anfragen, Kontaktformulare, Konfigurator

1. Wer ein Formular absendet oder eine Nachricht schreibt, übermittelt die dort angegebenen Daten, in der Regel Name, Unternehmen, Kontaktdaten und den Inhalt der Anfrage. Zusätzlich werden Zeitpunkt und IP-Adresse gespeichert, um Missbrauch abzuwehren.
2. Zweck ist die Bearbeitung der Anfrage. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO bei vorvertraglichen Anfragen, im Übrigen Artikel 6 Absatz 1 Buchstabe f DSGVO.
3. Wer den Konfigurator nutzt, gibt Angaben zu seinem Vorhaben ein. Diese Angaben werden nur gespeichert, wenn eine Anfrage abgesendet wird. Das Ergebnis der Berechnung ist unverbindlich.
4. Anfragen werden nach Abschluss der Bearbeitung gelöscht, spätestens nach zwölf Monaten, soweit keine Aufbewahrungspflicht besteht oder ein Vertrag zustande kommt.
5. Die Zahl der Anfragen je Absender ist technisch begrenzt, um Missbrauch zu verhindern. Dafür wird die IP-Adresse kurzzeitig vorgehalten.

13 Websites, die Kunden über HyghHosting betreiben

1. Für die Inhalte und die Datenverarbeitung auf einer Website, die ein Kunde über HyghHosting betreibt, ist der jeweilige Kunde verantwortlich. HyghSoft ist insoweit Auftragsverarbeiter.
2. Beim Aufruf einer solchen Website fallen dieselben technischen Angaben an wie in Abschnitt 9. Sie werden im Auftrag des Kunden verarbeitet.
3. Sendet ein Besucher eine Anfrage über eine solche Website, wird sie an den Kunden übermittelt und dort weiterverarbeitet. Die Zahl der Anfragen je Absender ist begrenzt.
4. Die Datenschutzinformation für eine solche Website stellt der Kunde bereit. Fragen dazu richten Besucher an den jeweiligen Kunden; HyghSoft leitet sie weiter.

Teil C. Das persönliche Konto

14 Anlage und Nutzung des Kontos

1. Die HyghsoftID ist das persönliche Konto einer natürlichen Person. Es gehört der Person, nicht dem Unternehmen, bei dem sie arbeitet. Verantwortlicher für dieses Konto ist HyghSoft.
2. Bei der Anlage werden Name, elektronische Postadresse und ein Kennwort erfasst. Das Kennwort wird ausschließlich als rechenaufwendig abgeleiteter Prüfwert gespeichert; im Klartext ist es niemandem zugänglich, auch dem Anbieter nicht.
3. Zweck ist die Anmeldung an den Diensten, die Zuordnung von Handlungen und die Sicherheit des Kontos. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO, für die Sicherheitsmaßnahmen Artikel 6 Absatz 1 Buchstabe f DSGVO.
4. Anmeldungen, Abmeldungen, Fehlversuche, Kennwortänderungen und Änderungen am zweiten Faktor werden mit Zeitpunkt, IP-Adresse und technischen Angaben des Geräts protokolliert. Zweck ist die Erkennung unbefugter Zugriffe.
5. Ein Konto kann mit Zugängen bei mehreren Unternehmen verknüpft sein. Die Verknüpfung erfolgt nur auf Veranlassung der Person oder des Unternehmens. Welche Unternehmen verknüpft sind, sieht die Person in ihrem Konto.

15 Zweiter Faktor und Wiederherstellungscodes

1. Für die Zwei-Faktor-Anmeldung wird ein Geheimnis gespeichert, aus dem die Einmalcodes berechnet werden, sowie eine Liste von Wiederherstellungscodes als Prüfwert.
2. Der Anbieter kann den zweiten Faktor nicht auslesen und keine Einmalcodes erzeugen. Gehen alle Faktoren verloren, ist eine Prüfung der Identität erforderlich, bevor der Zugang zurückgesetzt wird.
3. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b und f DSGVO.

16 Hinterlegte Ausweisdokumente und Nachweise

1. Für einzelne Dienste ist eine Prüfung der Identität erforderlich. Dafür können Abbildungen eines Ausweisdokuments oder eines Führerscheins hinterlegt werden.
2. Solche Abbildungen werden verschlüsselt gespeichert und nur den Personen zugänglich gemacht, die sie für die Prüfung benötigen. Eine Auswertung zu anderen Zwecken findet nicht statt.
3. Rechtsgrundlage ist die Erfüllung des Vertrages und, soweit eine Prüfung gesetzlich vorgeschrieben ist, die rechtliche Verpflichtung.
4. Nach Abschluss der Prüfung werden die Abbildungen gelöscht, sobald sie nicht mehr benötigt werden, spätestens mit der Löschung des Kontos. Der Nachweis, dass eine Prüfung stattgefunden hat, bleibt ohne die Abbildung erhalten.
5. Wird eine erforderliche Prüfung nicht innerhalb der genannten Frist abgeschlossen, können die betroffenen Dienste gesperrt werden; das Konto selbst bleibt bestehen.

