Datenschutz
Verantwortliche Stelle ist die Flottenfuchs FlexCo.
Flottenfuchs FlexCo, 7. Haidequerstraße 6/3, 1110 Wien, Österreich. Firmenbuchnummer: FN 685351 w.
Kontakt: office@flottenfuchs.at
(Stand: 24.03.2026, v2)
1. Verantwortlicher
Bei Fragen zum Datenschutz erreichen Sie die Flottenfuchs FlexCo unter office@flottenfuchs.at, 7. Haidequerstraße 6/3, 1110 Wien, Österreich.
Diese Fassung ersetzt die Fassung März 2026, die noch auf die Scalemation e.U. lautete.
2. Unsere Rolle: Verantwortlicher und Auftragsverarbeiter
Wir verarbeiten personenbezogene Daten in zwei unterschiedlichen Rollen. Als Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO handeln wir bei der Verarbeitung von Daten der Besucherinnen und Besucher unserer Website, von Kontakt- und Interessentendaten sowie von Ansprechpartnerdaten unserer Kundinnen und Kunden im Rahmen der Vertragsanbahnung und -abwicklung.
Bei der Verarbeitung von Fahrer-, Fahrzeug- und Vertragsdaten unserer Kundinnen und Kunden im laufenden Fuhrparkmanagement handeln wir hingegen als Auftragsverarbeiter im Sinne des Art. 4 Z 8 DSGVO. Verantwortlicher ist in diesem Fall das jeweilige Kundenunternehmen. Grundlage ist ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Betroffene Personen, insbesondere Fahrerinnen und Fahrer, richten ihre Anfragen in diesem Fall bitte an ihren Arbeitgeber; wir leiten Anfragen, die uns erreichen, unverzüglich dorthin weiter und beantworten sie nicht selbst.
Eine dritte Konstellation betrifft einzelne Fahrzeughersteller. Bei der Bereitstellung fahrzeugbezogener Daten handeln diese teilweise als eigenständige Verantwortliche und nicht in unserem Auftrag. Näheres regelt Punkt 8.
3. Zwecke der Verarbeitung
Wir verarbeiten personenbezogene Daten zu folgenden Zwecken: Bereitstellung und Betrieb von Fuhrpark-Services (digitale Fahrzeug- und Vertragsverwaltung, Termin- und Pflichtenmanagement, Schaden- und Strafenmanagement, Reporting; elektronisches Fahrtenbuch und Routendokumentation bei gesonderter Beauftragung); Kommunikation, Terminorganisation und Eskalationen gemäß Kundenauftrag; Vertragsabwicklung, Abrechnung, Nachweis- und Dokumentationspflichten; Betrieb, Sicherheit und Reichweitenmessung unserer Website; IT-Sicherheit, Missbrauchsprävention und Rechtsdurchsetzung.
4. Kategorien personenbezogener Daten
Im Rahmen unserer Tätigkeit verarbeiten wir folgende Datenkategorien: Kundendaten (Ansprechpartner, Kontaktdaten, Organisationszuordnung); Fahrerdaten (Name, Kontaktdaten, Führerschein-Stammdaten wie Klassen und Gültigkeit, Teilnahme an Kontrollen und Unterweisungen); Fahrzeug- und Vertragsdaten (Kennzeichen, Fahrgestellnummer, Versicherer, Leasing- und Serviceinformationen, Termin- und Prüfprotokolle); Schaden- und Verstoßdaten (Schadendetails, Fotos, Kostenvoranschläge, Bescheide, Fahrerzuordnung); Kommunikationsdaten aus der operativen Fahrerkommunikation gemäß Punkt 7; Tankkartendaten sowie Fahrtenbuch- und Routendaten (nur bei gesonderter Beauftragung); Nutzungsdaten (Anmelde-, System- und Zugriffsprotokolle, Kommunikations- und Ticketdaten); Website-Daten (IP-Adresse, Zeitstempel, Request- und Gerätedaten, Nutzungsverhalten); fahrzeugbezogene Herstellerdaten gemäß Punkt 8.
