DATENSCHUTZ · FAHRER-APP

Datenschutzhinweise Fahrer-App

Stand 06.10.2026 · Version 1.1

01 · STANDORT

Fortlaufend nur in der Schicht

sonst nur für genutzte Funktionen · nie „Immer“

02 · LÖSCHFRIST

365 Tage

für Standortpunkte aus der App

03 · KEINE WERBUNG

Kein Tracking

keine Werbe- oder Analysedienste

04 · VERANTWORTLICH

Dein Arbeitgeber

Accelery GmbH als Auftragsverarbeiter

01 · Geltung

Worum es geht

Diese Hinweise gelten für die App „Winterwacht Fahrer“ für iPhone und Android. Die App nutzen Beschäftigte von Winterdienst-Betrieben, die mit Winterwacht arbeiten: Fahrerinnen und Fahrer, die Touren fahren, Einsätze dokumentieren und mit ihrer Disposition schreiben.

Dein Konto legt dein Arbeitgeber an. In der App selbst kannst du kein Konto anlegen. Für die Website winterwacht.com gilt die eigene Datenschutzerklärung der Website.

Wir sprechen dich mit „du“ an, so wie die App.

02 · Verantwortlicher

Verantwortlicher

Verantwortlich für deine Daten in der App (Art. 4 Nr. 7 DSGVO) ist dein Arbeitgeber – der Betrieb, für den du fährst und der dein Konto angelegt hat. Er entscheidet, wofür die App eingesetzt wird, und ist dein erster Ansprechpartner für alle Fragen zu deinen Daten.

Arbeitest du für einen anderen Betrieb, nennt dir deine Disposition Name und Kontakt deines Arbeitgebers.

Für Fahrerinnen und Fahrer der FRG Hansa ist das:

FRG Hansa Dienstleistungsgesellschaft mbH
Hohe Bleichen 8
20354 Hamburg
Telefon 040 226 226 800
E-Mail hallo@winterwacht.com

Datenschutzbeauftragte/r: Dein Arbeitgeber hat keinen Datenschutzbeauftragten, weil er dazu erst ab 20 Personen verpflichtet ist. Ansprechpartner für Fragen zum Datenschutz ist die Geschäftsführung deines Arbeitgebers.

03 · Anbieter

Anbieter der App

Accelery GmbH
Hohe Bleichen 8
20354 Hamburg
Amtsgericht Hamburg, HRB 153058
Geschäftsführer: Christoph A. Reimers, Christoph Söhnlein

Die App stellt die Accelery GmbH bereit. Sie betreibt die Winterwacht-Plattform (App, Server und Datenbank) im Auftrag deines Arbeitgebers und verarbeitet deine Daten nur nach seinen Weisungen (Auftragsverarbeitung nach Art. 28 DSGVO). Die Accelery GmbH ist auch Anbieter der App im App Store und bei Google Play.

Die betriebsübergreifende Zentrale der Winterwacht-Plattform ist ein Betrieb der Accelery GmbH. Sie arbeitet im Auftrag der Arbeitgeber als Auftragsverarbeiter (Support und Plattformbetrieb) und kann Nutzungsauswertungen je Benutzer einsehen (siehe 4n).

Weitere Anbieterangaben stehen im Impressum der Fahrer-App.

04 · Verarbeitungen

Welche Daten die App verarbeitet

Für jede Funktion der App findest du hier, welche Daten anfallen, wofür, auf welcher Rechtsgrundlage, wer sie bekommt und wie lange sie gespeichert werden.

Rechtsgrundlagen sind in erster Linie Art. 6 Abs. 1 lit. b DSGVO (Durchführung deines Arbeitsverhältnisses), lit. c (gesetzliche Pflichten, z. B. Arbeitszeit) und lit. f (berechtigte Interessen deines Arbeitgebers, z. B. Nachweis der Leistung gegenüber Auftraggebern), gegebenenfalls in Verbindung mit einer Betriebsvereinbarung (Art. 88 DSGVO). Eine Einwilligung ist nicht die Grundlage.

Konto und Anmeldung

Daten

E-Mail-Adresse, Passwort, Nutzer-ID, Name, Rolle, Betrieb und freigeschaltete Bereiche.

Das Passwort setzt du selbst über den Link in der Einladungs-E-Mail; es verwaltet der Anmeldedienst (Supabase Auth).

Zweck

Zugang zur App, Zuordnung zu deinem Betrieb, deinen Schichten und Touren.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO.

Empfänger

Supabase (Anmeldung und Datenbank), Render (Server). Die Einladungs- und Passwort-E-Mails verschickt Supabase Auth über den E-Mail-Dienst Postmark (ActiveCampaign, LLC, USA; Server in den USA).

Speicherdauer

Solange dein Konto besteht. Löschst du dein Konto in der App, ist dein Login sofort gelöscht (11).

Nach deinem Austritt werden die Kontodaten nach 6 Monaten entfernt. Einsatznachweise bleiben ohne Namen (pseudonym) erhalten.

