Datenschutzerklärung
Information nach Art. 13 / 14 DSGVO
Zuletzt aktualisiert: 22.05.2026 · Version: 2026-05-22-v7
Diese Datenschutzerklärung informiert dich darüber, wie wir bei der Bereitstellung der Trailo-Plattform mit deinen personenbezogenen Daten umgehen. Sie gilt für alle Nutzer der App unter app.trailo.io und der zugehörigen Websites.
1. Verantwortlicher und Rollen
1.1 Verantwortlicher
Felix Bächle
Selbständiger Einzelunternehmer (trabalhador independente), handelnd unter der Marke „Trailo"
Rua Bernardim Ribeiro 47, 2.º
1150-070 Lissabon, Portugal
NIF: 310659655 · USt-IdNr: PT310659655
E-Mail: legal@trailo.io
1.2 Rollenverteilung (wichtig zu verstehen)
Trailo ist Verantwortlicher („Controller") für die folgenden Datenverarbeitungen:
- Account-Erstellung und -Verwaltung (E-Mail, Name, Passwort-Hash, MFA-Faktoren)
- Authentifizierung und Session-Management
- Abrechnung mit dem Customer (deinem Arbeitgeber, sofern du im B2B-Kontext nutzt)
- Sicherheits-Telemetrie und Fehler-Diagnose
- Weiterentwicklung und technischer Betrieb der Plattform
Wenn du die Trailo-Plattform im Auftrag deines Arbeitgebers nutzt (z. B. als Fahrer, Disponent oder Administrator eines Unternehmens, das Trailo abonniert hat), ist dein Arbeitgeber der Verantwortliche für alle Daten, die innerhalb dessen Trailo-Account verarbeitet werden — also Kundendaten, Stopp-Daten, Routendaten, Fragebogenantworten, Standortdaten und ähnliche operative Daten. Trailo ist insoweit lediglich Auftragsverarbeiter („Processor") im Sinne von Art. 28 DSGVO. Die Bedingungen dieser Verarbeitung sind in unserer DPA geregelt.
Anfragen zu deinen operativen Daten (Auskunft, Löschung, Korrektur etc.) richtest du in diesem Fall bitte direkt an deinen Arbeitgeber, nicht an uns.
2. Erhobene Daten und Verarbeitungszwecke
2.1 Bei Registrierung und Account-Nutzung (Trailo als Verantwortlicher)
| Datenkategorie | Zweck | Rechtsgrundlage |
|---|---|---|
| Vor- und Nachname, geschäftliche E-Mail-Adresse, Firma | Account-Erstellung, Anmeldung, Kommunikation | Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) |
| Passwort-Hash, MFA-Faktoren, Backup-Codes (gehasht) | Authentifizierung, Account-Sicherheit | Vertragserfüllung + berechtigtes Interesse (Art. 6 Abs. 1 lit. b und f DSGVO) |
| IP-Adresse, Geräte-/Browser-Metadaten, Login-Zeitpunkte | Sicherheit, Betrugs- und Missbrauchsabwehr, Audit-Logging | Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) |
| SHA-256-Hashes deiner E-Mail-Adresse und E-Mail-Domain (keine Klartext-E-Mail) | Verhinderung von Free-Trial-Missbrauch durch wiederholtes Anlegen und Löschen von Accounts mit derselben Adresse / Firmen-Domain | Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) — Anti-Fraud |
| Trusted-Device-Cookies (für 2FA-Bypass) | Komfort bei wiederkehrenden Logins von einem vertrauten Gerät | Einwilligung beim 2FA-Setup (Art. 6 Abs. 1 lit. a DSGVO) |
| Sprach- und Zeitzonen-Präferenz | Lokalisierte Darstellung | Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) |
| Zahlungs-Metadaten (Plan, Subscription-Status, USt-IdNr; keine Kreditkartendaten) | Abrechnung, Mehrwertsteuer-Korrekt-Ausweis | Vertragserfüllung + rechtliche Verpflichtung (Art. 6 Abs. 1 lit. b und c DSGVO) |
| Zustimmungs-Logs (Versionen + Datum für Terms / DPA / Privacy) | Nachweis der DSGVO-konformen Vertragsannahme | Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) |
| Server-Logs (HTTP-Anfragen, Fehlerausgaben) | Betrieb, Stabilität, Fehlerdiagnose | Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) |
2.2 Bei produktiver Nutzung der Plattform (Customer als Verantwortlicher)
Wenn du die Plattform im Rahmen eines Customer-Abonnements nutzt, verarbeitet Trailo im Auftrag des Customers u. a.:
- Namen und Kontaktdaten von Fahrern, Disponenten, Administratoren und deren Kunden
- Standortdaten (GPS-Koordinaten, Adressen, Routenhistorie)
- Fahrzeug- und Schicht-Zuordnungsdaten
- Aufgaben-, Stopp- und Fragebogen-Daten inkl. Fotos und Unterschriften
Die Verarbeitungszwecke und Rechtsgrundlagen für diese Daten bestimmt der Customer. Details regelt die DPA.
