Datenschutzerklärung

1. Information über die Erhebung personenbezogener Daten

Mit dem Betrieb unserer Website mit der URL https://thgexpress.de (im Folgenden „Website" genannt) verarbeiten wir personenbezogene Daten. Selbstverständlich behandeln wir Ihre personenbezogenen Daten vertraulich und entsprechend den gesetzlichen Datenschutzvorschriften – insbesondere der Datenschutzgrundverordnung (DS-GVO) und des Bundesdatenschutzgesetzes (BDSG).

Mit diesen Datenschutzbestimmungen informieren wir über die Erhebung personenbezogener Daten bei Nutzung unserer Website. Personenbezogene Daten sind alle Daten, die auf Sie persönlich beziehbar sind, z. B. Name, Adresse, E-Mail-Adressen, Nutzerverhalten (Art. 4 Nr. 1 DS-GVO).

Name und Anschrift des für die Verarbeitung Verantwortlichen:

Verantwortlich gem. Art. 4 Abs. 7 EU-Datenschutz-Grundverordnung (DS-GVO) ist die Picsure GmbH c/o THGexpress, Heidenkampsweg 58, 20097 Hamburg.

Name und Anschrift des Datenschutzbeauftragten:

Unseren Datenschutzbeauftragten, Herrn Florian Bischof, erreichen Sie unter der E-Mail-Adresse: datenschutz@thgexpress.de.

Jede betroffene Person kann sich jederzeit bei allen Fragen und Anregungen zum Datenschutz direkt an unseren Datenschutzbeauftragten wenden.

2. Kategorien personenbezogener Daten

Im Zusammenhang mit dem Angebot des Verkaufs Ihrer anrechenbaren Treibhausgasminderungsquoten von Elektrofahrzeugen und öffentlichen Ladepunkten („THG-Quote") verarbeiten wir die folgenden personenbezogenen Daten:

• Personendaten (Anrede, Vorname, Nachname, Anschrift, Firma)
• Kontaktdaten (Telefon, E-Mail)
• Bankverbindung
• Informationen zu öffentlichen Ladepunkten und registrierten E-Fahrzeugen inkl. Fahrzeugschein (z.B. Kennzeichen, Fahrzeugidentifizierungsnummer, Fahrzeugklasse, Halterangaben, Kopie der Zulassungsbescheinigung Teil I)
• Status der THG-Quotenvermarktung
• Nutzungs- und Gerätedaten beim Besuch unserer Website und bei der Nutzung des Antragsformulars (z. B. Server-Logdateien, Fehlerberichte und pseudonyme Webanalysedaten, siehe Ziffern 4.1, 4.6 und 4.7)
• Partner- und Unterkennungen aus Links von Vertriebs- und Kooperationspartnern (siehe Ziffer 4.3)
• Klick-Kennungen aus Google-Anzeigen, der Stand der Messung des Anzeigenerfolgs zu Ihrem Antrag sowie im Fall eines Widerspruchs ein Prüfwert Ihrer E-Mail-Adresse (siehe Ziffer 4.8)

3. Rechtsgrundlagen der Verarbeitung:

Rechtsgrundlage für die Verarbeitung ist primär die Vertragsdurchführung gem. Art. 6 Abs. 1 lit. b) DSGVO.

Darüber hinaus verarbeiten wir Ihre personenbezogenen Daten zum Schutz unserer berechtigten Interessen (z.B. Durchsetzung unserer Rechtsansprüche und Bedingungen, Risk Management, Verwaltung unserer Unternehmensanforderungen, Überwachung und Analyse, Prävention und Verhinderung von Betrug und Missbrauch unserer Dienste, Werbung (soweit gesetzlich zulässig), Anonymisierung zu statistischen Zwecken etc.) gem. Art. 6 (1) lit. f) DSGVO.

4. Erhebung und Speicherung personenbezogener Daten sowie Art und Zweck der Verwendung

4.1 Datenerfassung beim Besuch unserer Website

Bei der bloß informatorischen Nutzung der Website, also wenn Sie sich nicht registrieren oder uns anderweitig Informationen übermitteln, erheben wir nur die folgenden personenbezogenen Daten, die Ihr Browser an unseren Server übermittelt:

• IP-Adresse des anfragenden Rechners,
• Datum und Uhrzeit des Zugriffs,
• Zeitzonendifferenz zur Greenwich Mean Time (GMT),
• Inhalt der Anforderung (konkrete Seite),
• Zugriffsstatus/HTTP-Statuscode,
• jeweils übertragene Datenmenge,
• Website, von der aus der Zugriff kommt (Referrer-URL),
• Browser und ggf. das Betriebssystem sowie der Name Ihres Access-Providers,
• Sprache und Version der Browsersoftware.

Die genannten Daten werden durch uns zu folgenden Zwecken verarbeitet:

• Gewährleistung eines reibungslosen Verbindungsaufbaus der Website,
• Gewährleistung einer komfortablen Nutzung unserer Website,
• Auswertung der Systemsicherheit und -stabilität,
• Zu weiteren administrativen Zwecken

Die Rechtsgrundlage für die Datenverarbeitung ist Art. 6 Abs. 1 S. 1 lit. f DSGVO. Unser berechtigtes Interesse folgt aus oben aufgelisteten Zwecken zur Datenerhebung.

Die Daten werden gelöscht, sobald sie für die Erreichung des Zweckes ihrer Erhebung nicht mehr erforderlich sind. Im Falle der Erfassung der Daten zur Bereitstellung der Website ist dies der Fall, wenn die jeweilige Sitzung beendet ist.