Standort während der Schicht

Daten

Breite und Länge, Genauigkeit, Geschwindigkeit, Fahrtrichtung und Zeitpunkt. Der Server ergänzt deine Nutzer-, Profil- und Schicht-ID und die Empfangszeit.

Takt: auf Android etwa alle 20 Sekunden bzw. alle 25 Meter, auf dem iPhone bei jeweils 25 Metern Bewegung. Ohne Netz sammelt die App die Punkte und sendet sie später.

Zweck

Live-Karte deiner Disposition (sie sieht die Positionen der letzten 24 Stunden), Erkennung von Streugutbunkern (4d) und Startpunkt für die voraussichtliche Ankunftszeit beim nächsten Objekt.

Die Standortpunkte dienen dem Nachweis der erbrachten Winterdienstleistungen und der Abwehr von Haftungsansprüchen aus der Verkehrssicherungspflicht, etwa bei Reklamationen oder Glätteunfällen, die oft erst Monate später geltend gemacht werden. Deshalb werden sie 365 Tage aufbewahrt.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b und f DSGVO, gegebenenfalls in Verbindung mit einer Betriebsvereinbarung.

Empfänger

Supabase, Render; deine Disposition. Für die Ankunftszeit sendet der Server die jüngste Position (höchstens 15 Minuten alt) ohne deinen Namen an Google (Routes API). Liegt keine aktuelle Position vor, rechnet er stattdessen mit den Koordinaten deines Wohnorts oder des Betriebshofs.

Kunden sehen keine Live-Position, sondern nur die Ankunftszeit in Minuten und die Restentfernung (siehe 05).

Speicherdauer

365 Tage: Standortpunkte aus der App werden nach 365 Tagen automatisch gelöscht.

Der Leistungsnachweis – Einsätze, GPS-Prüfung je Objekt (4c), Fotos (4e) und die Prüfsummen-Kette – wird unabhängig davon aufbewahrt.

Fortlaufend nur während deiner Schicht: Während einer Schicht überträgt die App deinen Standort fortlaufend an die Disposition, auch wenn die App im Hintergrund läuft oder das Display gesperrt ist. Die fortlaufende Übertragung beginnt mit „Schicht starten“ und endet, wenn du die Schicht beendest oder abbrichst, dich abmeldest oder die Disposition die Schicht beendet; spätestens nach 16 Stunden beendet die App sie selbst. Der Server speichert nur Punkte aus dem Zeitraum einer Schicht, auch wenn die App sie ohne Netz gesammelt und erst danach gesendet hat; Schichten enden spätestens nach 24 Stunden automatisch.

Außerhalb einer Schicht: Außerhalb einer Schicht wird dein Standort nicht fortlaufend übertragen. Nutzt du außerhalb einer Schicht selbst eine Funktion, die ihn braucht (z. B. die Route zum nächsten Stop auf der Karte oder den Fahrt-Modus), wird er nur für diese Funktion übertragen, solange du sie nutzt.

Warum auch bei gesperrtem Display: Das Handy steckt in der Schicht meist in der Halterung oder Jacke. Dass die Übertragung läuft, siehst du jederzeit: Android zeigt eine dauerhafte Mitteilung, dass deine Schicht läuft, das iPhone den blauen Standort-Hinweis. Die App fragt nie nach der Berechtigung „Immer“ und erklärt vor der Abfrage, wofür sie den Standort braucht.

Winterwacht kann die Standorterfassung bei einem Notfall für einen Betrieb oder insgesamt abschalten.

Standort bei Beginn und Abschluss eines Stops

Daten: Einzelne Position mit Zeitpunkt, wenn du einen Stop antrittst und wenn du den Einsatz abschließt. Der Server berechnet die Entfernung zum Objekt und den Status (bestätigt, abweichend, kein GPS). Liegst du außerhalb des Radius (Objekt- oder Betriebswert, sonst 100 Meter), gibst du einen Grund an.
Zweck: Nachweis der erbrachten Leistung gegenüber Auftraggebern und Beweissicherung, z. B. bei Haftungsfragen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.
Empfänger: Einsatzprotokoll mit manipulationssicherer Beweiskette (Prüfsummen-Kette). Kunden sehen Status und Entfernung, nicht die Koordinaten.
Speicherdauer: Die Beweiskette ist so gebaut, dass sich Einträge nicht nachträglich ändern oder löschen lassen. 10 Jahre (Einsatznachweis).

Streugutbunker

Daten: Aus deinem Standort während der Schicht erkennt der Server, dass du mindestens 30 Sekunden im Umkreis von 50 Metern um einen Bunker warst, und legt eine Meldung an. Dazu Entnahmen und Erledigt-Meldungen. Zugangscodes zeigt die App an und speichert sie zwischen.
Zweck: Bestandsführung beim Streugut, Pflichtmeldungen, Zugang zum Bunker.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.
Empfänger: Supabase, Render; Disposition. Die Codes für elektronische Schlösser erzeugt igloohome auf Anfrage des Servers; dabei wird nur die Bezeichnung des Bunkers übermittelt, keine Daten über dich.
Speicherdauer: 10 Jahre (Teil des Einsatznachweises).

