Datenschutzerklärung ARC

Veröffentlichte Fassung vom 2026-10-24 UTC.

Diese Erklärung beschreibt die Verarbeitung personenbezogener Daten im Alltrucks Reminder Center (ARC). ARC dient der organisatorischen Verwaltung und Erinnerung an Fristen, Qualifikationen, Schulungen und sonstige partnerbezogene Termine. ARC ist über das Internet erreichbar. Ohne Anmeldung sind keine Partner-, Mitarbeiter- oder Fristdaten sichtbar.

Verantwortlicher und Datenschutzkontakt

Verantwortlicher für den Betrieb von ARC:

Alltrucks GmbH & Co. KG
Perchtinger Straße 6
81379 München
Deutschland
Telefon: +49 (0)89 4622466-0
Datenschutzkontakt: data.protection@alltrucks.com

Alltrucks ist Verantwortlicher für ARC. ARC ist eine Dienstleistung von Alltrucks und wird nach Fertigstellung in das Alltrucks-Angebot eingeordnet. Soweit ein Werkstattvertrag besteht, ist Rechtsgrundlage gegenüber dem Vertragspartner Art. 6 Abs. 1 lit. b DSGVO. Beschäftigte einer Partnerwerkstatt sind nicht schon deshalb selbst Vertragspartner von Alltrucks. Für ihre Daten gilt Art. 6 Abs. 1 lit. f DSGVO. Die Partnerwerkstatt stellt sicher, dass die Weitergabe der Daten ihrer Beschäftigten an Alltrucks geregelt ist.

Datenschutzbeauftragter

Datenschutzbeauftragter: Peter Christian Felst
Mazars GmbH & Co. KG WPG/StBG, Domstraße 15, 20095 Hamburg, data.protection@alltrucks.com

Websiteaufruf und Serverprotokolle

Beim Aufruf der Seiten verarbeitet der Webserver die dafür üblichen Verbindungsdaten, insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Statuscode sowie Browser- und Betriebssystemangaben, soweit der Server sie mitschreibt. Zweck ist die Auslieferung der Seite, die Sicherheit und die Fehleranalyse. Ob der Hoster darüber hinaus eigene Protokolle speichert und wie lange, ist hier nicht belegt.

Registrierung, lokaler Login und Passwortzurücksetzung

Bei der lokalen Registrierung werden Name, E-Mail-Adresse, Passwort, Partnernummer und Firmenname erhoben. Rolle und Länderkennung werden gespeichert, soweit sie aus der Freigabe oder der Zuordnung stammen. Das Passwort wird nicht im Klartext gespeichert, sondern als Hash mit der PHP-Funktion password_hash (PASSWORD_DEFAULT). Zur Bestätigung der E-Mail-Adresse kann ein Nachweis gespeichert werden. Wenn die dafür vorgesehene Spalte vorhanden ist, wird nur ein Hash des Links gespeichert. Die Frist im Code beträgt 48 Stunden.

Der lokale Login prüft E-Mail-Adresse und Passwort. Eine Anmeldung in zwei Schritten per E-Mail-Code ist möglich, wenn sie für das Konto eingeschaltet ist. Für die Zurücksetzung des Passworts wird ein zeitlich begrenzter Link erzeugt. Die Frist im Code beträgt zwei Stunden. Wenn die dafür vorgesehene Spalte vorhanden ist, wird nur ein Hash gespeichert.

Single Sign-on

Zusätzlich zur lokalen Anmeldung kann ARC eine Anmeldung über das Alltrucks Partnerportal per OpenID Connect anbieten, wenn sie in der Serverkonfiguration eingeschaltet ist. Aus dem Token werden die E-Mail-Adresse (oder, falls konfiguriert, der Anspruch preferred_username), der Name und die technische Kennung des Identitätsdienstes verwendet: Aussteller (issuer) und Subjekt (sub). Diese beiden Werte können am Benutzerkonto gespeichert werden. Das Passwort des Partnerportals wird nicht übernommen. Wird dabei ein neues ARC-Konto angelegt, erhält es einen zufälligen lokalen Passwort-Hash, nicht das Portalpasswort. Ob diese Anmeldung auf einem Server eingeschaltet ist, ergibt sich aus dessen Konfiguration, nicht aus dieser Erklärung.

Konto, Rolle und Partnerzuordnung

Am Konto stehen Name, E-Mail-Adresse, Rolle, Partnerzuordnung, Status, Länderkennung soweit vorhanden, Zeitpunkt der letzten Anmeldung und die genannten SSO-Merkmale. Rollen im ARC sind Mitarbeiter (partner), Werkstatt-Admin, Alltrucks-Admin, Systemberater und Superadmin. Die Rolle begrenzt, welche Partner- und Fristendaten eine Person sehen und bearbeiten kann. Eine Registrierung oder die bloße Möglichkeit, ARC zu nutzen, gibt keinen Zugriff auf die Daten anderer Partnerbetriebe.

