Datenschutzerklärung

Stand: 26. Oktober 2026

Diese Hinweise betreffen unsere Website und die freigeschalteten Funktionen des MVG-Portals: Zugangsanträge, Anmeldung, Benutzerverwaltung, Mailweiterleitung für Fuhrpark-Leistungen und Verkäuferunterstützung und Flottenkundenverwaltung.

1. Verantwortlicher und Kontakt

MVG Versorgungsgesellschaft mbH
Glöwener Weg 8
19336 Bad Wilsnack
Vertreten durch den Geschäftsführer Christoph Müller
E-Mail für Datenschutzanfragen: info@mvgmbh.de

2. Website, Hosting und technische Sicherheit

Website, Datenbank und das zentrale E-Mail-Postfach werden bei STRATO betrieben. Beim Aufruf verarbeitet die technische Infrastruktur insbesondere IP-Adresse, Zeitpunkt, angeforderte URL, Statusmeldungen und Browserinformationen. Diese Daten dienen der Auslieferung, Fehleranalyse und Abwehr von Missbrauch. Unser berechtigtes Interesse an einem sicheren, funktionsfähigen Angebot ist hierfür die Grundlage nach Art. 6 Abs. 1 lit. f DSGVO.

Die Übertragung des Portals erfolgt über HTTPS. Für Anmeldeversuche führen wir zusätzlich zeitlich begrenzte Zähler. In der Portal-Datenbank wird dafür eine mit einem geheimen Schlüssel abgeleitete IP-Kennung statt der unveränderten IP-Adresse gespeichert. Technische Serverprotokolle des Hostings sind davon unabhängig.

3. Zugang beantragen und Benutzerverwaltung

Bei einem Antrag verarbeiten wir Name, E-Mail-Adresse, Unternehmen, gewünschte Rolle und gegebenenfalls freiwillig gewählte Filialen. Für neue Geschäftskundenfirmen kommen Firmenname, Domain, Ansprechpartner und Kontaktdaten hinzu. Wir speichern außerdem den Bearbeitungsstand sowie Zeitpunkte von Antrag, E-Mail-Bestätigung, Freigabe, Änderungen und Ablauf.

Diese Angaben ermöglichen die Zuordnung zum Unternehmen und die Prüfung des gewünschten Zugriffs. Die zuständigen Freigabeverantwortlichen und berechtigten Administratoren können den Antrag einsehen und erhalten erforderliche Benachrichtigungen. Eine abweichende E-Mail-Domain kann der prüfenden Stelle angezeigt werden. Die Freigabe erfolgt durch berechtigte Personen; eine erfolgreiche E-Mail-Bestätigung allein gewährt noch keinen Zugang.

Bei eigenen vertraglichen oder vorvertraglichen Anfragen ist Art. 6 Abs. 1 lit. b DSGVO maßgeblich. Für die Verwaltung geschäftlicher Ansprechpartner und Mitarbeiterzugänge beruht die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist eine nachvollziehbare, auf die jeweilige Organisation begrenzte Zusammenarbeit. Pflichtangaben werden zur Bearbeitung benötigt. Ohne sie können wir den beantragten Zugang nicht bereitstellen.

4. Anmeldung per E-Mail, Passwort oder Passkey

Bei der Anmeldung per E-Mail versenden wir einen einmaligen Anmeldelink. Gespeichert werden insbesondere die Zuordnung des Links, ein Token-Hash, Gültigkeit und Verwendungsstatus. Für Super-Administratoren ist bei diesem Anmeldeweg zusätzlich ein Passwort erforderlich. Passwörter werden als Prüfwerte (Hashes), nicht im Klartext, gespeichert; Fehlversuche und vorübergehende Sperren werden protokolliert.

