Datenschutzerklärung
Zuletzt aktualisiert: 23. Okt. 2026
Wie wir deine Daten in der CarPassport-App und auf carpassport.ro verwenden: was wir erheben, warum, an wen wir sie weitergeben, wie lange wir sie speichern und wie du deine Rechte ausübst.
1. Wer wir sind
Verantwortlicher für deine Daten ist Navitech Systems S.R.L., Steuer-ID (CUI) RO44938033, Handelsregister-Nr. J2021001800334, Sitz: Str. Zimbrului nr. 3, Mun. Suceava, jud. Suceava, 720217 („CarPassport“, „wir“).
Für alle Fragen zu deinen Daten schreib uns an contact@navitech.systems. Für alles andere: contact@navitech.systems.
2. Welche Daten wir erheben
Wir erheben nur die Daten, die die App zum Funktionieren braucht. Fast alle gibst du selbst ein.
| Kategorie | Was genau |
|---|---|
| Konto | E-Mail, Name, gewählte Sprache, Passwort (nur als argon2id-Hash gespeichert, nie im Klartext), Datum und Version der akzeptierten Bedingungen, Datum der letzten Anmeldung. Bei Anmeldung mit Apple oder Google: deine Konto-Kennung bei diesem Anbieter und die E-Mail, die er uns übermittelt. |
| Autos | Kennzeichen und Zulassungsland, Fahrgestellnummer (optional), Marke, Modell, Generation, Motor, Kraftstoff, Baujahr, Farbe und Kilometerstand. |
| Historie | Eingriffe (Kategorie, Titel, Werkstatt, Datum, Kilometerstand, Betrag, Beschreibung), Kilometerstände und Erinnerungen (Hauptuntersuchung, Kfz-Versicherung, Vignette, Inspektion, Ölwechsel und weitere, die du anlegst). |
| Dokumente und Fotos | Die Rechnungen, Fotos und PDFs, die du hochlädst, sowie die Bereiche, die du darauf verdeckst. |
| Scans | Das zum Scannen gesendete Bild oder PDF und die daraus gelesenen Felder (Werkstatt, Datum, Summe, Kilometerstand, Kategorie). |
| Kamera (Android) | Unter Android werden die mit der Kamera gelesene FIN und die mit dem Dokumentenscanner fotografierten Dokumente direkt auf dem Telefon verarbeitet, mit Google ML Kit. Das Bild der FIN wird uns nicht gesendet, nur der Text, den du bestätigst. Ein gescanntes Dokument erreicht uns erst, wenn du es anhängst. |
| Pässe | Was du in einen Pass aufnimmst, sein öffentlicher Link, seine Gültigkeitsdauer und sein Status. |
| Zahlungen | Der Store (App Store oder Google Play), die Transaktionskennung, das Produkt, der Betrag und der Zahlungsstatus, einschließlich einer Erstattung, sowie der Zeitpunkt, zu dem du die sofortige Bereitstellung des Passes verlangt hast, und die damals gültige Version der Bedingungen. Deine Kartendaten erhalten wir nie. |
| Telefon und Benachrichtigungen | Wenn du Benachrichtigungen aktivierst: das Push-Token, die Plattform (iOS oder Android), die App-Version. Dazu deine Benachrichtigungseinstellung und die Benachrichtigungen in der App. |
| Sicherheit | Anmeldesitzungen (App-Typ, User-Agent, letzte Nutzung). Deine IP-Adresse, nur im Arbeitsspeicher des Servers, um wiederholte Anfragen zu begrenzen: Anmeldung, Kontoerstellung, Zurücksetzen des Passworts, öffentliche Pässe und ihre Dateien. Wir schreiben sie nicht in die Datenbank, verwenden sie nach Ablauf der Begrenzung (höchstens eine Stunde) nicht mehr, und sie geht beim Neustart des Servers verloren. |
| Technische Logs | Bei jeder Anfrage zeichnet der Server technische Daten dazu auf: die aufgerufene Adresse (auch den Link eines Passes, /r/…), die Methode, den Antwortcode, die Dauer und den User-Agent. Fehlerlogs können deine Konto-Kennung enthalten. |
Wir nutzen keine Webanalyse-, Werbe- oder Profiling-Tools und verkaufen keine Daten.
