Zuletzt aktualisiert: 2026-10-10
Die aktuelle Fassung dieser Erklärung ist stets unter https://cmr-jet.eu/de/privacy abrufbar.
Ten Square BV, mit Sitz in Pater Asteerstraat 56, 3970 Leopoldsburg, Belgien, Unternehmensnummer (KBO) / USt-IdNr. BE 0728.686.863 („Ten Square“, „wir”), betreibt die Software-as-a-Service-Plattform CMR-JET (der „Dienst“).
Datenschutzkontakt: privacy@cmr-jet.eu.
Ten Square verarbeitet personenbezogene Daten in zwei getrennten Rollen nach der Verordnung (EU) 2016/679 (die „DSGVO“):
a. Als Verantwortlicher — für die personenbezogenen Daten, die wir selbst benötigen, um den Dienst bereitzustellen, abzurechnen, zu unterstützen und abzusichern. Diese Verarbeitungstätigkeiten sind in §3 aufgeführt; um sie geht es in dieser Erklärung.
b. Als Auftragsverarbeiter im Auftrag des Kunden — für alles, was der Kunde in seinen eigenen Arbeitsbereich eingibt: den Inhalt von CMR-Frachtbriefen und die zugehörigen betrieblichen Daten, die personenbezogene Daten Dritter enthalten können (Fahrernamen, Unterschriften, Zustellfotos, Kontaktdaten von Empfängern, ein Zustellort mit reduzierter Genauigkeit, sofern die Standorterfassung genutzt wird). Für diese Daten ist das Transportunternehmen, das den Dienst nutzt, der Verantwortliche; es gilt der Auftragsverarbeitungsvertrag (AVV/DPA) zwischen Ten Square und diesem Kunden.
Ihr Name und mitunter Ihre Unterschrift oder ein Zustellfoto können auf einem Frachtbrief in diesem Dienst erscheinen. In diesem Fall entscheidet das Transportunternehmen, das den Dienst nutzt, was erfasst wird und warum. Es ist der Verantwortliche; Ten Square hostet und verarbeitet die Daten ausschließlich nach dessen Weisung.
Wenn Sie Ihre Daten berichtigen oder löschen lassen möchten, wenden Sie sich bitte an dieses Transportunternehmen. Schreiben Sie stattdessen uns, leiten wir Ihre Anfrage unverzüglich dorthin weiter und teilen Ihnen mit, an wen Sie sich wenden können. Wir bearbeiten eine solche Anfrage nicht selbst, weil wir das nicht dürfen: Wir dürfen nur auf dokumentierte Weisung des Verantwortlichen handeln.
Beachten Sie, dass ein Frachtbrief auch ein Buchhaltungsbeleg ist. Das Transportunternehmen kann gesetzlich verpflichtet sein, ihn aufzubewahren (in Belgien bis zu zehn Jahre), und darf die Löschung des Dokuments selbst dann verweigern. Das ist dessen Entscheidung, nicht unsere.