Ein bereits eingerichteter Passkey ermöglicht die Anmeldung ohne vorherige E-Mail. Dafür speichern wir den öffentlichen Schlüssel, eine technische Passkey-Kennung, die Benutzerzuordnung, technische Authentifizierungsmerkmale sowie Einrichtungs- und Nutzungszeitpunkte. Den privaten Schlüssel und biometrische Daten wie Fingerabdruck oder Gesichtsdaten erhalten wir nicht. Die lokale Bestätigung erfolgt über Ihr Gerät oder den von Ihnen gewählten Passkey-Anbieter. Bei Nutzung eines Smartphones per QR-Code oder synchronisierter Passkeys gelten zusätzlich die Hinweise Ihres Geräte- bzw. Passkey-Anbieters.

Die Verarbeitung dient der sicheren Bereitstellung des beantragten Zugangs und dem Schutz vor unberechtigter Nutzung; Rechtsgrundlagen sind je nach Nutzungsverhältnis Art. 6 Abs. 1 lit. b und lit. f DSGVO. Kontostatus, Berechtigungen und sicherheitsrelevante Änderungen werden bei der Nutzung geprüft.

5. Speicherung auf Ihrem Gerät

Die für Sitzung und ausdrücklich gewünschte Anmeldefunktionen erforderliche Speicherung erfolgt nach § 25 Abs. 2 Nr. 2 TDDDG. Die freiwillige Speicherung der E-Mail-Adresse wählen Sie selbst. Sie können gespeicherte Websitedaten jederzeit über Ihren Browser löschen; danach kann eine erneute Anmeldung notwendig sein. Im derzeitigen Portal werden keine Analyse- oder Marketingdienste eingebunden.

6. Mailweiterleitung für Fuhrpark-Leistungen und Verkäuferunterstützung

Zur Unterstützung der zuständigen Verkäufer bei allgemeinen Fuhrpark-Leistungen verwalten wir geschäftliche Mailweiterleitungen. Dafür verarbeiten wir Firmenkennung, dauerhafte Verkäuferkennung, Aliasadresse, Benutzerzuordnung und Status. Nachrichten an solche Adressen treffen zunächst im zentralen STRATO-Postfach ein. Die Verarbeitung prüft den ursprünglichen Empfänger und die hinterlegte Zuordnung. Eine automatische Weiterleitung erfolgt nur an das verifizierte Dinnebier-Postfach eines aktiven, berechtigten Benutzers. Die Originalnachricht wird als EML-Anhang weitergegeben.

Unklare, fehlende oder gesperrte Zuordnungen werden zur administrativen Prüfung zurückgehalten; die Administration erhält eine Benachrichtigung. Aus dem Alias abgeleitete Firmen- und Verkäuferkennungen dienen dabei als Zuordnungsentwurf, nicht als automatische Zugangsfreigabe.

Im Portal speichern wir Metadaten wie Alias, Nachrichten-Prüfsumme, Empfangs- und Verarbeitungszeitpunkte, Zustellstatus und Anzahl der Versuche. Berechtigte Verkäufer und Administratoren können Bemerkungen mit Verfasser und Zeitstempel ergänzen. Bitte tragen Sie dort keine Passwörter, Bestätigungscodes oder unnötigen personenbezogenen Angaben ein. Mailtexte, Passwörter und Bestätigungslinks werden vom Weiterleitungsprozess nicht in die Portal-Datenbank übernommen. Die ursprüngliche Nachricht verbleibt im zentralen Postfach und die Weiterleitung im Empfängerpostfach.

Der Zweck ist die sichere Zuordnung und Weiterleitung geschäftlicher Nachrichten zu Fuhrpark-Leistungen sowie die Unterstützung der zuständigen Verkäufer bei deren Bearbeitung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, insbesondere unser Interesse an verlässlichen Zustellwegen, Fehlerklärung und einer nachvollziehbaren Zustellhistorie; bei einer unmittelbar mit Ihnen vereinbarten Leistung zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

7. Flottenkunden, Verträge und Dateien

Im freigeschalteten Flottenbereich werden Firmen- und Kundennummern, Firmengruppen, Ansprechpartner, Vertragskonditionen, Laufzeiten, Filial- und Markenzuordnungen, Bemerkungen und hochgeladene Vertrags-PDFs verarbeitet. Dateien können personenbezogene Angaben enthalten. Änderungen werden mit dem bearbeitenden Benutzer und Zeitpunkt protokolliert. Die Sichtbarkeit richtet sich nach Mandant, Filialzuordnung und gesonderten Leserechten bzw. Bearbeitungsrechten.