Abweichend davon werden diese Zugriffe in Server-Logdateien protokolliert; zu deren Inhalt und Speicherdauer siehe Ziffer 4.6.

Darüber hinaus werten wir die Nutzung unserer Website mit einer Webanalyse aus (siehe Ziffer 4.7) und nutzen Klick-Kennungen aus Google-Anzeigen zur Messung des Anzeigenerfolgs (siehe Ziffer 4.8).

4.2 Kontaktaufnahme

Bei Fragen jeglicher Art bieten wir Ihnen die Möglichkeit, mit uns über ein auf der Website bereitgestelltes Formular Kontakt aufzunehmen. Bei der Nutzung des Kontaktformulars ist die Angabe Ihres Namens und einer gültigen E-Mail-Adresse erforderlich, damit wir wissen, von wem die Anfrage stammt, und um diese beantworten zu können. Weitere Angaben können freiwillig getätigt werden.

Die Datenverarbeitung zum Zwecke der Kontaktaufnahme mit uns erfolgt nach Art. 6 Abs. 1 S. 1 lit. a DSGVO auf Grundlage Ihrer freiwillig erteilten Einwilligung. Die Daten werden ausschließlich zum Zweck der Beantwortung Ihres Anliegens bzw. für die Kontaktaufnahme und die damit verbundene technische Administration gespeichert und verwendet.

Die Daten werden von uns gelöscht, sobald sie für die Erreichung des Zweckes ihrer Erhebung nicht mehr erforderlich sind. Dies ist für gewöhnlich der Fall, wenn die jeweilige Kommunikation mit Ihnen beendet ist. Beendet ist die Kommunikation dann, wenn sich aus den Umständen entnehmen lässt, dass Ihr Anliegen abschließend geklärt ist. Sofern gesetzliche Aufbewahrungsfristen einer Löschung entgegenstehen, erfolgt eine Löschung unverzüglich nach Ablauf der gesetzlichen Aufbewahrungsfrist.

4.3 Datenverarbeitung bei Registrierung bei THGexpress und zur Vertragsabwicklung

Als Halter von einem oder mehreren reinen Elektrofahrzeugen oder wenn Sie vom Halter berechtigt wurden, können Sie die Rechte im Hinblick auf die Geltendmachung und Vermarktung der THG-Quote für das Elektrofahrzeug auf die Picsure GmbH übertragen und diese zugleich ermächtigen diese Daten an Dritte zum Zwecke der Vermarktung (Erhalt und Verkauf von Zertifikaten) zu übermitteln. Hierzu können Sie THGexpress nutzen. Erforderlich ist zunächst die Auswahl der Fahrzeugklasse sowie die Übermittlung der Vorderseite der Zulassungsbescheinigung (Teil 1). Diese können Sie auf unserem Portal unkompliziert hochladen. Folgende persönliche Daten müssen sodann für die Vertragsabwicklung mitgeteilt werden:

• Registrierung als Privatperson oder Unternehmen
• Vor- und Nachname
• Anschrift
• Kontoverbindung (Name des Kontoinhabers, IBAN)
• eine E-Mail-Adresse und Telefonnummer
• falls die Quoteneinreichung nicht für eine Privatperson, sondern für ein Unternehmen erfolgt: Firma, Umsatzsteuer-ID des Unternehmens.

Darüber hinaus müssen Sie folgende Erklärungen durch Anklicken der entsprechenden Optionen abgeben:

• Bestätigung, dass Sie für den ausgewählten Zeitraum der THG-Quotenberechtigte des eingereichten Fahrzeugscheins sind und dieser zuvor nicht eingereicht wurde. Des Weiteren, dass Sie keine andere Person als Dritten für die Einreichung bestimmt und berechtigt haben.
• Zustimmung zu den Nutzungsbedingungen und der Datenschutzerklärung.
• Zustimmung zu den Allgemeinen Geschäftsbedingungen.

Nach Übermittlung Ihrer Daten über das Datenformular erhalten Sie eine Bestätigungs-E-Mail, dass Ihre Daten erfolgreich eingegangen sind und Sie die Vermarktung nun aktiv starten müssen. Nachdem Sie die Vermarktung gestartet haben, erhalten Sie eine weitere E-Mail, über die Sie jederzeit den Status Ihres Antrags abrufen können.

Diese Verarbeitung erfolgt auf der Rechtsgrundlage von Art. 6 Abs. 1 S. 1 Buchstabe b) DSGVO.

Rufen Sie unsere Website oder das Antragsformular über den Link eines Vertriebs- oder Kooperationspartners auf, kann dieser Link eine Partnerkennung (URL-Parameter „ref“) und eine Unterkennung (URL-Parameter „subid“) enthalten. Unsere Website gibt diese Kennungen über die Adresse an das Antragsformular weiter; das Antragsformular übermittelt sie mit Ihrem Antrag an unseren Server. Anhand der Partnerkennung ordnen wir Ihren Antrag dem vermittelnden Partner zu, etwa für die Abrechnung von Vermittlungsprovisionen; die Unterkennung speichern wir unverändert zu Ihrem Antrag, um vermittelte Anträge den Angaben des Partners zuordnen zu können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht in der Zuordnung und Abrechnung vermittelter Anträge. Die Zuordnung zum Partner und die Unterkennung werden zusammen mit Ihren Antragsdaten gespeichert (siehe Ziffer 8).