Erkannt wird nur aus Standortpunkten einer laufenden Schicht.

Fotos und Videos

Daten

Einsatzfotos mit der Kamera der App, Einsatzvideos mit Ton, Fotos zu Reklamationen aus Kamera oder Fotomediathek. Dazu Aufnahmezeit, die Aufnahmerichtung (vorher, nachher, Detail) und eine Prüfsumme (SHA-256). GPS-Koordinaten werden übernommen, falls die Kamera sie in die Bilddatei schreibt.

Die Bilddatei wird unverändert gespeichert – mit den Metadaten, die dein Handy hineinschreibt (je nach Gerät z. B. Aufnahmezeit, Gerätemodell und Standort).

Zweck

Nachweis der Leistung gegenüber Auftraggebern, Bearbeitung von Reklamationen.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b und f DSGVO.

Empfänger

Cloudflare R2 (Speicher, Upload über einen 15 Minuten gültigen Link), Disposition. Kunden sehen Fotos und Videos ihrer Einsätze im Kundenportal, einschließlich der Metadaten.

Speicherdauer

10 Jahre (Einsatznachweis).

Bitte fotografiere keine Personen oder Kfz-Kennzeichen gezielt. Ist doch jemand im Bild, ist das nicht schlimm – nimm aber nur auf, was für den Nachweis nötig ist.

Chat und Sprachnachrichten

Daten

Texte, Bilder aus deiner Fotomediathek, Sprachnachrichten bis 120 Sekunden, Lesestatus. Ins Fotoalbum gespeichert oder geteilt wird nur, wenn du das auswählst.

Meldungen zu Nachrichten oder Personen (Grund, optional ein Kommentar) und deine Liste blockierter Personen.

Zweck

Absprachen zwischen dir und deiner Disposition bzw. deinem Team; Schutz vor unangemessenen Inhalten.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b und f DSGVO.

Empfänger

Team-Chats lesen alle Nutzer deines Betriebs mit den Rollen Fahrer, Disposition, Verwaltung und Zentrale; Direkt-Chats nur die Beteiligten.

Supabase (Datenbank und Echtzeit-Übertragung), Cloudflare R2 (Bilder und Sprachnachrichten). Mitteilungen über neue Nachrichten zeigen Absendername und eine Textvorschau und laufen über Google bzw. Apple (4i).

Speicherdauer

3 Jahre.

Du kannst Nachrichten und Personen melden, Personen blockieren (sie werden ausgeblendet und stummgeschaltet) oder nur stummschalten und beides wieder aufheben. Eine Nachricht, die du meldest, blendet die App für dich aus. Jede Meldung erreicht deine Disposition als Aufgabe mit einer Mitteilung. Die Disposition prüft die Meldung, kann die gemeldete Nachricht für alle ausblenden, schließt die Meldung ab oder weist sie zurück (auf Wunsch mit einer internen Notiz) und kann einen Fahrer außer Dienst stellen; dann sind App und Chat für ihn gesperrt. Vor deiner ersten Nachricht stimmst du den Regeln für den Team-Chat zu.

Nachrichten werden nicht gelöscht, sondern bei Verstößen ausgeblendet.

Reklamationen, Negativ-Dokumentation und Begründungen

Daten

Reklamationen mit Kategorie, Kurzbeschreibung und Fotos; Negativ-Dokumentation (z. B. Objekt nicht zugänglich) mit Grund, Begründung und Fotos; Grund beim Abbrechen einer Schicht und bei Abweichungen am Stop.

Neu: Grund beim Stornieren eines Einsatzes (Pflicht, bis 500 Zeichen) und beim Beenden einer Schicht mit offenen Stops.

Zweck

Information der Disposition, Nachweis gegenüber Auftraggebern.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b und f DSGVO.

Empfänger

Disposition. Kunden sehen im Kundenportal zu Reklamationen ihrer Objekte Beschreibung, Status, Verlauf, Fotos und Kommentare; bei Kommentaren nur die Rolle des Verfassers, nicht den Namen. Negativ-Dokumentationen sehen Kunden nicht.

Speicherdauer

3 Jahre.

Schicht-, Einsatz- und Arbeitszeitdaten

Daten: Schichtstatus mit Beginn und Ende, wer die Schicht beendet hat (du, Disposition oder automatisch), Gründe; Beginn und Ende jedes Einsatzes, erbrachte Leistungen, Streumittel und Notizen. Aus der Schicht berechnet der Server deine Arbeitszeit.
Zweck: Einsatzsteuerung, Abrechnung gegenüber Auftraggebern, Arbeitszeiterfassung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO (Aufzeichnung der Arbeitszeit).
Empfänger: Disposition (Arbeitszeiten nur mit Freigabe für die Disposition). Kunden sehen deinen Vor- und Nachnamen sowie Ankunfts- und Endzeit am Einsatz.
Speicherdauer: Einsatzdaten 10 Jahre, Arbeitszeit 6 Jahre.

