DSGVO für Transferunternehmen — was Sie wissen müssen
Wenn Sie ein Transfer- oder Chauffeurunternehmen in Europa betreiben, ist die DSGVO nicht optional. Sie erheben personenbezogene Daten, jedes Mal wenn ein Fahrgast eine Fahrt bucht. Hier ist ein praktischer Leitfaden, um konform zu bleiben, ohne im Papierkram zu versinken.
1. Warum die DSGVO für Transferunternehmen wichtig ist
Die Datenschutz-Grundverordnung (DSGVO) gilt für jedes Unternehmen, das personenbezogene Daten von Personen in der EU verarbeitet — unabhängig davon, wo das Unternehmen seinen Sitz hat. Transferunternehmen sind besonders betroffen, weil sie täglich sensible Daten verarbeiten: Fahrgastnamen, Telefonnummern, Flugdaten, Hoteladressen, Zahlungsinformationen und GPS-Routen.
Nichteinhaltung ist nicht nur ein theoretisches Risiko. Bußgelder können bis zu €20 Millionen oder 4% des Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist. Doch abgesehen von Bußgeldern zerstören Datenschutzverletzungen das Vertrauen der Kunden — und im VIP-Transfergeschäft ist Vertrauen alles. Firmenkunden und Luxushotels arbeiten nicht mit Betreibern zusammen, die die Datensicherheit nicht garantieren können.
2. Welche Daten Sie erheben
Den meisten Transferunternehmen ist nicht bewusst, wie viele personenbezogene Daten sie verarbeiten. Hier eine typische Übersicht:
| Datenkategorie | Beispiele | Sensibilität |
|---|---|---|
| Fahrgastdaten | Name, Telefon, E-Mail, Flugnummer, Hoteladresse | Hoch |
| Kunden- / Bestellerdaten | Firmenname, Rechnungsadresse, Ansprechpartner, USt-IdNr. | Mittel |
| Fahrerdaten | Name, Telefon, Führerscheinnummer, Standortverfolgung, Arbeitszeiten | Hoch |
| Routendaten | Abhol-/Zieladressen, GPS-Tracks, Fahrzeiten | Mittel |
| Zahlungsdaten | Kreditkartendaten, Rechnungen, Transaktionsverlauf | Sehr hoch |
| Kommunikationsprotokolle | E-Mails, SMS, WhatsApp-Nachrichten mit Fahrgästen | Mittel |
3. Einwilligung und Rechtsgrundlage
Nach der DSGVO benötigen Sie für die Verarbeitung jeder Art personenbezogener Daten eine Rechtsgrundlage. Für Transferunternehmen sind drei Grundlagen am relevantesten:
- Vertragserfüllung (Art. 6 Abs. 1 lit. b) — Sie benötigen den Namen, die Telefonnummer und die Abholadresse des Fahrgasts, um die Transferbuchung zu erfüllen. Dies ist Ihre primäre Rechtsgrundlage für die meisten auftragsbezogenen Daten. Eine separate Einwilligung ist nicht erforderlich.
- Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) — Sie können ein berechtigtes Interesse für Dinge wie GPS-Tracking des Fahrers während aktiver Fahrten (Sicherheit), die Speicherung der Kundenhistorie für besseren Service und grundlegende Analysen geltend machen. Dokumentieren Sie Ihre Begründung.
- Einwilligung (Art. 6 Abs. 1 lit. a) — Erforderlich für Marketing-E-Mails, die Weitergabe von Daten an Dritte und die Speicherung von Daten über das für den Vertrag Erforderliche hinaus. Die Einwilligung muss freiwillig, spezifisch und leicht widerrufbar sein.
Die wichtigste Erkenntnis: Sie müssen Fahrgäste nicht um Einwilligung bitten, um ihre Buchungsdaten zu verarbeiten. Aber Sie benötigen eine Einwilligung für Marketing, und Sie müssen Ihre Rechtsgrundlage für alles andere dokumentieren.
4. Datenspeicherung und Sicherheit
Die DSGVO verlangt von Ihnen, „geeignete technische und organisatorische Maßnahmen“ zum Schutz personenbezogener Daten umzusetzen. Für Transferunternehmen bedeutet das:
- 1Server in der EU — Speichern Sie alle personenbezogenen Daten innerhalb der EU. Die Übermittlung von Daten außerhalb der EU erfordert zusätzliche Garantien (Standardvertragsklauseln oder Angemessenheitsbeschlüsse).