4.4 Datenverarbeitung zum Zwecke der Anmeldung des Elektrofahrzeugs für die Treibhausgasminderungsquote („THG-Quote")

Im Rahmen des Vertragsschlusses zur Beantragung der THG-Quote für Ihr Elektrofahrzeug prüfen wir die Berechtigung zur Teilnahme am THG-Quotenhandel, insbesondere die jeweils gesetzlich festgelegten Voraussetzungen einer solchen Berechtigung in der jeweils gültigen Fassung, und übermitteln bei positivem Ausgang der Überprüfung den Antrag auf Bescheinigung der THG-Quote an unser Quotenkäufernetzwerk.

Wir verarbeiten Ihre personenbezogenen Daten zum Zwecke der Erfüllung des THG-Quotenvertrages.

Die Datenverarbeitung im Rahmen des THG-Quotenvertrages durch uns erfolgt insbesondere wie folgt:

• Ihre personenbezogenen Daten werden mittels eines SSL-gesicherten Formulars erhoben und gespeichert.
• Ihre personenbezogenen Daten (einschließlich der Kopie der Zulassungsbescheinigung Teil I) werden dann von der Picsure GmbH z.B. durch die Nutzung einer Texterkennungssoftware ausgelesen und geprüft, um die Berechtigung zur Teilnahme am THG-Quotenhandel festzustellen.
• Die erforderlichen personenbezogenen Daten werden nach der Prüfung an unser Quotenkäufernetzwerk übermittelt, um eine Bescheinigung der THG-Quote gemäß den jeweils geltenden gesetzlichen Regelungen zu erhalten.

Die Rechtsgrundlage für die Datenverarbeitung ist Art. 6 Abs. 1 S. 1 lit. f DSGVO. Unser berechtigtes Interesse folgt aus oben aufgelisteten Zwecken zur Datenerhebung.

Die Daten werden gelöscht, sobald sie für die Erreichung des Zweckes ihrer Erhebung nicht mehr erforderlich sind. Im Falle der Erfassung der Daten zur Bereitstellung der Website ist dies der Fall, wenn die jeweilige Sitzung beendet ist.

4.5 Weiterentwicklung unserer Dokumentenerkennung

Wir nutzen eingereichte Zulassungsbescheinigungen und die daraus ausgelesenen und geprüften Daten, um unsere eigene KI-gestützte Dokumentenerkennung und Betrugsprüfung zu trainieren und zu verbessern. Für das Training werden die Dokumente ausschließlich von uns und von weisungsgebundenen Auftragsverarbeitern verarbeitet und nicht an Dritte weitergegeben. Einreichungen, die seit Oktober 2026 über Schnittstellen unserer Partner oder über Flottenkonten eingehen, verwenden wir hierfür nicht.

Rechtsgrundlage ist unser berechtigtes Interesse an einer zuverlässigen, schnellen und fälschungssicheren Bearbeitung von Zulassungsbescheinigungen (Art. 6 Abs. 1 lit. f DSGVO). Die für das Training genutzten Kopien speichern wir, bis Sie widersprechen, höchstens jedoch fünf Jahre nach der Einreichung; wir prüfen jährlich, ob sie noch erforderlich sind.

Sie können dieser Nutzung jederzeit ohne Angabe von Gründen per E-Mail an datenschutz@thgexpress.de widersprechen. Wir entfernen Ihre Dokumente und Daten dann aus unseren Trainingsdaten. Bereits trainierte Modelle nutzen wir weiter; in künftige Trainings fließen Ihre Daten nicht mehr ein.

4.6 Fehleranalyse und Server-Logdateien mit Better Stack

Zur Erkennung, Analyse und Behebung technischer Fehler sowie zur Gewährleistung eines stabilen und sicheren Betriebs unserer Website setzen wir den Dienst „Better Stack“ der Better Stack, Inc., einer nach dem Recht des US-Bundesstaates Delaware gegründeten Gesellschaft (USA), ein. Better Stack wird von uns für die Fehleranalyse („Error Tracking“) sowie für die Speicherung und Auswertung von Server- und Anwendungsprotokollen (Logdateien) genutzt.

Fehlerberichte aus Ihrem Browser werden nur übermittelt, wenn bei der Nutzung unserer Website oder unserer Formulare ein technischer Fehler auftritt. Ein solcher Fehlerbericht enthält:

• Art und Meldung des Fehlers, wobei E-Mail-Adressen, IBAN und Zugangsschlüssel (Access-Tokens) automatisch entfernt oder unkenntlich gemacht werden,
• technischer Fehlerverlauf (Stacktrace),
• Pfad der aufgerufenen Seite ohne URL-Parameter,
• Umgebung und Versionsstand der Anwendung,
• Spracheinstellung und Zeitzone Ihres Browsers,
• die letzten Bedien- und Navigationsschritte sowie Netzwerkanfragen der Seite (Zieladresse ohne URL-Parameter, Methode und Statuscode) kurz vor dem Auftreten des Fehlers, ohne die von Ihnen in Formularfelder eingegebenen Inhalte.

Die Fehlerberichte werden zunächst an unseren eigenen Server gesendet und erst von dort an Better Stack weitergeleitet. Better Stack erhält im Rahmen der Fehlerberichte daher weder Ihre IP-Adresse noch Kennungen Ihres Browsers. Für die Fehleranalyse werden keine Cookies gesetzt und kein lokaler Speicher Ihres Browsers (Local Storage) genutzt. Eine Aufzeichnung Ihrer Sitzung („Session Replay“), ein seitenübergreifendes Tracking oder die Bildung von Nutzerprofilen findet nicht statt.