Mitteilungen (Push)

Daten: Gerätetoken, Plattform, App- und Betriebssystemversion, letzter Kontakt; deine Einstellungen zu Mitteilungen und Ruhezeiten. Inhalte der Mitteilungen: Titel, Text und Ziel in der App, z. B. Objekt und Adresse oder Absender und Vorschau einer Chat-Nachricht.
Zweck: Alarme bei neuen oder geänderten Einsätzen, Schichtbeginn, Wetter-Alarme und Chat.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.
Empfänger: Google Firebase Cloud Messaging (ohne Firebase Analytics und ohne Werbe-ID), auf dem iPhone weiter an den Apple Push Notification Service.
Speicherdauer: Bis du dich abmeldest, dein Konto löschst oder das Token ungültig wird. Beim Abmelden meldet die App dein Gerät ab; beim Löschen des Kontos werden Gerätetoken und Einstellungen zu Mitteilungen sofort gelöscht.

Die App fragt erst nach der Anmeldung nach Mitteilungen und erklärt vorher, wofür. Auf Android steuerst du die Arten (z. B. Einsätze, Wetter-Alarme, Chat) einzeln in den Systemeinstellungen. In den Einstellungen der App kannst du eine Test-Benachrichtigung an dein Gerät schicken.

Fahrt-Modus (Navigation von Google)

Daten: Für die Navigation in der App nutzt sie das Google Navigation SDK. Dabei erhält Google nach eigenen Angaben deinen Standort, Route und Ziel (den nächsten Stop), die IP-Adresse, Gerätedaten (Betriebssystem, Modell, Hersteller, SDK-Version), Absturz- und Diagnosedaten, Bedienvorgänge in der Navigationsansicht und eine regelmäßig wechselnde Kennung.
Zweck: Zielführung zum nächsten Stop. Google nutzt die Daten laut eigener Dokumentation auch, um seine Dienste zu verbessern.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.
Empfänger: Google. Vor der ersten Nutzung zeigt die App die Nutzungsbedingungen von Google, denen du zustimmst.
Speicherdauer: Bei Google nach dessen Bedingungen.

Der Fahrt-Modus ist zunächst nur für freigegebene Fahrzeuge verfügbar und kann von Winterwacht für einen Betrieb oder insgesamt abgeschaltet werden.

Du musst ihn nicht nutzen: Stattdessen kannst du ein Ziel an Apple Karten, Google Maps oder Waze übergeben. Dann erhält die gewählte App die Zielkoordinaten, und es gelten ihre Bedingungen.

Karten und Routen

Daten

Für die Kartenansichten lädt die App Kartenkacheln direkt beim Kartenanbieter MapTiler: die Straßenkarte und im digitalen Aufmaß auf Wunsch das Luftbild mit Straßennamen (Ansicht „Satellit“). Dabei erhält MapTiler deine IP-Adresse, die Kennung der App und den angefragten Kartenausschnitt.

Für die Route in der Karte sendet die App deine Position und das Ziel an unseren Server. Er fragt die Route bei openrouteservice ab – nur mit den Koordinaten deiner Position und des Ziels, ohne Namen oder Kennung – und hält das Ergebnis nur kurz im Speicher.

Die Routenlinie einer Schicht (z. B. in der Übersicht vor der Annahme) berechnet der Server über den öffentlichen Routing-Dienst OSRM (router.project-osrm.org). Er übermittelt nur die Koordinaten der Stops und des Startpunkts, ohne Namen. Startpunkt ist der Betriebshof oder – wenn dein Arbeitgeber deinen Wohnort als Startpunkt hinterlegt hat – die Koordinaten deines Wohnorts. Das Ergebnis speichert der Server bei der Schicht.

Für die Tourenplanung (Fahrzeiten und Straßenroute einer Tour) übermittelt der Server die Koordinaten der Stops und des Startpunkts – gegebenenfalls deines Wohnorts – ebenfalls ohne Namen an openrouteservice.

Zweck

Kartenanzeige, Luftbild im Aufmaß, Routenanzeige und Tourenplanung.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b und f DSGVO.

Empfänger

MapTiler AG (Unterägeri, Schweiz) als Kartenanbieter. Die Kartenanfragen laufen über den EU-Endpunkt von MapTiler. Die Kartendaten stammen von OpenStreetMap („© OpenStreetMap-Mitwirkende“); die Quellen des Luftbilds nennt MapTiler auf der Seite, die „© MapTiler“ in der Karte öffnet. Mit MapTiler besteht ein Auftragsverarbeitungsvertrag; wir nutzen den bezahlten Tarif.

openrouteservice (Betreiber: HeiGIT gGmbH, Heidelberg) und der OSRM-Routingserver (betrieben vom FOSSGIS e.V., Deutschland). Beide sind öffentliche Dienste, mit denen kein Auftragsverarbeitungsvertrag besteht; deshalb erhalten sie nur Koordinaten, keine Namen oder Kennungen.