Kennzeichen und Fahrgestellnummern behandeln wir durchgängig als personenbezogene Daten, da sie über die Fahrzeugzuordnung einer bestimmten Person zugeordnet werden können.
5. Rechtsgrundlagen
Die Verarbeitung erfolgt auf folgenden Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung und -anbahnung) – insbesondere gegenüber Kunden und deren Fahrern und Ansprechpartnern; Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) – für effiziente Fuhrparksteuerung, IT-Sicherheit, Nachweisführung und Rechtsdurchsetzung, mit Interessenabwägung zugunsten minimaler und zweckgebundener Verarbeitung; Art. 6 Abs. 1 lit. c DSGVO (Erfüllung rechtlicher Pflichten), soweit zutreffend, insbesondere für steuerliche Aufbewahrungspflichten; Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) – insbesondere für nicht technisch notwendige Cookies und die Reichweitenmessung gemäß Punkt 13, in Verbindung mit § 165 Abs. 3 TKG 2021, sowie für Marketing-Kommunikation. Soweit wir als Auftragsverarbeiter tätig sind, ergibt sich die Rechtsgrundlage aus dem Verhältnis zwischen dem Kundenunternehmen und der betroffenen Person.
6. Empfänger und Auftragsverarbeiter
Zur Bereitstellung unserer Leistungen setzen wir Auftragsverarbeiter ein. Alle Anbieter verarbeiten Daten ausschließlich in unserem Auftrag auf Grundlage von Auftragsverarbeitungsverträgen gemäß Art. 28 DSGVO. Nachstehend geben wir gemäß Art. 13 Abs. 1 lit. e DSGVO die Kategorien der Empfänger an, jeweils mit Art der Tätigkeit, Branche sowie Verarbeitungs- und Sitzstaat. Die konkreten Anbieter nennen wir auf Anfrage unter office@flottenfuchs.at; gegenüber unseren Kundinnen und Kunden sind sie im Auftragsverarbeitungsvertrag namentlich ausgewiesen.
Betrieb der Fuhrparkapplikation. Anbieter von Cloud-Hosting- und Applikationsauslieferungsdiensten. Dort laufen die Applikations- und Schnittstellenfunktionen unserer Fuhrparkapplikation FlottenfuchsOS, die Auslieferung der Weboberfläche sowie Betriebs-, Zugriffs- und Fehlerprotokolle. Die Applikationsfunktionen werden in einer Rechenzentrumsregion innerhalb der Europäischen Union ausgeführt; die Anbietergesellschaft hat ihren Sitz in den Vereinigten Staaten. Es gilt Punkt 9.
Datenhaltung. Anbieter von Datenbank- und Authentifizierungsdiensten. Dort liegen Fahrzeug-, Fahrer-, Schaden-, Strafen-, Termin- und Kostendaten samt täglichen Sicherungen. Die Datenbank wird in der Region Irland betrieben; die Anbietergesellschaft hat ihren Sitz in Singapur. Als nachgelagerte Dienstleister kommen zwei Anbieter von Rechen-, Speicher- und Hostinginfrastruktur mit Sitz in den Vereinigten Staaten zum Einsatz, bei denen nach Angaben unseres Anbieters Betriebsprotokolle verarbeitet werden. Eine Dateiablage findet über diesen Dienst nicht statt; Belege und Dokumente laufen über die nachstehende Büroanwendung. Es gilt Punkt 9.
Büroanwendungen und Dateiablage. Anbieter einer Office- und Kollaborationsplattform mit Sitz in Irland, der E-Mail, Kalender, Dateiablage und Dokumentenverarbeitung bereitstellt. Wir nutzen ihn für die Fuhrparkadministration und die Korrespondenz mit Kunden, Fahrern und Dritten. Hat ein Kundenunternehmen E-Mail als Kanal der Fahrerkommunikation gewählt, läuft auch diese Kommunikation hierüber. Innerhalb der Unternehmensgruppe des Anbieters kann es zu Übermittlungen in die Vereinigten Staaten kommen; es gilt Punkt 9.
