Datenschutzerklärung

Verantwortlicher im Sinne der DSGVO für die Datenverarbeitung auf dieser Website ist:

ZONEVO GbR
Erich-Wolf-Straße 10
63840 Hausen
Deutschland
E-Mail: info@zonevo.de
Telefon: +49 151 22232625

Für alles, was auf dieser Website und im eigenen Kundenverhältnis verarbeitet wird (Websitebesuch, Anfragen, Registrierung, Abrechnung, Support), ist ZONEVO GbR Verantwortliche. Das ist der Gegenstand dieser Erklärung.

Anders liegt es bei den Daten, die unsere Kunden in der Plattform verarbeiten — etwa Kontakte, Leads, Bewerberinnen und Bewerber. Dafür ist die jeweilige Kundenorganisation Verantwortliche; ZONEVO GbR ist insoweit Auftragsverarbeiterin nach Art. 28 DSGVO und verarbeitet diese Daten ausschließlich weisungsgebunden für den Betrieb der Plattform. Wer über ein Bewerbungsformular oder eine Karriereseite eines Kunden Daten eingibt, richtet Auskunfts-, Berichtigungs- und Löschansprüche deshalb an das jeweilige Unternehmen, das die Seite betreibt und in deren Formular genannt ist — nicht an uns. Wir leiten solche Anfragen an den betreffenden Kunden weiter.

Wir verarbeiten personenbezogene Daten für folgende Zwecke:

• Bereitstellung und technisch fehlerfreier Betrieb der Website (Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einem funktionierenden, sicheren Angebot).
• Abwehr von Missbrauch öffentlicher Formulare, insbesondere durch eine IP-bezogene Begrenzung der Absendehäufigkeit (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Abwehr automatisierter Massenzusendungen).
• Bearbeitung von Anfragen per E-Mail, Telefon oder über das Enterprise-Anfrageformular (Art. 6 Abs. 1 lit. b DSGVO bei Vertragsanbahnung, sonst Art. 6 Abs. 1 lit. f DSGVO).
• Registrierung, Abrechnung und Betrieb eines Organisationskontos einschließlich der Zahlungsabwicklung (Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung; für die Rechnungs- und Belegaufbewahrung zusätzlich Art. 6 Abs. 1 lit. c DSGVO i. V. m. handels- und steuerrechtlichen Aufbewahrungspflichten).
• Erkennung und Behebung technischer Störungen im laufenden Betrieb (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einem stabilen, sicheren Angebot).
• Zuordnung von Bewerbungen und Seitenaufrufen zu einem Trackinglink auf den öffentlichen Recruiting-Seiten unserer Kunden (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse des jeweiligen Kunden an der Auswertung seiner Recruiting-Kanäle; siehe Abschnitt 5.3).

4.1 Auslieferung und Hosting. Diese Website wird bei Vercel Inc. gehostet und ausgeliefert. Dabei fallen technische Zugriffsdaten an (IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, Referrer, verwendeter Browser und Betriebssystem), wie sie beim Abruf jeder Website technisch anfallen. Sie dienen der Auslieferung der Seite sowie der Erkennung und Abwehr technischer Störungen und Angriffe.

4.2 Schriftarten. Schriftarten werden zur Build-Zeit über next/font selbst gehostet und zusammen mit der Website ausgeliefert. Der Browser baut dafür keine Verbindung zu fonts.googleapis.com oder fonts.gstatic.com auf.

4.3 Kartendemos. Die interaktiven Demos auf den öffentlichen Seiten (z. B. die Routenplanungs-Demo) verwenden ausschließlich Kartenkacheln, die wir vorab in unseren eigenen Supabase-Storage-Bucket kopiert haben. Beim Betrachten dieser Demos entsteht daher keine Verbindung des Besucher-Browsers zu einem externen Kartenanbieter, sondern nur zu unserer eigenen Supabase-Instanz. Kartenmaterial und Gebäudedaten dieser Demos beruhen auf OpenStreetMap-Daten (© OpenStreetMap-Mitwirkende, ODbL).

