Datenschutzerklärung

Startseite

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Dennis Eskin, Einzelunternehmen, handelnd unter ParkSync, Grützmühlenweg 75, 22339 Hamburg, Deutschland
E-Mail: mail@parksync.de · Kontaktformular: parksync.de/kontakt

2. Zwei Rollen: Verantwortlicher und Auftragsverarbeiter

ParkSync ist eine B2B-Plattform für Betreiber von Flughafenparkplätzen („Betriebe"). Datenschutzrechtlich treten wir in zwei Rollen auf:

  • Als Verantwortlicher verarbeiten wir Daten unserer eigenen Vertragspartner — z. B. Konto-, Vertrags-, Abrechnungs- und Supportdaten der Betriebe, technische Protokolle sowie das Nachweisprotokoll (Abschnitt 3).
  • Als Auftragsverarbeiter (Art. 28 DSGVO) verarbeiten wir die Daten der Parkkunden ausschließlich im Auftrag und nach Weisung des jeweiligen Betriebs (Abschnitt 4). Verantwortlicher für diese Daten ist der Betrieb; mit jedem Betrieb wird ein Auftragsverarbeitungsvertrag geschlossen. Ausgenommen sind das Nachweisprotokoll, soweit wir es zu eigenen Zwecken verwenden (Abschnitt 3 j), und die Anfragegrenzen der Buchungsseiten (Abschnitt 3 d); dafür sind wir selbst Verantwortlicher. Bei Buchungen über die Buchungsseite eines Betriebs gehört zum Nachweisprotokoll auch die IP-Adresse des Geräts, von dem aus gebucht wurde.

3. Verarbeitungen, für die wir Verantwortlicher sind

a) Konto- und Betriebsdaten

Bei der Registrierung verarbeiten wir Firmenname, Name der Ansprechperson, E-Mail-Adresse und Passwort (nur als Hash gespeichert) sowie zur Dokumentation den Zeitpunkt der AGB-Annahme und der Unternehmer-Bestätigung. Zweck: Bereitstellung der Plattform, Vertragsdurchführung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: für die Dauer des Vertragsverhältnisses zzgl. gesetzlicher Fristen.

b) Mitarbeiterkonten und Rollen

Betriebe können Konten für ihr Team anlegen (Name, E-Mail-Adresse, Rolle wie Admin/Mitarbeiter/Fahrer, Schichtplan-Einträge). Zweck: Zugriffssteuerung und Arbeitsorganisation des Betriebs. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO gegenüber dem Betrieb. Die Konten werden mit einem Startpasswort angelegt – in der Regel von einem Admin des Betriebs; den ersten Admin-Zugang eines Betriebs können bei der Einrichtung auch wir anlegen. Wer das Konto anlegt, kennt das Startpasswort und übergibt die Zugangsdaten der jeweiligen Person; eine Einladungs-E-Mail versenden wir dabei nicht.

c) Kontaktformular und Support

Bei Anfragen über das Kontaktformular oder per E-Mail verarbeiten wir Name, E-Mail-Adresse und den Inhalt der Nachricht zur Beantwortung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. f DSGVO. Anfragen werden nach abschließender Bearbeitung regelmäßig gelöscht.

d) Server- und API-Protokolle

Zur Sicherstellung des Betriebs, zur Fehleranalyse und zur Abwehr von Missbrauch protokollieren wir technische Zugriffe (Zeitpunkt, Endpunkt, Status, IP-Adresse, anfragender Channel). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer, stabiler Betrieb). Protokolle werden regelmäßig, spätestens nach 90 Tagen, gelöscht. Davon getrennt führen wir das Nachweisprotokoll (Abschnitt 3 j) mit eigenem Zweck und eigener Speicherdauer; die 90-Tage-Frist gilt dafür nicht.

Auf den Buchungsseiten der Betriebe (parksync.de/buchen/…) begrenzen wir zum Schutz vor Missbrauch Anfragen an die Buchungsfunktionen (Preisabfragen und Buchungsversuche) je IP-Adresse des aufrufenden Geräts. Die Zähler dafür führen wir ausschließlich im Arbeitsspeicher der Anwendung, bei IPv6-Adressen gekürzt auf das /64-Netz, und speichern sie weder in der Datenbank noch in Datensicherungen. Nach Ablauf ihres Zeitfensters (höchstens 24 Stunden) werten wir sie nicht mehr aus; gelöscht werden sie spätestens beim nächsten Neustart der Anwendung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz der Buchungsseiten und der Kontingente der Betriebe vor Missbrauch).

e) Rechnungs- und Abrechnungsdaten

Für die Abrechnung unserer Leistung verarbeiten wir Vertrags- und Rechnungsdaten des Betriebs (Firmenanschrift, USt-Angaben, Rechnungsbeträge). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO (gesetzliche Aufbewahrungspflichten).

Für die Zahlungsabwicklung der Abonnements (Kreditkarte, SEPA-Lastschrift) setzen wir Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland, ein. Stripe erhält dabei die für die Zahlung erforderlichen Daten (Name des Betriebs, E-Mail-Adresse, Rechnungsanschrift, USt-ID sowie die Zahlungsinformationen); die vollständigen Zahlungsdaten (z. B. Kartennummern) werden direkt bei Stripe erhoben und erreichen unsere Systeme nicht. Stripe kann Daten an verbundene Unternehmen in den USA übermitteln; hierfür bestehen EU-Standardvertragsklauseln und eine Zertifizierung nach dem EU-US Data Privacy Framework. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Details: stripe.com/de/privacy.

f) Cookies und lokale Speicherung im Browser

Wir setzen keinen Cookie-Banner ein, weil wir ausschließlich technisch notwendige Speichertechniken nutzen, die für den von Ihnen gewünschten Dienst unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG). Auf unseren öffentlichen Seiten (Startseite, Kontakt, Demo, Rechtstexte, Anmeldeseite) werden keine Cookies gesetzt, solange Sie nicht angemeldet sind.

Nach der Anmeldung setzt unser Authentifizierungsdienst (Supabase, EU-Region Frankfurt) das Cookie „sb-…-auth-token" (technisch bedingt ggf. in mehreren Teilen „.0", „.1"). Es enthält Ihr Anmelde-Token und hält Sie im Dashboard angemeldet; während des Anmelde- oder Passwort-Zurücksetzen-Vorgangs kann kurzzeitig zusätzlich das Cookie „sb-…-auth-token-code-verifier" gesetzt werden. Die Cookies gelten bis zur Abmeldung, längstens 400 Tage, und werden beim Abmelden gelöscht. Zweck: Anmeldung und Zugriffsschutz Ihres Kontos. Rechtsgrundlage der damit verbundenen Verarbeitung: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag) bzw. Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb) für vom Betrieb angelegte Mitarbeiterkonten.

Sobald Sie angemeldet sind (bei der Anmeldung bzw. beim nächsten Seitenaufruf mit gültiger Anmeldung), setzen wir zusätzlich das Cookie „ps-kd" („bekanntes Gerät"). Es enthält nur Ihre interne Nutzerkennung, ein Ablaufdatum und eine Prüfsignatur — kein Passwort und kein Anmelde-Token — und gilt 90 Tage; nutzen Sie ParkSync angemeldet weiter, erneuern wir es beim ersten Seitenaufruf nach 30 Tagen (dann wieder 90 Tage). Es bleibt auch nach dem Abmelden bestehen. Zusammen damit setzen wir das Cookie „ps-kd-m": Es enthält nur einen Prüfwert (gekürzte Prüfsignatur) aus Ihrer internen Nutzerkennung und Ihrer Konto-E-Mail-Adresse – nicht die Adresse selbst –, gilt ebenfalls 90 Tage und wird mit „ps-kd" erneuert; fehlt es oder passt es nicht mehr zum angemeldeten Konto (z. B. nach einer Änderung der E-Mail-Adresse), setzen wir es beim nächsten Seitenaufruf neu. Es dient demselben Zweck (die Schutz-Spur des bekannten Geräts gilt nur für dieses Konto). Zweck: Schutz des Anmeldedienstes vor automatisierten Anmelde- und Überlastungsangriffen — Geräte, an denen Sie zuletzt angemeldet waren und deren Cookies noch gültig sind, werden bei einem solchen Angriff bevorzugt durchgelassen und so in aller Regel nicht mit ausgesperrt (an einem gemeinsam genutzten Gerät gilt das nur für das zuletzt angemeldete Konto). Beide sind für die Sicherheit des von Ihnen genutzten Dienstes unbedingt erforderliche Cookies (§ 25 Abs. 2 Nr. 2 TDDDG); Rechtsgrundlage der Verarbeitung: Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb). Sie können sie jederzeit über die Browser-Einstellungen löschen.

Wählen Sie im Dashboard die helle oder dunkle Darstellung, merkt sich Ihr Browser diese Einstellung lokal (localStorage-Eintrag „theme"). Der Wert wird nicht an uns übermittelt und kann jederzeit über die Browser-Einstellungen gelöscht werden.

Es findet kein Tracking zu Werbe- oder Analysezwecken statt. Wir binden keine externen Analyse-, Werbe-, Karten-, Video- oder Schriftarten-Dienste ein; Schriftarten und Skripte werden ausschließlich von unseren eigenen Servern geladen.

g) Konto-E-Mails

Für Konto-E-Mails (z. B. Registrierungsbestätigung, Passwort zurücksetzen) nutzen wir SMTP-Versand über unseren E-Mail-Dienstleister. Übermittelt werden Empfängeradresse und Nachrichteninhalt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

h) Öffentliche Demo-Umgebung

Unter parksync.de/demo-channel stellen wir eine öffentliche Testumgebung bereit, die die Partner-API mit einem Demo-Zugang vorführt. Eingaben dort sind ausschließlich mit frei erfundenen Testdaten vorgesehen. Sie werden in einem getrennten Demo-Betrieb gespeichert, lösen keine E-Mails an eingegebene Adressen aus und werden automatisch nach 7 Tagen gelöscht. Wie jede Datenänderung auf der Plattform werden auch Anlage und Löschung von Demo-Eingaben im Nachweisprotokoll festgehalten (Abschnitt j); dort stehen Namen, E-Mail-Adressen, Telefonnummern, Anschriften und Kennzeichen nur pseudonymisiert als Prüfwert, und es gilt dessen Speicherdauer. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Vorführung der Schnittstelle).

i) Pflicht oder Freiwilligkeit der Bereitstellung

Die bei der Registrierung abgefragten Daten (Firmenname, E-Mail-Adresse, Passwort) sind für den Vertragsschluss und die Bereitstellung des Kontos erforderlich — ohne sie kann die Registrierung nicht abgeschlossen werden; eine gesetzliche Pflicht zur Bereitstellung besteht nicht. Alle übrigen Angaben (z. B. im Kontaktformular oder in der Demo) sind freiwillig; stellen Sie sie nicht bereit, können wir lediglich die jeweilige Anfrage nicht beantworten bzw. die Funktion nicht anbieten.

j) Nachweisprotokoll

Damit wir belegen können, dass die Plattform ordnungsgemäß gearbeitet hat und wer welche Aktion veranlasst hat, führen wir ein gesondertes Nachweisprotokoll. Darin halten wir fest: jede Anlage, Änderung und Löschung von Daten auf der Plattform — gleich ob über das Dashboard, die Fahrer-App, einen Portal-Import, die Partner-API, die Buchungsseite eines Betriebs, den Administrationsbereich, automatische Wartungsläufe oder unmittelbar in der Datenbank —, An- und Abmeldungen, Anfragen zum Zurücksetzen und Änderungen des Passworts, Druck-, Export- und Download-Vorgänge, den Versand von E-Mails durch die Plattform, den Datenaustausch mit Portalen (Ergebnis von Benachrichtigungen an Portale, abgelehnte oder fehlgeschlagene Anfragen über die Partner-API, von einem Portal-Import übersprungene Buchungen) sowie Fehlermeldungen, die einem Nutzer angezeigt werden.

Verarbeitete Kategorien: Nutzerkennung, Name und Rolle des handelnden Kontos zum Zeitpunkt der Aktion (bei automatischen Vorgängen die Bezeichnung des auslösenden Systems, z. B. eines Portal-Imports), Zeitpunkt, Art der Aktion, betroffener Betrieb, Datensatz und ggf. Buchung, bei Änderungen die geänderten Felder mit altem und neuem Wert, der Zugangsweg (z. B. Dashboard, App, Portal) sowie IP-Adresse, Browser- bzw. Gerätekennung und App-Version; bei Buchungen über die Buchungsseite eines Betriebs (parksync.de/buchen/…) die IP-Adresse des Geräts, von dem aus gebucht wurde, im Klartext; bei Anfragen zum Zurücksetzen des Passworts die eingegebene E-Mail-Adresse (sieht die Eingabe nicht wie eine E-Mail-Adresse aus, nur ein Vermerk), beim E-Mail-Versand Zweck, Empfänger und Betreff, bei Exporten die Art des Exports, der gewählte Ausschnitt (z. B. Zeitraum oder Filter) und die Anzahl der exportierten Einträge, jedoch nicht der Inhalt der Datei, beim Datenaustausch mit Portalen das Portal, die Buchung bzw. die Buchungsnummer des Portals, das Ergebnis und ggf. der Fehlercode, jedoch nicht der Inhalt der Anfrage oder Nachricht, bei Fehlern die (gekürzte) Fehlermeldung. Reine Bedienschritte ohne Wirkung (z. B. das Aufklappen eines Menüs oder das Aufrufen einer Seite bzw. eines App-Bildschirms), Suchbegriffe beim Suchen und Filtern sowie Passwörter werden nicht protokolliert; Zugangsdaten, Schlüssel und vergleichbare Geheimnisse erscheinen im Protokoll nur als „[verborgen]". Direkte Kennungen der Parkkunden (Name, E-Mail-Adresse, Telefonnummer, Anschrift, Kfz-Kennzeichen, Unterschrift) speichern wir im Protokoll nicht im Klartext, sondern ausschließlich pseudonymisiert als Prüfwert (kryptografischer Hashwert); das gilt auch für die Empfängeradresse von E-Mails an Parkkunden. Der Prüfwert dient dazu, im Streitfall zu bestätigen, ob ein bekannter Wert zu einem bestimmten Zeitpunkt eingetragen war. Er ist keine Anonymisierung: Bei kurzen Angaben wie Kfz-Kennzeichen oder Telefonnummern lässt sich der ursprüngliche Wert durch systematisches Ausprobieren ermitteln. Die Protokolleinträge bleiben daher personenbezogene Daten, und der Zugriff darauf ist eng begrenzt (siehe unten). Freitextfelder einer Buchung (Bemerkung des Kunden, interne Notizen) werden wie eingegeben protokolliert.

Am 26.09.2026 wurden in den ersten Stunden nach der Einführung des Nachweisprotokolls außerdem aufgerufene Seiten des Dashboards, Bildschirme und Starts der Fahrer-App (jeweils mit IP-Adresse und Browser- bzw. Gerätekennung) sowie fehlgeschlagene Anmeldeversuche im Dashboard (mit der eingegebenen E-Mail-Adresse und IP-Adresse) protokolliert. Diese Einträge werden wie alle anderen bis zum Ende der Aufbewahrungsfrist aufbewahrt und danach gelöscht.

Zwecke: Nachweis der ordnungsgemäßen Leistungserbringung gegenüber unseren Vertragspartnern, Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen sowie IT-Sicherheit (Erkennen und Aufklären von Fehlbedienung, Missbrauch und unbefugten Zugriffen). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, bei Beanstandungen, Schadensfällen oder Streitigkeiten nachvollziehen und belegen zu können, wer wann über welchen Weg welche Änderung vorgenommen hat. Soweit das Protokoll Änderungen an Daten festhält, die wir im Auftrag der Betriebe verarbeiten (Abschnitt 4), dient es zugleich der Eingabekontrolle nach Art. 32 DSGVO; für die Verwendung zu den hier genannten eigenen Zwecken sind wir selbst Verantwortlicher.

Das Protokoll kann nur ergänzt, aber nicht nachträglich geändert oder gelöscht werden; seine Einträge werden regelmäßig kryptografisch versiegelt, sodass spätere Veränderungen erkennbar wären. Einsicht in das gesamte Protokoll hat nur die Plattformadministration von ParkSync; der Zugriff der Betriebe ist auf den Änderungsverlauf ihrer eigenen Buchungen und Fahrzeugfotos beschränkt, Anmeldungen oder andere Vorgänge einzelner Nutzer sehen sie nicht. Eine Weitergabe an Dritte findet nicht statt; ausgenommen ist die Vorlage einzelner Einträge, soweit dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist (z. B. gegenüber Rechtsberatern oder Gerichten) oder wir gesetzlich dazu verpflichtet sind. Die Speicherung erfolgt bei unseren Dienstleistern nach Abschnitt 5.

Speicherdauer: Einträge werden bis zum Ende des dritten Kalenderjahres aufbewahrt, das auf das Jahr ihrer Erfassung folgt (Beispiel: Einträge aus 2026 bis zum 31.12.2029), und anschließend automatisch gelöscht. Die Frist orientiert sich an der regelmäßigen Verjährungsfrist (§§ 195, 199 BGB), innerhalb derer Ansprüche aus einem Vorgang typischerweise geltend gemacht werden können. Die kürzere Frist für technische Protokolle (Abschnitt 3 d) gilt für das Nachweisprotokoll nicht.

4. Verarbeitungen im Auftrag der Betriebe (Auftragsverarbeitung)

Die folgenden Daten der Parkkunden verarbeiten wir ausschließlich im Auftrag des jeweiligen Betriebs zur Abwicklung des Parkvorgangs. Rechtsgrundlage beim Betrieb ist regelmäßig Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Buchung):

  • Buchungsdaten: Name, optional E-Mail-Adresse und Telefonnummer, An-/Abreisezeiten, Kfz-Kennzeichen, Fahrzeugmarke, Passagierzahl, Kindersitz-Bedarf, gebuchte Extraleistungen, interne Notizen des Betriebs sowie organisatorische Vermerke (z. B. „Kunde angerufen", Check-in/Check-out).
  • Fahrzeugfotos: Bei der Übergabe kann das Team des Betriebs Zustandsfotos des Fahrzeugs aufnehmen. Fotos werden nach 90 Tagen automatisch gelöscht; in Datensicherungen sind sie höchstens 140 Tage nach ihrer Aufnahme enthalten (Abschnitt 7).
  • Kilometerstände: Erfassung bei Abgabe und Abholung zur Dokumentation des Fahrzeugzustands.
  • Flugnummern und Live-Flugdaten: Zur Shuttle-Planung können Flugnummern hinterlegt werden. Für den Live-Status rufen wir die öffentliche Ankunftsliste des Hamburg Airport ab (dabei werden keinerlei Daten übermittelt) und fragen beim Flugdaten-Dienst Flightradar24 ausschließlich Flugnummern und ein Zeitfenster an — es werden dabei keine personenbezogenen Daten der Parkkunden übermittelt.
  • Zahlungsart und Zahlungsstatus: Der Betrieb kann dokumentieren, ob und wie eine Buchung bezahlt wurde (z. B. bar, Karte, PayPal). ParkSync wickelt selbst keine Zahlungen ab und speichert keine Zahlungsinstrumente.
  • Check-in-Bestätigung und Unterschrift: Beim Check-in kann der Parkkunde die Fahrzeug-Übergabe digital unterschreiben; die Unterschrift wird als Übergabe-Nachweis zur Buchung gespeichert. Die Unterschrift ist freiwillig, wird als einfacher Linienzug ohne Druck- oder Geschwindigkeitsmessung gespeichert und nicht biometrisch ausgewertet. Zudem versenden wir im Namen des Betriebs eine einmalige Bestätigungs-E-Mail über den erfolgten Check-in an die E-Mail-Adresse des Parkkunden.
  • Rechnungen des Betriebs: Der Betrieb kann über ParkSync Rechnungen an seine Kunden erstellen (Name, Anschrift, Beträge).
  • Buchungen aus Vermittlungsportalen: Hat der Betrieb ein Vermittlungsportal (z. B. Parkos oder Holiday Extras) angebunden, rufen wir die dort für den Betrieb eingegangenen Buchungen im Auftrag des Betriebs über die Schnittstelle des Portals ab und übernehmen sie in dessen Konto. Vom Portal erhalten wir dabei die Buchungsnummer des Portals, Name, E-Mail-Adresse und Telefonnummer des Parkkunden, das Kfz-Kennzeichen, An- und Abreisezeitpunkte, den gebuchten Preis sowie Storno- und Umbuchungsmeldungen. Personenbezogene Daten übermitteln wir dabei nicht an das Portal; soweit die Anbindung es vorsieht, senden wir lediglich Preise und Verfügbarkeiten des Betriebs. Für den Buchungsvorgang auf seiner eigenen Plattform ist das Portal selbst Verantwortlicher; Einzelheiten ergeben sich aus der Datenschutzerklärung des Portals. Für die übernommenen Daten gelten dieselben Speicherfristen wie für andere Buchungsdaten (Abschnitt 7).
  • Änderungsverlauf: Anlage, Änderung und Löschung dieser Daten werden mit handelndem Konto bzw. System, Zeitpunkt und geänderten Feldern im Nachweisprotokoll festgehalten (Abschnitt 3 j). Name, E-Mail-Adresse, Telefonnummer, Anschrift, Kfz-Kennzeichen und Unterschrift der Parkkunden erscheinen dort nur pseudonymisiert als Prüfwert (Hashwert), nicht im Klartext.

Betroffene wenden sich zur Ausübung ihrer Rechte bevorzugt an den jeweiligen Parkplatzbetreiber; erreichen uns solche Anfragen direkt, leiten wir sie an den Betrieb weiter bzw. nennen den Verantwortlichen (Abschnitt 8). Den Auftragsverarbeitungsvertrag einschließlich der aktuellen Liste der Unterauftragsverarbeiter stellen wir unter parksync.de/avv bereit.

5. Hosting und Dienstleister

Wir setzen folgende Dienstleister ein:

  • Supabase (Datenbank & Authentifizierung) — die Projektdaten werden in der Region EU (Frankfurt am Main) gespeichert. Mit Supabase besteht ein Auftragsverarbeitungsvertrag.
  • Hetzner Online GmbH (Server-Hosting der Anwendung sowie Speicherplatz für unsere verschlüsselten Datensicherungen, jeweils in Rechenzentren in Deutschland). Die Sicherungen werden auf unserem Anwendungsserver verschlüsselt, bevor sie auf den Sicherungsspeicher übertragen werden; das zum Entschlüsseln nötige Passwort wird nicht auf dem Sicherungsspeicher abgelegt. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag.
  • STRATO GmbH (E-Mail-Versand und E-Mail-Postfach, Deutschland).
  • Hamburg Airport (Flughafen Hamburg GmbH, Open-Data-API)— wir rufen nur die öffentlichen Ankunfts- und Abfluglisten ab; es werden keine Daten übermittelt, auch keine Flugnummern oder Buchungsdaten.
  • Flugdaten-Dienst (Flightradar24 AB, Stockholm, Schweden) — erhält ausschließlich Flugnummern und ein Zeitfenster, keine personenbezogenen Daten der Parkkunden.
  • Stripe Payments Europe, Ltd. (Zahlungsabwicklung der Abonnements, Irland; Übermittlung an verbundene Unternehmen in den USA möglich — EU-Standardvertragsklauseln und EU-US Data Privacy Framework). Erhält nur Abrechnungsdaten des Betriebs, keine personenbezogenen Daten der Parkkunden.

6. Übermittlung in Drittländer

Die Speicherung und Verarbeitung der Plattformdaten erfolgt grundsätzlich in der EU (Deutschland bzw. EU-Region Frankfurt). Einzelne Dienstleister können jedoch im Rahmen von Support, Wartung, Telemetrie oder durch Unterauftragnehmer personenbezogene Daten auch außerhalb des EWR (z. B. USA) verarbeiten. In diesen Fällen stützt sich die Übermittlung auf geeignete Garantien nach Art. 46 DSGVO, insbesondere EU-Standardvertragsklauseln, bzw. auf Angemessenheitsbeschlüsse der EU-Kommission. Eine Kopie der EU-Standardvertragsklauseln ist über die Europäische Kommission abrufbar; auf Anfrage an mail@parksync.de stellen wir sie ebenfalls bereit. Anfragen an den Flugdaten-Dienst enthalten keine personenbezogenen Daten.

7. Speicherdauer

Wir speichern Daten nach Datenarten getrennt:

  • Konto- und Vertragsdaten der Betriebe: für die Dauer des Vertrags; danach nur, soweit gesetzliche Aufbewahrungspflichten bestehen.
  • Rechnungs- und Buchungsbelege: gemäß den handels- und steuerrechtlichen Fristen (je nach Unterlage grundsätzlich 6, 8 oder 10 Jahre; für Buchungsbelege gilt seit 2025 grundsätzlich eine achtjährige Frist).
  • Buchungsdaten der Parkkunden: nach Weisung des jeweiligen Betriebs; spätestens mit Vertragsende des Betriebs werden sie exportiert und anschließend gelöscht, soweit keine gesetzlichen Pflichten entgegenstehen. Sie werden nicht allein deshalb aufbewahrt, weil für Rechnungsbelege längere Fristen gelten.
  • Fahrzeugfotos: automatische Löschung nach 90 Tagen (in Datensicherungen höchstens 140 Tage nach der Aufnahme, siehe „Datensicherungen").
  • Technische Server- und API-Protokolle (Abschnitt 3 d): regelmäßige Löschung, spätestens nach 90 Tagen.
  • Nachweisprotokoll (Abschnitt 3 j): bis zum Ende des dritten auf die Erfassung folgenden Kalenderjahres, danach automatische Löschung.
  • Kontaktanfragen: Löschung nach abschließender Bearbeitung.
  • Demo-Eingaben (öffentliche Testumgebung): automatische Löschung nach 7 Tagen (Einträge im Nachweisprotokoll: Speicherdauer nach Abschnitt 3 j).
  • Datensicherungen: Zum Schutz vor Datenverlust (z. B. durch technische Störungen, Fehlbedienung oder Angriffe) sichern wir die Datenbank der Plattform einschließlich der Anmeldedaten sowie die Fahrzeugfotos in der Regel täglich verschlüsselt in einem Rechenzentrum in Deutschland (Abschnitt 5); zusätzlich hält unser Datenbank-Dienstleister eigene tägliche Sicherungen nach seinen Vorgaben vor (derzeit 7 Tage). Sicherungen werden nicht einzeln bearbeitet, sondern nach Ablauf ihrer Aufbewahrungsfrist automatisch gelöscht. Daten, die im laufenden Betrieb gelöscht wurden, können deshalb noch bis zu 100 Tage in einer Sicherung enthalten sein; abweichend davon sind Fahrzeugfotos in Sicherungen höchstens 140 Tage nach ihrer Aufnahme enthalten, auch wenn sie schon früher gelöscht wurden. Die Sicherungen verwenden wir ausschließlich, um Daten nach einem Datenverlust wiederherzustellen und um zu prüfen, dass sie vollständig und wiederherstellbar sind; zu anderen Zwecken werden sie nicht verwendet. Spielen wir eine Sicherung zurück, löschen wir Daten, deren Löschfrist inzwischen abgelaufen ist, erneut und holen Löschungen nach, die nach dem Stand der Sicherung erfolgt sind, soweit sie sich feststellen lassen (z. B. anhand des Nachweisprotokolls oder in Abstimmung mit den Betrieben) — jeweils bevor die wiederhergestellten Daten wieder genutzt werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Datenverlust, sicherer Betrieb, vgl. Art. 32 Abs. 1 lit. c DSGVO); für Daten, die wir im Auftrag der Betriebe verarbeiten, ist die Sicherung eine technische und organisatorische Maßnahme der Auftragsverarbeitung (Art. 28, 32 DSGVO).

8. Ihre Rechte

Sie haben gegenüber dem jeweiligen Verantwortlichen folgende Rechte:

  • Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
  • Berichtigung unrichtiger Daten (Art. 16 DSGVO)
  • Löschung (Art. 17 DSGVO) und Einschränkung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO)
  • Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
  • Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung genügt eine formlose E-Mail an mail@parksync.de. Betrifft Ihr Anliegen eine Buchung bei einem Parkplatzbetreiber, ist für die Parkleistung der Betreiber verantwortlich; haben Sie über ein Portal gebucht, ist für den Buchungsvorgang auf dem Portal zusätzlich das Portal verantwortlich. Wir leiten Ihre Anfrage an den Betreiber weiter bzw. nennen Ihnen den zuständigen Verantwortlichen.

9. Datensicherheit

Alle Verbindungen sind TLS-verschlüsselt. Zugriff auf Betriebsdaten haben nur authentifizierte Nutzer des jeweiligen Betriebs (mandantengetrennte Datenhaltung mit Zugriffskontrollen auf Datenbank-Ebene); Portale erhalten Zugriff ausschließlich über einzeln vergebene, jederzeit sperrbare API-Schlüssel. Änderungen an Daten werden manipulationsgeschützt im Nachweisprotokoll festgehalten (Abschnitt 3 j). Datenbank und Fahrzeugfotos werden zusätzlich verschlüsselt gesichert (Abschnitt 7); die Wiederherstellung aus diesen Sicherungen wird regelmäßig getestet.

Stand: 25. Oktober 2026 (Nachweisprotokoll: Buchungsseiten der Betriebe)