3. Empfänger und Sub-Prozessoren
Wir geben Daten nur an sorgfältig ausgewählte Auftragsverarbeiter und Dienstleister weiter, mit denen Verträge nach Art. 28 DSGVO bestehen. Die folgende Liste umfasst alle Sub-Prozessoren, die im Rahmen der Plattform Personendaten verarbeiten können:
| Sub-Prozessor | Standort | Funktion | Übermittlungsmechanismus |
|---|---|---|---|
| Supabase, Inc. | EU (Frankfurt, DE) | Datenbank, Authentifizierung, Datei-Speicher | EU — keine Drittland-Übermittlung; ISO 27001 / SOC 2 |
| Vercel Inc. | USA (HQ); EU-Edge | Hosting, CDN, Serverless-Compute | EU-US DPF + SCCs; SOC 2 Type II |
| Hostinger International Ltd. | EU (Litauen / Niederlande) | Hosting der öffentlichen Marketing-Website (trailo.io) — statische Inhalte; verarbeitet nur Server-Logs (IP-Adresse, User-Agent, Zeitstempel) | EU — keine Drittland-Übermittlung; ISO 27001 |
| Stripe Payments Europe | EU (Irland) + USA | Subscription-Abrechnung, Zahlungsabwicklung | EU-US DPF + SCCs; PCI-DSS Level 1 |
| Resend, Inc. | USA | Transaktionale E-Mails (Anmeldung, Reset, Benachrichtigungen) | EU-US DPF + SCCs |
| Calendly, LLC | USA | Terminbuchung über die Trailo-Website (nur aktiv, wenn ein Termin gebucht wird — kein passives Tracking) | EU-US DPF + SCCs |
| Google Ireland Limited / Google LLC | EU (Irland) + USA | Google Tag Manager (Container-Verwaltung); Google Analytics 4 (Reichweitenmessung — nur mit Statistik-Einwilligung, mit IP-Anonymisierung, ohne Übermittlung der Trailo-User-ID); Google Ads Conversion-Tracking + Remarketing (nur mit Marketing-Einwilligung); Cross-Domain-gclid-Linker zwischen trailo.io ↔ app.trailo.io | EU-US DPF + SCCs; Google ist DPF-zertifiziert |
| Functional Software, Inc. (Sentry) | EU (Frankfurt, DE) | Fehler- und Performance-Monitoring (mit clientseitigem PII-Filter) | EU — Data Residency in der EU |
| Upstash, Inc. | EU (Frankfurt) für Trailo-Workloads | Redis-basiertes Rate-Limiting und Caching | EU-Region; SCCs als Fallback |
| Hetzner Online GmbH | DE (Falkenstein / Nürnberg) | Hosting der Routenoptimierung (VROOM + OSRM auf eigener Infrastruktur, DACH-OSM-Daten) | EU — keine Drittland-Übermittlung; ISO 27001 |
| HeiGIT gGmbH | DE (Heidelberg) | OpenRouteService Directions-API für Routen-Geometrie (Polyline-Darstellung auf der Karte) | EU — keine Drittland-Übermittlung |
| HERE Europe B.V. | NL (Eindhoven) | Geokodierung und Adressvervollständigung (HERE Geocoding & Search v7) — server-seitig über /api/geocode, Ergebnisse in EU gecacht | EU — keine Drittland-Übermittlung |
| OpenStreetMap Foundation | UK / EU | Karten-Tiles (tile.openstreetmap.org); Nominatim wird nur als Fallback genutzt, wenn HERE nicht verfügbar ist | UK — Adequacy-Decision der EU-Kommission |
Eine aktuelle Liste ist auf Anfrage an subprocessors@trailo.io erhältlich. Bei wesentlichen Änderungen an der Sub-Prozessor-Liste informieren wir Customer mindestens 30 Tage im Voraus über die in der DPA festgelegte Vereinbarung.