Fahrerkommunikation. Wählt ein Kundenunternehmen WhatsApp for Business als Kanal, verarbeitet der Betreiber dieses Dienstes, ein Anbieter mit Sitz in Irland und Konzernsitz in den Vereinigten Staaten, die dabei anfallenden Daten. Ohne diese Wahl findet durch ihn keine Verarbeitung statt. Näheres regelt Punkt 7.
KI-gestützte Auswertung. Anbieter eines KI-Assistenzsystems mit Sitz in Irland. Genutzt wird ausschließlich ein kommerzieller Unternehmenszugang; ein Training mit unseren Inhalten findet nicht statt. Die geltenden Einsatzgrenzen sind im Auftragsverarbeitungsvertrag festgelegt.
Website. Anbieter für Website-Hosting und Reichweitenmessung mit Sitz in den Niederlanden. Dieser Anbieter ist in Punkt 13 namentlich genannt, weil die Reichweitenmessung auf Ihrer Einwilligung beruht und eine Einwilligung nur informiert erteilt werden kann.
Fahrzeugdaten. Spezialisierter Aggregator für fahrzeugbezogene Herstellerdaten mit Sitz in Deutschland, der die Herstellerschnittstellen gemäß Punkt 8 technisch anbindet. Der Abruf ist Bestandteil des laufenden Fuhrparkmanagements; hat das Kundenunternehmen ihn zur Gänze abgewählt, erfolgt durch diesen Anbieter keine Verarbeitung.
Elektronisches Fahrtenbuch. Anbieter einer Fahrtenbuch- und Ortungslösung mit Sitz in Deutschland. Der Einsatz erfolgt ausschließlich bei gesonderter Beauftragung durch das Kundenunternehmen; ohne diese findet durch diesen Anbieter keine Verarbeitung statt.
Als Prozesspartner des Kunden können im Rahmen der Leistungserbringung weiters eingebunden werden: Werkstätten, Sachverständige, Mietwagen- und Logistikdienstleister, Versicherer und Leasinggesellschaften, Behörden (etwa im Rahmen der Fahrerbenennung) sowie Rechtsdienstleister – stets nach Weisung des Kunden. Alle Empfänger werden vertraglich verpflichtet; Auftragsverarbeiter handeln weisungsgebunden.
Der Wechsel oder die Aufnahme weiterer Auftragsverarbeiter wird unseren Kundinnen und Kunden gemäß dem Auftragsverarbeitungsvertrag mindestens 14 Tage im Voraus schriftlich mitgeteilt.
7. Kanal der operativen Fahrerkommunikation
Die operative Kommunikation mit Fahrerinnen und Fahrern, etwa zu Serviceterminen, Prüfterminen und Schadensmeldungen, erfolgt entweder per E-Mail oder über WhatsApp for Business. Welcher Kanal zum Einsatz kommt, legt das jeweilige Kundenunternehmen als Verantwortlicher im Auftragsverarbeitungsvertrag fest. Ohne ausdrückliche Wahl erfolgt die Kommunikation ausschließlich per E-Mail.
Bei E-Mail verarbeiten wir Name, dienstliche E-Mail-Adresse und Nachrichteninhalte über die in Punkt 6 genannte Büroanwendung. Bei WhatsApp for Business verarbeiten wir zusätzlich Telefonnummer, Nachrichteninhalte und Metadaten über den Betreiber dieses Dienstes; dabei können Daten in die Vereinigten Staaten übermittelt werden, es gilt Punkt 9. Wird WhatsApp for Business nicht gewählt, findet durch diesen Anbieter keine Verarbeitung statt.