| # | Tätigkeit | Was und warum | Rechtsgrundlage (Art. 6 DSGVO) | Speicherdauer |
|---|---|---|---|---|
| 1 | Kontoverwaltung | Name, geschäftliche E-Mail-Adresse, Organisation, Rolle, Authentifizierungskennungen, Sitzungsmetadaten, IP-Adresse und Audit-Log-Einträge von Kontoinhabern und berechtigten Nutzern — um den Arbeitsbereich anzulegen, den vertragschließenden Kunden zu identifizieren und die Anmeldung zu ermöglichen. Ist für einen Arbeitsbereich die Zwei-Schritt-Verifizierung aktiviert, gehören dazu auch die Einmalcodes, die wir bei der Anmeldung per E-Mail senden (nur als kryptografischer Hash gespeichert, 10 Minuten gültig, einmal verwendbar, mit dem Netzanteil der IP-Adresse, von der aus der Code verwendet wurde, gekürzt auf /24 bei IPv4 oder /48 bei IPv6), sowie eine Aufzeichnung der Geräte, die ein Nutzer für 30 Tage als vertrauenswürdig markiert hat (nur als Hash des Gerätetokens gespeichert, mit Ausstellungs-, Ablauf- und Zuletzt-gesehen-Zeitstempel). Da die Registrierung eine USt-IdNr. erfordert, ist auch diese Nummer ein Kontodatum; bei einem Einzelunternehmer ist sie ein personenbezogenes Datum. | Art. 6 Abs. 1 lit. b — Vertragserfüllung | Für die Dauer des Abonnements oder der Testphase. Nach einem endgültigen Ende (Kündigung oder Ablauf der Testphase ohne Umwandlung) bleibt der Arbeitsbereich 90 Tage exportierbar; danach kommen die Daten für unseren bewussten, protokollierten Löschprozess in Betracht. Einmalige Anmeldecodes laufen 10 Minuten nach Ausstellung ab, Aufzeichnungen vertrauenswürdiger Geräte nach 30 Tagen; abgelaufene Einträge werden durch eine tägliche Bereinigung entfernt. |
| 2 | Abrechnung, Zahlung und USt-Prüfung | Name, Rechnungsadresse, USt-IdNr., das VIES-Prüfergebnis mit seiner Abfragereferenz, Zahlungsmittel-Token (Kartennummern werden von unserem Zahlungsdienstleister gehalten, nicht von uns) und Rechnungshistorie — um Entgelte einzuziehen, USt- und Buchführungsrecht einzuhalten und die Umkehr der Steuerschuldnerschaft nachzuweisen. | Art. 6 Abs. 1 lit. b — Vertrag; Art. 6 Abs. 1 lit. c — belgische Buchführungs- und USt-Pflichten | Rechnungen und das zugehörige VIES-Prüfergebnis: 10 Jahre nach Ausstellung (belgisches Buchführungsrecht). Zahlungstoken: Löschung bei unserem Zahlungsdienstleister, wenn der Arbeitsbereich gelöscht wird (§8). |
| 3 | Direktmarketing (Opt-in-E-Mail) | E-Mail-Adresse, Ihre Opt-in-Entscheidung mit Datum und der Version des Einwilligungstextes sowie Sprachpräferenz — um Produktankündigungen und unseren Newsletter zu senden. | Art. 6 Abs. 1 lit. a — Einwilligung bei Interessenten; Art. 6 Abs. 1 lit. f — berechtigtes Interesse an der Bewerbung ähnlicher eigener Dienste bei Bestandskunden (Soft-Opt-in nach den ePrivacy-Vorschriften). Jede Nachricht enthält einen Abmeldelink. | Bis Sie Ihre Einwilligung widerrufen oder der Verarbeitung widersprechen. Ein Sperreintrag (Ihre Adresse, markiert als „nicht anschreiben”) wird aufbewahrt, um Ihren Widerruf oder Widerspruch durchzusetzen und nachzuweisen. |
| 4 | Kundensupport | E-Mail-Adresse, Name, Nachrichteninhalt und von Ihnen gesendete Bildschirmfotos oder Protokolle sowie der technische Kontext, den das Supportformular automatisch hinzufügt (die Seite, auf der Sie sich befanden, Ihr Browser, die Bildschirmgröße, die Anwendungsversion und eine technische Trace-Referenz) — um Fragen zu beantworten und Probleme zu diagnostizieren. | Art. 6 Abs. 1 lit. b — Vertrag; Art. 6 Abs. 1 lit. f — berechtigtes Interesse am Betrieb einer Supportfunktion | 24 Monate nach Schließung des Tickets, danach Löschung oder Anonymisierung. |