Fristen, Qualifikationen, Nachweise und Erinnerungen

ARC speichert die von berechtigten Nutzern eingegebenen Termine, insbesondere Titel, Art, Beschreibung, Datum, Status, Erinnerungsabstände, Kategorie, Partnerzuordnung und Empfänger. Dazu können Qualifikationen, Schulungen und andere partnerbezogene Termine gehören. Nachweise können als PDF hochgeladen werden, höchstens 5 MB, nur mit PDF-Inhalt. Die Datei liegt im Speicherbereich des jeweiligen Partners.

Erinnerungen werden an die hinterlegten Empfänger per E-Mail gesendet. Empfänger können angemeldete Nutzer oder nur eine E-Mail-Adresse ohne ARC-Konto sein. Externe Empfänger erhalten keinen Zugang zu Partnerdaten. Vorlagen können Fristen vorschlagen. Sie ersetzen keine Prüfung durch den Partnerbetrieb.

E-Mail über Microsoft

Der Versand läuft über das Postfach, das in der Serverkonfiguration als Absender hinterlegt ist. Nach der Betriebsdokumentation ist das das Helpdesk-Postfach alltrucks.helpdesk@alltrucks.com. Technisch ist Microsoft Graph (Microsoft Entra ID, Berechtigung Mail.Send) vorgesehen. Alternativ kann authentifiziertes SMTP über smtp.office365.com mit TLS verwendet werden, wenn der Mandant das zulässt. Diese E-Mails gehen ins Ausland. Der konkrete Staat und die Microsoft-Vertragsgesellschaft sind nicht benannt. Eine ausschließlich europäische Verarbeitung liegt damit nicht vor.

Support und Administration

Superadmins und, im Rahmen ihrer Rolle, weitere Alltrucks-Rollen können Konten, Partner, Vorlagen, Importe und Protokolle einsehen und pflegen. Das ist auf die vorhandene Berechtigung begrenzt. Diese Erklärung erweitert keine Rechte. Supportanfragen können über die genannte Helpdesk-Adresse laufen und dann im selben Mailsystem liegen.

Zwecke und Rechtsgrundlagen

Die Verarbeitung richtet sich nach dem jeweiligen Vorgang:

• Auslieferung der Seite, Sitzung, Sicherheit und Abwehr von Missbrauch: Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse ist der sichere Betrieb von ARC.
• Lokales Konto, Anmeldung, Passwortzurücksetzung und SSO-Zuordnung: Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse ist, den Zugang auf berechtigte Personen des jeweiligen Betriebs zu begrenzen. Art. 6 Abs. 1 lit. b DSGVO kommt für Personen in Betracht, die selbst einen Vertrag mit Alltrucks über diese Nutzung haben. Beschäftigte einer Partnerwerkstatt sind das nicht automatisch. Ob für interne Alltrucks-Konten der Arbeitsvertrag die Grundlage ist, ist intern zu bestätigen und wird hier nicht unterstellt.
• Fristen, Qualifikationen, Schulungen, Nachweise und Erinnerungen: Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse von Alltrucks und des jeweiligen Partnerbetriebs ist die organisatorische Terminverwaltung. Gesetzliche Prüfpflichten werden dadurch nicht erfüllt und nicht ersetzt.
• Administration, Support und Audit-Protokolle: Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse ist die Nachvollziehbarkeit und die Störungssuche.
• Eine Einwilligung wird für diesen Betrieb derzeit nicht eingeholt. Es gibt kein optionales Tracking.

Pflichtangaben und Folgen der Nichtbereitstellung

Ohne E-Mail-Adresse und ohne bestandene Anmeldung gibt es keinen Zugang zu Partner-, Mitarbeiter- oder Fristdaten. Ohne die vom Betrieb eingetragenen Termine kann ARC dazu nichts erinnern. Die gesetzlichen oder vertraglichen Pflichten des Betriebs bleiben davon unberührt. SSO setzt voraus, dass der Identitätsdienst die genannten Merkmale liefert und zum Konto passen.

Empfänger und Auftragsverarbeiter

Empfänger sind die Personen, die eine Erinnerung erhalten sollen, sowie Alltrucks-Rollen im Rahmen ihrer bestehenden Rechte. Daten eines Partnerbetriebs werden nicht an alle Netzwerkpartner weitergegeben, nur weil diese registriert sind oder ARC nutzen könnten.

Das Hosting erfolgt bei BRANDNEW MEDIA. Die Firma lautet:

BRANDNEW MEDIA Digital Solutions GmbH
Am Georgenstein 14
82065 Baierbrunn
Amtsgericht München, HRB 308988
contact@brandnew.media

Das ist die Firmenanschrift des Dienstleisters, kein Serverstandort. Geschäftsführer: Nikolai Brinckmann.

Für den E-Mail-Versand wird Microsoft eingesetzt, wie im Abschnitt zur E-Mail beschrieben. Der Auftragsverarbeitungsvertrag und die Vertragsgesellschaft sind aus dem Quellcode nicht ersichtlich.

Internationale Zugriffe und Übermittlungen

Als Nutzungskontext wurden EU-Länder, Norwegen, die Schweiz, das Vereinigte Königreich und Andorra genannt. Der Quellcode enthält keine feste Liste, welche Länder ARC tatsächlich nutzen. Am Konto kann eine Länderkennung stehen. Diese Erklärung wurde nicht aus einer Produktivdatenbank befüllt.

Zu unterscheiden ist: eine Person ruft eigene Daten ab; Beschäftigte desselben Verantwortlichen arbeiten mit denselben Daten; ein anderer Partnerbetrieb hat ein eigenes Konto und sieht nur die ihm zugeordneten Daten; eine andere Gesellschaft oder ein externer Dienstleister erhält Daten nur, soweit das in dieser Erklärung genannt ist. Ein Aufruf aus dem Ausland durch den berechtigten Nutzer ist kein Zugriff aller Netzwerkpartner.

Zugriffe aus dem EWR und Übermittlungen in Drittländer sind verschiedene Vorgänge. Der E-Mail-Versand über Microsoft geht ins Ausland. Ein Serverstandort des Hosters belegt nicht, dass jede weitere Stelle nur in der EU verarbeitet. Für die Weitergabe im Alltrucks-Werkstattnetz nennt Alltrucks einen Angemessenheitsbeschluss oder geeignete Garantien, ohne einzelne Staaten aufzuzählen. Norwegen gehört zum EWR.

Aufbewahrung

Kontodaten, Fristen, Empfänger und PDF-Nachweise bleiben gespeichert, bis sie widerrufen oder gelöscht werden. Die Kündigung des Partnervertrags löscht das ARC-Konto nicht von selbst. Der Zugang über Single Sign-on endet, weil der Zugang zum Partnerportal dann nicht mehr besteht. Die Anmeldung mit E-Mail-Adresse und Passwort wird durch Deaktivierung des Kontos gesperrt. Ein Admin löscht danach das Konto und die dazu gespeicherten Daten. Diese Löschung erfolgt innerhalb von 30 Tagen nach der Vertragskündigung.

Verbindungsdaten beim Aufruf der Alltrucks-Website, des Partnerportals und der Fleet-Plattform speichert Alltrucks nach seiner Datenschutzerklärung für 7 Tage. Audit-Protokolle in ARC können durch den Erinnerungslauf gelöscht werden, wenn sie älter sind als die in der Serverkonfiguration gesetzte Frist. Ist dort nichts gesetzt, verwendet der Quellcode 365 Tage.

Der Link zur E-Mail-Bestätigung gilt im Code 48 Stunden, der Link zur Passwortzurücksetzung zwei Stunden. Die Sitzung endet mit dem Schließen des Browsers, soweit der Browser das Sitzungscookie verwirft.

Cookies, lokaler Speicher und externe Ressourcen

ARC setzt ein Sitzungscookie. Es ist httpOnly, SameSite=Lax und bei HTTPS mit dem Kennzeichen Secure versehen. Es ist für Anmeldung und Sicherheit erforderlich. Dafür wird keine Einwilligung eingeholt. Rechtsgrundlage für den Zugriff auf diesem Endgerät ist § 25 Abs. 2 Nr. 2 TDDDG.

Im lokalen Speicher des Browsers liegen drei eigene Einträge: arc_cookie_consent_v1 merkt sich, dass der Hinweis zu diesen notwendigen Cookies geschlossen wurde; arc_desktop_sidebar_collapsed und arc_nav_menu_hint_v1 speichern die Darstellung der Navigation. arcScrollToOp liegt in der Sitzungsspeicherung und nur für den aktuellen Tab. Das sind keine Reichweitenmessungen. Optionale Analyse-, Marketing- oder Social-Media-Dienste sind nicht eingebunden. Es werden keine Schriften oder Skripte von Drittanbietern geladen. Einen Einwilligungsdialog für solche Dienste gibt es deshalb nicht. Der vorhandene Hinweis kann erneut geöffnet werden. Er schaltet keine optionalen Dienste.

Rechte

Soweit die Voraussetzungen jeweils vorliegen, bestehen die Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Automatisierte Entscheidungen einschließlich Profiling nach Art. 22 DSGVO finden nicht statt. Anfragen an data.protection@alltrucks.com.

Eine Einwilligung wird für die beschriebenen Vorgänge nicht verwendet. Ein Widerruf nach Art. 7 Abs. 3 DSGVO ist dafür nicht einschlägig. Wird später eine Einwilligung eingeholt, kann sie mit Wirkung für die Zukunft widerrufen werden.

Beschwerde

Zuständige Aufsichtsbehörde für den nichtöffentlichen Verantwortlichen in Bayern:

Bayerisches Landesamt für Datenschutzaufsicht
Promenade 27
91522 Ansbach
Deutschland