4.4 Cookies und Reichweitenmessung auf den Marketing-Seiten. Auf den öffentlichen Marketing-Seiten (Startseite, Funktionen, Modulseiten, Preise, Über uns, Enterprise-Anfrage, Kontakt, Impressum, Datenschutz, AGB) setzen wir keine Cookies und binden kein Werkzeug zur Reichweiten- oder Nutzungsmessung ein — weder Google Analytics noch PostHog, Plausible, Vercel Analytics oder ein vergleichbares Produkt. Verwendet wird ausschließlich der Speicher des Browsers für rein funktionale Zwecke innerhalb Ihres Besuchs, etwa um die gewählte Abrechnungsperiode auf der Preisseite oder einen bereits gesehenen Bedienhinweis zu merken; diese Angaben verlassen Ihren Browser nicht. Weil auf diesen Seiten nur technisch notwendige Verfahren zum Einsatz kommen, ist keine Einwilligung nach § 25 Abs. 1 TDDDG erforderlich und es wird hier kein Einwilligungsbanner angezeigt. Das Banner unten auf den Bewerbungs-/Karriereseiten (Abschnitt 5.3) betrifft ausschließlich jene Seiten.

4.5 Fehlerüberwachung. Für die Erkennung technischer Fehler ist Sentry eingebunden. Eine Übertragung findet nur im Fehlerfall und nur dann statt, wenn die Fehlerüberwachung für die jeweilige Umgebung aktiviert ist; übertragen werden technische Diagnosedaten wie Fehlermeldung, betroffene Seite, Zeitpunkt und technische Umgebungsdaten. Eine Aufzeichnung ganzer Nutzersitzungen (Session Replay) ist nicht eingebunden.

5.1 E-Mail und Telefon. Nehmen Sie über die auf der Kontaktseite angegebene E-Mail-Adresse oder Telefonnummer Kontakt auf, verarbeiten wir die dabei von Ihnen übermittelten Angaben, um Ihre Anfrage zu beantworten.

5.2 Enterprise-Anfrage. Unter /enterprise-anfrage steht ein Formular für Anfragen ab 51 Benutzerplätzen zur Verfügung. Verarbeitet werden die dort eingegebenen Angaben: Vor- und Nachname, geschäftliche E-Mail-Adresse und — soweit angegeben — Telefonnummer und Position, Angaben zum Unternehmen (Name, Website, Branche, Größe, Anzahl Standorte, Land), Angaben zum geplanten Einsatz sowie Ihre Freitextangaben. Die Anfrage wird in unserer Datenbank gespeichert. Ist der E-Mail-Versand für die Website aktiv, senden wir zusätzlich eine Eingangsbestätigung an die angegebene Adresse; die Bearbeitung Ihrer Anfrage hängt davon nicht ab. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) in Verbindung mit den beiden im Formular ausdrücklich erteilten Einwilligungen zur Kontaktaufnahme, Art. 6 Abs. 1 lit. a DSGVO. Während des Ausfüllens werden Ihre Eingaben zur Wiederherstellung nach einem versehentlichen Seitenwechsel im Speicher Ihres Browsers zwischengehalten und beim Absenden dort gelöscht.

5.3 Bewerbungsformulare und Karriereseiten unserer Kunden. Über die öffentlichen Adressen /apply/… und /karriere/… (auch über eine eigene Domain eines Kunden, siehe Abschnitt 5.4) veröffentlichen unsere Kunden eigene Bewerbungsformulare und Karriereseiten. Die dort eingegebenen Bewerbungsdaten verarbeiten wir ausschließlich im Auftrag des jeweiligen Unternehmens (siehe Abschnitt 2) — das Absenden einer Bewerbung funktioniert unabhängig von den beiden folgenden, ausdrücklich optionalen Verfahren.