Darüber hinaus übermitteln unsere Server Protokolldaten (Server-Logdateien) an Better Stack. Diese umfassen insbesondere:

• Datum und Uhrzeit der Anfrage,
• HTTP-Methode,
• aufgerufener Pfad ohne URL-Parameter (in Pfaden enthaltene Zugangsschlüssel werden maskiert),
• HTTP-Statuscode,
• Größe der Antwort,
• Antwortzeit,
• Anfrage-Kennung (Request-ID),
• gekürzte IP-Adresse (bei IPv4 wird der letzte Block entfernt, bei IPv6 wird die Adresse auf die ersten 48 Bit gekürzt),
• bei Protokollen des Webservers zusätzlich die Browserangaben (User-Agent),
• Meldungen der Anwendung, die interne Kennungen (z. B. Vorgangs- oder Nutzerkennungen) und bereinigte Fehlermeldungen enthalten können.

Tritt auf unseren Servern ein Fehler auf, werden zudem technische Fehlerdetails an Better Stack übermittelt. Dazu können Angaben gehören, die Ihr Browser mit der fehlgeschlagenen Anfrage mitsendet, etwa Browserangaben (User-Agent), Spracheinstellung und die verweisende Seite ohne URL-Parameter; Ihre IP-Adresse und Cookies werden dabei nicht übermittelt. Auch diese Fehlerdetails werden automatisch um E-Mail-Adressen, IBAN und Zugangsschlüssel bereinigt.

Rechtsgrundlage für diese Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, technische Fehler zu erkennen, zu analysieren und zu beheben sowie einen stabilen und sicheren Betrieb unserer Website zu gewährleisten. Sie haben das Recht, dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, gemäß Art. 21 DSGVO jederzeit zu widersprechen (siehe Ziffer 10).

Mit Better Stack haben wir einen Vertrag über die Auftragsverarbeitung gemäß Art. 28 DSGVO geschlossen. Die Daten werden in der EU-Region von Better Stack, also in Rechenzentren innerhalb der Europäischen Union, gespeichert. Better Stack ist ein US-Unternehmen und setzt teilweise in den USA ansässige Unterauftragsverarbeiter ein. Soweit dabei personenbezogene Daten in Drittländer, insbesondere in die USA, übermittelt werden, erfolgt dies auf Grundlage des EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO) und/oder der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Bei Better Stack werden Logdateien nach drei (3) Tagen und Fehlerberichte nach neunzig (90) Tagen automatisch gelöscht.

4.7 Webanalyse mit Umami

Um die Nutzung unserer Website und unseres Antragsformulars statistisch auszuwerten und unser Angebot zu verbessern, setzen wir die Open-Source-Software „Umami“ ein. Umami wird von uns selbst auf von uns betriebenen Servern gehostet (analytics.thgexpress.de, für das Antragsformular analytics.thg-quotenportal.de); die erfassten Daten werden weder an den Hersteller von Umami noch an sonstige Dritte weitergegeben. Umami setzt keine Cookies und legt keine Informationen im lokalen Speicher Ihres Browsers (Local Storage) ab. Vor jeder Übermittlung prüft das Umami-Skript lediglich, ob im lokalen Speicher Ihres Browsers für die aufgerufene Seite der Eintrag „umami.disabled“ vorhanden ist; in diesem Fall erfasst es nichts.

Beim Aufruf einer Seite unserer Website übermittelt Ihr Browser dazu folgende Angaben an unseren Analyse-Server:

• Adresse der aufgerufenen Seite ohne URL-Parameter und ohne Sprungmarke (der Teil der Adresse ab „?“ bzw. „#“ wird vor der Übermittlung entfernt), Seitentitel und Domain,
• Website, von der aus Sie auf unsere Seite gelangt sind (Referrer-URL), ebenfalls ohne URL-Parameter und Sprungmarke,
• Bildschirmgröße und Spracheinstellung Ihres Browsers,
• Browserangaben (User-Agent), aus denen Browser, Betriebssystem und Gerätetyp abgeleitet werden,
• IP-Adresse, aus der das ungefähre Land, die Region und die Stadt abgeleitet werden,
• Datum und Uhrzeit des Aufrufs.

Ihre IP-Adresse und die vollständigen Browserangaben speichert Umami nicht. Sie werden nur verwendet, um den ungefähren Standort zu bestimmen und zusammen mit einem geheimen Schlüssel und dem jeweiligen Kalendermonat eine pseudonyme Sitzungskennung (Hash-Wert) zu bilden. Mit dieser Kennung lassen sich Aufrufe mit derselben IP-Adresse und denselben Browserangaben innerhalb eines Kalendermonats zusammenfassen; da die IP-Adresse nicht gespeichert wird, lassen sich Sitzungskennungen verschiedener Monate anhand der gespeicherten Daten nicht miteinander verknüpfen. Ein Tracking über fremde Websites hinweg findet nicht statt.

In unserem Antragsformular erfasst Umami keine automatischen Seitenaufrufe, sondern lediglich, welcher Formularschritt aufgerufen wurde, sowie beim Absenden eines Antrags die Höhe der Bearbeitungsgebühr (Betrag und Währung). Als Seitenadresse werden dabei nur die Adresse des Antragsformulars ohne URL-Parameter und Sprungmarke bzw. eine von uns festgelegte Bezeichnung des Formularschritts (z. B. „/dataform/2“) übermittelt, außerdem die übrigen oben genannten Angaben. Ihre Vorgangsnummer oder andere Kennungen Ihres Antrags werden an Umami nicht übermittelt.