3. Wozu wir sie verwenden und auf welcher Rechtsgrundlage
| Zweck | Rechtsgrundlage (DSGVO) |
|---|---|
| Dein Konto und die Funktionen der App: Garage, Historie, Dokumente, Erinnerungen, Datenexport | Vertragserfüllung (Art. 6 Abs. 1 lit. b) |
| Rechnungen scannen und die personenbezogenen Daten darauf finden, wenn du einen Scan startest oder einen Pass vorbereitest | Vertragserfüllung (Art. 6 Abs. 1 lit. b) |
| Einen Pass veröffentlichen, nur wenn du ihn erstellst und nur mit den Daten, die du auswählst | Vertragserfüllung (Art. 6 Abs. 1 lit. b) |
| Push-Benachrichtigungen (wenn du sie aktivierst) und Service-E-Mails (Passwort zurücksetzen, Datenexport, Kontolöschung, Ablauf eines Passes) | Vertragserfüllung (Art. 6 Abs. 1 lit. b) |
| Prüfung von Zahlungen, Erstattungen und Buchhaltung | Vertragserfüllung und rechtliche Verpflichtung (Art. 6 Abs. 1 lit. b und c) |
| Sicherheit des Dienstes, Schutz vor Missbrauch, Betrieb und Fehlersuche (technische Logs) | Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) |
| Nachweis, dass du die Bedingungen und diese Erklärung akzeptiert und die sofortige Bereitstellung des Passes verlangt hast | Rechtliche Verpflichtung und berechtigtes Interesse (Art. 6 Abs. 1 lit. c und f) |
Die Illustration deines Autos in der App wird nur aus Marke, Modell, Generation und Farbe erzeugt, ohne Kennzeichen, Fahrgestellnummer oder Daten über dich. Eine Illustration gilt für alle Autos mit denselben Angaben.
Wir treffen keine ausschließlich automatisierten Entscheidungen mit rechtlicher Wirkung für dich. Die automatisch aus Rechnungen gelesenen Felder und die gefundenen Bereiche mit personenbezogenen Daten sind nur Vorschläge, die du prüfst und bestätigst.
4. Was öffentlich wird
Nichts aus deinem Konto ist öffentlich, bis du einen Pass erstellst. Dann wird eine Kopie der von dir gewählten Daten unter einem schwer zu erratenden Link veröffentlicht, den du dem Käufer gibst.
- Die Fahrgestellnummer wird maskiert angezeigt, die bezahlten Beträge sind standardmäßig ausgeblendet.
- Auf Rechnungen werden die Bereiche mit personenbezogenen Daten direkt im Bild geschwärzt, und veröffentlichte Fotos enthalten keine EXIF-Metadaten mehr, also auch keinen GPS-Standort. Die Originale werden nie veröffentlicht.
- Du kannst einen Pass oder alle Links auf einmal jederzeit deaktivieren. Die Seite lässt sich dann sofort nicht mehr öffnen, und ihre öffentlichen Dateien werden gelöscht.
- Ein abgelaufener Pass lässt sich nicht mehr öffnen, und seine öffentlichen Dateien werden eine Woche nach Ablauf gelöscht.
5. An wen wir Daten weitergeben
Wir setzen Dienstleister ein, die Daten in unserem Auftrag verarbeiten, nur für die oben genannten Zwecke:
| Dienstleister | Wofür | Welche Daten |
|---|---|---|
| Hosting: Server in Rechenzentren der Hetzner Online GmbH (Deutschland), Dateispeicher in der Europäischen Union | Betrieb des Servers, der Datenbank, der Dateien | Alle oben genannten Daten |
| Navitech Hosted und Tracely (unsere Hosting- und Monitoring-Plattform) | Technische Logs, Nachverfolgung von Anfragen und Fehlern | Die aufgerufene Adresse (auch der Link eines Passes), der User-Agent, deine Konto-Kennung in Fehlerlogs |
| OpenRouter, Inc. (USA), das die Anfrage an Google Gemini (Google LLC) weiterleitet | Lesen gescannter Rechnungen und Finden der personenbezogenen Daten darauf | Das Bild oder PDF des Dokuments |
| OpenRouter, Inc. (USA), das die Anfrage an ein Bildmodell von OpenAI (OpenAI, L.L.C.) weiterleitet | Die Illustration des Autos, gezeichnet nach einem frei lizenzierten Referenzfoto von Wikimedia Commons | Nur Marke, Modell, Generation und Farbe, keine Daten über dich |
| Google ML Kit, über die Google Play-Dienste (nur Android) | Lesen der FIN mit der Kamera und Scannen von Dokumenten, direkt auf dem Telefon | Die Bilder bleiben auf dem Telefon. Die Google Play-Dienste können technische Daten zur Nutzung der Funktion an Google senden (Telefonmodell, App-Version, Leistung) |
| Google Firebase Cloud Messaging (auf dem iPhone über den Apple Push Notification Service) | Push-Benachrichtigungen, wenn du sie aktivierst | Das Token des Telefons und der Text der Benachrichtigung |
| Apple (Sign in with Apple, App Store) | Anmeldung und Bezahlung des Passes unter iOS | Deine Apple-Konto-Kennung, E-Mail, Transaktionsdaten |
| Google (Sign-In, Google Play) | Anmeldung und Bezahlung des Passes unter Android | Deine Google-Konto-Kennung, E-Mail, Transaktionsdaten |
| Der E-Mail-Dienst SenderMTA | Service-E-Mails, gesendet von noreply@carpassport.ro | Deine E-Mail, dein Name und der Inhalt der Nachricht |
An Behörden geben wir Daten nur weiter, wenn das Gesetz uns dazu verpflichtet.
