Datenschutzerklärung

1. Überblick & Geltungsbereich

Diese Datenschutzerklärung informiert dich darüber, wie wir personenbezogene Daten verarbeiten, wenn du die piccab Fahrgast-App nutzt, um Taxifahrten zu buchen. piccab vermittelt dir Taxifahrten im Raum Ingolstadt: Du buchst über die App eine Fahrt, wir vermitteln deine Anfrage an ein angeschlossenes Taxiunternehmen, dessen Fahrer die Fahrt durchführt. Bezahlt wird ausschließlich direkt im Taxi (bar oder per Karte beim Fahrer) – piccab verarbeitet selbst keine Zahlungsdaten.

Geltungsbereich: Diese Datenschutzerklärung gilt für die piccab Fahrgast-App sowie für unsere Website unter piccab.de. Bei einem reinen Besuch unserer Website verarbeiten wir lediglich technisch notwendige Server-Logdaten (einschließlich IP-Adresse) zur sicheren und stabilen Bereitstellung der Seite auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO); Analyse- oder Marketing-Cookies setzen wir auf der Website nur nach deiner Einwilligung. Die Datenverarbeitung im Verhältnis zu den Fahrern bzw. Taxiunternehmen richtet sich nach gesonderten vertraglichen Regelungen und ist nicht Gegenstand dieser Erklärung.

Website-Analyse (Google Analytics 4): Auf unserer Website piccab.de setzen wir – ausschließlich nach deiner Einwilligung über das Cookie-Banner – Google Analytics 4 ein, um die Nutzung der Website statistisch auszuwerten. Anbieter ist die Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland, ggf. unter Beteiligung der Google LLC, USA. Wir verwenden die Mess-ID G-121G9JS1RP; die IP-Adresse wird gekürzt (anonymize_ip). Dabei werden Cookies (insbesondere _ga und _ga_*) mit einer Laufzeit von bis zu 24 Monaten gesetzt. Die Verarbeitung erfolgt erst, nachdem du im Cookie-Banner „Akzeptieren“ gewählt hast; ohne Einwilligung wird kein Analyse-Skript geladen und kein Analyse-Cookie gesetzt. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG), die du jederzeit über „Cookie-Einstellungen“ im Footer der Website mit Wirkung für die Zukunft widerrufen kannst. Dabei kann eine Übermittlung in die USA erfolgen (siehe Abschnitt 16); Google ist nach dem EU-US Data Privacy Framework zertifiziert. Die Aufbewahrung der Analyse-Daten richtet sich nach der in Google Analytics eingestellten Aufbewahrungsdauer sowie den Datenschutzbestimmungen von Google. Diese Website-Analyse betrifft ausschließlich die Website; in der piccab-App findet keine Analyse statt (siehe Abschnitt 12).

Conversion-Messung (Google Ads): Auf unserer Website piccab.de setzen wir – ebenfalls ausschließlich nach deiner Einwilligung über das Cookie-Banner – das Conversion-Tracking von Google Ads ein, um zu messen, ob Besucher, die über eine Google-Anzeige zu uns gelangt sind, unsere Website tatsächlich aufrufen. Anbieter ist die Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland, ggf. unter Beteiligung der Google LLC, USA. Dabei werden Cookies (insbesondere _gcl_aw und _gcl_au) mit einer Laufzeit von in der Regel 90 Tagen gesetzt. Wir erhalten von Google ausschließlich zusammengefasste Statistiken (z. B. die Gesamtzahl der Conversions) und keine Informationen, mit denen wir dich persönlich identifizieren können. Remarketing bzw. personalisierte Werbung auf Basis deines Website-Besuchs findet nicht statt (das entsprechende Consent-Signal „ad_personalization“ bleibt deaktiviert). Die Verarbeitung erfolgt erst, nachdem du im Cookie-Banner „Akzeptieren“ gewählt hast; ohne Einwilligung wird kein Tracking-Skript geladen und kein Marketing-Cookie gesetzt. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG), die du jederzeit über „Cookie-Einstellungen“ im Footer der Website mit Wirkung für die Zukunft widerrufen kannst. Dabei kann eine Übermittlung in die USA erfolgen (siehe Abschnitt 16); Google ist nach dem EU-US Data Privacy Framework zertifiziert. Auch dies betrifft ausschließlich die Website; in der piccab-App findet kein Werbe-Tracking statt.

2. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Eduard Doronin (Einzelunternehmen, Marke „doSoftware“)
Stömmerstr. 3a
85055 Ingolstadt
Deutschland
E-Mail: [email protected]
USt-IdNr.: DE462121951

Datenschutzbeauftragter: Wir haben keinen Datenschutzbeauftragten bestellt, da hierfür nach unserer Einschätzung die gesetzlichen Voraussetzungen derzeit nicht vorliegen (Ein-Personen-Unternehmen). Bei allen Fragen zum Datenschutz und zur Ausübung deiner Rechte wende dich bitte direkt an den oben genannten Verantwortlichen unter [email protected].

3. Welche Daten wir verarbeiten

Je nachdem, wie du piccab nutzt, verarbeiten wir folgende Kategorien personenbezogener Daten:

Konto- und Profildaten: Vorname, Nachname, Mobilnummer (Pflicht, eindeutig), E-Mail-Adresse (Pflichtangabe bei der Registrierung), Land bzw. Ländervorwahl sowie dein Geschlecht.
Standortdaten: dein GPS-Standort während der Nutzung der App, Abhol- und Zielkoordinaten, Route sowie von dir gespeicherte Orte/Favoriten (Koordinaten + Name, ohne Telefonnummer).
Fahrtdaten: Buchungen, Fahrtverlauf, geplante Fahrten („Termine“), berechneter Fahrpreis, Stornierungen sowie gespeicherte Routen-Polylines (Streckenverlauf, aus dem sich ein Bewegungsprofil deiner Fahrten ableiten lässt).
Kommunikationsdaten: Chat-Nachrichten zwischen dir und dem Fahrer, Inhalte aus dem Empfehlungsprogramm.
Bewertungen: deine Sternebewertung und ein optionaler Freitext zur Fahrt.
Empfehlungsdaten: dein persönlicher Empfehlungscode und die Zuordnung werbender/geworbener Nutzer.
Push-Token: das Geräte-Token für Push-Benachrichtigungen.
Geräte- und Technikdaten: IP-Adresse, ungefährer Standort aus der IP-Adresse (Geo-IP), Gerätename/-plattform/-typ, App-Typ, App-Version, Session-Token, FCM-Token und Zeitstempel.
Diagnose- und Absturzdaten: Fehler-, Absturz- und Performance-Telemetrie aus der App.

4. Zwecke und Rechtsgrundlagen im Überblick

Wir verarbeiten deine Daten zu den nachfolgenden Zwecken. Die jeweils einschlägige Rechtsgrundlage nennen wir in den folgenden Abschnitten genauer; im Überblick gilt:

Art. 6 Abs. 1 lit. b DSGVO (Vertrag): Einrichtung und Verwaltung deines Kontos, Vermittlung und Durchführung der Fahrt, Berechnung des Fahrpreises, Datenaustausch mit dem Fahrer bzw. Taxiunternehmen, Chat, geplante Fahrten, Standortbestimmung zur Buchung.
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Sicherheit und Betrugsschutz (einschließlich des Empfehlungs-Hashes), Wiederherstellung des Kontozugangs und sicherheitsrelevante Benachrichtigungen per E-Mail, Absturz- und Fehlerdiagnose, Bewertungssystem sowie Stabilität und Verbesserung des Dienstes.
Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Marketing-Kommunikation; Push-Benachrichtigungen und Diagnose-Funktionen, soweit hierfür nach § 25 TDDDG eine Einwilligung erforderlich ist.
Art. 6 Abs. 1 lit. c DSGVO (rechtliche Pflicht): Erfüllung steuer- und handelsrechtlicher Aufbewahrungspflichten sowie Beantwortung berechtigter Behördenanfragen.

5. Konto & Anmeldung per SMS-Code

Für die Nutzung von piccab ist eine Anmeldung erforderlich. Die Anmeldung erfolgt ausschließlich über deine Telefonnummer und einen per SMS versandten Einmalcode (OTP). Wir verwenden keine Passwörter, keine E-Mail-Anmeldung und kein Social-Login. Zur Profilvervollständigung erheben wir Vorname, Nachname, deine E-Mail-Adresse und dein Geschlecht. Die Angabe einer gültigen E-Mail-Adresse ist bei der Registrierung erforderlich; sie dient als Kontaktadresse deines Kontos, insbesondere zur Wiederherstellung des Kontozugangs und für sicherheitsrelevante Benachrichtigungen. Als Anmeldeverfahren wird die E-Mail-Adresse nicht verwendet (die Anmeldung erfolgt ausschließlich per SMS-Code). Für werbliche E-Mails nutzen wir deine Adresse nur, wenn du hierfür gesondert eingewilligt hast (siehe Abschnitt 14); die Pflicht zur Angabe der E-Mail-Adresse ist nicht mit einer Einwilligung in Werbung verbunden. Die Angabe deines Geschlechts ist erforderlich, damit der Fahrer dich am Abholort zuverlässig erkennen kann – insbesondere bei geschlechtsneutralen Vornamen.