Speicherdauer

Bei MapTiler höchstens 2 Monate (IP-Adressen für Sicherheitsprüfungen laut Datenschutzerklärung von MapTiler). Die Server-Protokolle, in denen Routen-Anfragen mit Koordinaten stehen, werden 30 Tage aufbewahrt. Der Betreiber des OSRM-Servers speichert Routen-Anfragen nach eigenen Angaben in seinen Server-Protokollen.

Deine Wahl zwischen Karte und Satellit im Aufmaß speichert die App nur auf deinem Handy.

Absturz- und Fehlerberichte

Daten: Bei Abstürzen und Fehlern: Fehlermeldung, technischer Verlauf vor dem Fehler, Gerätemodell, Betriebssystem und App-Version. Ohne deinen Namen und deine E-Mail-Adresse: Nutzerangaben und Netzwerkanfragen werden nicht übertragen, Texte vor dem Senden bereinigt.
Zweck: Fehler in der App finden und beheben.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Empfänger: Sentry (Functional Software, Inc., USA) mit Datenspeicherung in der EU (Region Frankfurt, de.sentry.io).
Speicherdauer: 90 Tage bei Sentry. Mit Sentry besteht ein Auftragsverarbeitungsvertrag; als Garantie gelten die EU-Standardvertragsklauseln bzw. das Data Privacy Framework.

App-Version und Plattform

Daten: Bei jeder Anfrage an den Server sendet die App ihre Version und die Plattform (iOS oder Android). Gespeichert wird beides in der Tagesübersicht (4n) und beim Gerätetoken (4i).
Zweck: Hinweis „Update erforderlich“ bei veralteten Versionen, Wartungshinweise, Abschalten einzelner Funktionen im Notfall, Support.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Empfänger: Supabase, Render.
Speicherdauer: Wie 4n bzw. 4i; im Protokoll 1 Jahr.

Protokoll und Tagesübersicht

Daten

Für jede schreibende Aktion (z. B. Einsatz abschließen) ein technisches Protokoll: Nutzer, Rolle, Betrieb, Aktion, Zeitpunkt, Ergebnis, Dauer und der Inhalt der Anfrage. Passwörter, Codes und Schlüssel werden geschwärzt. Standortkoordinaten und Chat-Texte enthält das Protokoll nicht mehr; ältere Einträge, in denen sie noch standen, wurden mit dem Release geschwärzt.

Je Nutzer und Tag: Anzahl der Anfragen und Änderungen, erste und letzte Aktivität – auch beim reinen Lesen.

Zweck

Nachvollziehbarkeit von Änderungen, Fehlersuche und Auswertung der Nutzung je Benutzer.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO.

Empfänger

Supabase. Die Zentrale kann Übersichten je Benutzer abrufen und exportieren.

Speicherdauer

1 Jahr.

Speicherung auf deinem Handy

Daten: Eine lokale Datenbank mit deinen Einsätzen, Warteschlangen für Fotos, Standortpunkte, Chat-Nachrichten und Bunker-Entnahmen, dem Chat-Verlauf, Bunker-Zugangscodes und Einstellungen. Fotos und Sprachaufnahmen liegen als Dateien bei, bis sie gesendet sind.
Zweck: Arbeiten ohne Netz: Was offline entsteht, sendet die App später.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Empfänger: Keine – die Daten bleiben auf deinem Handy, bis sie an den Server gehen.
Speicherdauer: Bis zum Senden bzw. bis du dich abmeldest oder dein Konto löschst. Beim Abmelden und beim Löschen des Kontos leert die App die Datenbank und löscht die Dateien; vorher warnt sie, falls noch etwas nicht gesendet ist. Wenn du die App löschst, entfernt das Betriebssystem alle ihre Daten.

Die Datenbank ist mit einem zufälligen Schlüssel verschlüsselt, der nur auf deinem Gerät liegt (Schlüsselbund bzw. Keystore), und vom Geräte-Backup ausgeschlossen.

05 · Empfänger

Empfänger und Dienstleister

Innerhalb deines Betriebs sehen deine Daten nur die Stellen, die sie für ihre Aufgabe brauchen – vor allem die Disposition und die Verwaltung. Außerhalb deines Betriebs erhalten Daten:

Empfänger	Zweck	Sitz, Region	Garantie
Accelery GmbH	Anbieter und Betrieb der Plattform (Auftragsverarbeiter)	Hamburg	–
Render Services, Inc.	Server (Hosting)	USA; Rechenzentrum Frankfurt	EU-Standardvertragsklauseln
Supabase, Inc.	Datenbank, Anmeldung, Echtzeit-Chat, Einladungs-E-Mails	USA; Daten in der EU (Frankfurt, AWS eu-central-1)	EU-Standardvertragsklauseln bzw. Data Privacy Framework; Auftragsverarbeitungsvertrag abgeschlossen
Cloudflare, Inc. (R2)	Speicher für Fotos, Videos und Chat-Anhänge	USA; Bucket mit EU-Jurisdiktion (Daten werden in der EU gespeichert)	Data Privacy Framework bzw. EU-Standardvertragsklauseln
Google (Firebase Cloud Messaging)	Zustellung von Mitteilungen	Google (USA); Cloud Data Processing Addendum abgeschlossen	Data Privacy Framework und EU-Standardvertragsklauseln
Apple (Push Notification Service)	Zustellung von Mitteilungen auf dem iPhone	Apple (USA)	Data Privacy Framework
Google (Navigation SDK)	Fahrt-Modus; Google ist teils selbst verantwortlich	Google (USA); Cloud Data Processing Addendum abgeschlossen	Data Privacy Framework und EU-Standardvertragsklauseln
Google (Routes API)	Ankunftszeit; nur Koordinaten, ohne Namen	Google (USA); Cloud Data Processing Addendum abgeschlossen	Data Privacy Framework und EU-Standardvertragsklauseln
openrouteservice	Route in der Karte und Tourenplanung; nur Koordinaten (deine Position bzw. dein Wohnort als Startpunkt), ohne Namen	Deutschland (HeiGIT gGmbH, Heidelberg)	innerhalb der EU; öffentlicher Dienst, kein Auftragsverarbeitungsvertrag
OSRM-Routingserver (router.project-osrm.org)	Routenlinie einer Schicht; nur Koordinaten der Stops und des Startpunkts (Betriebshof oder Wohnort), ohne Namen	Deutschland (FOSSGIS e.V.)	innerhalb der EU; öffentlicher Dienst, kein Auftragsverarbeitungsvertrag
Sentry (Functional Software, Inc.)	Absturz- und Fehlerberichte	USA; Datenspeicherung EU (Frankfurt)	EU-Standardvertragsklauseln bzw. Data Privacy Framework; Auftragsverarbeitungsvertrag abgeschlossen
MapTiler AG	Kartenkacheln und Luftbild im Aufmaß (IP-Adresse, Kennung der App, Kartenausschnitt)	Schweiz (Unterägeri); Kartenanfragen über den EU-Endpunkt von MapTiler	Angemessenheitsbeschluss (Schweiz); Auftragsverarbeitungsvertrag abgeschlossen
Postmark (ActiveCampaign, LLC)	Einladung und Passwort-E-Mails	USA (Postmark, ActiveCampaign, LLC); Server in den USA	Data Privacy Framework bzw. EU-Standardvertragsklauseln
Kunden deines Betriebs (Auftraggeber)	Leistungsnachweis im Kundenportal: dein Name, Ankunfts- und Endzeit, GPS-Status und Entfernung zum Objekt, Ankunftszeit in Minuten und woher sie berechnet wurde (aktueller Standort, Wohnort oder Betriebshof), Fotos und Videos – keine Live-Position	–	–
Apple, Google (App Store, Google Play, Betriebssystem)	Verteilung der App, Systemdienste wie Ortung; in eigener Verantwortung	–	–

igloohome erzeugt Zugangscodes für Bunker-Schlösser, erhält dabei aber keine Daten über dich (4d).

06 · Drittländer

Übermittlung in Drittländer

Einige Dienstleister haben ihren Sitz in den USA (Render, Supabase, Cloudflare, Google, Apple, Sentry). Soweit dabei Daten in die USA gelangen können, stützt sich die Übermittlung auf die EU-Standardvertragsklauseln oder – bei zertifizierten Unternehmen – auf das EU-US Data Privacy Framework (Art. 45, 46 DSGVO). Der Server läuft bei Render in der Region Frankfurt (EU).

Der Kartenanbieter MapTiler AG hat seinen Sitz in der Schweiz; für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission. Kartenanfragen laufen über den EU-Endpunkt von MapTiler.

Welche Garantie für welchen Dienstleister gilt, steht in der Tabelle unter 05.

07 · Fristen

Speicherdauer

Daten	Speicherdauer
Standortpunkte aus der App (4b)	365 Tage, dann automatische Löschung (Nachweis der Leistung, Abwehr von Haftungsansprüchen)
Standort bei Stops in der Beweiskette (4c)	10 Jahre; die Einträge sind nicht änderbar und nicht löschbar
Einsatzdaten, Fotos und Videos (4e, 4h)	10 Jahre
Arbeitszeit (4h)	6 Jahre
Chat (4f)	3 Jahre
Meldungen und Begründungen (4g)	3 Jahre
Bunkerdaten (4d)	10 Jahre (Teil des Einsatznachweises)
Protokoll und Tagesübersicht (4n), App-Version im Protokoll (4m)	1 Jahr
Login, Gerätetoken, Einstellungen und Rollen in der App, wenn du dein Konto in der App löschst (11)	sofort gelöscht; Arbeitszeit, Einsatznachweise, Standortpunkte und Chat bleiben bis zum Ende ihrer Frist in dieser Tabelle
Kontodaten nach deinem Austritt (4a)	6 Monate, danach werden sie entfernt; Einsatznachweise bleiben ohne Namen (pseudonym)
Gerätetoken für Mitteilungen (4i)	bis zur Abmeldung oder Kontolöschung oder bis es ungültig wird
Daten auf deinem Handy (4o)	bis zum Senden bzw. bis zur Abmeldung oder Kontolöschung
Absturzberichte (4l)	90 Tage (Sentry, EU-Region)
Server-Protokolle mit Routen-Koordinaten (4k)	30 Tage
Datensicherungen der Datenbank	täglich 30 Tage, wöchentlich 1 Jahr

Diese Fristen hat dein Arbeitgeber als Verantwortlicher festgelegt. Gesetzliche Aufbewahrungspflichten gehen vor.

08 · Berechtigungen

Berechtigungen und was passiert, wenn du sie ablehnst

Ob und wie du die App bei der Arbeit nutzt, regelt dein Arbeitsverhältnis. Die einzelnen Zugriffe kannst du jederzeit in den Einstellungen deines Handys erlauben oder entziehen.

Zugriff	Wofür	Wenn du ablehnst
Standort	„Beim Verwenden der App“ (iPhone) bzw. „Nur während der Nutzung der App“ (Android) – nie „Immer“.	Die Schicht läuft weiter, aber deine Disposition sieht keine Live-Position. Stops kannst du nur mit Begründung antreten und abschließen.
Kamera	Fotos und Videos als Einsatznachweis.	Kein Fotonachweis mit der Kamera der App.
Mikrofon	Sprachnachrichten im Chat, Ton bei Videos.	Keine Sprachnachrichten; Videos ohne Ton.
Fotomediathek	Bilder im Chat und Fotos zu Reklamationen auswählen, Bilder auf Wunsch speichern.	Keine Bilder aus der Mediathek; die Kamera funktioniert weiter.
Mitteilungen	Alarme zu Einsätzen, Schichten, Wetter und Chat.	Keine Alarme – neue Einsätze siehst du nur, wenn du die App öffnest.

09 · Art. 22 DSGVO

Keine automatisierten Entscheidungen

Die App trifft keine Entscheidungen, die dir gegenüber rechtliche Wirkung haben oder dich in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO).

Automatisch laufen nur Hilfsfunktionen: z. B. der Abgleich deines Standorts mit dem Objekt beim Stop, die Erkennung von Bunker-Besuchen und das automatische Ende von Schichten nach 24 Stunden.

Die Nutzung der App wird je Benutzer ausgewertet (4n).

10 · Deine Rechte

Deine Rechte

Du hast gegenüber deinem Arbeitgeber als Verantwortlichem das Recht auf:

Auskunft über deine Daten (Art. 15 DSGVO)
Berichtigung unrichtiger Daten (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht entgegensteht
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

Wende dich dafür an deinen Arbeitgeber oder an den App-Support – wir leiten deine Anfrage weiter. Dein App-Konto löschst du selbst in der App (11).

Zuständige Aufsichtsbehörde für die FRG Hansa Dienstleistungsgesellschaft mbH ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI). Anschrift: Ludwig-Erhard-Straße 22, 7. OG, 20459 Hamburg, E-Mail mailbox@datenschutz.hamburg.de.

11 · Löschung

Konto löschen

Dein App-Konto kannst du jederzeit selbst in der App löschen: Optionen › Konto › „Konto löschen“. Die App erklärt vorher, was gelöscht wird und was bleibt. Du bestätigst mit „Konto endgültig löschen“. Liegen noch nicht gesendete Fotos, Standortpunkte oder Nachrichten auf dem Handy, bietet die App an, sie zuerst zu senden; was danach noch nicht gesendet ist, geht verloren.

Bist du außer Dienst gestellt, findest du „Konto löschen“ auch auf der Hinweisseite der App. Hat dein Konto zusätzlich Zugänge für Disposition, Verwaltung oder Kundenportal, löscht es dein Arbeitgeber; die App weist dich darauf hin.

Was beim Löschen sofort passiert:

Dein Login wird sofort gelöscht. Du kannst dich nicht mehr anmelden, auch nicht auf einem anderen Gerät.
Die App meldet dich ab und leert ihre Datenbank und Dateien auf deinem Handy. Danach kannst du sie vom Handy löschen.
Sofort gelöscht werden außerdem: die Anmeldung deines Geräts für Mitteilungen und deine Einstellungen dazu, deine Rollen und freigeschalteten Bereiche in der App, deine Telefonnummer im App-Profil sowie dein Lesestatus und deine Blockierliste im Chat.
Dein Fahrerprofil wird außer Dienst gestellt. Du bekommst keine Schicht-Anfragen mehr.
Dein Arbeitgeber wird über die Löschung informiert, damit er deine Touren neu besetzen kann. Eine laufende Schicht endet dabei nicht automatisch; sprich sie mit deiner Disposition ab.

Was bleibt und warum:

Bei deinem Arbeitgeber bleiben: Arbeitszeiten, Einsatznachweise mit Fotos, Videos und dem Standort bei Beginn und Abschluss eines Stops, die Standortpunkte aus deinen Schichten, deine Chatnachrichten und deine Personalakte. In diesen Daten steht weiter dein Name.
Der Grund: Für Arbeitszeit und Abrechnung gelten gesetzliche Aufbewahrungspflichten, und dein Arbeitgeber muss seine Leistung gegenüber Auftraggebern nachweisen und Haftungsansprüche abwehren können (Art. 17 Abs. 3 lit. b und e DSGVO). Gelöscht wird nach Ablauf der Fristen (07). Fragen zu diesen Daten beantwortet dein Arbeitgeber.
Willst du die App später wieder nutzen, lädt dich dein Arbeitgeber neu ein.

Ohne App

Hast du die App nicht mehr oder kommst nicht mehr hinein, stell die Anfrage bei deiner Disposition oder über den App-Support. Du bekommst spätestens nach einem Monat eine Antwort (Art. 12 Abs. 3 DSGVO).

Per E-Mail: hallo@winterwacht.com mit dem Betreff „Löschanfrage Winterwacht-Fahrer-App“. Wir leiten die Anfrage an deinen Arbeitgeber weiter.

12 · Sicherheit

Sicherheit

Verschlüsselte Übertragung (TLS) zwischen App und Server.
Verschlüsselte Datenbank auf dem Handy mit gerätespezifischem Schlüssel, ausgeschlossen vom Geräte-Backup.
Strikte Trennung der Betriebe in der Datenbank (Mandantentrennung auf Zeilenebene) und Zugriff nur nach Rolle und freigeschalteten Bereichen.
Einsatznachweise in einer Prüfsummen-Kette, die nachträgliche Änderungen erkennbar macht.
Uploads von Fotos und Videos über Links, die nach 15 Minuten ablaufen.

13 · Stand

Änderungen, Stand und Version

Ändert sich die App oder die Verarbeitung, passen wir diese Hinweise an. Die aktuelle Fassung steht immer unter dieser Adresse und ist aus der App unter Optionen › Rechtliches erreichbar.

Version 1.1 (06.10.2026): Konto in der App löschen (11), Speicherdauer dazu ergänzt (07).

Stand: 06.10.2026 · Version: 1.1

Fragen zur App: hallo@winterwacht.com · App-Support

14 · English

Privacy summary (English)

The Winterwacht driver app is used by employees of winter-service companies. Accounts are created by the employer, who is the data controller; Accelery GmbH (Hamburg, Germany) provides the app and processes data on the employer's behalf.

While a shift is running, the app continuously transmits precise location (about every 20 seconds or 25 metres) to the dispatcher, also when the app runs in the background or the screen is locked. It is used for the dispatcher's live map, gritting-depot detection and arrival-time estimates. Continuous transmission stops when the shift ends or the user signs out. Outside a shift, location is not transmitted continuously; if the user uses a feature that needs it (e.g. the route to the next stop on the map or driving mode), it is transmitted only for that feature while it is in use. The app never requests “Always” location access; on Android a persistent notification is shown.

Single positions at the start and end of each job, photos, videos, job data and working time are stored as proof of service; customers see the driver's name, times, distance to the property and photos, but never the live location.

The app also processes chat messages and voice notes (with reporting and blocking; the dispatcher reviews reports, can hide messages for everyone and can take a driver off duty), push tokens, crash reports and the app version. The technical log of write requests contains no location coordinates and no chat texts; older entries have been redacted with the release.

Recipients include our hosting and database providers (Render in Frankfurt, Supabase, Cloudflare R2), Google Firebase Cloud Messaging and Apple Push Notification Service, Google Navigation SDK (in-app navigation, with Google's own terms), Google Routes API (coordinates only), openrouteservice and the public OSRM routing server run by FOSSGIS e.V. in Germany (coordinates only, no names; the start point of a route can be the driver's home coordinates), MapTiler AG in Switzerland for map tiles and the satellite view of a property (IP address, app identifier and requested map area, delivered via Cloudflare; map data © OpenStreetMap contributors) and Sentry with EU data storage (no names or e-mail addresses).

There is no advertising and no tracking across apps or websites.

Location points from the app are deleted automatically after 365 days. They are kept that long as proof of the winter service and to defend against liability claims (e.g. complaints or slip-and-fall accidents on ice), which are often raised months later. Retention for other data is set by the employer.

Users can delete their account in the app at any time (Options › Account › Delete account). The login is deleted immediately, together with the push token, notification settings, app roles and the phone number in the app profile; the app also clears its data on the device, and the employer is notified. Working time, proof-of-service records (photos, videos, positions at stops), shift location points, chat messages and the personnel file stay with the employer until their retention periods end, because of legal retention duties and to defend legal claims.

Users without the app can request deletion, and all users can request access or correction, through their employer or the support page; such requests are answered within one month.

Support and deletion requests: www.winterwacht.com/app-support/.

This summary is a convenience translation; the German version prevails.