4. Übermittlung in Drittländer
Die Hauptverarbeitung deiner Daten findet in der Europäischen Union statt (Datenbank in Frankfurt). Bei einigen Sub-Prozessoren mit Sitz außerhalb der EU/EWR (Vercel, Stripe, Resend, Upstash, Google — siehe Tabelle oben) kann es zu einer Übermittlung in die USA kommen. In diesen Fällen stützen wir uns auf:
- das EU-US Data Privacy Framework (DPF) gemäß Beschluss (EU) 2023/1795 für DPF-zertifizierte Empfänger,
- die Standardvertragsklauseln der EU-Kommission (SCCs) gemäß Beschluss (EU) 2021/914 als Fallback,
- technische und organisatorische ergänzende Maßnahmen (Verschlüsselung at-rest und in-transit, Zugriffskontrollen, Audit-Logging, PII-Filter).
Für US-basierte Sub-Prozessoren halten wir eine Transfer-Impact-Assessment (TIA) vor, die auf Anfrage einsehbar ist.
5. Speicherdauer
Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist:
- Account-Daten (Profil, Auth, MFA): bis zur Löschung des Accounts durch dich oder den Customer-Admin, danach Löschung innerhalb 30 Tage gemäß DPA Abschnitt 10.
- Anti-Fraud-Hashes (SHA-256 deiner E-Mail-Adresse und E-Mail-Domain — siehe Tabelle in Abschnitt 2.1): werden unbefristet aufbewahrt und überstehen die Löschung deines Accounts bewusst. Die Hashes sind nicht reversibel; sie können nur per direktem Vergleich („wurde mit dieser konkreten Adresse bzw. Firmen-Domain bereits ein Free-Trial in Anspruch genommen?") geprüft werden. Eine Re-Identifikation der ursprünglichen E-Mail aus dem Hash ist nicht möglich. Der dauerhafte Erhalt ist erforderlich, um wiederholten Trial-Missbrauch („Account löschen → neu anmelden") zu verhindern; das ist das mildeste Mittel im Vergleich zu IP- oder Geräte-Fingerprinting.
- Zustimmungs-Logs (Terms / DPA / Privacy): mindestens für die Dauer des Account-Bestehens, danach gemäß handelsrechtlicher Aufbewahrungspflichten ggf. bis zu 10 Jahre.
- Rechnungs- und Abrechnungsdaten: gemäß portugiesischem Steuer- und Buchführungsrecht (Código do IVA, Decreto-Lei n.º 28/2019) in der Regel 10 Jahre.
- Server-Logs / Sentry-Fehler: bis zu 90 Tage, danach automatische Löschung.
- Google Analytics 4 (nur bei Statistik-Einwilligung): Cookies
_gaund_ga_*jeweils bis zu 24 Monate. Eventdaten in GA4: bis zu 14 Monate (kürzeste GA4-Property-Aufbewahrung). Bei Widerruf der Statistik-Einwilligung werden keine weiteren Beacons gesendet. - Google Ads (nur bei Marketing-Einwilligung): Cookies
_gcl_au,_gcl_awbis zu 90 Tage. Der bei einer erfolgreichen Registrierung an Google übermittelte SHA-256-Hash deiner E-Mail (Enhanced Conversions) wird von Google nach der Conversion-Zuordnung gelöscht (Google-Aufbewahrung typischerweise ≤ 30 Tage). - Operative Daten (Stopps, Routen, Fragebogen-Antworten): wie vom Customer in seiner Datenschutz-Konfiguration festgelegt; Standardmäßig nicht automatisch gelöscht.
6. Deine Rechte
Du hast nach DSGVO jederzeit das Recht auf:
- Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO) — Self-Service via Profil → Datenschutz → Datenexport
- Berichtigung unrichtiger Daten (Art. 16 DSGVO) — direkt im Profil bearbeitbar
- Löschung deiner Daten (Art. 17 DSGVO) — über den Account-Löschen-Button oder via E-Mail an uns
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO) — JSON-/CSV-Export
- Widerspruch gegen Verarbeitung auf Grundlage berechtigten Interesses (Art. 21 DSGVO)
- Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
- Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO) — zuständig ist primär die portugiesische Datenschutzaufsicht (Comissão Nacional de Proteção de Dados, CNPD, cnpd.pt) oder die Aufsicht in deinem gewöhnlichen Aufenthaltsort
Anfragen zu Trailo-eigenen Verarbeitungen richtest du an legal@trailo.io. Anfragen zu operativen Daten innerhalb eines Customer-Accounts richtest du bitte direkt an deinen Arbeitgeber (siehe Abschnitt 1.2).
8. Datensicherheit
Wir implementieren branchenübliche technische und organisatorische Maßnahmen zum Schutz deiner Daten, darunter:
- Verschlüsselung in der Übertragung (TLS 1.2+) und im Ruhezustand (AES-256)
- Tenant-isolierte Datenarchitektur mit Row-Level-Security auf Datenbank-Ebene
- Mehr-Faktor-Authentifizierung verfügbar für alle Account-Typen, verpflichtend für administrative Zugriffe
- Web-Application-Firewall, Rate-Limiting auf sensiblen Endpoints
- Sicherheits-HTTP-Header (HSTS, CSP, X-Frame-Options, Permissions-Policy)
- Regelmäßige Dependency- und Vulnerability-Scans
- Audit-Logging administrativer Aktionen
- Tägliche automatisierte Backups mit Point-in-Time-Recovery
Detaillierte technische und organisatorische Maßnahmen sind in unserer DPA, Abschnitt 6, dokumentiert.
9. Verpflichtung zur Bereitstellung
Die Bereitstellung der unter Abschnitt 2.1 genannten Daten ist für die Nutzung der Plattform erforderlich. Ohne diese Daten können wir keinen Account anlegen und die Plattform nicht für dich bereitstellen. Es besteht jedoch keine gesetzliche Pflicht zur Bereitstellung — du kannst auf eine Nutzung der Plattform verzichten.
10. Automatisierte Entscheidungsfindung
Wir setzen keine ausschließlich automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO ein. Algorithmische Funktionen wie Routenoptimierung dienen ausschließlich der Vorbereitung von Entscheidungen, die letztlich vom Customer (Disponent / Administrator) getroffen werden.
11. Änderungen dieser Datenschutzerklärung
Wir können diese Datenschutzerklärung anpassen, wenn sich die Verarbeitung ändert oder rechtliche Anforderungen es verlangen. Bei wesentlichen Änderungen informieren wir registrierte Nutzer per E-Mail oder über einen Hinweis in der App und holen, soweit erforderlich, eine erneute Zustimmung ein. Die jeweils aktuelle Version ist auf dieser Seite verfügbar.