E-Mail-Bestätigung: Nach der Registrierung (bzw. nach einer Änderung deiner E-Mail-Adresse) senden wir dir eine Bestätigungs-E-Mail mit einem Bestätigungslink. Erst nach Klick auf diesen Link gilt deine E-Mail-Adresse als bestätigt. Der Bestätigungslink ist 24 Stunden gültig und nur einmal verwendbar; der zugehörige Bestätigungswert wird nur kurzzeitig technisch vorgehalten. Hast du zugleich in werbliche E-Mails eingewilligt, erfolgt die Bestätigung stattdessen über den Bestätigungslink der Newsletter-Anmeldung (Double-Opt-In, siehe Abschnitt 14); der Klick bestätigt dann zugleich deine E-Mail-Adresse für dein Konto. Rechtsgrundlage der Bestätigung: Art. 6 Abs. 1 lit. b DSGVO sowie unser berechtigtes Interesse, die missbräuchliche Angabe fremder E-Mail-Adressen zu verhindern (Art. 6 Abs. 1 lit. f DSGVO).

Für den Versand der SMS mit dem Bestätigungscode setzen wir den Dienstleister Vonage ein. An ihn wird deine Mobilnummer übermittelt, damit die SMS zugestellt werden kann (zum Drittlandbezug siehe Abschnitt 16).

Zweck: Identifizierung und sichere Anmeldung, Schutz vor unbefugtem Zugriff.
Rechtsgrundlage: Vertragserfüllung bzw. vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO), auch für die Erhebung der E-Mail-Adresse als Kontodaten; für den Versand des Codes über externe Dienstleister sowie für die Nutzung der E-Mail-Adresse zur Kontowiederherstellung und für sicherheitsrelevante Benachrichtigungen zudem unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
Speicherdauer: für die Dauer deines Kontos; nach Löschung gemäß Abschnitt 20. Der Einmalcode selbst wird nur kurzzeitig zur Verifizierung vorgehalten.

6. Standortdaten

piccab nutzt deinen Standort, um dir die Buchung zu erleichtern: Während einer Buchung aktualisieren wir deine GPS-Position kontinuierlich, und dein Abholpunkt wird an deine aktuelle GPS-Position gebunden. Außerdem verarbeiten wir die Koordinaten von Abhol- und Zielort sowie die berechnete Route. Wenn du Orte/Favoriten speicherst, hinterlegen wir deren Koordinaten und einen Namen (ohne Telefonnummer).

Kein Standort-Tracking im Hintergrund: piccab greift ausschließlich im Vordergrund auf deinen Standort zu, also nur, während die App aktiv geöffnet und sichtbar ist – auch während einer aktiven Fahrt. piccab erstellt kein dauerhaftes Standortprofil. (Hiervon unberührt ist der Empfang von Push-Benachrichtigungen, siehe Abschnitt 12.)

Abschaltbarkeit/Folgen: Du kannst die Standortfreigabe jederzeit in den Einstellungen deines Betriebssystems (iOS/Android) widerrufen. Ohne Standortzugriff funktionieren die ortsbezogenen Funktionen (automatischer Abholpunkt, Kartenposition) nur eingeschränkt; du kannst Adressen dann manuell eingeben. Ohne Standortfreigabe sieht der Fahrer nur deinen gewählten Abholpunkt.

Zweck: Bestimmung des Abholorts, Kartendarstellung, Routen- und Fahrpreisberechnung, Vermittlung und Durchführung der Fahrt einschließlich des Auffindens des Fahrgasts durch den Fahrer am Abholort.
Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), da der Standortzugriff für den von dir gewünschten Buchungsdienst erforderlich ist; der technische Zugriff auf die Standortfunktion deines Endgeräts ist hierfür unbedingt erforderlich (§ 25 Abs. 2 TDDDG). Die Freigabe über die System-Abfrage deines Betriebssystems ist lediglich der technische Freigabeschritt.
Speicherdauer: Abhol-/Zielkoordinaten und Routen werden als Teil des Fahrtdatensatzes gespeichert (siehe Abschnitt 18); gespeicherte Orte bis zu deren Löschung durch dich bzw. bis zur Kontolöschung.