Rechtsgrundlage für diese Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, die Nutzung unserer Website und unseres Antragsformulars statistisch auszuwerten, technische Probleme und Abbrüche im Antragsprozess zu erkennen, unser Angebot zu verbessern und den Erfolg unserer Werbemaßnahmen in zusammengefasster Form zu beurteilen.

Sie können dieser Verarbeitung jederzeit widersprechen (siehe Ziffer 10). Da die mit Umami erfassten Daten pseudonym sind und wir sie Ihrer Person in der Regel nicht zuordnen können, können wir einen Widerspruch nicht auf bereits erfasste Daten beziehen. Die künftige Erfassung können Sie jederzeit selbst verhindern, indem Sie das Laden von Skripten der oben genannten Analyse-Server in Ihrem Browser blockieren, etwa mit einem Inhaltsblocker, oder für die jeweilige Seite im lokalen Speicher Ihres Browsers den Eintrag „umami.disabled“ anlegen.

Maßgeblich für die Speicherdauer der mit Umami erfassten Daten ist, wie lange wir sie für die statistische Auswertung benötigen, insbesondere für Vergleiche der Nutzung über mehrere Monate und Jahre. Eine feste Frist, nach der die Daten automatisch gelöscht werden, ist derzeit nicht festgelegt.

4.8 Messung des Anzeigenerfolgs mit Google Ads (Offline-Conversions)

Wir bewerben unser Angebot mit Anzeigen über den Dienst „Google Ads“. Um feststellen zu können, ob der Klick auf eine unserer Anzeigen zu einem Antrag geführt hat (sog. Conversion), und um unsere Anzeigen und unser Werbebudget danach auszurichten, übermitteln wir nach Ihrer Antragstellung wenige Angaben von unserem Server aus an Google (sog. Offline-Conversion). Google-Skripte oder Cookies setzen wir hierfür weder auf unserer Website noch im Antragsformular ein.

Klicken Sie auf eine unserer Google-Anzeigen, hängt Google an die Adresse (URL) unserer Website eine von Google erzeugte Klick-Kennung an (URL-Parameter „gclid“, „gbraid“ oder „wbraid“). Die Kennung ist damit Bestandteil der aufgerufenen Adresse und kann, wie jede aufgerufene Adresse, in Ihrem Browserverlauf verbleiben. Unsere Website liest die Kennung per JavaScript aus der Adresse aus und hält sie im Arbeitsspeicher des geöffneten Browser-Tabs vor, damit sie beim Wechsel auf andere Seiten unserer Website erhalten bleibt; in Cookies oder im lokalen Speicher Ihres Browsers (Local Storage oder Session Storage) legen wir sie nicht ab. Öffnen Sie von unserer Website aus das Antragsformular, wird die Kennung über die Adresse an das Formular weitergegeben. Das Formular liest sie dort auf dieselbe Weise aus und übermittelt sie beim Absenden Ihres Antrags zusammen mit Ihren Antragsdaten an unseren Server. An unsere Webanalyse (Ziffer 4.7) wird die Kennung nicht übermittelt.

Auf unserem Server wird aus den mitgesendeten Kennungen genau eine ausgewählt (vorrangig „gclid“, danach „gbraid“, danach „wbraid“); weitere Kennungen werden verworfen. Die ausgewählte Klick-Kennung wird nicht in unserer Antragsdatenbank gespeichert, sondern nur in einer technischen Warteschlange zwischengespeichert. An Google übermittelt wird erst, nachdem Sie Ihre E-Mail-Adresse über den Link in der Bestätigungs-E-Mail bestätigt haben. Ist die Übermittlung abgeschlossen oder endgültig nicht möglich, wird der Eintrag samt Klick-Kennung aus der Warteschlange gelöscht, spätestens jedoch automatisch 48 Stunden nach Eingang Ihres Antrags. Liegt Ihre Bestätigung bis dahin nicht vor, unterbleibt die Übermittlung. Aus technischen Gründen kann die Klick-Kennung nach dem Löschen noch bis zu etwa einer Stunde in einer Sicherungsdatei des Warteschlangen-Servers enthalten sein, bis diese automatisch überschrieben wird.

Für jeden Vorgang Ihres Antrags (je Fahrzeug) übermitteln wir eine Conversion mit folgenden Angaben; Vorgänge, die bis dahin nicht mehr bearbeitet werden, etwa weil sie abgelehnt wurden, übermitteln wir nicht:

• die ausgewählte Klick-Kennung,
• als Zeitpunkt der Conversion den Zeitpunkt Ihrer Antragstellung,
• als Conversion-Wert die auf den Vorgang entfallende Bearbeitungsgebühr in Euro,
• unsere interne Vorgangsnummer als Bestellkennung (Order-ID),
• Kennung der betreffenden Conversion-Aktion in unserem Google-Ads-Konto.

Nicht übermittelt werden insbesondere Ihr Name, Ihre Anschrift, E-Mail-Adresse, Telefonnummer oder Bankverbindung, Angaben zu Ihrem Fahrzeug, Ihre IP-Adresse oder Browserangaben. Auch gehashte (pseudonymisierte) Kontaktdaten („Enhanced Conversions“) übermitteln wir nicht.

Zu jedem Vorgang speichern wir in unserer Antragsdatenbank – ohne die Klick-Kennung – den Stand dieser Messung: ob und wann eine Conversion vorgemerkt, übermittelt oder zurückgenommen wurde, die Art der verwendeten Klick-Kennung („gclid“, „gbraid“ oder „wbraid“), Bestellkennung und übermittelten Wert, die Zahl der Übermittlungsversuche sowie gegebenenfalls den Grund, weshalb eine Übermittlung unterblieben ist, und Fehlercodes von Google. Enthält Ihr Antrag keine Klick-Kennung, vermerken wir lediglich, dass aus diesem Grund keine Übermittlung erfolgt. Diese Angaben dienen dazu, doppelte Übermittlungen zu vermeiden, Conversions zurücknehmen zu können und die Übermittlung zu überwachen; sie werden zusammen mit Ihren Antragsdaten gespeichert (siehe Ziffer 8).