Zweck ist die gemeinsame Verwaltung und Verlängerung geschäftlicher Vereinbarungen. Je nach Verhältnis zur betroffenen Person erfolgt die Verarbeitung nach Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Unser berechtigtes Interesse besteht in einer korrekten Vertragsbearbeitung und der Bereitstellung der benötigten Informationen für zuständige Mitarbeiter.

Fahrzeugbefundung und Reparaturfreigabe

Optional können berechtigte Mitarbeiter direkt am Fahrzeug dessen letzten Abstellort speichern. Die Standortabfrage erfolgt ausschließlich nach Betätigung des Ortungsbuttons und Browserfreigabe. Gespeichert werden Koordinaten, Genauigkeit, Zeitpunkt und erfassender Benutzer zur Fahrzeugauffindbarkeit; eine Hintergrundortung oder Bewegungshistorie erfolgt nicht. Eine neue Erfassung ersetzt den bisherigen Standort. Bei offenen Vorgängen kann der Standort entfernt werden. Die Nutzung des Befundbereichs ist auch ohne Ortung möglich. Die Standortdaten sind nur im berechtigten Befundzugriff sichtbar. Erst beim freiwilligen Öffnen des Kartenlinks werden die Koordinaten an Google Maps übermittelt.

Im geschützten Befundbereich verarbeiten wir Kundenname, Fahrzeugidentifikationsnummer, Kennzeichen, Fahrzeugzustand und Historie, Schäden, Lackmesswerte, Fotos, Prüf- und Reparaturkosten, Termine, Entscheidungen sowie gezeichnete Unterschriften von Kunde, Serviceberater und Freigabeverantwortlichem. Dies dient der Vorbereitung und Durchführung des Fahrzeugankaufs und der Reparaturbearbeitung nach Art. 6 Abs. 1 lit. b DSGVO bzw. der nachvollziehbaren betrieblichen Zusammenarbeit und Dokumentation nach Art. 6 Abs. 1 lit. f DSGVO. Unterschriftsbilder werden zur Dokumentation verwendet, nicht zur biometrischen Identifizierung. Berechtigte Mitarbeiter sehen Vorgänge entsprechend ihrer Rolle, Mandanten- und Filialzuordnung. Bearbeitungsschritte werden mit Benutzer, Zeitpunkt, Änderungen und Begründungen protokolliert. Fotos und Unterschriften werden in der geschützten Datenbank gespeichert. Der PDF-Export wird lokal im Browser erzeugt; heruntergeladene Kopien liegen in der Verantwortung der berechtigten Empfänger. Archivierung oder Abschluss sperren die laufende Bearbeitung, bewirken aber keine Löschung. Die Kriterien in Abschnitt 9 gelten auch für Befunde und ihre Historie.

8. Empfänger und Verarbeitung über GitHub Actions

Empfänger sind die jeweils berechtigten Mitarbeiter, Freigabeverantwortlichen und Administratoren, zugeordnete E-Mail-Empfänger sowie die für Hosting, Datenbank, Mailtransport und technische Abläufe eingesetzten Dienstleister. Mandanten- und Rollenberechtigungen begrenzen den Zugriff im Portal.

