Datenschutzhinweis

1. Verantwortlicher

Forecourt Media GmbH, Mühlenkamp 31, 22303 Hamburg, Deutschland. Amtsgericht Hamburg, HRB 201873. Vertreten durch die Geschäftsführer Patrick Zimmermann und Philipp Pickel. E-Mail: info@forecourt.media.

Wir sind nicht verpflichtet, einen Datenschutzbeauftragten zu benennen. Fragen zum Datenschutz beantworten wir unter info@forecourt.media.

2. Ihr Konto (alle Nutzergruppen)

Konten entstehen nur auf Einladung. Wenn Sie eine Einladung annehmen, verarbeiten wir Ihren Namen, Ihre geschäftliche E-Mail-Adresse, Ihr Passwort (nur als nicht umkehrbarer Hashwert), die Daten Ihres zweiten Anmeldefaktors (Authenticator-App, Wiederherstellungs-Codes, optional Passkey), Ihre Organisation und Rolle sowie Ihre Sitzungen (IP-Adresse, Browserkennung, Zeitpunkte; eine Sitzung endet spätestens nach 8 Stunden).

Zweck: Zugang zur Plattform und deren Absicherung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst unser Vertragspartner sind; im Übrigen Art. 6 Abs. 1 lit. f DSGVO (unser Interesse und das Ihres Unternehmens an der Zusammenarbeit über die Plattform und an IT-Sicherheit).

3. Partner (Partner-Portal)

Für Personen, die für einen Standortpartner (Tankstellenbetreiber, Mineralölgesellschaft, Pächter) handeln, verarbeiten wir zusätzlich:

• Verträge und Bestätigungen: Nehmen Sie einen Vertrag an oder bestätigen Sie Standorte, speichern wir Ihren Namen, Ihre Funktion, Ihre Vertretungsangabe, den Zeitpunkt, die angenommene Fassung und die Browserkennung als Nachweis (Art. 6 Abs. 1 lit. b, c und f DSGVO).
• Standortlisten: Stationsdaten und die Ansprechpartner vor Ort (Name, Telefonnummer, E-Mail-Adresse), die Ihr Unternehmen hochlädt, für die Planung und die Terminabstimmung von Begehung und Montage (Art. 6 Abs. 1 lit. f DSGVO).
• Unterlagen: Baupläne und Fotos der Standorte. In Plänen können Namen stehen, etwa im Schriftfeld. Hochgeladene Dateien prüfen wir automatisch auf Schadsoftware und entfernen eingebettete Metadaten (zum Beispiel GPS-Daten aus Fotos). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Planung und Durchführung des Vertrags mit Ihrem Unternehmen).
• Abrechnungen: Erlösanteile und Belege Ihres Unternehmens (Art. 6 Abs. 1 lit. b und c DSGVO).

4. Servicepartner (Service-App)

Für Technikerinnen, Techniker und die Einsatzleitung unseres Servicepartners verarbeiten wir Name, E-Mail-Adresse und Rolle, die Aufträge und Montageschritte mit Zeitpunkt und bearbeitender Person, Prüfblätter, Notizen, Rückfragen, Tickets sowie Montagefotos (eingebettete Metadaten wie GPS-Daten entfernen wir automatisch).

Zweck: Planung, Durchführung und Nachweis der Montage und Wartung der Bildschirme, Abnahme durch den Partner. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem Servicepartner) und Art. 6 Abs. 1 lit. f DSGVO (nachvollziehbarer Nachweis gegenüber Partnern und Werbekunden). Die Ansprechpartner vor Ort eines Standorts sieht der Servicepartner erst, wenn er einen Auftrag für diesen Standort erhalten hat.

5. Werbekunden (Ad Manager)

Für Personen, die für einen Werbekunden oder eine Agentur handeln, verarbeiten wir zusätzlich Kampagnen und Buchungen, hochgeladene Motive, Freigaben, Rechnungs- und Zahlungsdaten des Unternehmens sowie Support-Anfragen.