Empfänger ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Google verarbeitet die Daten als eigenständiger Verantwortlicher auf Grundlage der „Google Ads Controller-Controller Data Protection Terms“ (https://business.safety.google/controllerterms/). Google ordnet die Conversion anhand der Klick-Kennung dem Anzeigenklick zu, stellt uns zusammengefasste Auswertungen bereit und nutzt die Angaben zur Optimierung der Anzeigenauslieferung, etwa für automatische Gebotsstrategien. Google kann die Klick-Kennung dabei mit weiteren Informationen verknüpfen, die Google zu dem Anzeigenklick vorliegen, z. B. mit Ihrem Google-Konto, sofern Sie beim Klick angemeldet waren; hierauf haben wir keinen Einfluss. Weitere Informationen finden Sie in der Datenschutzerklärung von Google unter https://policies.google.com/privacy.

Google kann die Daten in eigener Verantwortung auch an die Google LLC in den USA übermitteln. Nach Angaben von Google stützt Google solche Übermittlungen auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), soweit die Google LLC danach zertifiziert ist, und/oder auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Rechtsgrundlage für diese Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, den Erfolg und die Wirtschaftlichkeit unserer Werbeanzeigen zu messen, unser Werbebudget auf wirksame Anzeigen zu verteilen und die Auslieferung unserer Anzeigen zu optimieren. Bei der Abwägung haben wir berücksichtigt, dass neben der Klick-Kennung nur die Vorgangsnummer, der Zeitpunkt der Antragstellung und die Bearbeitungsgebühr, aber keine Kontakt- oder Identitätsdaten übermittelt werden, dass nur Anträge mit bestätigter E-Mail-Adresse übermittelt werden, dass wir die Klick-Kennung nicht in unserer Antragsdatenbank speichern, sondern höchstens 48 Stunden zwischenspeichern (zuzüglich einer technisch bedingten Kopie in einer Sicherungsdatei für bis zu etwa eine Stunde, siehe oben), dass hierfür keine Cookies eingesetzt werden und dass Sie der Verarbeitung auch mit Wirkung für künftige Anträge widersprechen können.

Lehnt das Umweltbundesamt die Bescheinigung der THG-Quote für einen Vorgang ab, nehmen wir die zugehörige Conversion bei Google automatisch zurück, soweit dies noch möglich ist. Google akzeptiert solche Rücknahmen derzeit frühestens 24 Stunden nach der Übermittlung und nur bis 54 Tage nach der Conversion; wir senden sie deshalb nur, wenn die Übermittlung mindestens 24 Stunden sowie Übermittlung und Antragstellung höchstens 53 Tage zurückliegen. Conversions, die mit der Kennung „wbraid“ übermittelt wurden, lassen sich nach Angaben von Google nicht zurücknehmen. Für eine Rücknahme übermitteln wir an Google lediglich die Vorgangsnummer als Bestellkennung sowie Art und Zeitpunkt der Korrektur. Da die Entscheidung des Umweltbundesamts meist erst nach Ablauf dieser Frist vorliegt, bleibt die Conversion in diesen Fällen in der Regel bestehen. Wird ein Antrag aus anderen Gründen abgelehnt oder storniert, nehmen wir die Conversion nicht automatisch zurück. Wie lange Google die übermittelten Daten speichert, richtet sich nach den Bestimmungen von Google.

Widerspruchsrecht: Sie können der Übermittlung Ihrer Daten an Google zur Messung des Anzeigenerfolgs gemäß Art. 21 DSGVO jederzeit ohne Angabe von Gründen widersprechen, z. B. per E-Mail an datenschutz@thgexpress.de. Bitte nennen Sie uns dabei die bei der Antragstellung verwendete E-Mail-Adresse oder Ihre Vorgangsnummer, damit wir Ihre Anträge zuordnen können. Ist die Übermittlung für einen Ihrer Anträge zu diesem Zeitpunkt noch nicht erfolgt, unterbleibt sie. Da sie in der Regel kurz nach der Bestätigung Ihrer E-Mail-Adresse erfolgt, ist dies aber meist schon geschehen; bereits übermittelte Conversions nehmen wir dann zurück, soweit Google dies in den oben genannten Grenzen zulässt. Ihr Widerspruch gilt auch für künftige Anträge, die Sie mit derselben E-Mail-Adresse stellen: Dazu nehmen wir einen aus Ihrer E-Mail-Adresse berechneten Prüfwert (Hash-Wert), nicht die E-Mail-Adresse selbst, in eine Widerspruchsliste auf und gleichen neue Anträge bei ihrem Eingang damit ab. Stimmt der Prüfwert überein, wird die Klick-Kennung weder zwischengespeichert noch an Google übermittelt. Anträge, die Sie mit einer anderen E-Mail-Adresse stellen, können wir dabei nicht erkennen. Rechtsgrundlage für die Speicherung des Prüfwerts ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 21 DSGVO; wir speichern ihn, bis Sie uns mitteilen, dass Ihr Widerspruch nicht mehr gelten soll. Eine Übermittlung findet von vornherein nicht statt, wenn Sie unsere Website direkt und nicht über eine Google-Anzeige aufrufen.