7. Kartendienste (Google)

Für Karten, Adresssuche und Routenberechnung nutzen wir Dienste von Google. Dabei können Daten an Google übermittelt werden:

Google Maps SDK: zur Darstellung der Karte in der App.
Google Routes API (serverseitig): wir übermitteln Abhol- und Zielkoordinaten an Google, um Distanz und Route zu berechnen.
Google Places API: wenn du eine Adresse suchst, werden deine eingegebenen Suchbegriffe zur Autovervollständigung sowie Koordinaten zur Adressauflösung (Reverse-Geocoding) an Google übermittelt.

Anbieter ist die Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland, ggf. unter Beteiligung der Google LLC, USA. Im Rahmen der Google Maps Platform verarbeitet Google Daten teilweise zu eigenen Zwecken und ist insoweit datenschutzrechtlich eigenständig verantwortlich; Näheres ergibt sich aus den Datenschutzbestimmungen von Google. Dabei kann eine Übermittlung in die USA erfolgen (siehe Abschnitt 16).

Zweck: Kartendarstellung, Adresssuche/-auflösung sowie Distanz- und Routenberechnung als Grundlage der Fahrtvermittlung.
Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); im Übrigen unser berechtigtes Interesse an einer funktionsfähigen Kartendarstellung (Art. 6 Abs. 1 lit. f DSGVO).
Speicherdauer: Die Verarbeitung bei Google richtet sich nach den Datenschutzbestimmungen von Google. In unserem System werden die zugehörigen Koordinaten als Teil des Fahrtdatensatzes gespeichert (siehe Abschnitt 18).

8. Durchführung der Fahrt & Datenaustausch mit dem Fahrer / Taxiunternehmen

Um deine Fahrt durchführen zu können, übermitteln wir bestimmte Daten an den vermittelten Fahrer bzw. das ausführende Taxiunternehmen. Konkret geben wir weiter: deinen Vornamen, dein Geschlecht (damit der Fahrer weiß, nach wem er Ausschau halten soll), deinen Abhol- und Zielort sowie ggf. Chat-Nachrichten, die du im Rahmen der Fahrt sendest.

Was du vom Fahrzeug siehst: In der aktuellen Version zeigt dir die App keinen Fahrernamen und kein Fahrerfoto. Stattdessen siehst du den Namen des ausführenden Taxiunternehmens, das Fahrzeugmodell, die Service-Kategorie, das Kennzeichen, ein Fahrzeugfoto sowie die Live-Position und die voraussichtliche Ankunftszeit (ETA) des Fahrzeugs. Hintergrund ist, dass ein piccab-Konto auf Anbieterseite einem Taxiunternehmen zugeordnet ist und nicht einer einzelnen Person.

Direkter Anruf (kein maskierter Anruf)

Über den „Anrufen“-Button öffnet die App in der aktuellen Version den Telefon-Dialer deines Geräts und ruft die echte Telefonnummer des Fahrers direkt an. Der Anruf läuft dabei über dein Mobilfunknetz, nicht über piccab; piccab setzt für diesen Anruf keine Rufnummern-Maskierung ein und zeichnet ihn nicht auf. Das bedeutet: Beim Anruf kann der Fahrer deine echte Rufnummer (über die Anrufer-ID) sehen, und du siehst die echte Nummer des Fahrers. Sollte in einer künftigen Version eine maskierte Telefonie eingeführt werden, passen wir diese Erklärung entsprechend an.

Zweck: Durchführung der gebuchten Fahrt, Abstimmung von Abholung und Ablauf.
Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Speicherdauer: die übermittelten Fahrtdaten werden als Teil des Fahrtdatensatzes gespeichert (siehe Abschnitt 18). Der direkte Anruf selbst wird von piccab nicht gespeichert oder protokolliert.

9. In-App-Chat

Du kannst mit dem Fahrer über einen In-App-Chat Textnachrichten austauschen, etwa zur Abstimmung des Abholpunkts. Diese Nachrichten werden gespeichert und sind dem jeweiligen Fahrtdatensatz zugeordnet.