Zweck: Buchung, Ausspielung, Nachweis und Abrechnung der Werbung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Aufbewahrung). Setzen wir für Zahlungen einen Zahlungsdienstleister ein, nennen wir ihn in diesem Hinweis, bevor er Daten erhält.

6. KI-gestützte Prüfung von Bauunterlagen und Motiven

Wir lassen Bauunterlagen von einem KI-Modell (Claude) der Anthropic Ireland, Limited, Dublin, Irland, auswerten, um Vorschläge für die Platzierung der Bildschirme und ein erstes 3D-Modell der Station zu erhalten. Anthropic handelt als unser Auftragsverarbeiter (Art. 28 DSGVO); die Verarbeitung findet in den USA statt (Anthropic, PBC). Für diese Übermittlung haben wir mit Anthropic die EU-Standardvertragsklauseln vereinbart (Art. 46 Abs. 2 lit. c DSGVO) und die Risiken der Übermittlung vorab bewertet. Anthropic verwendet die Inhalte nicht zum Training von KI-Modellen und löscht sie spätestens nach 30 Tagen; Inhalte, die als Verstoß gegen die Nutzungsrichtlinien von Anthropic markiert werden, kann Anthropic bis zu zwei Jahre aufbewahren.

Wir geben keine Dateinamen, Ansprechpartner oder Anschriften mit. Die Seitenbilder können aber Namen enthalten, etwa im Schriftfeld; diese dürfen Sie vor dem Hochladen schwärzen. Namen, E-Mail-Adressen und Telefonnummern entfernen wir aus den Ergebnissen.

Hochgeladene Werbemotive prüfen wir vor der Freigabe zusätzlich mit demselben KI-Modell gegen unsere Werberichtlinien. Dafür senden wir bis zu drei verkleinerte Standbilder des Motivs ohne Dateinamen, Metadaten und Kundennamen an Anthropic (USA, wie oben). Die Standbilder können Personen zeigen, die auf dem Motiv abgebildet sind, oder Angaben wie Telefonnummern enthalten.

Die KI macht nur Vorschläge; jede Entscheidung trifft ein Mensch bei Forecourt. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (schnelle, einheitliche und nachvollziehbare Planung und Prüfung).

7. E-Mails

Einladungen und Benachrichtigungen versenden wir über den E-Mail-Dienst Resend der Plus Five Five, Inc., San Francisco, USA („Resend“). Der Versand läuft über Server in der EU (Irland); Kontodaten und Versandprotokolle verarbeitet Resend auch in den USA und hält sie bis zu 30 Tage zur Fehlersuche vor. Öffnungs- und Klickverfolgung ist ausgeschaltet. Antworten an unsere Adressen verarbeiten wir mit Google Workspace der Google Ireland Limited, Dublin. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, Sie über Vorgänge in der Plattform zu informieren und Ihre Nachrichten zu beantworten).

8. Karten

Karten laden wir erst, wenn Sie „Karte anzeigen“ wählen. Dann erhält Mapbox, Inc. (USA) Ihre IP-Adresse und Browserdaten, um die Kartenkacheln auszuliefern. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO und § 25 Abs. 2 Nr. 2 TDDDG (unser Interesse, Ihnen die Standorte auf Ihren Wunsch auf einer Karte zu zeigen).

9. Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) ein:

• Vercel Inc., USA: Betrieb der Anwendung (Rechenzentrum Frankfurt am Main; Betriebs- und Protokolldaten auch USA)
• Neon, LLC, USA: Datenbank (Rechenzentrum Frankfurt am Main)
• Hetzner Online GmbH, Gunzenhausen: Dateiablage, Dateiverarbeitung und Steuerung der KI-Prüfung (Rechenzentren in Deutschland)
• Anthropic Ireland, Limited, Irland, mit Anthropic, PBC, USA: KI-Prüfung von Bauunterlagen und Motiven (Nr. 6; Verarbeitung in den USA)
• Plus Five Five, Inc. („Resend“), USA: E-Mail-Versand
• Google Ireland Limited, Irland: E-Mail-Postfächer (Google Workspace)
• Mapbox, Inc., USA: Karten (nur nach Klick)

Soweit Daten in die USA gelangen können, stützen wir die Übermittlung auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und, soweit der Anbieter nach dem EU-U.S. Data Privacy Framework zertifiziert ist, zusätzlich auf den Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage unter info@forecourt.media.