17 Löschung des Kontos

1. Der Inhaber kann sein Konto jederzeit löschen. Mit der Löschung enden die Zugänge, die über das Konto vermittelt werden.
2. Daten, die in der Umgebung eines Unternehmens entstanden sind, gehören zu diesem Unternehmen und werden durch die Löschung des persönlichen Kontos nicht gelöscht. Protokolle über Handlungen bleiben dort erhalten; das ist für die Nachvollziehbarkeit erforderlich.
3. Ein Konto, das länger als 24 Monate nicht genutzt wurde, kann gelöscht werden. Der Anbieter unterrichtet den Inhaber vorher mit einer Frist von 30 Tagen.
4. Nach der Löschung bleiben nur die Daten erhalten, für die eine Aufbewahrungspflicht besteht; sie werden gesperrt.

Teil D. Verarbeitung in den Produkten

18 HyghFleet: Vermietung, Verträge, Abrechnung

1. Verarbeitet werden die Daten, die der Kunde für seine Vermietung benötigt: Stammdaten und Kontaktdaten seiner Endkunden, Geburtsdatum, Ausweis- und Führerscheinangaben einschließlich Abbildungen, Buchungen, Verträge, Übergabe- und Rückgabeprotokolle mit Lichtbildern, Unterschriften, Kautionen, Zusatzfahrer, Schäden, Forderungen, Zahlungen, Belege, Nachrichten und Dokumente.
2. Die Erfassung von Ausweis- und Führerscheinabbildungen ist eine Entscheidung des Kunden. Er prüft, ob sie erforderlich ist, wie lange sie aufbewahrt werden dürfen und wer sie sehen darf. Abbildungen werden verschlüsselt gespeichert.
3. Die Software protokolliert Handlungen der Nutzer des Kunden, insbesondere das Anlegen, Ändern und Löschen von Daten sowie das Erzeugen von Dokumenten. Zweck ist die Nachvollziehbarkeit.
4. Unterschriften werden mit Zeitpunkt, IP-Adresse, Gerät und Prüfwerten über das unterzeichnete Dokument gespeichert. Zweck ist der Nachweis.
5. Erzeugte Dokumente werden aufbewahrt, solange der Kunde sie benötigt, mindestens für die Dauer seiner gesetzlichen Aufbewahrungspflichten.

19 Telematik: Standort, Fahrten, Ereignisse

1. Angebundene Telematikgeräte übermitteln Gerätekennung, Position, Zeitpunkt, Zündung, Bewegung, Spannung, Geschwindigkeit und die vom Gerät gemeldeten Ein- und Ausgänge. Daraus werden Fahrten, Ereignisse, Zonenübertritte und Berichte abgeleitet.
2. Diese Daten können sich auf Personen beziehen, insbesondere auf Mieter und auf Beschäftigte des Kunden. Verantwortlich ist der Kunde. Er benötigt eine Rechtsgrundlage und muss die betroffenen Personen vor der ersten Nutzung unterrichten.
3. Eine verdeckte Ortung ist nach dem Vertragswerk untersagt. Der Kunde bestätigt, dass er Mieter und Beschäftigte unterrichtet; Mustertexte stellt HyghSoft bereit.
4. Fernbefehle werden mit auslösender Person, Zeitpunkt und Ergebnis protokolliert.
5. Die Aufbewahrungsdauer richtet sich nach der Einstellung des Kunden und nach der Erforderlichkeit. Punkte, Fahrten und Ereignisse werden nicht länger aufbewahrt, als der Kunde sie für seinen Zweck benötigt.
6. HyghSoft wertet Telematikdaten der Kunden nicht für eigene Zwecke aus. Für die Verbesserung der Erkennungsverfahren werden nur zusammengefasste Werte ohne Personenbezug verwendet.

20 HyghRent: das Portal für Endkunden

1. Im Portal sehen die Endkunden eines Kunden ihre Buchungen, Unterlagen, Rechnungen, Belege und Nachrichten und können Dokumente unterschreiben und Dateien hochladen.
2. Die Anmeldung erfolgt über eine HyghsoftID. Für das Konto ist HyghSoft verantwortlich (Teil C), für die im Portal sichtbaren Inhalte der jeweilige Kunde.
3. Ein Endkunde, der zu mehreren Unternehmen gehört, wählt beim Anmelden das Unternehmen. Eine Vermischung der Bestände findet nicht statt.
4. Nachrichten im Portal sind Inhalte des Kunden. Das Zurückziehen einer Nachricht wirkt nur in der Software; bereits zugestellte Benachrichtigungen bleiben bestehen.

21 ZeiTrack: Zeiterfassung und Beschäftigtendaten

1. Erfasst werden Name und Zuordnung der Beschäftigten, Schichten, Pausen, Notizen, Aufträge, Fahrzeuge und Fahrten sowie, soweit der Kunde es einschaltet, Positionen.
2. Verantwortlich ist der Arbeitgeber. Er prüft die Rechtsgrundlage, beteiligt eine bestehende Arbeitnehmervertretung, schließt die erforderlichen Vereinbarungen und unterrichtet die Beschäftigten.
3. Eine lückenlose Verhaltens- und Leistungskontrolle ist nach dem Vertragswerk untersagt. Die Auswertung ist auf den Zweck zu begrenzen.
4. HyghSoft wertet Beschäftigtendaten nicht aus und erstellt keine Berichte über einzelne Beschäftigte, außer auf Weisung des Kunden im Rahmen der vorgesehenen Funktionen.

