Der Schutz Ihrer persönlichen Daten ist uns ein wichtiges Anliegen. Wir verarbeiten Ihre Daten daher ausschließlich auf Grundlage der gesetzlichen Bestimmungen. In dieser Datenschutzerklärung informieren wir Sie über die wichtigsten Aspekte der Datenverarbeitung im Rahmen unserer Website und der DocuFleet-Anwendung.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:

Docu GmbH (in Gründung)
Brigittenauer Lände 148-154/13/18, 1200 Wien, Österreich
E-Mail: datenschutz@docufleet.de

2. Welche Daten wir verarbeiten

Je nach Nutzung verarbeiten wir folgende Kategorien personenbezogener Daten:

Konto- & Stammdaten: Name, E-Mail-Adresse, Firma, Rolle und Passwort (verschlüsselt) bei Registrierung und Anmeldung.
Nutzungsdaten: von Ihnen in der App erfasste Inhalte wie Objekte, Verträge, Termine, Aufgaben und Kosten.
Technische Daten: IP-Adresse, Browsertyp, Zeitpunkt des Zugriffs und Server-Logdaten, die beim Aufruf automatisch anfallen.
Kommunikationsdaten: Angaben, die Sie uns über das Kontaktformular oder per E-Mail übermitteln.

3. Zwecke und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten zu folgenden Zwecken:

zur Bereitstellung und Verwaltung Ihres Nutzerkontos und der vereinbarten Leistungen (Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung);
zur Gewährleistung von Sicherheit und Stabilität des Betriebs (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse);
zur Beantwortung von Anfragen (Art. 6 Abs. 1 lit. b und f DSGVO);
zur Erfüllung gesetzlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO).

4. Eingesetzte Auftragsverarbeiter & Empfänger

Zum Betrieb von DocuFleet setzen wir sorgfältig ausgewählte Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) ein. Die wesentlichen Empfänger sind:

Der Kern Ihrer Daten wird ausschließlich auf Servern innerhalb der EU verarbeitet und gespeichert: die Datenbank mit sämtlichen Fahrzeug-, Vertrags-, Kosten- und Personendaten, alle von Ihnen hochgeladenen Dokumente, die KI-gestützte Auswertung sowie das Fehler-Monitoring laufen in Rechenzentren innerhalb der Europäischen Union. Lediglich einzelne ergänzende Dienste für Authentifizierung und Zahlungsabwicklung (Clerk und Stripe) verarbeiten Daten auch in den USA; dies ist nachfolgend sowie im Absatz zur Übermittlung in Drittländer transparent ausgewiesen und durch geeignete Garantien abgesichert.

Hosting & Datenbank: Supabase (Datenbank und Datei-Speicher, Serverstandort EU) sowie Vercel (Anwendungs-Hosting, Serverstandort EU).
Authentifizierung & Nutzerverwaltung: Clerk (USA).
Zahlungsabwicklung: Stripe (USA).
KI-gestützte Auswertung von Belegen, Verträgen und Schadenfotos: Google Cloud Vertex AI (Modell Gemini), Serverstandort EU — siehe Abschnitt 4a.
E-Mail-Versand: Resend (Serverstandort EU; technischer Subprozessor: Amazon Web Services / Amazon SES), sowie zeitgesteuerte Aufgaben über Upstash (QStash, Serverstandort EU).
Fehler- & Stabilitäts-Monitoring: Sentry (Serverstandort EU; der Versand personenbezogener Inhalte wird technisch unterdrückt).
Terminbuchung (Produktdemos): Cal.com (Serverstandort EU).
Produktanalyse: PostHog (Serverstandort EU — Frankfurt; mit IP-Anonymisierung und ohne Übermittlung von Namen oder E-Mail-Adressen). In der angemeldeten Anwendung cookieless auf Grundlage berechtigten Interesses, auf öffentlichen Seiten nur mit Ihrer Einwilligung — siehe Abschnitt 5.

Übermittlung in Drittländer (Art. 44 ff. DSGVO): Clerk (Authentifizierung) und Stripe (Zahlungsabwicklung) verarbeiten Daten auch in den USA. Weitere Anbieter sind zwar auf EU-Regionen konfiguriert, gehören aber zu US-Mutterkonzernen — insbesondere Google (Vertex AI), Vercel, Resend (samt dessen Subprozessor Amazon Web Services), Upstash und Cal.com — und unterliegen dadurch potenziell US-Recht. Für alle diese Verarbeitungen stützen wir uns auf geeignete Garantien nach Art. 46 DSGVO (z. B. EU-Standardvertragsklauseln bzw. Zertifizierung nach dem EU-US Data Privacy Framework). Auf Anfrage stellen wir Informationen zu diesen Garantien bereit. Auch die Produktanalyse (PostHog) läuft auf EU-Servern in Frankfurt; der Anbieter gehört jedoch zu einem US-Mutterkonzern, sodass dieselben Garantien nach Art. 46 DSGVO greifen.