Für die automatische Mailverarbeitung setzen wir derzeit GitHub Actions ein. Der Prozess ruft Nachrichten aus dem zentralen STRATO-Postfach ab und verarbeitet für die Weiterleitung Aliasadressen, Zieladressen und zeitweise auch vollständige Originalnachrichten im Arbeitsspeicher. Dadurch werden personenbezogene Daten auch auf der Ausführungsinfrastruktur von GitHub verarbeitet; diese kann sich außerhalb der EU bzw. des EWR, insbesondere in den USA, befinden. Ein dauerhaftes Mailarchiv in GitHub wird durch den Prozess nicht angelegt. Technische Laufprotokolle können Statusangaben und bei Einrichtungs- oder Diagnosetests begrenzte Kontometadaten enthalten.

GitHub erläutert internationale Übermittlungen und die hierfür vorgesehenen Schutzinstrumente, darunter Standardvertragsklauseln und das EU-US Data Privacy Framework, in seinen Datenschutzhinweisen und im Data Protection Agreement. Informationen zu den für unseren Einsatz maßgeblichen Vereinbarungen und gegebenenfalls eine Kopie der einschlägigen Garantien können Sie unter info@mvgmbh.de anfragen.

Bei Angaben über Ansprechpartner, die wir nicht unmittelbar von der betroffenen Person erhalten, sind die Quellen die jeweils eingebundenen Geschäftspartner, berechtigten Portalnutzer oder Absender geschäftlicher Nachrichten. Betroffen sind insbesondere geschäftliche Kontakt- und Zuordnungsdaten sowie die für den jeweiligen Vorgang erforderlichen Nachrichteninhalte. Die hier beschriebenen Zwecke, Empfänger und Rechte gelten auch für diese Daten.

9. Speicherdauer

Für Geschäfts-, Antrags-, Benutzer- und Protokolldaten richtet sich die Aufbewahrung nach der Dauer des jeweiligen Vorgangs bzw. Nutzungsverhältnisses, erforderlichen Nachweisen, offenen Rückfragen, gesetzlichen Aufbewahrungspflichten und der Durchsetzung oder Abwehr von Ansprüchen. Personenbezogene Daten dürfen nur so lange gespeichert werden, wie der jeweilige Zweck oder eine gesetzliche Aufbewahrungspflicht dies erfordert. Entfällt die Erforderlichkeit und besteht keine andere Rechtsgrundlage, sind die Daten zu löschen oder wirksam zu anonymisieren. Eine pauschale automatische Löschung aller Portal-, Mail- oder Sicherungsdaten ist derzeit nicht eingerichtet.

Technische Gültigkeitsfristen sind davon zu unterscheiden: Anmeldelinks sind 10 Minuten, Links zur Bestätigung eines Zugangsantrags 30 Minuten und Passkey-Abfragen 90 Sekunden gültig. Der Ablauf eines Zugangs oder Links löscht nicht automatisch den zugehörigen Datensatz. Die Zähler für kontobezogene Anmeldeabfragen arbeiten in 15-Minuten-Fenstern; abgelaufene IP-Kennungen werden bei der nächsten entsprechenden Abfrage nach mehr als einem Tag entfernt. Für Gerätedaten gelten die unter Abschnitt 5 beschriebenen Fristen.

Sicherungen können frühere Datenstände enthalten und dienen der Wiederherstellung nach Fehlern. Für eine konkrete Auskunft oder einen Löschwunsch zu Ihren Daten wenden Sie sich bitte an uns. Gesetzliche Aufbewahrungspflichten und berechtigte Nachweisinteressen können einer sofortigen vollständigen Löschung entgegenstehen.

10. Ihre Rechte

Sie können nach Maßgabe der DSGVO Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Soweit wir Daten aufgrund berechtigter Interessen verarbeiten, können Sie aus Gründen Ihrer besonderen Situation widersprechen. Bitte richten Sie Ihre Anfrage an info@mvgmbh.de.

Sie haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, insbesondere an Ihrem Aufenthaltsort, Arbeitsplatz oder am Ort des vermuteten Verstoßes. Für unseren Sitz ist die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg eine Anlaufstelle.

Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung wird durch die beschriebenen Funktionen nicht getroffen. Zugangsfreigaben bleiben einer menschlichen Prüfung vorbehalten.