5. Übermittlung personenbezogener Daten an Dritte bzw. Quotenkäufer

Um Ihre THG-Quote geltend zu machen und vermarkten zu können, ist eine Bescheinigung über die entsprechende Strommenge durch das Umweltbundesamt erforderlich. Die Picsure GmbH übermittelt für die Vermarktung Ihrer THG-Quote folgende Daten aus der/den von Ihnen hochgeladenen Zulassungsbescheinigung(en) an sog. Quotenaufkäufer.

• Name des Halters (Inhabers) der Zulassungsbescheinigung
• Datum der Zulassung
• Fahrzeug-Identifizierungsnummer (FIN)
• Antriebsart (rein Elektro)
• Fahrzeugklasse
• Datum des zwischen Ihnen und der Picsure GmbH abgeschlossenen Vertrags über Ihre THG-Quote(n)
• ggf. Anmerkungen zum jeweiligen Fahrzeug

Darüber hinaus erhalten folgende Kategorien von Empfängern Zugriff auf Ihre personenbezogenen Daten:

• Dienstleister für den Betrieb unserer Webseite und die Verarbeitung der durch die Systeme gespeicherten oder übermittelten Daten (z.B. für Rechenzentrumsleistungen, Zahlungsabwicklungen, IT-Sicherheit). Rechtsgrundlage für die Weitergabe ist dann Art. 6 Abs. 1 lit. b oder lit. f DSGVO (siehe auch Ziffer 5), soweit es sich nicht um Auftragsverarbeiter handelt,
• Staatliche Stellen/Behörden, soweit dies zur Erfüllung einer gesetzlichen Verpflichtung erforderlich ist. Rechtsgrundlage für die Weitergabe ist dann Art. 6 Abs. 1 lit. c DSGVO;
• Zur Durchführung unseres Geschäftsbetriebs eingesetzte Personen (z.B. Auditoren, Banken, Versicherungen, Rechtsberater, Aufsichtsbehörden, Beteiligte bei Unternehmenskäufen oder der Gründung von Gemeinschaftsunternehmen). Rechtsgrundlage für die Weitergabe ist dann Art. 6 Abs. 1 lit. b oder lit. f DSGVO.
• Dienstleister der Logistik, IT, Datenmanagements sowie weitere Auftragsverarbeiter gem. Art. 28 der DSGVO, z. B. Better Stack für die Fehleranalyse und Server-Logdateien (siehe Ziffer 4.6).
• Google Ireland Limited als eigenständiger Verantwortlicher im Rahmen der Messung des Anzeigenerfolgs (siehe Ziffer 4.8). Rechtsgrundlage für die Weitergabe ist dann Art. 6 Abs. 1 lit. f DSGVO.

6. Voraussetzungen der Weitergabe von personenbezogenen Daten in Drittländer

Im Rahmen unserer Geschäftsbeziehungen können Ihre personenbezogenen Daten an Drittgesellschaften weitergegeben oder offengelegt werden. Diese können sich auch außerhalb des Europäischen Wirtschaftsraums (EWR), also in Drittländern, befinden. Eine derartige Verarbeitung erfolgt ausschließlich zur Erfüllung der vertraglichen und geschäftlichen Verpflichtungen und zur Pflege Ihrer Geschäftsbeziehung zu uns.

Abweichend davon können im Rahmen der Fehleranalyse und der Server-Logdateien (Better Stack) personenbezogene Daten auch auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) in Drittländer übermittelt werden; Einzelheiten und die dafür bestehenden Garantien siehe Ziffer 4.6.

Im Rahmen der Messung des Anzeigenerfolgs mit Google Ads (Ziffer 4.8) übermitteln wir Daten an die Google Ireland Limited mit Sitz in Irland, also nicht in ein Drittland; Rechtsgrundlage dieser Übermittlung ist Art. 6 Abs. 1 lit. f DSGVO. Übermittelt Google die Daten anschließend an die Google LLC in den USA, geschieht dies in eigener Verantwortung von Google als eigenständiger Verantwortlicher; zu den nach Angaben von Google hierfür bestehenden Garantien siehe Ziffer 4.8.

7. Sicherheitsmaßnahmen

Um Ihre persönlichen Daten vor fremdem Zugriff zu schützen, haben wir unsere Webseite mit einem SSL- bzw. TLS-Zertifikat versehen. SSL steht für „Secure-Sockets-Layer" und TLS für „Transport Layer Security" und verschlüsselt die Kommunikation von Daten zwischen einer Webseite und dem Endgerät des Nutzers. Sie erkennen die aktive SSL- bzw. TLS-Verschlüsselung an einem kleinen Schloss-Logo, das ganz links in der Adresszeile des Browsers angezeigt wird.

8. Dauer der Speicherung personenbezogener Daten

Die Dauer der Speicherung von personenbezogenen Daten bemisst sich anhand der jeweiligen Rechtsgrundlage, am Verarbeitungszweck und – sofern einschlägig – zusätzlich anhand der jeweiligen gesetzlichen Aufbewahrungsfrist (z.B. handels- und steuerrechtliche Aufbewahrungsfristen). Darüber hinaus speichern wir Ihre personenbezogenen Daten für die Dauer der regelmäßigen Verjährungsfrist von drei (3) Jahren.

Bei der Verarbeitung von personenbezogenen Daten auf Grundlage einer ausdrücklichen Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO werden diese Daten so lange gespeichert, bis der Betroffene seine Einwilligung widerruft.