4a. KI-gestützte Verarbeitung

Für die automatische Auslesung von Belegen und Verträgen sowie die beratende Einschätzung von Schadenfotos übermitteln wir die jeweils hochgeladenen Inhalte an unseren Auftragsverarbeiter Google Cloud (Vertex AI, Modell Gemini). Die Verarbeitung erfolgt in einer EU-Region (Belgien); eine Nutzung der Inhalte zum Training der Modelle findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO (Vertragserfüllung bzw. unser berechtigtes Interesse an einer effizienten Datenerfassung). Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO statt — die KI erstellt lediglich Vorschläge, die anschließend von einer Person geprüft und übernommen werden.

5. Cookies & lokale Speicherung

In der Anwendung selbst verwenden wir nur technisch notwendige Cookies sowie den lokalen Speicher Ihres Browsers (z. B. für die Anmeldesitzung und die gewählte Darstellung wie den Dark-Mode). Auf unseren öffentlichen Webseiten werden nicht-notwendige eingebundene Dienste (Terminbuchung über Cal.com sowie das Fehler-Monitoring) erst geladen, nachdem Sie über den Cookie-Hinweis ausdrücklich eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO, § 25 TTDSG); ohne Einwilligung werden dafür keine Drittinhalte eingebunden und keine entsprechenden Daten verarbeitet. Ihre Wahl wird im lokalen Speicher Ihres Browsers abgelegt und kann jederzeit durch Löschen der Websitedaten widerrufen werden. In der angemeldeten Anwendung läuft das Fehler-Monitoring auf Grundlage unseres berechtigten Interesses an Sicherheit und Stabilität (Art. 6 Abs. 1 lit. f DSGVO). Ein Tracking zu Werbezwecken findet nicht statt.

Zur Verbesserung des Produkts setzen wir PostHog für eine anonymisierte Produktanalyse ein (welche Funktionen wie genutzt werden). Dabei werden nur pseudonyme Kennungen (Nutzer- und Organisations-ID, Rolle) verarbeitet, niemals Name oder E-Mail-Adresse; eine Sitzungsaufzeichnung findet nicht statt.

In der angemeldeten Anwendung läuft diese Analyse „cookieless“ — es werden keine Informationen auf Ihrem Gerät gespeichert oder ausgelesen. Rechtsgrundlage ist unser berechtigtes Interesse an der Produktverbesserung (Art. 6 Abs. 1 lit. f DSGVO); ein Einwilligungs-Banner ist dafür nicht erforderlich. Auf den öffentlichen Webseiten erfolgt sie nur nach Ihrer Einwilligung über den Cookie-Hinweis (§ 25 TTDSG, Art. 6 Abs. 1 lit. a DSGVO).

Widerspruch (Art. 21 DSGVO): Sie können der Produktanalyse jederzeit widersprechen — über den folgenden Schalter, über das „Global Privacy Control“ Ihres Browsers (wird automatisch beachtet) oder per Nachricht an datenschutz@docufleet.de.

Produktanalyse deaktivieren (Widerspruch).

6. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen (etwa abgaben- und handelsrechtlich) dies vorschreiben. Danach werden die Daten gelöscht oder anonymisiert.

7. Ihre Rechte

Ihnen stehen nach der DSGVO insbesondere folgende Rechte zu:

Recht auf Auskunft (Art. 15), Berichtigung (Art. 16) und Löschung (Art. 17);
Recht auf Einschränkung der Verarbeitung (Art. 18);
Recht auf Datenübertragbarkeit (Art. 20);
Recht auf Widerspruch gegen die Verarbeitung (Art. 21).

Zur Ausübung Ihrer Rechte genügt eine Nachricht an datenschutz@docufleet.de.

8. Beschwerderecht

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen das Datenschutzrecht verstößt, haben Sie das Recht, sich bei der österreichischen Datenschutzbehörde (www.dsb.gv.at) zu beschweren.

9. Kontakt

Bei Fragen zum Datenschutz erreichen Sie uns unter datenschutz@docufleet.de oder unter der im Impressum angegebenen Anschrift.