Rechtsgrundlage ist in beiden Fällen Art. 6 Abs. 1 lit. f DSGVO, berechtigte Interessen an einer effizienten Fuhrparksteuerung. Die Information der Fahrerinnen und Fahrer nach Art. 13 und 14 DSGVO sowie die Prüfung, ob der Einsatz von WhatsApp im jeweiligen Unternehmen zulässig ist, obliegen dem Kundenunternehmen. Das betrifft insbesondere die Nutzung privater Endgeräte und Rufnummern sowie eine allfällige Mitbestimmung des Betriebsrats.
8. Fahrzeugbezogene Herstellerdaten (Connected Car)
Im Rahmen des laufenden Fuhrparkmanagements rufen wir technische Fahrzeugdaten aus den Datenschnittstellen der Fahrzeughersteller ab, technisch über einen spezialisierten Datenaggregator mit Sitz in Deutschland. Zweck sind die Steuerung von Wartungs-, Service- und Prüfintervallen, der Abgleich mit den vereinbarten Leasing-Kilometerleistungen sowie das Verbrauchs- und Nachhaltigkeitsreporting. Der Abruf ist regelmäßiger Bestandteil unserer Leistung; das Kundenunternehmen kann ihn als Verantwortlicher jederzeit ganz oder für einzelne Marken, Standorte oder Fahrzeuge abwählen. Näheres regelt der Auftragsverarbeitungsvertrag.
Ausdrücklich nicht abgerufen werden Standort- und Positionsdaten, Bewegungs- und Routenprofile, Geofencing, Fahrverhaltensdaten wie Beschleunigung, Geschwindigkeit oder Bremsverhalten sowie der Zünd- und Motorstatus. Ein Fahrer-Scoring oder eine Verhaltensbewertung findet nicht statt. Der Abruf ist technisch auf die vom Kundenunternehmen freigegebenen Fahrzeugmarken beschränkt und wird beim Ausscheiden eines Fahrzeugs unverzüglich deaktiviert.
Eigenständige Verantwortlichkeit einzelner Hersteller. Bei einzelnen Marken ist der Fahrzeughersteller hinsichtlich der von ihm bereitgestellten Fahrzeugdaten eigenständiger Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO und handelt nicht in unserem Auftrag. Dies betrifft nach derzeitigem Stand Kia, Tesla und Hyundai. Für diese Verarbeitungen gelten die Datenschutzhinweise des jeweiligen Herstellers; Betroffenenanfragen richten Sie bitte direkt dorthin.
9. Übermittlungen in Drittländer
Ein Teil der von uns eingesetzten Dienstleister hat seinen Sitz außerhalb des Europäischen Wirtschaftsraums oder verarbeitet Daten dort.
Betrieb und Datenhaltung der Fuhrparkapplikation. Anwendung und Datenbank werden innerhalb der Europäischen Union betrieben, die Anbietergesellschaften sitzen jedoch im Drittland. Der Anbieter der Applikationsauslieferung mit Sitz in den Vereinigten Staaten ist unter dem EU-U.S. Data Privacy Framework zertifiziert; die Übermittlung stützt sich vorrangig auf den Angemessenheitsbeschluss gemäß Art. 45 DSGVO, ergänzend auf Standardvertragsklauseln gemäß Art. 46 DSGVO. Betriebsprotokolle können in den Vereinigten Staaten verarbeitet werden. Der Anbieter der Datenhaltung mit Sitz in Singapur und einem Datenimporteur in den Vereinigten Staaten ist nicht unter dem Data Privacy Framework zertifiziert, und für Singapur besteht kein Angemessenheitsbeschluss; die Übermittlung stützt sich daher ausschließlich auf Standardvertragsklauseln gemäß Art. 46 DSGVO, ergänzt um ein Transfer Impact Assessment des Anbieters. Betriebsprotokolle und Sicherungen können außerhalb der Region Irland verarbeitet werden. Für die nachgelagerten Infrastrukturdienstleister gelten die Garantien aus dem jeweiligen Vertrag mit diesem Anbieter.