Für die Auswertung der Herkunft einer Bewerbung setzen wir zwei Verfahren ein, wenn Sie dem zustimmen: eine zufällige, dauerhafte Kennung im lokalen Speicher des Browsers (vp_session_id), die zusammen mit Gerätetyp, Referrer und etwaigen Kampagnenparametern an uns übermittelt wird, um Seitenaufrufe und Formularschritte demselben Besuch zuordnen zu können, sowie ein Cookie mit dem Namen vp_ref mit einer Laufzeit von 30 Tagen, das ausschließlich die Kennung des angeklickten Trackinglinks enthält. Beide Verfahren enthalten keinen Namen und keine Kontaktdaten, sind aber eine Wiedererkennung im Sinne von § 25 Abs. 1 TDDDG und deshalb einwilligungspflichtig: ein Banner auf den Bewerbungs-/Karriereseiten fragt beim ersten Besuch danach — mit gleichwertigen Schaltflächen „Alle akzeptieren“, „Alle ablehnen“ und einer Auswahl nach Zweck. Beide Verfahren werden ausschließlich angelegt, wenn eine Einwilligung vorliegt — nicht erst bei der späteren Auswertung, sondern schon beim Anlegen selbst: vp_session_id wird ohne Einwilligung nie angelegt. Beim Aufruf eines Trackinglinks (/r/…) selbst wird noch KEIN Cookie gesetzt — der Trackinglink-Redirect trägt die Kennung des Links nur als Teil der Ziel-Adresse weiter (kein Zugriff auf Ihr Endgerät, deshalb keine Einwilligung nötig, dieselbe Einordnung wie Kampagnenparameter in der URL). Erst auf der Zielseite entscheidet Ihre tatsächliche Einwilligung: liegt zu diesem Zeitpunkt bereits eine Einwilligung aus einem früheren Besuch vor, wird das vp_ref-Cookie sofort angelegt. Liegt noch keine Entscheidung vor, bleibt die Kennung ausschließlich im Arbeitsspeicher dieser Browser-Registerkarte — kein Cookie, kein lokaler Speicher — und wird erst dann als Cookie abgelegt, wenn Sie WÄHREND desselben Seitenaufrufs tatsächlich „Alle akzeptieren“ oder eine Auswahl mit dieser Zustimmung wählen. Lehnen Sie ab oder treffen nie eine Entscheidung, verfällt die Kennung beim Verlassen der Seite spurlos — ein erstmaliger Klick kann Ihre Bewerbung deshalb genauso einer Quelle zuordnen wie ein wiederkehrender, sofern Sie zustimmen. Die Bewerbung selbst wird davon unabhängig immer vollständig gespeichert, notfalls ohne Kanalzuordnung. Ihre Entscheidung können Sie jederzeit über den Link „Datenschutzeinstellungen“ im Seitenfuß ändern oder widerrufen; ein Widerruf löscht eine bereits abgelegte vp_session_id sofort. Das Cookie vp_ref gilt technisch für die gesamte Domain und wird deshalb, wenn es einmal gesetzt ist, auch beim Aufruf der Marketing-Seiten mitgesendet; ausgewertet wird es aber nie dort, sondern höchstens bei einer Bewerbung und auf den Karriereseiten unserer Kunden.

5.4 Bewerbungsformular unter der eigenen Domain eines Kunden. Für einzelne Kunden wird die Wurzeladresse einer von ihnen selbst betriebenen Domain serverseitig auf ihr Bewerbungsformular umgeschrieben — Sie sehen dabei durchgehend die Adresse des Kunden, technisch liefern wir dieselbe Seite wie unter /apply/… aus. Cookie-Einwilligung und Banner verhalten sich identisch und gelten separat je Domain: eine auf zonevo.app erteilte oder abgelehnte Einwilligung überträgt sich nicht automatisch auf die Domain eines Kunden und umgekehrt, weil Cookies und lokaler Speicher browserseitig strikt je Domain getrennt sind.

Für die Registrierung eines Organisationskontos verarbeiten wir Name, Unternehmensname, E-Mail-Adresse und Passwort. Datenbank und Authentifizierung laufen über Supabase; das Passwort wird ausschließlich als kryptografischer Hash gespeichert, nie im Klartext. Für angemeldete Nutzer wird ein technisch notwendiges Sitzungs-Cookie gesetzt, das den Login-Zustand hält — es dient keinem Analyse- oder Werbezweck.

Vor der ersten Anmeldung bestätigen wir die angegebene E-Mail-Adresse mit einem sechsstelligen Code, den wir an diese Adresse senden. Dafür speichern wir bis zum Abschluss der Bestätigung Ihre Nutzerkennung, die E-Mail-Adresse, den Ablaufzeitpunkt, die Zahl der Fehlversuche und einen kryptografischen Hash des Codes mit zufälligem Zusatzwert (Salt). Der Code selbst wird zu keinem Zeitpunkt im Klartext gespeichert — er steht ausschließlich in der versendeten E-Mail. Zusätzlich wird ein technisch notwendiges Cookie (zv_verify) gesetzt, das ausschließlich die laufende Bestätigung zuordnet, keine Angaben zu Ihrer Person enthält und für Skripte im Browser nicht auslesbar ist. Ein Code ist 15 Minuten gültig; abgelaufene und eingelöste Codes werden anschließend durch einen regelmäßigen Aufräumlauf gelöscht, der alles entfernt, was länger als 24 Stunden abgelaufen oder eingelöst ist. Zweck ist die Prüfung, dass die angegebene Adresse tatsächlich erreichbar ist und dem Konto zugeordnet werden kann; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) sowie Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Abwehr von Registrierungen mit fremden oder erfundenen Adressen.

Die Zahlungsabwicklung für kostenpflichtige Tarife erfolgt über Stripe. Beim Abschluss eines Abonnements werden die dafür erforderlichen Daten (insbesondere E-Mail-Adresse, Organisations- und Tarifzuordnung sowie die von Ihnen bei Stripe eingegebenen Zahlungs- und Rechnungsdaten) an Stripe übermittelt. Vollständige Zahlungsmitteldaten wie Kartennummern erreichen unsere Server nicht — sie werden ausschließlich bei Stripe eingegeben und dort verarbeitet. Wir erhalten von Stripe den Abonnement- und Zahlungsstatus sowie die Rechnungsbelege.

Die folgenden Dienste kommen ausschließlich im geschlossenen, angemeldeten Bereich der Plattform zum Einsatz — nicht beim Besuch der öffentlichen Website. Sie werden je nach gebuchtem Funktionsumfang und je nach Konfiguration der Kundenorganisation genutzt; für die dabei verarbeiteten Kundendaten gilt die in Abschnitt 2 beschriebene Rolle als Auftragsverarbeiterin.

• MapTiler — Kartendarstellung im Außendienst und in Cold Calling. Der Browser des angemeldeten Nutzers ruft dabei Kartenkacheln direkt bei MapTiler ab.
• GraphHopper — Berechnung von Fuß- und Fahrtrouten in der Außendienstplanung. Übermittelt werden ausschließlich Koordinaten, keine Personendaten.
• OpenStreetMap (Overpass-API, Nominatim) — Gebäude-, Straßen- und Adressdaten sowie Geokodierung. Diese Abfragen stellt unser Server, nicht der Browser des Nutzers.
• OffeneRegister.de — Abruf öffentlich zugänglicher Unternehmensregisterdaten zur Anreicherung von Firmendatensätzen (u. a. Namen vertretungsberechtigter Personen).
• Twilio — Telefonie im Cold Calling (Verbindungsaufbau, Verbindungsstatus), sofern eine Telefonieanbindung konfiguriert ist.
• Resend — Versand von System- und Benachrichtigungs-E-Mails der Plattform (z. B. Einladungen, Bestätigungen, Erinnerungen).
• Anthropic — KI-gestützte Funktionen (z. B. Vorschläge, Zusammenfassungen, Suchhilfen). Übermittelt werden die für die jeweilige Funktion erforderlichen Inhalte des Nutzers.
• Google, Microsoft, Zoho sowie IMAP-/SMTP-Server nach eigener Wahl — Anbindung des eigenen Postfachs im Modul Postfach. Die Verbindung besteht nur zu dem Konto, das der jeweilige Nutzer selbst verbindet; E-Mail-Inhalte werden ausschließlich für die Darstellung und den Versand in diesem Modul verarbeitet.

Beim Besuch der öffentlichen Website werden Daten technisch auf der Infrastruktur folgender Dienstleister verarbeitet, weil wir sie für den Betrieb dieser Website einsetzen:

• Vercel — Auslieferung und Hosting; jeder Seitenaufruf läuft über deren Server (Abschnitt 4.1).
• Supabase — Datenbank, Authentifizierung und Speicherung der Kartenkacheln für die Demos (Abschnitte 4.3, 5.2, 6).
• Resend — Versand der E-Mails, die aus einer Enterprise-Anfrage oder aus der Registrierung entstehen, sofern der E-Mail-Versand aktiv ist (Abschnitte 5.2, 6).
• Sentry — Fehlerüberwachung; eine Übertragung findet nur im Fehlerfall und nur bei aktivierter Fehlerüberwachung statt (Abschnitt 4.5).

Wir setzen diese Dienstleister ausschließlich für die jeweils genannten technischen Zwecke ein. Im angemeldeten Produktbereich kommen zusätzlich die in Abschnitt 7 genannten Dienstleister sowie Stripe für die Zahlungsabwicklung hinzu; welche Daten dabei jeweils übermittelt werden, steht in den Abschnitten 6 und 7. Eine Weitergabe zu Werbezwecken oder ein Verkauf von Daten findet nicht statt. Darüber hinaus geben wir personenbezogene Daten nur weiter, soweit wir gesetzlich dazu verpflichtet sind oder Sie eingewilligt haben.

Ein Teil der eingesetzten Dienstleister hat seinen Sitz in den Vereinigten Staaten oder gehört zu einem US-Konzern; dies betrifft Vercel, Supabase, Stripe, Resend, Twilio, Anthropic, Sentry sowie — bei einer entsprechenden Postfachverbindung — Google und Microsoft. Bei diesen Anbietern ist ein Zugriff aus den USA nicht ausgeschlossen, auch wenn Speicherung und Verarbeitung ganz oder überwiegend in europäischen Rechenzentren stattfinden.