22 HyghHosting: Websites der Kunden

1. Beim Aufruf einer Kundenwebsite fallen technische Angaben an, insbesondere IP-Adresse, Zeitpunkt, aufgerufene Adresse und Angaben zu Browser und Betriebssystem. Sie werden im Auftrag des Kunden verarbeitet und dienen der Auslieferung und der Abwehr von Missbrauch.
2. Sendet ein Besucher eine Anfrage oder eine Buchung, werden die eingegebenen Daten an den Kunden übermittelt und in seiner Umgebung weiterverarbeitet.
3. Die Zahl der Abfragen und Anfragen je Absender ist technisch begrenzt. Dafür wird die IP-Adresse kurzzeitig vorgehalten.
4. Die Datenschutzinformation für die Website stellt der Kunde bereit. HyghSoft prüft die Inhalte der Website nicht.

23 HyghMail: Postfächer und Versand

1. Verarbeitet werden die Inhalte der Postfächer und die für den Betrieb erforderlichen Angaben: Adressen, Betreff, Inhalt, Anhänge, Zeitpunkte, technische Kopfzeilen, Zustellprotokolle und Kontingentstände.
2. Der Anbieter beachtet das Fernmeldegeheimnis. Inhalte werden nicht gelesen, außer soweit das zur Abwehr von Schadprogrammen, zur Behebung einer Störung auf Weisung des Kunden oder aufgrund einer gesetzlichen Pflicht erforderlich ist.
3. Ein- und ausgehende Nachrichten werden automatisiert auf Schadprogramme und auf Merkmale unerwünschter Werbung geprüft. Erkannte Nachrichten können abgewiesen, gekennzeichnet oder in einen gesonderten Ordner gelegt werden.
4. Zustellprotokolle werden für die Fehlersuche und die Missbrauchskontrolle aufbewahrt und nach den Fristen der Anlage 2 gelöscht.
5. Die Mailplattform betreibt HyghSoft auf eigener Infrastruktur. Ein weiterer Auftragsverarbeiter ist dafür nicht eingeschaltet.

24 Domains

1. Für die Registrierung einer Domain sind Angaben zum Inhaber, zu einem Ansprechpartner und zur Anschrift erforderlich. Sie werden an den Registrar und die Registrierungsstelle übermittelt.
2. Registrierungsstellen veröffentlichen oder speichern einen Teil dieser Angaben nach ihren eigenen Richtlinien. Darauf hat HyghSoft keinen Einfluss.
3. Für die Prüfung der Verfügbarkeit wird die gewünschte Domain an einen Verzeichnisdienst übermittelt; personenbezogene Daten fallen dabei nicht an.
4. Für die Ausstellung von Zertifikaten werden der Domainname und technische Angaben an die Zertifizierungsstelle übermittelt.

25 Dateiablage, Freigabelinks, Speicherkontingent

1. In der Dateiablage speichert der Kunde Dateien seiner Wahl. Welche personenbezogenen Daten sie enthalten, bestimmt er.
2. Hochgeladene Dateien werden anhand ihres tatsächlichen Inhalts geprüft. Aus Dokumenten, Bildern und Videos können Vorschauen erzeugt werden.
3. Ein Freigabelink macht eine Datei ohne Anmeldung zugänglich. Abrufe werden protokolliert. Der Kunde wählt Laufzeit und, soweit möglich, ein Kennwort.
4. Für die Ermittlung des belegten Speichers wird der Dateibestand gezählt; die Inhalte werden dabei nicht ausgewertet.

26 Standortfreigaben an Dritte

1. Der Kunde kann den Standort eines Fahrzeugs über eine Verknüpfung ohne Anmeldung zugänglich machen, insbesondere für Polizei, Abschleppdienste und Versicherer.
2. Empfänger sehen den Standort für die eingestellte Laufzeit. Freigabe, Abruf und Rücknahme werden protokolliert.
3. Verantwortlich für Anlass, Empfänger und Zulässigkeit ist der Kunde. Befindet sich eine Person im Fahrzeug, ist besonders zu prüfen, ob die Freigabe zulässig ist.

Wer bei welchem Produkt Verantwortlicher ist

Teil E. Das Warn- und Informationssystem HyghCheck

27 Zweck und Grundsatz

1. HyghCheck ist ein unternehmensübergreifendes Warn- und Informationssystem für Vermietungsunternehmen. Teilnehmende Unternehmen können Personen nach einer erheblichen Vertragsstörung erfassen und Interessenten vor Vertragsschluss gegen den Bestand prüfen.
2. Zwecke sind die Verhinderung von Betrug und erheblichen Vermögensschäden, die Vermeidung von Forderungs- und Nutzungsausfällen, der Schutz der Beschäftigten teilnehmender Unternehmen vor wiederholter Bedrohung sowie die Verkehrssicherheit.
3. Wer seinen Vertrag erfüllt, wird nicht eingetragen. Zu geprüften Personen ohne Eintrag entsteht kein Datensatz: Bleibt eine Prüfung ohne Treffer, werden die übermittelten Abfragedaten unmittelbar nach dem Abgleich verworfen.
4. Das System bildet keinen Wert, keine Punktzahl, keine Risikoklasse und keine Empfehlung. Angezeigt werden der Sachverhalt, die Quelle und das Datum.
5. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO. Die Abwägung ist dokumentiert und wird jährlich überprüft.