| 5 | Sicherheitstelemetrie und Audit-Logs | Authentifizierungs- und Zugriffsereignisse, IP-Adresse, User-Agent, Anfragemetadaten und Anwendungstelemetrie — um Sicherheitsvorfälle zu erkennen und zu untersuchen und unsere Sicherheitspflichten zu erfüllen. Dazu gehören auch IP-Adresse und Zugriffsereignisse von Gästen, die einen geteilten Dokumentlink öffnen. | Art. 6 Abs. 1 lit. c — Sicherheitspflicht nach Art. 32 DSGVO; Art. 6 Abs. 1 lit. f — berechtigtes Interesse an der Sicherheit des Dienstes | Anwendungs- und API-Protokolle: 90 Tage; Gastzugriffsaufzeichnungen: 90 Tage nach Ablauf des Gastlinks; länger nur, solange eine laufende Vorfallsuntersuchung es erfordert. |
| 6 | Personalgewinnung (bei offener Stelle) | Name, Kontaktdaten, Lebenslauf, Anschreiben und Bewerbungsnotizen von Bewerbern. | Art. 6 Abs. 1 lit. b — vorvertragliche Maßnahmen auf Anfrage des Bewerbers | 6 Monate nach Schließung der Stelle, danach Löschung — es sei denn, Sie willigen ausdrücklich in eine Aufnahme in den Talentpool von bis zu 24 Monaten ein. |
| 7 | Produkt- und Website-Analyse | Siehe §4. | Siehe §4 | Siehe §4 |
| 8 | Nachweis der Annahme | Bei der Anlage eines Arbeitsbereichs: die angenommene Version der Nutzungsbedingungen, der Zeitpunkt, das Nutzerkonto und die vollständige IP-Adresse der annehmenden Person. Bei jeder Annahme des AVV im Namen eines Kunden: dieselben Daten. Kenntnisnahmen späterer Fassungen der Nutzungsbedingungen: Version, Zeitpunkt und Nutzerkonto, ohne IP-Adresse. Zweck: nachweisen zu können, welche Bedingungen und welcher AVV von wem und wann vereinbart wurden. | Art. 6 Abs. 1 lit. f — berechtigtes Interesse am Nachweis des Abschlusses und des Inhalts des Vertrags und des AVV; die dokumentierte Interessenabwägung liegt vor | Bis zehn Jahre nach der endgültigen Beendigung des Arbeitsbereichs oder der Kundenbeziehung (die Verjährungsfrist für vertragliche Ansprüche), auch nach Löschung des Arbeitsbereichs; danach endgültig gelöscht. |
Dieser Abschnitt betrifft die Website cmr-jet.eu und die Anwendung. Unsere Informationsseiten ecmr-europe.eu, cmr-vrachtbrief.be und cmr-vrachtbrief.nl beschreiben ihre eigene Besuchszählung in ihrer eigenen Datenschutzerklärung.
cmr-jet.eu: anonyme Besuchszählung (keine Einwilligung erforderlich). Unsere Website cmr-jet.eu zählt Seitenaufrufe mit PostHog, gehostet in der EU. Für jede Seite, die Sie aufrufen, erfasst sie ein Ereignis mit dem Pfad der Seite und ihrer Sprache. Wenn Sie auf einen Link zur Anwendung oder zu einer anderen CMR-JET-Adresse klicken, erfasst sie ein Ereignis mit der Seite, auf der Sie geklickt haben, ihrer Sprache und der Adresse, auf die der Link verweist. PostHog fügt jedem Ereignis standardmäßig technische Angaben hinzu: die vollständige Adresse der Seite (einschließlich etwaiger Kampagnenkennzeichen aus dem Link, über den Sie gekommen sind), die Seite, von der Sie kamen, die Art des Geräts, Art und Version Ihres Browsers und Betriebssystems, Ihre Bildschirmgröße, Ihre Spracheinstellung und Ihre Zeitzone. Auf Ihrem Gerät wird nichts gespeichert (keine Cookies, kein lokaler Speicher). Jeder Seitenaufruf erhält eine zufällige Kennung, die nicht mit einem Konto, einem Namen oder einer IP-Adresse verknüpft ist. Der Analysedienst erhält Ihre IP-Adresse nur, um die Anfrage zu bearbeiten; er speichert sie nicht und leitet daraus keinen Standort ab. Da mit diesen Daten niemand identifiziert werden kann, sind sie keine personenbezogenen Daten, und wir bewahren sie ohne festes Enddatum auf.
In der Anwendung: keine Messung. Wir messen nicht, wie die Anwendung genutzt wird: keine Funktionszählungen, keine Nutzungspfade, keine Analyse-Skripte oder -Kennungen. Bevor wir eine Form der Messung in der Anwendung einschalten, aktualisieren wir diesen Abschnitt und beschreiben, was wir messen, auf welcher Rechtsgrundlage und wie lange wir die Daten aufbewahren.