Zweck: Kommunikation zur Durchführung der Fahrt, Nachvollziehbarkeit bei Rückfragen.
Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); an der Speicherung zur Nachvollziehbarkeit besteht zudem ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
Speicherdauer: gebunden an den zugehörigen Fahrtdatensatz; Löschung bzw. Anonymisierung gemeinsam mit diesem nach Ablauf der maßgeblichen Aufbewahrungsfrist (siehe Abschnitt 18).

10. Bewertungen

Nach einer Fahrt kannst du diese bewerten (Sterne und optionaler Freitext). Die Bewertung wird gespeichert und dient der Qualitätssicherung sowie der Verbesserung des Dienstes.

Zweck: Qualitätssicherung, Verbesserung von Service und Fahrtvermittlung.
Rechtsgrundlage: berechtigtes Interesse an einem funktionierenden Bewertungs- und Qualitätssystem (Art. 6 Abs. 1 lit. f DSGVO).
Speicherdauer: Löschung bzw. Anonymisierung gemeinsam mit dem zugehörigen Fahrtdatensatz, spätestens 90 Tage nach Kontolöschung, sofern keine gesetzliche Aufbewahrung greift.

11. Empfehlungsprogramm

Im Rahmen unseres Empfehlungsprogramms erhältst du einen persönlichen Empfehlungscode. Die Teilnahme ist freiwillig und beruht auf deiner aktiven Nutzung des Codes. Lädst du andere Personen ein, ordnen wir werbende und geworbene Nutzer einander zu, um den Bonus korrekt zuzuteilen.

Betrugsschutz nach Kontolöschung: Wenn du dein Konto löschst, speichern wir statt deiner Telefonnummer einen aus ihr berechneten SHA-256-Hashwert (Pseudonym). Dieser Hash dient ausschließlich dem Abgleich, ob eine bereits gelöschte Nummer erneut für den Empfehlungsbonus verwendet wird, und wird zu keinem anderen Zweck genutzt. So verhindern wir einen wiederholten Missbrauch des Empfehlungsbonus (z. B. durch wiederholtes Neuanlegen von Konten).

Zweck: Durchführung des Empfehlungsprogramms; Verhinderung von Missbrauch des Empfehlungsbonus.
Rechtsgrundlage: Vertragserfüllung für die Teilnahme am Programm (Art. 6 Abs. 1 lit. b DSGVO); für den Betrugsschutz-Hash unser berechtigtes Interesse an der Verhinderung von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).
Speicherdauer: Empfehlungsdaten für die Dauer des Kontos; der SHA-256-Hash bleibt auch nach Kontolöschung erhalten, solange ein Missbrauchsrisiko besteht, längstens jedoch 24 Monate.

12. Push-Benachrichtigungen

Um dich über den Status deiner Fahrt zu informieren (z. B. „Fahrer unterwegs“, „Fahrzeug eingetroffen“), senden wir Push-Benachrichtigungen über Firebase Cloud Messaging (FCM) von Google. Hierzu wird auf deinem Gerät ein Push-Token erzeugt, das wir speichern und an Google (Firebase) übermitteln. Diese Benachrichtigungen können auch empfangen werden, während die App im Hintergrund läuft oder geschlossen ist. Von Firebase nutzen wir in der App ausschließlich den Nachrichtendienst (Cloud Messaging) – kein Firebase Analytics und kein Crashlytics. (Zur einwilligungsbasierten Website-Analyse mit Google Analytics 4 siehe Abschnitt 1.)

Zweck: Versand fahrtbezogener und dienstrelevanter Benachrichtigungen.
Rechtsgrundlage: Vertragserfüllung für fahrtbezogene Mitteilungen (Art. 6 Abs. 1 lit. b DSGVO); das Setzen/Auslesen des Push-Tokens auf deinem Endgerät erfolgt auf Grundlage deiner Einwilligung über die System-/App-Berechtigung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 TDDDG).
Speicherdauer: das Push-Token wird gespeichert, solange dein Konto besteht bzw. das Gerät registriert ist; bei Kontolöschung wird es entfernt (siehe Abschnitt 20). Du kannst Push-Benachrichtigungen jederzeit in den Geräteeinstellungen deaktivieren.

13. Diagnose & Stabilität (Sentry)

Zur Erkennung und Behebung von Fehlern und Abstürzen sowie zur Überwachung der Performance der App nutzen wir Sentry (Functional Software, Inc.). Dabei werden technische Diagnosedaten verarbeitet, etwa Fehler- und Absturzberichte, betroffene App-Funktionen, Gerätedaten und Zeitstempel.

