Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website ist:

Tim Skowronek
Grom Doctor
Mörfelder Landstraße 73
60598 Frankfurt am Main
Deutschland
E-Mail: whatsup@grom.doctor
Fax: +49-69-6656 3596

2. Allgemeine Hinweise

Der Schutz Ihrer personenbezogenen Daten ist uns wichtig. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Diese Datenschutzerklärung informiert Sie darüber, welche personenbezogenen Daten beim Besuch dieser Website verarbeitet werden, zu welchen Zwecken die Verarbeitung erfolgt und welche Rechte Ihnen zustehen.

3. Bereitstellung und Hosting der Website

Diese Website wird bei folgendem Hostinganbieter betrieben:

STRATO GmbH
Otto-Ostrowski-Straße 7
10249 Berlin
Deutschland

Beim Aufruf dieser Website verarbeitet der Hostinganbieter technisch erforderliche Verbindungs- und Zugriffsdaten. Diese Verarbeitung ist erforderlich, um die Website an Ihr Endgerät auszuliefern sowie die Sicherheit, Stabilität und Funktionsfähigkeit der technischen Systeme zu gewährleisten.

Dabei können insbesondere folgende Daten verarbeitet werden:

• IP-Adresse des aufrufenden Endgeräts
• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite beziehungsweise Datei
• übertragene Datenmenge
• HTTP-Statuscode
• zuvor besuchte Seite, sofern diese Information vom Browser übermittelt wird
• verwendeter Browser und Browserversion
• verwendetes Betriebssystem
• Hostname des zugreifenden Endgeräts
• Informationen über den zugreifenden Internetanbieter

Die Verarbeitung erfolgt auf Grundlage von Artikel 6 Absatz 1 Buchstabe f DSGVO.

Unser berechtigtes Interesse besteht in der sicheren, stabilen und technisch fehlerfreien Bereitstellung dieser Website sowie in der Erkennung und Abwehr von Angriffen und missbräuchlichen Zugriffen.

STRATO verarbeitet personenbezogene Daten im Rahmen einer Auftragsverarbeitung gemäß Artikel 28 DSGVO.

4. Server-Logdateien

Beim Besuch dieser Website werden automatisch technische Zugriffsdaten in Server-Logdateien erfasst.

Die Erfassung dieser Daten ist technisch erforderlich, damit die Inhalte der Website ordnungsgemäß an Ihr Endgerät übermittelt werden können.

Die Server-Logdateien werden insbesondere zu folgenden Zwecken verarbeitet:

• Bereitstellung der Website
• Gewährleistung der technischen Funktionsfähigkeit
• Erkennung und Behebung technischer Fehler
• Gewährleistung der Systemsicherheit
• Erkennung und Abwehr von Angriffen
• Verhinderung missbräuchlicher Zugriffe

Eine Zusammenführung dieser Daten mit anderen Datenquellen oder eine Auswertung zu Werbe-, Marketing- oder Profilbildungszwecken findet nicht statt.

Die Rechtsgrundlage für die Verarbeitung ist Artikel 6 Absatz 1 Buchstabe f DSGVO.

Nach Angaben von STRATO werden die IP-Adressen der Websitebesucher zur Erkennung und Abwehr von Angriffen für höchstens sieben Tage gespeichert. Danach werden die IP-Adressen gelöscht oder anonymisiert, sofern keine weitere Speicherung zur Aufklärung eines konkreten Sicherheitsvorfalls erforderlich ist.

Weitere technische Logdaten können abhängig vom verwendeten Hostingpaket und den Einstellungen des Hostinganbieters für einen begrenzten Zeitraum bereitgestellt werden.

Wir archivieren die Server-Logdateien nicht eigenständig und verwenden sie nicht zur Analyse des Nutzungsverhaltens.

5. Darstellung des Logos und Verwendung von Schriftarten

Das auf dieser Website dargestellte Logo wird als fertige Grafikdatei auf dem eigenen Webspace gespeichert und von dort ausgeliefert.

Die innerhalb des Logos verwendete Schriftart wird nicht als Webschrift oder externe Schriftdatei geladen. Beim Aufruf der Website wird daher keine Verbindung zum Anbieter der für das Logo verwendeten Schriftart hergestellt.

Für die übrigen Texte der Website werden auf dem jeweiligen Endgerät vorhandene Standardschriftarten verwendet. Dabei kann beispielsweise auf Schriftarten wie Helvetica, Arial oder eine andere lokal vorhandene serifenlose Standardschrift zurückgegriffen werden.

Es werden keine Schriftarten über externe Anbieter wie Google Fonts, Adobe Fonts oder vergleichbare Dienste geladen.

6. Cookies und vergleichbare Technologien

Nach der derzeitigen technischen Gestaltung setzt diese Website keine Cookies oder vergleichbaren Technologien zur Analyse, Reichweitenmessung, Werbung, Nutzerverfolgung oder Profilbildung ein.

Ausnahme: Im zugangsbeschränkten Kundenportal (siehe Abschnitt 19) wird ein technisch notwendiges Sitzungs-Cookie gesetzt, das ausschließlich der Anmeldung und der Aufrechterhaltung der Sitzung dient. Es wird beim Abmelden bzw. beim Schließen des Browsers gelöscht und nicht zu Analyse- oder Werbezwecken verwendet (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO).

Das Kundenportal kann als Web-App auf dem Startbildschirm eines Geräts abgelegt werden. Dazu legt der Browser einen lokalen Zwischenspeicher für Gestaltungsdateien des Portals an (Stylesheet, Skript, Schriften, Symbole, Offline-Hinweisseite). Für Kundenkonten enthält dieser Zwischenspeicher keine personenbezogenen Daten und keine Inhalte des Portals; er dient allein der schnelleren Anzeige und dem Hinweis bei fehlender Verbindung (§ 25 Abs. 2 Nr. 2 TDDDG).

Für alle Konten des Kundenportals (Kunden und Verwaltung) sichert der Browser beim Absenden eines Formulars — oder wenn die Anmeldung abläuft, während ein angefangenes Formular offen ist — die darin eingegebenen Werte dieses einen Formulars im lokalen Speicher des Geräts — ohne Passwörter und ohne Dateien —, damit die Eingabe nicht verloren geht, wenn die Anmeldung inzwischen abgelaufen oder die Seite nicht mehr gültig war; nach der erneuten Anmeldung steht die Eingabe wieder im Formular. Zu demselben Zweck merkt sich der Browser, über welche Schaltfläche ein Formular geöffnet wurde (beim Konfigurator mit den Werten, die beim Wechsel von Motor oder Ausführung im Formular standen). Die Sicherung wird gelöscht, sobald die Sendung beim Portal angekommen ist, beim Abmelden, sobald in demselben Browser ein anderes Konto das Portal aufruft, und spätestens nach 24 Stunden; die gemerkten Schaltflächen beim Abmelden, sobald ein anderes Konto das Portal aufruft, und spätestens nach 24 Stunden. Diese Daten verlassen das Gerät nicht und werden nicht an Dritte übermittelt (Art. 6 Abs. 1 lit. b DSGVO; § 25 Abs. 2 Nr. 2 TDDDG).

Ausschließlich für Verwaltungskonten des Betreibers (nicht für Kundenkonten) legt der Browser zusätzlich Kopien der zuletzt geöffneten Verwaltungsseiten (höchstens 30 Seiten, höchstens 7 Tage) sowie ohne Verbindung erfasste Notizen im lokalen Speicher des Geräts ab, damit die Verwaltung diese Seiten ohne Verbindung lesen und Notizen erfassen kann; die Notizen werden bei der nächsten Verbindung an das Portal übertragen und lokal entfernt. Ebenso legt der Browser eine Notiz, deren letzte Änderung beim Verlassen oder Verbergen der Seite noch nicht vom Portal bestätigt ist, sofort im lokalen Speicher des Geräts ab, damit sie nicht verloren geht; sie wird beim nächsten Aufruf des Portals übertragen und lokal entfernt, sobald das Portal sie bestätigt hat. Die Seitenkopien werden beim Abmelden gelöscht; sie werden außerdem gelöscht, sobald in demselben Browser ein Kundenkonto eine Seite des Portals aufruft. Noch nicht übertragene Notizen bleiben bis zur nächsten Verbindung auf dem Gerät und werden danach lokal entfernt. Diese Daten liegen nur auf Geräten des Betreibers und werden nicht an Dritte übermittelt (Art. 6 Abs. 1 lit. f DSGVO; § 25 Abs. 2 Nr. 2 TDDDG).

Ebenfalls ausschließlich für Verwaltungskonten des Betreibers steht eine „Flugmappe“ zur Verfügung: Auf ausdrückliche Anforderung (Schaltfläche „Für den Flug vorbereiten“) legt der Browser einen Auszug der Verwaltungsdaten im lokalen Speicher des Geräts ab — Motoren- und Produktdaten einschließlich Beschreibungen und Preisen, die zugehörigen Vorschaubilder und Datenblätter sowie die gespeicherten Notizen —, damit ohne Verbindung (etwa auf Flügen) gelesen und geschrieben werden kann. Die Kunden-, Kundenprojekt-, Lieferanten-, Lager- und Belegtabellen werden nicht auf das Gerät übertragen. Die mit übertragenen Notizen und die Lieferantenangabe an einem Produkt können jedoch Namen von Kunden und Lieferanten enthalten (siehe Abschnitt 20). Ohne Verbindung erfasste Texte und Entwürfe werden bei der nächsten Verbindung an das Portal übertragen und lokal entfernt. Anders als die oben genannten Seitenkopien bleibt dieser Auszug über das Abmelden hinaus auf dem Gerät, bis er über die Schaltfläche „Flugmappe leeren“ gelöscht wird, längstens jedoch 14 Tage ab der Vorbereitung: Ein älterer Auszug wird beim nächsten Aufruf des Portals mit bestehender Verbindung selbsttätig vom Gerät gelöscht. Noch nicht übertragene Texte und Entwürfe bleiben davon unberührt, bis sie übertragen sind. Der Auszug liegt nur auf Geräten des Betreibers und wird nicht an Dritte übermittelt (Art. 6 Abs. 1 lit. f DSGVO; § 25 Abs. 2 Nr. 2 TDDDG).

Insbesondere werden keine Analyse-, Marketing- oder Tracking-Cookies verwendet.

Sollten zukünftig Cookies oder vergleichbare Technologien eingesetzt werden, wird diese Datenschutzerklärung entsprechend angepasst. Soweit hierfür eine Einwilligung erforderlich ist, werden die entsprechenden Dienste erst nach Erteilung der Einwilligung aktiviert.

7. Keine Analyse- oder Trackingdienste

Auf dieser Website werden keine Analyse- oder Trackingdienste verwendet.

Insbesondere werden keine Dienste wie die folgenden eingesetzt:

• Google Analytics
• Google Tag Manager
• Meta Pixel
• Matomo
• Hotjar
• Microsoft Clarity
• vergleichbare Analyse- oder Trackingdienste

Es werden keine Nutzerprofile erstellt und keine personenbezogenen Daten zu Werbe-, Marketing- oder Analysezwecken ausgewertet.

8. Keine externen Inhalte oder Drittanbieterdienste

Auf dieser Website werden derzeit keine externen Inhalte oder interaktiven Dienste von Drittanbietern eingebunden. Im nicht öffentlichen Verwaltungsbereich des Portals nutzen wir serverseitig die Programmierschnittstelle des KI-Anbieters Anthropic (siehe Abschnitt 20, „Unterstützung durch Claude“); auf dieser Website wird dabei nichts von Anthropic geladen. Für Lieferantenrechnungen in Fremdwährung fragt der Server dort außerdem den Referenzkurs der Europäischen Zentralbank ab (siehe Abschnitt 20, „Wechselkurse“).

Insbesondere werden keine der folgenden Inhalte verwendet:

• eingebettete Videos
• interaktive Karten
• Social-Media-Plugins
• Social-Media-Feeds
• externe Schriftarten
• externe Analysewerkzeuge
• Werbenetzwerke
• Newsletterdienste
• Zahlungsdienste
• Chat- oder Supportsysteme

Beim Aufruf der Website werden daher nach der beschriebenen technischen Gestaltung keine Verbindungen zu entsprechenden Drittanbietern hergestellt.

9. Kontaktaufnahme per E-Mail oder Fax

Auf dieser Website wird derzeit kein Kontaktformular angeboten.

Sie können uns jedoch über die im Impressum oder in dieser Datenschutzerklärung angegebenen Kontaktdaten kontaktieren.

Wenn Sie uns per E-Mail oder Fax kontaktieren, verarbeiten wir die von Ihnen mitgeteilten personenbezogenen Daten zur Bearbeitung und Beantwortung Ihrer Anfrage.

Dabei können insbesondere folgende Daten verarbeitet werden:

• Name
• E-Mail-Adresse
• Telefonnummer
• Inhalt Ihrer Nachricht
• Datum und Uhrzeit der Kontaktaufnahme
• weitere von Ihnen freiwillig mitgeteilte Informationen

Sofern Ihre Anfrage der Anbahnung oder Durchführung eines Vertrags dient, erfolgt die Verarbeitung auf Grundlage von Artikel 6 Absatz 1 Buchstabe b DSGVO.

Bei sonstigen Anfragen erfolgt die Verarbeitung auf Grundlage von Artikel 6 Absatz 1 Buchstabe f DSGVO. Unser berechtigtes Interesse besteht in der sachgerechten Bearbeitung und Beantwortung Ihrer Anfrage.

Die im Rahmen einer Kontaktaufnahme verarbeiteten Daten werden gelöscht, sobald Ihre Anfrage abschließend bearbeitet wurde und keine gesetzlichen Aufbewahrungspflichten oder sonstigen berechtigten Gründe für eine weitere Speicherung bestehen.

Gesetzlich vorgeschriebene Aufbewahrungsfristen bleiben unberührt.

10. Empfänger personenbezogener Daten

Personenbezogene Daten werden nur an Dritte übermittelt, wenn dies:

• zur technischen Bereitstellung dieser Website erforderlich ist
• zur Bearbeitung einer Anfrage erforderlich ist
• zur Erfüllung eines Vertrags erforderlich ist
• gesetzlich vorgeschrieben ist oder
• auf einer wirksamen Einwilligung beruht

Empfänger technischer Zugriffsdaten ist insbesondere die STRATO GmbH als Hostinganbieter und Auftragsverarbeiter.

Im Zusammenhang mit einer Kontaktaufnahme können außerdem von uns eingesetzte IT- und Kommunikationsdienstleister personenbezogene Daten verarbeiten.

Bei der Prüfung einer Umsatzsteuer-Identifikationsnummer (Abschnitt 20) ist Empfänger der Nummer die Europäische Kommission als Betreiberin des MIAS/VIES-Systems.

Eine Weitergabe personenbezogener Daten zu Werbe-, Marketing- oder Adresshandelszwecken findet nicht statt.

11. Übermittlung in Drittländer

Im Rahmen der Bereitstellung und des Hostings dieser Website durch STRATO ist nach der derzeitigen technischen Gestaltung keine Übermittlung personenbezogener Daten an Empfänger außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums vorgesehen.

Die Website verwendet keine extern geladenen Schriftarten, Analyseprogramme, Trackingdienste oder sonstigen Inhalte von Drittanbietern.

Eine Ausnahme ist die in Abschnitt 20 beschriebene Unterstützung durch Claude im Verwaltungsbereich: Die dort genannten Inhalte werden an Anthropic, PBC (San Francisco, USA) übermittelt. Grundlage der Übermittlung sind die von der Europäischen Kommission erlassenen Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, die Bestandteil des Auftragsverarbeitungsvertrags (Data Processing Addendum) mit Anthropic sind.

Sollten zukünftig Dienste eingesetzt werden, bei denen personenbezogene Daten in Staaten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums übermittelt werden, erfolgt dies nur unter Beachtung der gesetzlichen Voraussetzungen der Artikel 44 bis 49 DSGVO.

12. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie dies für den jeweiligen Verarbeitungszweck erforderlich ist.

Darüber hinaus können Daten gespeichert werden, wenn gesetzliche Aufbewahrungspflichten bestehen oder die weitere Speicherung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Technische Zugriffsdaten und IP-Adressen werden entsprechend den Sicherheits- und Löschfristen des Hostinganbieters gespeichert.

Soweit die Verarbeitung auf einem berechtigten Interesse beruht, werden die Daten gelöscht, sobald der Verarbeitungszweck entfällt und keine gesetzlichen oder sonstigen berechtigten Gründe für eine weitere Speicherung bestehen.

13. Erforderlichkeit der Datenbereitstellung

Die Verarbeitung bestimmter technischer Verbindungsdaten, insbesondere der IP-Adresse, ist erforderlich, damit diese Website an Ihr Endgerät ausgeliefert werden kann.

Ohne die Verarbeitung dieser technischen Daten ist die Bereitstellung und Nutzung der Website nicht möglich.

Eine gesetzliche oder vertragliche Verpflichtung zur Bereitstellung darüber hinausgehender personenbezogener Daten besteht beim bloßen Besuch der Website nicht.

14. Ihre Rechte

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere folgende Rechte:

Recht auf Auskunft

Sie haben gemäß Artikel 15 DSGVO das Recht, Auskunft darüber zu verlangen, ob und welche personenbezogenen Daten über Sie verarbeitet werden.

Recht auf Berichtigung

Sie haben gemäß Artikel 16 DSGVO das Recht, die Berichtigung unrichtiger oder die Vervollständigung unvollständiger personenbezogener Daten zu verlangen.

Recht auf Löschung

Sie haben gemäß Artikel 17 DSGVO das Recht, die Löschung Ihrer personenbezogenen Daten zu verlangen, soweit keine gesetzlichen Gründe einer Löschung entgegenstehen.

Recht auf Einschränkung der Verarbeitung

Sie haben gemäß Artikel 18 DSGVO das Recht, unter den gesetzlichen Voraussetzungen die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen.

Recht auf Datenübertragbarkeit

Sie haben gemäß Artikel 20 DSGVO das Recht, personenbezogene Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, soweit die gesetzlichen Voraussetzungen erfüllt sind.

Recht auf Widerspruch

Sie haben gemäß Artikel 21 DSGVO das Recht, unter den gesetzlichen Voraussetzungen Widerspruch gegen die Verarbeitung Ihrer personenbezogenen Daten einzulegen.

Recht auf Widerruf einer Einwilligung

Soweit eine Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese Einwilligung gemäß Artikel 7 Absatz 3 DSGVO jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung wird dadurch nicht berührt.

Zur Ausübung Ihrer Rechte können Sie sich über die in Abschnitt 1 angegebenen Kontaktdaten an uns wenden.

15. Widerspruch gegen die Verarbeitung aufgrund berechtigter Interessen

Soweit personenbezogene Daten auf Grundlage von Artikel 6 Absatz 1 Buchstabe f DSGVO verarbeitet werden, haben Sie gemäß Artikel 21 DSGVO das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen die Verarbeitung einzulegen.

Wir verarbeiten die betreffenden personenbezogenen Daten anschließend nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen.

Eine weitere Verarbeitung kann außerdem erfolgen, wenn sie der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient.

16. Beschwerderecht bei einer Datenschutzaufsichtsbehörde

Sie haben gemäß Artikel 77 DSGVO das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt.

Sie können sich insbesondere an die Datenschutzaufsichtsbehörde Ihres gewöhnlichen Aufenthaltsortes, Ihres Arbeitsplatzes oder des Ortes des mutmaßlichen Datenschutzverstoßes wenden.

Das Beschwerderecht besteht unbeschadet anderer verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe.

17. Automatisierte Entscheidungsfindung und Profiling

Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 DSGVO findet nicht statt.

18. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen, um personenbezogene Daten gegen Verlust, Zerstörung, Manipulation und unberechtigten Zugriff zu schützen.

Die Website sollte verschlüsselt über HTTPS bereitgestellt werden. Dadurch werden die zwischen Ihrem Browser und dem Webserver übertragenen Daten verschlüsselt übertragen.

Eine vollständig lückenlose Sicherheit der Datenübertragung im Internet kann jedoch nicht gewährleistet werden.

19. Kundenportal (Login-Bereich)

Diese Website enthält ein zugangsbeschränktes Kundenportal, über das registrierten Nutzern Dokumente (z. B. Anleitungen und Werkstattunterlagen) bereitgestellt werden. Nutzerkonten werden ausschließlich durch uns angelegt; eine Selbstregistrierung ist nicht möglich.

Im Rahmen des Portals verarbeiten wir folgende Daten:

• Kontodaten: Benutzername, Passwort (ausschließlich als kryptografischer Hash gespeichert), Spracheinstellung sowie die vergebenen Dokumentberechtigungen einschließlich zeitlich begrenzter Freigaben (Art. 6 Abs. 1 lit. b DSGVO).
• Anmeldeverfahren: Auf Wunsch können Sie sich statt mit dem Passwort mit Passkeys anmelden (Anmeldung per Face ID, Touch ID oder Geräte-PIN nach dem WebAuthn-Standard). Für jeden Passkey speichern wir dessen Kennung, den öffentlichen Schlüssel, einen Zähler, den von Ihnen vergebenen Gerätenamen sowie Zeitpunkt der Anlage und der letzten Verwendung. Biometrische Merkmale (Gesicht, Fingerabdruck) verlassen Ihr Gerät dabei nicht und werden von uns nicht verarbeitet; der private Schlüssel verbleibt in Ihrem Gerät bzw. Schlüsselbund. Passkeys können Sie in den Portaleinstellungen jederzeit löschen (Art. 6 Abs. 1 lit. b und f DSGVO).
• Zugriffsprotokoll: Anmeldungen sowie Aufrufe und Downloads von Dokumenten — einschließlich verweigerter Zugriffsversuche — mit Benutzername, betroffenem Dokument, Zeitpunkt und IP-Adresse. Zweck ist die Gewährleistung der Sicherheit des Portals, die Erkennung von Missbrauch (etwa der Weitergabe von Zugangsdaten) und die Nachvollziehbarkeit der Dokumentnutzung (Art. 6 Abs. 1 lit. f DSGVO). Das Zugriffsprotokoll werten wir zudem in zusammengefasster Form aus (z. B. meistgenutzte Dokumente und aktivste Konten der letzten 30 Tage); dabei entstehen keine zusätzlichen Daten.
• Dokumentkennzeichnung: Beim Abruf werden Dokumente mit sichtbaren und nicht sichtbaren Kennzeichnungen versehen, die den abrufenden Benutzernamen und den Abrufzeitpunkt enthalten. Zweck ist der Schutz der Unterlagen vor unberechtigter Weitergabe und deren Nachvollziehbarkeit (Art. 6 Abs. 1 lit. f DSGVO).