Die Anwendung verwendet ausschließlich unbedingt erforderliche (funktionale) Cookies und Browserspeicher: für Anmeldesitzungen und Sicherheit, um Ihre Sprach- und Anzeigeeinstellungen zu speichern, und um eine kurzlebige lokale Kopie kürzlich geladener Daten vorzuhalten (höchstens 24 Stunden, beim Abmelden entfernt), damit die Anwendung schneller öffnet. Diese erfordern nach den ePrivacy-Regeln keine Einwilligung. Wir verwenden keine Werbe- oder Cross-Site-Tracking-Cookies, und die Analyse speichert nichts auf Ihrem Gerät (§4).
Ist für Ihren Arbeitsbereich die Zwei-Schritt-Verifizierung aktiviert und entscheiden Sie sich, einem Gerät zu vertrauen, setzen wir ein zusätzliches unbedingt erforderliches Cookie, das dieses Gerät 30 Tage lang identifiziert. Es enthält nur ein zufälliges Gerätetoken; auf unserer Seite ist dieses Token mit Ihrem Konto verknüpft, weshalb wir es als personenbezogenes Datum unter Tätigkeit 1 behandeln. Es ist für die von Ihnen gewählte Funktion unbedingt erforderlich und daher ebenfalls einwilligungsfrei.
Wir geben personenbezogene Daten nur weiter an:
Wir verkaufen keine personenbezogenen Daten.
Der Dienst, seine Datenbank und die Sicherungen werden innerhalb der Europäischen Union gehostet. Eine begrenzte Zahl von Auftragsverarbeitern hat eine US-Muttergesellschaft oder verarbeitet in den USA: Für diese stützen sich Übermittlungen in erster Linie auf das EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO), sofern die betreffende US-Einheit eine aktive Zertifizierung hält, mit den EU-Standardvertragsklauseln als Rückfalloption. Die Auftragsverarbeiterliste nennt den Mechanismus je Anbieter.
Die Speicherfristen sind je Tätigkeit in der Tabelle in §3 angegeben. Allgemein gilt:
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen eine auf berechtigtes Interesse gestützte Verarbeitung. Beruht die Verarbeitung auf einer Einwilligung, können Sie diese jederzeit widerrufen, ohne dass die frühere Verarbeitung berührt wird. Anfragen: privacy@cmr-jet.eu. Wir antworten unverzüglich und spätestens innerhalb eines Monats.
Betrifft Ihre Anfrage Daten, die wir als Auftragsverarbeiter für ein Transportunternehmen verarbeiten (CMR-Dokumentinhalte), gilt §2: Wir leiten Ihre Anfrage an dieses Unternehmen weiter und teilen Ihnen mit, an wen Sie sich wenden können.
Sie haben außerdem das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen — in Belgien bei der Datenschutzbehörde (Gegevensbeschermingsautoriteit / Autorité de protection des données, Drukpersstraat 35, 1000 Brüssel — www.dataprotectionauthority.be).
Wir schützen personenbezogene Daten mit dem Risiko angemessenen technischen und organisatorischen Maßnahmen, darunter Verschlüsselung bei der Übertragung (TLS), serverseitige Verschlüsselung gespeicherter Dateien (Unterschriftsbilder, Zustellfotos und Uploads), rollenbasierte Zugriffskontrolle, optionale Zwei-Schritt-Verifizierung bei der Anmeldung (die ein Kunde für seinen Arbeitsbereich verpflichtend machen kann), Mandantentrennung, verschlüsselte externe Sicherungen und Sicherheitsprotokollierung. Für Kunden sind die verbindlichen Maßnahmen in Anhang II des AVV festgelegt.
Wir können diese Erklärung ändern. Die aktuelle Fassung ist stets unter https://cmr-jet.eu/de/privacy abrufbar; das Datum oben nennt die letzte Änderung. Über wesentliche Änderungen, die Kunden betreffen, informieren wir gemäß den Nutzungsbedingungen.