28 Welche Daten verarbeitet werden

Nicht verarbeitet werden: besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO, auch nicht über Freitextfelder; Daten über strafrechtliche Verurteilungen nach Artikel 10 DSGVO, zulässig ist allein die Angabe der Tatsache einer Strafanzeige mit Aktenzeichen, nicht deren rechtliche Würdigung; Bonitätswerte, Punktzahlen, Risikoklassen und Verhaltensprofile; Anreicherungen aus externen Quellen, öffentlichen Registern oder sozialen Netzwerken.

29 Wann eine Eintragung zulässig ist

1. Eine Eintragung setzt voraus, dass die betroffene Person eine erhebliche Vertragsstörung in einem Vertragsverhältnis mit dem meldenden Unternehmen selbst verursacht hat und dass der Sachverhalt belegt ist. Ohne Nachweis entsteht kein geteilter Eintrag.
2. Ein Eintrag ist entweder nur für das meldende Unternehmen sichtbar oder, nach einer Freigabe, für alle teilnehmenden Unternehmen. Die Voreinstellung ist die interne Sichtbarkeit.
3. Ab der Einstufung schwer und immer dann, wenn kein eigener Kundendatensatz zugrunde liegt, prüft HyghSoft den Eintrag vor der geteilten Sichtbarkeit inhaltlich im Vier-Augen-Prinzip: Erheblichkeit, Nachweislage, Wortlaut und Angemessenheit der Einstufung.
4. Zugelassen sind nur bestimmte Kategorien, insbesondere Unterschlagung und Nichtrückgabe, gefälschte Dokumente, Täuschung über die Identität, Einsatz bei Straftaten, erhebliche vorsätzliche oder grob fahrlässige Beschädigung, erheblicher unbestrittener oder titulierter Zahlungsausfall ab 250 Euro, vertragswidrige Überlassung mit Schadensfolge sowie dokumentierte Bedrohung oder Tätlichkeit.
5. Nicht zulässig sind insbesondere: Meldungen auf Verdacht, Meldungen wegen bestrittener Forderungen vor Klärung, Meldungen wegen einer Reklamation, einer Bewertung oder der Ausübung von Verbraucherrechten, Meldungen aus sachfremden Motiven und Meldungen über Personen ohne Vertragsbeziehung zum meldenden Unternehmen.
6. Der Freitext gibt ausschließlich Tatsachen wieder. Werturteile, Beschimpfungen und rechtliche Bewertungen sind unzulässig und werden im Freigabeverfahren beanstandet.

30 Wie lange ein Eintrag bestehen bleibt

Die Höchstdauer beträgt 60 Monate. Beruht ein Eintrag allein auf einer offenen Forderung, endet er bereits mit deren vollständigem Ausgleich. Dokumentiert ein Eintrag dagegen eine bereits eingetretene erhebliche Vertragsstörung, etwa eine Unterschlagung, so wird er durch eine spätere Wiedererlangung oder Zahlung nicht gegenstandslos. Abgelaufene Einträge werden aus der Trefferermittlung ausgeschlossen und anschließend physisch gelöscht oder unumkehrbar anonymisiert.

31 Wann abgefragt werden darf und wie ein Treffer entsteht

1. Eine Abfrage ist nur anlassbezogen zur Prüfung eines konkreten eigenen Vertragsverhältnisses oder seiner Anbahnung zulässig. Anlassloses Durchsuchen ist untersagt, kontingentiert und technisch auffällig.
2. Ein Treffer entsteht nur bei exakter Übereinstimmung eines eindeutigen Merkmals: elektronische Postadresse, Rufnummer, Ausweisnummer, Führerscheinnummer oder Name in Verbindung mit dem Geburtsdatum.
3. Namensähnlichkeit erzeugt keine Warnung, sondern nur einen gesondert gekennzeichneten Prüfhinweis. Das abfragende Unternehmen muss anhand weiterer Merkmale nachprüfen.
4. Jede Abfrage wird protokolliert. Bleibt sie ohne Treffer, werden die Abfragedaten unmittelbar verworfen.
5. Bei einer technischen Störung oder einem erschöpften Kontingent bleibt die Person ungeprüft; ein automatischer Negativbefund entsteht nicht.

32 Keine automatisierte Entscheidung

1. Ein Treffer führt nicht automatisch zu einer Ablehnung. Die Entscheidung über einen Vertragsschluss trifft eine natürliche Person im teilnehmenden Unternehmen, die befugt ist, auch abweichend zu entscheiden.
2. Eine Ablehnung darf nicht ausschließlich und ungeprüft auf einen Treffer gestützt werden. Das Unternehmen hat den Grund zur Kenntnis zu nehmen und für den konkreten Vertrag zu bewerten.
3. Eine automatisierte Entscheidung im Einzelfall im Sinne des Artikels 22 DSGVO findet nicht statt. Ein Wert, eine Stufenbewertung oder eine Empfehlung wird nicht gebildet.
4. HyghSoft prüft stichprobenartig, ob das Verhältnis von Trefferanzeigen zu Ablehnungen auf eine schematische Übernahme hindeutet, und wertet monatlich auffällige Melde- und Abfragemuster aus.