Soweit ein Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist, stützt sich die Übermittlung auf den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Art. 45 DSGVO). Im Übrigen kommen als geeignete Garantie die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) in Betracht. Das gilt auch für Zoho, das Daten außerhalb der EU verarbeitet. Welche Garantie für einen bestimmten Dienstleister greift, hängt vom jeweiligen Anbieter ab — wir nennen sie Ihnen auf Anfrage.

Die Abfragen an die Kartierungs-, Geokodierungs- und Registerdienste (GraphHopper, Overpass-API, Nominatim, OffeneRegister.de) stellt ausschließlich unser Server. Dabei werden nur Koordinaten bzw. Firmenbezeichnungen übermittelt, keine personenbezogenen Daten von Website-Besuchern oder Nutzern. MapTiler wird dagegen im angemeldeten Bereich direkt vom Browser des Nutzers angesprochen; das Unternehmen hat seinen Sitz in der Schweiz, für die ein Angemessenheitsbeschluss der Europäischen Kommission besteht.

Auf Anfrage informieren wir Sie über die für einen konkreten Dienstleister geltenden Garantien. Wenden Sie sich dafür an info@zonevo.de.

• Technische Zugriffsdaten beim Websitebesuch werden im Rahmen des üblichen Betriebs kurzfristig vorgehalten und rotiert.
• Anfragen per E-Mail, Telefon oder über das Enterprise-Formular werden gespeichert, bis die Anfrage abschließend bearbeitet ist und keine Rückfragen mehr zu erwarten sind; anschließend werden sie gelöscht, soweit keine Aufbewahrungspflicht besteht.
• Konto- und Organisationsdaten bleiben für die Dauer des Vertragsverhältnisses gespeichert. Nach Löschung der Organisation wird das Konto gesperrt und zur Löschung vorgemerkt; die endgültige Entfernung erfolgt anschließend durch den Plattformbetrieb.
• Rechnungs- und Buchungsbelege unterliegen den handels- und steuerrechtlichen Aufbewahrungsfristen (in der Regel sechs bis zehn Jahre) und werden erst danach gelöscht.
• Das Cookie vp_ref läuft nach 30 Tagen ab. Bewerbungs- und Kundendaten in der Plattform werden nach den Vorgaben der jeweils verantwortlichen Kundenorganisation gelöscht.

Ihnen stehen nach der DSGVO folgende Rechte zu, die Sie jederzeit über die in Abschnitt 1 genannten Kontaktdaten geltend machen können:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen eine auf Art. 6 Abs. 1 lit. f DSGVO gestützte Verarbeitung (Art. 21 DSGVO)

Betrifft Ihre Anfrage Daten, die ein Kunde über die Plattform verarbeitet (etwa eine Bewerbung), richten Sie sie bitte an das jeweilige Unternehmen — siehe Abschnitt 2.

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Zuständig ist für uns die Aufsichtsbehörde am Sitz der Gesellschaft:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 27
91522 Ansbach

Unabhängig davon können Sie sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts oder Ihres Arbeitsplatzes wenden.

Soweit eine Verarbeitung auf einer Einwilligung beruht — etwa der Einwilligung zur Kontaktaufnahme im Enterprise-Anfrageformular —, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird. Eine formlose Nachricht an info@zonevo.de genügt.

Für die Recruiting-Attribution nach Abschnitt 5.3 (vp_ref/vp_session_id) geht das schneller: der Link „Datenschutzeinstellungen“ im Seitenfuß der Bewerbungs-/Karriereseiten öffnet dieselbe Auswahl wieder, mit der Sie ursprünglich entschieden haben — Widerruf und Erstentscheidung sind technisch derselbe Vorgang.

Die Angabe von Name, Unternehmensname, E-Mail-Adresse und Passwort bei der Registrierung ist erforderlich, um ein Organisationskonto anzulegen und den Nutzungsvertrag zu erfüllen — ohne diese Angaben ist keine Registrierung möglich. Gleiches gilt für die als Pflichtfelder gekennzeichneten Angaben im Enterprise-Anfrageformular, ohne die wir eine Anfrage nicht bearbeiten können. Alle übrigen Angaben sind freiwillig; eine Kontaktaufnahme per E-Mail oder Telefon ist vollständig freiwillig.

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt. KI-gestützte Funktionen der Plattform (Abschnitt 7) erzeugen Vorschläge für die Nutzer; die Entscheidung trifft stets ein Mensch.

Wir passen diese Erklärung an, wenn sich die beschriebenen Verarbeitungen, die eingesetzten Dienstleister oder die Rechtslage ändern. Maßgeblich ist jeweils die auf dieser Seite veröffentlichte Fassung; das Datum unten weist den aktuellen Stand aus.