Zweck: Stabilität, Fehlerbehebung und Verbesserung der App-Qualität.
Rechtsgrundlage: berechtigtes Interesse an einer stabilen, sicheren und fehlerfreien App (Art. 6 Abs. 1 lit. f DSGVO); soweit hierbei Informationen auf deinem Endgerät gespeichert oder ausgelesen werden, stützen wir uns zusätzlich auf deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 TDDDG).
Hosting: Sentry verarbeitet die Diagnosedaten für uns in der EU-Region (Rechenzentrum in Frankfurt am Main, Deutschland); eine Übermittlung dieser Daten in die USA findet nicht statt.
Speicherdauer: Diagnosedaten werden nach 90 Tagen gelöscht.

14. Marketing-Einwilligung & Newsletter

In deinem Profil (sowie einmalig nach der Registrierung) findest du einen Schalter für „Marketing-E-Mails“. Eine werbliche Ansprache per E-Mail erfolgt ausschließlich dann, wenn du hierfür gesondert und ausdrücklich eingewilligt hast. Die Pflicht zur Angabe deiner E-Mail-Adresse bei der Registrierung (siehe Abschnitt 5) ist nicht mit einer Einwilligung in Werbung verbunden.

Für den Versand unseres Newsletters nutzen wir den Dienst Brevo (Brevo GmbH, Köpenicker Str. 126, 10179 Berlin; Muttergesellschaft Brevo SAS, Frankreich). Mit Brevo besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; das primäre Hosting erfolgt in der EU. Die Anmeldung erfolgt im Double-Opt-In-Verfahren: Du erhältst nach deiner Einwilligung eine Bestätigungs-E-Mail und wirst erst nach Klick auf den Bestätigungslink in den Verteiler aufgenommen. Der Klick auf den Bestätigungslink dokumentiert deine Einwilligung (der Zeitpunkt wird protokolliert) und bestätigt zugleich deine E-Mail-Adresse für dein piccab-Konto (siehe Abschnitt 5). Brevo übermittelt uns Statusereignisse zu deiner Anmeldung zurück (z. B. Bestätigung, Abmeldung, Zustellfehler). Brevo kann personenbezogene Daten an Unterauftragsverarbeiter in den USA (abgesichert über das EU-US Data Privacy Framework) und in Indien (abgesichert über EU-Standardvertragsklauseln) übermitteln.

Zweck: Verwaltung deiner Marketing-Einwilligung; Werbekommunikation per E-Mail (z. B. Gutscheine, Fahrtguthaben, Neuigkeiten).
Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); die Protokollierung der Einwilligung dient der Erfüllung unserer Nachweispflicht (Art. 5 Abs. 2, Art. 7 Abs. 1 DSGVO).
Widerruf: Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – über den Schalter im Profil oder den Abmeldelink in jeder E-Mail. Bei Widerruf wird deine Adresse aus dem Verteiler entfernt.
Speicherdauer: bis zum Widerruf bzw. bis zur Kontolöschung.

15. Empfänger & Auftragsverarbeiter

Zur Bereitstellung des Dienstes setzen wir sorgfältig ausgewählte Dienstleister ein bzw. geben Daten an folgende Empfänger weiter. Hosting, SMS-Versand und Diagnose erfolgen als Auftragsverarbeitung gemäß Art. 28 DSGVO nach unseren Weisungen; bei den Google-Maps-Platform-Diensten ist Google teilweise eigenständig verantwortlich (siehe Abschnitt 7):

Brevo (Brevo GmbH, Köpenicker Str. 126, 10179 Berlin; Muttergesellschaft Brevo SAS, Frankreich) – Versand von System-E-Mails, insbesondere der E-Mail zur Bestätigung deiner E-Mail-Adresse (siehe Abschnitt 5), sowie – bei Einwilligung – des Newsletters (siehe Abschnitt 14). Übermittelt werden E-Mail-Adresse, Vorname und der Inhalt der jeweiligen E-Mail; Brevo meldet uns Zustell- und Statusereignisse zurück. Primäres Hosting in der EU; mögliche Unterauftragsverarbeiter in den USA (EU-US Data Privacy Framework) und Indien (EU-Standardvertragsklauseln). Der Versand von System-E-Mails erfolgt unabhängig von einer Einwilligung in Werbung (Art. 6 Abs. 1 lit. b und f DSGVO).
Vonage (Vonage Holdings Corp., USA) – Versand der SMS mit dem Anmeldecode.
Google / Firebase (Google Ireland Ltd., Irland; Google LLC, USA) – Push-Benachrichtigungen (FCM), Google Maps, Routes und Places sowie – nur auf der Website und nur nach Einwilligung – Google Analytics 4 und Google Ads Conversion-Tracking (siehe Abschnitt 1).
Sentry (Functional Software, Inc.) – Absturz- und Diagnosedaten; Verarbeitung in der EU-Region (Frankfurt am Main, Deutschland).
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Hosting von Backend/API in einem deutschen Rechenzentrum (AV-Vertrag nach Art. 28 DSGVO).
Cloudflare (Cloudflare Germany GmbH bzw. Cloudflare, Inc., USA) – vorgelagerter CDN-, Routing- und Sicherheitsdienst (Reverse Proxy/DNS) vor unseren Servern; verarbeitet dabei Verbindungsdaten einschließlich deiner IP-Adresse zur sicheren, schnellen und ausfallsicheren Auslieferung sowie zum Schutz vor Angriffen (AV-Vertrag nach Art. 28 DSGVO).
Apple App Store bzw. Google Play – Auslieferung und Aktualisierung der App über die jeweiligen Stores.
Fahrer bzw. ausführendes Taxiunternehmen – Empfänger der zur Durchführung der Fahrt erforderlichen Daten (siehe Abschnitt 8).

Darüber hinaus können wir Daten an zuständige Behörden oder Gerichte übermitteln, soweit wir hierzu gesetzlich verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO).

16. Übermittlung in Drittländer

Einige der eingesetzten Dienstleister verarbeiten Daten (auch) außerhalb des Europäischen Wirtschaftsraums (EWR), insbesondere in den USA: Google/Firebase, Cloudflare und Vonage. Bei einer Übermittlung in die USA oder andere Drittländer besteht grundsätzlich kein dem EU-Recht entsprechendes Datenschutzniveau.

Wir stützen solche Übermittlungen auf geeignete Garantien gemäß Art. 46 DSGVO, insbesondere die EU-Standardvertragsklauseln (SCCs). Soweit der jeweilige Empfänger nach dem EU-US Data Privacy Framework zertifiziert ist (dies gilt insbesondere für Google), erfolgt die Übermittlung zusätzlich auf dieser Grundlage.

17. Speicherung und Auslesen von Informationen auf dem Endgerät (§ 25 TDDDG)

Für den Betrieb der App speichern und lesen wir Informationen auf bzw. von deinem Endgerät, etwa das FCM-Push-Token, den Session-Token, Standortinformationen sowie Daten der eingesetzten Diagnose-Funktionen (Sentry). Zugriffe, die unbedingt erforderlich sind, um den von dir ausdrücklich gewünschten Dienst bereitzustellen (z. B. Session-Token zur Anmeldung, Standortzugriff für die Buchung), stützen wir auf § 25 Abs. 2 TDDDG. Nicht unbedingt erforderliche Zugriffe (z. B. Push-Benachrichtigungen, Diagnose-Funktionen) erfolgen nur auf Grundlage deiner Einwilligung nach § 25 Abs. 1 TDDDG, die wir über die System- bzw. App-Berechtigungen einholen. Du kannst erteilte Berechtigungen jederzeit in den Geräteeinstellungen widerrufen.

18. Speicherdauer

Grundsätzlich speichern wir personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist. Anschließend werden sie gelöscht oder anonymisiert, spätestens 90 Tage nach Kontolöschung, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

Gesetzliche Aufbewahrung: Fahrt-, Beleg- und Abrechnungsdaten unterliegen steuer- und handelsrechtlichen Aufbewahrungspflichten (insbesondere § 147 AO, § 257 HGB und die GoBD). Diese Daten bewahren wir nach den gesetzlichen Aufbewahrungsfristen auf (Belege i. d. R. 8 Jahre, sonstige Aufzeichnungen i. d. R. 10 Jahre) und löschen sie erst nach Ablauf dieser Fristen. Während dieser Zeit ist die Verarbeitung auf die Erfüllung der Aufbewahrungspflicht beschränkt.