6. Übermittlungen außerhalb der Europäischen Union
OpenRouter, OpenAI, Google und Apple können Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, auch in den USA. Die Übermittlung stützt sich dann auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework für zertifizierte Unternehmen oder auf die von der Europäischen Kommission genehmigten Standardvertragsklauseln.
7. Wie lange wir Daten speichern
| Daten | Wie lange |
|---|---|
| Dein Konto und alles, was du eingegeben hast (Autos, Historie, Dokumente, Fotos) | Solange du das Konto hast. Wenn du es löschst, werden die Daten und Dateien sofort gelöscht. |
| Ein gelöschtes Auto oder ein gelöschter Eingriff | Wird sofort gelöscht, mit den zugehörigen Dokumenten. |
| Anmeldesitzungen | 90 Tage ab der letzten Verlängerung, danach automatisch gelöscht. |
| Der Link zum Zurücksetzen des Passworts | 30 Minuten gültig und nach Ablauf gelöscht. |
| Das Archiv deiner Daten (Export) | 7 Tage. |
| Die öffentlichen Dateien eines Passes | Bis zur Deaktivierung oder eine Woche nach Ablauf. |
| Hochgeladene Dateien, die keinem Eingriff zugeordnet sind | Ein Tag. |
| Zahlungen und das Verlangen der sofortigen Bereitstellung | Bleiben nach der Kontolöschung erhalten, ohne Bezug zu dir oder zum Auto, so lange es die Buchhaltungsvorschriften verlangen und für Erstattungen. |
| Technische Logs | Höchstens [PERIOADA DE PĂSTRARE A LOGURILOR]. |
| Sicherungskopien der Datenbank | Höchstens [PERIOADA DE PĂSTRARE A BACKUP-URILOR], danach überschrieben. |
8. Deine Rechte
Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Du kannst sie direkt in der App ausüben, unter Account › Data and privacy (die App ist auf Rumänisch und Englisch verfügbar):
- Download my data: Du erhältst per E-Mail einen 7 Tage gültigen Link zu einem Archiv mit all deinen Daten und den Originaldateien.
- Delete a car: löscht das Auto mit seiner gesamten Historie.
- Turn off all public links: stoppt sofort alle Pässe.
- Delete account: löscht das Konto und seinen gesamten Inhalt endgültig. Details auf der Seite Kontolöschung.
Deine Kontodaten kannst du jederzeit in der App korrigieren. Für jede andere Anfrage schreib uns an contact@navitech.systems; wir antworten innerhalb eines Monats.
Wenn du mit der Verarbeitung deiner Daten nicht zufrieden bist, kannst du dich bei der rumänischen Datenschutzbehörde ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal), Bd. G-ral. Gheorghe Magheru 28-30, Sektor 1, Bukarest, www.dataprotection.ro, oder bei der Aufsichtsbehörde deines Wohnsitzlandes in der EU beschweren.
9. Wie wir Daten schützen
- Die gesamte Kommunikation mit dem Server ist verschlüsselt (HTTPS).
- Passwörter werden nur als argon2id-Hash gespeichert. Sitzungs- und Reset-Tokens werden nur als Hash gespeichert.
- Dateien liegen in einem privaten Speicher. Käufer sehen nur die im Pass veröffentlichten Kopien, die über unseren Server ausgeliefert werden.
10. Kinder
CarPassport richtet sich nicht an Personen unter 16 Jahren, und wir erheben nicht wissentlich ihre Daten.
11. Änderungen dieser Erklärung
Wenn wir diese Erklärung wesentlich ändern, informieren wir dich in der App und bitten dich erneut um Zustimmung, bevor du fortfährst. Das Datum der letzten Aktualisierung steht oben auf der Seite.