33 Ihre Rechte gegenüber dem Warnsystem

1. Anbieter und meldendes Unternehmen sind gemeinsam verantwortlich. Sie können Ihre Rechte gegenüber jedem von beiden geltend machen (Artikel 26 Absatz 3 DSGVO).
2. Intern gilt: HyghSoft ist die zentrale Anlaufstelle, nimmt Anträge entgegen und wahrt die Fristen. Die Aufklärung des Sachverhalts obliegt dem meldenden Unternehmen. Die technische Umsetzung nimmt wieder HyghSoft vor.
3. Auf ein Auskunftsverlangen erhalten Sie innerhalb eines Monats Auskunft über Inhalt, meldendes Unternehmen, Einstufung, Ablaufdatum, Herkunft, Empfängerkategorien und die Abfragen, in denen der Eintrag angezeigt wurde.
4. Einspruch: Der Eintrag wird mit Eingang Ihres Einspruchs sofort auf die interne Sichtbarkeit zurückgesetzt. Das meldende Unternehmen hat 14 Tage Zeit, die Nachweise vorzulegen. Legt es sie nicht vor, wird der Eintrag gelöscht, nicht nur eingeschränkt.
5. Wird ein Eintrag berichtigt oder gelöscht, werden alle Unternehmen unterrichtet, denen er als Treffer angezeigt wurde (Artikel 19 DSGVO).
6. Wer mit geteilter Sichtbarkeit eingetragen wird, wird darüber aktiv unterrichtet, spätestens innerhalb eines Monats und spätestens zum Zeitpunkt der ersten Offenlegung. Die Unterrichtung nennt Grund, Vorfallsdatum, Einstufung, Ablaufdatum, das meldende Unternehmen, die Rechtsgrundlage und alle Rechtsbehelfe.
7. Das Beschwerderecht bei einer Aufsichtsbehörde besteht unabhängig davon (Abschnitt 7).

34 Teilnehmerkreis und Grenzen

• Der Teilnehmerkreis ist geschlossen. Eine Selbstregistrierung besteht nicht; die Freischaltung erfolgt erst nach Legitimationsprüfung anhand von Gewerbeanmeldung, Registerauszug und Nachweis eines Fahrzeugbestandes.
• Es gibt keine Öffentlichkeit, keine Indexierung durch Suchmaschinen, keine Weitergabe an Auskunfteien, keinen Datenverkauf und keine Werbung.
• Angebundene Buchungs- und Vermittlungsplattformen sind ausschließlich technischer Übertragungsweg zur Anzeige beim jeweiligen Vermietungsunternehmen.
• Einträge aus dem Europäischen Wirtschaftsraum werden Teilnehmern außerhalb nicht angezeigt und umgekehrt, solange keine tragfähige Übermittlungsgrundlage besteht.
• Unternehmen, die unzulässig melden, werden in einem dreistufigen Verfahren sanktioniert: Hinweis und Nachschulung, Entzug der Meldeberechtigung für drei Monate, Ausschluss mit Löschung aller von ihnen veranlassten geteilten Einträge.

Teil F. Eigene Verarbeitungen von HyghSoft

35 Vertragsanbahnung, Vertrag, Rechnungen

1. Für die Anbahnung und die Durchführung eines Vertrages verarbeitet HyghSoft Firma, Rechtsform, Anschrift, Vertretung, Ansprechpartner mit Kontaktdaten, Umsatzsteuer-Identifikationsnummer, Vertrags- und Abrechnungsdaten sowie die Zahlungshistorie.
2. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO, für Rechnungen und Buchführung Artikel 6 Absatz 1 Buchstabe c DSGVO in Verbindung mit den handels- und steuerrechtlichen Aufbewahrungspflichten.
3. Vor dem Abschluss eines Vertrages mit laufenden Entgelten, vor der Lieferung auf Rechnung und bei Zahlungsverzug kann eine Auskunft bei einem Wirtschaftsinformationsdienst eingeholt werden. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO.
4. Offene, unbestrittene und fällige Forderungen können nach erfolgloser Mahnung an einen Wirtschaftsinformationsdienst gemeldet werden, wenn die gesetzlichen Voraussetzungen erfüllt sind. Die Meldung wird vorher angekündigt.
5. Unterlagen mit Aufbewahrungspflicht werden nach Ablauf der gesetzlichen Fristen gelöscht, im Übrigen drei Jahre nach dem Ende des Vertragsverhältnisses.

36 Support und Vorgangsverwaltung

1. Bei einer Supportanfrage werden der Inhalt, die Kontaktdaten der meldenden Person, die Vorgangskennung, technische Angaben zum Vorgang und der weitere Verlauf gespeichert.
2. Fehlerberichte und Ablaufprotokolle können Ausschnitte aus Kundendaten enthalten, soweit sie zur Aufklärung erforderlich sind. Geheimnisse werden unkenntlich gemacht, der Zugriff ist auf die befassten Personen begrenzt.
3. Greift HyghSoft zur Fehlersuche über den Support-Zugang in eine Kundenumgebung, geschieht das auf Weisung des Kunden, zeitlich begrenzt, standardmäßig lesend und vollständig protokolliert.
4. Supportvorgänge werden drei Jahre nach Abschluss gelöscht, soweit sie nicht zur Verteidigung von Ansprüchen benötigt werden.

37 Sicherheit der Systeme, Abwehr von Angriffen

1. Zum Schutz der Systeme werden Zugriffe protokolliert, Anmeldeversuche gezählt, Zugriffsraten begrenzt und Angriffe automatisiert erkannt. Angreifende Adressen und Netze können gesperrt werden.
2. Verarbeitet werden dabei IP-Adressen, Zeitpunkte, aufgerufene Adressen, technische Angaben des Zugriffs und das Ergebnis der Bewertung. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO; das berechtigte Interesse ist der Schutz der Systeme und der Daten aller Kunden.
3. Sperrlisten und Vorfallsakten werden aufbewahrt, solange sie für die Abwehr und für die Aufklärung erforderlich sind, und regelmäßig daraufhin überprüft.
4. Wird ein Sicherheitsvorfall festgestellt, greift ein dokumentiertes Verfahren nach Artikel 33 und 34 DSGVO. Betroffene Kunden werden innerhalb von 24 Stunden nach Kenntnis unterrichtet.

38 Protokolle und Nachweise

1. In den Systemen werden die für Betrieb, Sicherheit und Nachvollziehbarkeit erforderlichen Vorgänge protokolliert, insbesondere Anmeldungen, Änderungen an Stammdaten, Rechten und Einstellungen, das Erzeugen und Löschen von Dokumenten, Unterschriften, Zahlungen, Lagerbewegungen, Fernbefehle, Support-Zugänge und Zugriffe über Schnittstellen.
2. Die Einträge werden gegen Veränderung geschützt, indem aufeinanderfolgende Einträge durch Prüfwerte verkettet werden.
3. Die Aufbewahrung richtet sich nach der Klasse des Eintrags und beträgt ein Jahr, drei Jahre oder zehn Jahre. Danach werden die Einträge gelöscht (Anlage 2).
4. Eine Auswertung der Protokolle zur Verhaltens- oder Leistungskontrolle von Beschäftigten der Kunden nimmt HyghSoft nicht vor.

39 Verbesserung der Produkte, Statistik

1. Für den Betrieb und die Verbesserung werden technische Nutzungsdaten erhoben, insbesondere Aufrufzahlen, Antwortzeiten, Fehlerhäufigkeiten, Geräte- und Browserarten sowie Zählwerte für die Abrechnung.
2. Für Auswertungen über den einzelnen Kunden hinaus werden ausschließlich zusammengefasste Werte ohne Personenbezug und ohne Bezug zu einem einzelnen Kunden verwendet. Inhalte der Kundendaten werden dafür nicht genutzt.
3. Kundendaten werden nicht zum Training von Modellen verwendet und Dritten nicht zu diesem Zweck zugänglich gemacht. Mit den eingesetzten Diensten ist vereinbart, dass übermittelte Inhalte nicht zum Training verwendet werden, soweit der jeweilige Dienst das anbietet.

40 Meldungen über rechtswidrige Inhalte

1. Wer einen über die Dienste gespeicherten Inhalt als rechtswidrig meldet, gibt dabei in der Regel Namen und elektronische Postadresse an. Diese Angaben werden verarbeitet, um die Meldung zu bearbeiten, den betroffenen Kunden anzuhören und das Ergebnis mitzuteilen.
2. Rechtsgrundlage ist die rechtliche Verpflichtung aus der Verordnung (EU) 2022/2065 und das berechtigte Interesse an einem rechtmäßigen Betrieb.
3. Bei Inhalten, die Straftaten gegen die sexuelle Selbstbestimmung betreffen, ist die Angabe von Namen und Kontaktdaten nicht erforderlich.
4. Meldungen, Entscheidungen und Beschwerden werden drei Jahre aufbewahrt, um wiederholte Verstöße erkennen und Entscheidungen nachvollziehen zu können.

41 Bewerbungen und Kontakt mit Partnern

1. Bewerbungsunterlagen werden ausschließlich für das jeweilige Verfahren verarbeitet. Rechtsgrundlage ist § 26 BDSG und Artikel 6 Absatz 1 Buchstabe b DSGVO.
2. Nach Abschluss des Verfahrens werden die Unterlagen sechs Monate aufbewahrt und anschließend gelöscht, sofern keine längere Aufbewahrung vereinbart wurde.
3. Kontaktdaten von Lieferanten, Partnern und Dienstleistern werden für die Zusammenarbeit verarbeitet; Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b und f DSGVO.

Teil G. Sicherheit und Schluss

42 Technische und organisatorische Maßnahmen

Die Maßnahmen nach Artikel 32 DSGVO sind in Anlage 3 im Überblick dargestellt. Sie umfassen insbesondere verschlüsselte Übertragung, getrennte Datenbank und getrennten Dateibereich je Kunde, ein feingliedriges Rechtesystem, Zwei-Faktor-Anmeldung, verschlüsselte Speicherung besonders schutzbedürftiger Dokumente, fälschungssichere Protokolle, arbeitstägliche geprüfte Sicherung auf zwei getrennten Datenträgern, automatische Überwachung mit Wiederanlauf sowie einen eng begrenzten, protokollierten Support-Zugang.

43 Änderung dieser Erklärung

1. Diese Erklärung wird angepasst, wenn sich die Verarbeitung, die eingesetzten Dienste oder die Rechtslage ändern. Maßgeblich ist die jeweils auf den Internetseiten veröffentlichte Fassung.
2. Wesentliche Änderungen, die bestehende Verarbeitungen betreffen, teilt HyghSoft den Kunden gesondert mit.
3. Frühere Fassungen stellt HyghSoft auf Anfrage in Textform bereit.
4. Diese Fassung trägt die Nummer 4.0 und den Stand 11.09.2026. Sie ersetzt die Fassung vom 04.09.2026 vollständig.

Teil H. Besondere Lagen und einzelne Funktionen

44 Kinder und Jugendliche

1. Ein persönliches Konto darf nur anlegen, wer das 16. Lebensjahr vollendet hat. Für Personen unter 18 Jahren ist die Nutzung nur mit Zustimmung der gesetzlichen Vertreter zulässig.
2. Die Angebote richten sich nicht an Kinder. Wird bekannt, dass ein Konto entgegen Absatz 1 angelegt wurde, wird es gesperrt und nach Klärung gelöscht.
3. In den Mandantenumgebungen der Kunden können Daten Minderjähriger anfallen, etwa als Zusatzfahrer oder als Ansprechpartner. Der Kunde erhebt sie nur, soweit sie für seinen Vorgang erforderlich sind.
4. Eine Meldung im Warn- und Informationssystem über eine Person, die zum Zeitpunkt des Vorfalls minderjährig war, ist nur aus zwingendem Grund zulässig.

45 Lichtbilder, Videoaufnahmen, Skizzen

1. In den Produkten werden Lichtbilder verarbeitet, insbesondere Fahrzeugbilder, Aufnahmen bei Übergabe und Rückgabe sowie Schadenbilder. Sie können Personen zeigen, etwa im Hintergrund oder als Spiegelung.
2. Verantwortlich für die Aufnahme, für die Erforderlichkeit und für die Information der abgebildeten Personen ist der Kunde. Er vermeidet Aufnahmen von Personen, wo sie nicht erforderlich sind.
3. Werden Bilder auf einer Website veröffentlicht, prüft der Kunde vorher, ob er dazu berechtigt ist. Für Aufnahmen von Personen gilt das Recht am eigenen Bild.
4. Die Software kann Bilder verkleinern, umwandeln und den Hintergrund entfernen. Die Ursprungsdatei bleibt erhalten und ist für die Beweisführung maßgeblich.
5. Videoaufnahmen werden nur verarbeitet, soweit der Kunde sie hochlädt. Eine Videoüberwachung durch den Anbieter findet nicht statt.

46 Nachrichten, Chat, Benachrichtigungen

1. Nachrichten zwischen dem Kunden, seinen Nutzern und seinen Endkunden sind Inhalte des Kunden. Der Anbieter verarbeitet sie im Auftrag und liest sie nicht, außer zur Abwehr von Schadprogrammen, zur Behebung einer Störung auf Weisung oder aufgrund einer rechtlichen Pflicht.
2. Anhänge werden anhand ihres tatsächlichen Inhalts geprüft. Anhänge mit Schadfunktion werden abgewiesen.
3. Das Zurückziehen einer Nachricht wirkt nur in der Software. Bereits zugestellte Benachrichtigungen, Kopien und Mitschriften beim Empfänger bleiben bestehen.
4. Benachrichtigungen per E-Mail und auf Endgeräte enthalten so wenig Inhalt wie möglich. Für die Zustellung auf Endgeräte wird ein Dienst des Betriebssystemherstellers genutzt (Anlage 1).

47 Kalenderabruf

1. Termine, Buchungen und Fristen können über eine persönliche Verknüpfung in einem Kalenderprogramm abgerufen werden.
2. Die Verknüpfung enthält einen Schlüssel. Wer sie kennt, sieht die darin enthaltenen Termine; sie ist deshalb wie ein Zugangsdatum zu behandeln und kann jederzeit erneuert werden.
3. Der Abruf erfolgt durch das Kalenderprogramm des Nutzers. Dabei werden IP-Adresse, Zeitpunkt und technische Angaben des Abrufs protokolliert.

48 Kundenportal des Anbieters

1. Im Kundenportal sehen Kunden ihre Abonnements, Rechnungen, Zahlungen, Belege, Verträge und Anträge. Verantwortlicher ist HyghSoft.
2. Verarbeitet werden Stammdaten des Unternehmens, Angaben zu den zugeordneten Personen, Vertrags- und Abrechnungsdaten sowie die Anmeldevorgänge.
3. Eine Person kann mehreren Unternehmen zugeordnet sein. Die Zuordnung erfolgt nur auf Veranlassung der Person oder des Unternehmens; die Bestände bleiben getrennt.
4. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO, für die Aufbewahrung von Rechnungen Buchstabe c.

49 Sicherungen und Wiederherstellung

1. Von allen Beständen werden arbeitstäglich Sicherungen erstellt und auf zwei getrennten physischen Datenträgern aufbewahrt. Zweck ist die Wiederherstellung nach einem technischen Ausfall.
2. Sicherungen werden mindestens 30 Tage aufbewahrt und auf Lesbarkeit geprüft. Der Zugriff ist auf die mit dem Betrieb befassten Personen beschränkt.
3. Ein in den Produktivsystemen gelöschter Datensatz verschwindet aus den Sicherungen erst mit dem Ablauf der Aufbewahrung der jeweiligen Sicherung. Ein gezieltes Löschen einzelner Datensätze aus einer bestehenden Sicherung ist technisch nicht möglich; die Aufsichtsbehörden erkennen diese Beschränkung an, solange die Löschung mit dem Rotationszyklus sichergestellt ist.
4. Vor jedem Eingriff in den Produktivbestand wird eine zusätzliche Sicherung erstellt.

50 Information, Werbung, Referenzen

1. Bestandskunden werden über eigene, ähnliche Leistungen informiert, insbesondere über neue Funktionen, Sicherheitshinweise und Preisänderungen. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO in Verbindung mit § 7 Absatz 3 UWG.
2. Jede solche Nachricht enthält einen Hinweis auf das Widerspruchsrecht. Ein Widerspruch wird unverzüglich umgesetzt und dauerhaft beachtet.
3. Nachrichten, die den Betrieb betreffen, insbesondere Sicherheitshinweise, Wartungsankündigungen, Änderungen der Bedingungen, Rechnungen und Mahnungen, sind keine Werbung.
4. Der Anbieter darf Kunden mit Firma und Zeichen als Referenz nennen. Der Kunde kann jederzeit widersprechen. Die Nennung einer natürlichen Person, ein Erfahrungsbericht und ein Zitat erfolgen nur mit Einwilligung.
5. Bildschirmabbildungen für Werbezwecke zeigen nur erfundene oder unkenntlich gemachte Inhalte.

51 Wie die Identität bei Anträgen geprüft wird

1. Vor einer Auskunft, einer Berichtigung oder einer Löschung prüft der Anbieter, ob der Antrag von der betroffenen Person stammt. Das schützt vor Auskünften an Unbefugte.
2. In der Regel genügt der Antrag über die im System hinterlegte elektronische Postadresse oder über einen angemeldeten Zugang.
3. Bestehen begründete Zweifel, fordert der Anbieter weitere Angaben an, die einen Abgleich mit dem Bestand erlauben, insbesondere Geburtsdatum, Anschrift oder eine Vorgangsnummer. Eine Kopie eines Ausweisdokuments wird nur verlangt, wenn kein milderes Mittel bleibt; nicht benötigte Angaben darauf dürfen geschwärzt werden.
4. Angaben, die allein zur Identitätsprüfung übermittelt werden, werden nach Abschluss des Antrags gelöscht.

52 Verfahren bei einer Verletzung des Schutzes personenbezogener Daten

1. Für Verletzungen des Schutzes personenbezogener Daten besteht ein dokumentiertes Verfahren: interne Meldung, Bewertung des Risikos für die betroffenen Personen, Eindämmung, Unterrichtung der betroffenen Verantwortlichen, Dokumentation.
2. Betrifft der Vorfall Daten, die im Auftrag eines Kunden verarbeitet werden, unterrichtet der Anbieter diesen Kunden innerhalb von 24 Stunden nach Kenntnis. Die Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden und die Benachrichtigung betroffener Personen obliegen dem Kunden als Verantwortlichem; der Anbieter unterstützt ihn.
3. Betrifft der Vorfall Daten, für die HyghSoft selbst verantwortlich ist, meldet HyghSoft ihn der zuständigen Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden, soweit ein Risiko besteht, und benachrichtigt die betroffenen Personen bei voraussichtlich hohem Risiko.
4. Alle Vorfälle werden dokumentiert, einschließlich der Gründe für eine unterbliebene Meldung.

53 Begriffe

Anlagen

Anlage 1 Empfänger, Auftragsverarbeiter, Dienste Dritter

Stand zum Fassungsdatum. Änderungen bei Unterauftragsverarbeitern teilt der Anbieter seinen Kunden mit einer Frist von vier Wochen mit.

Die Mailplattform HyghMail betreibt der Anbieter auf eigener Infrastruktur; ein weiterer Auftragsverarbeiter ist dafür nicht eingeschaltet. Ein Verkauf von Daten und eine Übermittlung an Werbenetzwerke finden nicht statt.

Anlage 2 Aufbewahrungs- und Löschfristen

Anlage 3 Technische und organisatorische Maßnahmen

Anlage 4 Kontaktwege für Betroffene und Muster

Muster für ein Auskunftsverlangen

Muster für einen Einspruch gegen einen Warneintrag

Anlage 5 Übersicht der Verarbeitungen und Rechtsgrundlagen