19. Automatisierte Entscheidungsfindung

Zur Vermittlung deiner Fahrt setzen wir eine automatisierte Zuordnung (Matching) ein, die deine Buchung an ein passendes verfügbares Fahrzeug bzw. Taxiunternehmen vermittelt. Eine Profilbildung findet nicht statt, und es gibt kein dynamisches Preis- oder Surge-Pricing – es gilt der regulierte Taxitarif. Im Rahmen des Betrugsschutzes prüfen wir bei einer erneuten Anmeldung automatisiert, ob eine zuvor gelöschte Nummer vorliegt; dies entscheidet lediglich über die Berechtigung zum Empfehlungsbonus und hat keine sonstige rechtliche Wirkung für dich.

Eine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO, die dir gegenüber rechtliche Wirkung entfaltet oder dich in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt. Unabhängig davon kannst du dich bei Problemen mit der Vermittlung jederzeit an uns wenden; wir prüfen dein Anliegen dann durch eine natürliche Person.

20. Kontolöschung

Du kannst dein Konto jederzeit direkt in der App über die Funktion „Konto löschen“ entfernen (Apple- und DSGVO-konform). Bei der Löschung werden deine personenbezogenen Profil- und Nutzungsdaten gelöscht bzw. unkenntlich gemacht, insbesondere: Name, E-Mail, Geschlecht, Land/Vorwahl, Profilbild, Push-Token, Sessions, gespeicherte Orte, Empfehlungscode, Marketing-Einwilligung, Notizen sowie etwaige technisch angelegte Zahlungs-Platzhalter (soweit vorhanden). Deine Mobilnummer wird dabei nicht „auf NULL“ gesetzt, sondern durch einen nicht personenbeziehbaren Platzhalter ersetzt, sodass kein Personenbezug mehr besteht.

Was erhalten bleibt: Fahrt- und Abrechnungsdatensätze bleiben aufgrund der gesetzlichen Aufbewahrungspflichten (siehe Abschnitt 18) erhalten. Zudem behalten wir – wie in Abschnitt 11 beschrieben – den pseudonymen SHA-256-Hash deiner Telefonnummer zum Schutz vor Missbrauch des Empfehlungsbonus.

21. Deine Rechte als betroffene Person

Dir stehen nach der DSGVO folgende Rechte zu:

Recht auf Auskunft (Art. 15 DSGVO)
Recht auf Berichtigung (Art. 16 DSGVO)
Recht auf Löschung (Art. 17 DSGVO)
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO), insbesondere gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO
Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung deiner Rechte genügt eine formlose Nachricht an [email protected].

22. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderweitiger Rechtsbehelfe steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu. Die für uns zuständige Aufsichtsbehörde ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Deutschland

23. Pflicht zur Bereitstellung der Daten

Die Bereitstellung bestimmter Daten ist für die Nutzung von piccab erforderlich. Insbesondere benötigen wir deine Mobilnummer, Vor- und Nachnamen, deine E-Mail-Adresse sowie dein Geschlecht (zur Erkennung am Abholort durch den Fahrer), um dein Konto einzurichten und Fahrten zu vermitteln, und – während der Buchung – deinen Standort bzw. Abhol- und Zielort. Ohne diese Daten können wir den Dienst nicht oder nur eingeschränkt erbringen. Optionale Angaben (z. B. gespeicherte Orte, Marketing-Einwilligung) sind freiwillig; ein Nichtbereitstellen hat keine Nachteile außer dem Wegfall der jeweiligen Komfortfunktion.

24. Datensicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen, um deine Daten gegen Verlust, Missbrauch und unbefugten Zugriff zu schützen (Art. 32 DSGVO). Die Datenübertragung zwischen App und Servern erfolgt verschlüsselt über TLS. Unsere Maßnahmen werden fortlaufend an den Stand der Technik angepasst.

25. Mindestalter

piccab richtet sich an volljährige Personen. Die Nutzung ist erst ab 18 Jahren zulässig. Eine Altersprüfung erfolgt im Rahmen des Onboardings ausschließlich durch deine Selbstauskunft; eine technische Altersverifikation findet nicht statt. Mit der Nutzung bestätigst du, dass du mindestens 18 Jahre alt bist.

26. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage, unsere Verarbeitungstätigkeiten oder eingesetzte Dienste ändern. Es gilt jeweils die in der App abrufbare aktuelle Fassung.

Stand: 2. Juli 2026, 22:19 Uhr · Version: 5