Pro Konto ist grundsätzlich nur eine aktive Sitzung zulässig; eine neue Anmeldung beendet eine bestehende Sitzung. Das persönlich freigegebene Verwaltungskonto des Betreibers kann auf höchstens drei Geräten gleichzeitig angemeldet sein. Dafür werden je Gerät eine aus der Browserkennung abgeleitete Gerätebezeichnung, die Zeitpunkte der Anmeldung, der letzten Nutzung und des letzten Lebenszeichens sowie Grund und Zeitpunkt der Abmeldung gespeichert. Beendete Geräteeinträge werden nach 24 Stunden beim nächsten regelmäßigen Bereinigungslauf gelöscht; Einträge zu Fern- oder Sicherheitsabmeldungen bleiben dafür höchstens sieben Tage erhalten. Ein technisch notwendiges, gegen Skriptzugriff geschütztes Gerätehinweis-Cookie gilt für höchstens sieben Tage ab dem letzten bestätigten Portalzugriff. Es erlaubt keine Anmeldung und dient ausschließlich dazu, eine Fern- oder Sicherheitsabmeldung auch nach Ablauf der Anmeldung zu erkennen und lokale Seitenkopien sowie Formularsicherungen beim nächsten Onlinekontakt zu löschen. Notizen und Flugmappe bleiben erhalten. Die Gerätefreigabe gilt nicht für Kundenkonten. Nach mehreren fehlgeschlagenen Anmeldeversuchen wird die Anmeldung vorübergehend gesperrt.

Ergänzend verarbeiten wir folgende Daten:

• Zustimmungsnachweis: Vor der ersten Nutzung sind die Nutzungsbedingungen des Portals zu bestätigen. Wir speichern dazu Benutzername, Zeitpunkt, Fassung und Sprache der angezeigten Bedingungen sowie die IP-Adresse. Zweck ist der Nachweis der Zustimmung (Art. 6 Abs. 1 lit. f DSGVO); der Nachweis wird drei Jahre aufbewahrt und bleibt auch nach Löschung des Kontos bestehen, da er sonst seinen Zweck verlöre.
• Missbrauchsschutz: Die Zahl der Dokumentabrufe je Konto und Stunde wird begrenzt; Überschreitungen werden protokolliert (Art. 6 Abs. 1 lit. f DSGVO).
• Fehlerprotokoll: Technische Fehlermeldungen werden serverseitig in einer nicht öffentlich abrufbaren Datei gespeichert und nach spätestens 30 Tagen gelöscht.
• E-Mail-Mitteilungen: Sofern am Konto eine E-Mail-Adresse hinterlegt ist, verwenden wir sie für kontobezogene Mitteilungen: Übermittlung der Zugangsdaten bei Anlage des Kontos, Link zum Zurücksetzen des Passworts, Hinweis auf neue Dokumentfreigaben (in den Portaleinstellungen abschaltbar) sowie eine Warnung vor der Deaktivierung lange ungenutzter Konten (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Eine Nutzung zu Werbezwecken findet nicht statt.
• Zurücksetzen des Passworts: Wird über die Anmeldeseite ein Reset-Link angefordert, speichern wir einen kryptografischen Prüfwert des Links für höchstens 60 Minuten. Anforderungen werden zur Missbrauchsbegrenzung mit IP-Adresse für höchstens 24 Stunden protokolliert (Art. 6 Abs. 1 lit. f DSGVO). Die Antwort der Seite lässt nicht erkennen, ob ein Konto existiert.
• Inaktive Konten: Zur Datenminimierung speichern wir den Zeitpunkt der letzten Anmeldung. Konten ohne Anmeldung erhalten nach elf Monaten eine Warnung per E-Mail (sofern eine Adresse hinterlegt ist) und werden nach zwölf Monaten automatisch deaktiviert. Schalten wir ein deaktiviertes Konto wieder frei, speichern wir den Zeitpunkt der Freischaltung; er zählt für diese Fristen wie eine Anmeldung und wird mit dem Konto gelöscht (Art. 6 Abs. 1 lit. f DSGVO).
• Datensicherungen: Die Portaldatenbank wird täglich automatisch gesichert. Sicherungen werden spätestens nach 14 Tagen automatisch gelöscht und beim Hostinganbieter im Rahmen der Auftragsverarbeitung gespeichert (Art. 6 Abs. 1 lit. f DSGVO).

Löschkonzept im Überblick

• Kontodaten (Benutzername, Passwort-Hash, Sprache, E-Mail, Rechte): solange das Konto besteht; bei Löschung des Kontos werden sie mitsamt Rechten, Zeitfreigaben und Passkeys entfernt.
• Zugriffsprotokoll (Anmeldungen, Aufrufe, Downloads, verweigerte Versuche, IP-Adresse): 12 Monate. Die längere Frist dient der Aufklärung unbefugter Weitergabe, die häufig erst mit zeitlichem Abstand bekannt wird (Art. 6 Abs. 1 lit. f DSGVO).
• Fehlgeschlagene Anmeldeversuche: 24 Stunden.
• Aufgebrauchte Zeitfreigaben: 7 Tage.
• Zustimmungsnachweise: 3 Jahre.
• Fehlerprotokoll: 30 Tage.
• Prüfwerte für Passwort-Reset-Links: höchstens 60 Minuten.
• Protokoll der Reset-Anforderungen (IP-Adresse): 24 Stunden.
• Automatische Datensicherungen: 14 Tage.
• Sicherung einer Formulareingabe im Browser (Abschnitt 6): bis die Sendung angekommen ist, beim Abmelden oder bei Aufruf durch ein anderes Konto, spätestens 24 Stunden.
• Bereitgehaltene Kopie einer hochgeladenen Datei nach einer Ablehnung (Abschnitt 20): bis zum Speichern, höchstens 1 Stunde.

Auf Anfrage stellen wir eine Auskunft über die zu einem Konto gespeicherten Daten bereit (Art. 15 DSGVO). Sie umfasst die Kontodaten (mit dem Zeitpunkt einer Freischaltung nach Sperre wegen Inaktivität), Rechte und Zeitkontingente, die Zustimmungen zu den Nutzungsbedingungen, das Zugriffsprotokoll, Passkeys, fehlgeschlagene Anmeldeversuche und die mit dem Konto gestellten Motoranfragen mit den bestätigten Kenntnisnahmen sowie, wenn das Konto einem Kunden zugeordnet ist, dessen Kundenstamm, die Motoranfragen des Kunden, Kundenprojekte, Bestellungen und die dem Kunden zugeordneten Notizen und Dateien. Die in Abschnitt 14 beschriebenen Rechte gelten auch für die Verarbeitung im Kundenportal. Kontakt: whatsup@grom.doctor.

20. Kunden-, Lieferanten- und Projektdaten (Verwaltungsbereich)

Im nicht öffentlichen Verwaltungsbereich des Portals führen wir zur Abwicklung unserer Geschäftsbeziehungen einen Kunden- und einen Lieferantenstamm. Zugriff darauf haben ausschließlich wir als Verantwortlicher; Portalnutzer sehen diese Daten nicht.

• Kundendaten: Name bzw. Firma, Ansprechpartner, Rechnungs- und gegebenenfalls Lieferanschrift, E-Mail-Adresse, Telefonnummer, Kundennummer, Kundentyp (Endkunde, Wiederverkäufer, Distributor) mit dem daraus folgenden Grundrabatt, ein von uns vergebener Kundenstatus sowie Notizen zur Geschäftsbeziehung. Ein Portalkonto kann mit dem Kundendatensatz verknüpft sein. Zweck ist die Anbahnung und Durchführung von Verträgen (Art. 6 Abs. 1 lit. b DSGVO).
• Bestellungen und Kundenprojekte: Zu jedem Kunden erfassen wir Bestellungen (Datum, Nettobetrag, Bemerkung) und Kundenprojekte (Bezeichnung, Status, Positionen mit Preisen und Rabatten). Aus ihnen leiten wir Anzahl und Umsatz je Kunde ab. Zweck ist die Vertragsdurchführung und die kaufmännische Nachvollziehbarkeit (Art. 6 Abs. 1 lit. b und f DSGVO).
• Lieferantendaten: Firma, Anschrift, Postfach, Ansprechpartner, E-Mail-Adresse, Telefonnummer, Internetadressen, Handelsregisternummer, Bankverbindungen (Bank, IBAN, BIC), unsere Kundennummer beim Lieferanten, Konditionen sowie die Belege des Wareneingangs (Rechnungen). Diese Angaben können wir aus einer Lieferantenrechnung übernehmen, die Claude ausliest, oder aus einer Recherche zu einem kopierten Bestelltext (siehe unten); bei einem schon vorhandenen Lieferanten werden dabei nur leere Felder ergänzt, und nur, wenn Umsatzsteuer-Identifikationsnummer oder Firmenname belegen, dass die Rechnung von ihm stammt (sonst nur nach unserer ausdrücklichen Bestätigung); von uns eingetragene Angaben bleiben unverändert. Entfernen wir eine Bankverbindung, bleibt sie als „entfernt“ gekennzeichnet gespeichert, damit sie beim nächsten Einlesen einer Rechnung nicht erneut angelegt wird; gelöscht wird sie mit dem Lieferantendatensatz. Zugangsdaten zu Lieferantenportalen speichern wir nur für den Abruf des Lieferstatus (siehe unten), verschlüsselt. Zweck ist die Abwicklung unserer Einkäufe (Art. 6 Abs. 1 lit. b und f DSGVO).
• Prüfung von Umsatzsteuer-Identifikationsnummern: Die von Unternehmenskunden und Lieferanten angegebene Umsatzsteuer-Identifikationsnummer können wir über das MIAS/VIES-System der Europäischen Kommission (ec.europa.eu) prüfen; wird die Nummer eines Lieferanten aus einer Lieferantenrechnung übernommen, prüft das Portal sie dabei automatisch. Dabei wird die Nummer an die Europäische Kommission übermittelt; gespeichert werden das Ergebnis (gültig/ungültig), der Zeitpunkt der Prüfung sowie — soweit vom jeweiligen Mitgliedstaat zurückgegeben — Name und Anschrift des Unternehmens. Die Prüfung kann zur Kontrolle wiederholt werden; gespeichert werden Ergebnis und Zeitpunkt jeder Prüfung sowie Zeitpunkt der Freigabe. Zweck ist die Prüfung der Voraussetzungen umsatzsteuerlicher Vorschriften bei innergemeinschaftlichen Geschäften (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 18e UStG) und die Vermeidung fehlerhafter Rechnungen (Art. 6 Abs. 1 lit. f DSGVO). Eine Übermittlung in Drittländer findet dabei nicht statt.
• Unterstützung durch Claude (KI-Anbieter Anthropic): Für einzelne Arbeitsschritte im Verwaltungsbereich nutzen wir die Programmierschnittstelle des Sprachmodells Claude von Anthropic, PBC, San Francisco, USA (anthropic.com). Wir übermitteln dabei nur, was der jeweilige Schritt braucht, und — ausgenommen der automatische Lieferstatus-Abruf (siehe unten) — immer erst nach einem Klick unsererseits: Lieferantenrechnungen als PDF oder Foto (Wareneingang; Claude liest dabei neben den Positionen auch die Angaben des Lieferanten aus, etwa Anschrift, Kontaktdaten, Umsatzsteuer-Identifikationsnummer und Bankverbindungen — ebenso aus einer schon gespeicherten Rechnung über den Knopf „Lieferantendaten übernehmen“ in der Lieferantenmaske), einen aus dem Kundenkonto oder der Bestellbestätigung eines Händlers kopierten Bestelltext (Wareneingang, Knopf „Recherche“; er kann unseren Namen und unsere Anschrift als Besteller, die Bestellnummer und die bestellten Positionen enthalten — Claude bildet daraus Suchanfragen, etwa mit Name und Webadresse des Händlers, und ruft über die Websuche von Anthropic öffentlich zugängliche Seiten ab, um die Angaben des Händlers mit Quelle zu ermitteln; die Suchanfragen führt Anthropic selbst oder über von Anthropic eingesetzte Unterauftragsverarbeiter aus; die gefundenen Quellen werden uns nur angezeigt, nicht gespeichert), Bezeichnung und Teilenummer von Lagerartikeln ohne Baugruppe zusammen mit der Liste unserer Baugruppen, damit Claude Baugruppen vorschlägt (Lager, Knopf „Baugruppen vorschlagen“), Produktdaten und Beschreibungstexte, Produktfotos, handschriftlich ausgefüllte Motordatenblätter, den Inhalt einer Motoranfrage (Konfiguration, Anmerkungen, Nutzername, Sprache) für den Entwurf einer Antwort, den Text einer Verwaltungsnotiz zum Ordnen oder um daraus Aufgaben und einen Produktentwurf vorzuschlagen (Zusammenfassung, Betreff-, Aufgaben-, Produkt- und Zuordnungsvorschlag; solche Notizen können Namen von Kunden oder Lieferanten enthalten), eine Datei, die wir in unsere Dateiablage aufnehmen wollen (Foto verkleinert oder PDF), damit Claude einen Namen, eine Art und eine Zuordnung vorschlägt — die Datei wird dafür nicht gespeichert, sondern nach der Antwort sofort gelöscht, und solche Dokumente können auf einen Kunden oder Lieferanten hinweisen — sowie Fragen, die wir Claude auf der Hilfe-Seite stellen, gegebenenfalls mit angehängter Datei. Stellen wir dort eine Frage zu unseren eigenen Portaldaten, legt das Portal der Frage die dafür nötigen Datenbereiche als Text bei — je nach Frage Produkte, Stücklisten, Dateinamen, Lager, Belege des Wareneingangs, Lieferanten, Kunden mit ihren Kundenprojekten, Bestellungen und Motoranfragen sowie Verwaltungsnotizen. Welche Bereiche nötig sind, wird für jede Frage einzeln bestimmt; nennt die Frage einen bestimmten Kunden oder Lieferanten, werden nur dessen Daten beigelegt. Von Kunden und Lieferanten übermitteln wir dabei Name bzw. Firma, Kundennummer, Ort, Land, Kundentyp und Status; E-Mail-Adresse, Telefonnummer und Anschrift nur als Angabe „vorhanden“ oder „fehlt“; die gespeicherten Bankverbindungen, Postfach, Handelsregisternummer und Konditionen von Lieferanten gar nicht. Nie übermittelt werden Benutzerkonten, Passwörter, sonstige Anmelde- und Passkey-Daten, IP-Adressen, Zugriffs- und Zustimmungsprotokolle sowie der Inhalt abgelegter Dateien. Claude liefert Vorschläge (Zolltarifnummer, Texte, Übersetzungen, Zuordnungen, Baugruppen, Lieferantenangaben mit Quellen, Antwortentwürfe, Antworten auf unsere Fragen); entschieden und gespeichert wird von uns — ausgenommen geprüfte Lieferstatus-Angaben aus Mails eines Lieferanten, die das Portal automatisch übernimmt (siehe unten). Anthropic verarbeitet die Daten als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage des Data Processing Addendum zu den Anthropic Commercial Terms und verwendet die übermittelten Inhalte nach diesen Bedingungen nicht zum Training seiner Modelle. Übermittlung in die USA: siehe Abschnitt 11. Rechtsgrundlage ist unser berechtigtes Interesse an einer effizienten Abwicklung von Einkauf, Produktpflege und Kundenanfragen und der Auswertung unserer eigenen Geschäftsdaten (Art. 6 Abs. 1 lit. f DSGVO). Portalnutzer und Kunden lösen keine Übermittlung an Anthropic aus; ihre Konto- und Zugangsdaten werden nicht übermittelt.
• Lieferstatus unserer Bestellungen: Einmal täglich — beim ersten Aufruf des Verwaltungsbereichs nach 16:30 Uhr, zusätzlich ausgelöst durch den Dienst cron-job.org, oder auf unseren Klick — meldet sich das Portal mit unseren eigenen, verschlüsselt gespeicherten Zugangsdaten in unseren Kundenkonten bei Lieferanten an und liest dort den Stand unserer Bestellungen (Bestellnummer, Positionen, Status, Termine, Sendungs- und Rechnungsnummer). Es liest außerdem nur lesend ein eigenes Postfach, in das Mails eines Lieferanten an uns weitergeleitet werden, und speichert Absender, Betreff, Datum, das Ergebnis der Absenderprüfung unseres Mailanbieters und den Text der Mail ohne zitierte frühere Nachrichten. Für Artikel, bei denen wir die Artikelnummer des Lieferanten hinterlegt haben, fragt das Portal ohne Anmeldung die Lieferzeit ab. Mails unseres Ansprechpartners bei diesem Lieferanten übermittelt das Portal dabei automatisch an Claude (Anthropic, siehe oben), damit Claude daraus Bestellnummern, Positionen, Termine und Lieferstand ausliest; übermittelt werden Betreff und Text der Mail ohne zitierte frühere Nachrichten, dazu die Liste unserer offenen Bestellungen (nur die in der Mail genannten, sonst alle) mit Teilenummern, Bezeichnungen und Mengen. Zugangsdaten, Cookies und der Schlüssel für cron-job.org werden nie an Claude übermittelt und nicht protokolliert. Hat unser Mailanbieter den Absender geprüft, übernimmt das Portal die ausgelesenen Angaben automatisch; sonst zeigt es sie uns nur zum Lesen an. cron-job.org erhält nur die Adresse des Abrufs und einen geheimen Schlüssel, keine Bestelldaten. Die Mails können Namen und geschäftliche Kontaktdaten von Mitarbeitern unserer Lieferanten enthalten. Zweck ist die Planung unserer Einkäufe und des Wareneingangs (Art. 6 Abs. 1 lit. f DSGVO). Gespeichert wird bis zum Abschluss der Bestellung durch den Wareneingang und danach im Rahmen der Aufbewahrung unserer Einkaufsunterlagen.
• Wechselkurse: Für eine Lieferantenrechnung in Fremdwährung fragt der Server den Referenzkurs der Europäischen Zentralbank zum Rechnungsdatum ab (data-api.ecb.europa.eu) — beim Auslesen, wenn kein Kurs aufgedruckt ist, und erneut, wenn in der ausgelesenen Rechnung die Währung oder das Rechnungsdatum geändert wird (beim Rechnungsdatum nicht, solange ein aufgedruckter Kurs unverändert im Kursfeld steht). Übermittelt werden dabei nur Währung und Datum, keine personenbezogenen Daten. Rechtsgrundlage ist unser berechtigtes Interesse an einer richtigen Umrechnung unserer Einkäufe (Art. 6 Abs. 1 lit. f DSGVO).
• Hochgeladene Dateien nach einer Ablehnung: Lehnt das Portal ein Formular des Verwaltungsbereichs mit einer hochgeladenen Datei ab (etwa wegen einer fehlenden Angabe), hält der Server eine Kopie der Datei in einem nicht öffentlichen Zwischenordner bereit, damit sie beim nächsten Versuch nicht erneut gewählt werden muss. Die Kopie ist nur für das Konto nutzbar, das sie hochgeladen hat, und wird gelöscht, sobald das Formular gespeichert ist, spätestens nach einer Stunde (Art. 6 Abs. 1 lit. f DSGVO).
• Motoranfragen und Kenntnisnahme (Konfigurator): Angemeldete Portalnutzer können einen Komplettmotor konfigurieren und unverbindlich anfragen. Gespeichert werden die gewählte Konfiguration mit den zum Zeitpunkt der Anfrage geltenden Preisen, Anmerkungen des Nutzers, der Nutzername und das gegebenenfalls verknüpfte Kundenkonto, Datum und Uhrzeit sowie als Nachweis die Bestätigung, dass der Nutzer die zum Motor gehörenden Pflichtinformationen (etwa Einfahr- und Warmfahranweisung, Wartungsintervalle) gelesen und zur Kenntnis genommen hat — mit Bezeichnung, Fassung und Wortlaut des bestätigten Dokuments, Sprache, Zeitpunkt und bestätigender Person. Über jede Anfrage werden wir per E-Mail benachrichtigt; der Nutzer erhält eine Bestätigung an die im Konto hinterlegte E-Mail-Adresse. Zweck ist die Vorbereitung und Durchführung des Vertrags sowie der Nachweis der erteilten Sicherheits- und Wartungshinweise (Art. 6 Abs. 1 lit. b und f DSGVO).

Speicherdauer: Kunden- und Lieferantendaten speichern wir für die Dauer der Geschäftsbeziehung; Bestellungen, Kundenprojekte und Belege darüber hinaus im Rahmen der handels- und steuerrechtlichen Aufbewahrungspflichten. Kunden- und Lieferantendatensätze ohne Bestellungen, Projekte oder Belege löschen wir auf Anfrage oder wenn der Zweck entfällt. Motoranfragen und die zugehörigen Kenntnisnahme-Nachweise bewahren wir für die Dauer der Geschäftsbeziehung und darüber hinaus so lange auf, wie sie für den Nachweis der erteilten Hinweise erforderlich sind (Gewährleistungs- und Verjährungsfristen). Die Daten sind in den täglichen Datensicherungen des Portals enthalten (Abschnitt 19).

21. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung wird angepasst, wenn sich die technische Gestaltung der Website, die eingesetzten Dienste oder die gesetzlichen Anforderungen ändern.

Die jeweils aktuelle Fassung ist auf dieser Website abrufbar.

Stand: Oktober 2026