- 2Verschlüsselung — Verwenden Sie HTTPS für alle Daten während der Übertragung und verschlüsseln Sie sensible Daten im Ruhezustand. Dazu gehören Ihre Datenbank, Backups und alle exportierten Dateien.
- 3Zugriffskontrollen — Nicht jeder in Ihrem Unternehmen benötigt Zugriff auf alle Daten. Fahrer sollten nur ihre zugewiesenen Aufträge sehen. Disponenten sollten keinen Zugriff auf Finanzunterlagen haben. Verwenden Sie rollenbasierte Berechtigungen.
- 4Richtlinie zur Datenaufbewahrung — Legen Sie fest, wie lange Sie Daten aufbewahren. Auftragsdaten werden in der Regel 5–7 Jahre aufbewahrt (steuerliche Pflichten). Telefonnummern und E-Mails von Fahrgästen sollten gelöscht werden, wenn sie nicht mehr benötigt werden.
- 5Meldung von Verletzungen — Wenn personenbezogene Daten kompromittiert werden, müssen Sie Ihre Aufsichtsbehörde innerhalb von 72 Stunden und die betroffenen Personen ohne unangemessene Verzögerung benachrichtigen.
5. Rechte der betroffenen Personen
Nach der DSGVO haben Ihre Fahrgäste, Kunden und Fahrer bestimmte Rechte in Bezug auf ihre Daten. Sie müssen darauf vorbereitet sein, diese Anfragen zu bearbeiten:
Recht auf Auskunft
Personen können eine Kopie aller personenbezogenen Daten anfordern, die Sie über sie speichern. Sie haben 30 Tage Zeit zu antworten.
Recht auf Berichtigung
Wenn Daten falsch sind, können sie eine Korrektur verlangen. Aktualisieren Sie sie umgehend in allen Ihren Systemen.
Recht auf Löschung
Das „Recht auf Vergessenwerden“. Personen können die Löschung ihrer Daten verlangen, sofern Sie nicht gesetzlich zur Aufbewahrung verpflichtet sind.
Recht auf Datenübertragbarkeit
Sie können ihre Daten in einem maschinenlesbaren Format (CSV, JSON) anfordern, um sie zu einem anderen Anbieter zu übertragen.
In der Praxis erhalten die meisten Transferunternehmen sehr wenige Anfragen betroffener Personen. Aber Sie müssen einen Prozess dafür haben. Ihr CRM sollte es einfach machen, die Daten eines Fahrgasts auf Anfrage zu exportieren, zu aktualisieren oder zu löschen.
6. Auswahl DSGVO-konformer Software
Ihre CRM- und Dispositionssoftware ist der Ort, an dem die meisten personenbezogenen Daten liegen. Die Wahl einer DSGVO-konformen Lösung ist eine der wirkungsvollsten Entscheidungen, die Sie treffen können. Darauf sollten Sie achten:
- Datenhosting in der EU — Ihre Daten sollten auf Servern in der EU gespeichert werden. Die meisten US-basierten CRMs speichern Daten in den USA, was die Compliance komplex macht.
- Rollenbasierter Zugriff — Die Software sollte Ihnen erlauben zu steuern, wer was sieht. Fahrer sehen nur ihre Aufträge. Disponenten sehen den Betrieb. Administratoren sehen alles.
- Datenexport und -löschung — Sie müssen in der Lage sein, die Daten eines Kunden (für Übertragbarkeitsanfragen) zu exportieren und (für Löschanfragen) direkt aus der Software zu löschen.
- Audit-Protokollierung — Jeder Datenzugriff und jede Änderung sollte protokolliert werden. Das hilft Ihnen, die Compliance nachzuweisen und Probleme zu untersuchen.
- Verschlüsselung und 2FA — Die Software sollte Daten im Ruhezustand und bei der Übertragung verschlüsseln und Zwei-Faktor-Authentifizierung für alle Benutzerkonten unterstützen.
- Auftragsverarbeitungsvertrag — Ihr Softwareanbieter ist ein „Auftragsverarbeiter“ im Sinne der DSGVO. Er sollte einen unterzeichneten AV-Vertrag (DPA) anbieten, der seine Pflichten festlegt.
TransferCRM wurde für europäische Betreiber mit DSGVO-Konformität im Kern entwickelt: EU-basierte Infrastruktur, rollenbasierte Berechtigungen, Audit-Protokolle, Datenexport, 2FA und ein unterzeichneter Auftragsverarbeitungsvertrag, der in allen Tarifen enthalten ist.
Bereit, Ihre Transfers zu optimieren?
Starten Sie Ihre 14-tägige kostenlose Testphase. Keine Kreditkarte erforderlich.