Innerhalb des Ablaufs sehen außerdem die beteiligten Unternehmen die Daten, die sie für ihre Aufgabe brauchen: Ihr Unternehmen und, ab einem Auftrag, unser Servicepartner.

10. Speicherdauer

• Konto, Rolle und Einstellungen: solange das Konto besteht. Sitzungen enden spätestens nach 8 Stunden und werden danach entfernt.
• Unterlagen und Pläne nicht ausgewählter Stationen: Löschung sechs Monate nach Abschluss der Netzauswahl; die Ansprechpartner vor Ort dieser Stationen löschen wir zusammen mit den Unterlagen.
• Als „für später“ vorgemerkte Stationen: solange der Partnervertrag läuft, höchstens drei Jahre ohne Aktivität.
• Unterlagen und Montagefotos ausgewählter Stationen: Laufzeit des Partnervertrags zuzüglich drei Jahre (regelmäßige Verjährungsfrist, § 195 BGB); die Ansprechpartner vor Ort dieser Stationen bis zum Ende des Partnervertrags.
• Vertragsannahmen, Bestätigungen und geschäftliche Korrespondenz: sechs Jahre (Handels- und Geschäftsbriefe, § 257 HGB, § 147 AO).
• Rechnungen und Buchungsbelege: acht Jahre; Handelsbücher und Jahresabschlüsse: zehn Jahre (§ 147 AO, § 257 HGB, GoBD).
• Bei Anthropic (KI-Prüfung): höchstens 30 Tage, als Verstoß markierte Inhalte bis zu zwei Jahre (Nr. 6).
• E-Mail-Versandprotokolle beim Versanddienst: bis zu 30 Tage.

Anschriften und Merkmale der Stationen sind Angaben zu Betriebsstätten, keine personenbezogenen Daten. Die handels- und steuerrechtlichen Fristen beginnen mit dem Schluss des Kalenderjahres, in dem das Dokument entstanden ist. Unser Änderungsprotokoll enthält nur Kennungen, keine Namen oder E-Mail-Adressen; wir führen es zur Nachvollziehbarkeit von Änderungen und zur Aufklärung von Missbrauch (Art. 6 Abs. 1 lit. c und f DSGVO) und bewahren es so lange auf wie die Vorgänge, auf die es sich bezieht.

11. Herkunft der Daten (Art. 14 DSGVO)

Sind Sie Ansprechpartner vor Ort eines Standorts oder stehen Sie in einer Bauunterlage, haben wir Ihre Daten von dem Partnerunternehmen erhalten, das den Standort betreibt. Haben Sie ein Konto, ohne die Einladung selbst angefordert zu haben, stammen Name und E-Mail-Adresse von der Person, die Sie eingeladen hat.

12. Ihre Rechte

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine E-Mail an info@forecourt.media genügt. Auf eine Einwilligung stützen wir in der Plattform keine Verarbeitung; ein Widerruf ist daher nicht vorgesehen.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Beschwerderecht (Art. 77 DSGVO): Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg.

13. Pflicht zur Bereitstellung

Ohne Name, E-Mail-Adresse, Passwort und zweiten Faktor können wir kein Konto einrichten. Weitere Angaben sind freiwillig, aber für die jeweilige Aufgabe nötig, etwa für die Planung eines Standorts.

14. Änderungen

Wir passen diesen Hinweis an, wenn sich die Plattform, die eingesetzten Dienste oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.