Büroanwendungen, Fahrerkommunikation, KI und Website. Betroffen sind die konzerninternen Weitergaben des Anbieters der Büroanwendung an seine Muttergesellschaft in den Vereinigten Staaten, bei Wahl des Kanals WhatsApp die konzerninternen Weitergaben des Betreibers dieses Dienstes in die Vereinigten Staaten, die Verarbeitung durch den Anbieter des KI-Assistenzsystems sowie die Auslieferungs- und Messinfrastruktur unserer Website.
Aus der Fahrzeugdatenintegration kommen markenabhängig weitere Übermittlungen hinzu. Nach derzeitigem Stand betrifft dies insbesondere: Ford, mit Empfängern in den Vereinigten Staaten und in Indien, abgesichert durch Standardvertragsklauseln samt einer Übermittlungs-Folgenabschätzung; Stellantis, wo ein eingesetzter Dienstleister Unterauftragsverarbeiter außerhalb des EWR heranzieht, abgesichert durch Binding Corporate Rules; Mercedes-Benz und Toyota, mit Empfängern im Vereinigten Königreich auf Grundlage des Angemessenheitsbeschlusses sowie im Fall von Mercedes-Benz zusätzlich in Liechtenstein (EWR); sowie Polestar, wo Übermittlungen außerhalb des EWR im Supportfall auf Standardvertragsklauseln gestützt werden. Welche Marken freigegeben sind, legt das jeweilige Kundenunternehmen fest; die vollständige Aufstellung je Marke ist Bestandteil des Auftragsverarbeitungsvertrages und wird auf Anfrage zur Verfügung gestellt.
Alle Übermittlungen erfolgen auf Grundlage von Standardvertragsklauseln gemäß Art. 46 DSGVO, ergänzt um die jeweiligen Data Processing Addenda und Transfer Addenda der Anbieter, oder auf Grundlage eines Angemessenheitsbeschlusses gemäß Art. 45 DSGVO. Wir weisen darauf hin, dass in Drittstaaten ein Zugriff durch dortige Behörden nicht vollständig ausgeschlossen werden kann und dass Betroffenenrechte dort möglicherweise schwerer durchsetzbar sind.
10. Speicherdauer
Geschäfts- und Buchhaltungsdaten werden nach österreichischem Recht regelmäßig 7 Jahre aufbewahrt. Schaden- und Verstoßakten werden bis zur abschließenden Erledigung zuzüglich angemessener Verjährungsfristen gespeichert. Telemetrie- und Protokolldaten werden so kurz wie möglich aufbewahrt. Nachweise im Zusammenhang mit der Fahrzeugdatenintegration werden drei Jahre ab Deaktivierung des betreffenden Fahrzeugs aufbewahrt. Nach Beendigung eines Kundenvertrages stellen wir auf Anfrage binnen 90 Tagen einen kostenfreien Datenexport bereit und löschen oder anonymisieren die Daten anschließend. Längere Speicherungen erfolgen nur, soweit rechtlich erforderlich oder zur Geltendmachung und Abwehr von Ansprüchen notwendig.
11. Rechte der betroffenen Personen
Betroffene haben im Rahmen der gesetzlichen Voraussetzungen folgende Rechte: Auskunft über die verarbeiteten Daten (Art. 15 DSGVO); Berichtigung unrichtiger Daten (Art. 16 DSGVO); Löschung (Art. 17 DSGVO); Einschränkung der Verarbeitung (Art. 18 DSGVO); Datenübertragbarkeit (Art. 20 DSGVO); Widerspruch gegen Verarbeitungen auf Basis von Art. 6 Abs. 1 lit. e oder f DSGVO (Art. 21 DSGVO); Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).
Anfragen richten Sie bitte an office@flottenfuchs.at. Wir reagieren innerhalb von 30 Tagen. Bei offenkundig unbegründeten oder exzessiven Anfragen können Gebühren verlangt werden (Art. 12 Abs. 5 DSGVO). Betrifft Ihre Anfrage Daten, die wir als Auftragsverarbeiter für ein Kundenunternehmen verarbeiten, leiten wir sie unverzüglich an dieses weiter. Betrifft sie Fahrzeugdaten eines eigenständig verantwortlichen Herstellers gemäß Punkt 8, wenden Sie sich bitte an den Hersteller.
12. Sicherheitsmaßnahmen (TOMs)
Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz der verarbeiteten Daten. Sie orientieren sich an anerkannten Sicherheitsstandard. Dazu zählen insbesondere: rollen- und berechtigungsbasiertes Zugriffskonzept nach dem Need-to-know-Prinzip, soweit möglich mit Multi-Faktor-Authentifizierung; Verschlüsselung bei Transport und Speicherung; getrennte Berechtigungen je Kunde und logische Trennung der Datenbestände; Verwaltung von Zugangsdaten und Schlüsseln in einem dedizierten Secrets-Management; laufende Überwachung auf Sicherheitsvorfälle; regelmäßige Rechte-Reviews und Protokollierung; tägliche Datensicherungen mit geprüfter Wiederherstellbarkeit sowie Endgerätesicherheit (Verschlüsselung und MDM); jährliche Mitarbeiterschulungen und dokumentierte Incident-Prozesse mit Meldung an den Verantwortlichen binnen 24 Stunden ab Kenntnis.
13. Website, Cookies und Reichweitenmessung
Unsere Website wird von der Framer B.V. (Niederlande) gehostet und ausgeliefert. Beim Aufruf der Website werden Server-Logs (IP-Adresse, Zeitstempel, Request- und Gerätedaten) verarbeitet, um Betrieb und Sicherheit zu gewährleisten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
Technisch notwendige Cookies sind für den Betrieb der Website erforderlich und bedürfen keiner Einwilligung.
Darüber hinaus setzen wir Google Analytics 4 (Google Ireland Limited, Messkennung G-RDE1N21WJ1) sowie die Reichweitenmessung der Framer B.V. ein, um die Nutzung unserer Website statistisch auszuwerten und unser Angebot zu verbessern. Dabei werden Cookies beziehungsweise vergleichbare Technologien eingesetzt und Nutzungsdaten einschließlich gekürzter IP-Adresse verarbeitet. Diese Verarbeitung erfolgt ausschließlich auf Grundlage Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 165 Abs. 3 TKG 2021. Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen im Fußbereich der Website mit Wirkung für die Zukunft widerrufen. Im Rahmen dieser Dienste können Daten in die Vereinigten Staaten übermittelt werden; es gilt Punkt 9.
Unsere Website bindet Schriftarten über den Dienst Google Fonts (fonts.gstatic.com, Google Ireland Limited) ein. Dabei wird Ihre IP-Adresse an Google übertragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer einheitlichen Darstellung).
Kommunikationsdienste (E-Mail, Portal, Ticketsystem) verarbeiten Nutzungs- und Metadaten zur Bearbeitung Ihrer Anfrage und zur Nachweisführung.
14. Pflicht zur Bereitstellung von Daten
Die Bereitstellung bestimmter Daten ist für die Vertragserfüllung erforderlich, insbesondere Fahrer- und Fahrzeugstammdaten, Termine und Nachweise. Ohne diese Daten können Leistungen ganz oder teilweise nicht erbracht werden.
15. Automatisierte Entscheidungen und Profiling
Es findet keine ausschließlich automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO statt. Analysen und Reports dienen ausschließlich der Effizienz- und Compliance-Steuerung des Fuhrparks und werden vor ihrer Verwendung durch eine natürliche Person geprüft. Ein Scoring oder eine Bewertung des Fahrverhaltens einzelner Personen durch uns findet nicht statt.
16. Anfragen und Beschwerden
Für Datenschutzanliegen wenden Sie sich bitte an: office@flottenfuchs.at
Sie haben weiters das Recht, sich bei der österreichischen Datenschutzbehörde zu beschweren: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien. Telefon: +43 1 52 152-0 | E-Mail: dsb@dsb.gv.at | www.dsb.gv.at