Abweichend davon wird die Klick-Kennung aus einem Google-Anzeigenlink für die Übermittlung an Google höchstens 48 Stunden nach Eingang Ihres Antrags zwischengespeichert; eine technisch bedingte Kopie in einer Sicherungsdatei kann danach noch bis zu etwa einer Stunde bestehen (siehe Ziffer 4.8). Der Stand der Messung des Anzeigenerfolgs wird ohne Klick-Kennung zusammen mit Ihren Antragsdaten gespeichert. Den Prüfwert Ihrer E-Mail-Adresse aus einem Widerspruch gegen die Messung des Anzeigenerfolgs speichern wir, bis Sie uns mitteilen, dass Ihr Widerspruch nicht mehr gelten soll (siehe Ziffer 4.8). Zur Speicherdauer der mit Umami erfassten Daten siehe Ziffer 4.7.

Kopien eingereichter Zulassungsbescheinigungen und der ausgelesenen Daten, die wir zur Weiterentwicklung unserer Dokumentenerkennung nutzen (Ziff. 4.5), speichern wir bis zu Ihrem Widerspruch, höchstens fünf Jahre nach der Einreichung.

9. Betroffenenrechte

Sie haben das Recht:

• gemäß Art. 15 DSGVO Auskunft über Ihre von uns verarbeiteten personenbezogenen Daten zu verlangen. Insbesondere können Sie Auskunft über die Verarbeitungszwecke, die Kategorie der personenbezogenen Daten, die Kategorien von Empfängern, gegenüber denen Ihre Daten offengelegt wurden oder werden, die geplante Speicherdauer, das Bestehen eines Rechts auf Berichtigung, Löschung, Einschränkung der Verarbeitung oder Widerspruch, das Bestehen eines Beschwerderechts, die Herkunft Ihrer Daten, sofern diese nicht bei uns erhoben wurden, sowie über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling und ggf. aussagekräftigen Informationen zu deren Einzelheiten verlangen;
• gemäß Art. 16 DSGVO unverzüglich die Berichtigung unrichtiger oder Vervollständigung Ihrer bei uns gespeicherten personenbezogenen Daten zu verlangen;
• gemäß Art. 17 DSGVO die Löschung Ihrer bei uns gespeicherten personenbezogenen Daten zu verlangen, soweit nicht die Verarbeitung zur Ausübung des Rechts auf freie Meinungsäußerung und Information, zur Erfüllung einer rechtlichen Verpflichtung, aus Gründen des öffentlichen Interesses oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist;
• gemäß Art. 18 DSGVO die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen, soweit die Richtigkeit der Daten von Ihnen bestritten wird, die Verarbeitung unrechtmäßig ist, Sie aber deren Löschung ablehnen und wir die Daten nicht mehr benötigen, Sie jedoch diese zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigen oder Sie gemäß Art. 21 DSGVO Widerspruch gegen die Verarbeitung eingelegt haben;
• gemäß Art. 20 DSGVO Ihre personenbezogenen Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesebaren Format zu erhalten oder die Übermittlung an einen anderen Verantwortlichen zu verlangen;
• gemäß Art. 7 Abs. 3 DSGVO Ihre einmal erteilte Einwilligung jederzeit gegenüber uns zu widerrufen. Dies hat zur Folge, dass wir die Datenverarbeitung, die auf dieser Einwilligung beruhte, für die Zukunft nicht mehr fortführen dürfen und
• gemäß Art. 77 DSGVO sich bei einer Aufsichtsbehörde zu beschweren. In der Regel können Sie sich hierfür an die Aufsichtsbehörde Ihres üblichen Aufenthaltsortes oder des Ortes des mutmaßlichen Verstoßes wenden.

10. Widerspruch oder Widerruf gegen die Verarbeitung Ihrer Daten

Falls Sie eine Einwilligung zur Verarbeitung Ihrer Daten erteilt haben, können Sie diese jederzeit widerrufen. Ein solcher Widerruf beeinflusst die Zulässigkeit der Verarbeitung Ihrer personenbezogenen Daten, nachdem Sie ihn gegenüber uns ausgesprochen haben.

Soweit wir die Verarbeitung Ihrer personenbezogenen Daten auf die Interessenabwägung stützen, können Sie Widerspruch gegen die Verarbeitung einlegen. Dies ist der Fall, wenn die Verarbeitung insbesondere nicht zur Erfüllung eines Vertrags mit Ihnen erforderlich ist, was von uns jeweils bei der nachfolgenden Beschreibung der Funktionen dargestellt wird. Bei Ausübung eines solchen Widerspruchs bitten wir um Darlegung der Gründe, weshalb wir Ihre personenbezogenen Daten nicht wie von uns durchgeführt verarbeiten sollten. Im Falle Ihres begründeten Widerspruchs prüfen wir die Sachlage und werden entweder die Datenverarbeitung einstellen bzw. anpassen oder Ihnen unsere zwingenden schutzwürdigen Gründe aufzeigen, aufgrund derer wir die Verarbeitung fortführen. Abweichend davon können Sie der Nutzung Ihrer Dokumente zur Weiterentwicklung unserer Dokumentenerkennung (Ziff. 4.5) jederzeit ohne Angabe von Gründen widersprechen.

Selbstverständlich können Sie der Verarbeitung Ihrer personenbezogenen Daten für Zwecke der Werbung und Datenanalyse jederzeit widersprechen; dies gilt insbesondere für die Webanalyse mit Umami (Ziffer 4.7) und die Messung des Anzeigenerfolgs mit Google Ads (Ziffer 4.8). Über Ihren Werbewiderspruch können Sie uns unter folgenden Kontaktdaten informieren: