Datenschutzerklärung

Stand: 28.09.2026

Mit dieser Datenschutzerklärung informieren wir nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten wir beim Betrieb der Plattform „NFM+ Software“ verarbeiten, zu welchen Zwecken, auf welcher Rechtsgrundlage und wie lange. Sie gilt für die Web-Anwendung, die Progressive Web App (PWA), die mobilen Apps für Android und iOS sowie für die öffentlichen Prüfseiten der Recycling-Informationsberichte.

1. Verantwortlicher und Kontakt
2. Rollenverteilung: Verantwortlicher und Auftragsverarbeiter
3. Aufruf der Plattform und Server-Logdateien
4. Hosting
5. Zugangsantrag und Freischaltung (Onboarding)
6. Nutzerkonto, Anmeldung und Zwei-Faktor-Authentifizierung
7. Sicherheitsprotokoll und manipulationsgeschütztes Prüfjournal
8. Betriebs-, Stoffstrom- und Übergabedaten
9. Standortdaten während Transporten
10. Routenberechnung und Kartendarstellung
11. Kamera und QR-Code-Scan
12. Hochgeladene Dateien
13. Recycling-Informationsberichte und öffentliche Prüfseite
14. Kontaktformular und E-Mail-Kommunikation
15. E-Mail-Versand durch die Plattform
16. Cookies, lokale Speicherung und Offline-Funktion
17. Mobile Apps und App-Stores
18. Keine Analyse-, Tracking- oder Werbedienste
19. Empfänger
20. Übermittlung in Drittländer
21. Speicherdauer
22. Ihre Rechte
23. Widerspruchsrecht
24. Beschwerderecht
25. Pflicht zur Bereitstellung, automatisierte Entscheidungen
26. Datensicherheit
27. Änderungen

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

NFM Recycling GmbH
Innungstr. 22, 50354 Hürth, Deutschland
Vertreten durch die Geschäftsführerin Marina Peponidis-Bartsch
Telefon: +49 173 410 22 20 · E-Mail: info@nfmrecycling.de

Datenschutzanfragen: datenschutz@nfmrecycling.de [Postfach einrichten oder durch info@ ersetzen]

Datenschutzbeauftragter: [Falls benannt (Pflicht u. a. ab in der Regel 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, § 38 BDSG): Name/Dienstleister und Kontaktdaten eintragen. Andernfalls diesen Absatz streichen.]

2. Rollenverteilung: Verantwortlicher und Auftragsverarbeiter

NFM+ ist eine Plattform, über die mehrere Unternehmen (z. B. Abfallerzeuger, Sammler, Händler/Betriebe, Speditionen, Recyclingbetriebe und Abnehmer) Stoffströme, Übergaben, Transporte und Recyclingprozesse dokumentieren. Daraus ergeben sich unterschiedliche datenschutzrechtliche Rollen:

• Wir als Verantwortlicher verarbeiten Daten, die für den Betrieb und die Sicherheit der Plattform, die Vertragsbeziehung zu unseren Kunden, die Freischaltung neuer Nutzer, das Sicherheitsprotokoll, die öffentliche Prüfseite und die Kommunikation mit uns erforderlich sind.
• Wir als Auftragsverarbeiter verarbeiten Daten, die ein Kundenunternehmen in seinem eigenen Bereich der Plattform über seine Beschäftigten, Fahrer, Fahrzeuge, Anlagen und Prozesse erfasst. Verantwortlich ist insoweit das jeweilige Kundenunternehmen; wir handeln nach dessen Weisung auf Grundlage eines Vertrags zur Auftragsverarbeitung. Betroffene wenden sich für diese Daten bitte vorrangig an das jeweilige Unternehmen; wir leiten an uns gerichtete Anfragen weiter.
• Übergaben zwischen Unternehmen: Soweit Daten im Rahmen einer Übergabe (Übergabekette, Lieferung, Verkauf) zwischen zwei Kundenunternehmen ausgetauscht werden, ist jedes Unternehmen für die bei ihm vorliegenden Daten selbst verantwortlich.

Herkunft der Daten (Art. 14 Abs. 2 lit. f DSGVO): Die meisten Daten erheben wir direkt bei Ihnen. Nicht direkt bei Ihnen erhoben werden Daten, die (a) Ihr Arbeitgeber bzw. das Kundenunternehmen, für das Sie tätig sind, in der Plattform erfasst (z. B. Nutzerkonto, Fahrzeugzuordnung), (b) andere Beteiligte einer Übergabekette eingeben (z. B. Name, Telefonnummer und Fahrzeugkennzeichen eines abgebenden oder transportierenden Unternehmens) oder (c) aus öffentlichen Registern stammen (z. B. Handelsregister, USt-IdNr.-Bestätigung).

3. Aufruf der Plattform und Server-Logdateien

Bei jedem Aufruf der Plattform verarbeitet unser Webserver technisch notwendige Zugriffsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, HTTP-Statuscode, übertragene Datenmenge, Referrer-URL sowie Browser- und Betriebssystemkennung (User-Agent).

Zweck: Auslieferung der Inhalte, Gewährleistung von Stabilität und Sicherheit, Abwehr und Aufklärung von Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem sicheren und funktionsfähigen Betrieb. Speicherdauer: Die Logdateien werden automatisch nach spätestens 14 Tagen gelöscht, sofern sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls länger benötigt werden.

4. Hosting

Die Plattform, die Datenbank und die hochgeladenen Dateien werden auf einem Server in einem Rechenzentrum in Frankfurt am Main (Deutschland) betrieben. Anbieter ist die Hostinger International Ltd., 61 Lordou Vironos str., 6023 Larnaka, Zypern. Hostinger verarbeitet die Daten als Auftragsverarbeiter auf Grundlage einer Vereinbarung nach Art. 28 DSGVO. Zum Betrieb und zur Wartung der Plattform setzen wir zudem einen IT-Dienstleister ein, der ebenfalls als Auftragsverarbeiter weisungsgebunden tätig ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (Bereitstellung der Plattform; berechtigtes Interesse an einem professionellen, ausfallsicheren Betrieb).

5. Zugangsantrag und Freischaltung (Onboarding)

Die Plattform ist nicht frei zugänglich. Unternehmen beantragen einen Zugang; nach Prüfung erhält die angegebene E-Mail-Adresse einen zeitlich begrenzten Einladungslink (48 Stunden).

Verarbeitete Daten: Firma/Name, Land, beantragte Rolle, E-Mail-Adresse, Telefonnummer, Name der vertretungsberechtigten bzw. ansprechbaren Person, Handelsregisternummer, Steuernummer, USt-IdNr., ggf. Nachweise zu abfallrechtlichen Zulassungen sowie – soweit für die Identitäts- und Vertretungsprüfung erforderlich – Geburtsdatum der verantwortlichen Person und eine nationale Identifikationsnummer (z. B. die türkische T.C. Kimlik No. bei Unternehmen mit Sitz in der Türkei).

Zweck: Prüfung der Identität und Vertretungsbefugnis, Prüfung der Eignung für die beantragte Rolle in der Entsorgungskette, Anlage des Unternehmenskontos. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, nur verlässlich identifizierte Unternehmen an einer Nachweiskette teilnehmen zu lassen). Speicherdauer: Abgelehnte oder nicht abgeschlossene Anträge löschen wir sechs Monate nach der Entscheidung; bei Freischaltung werden die Daten Bestandteil des Kundenkontos (siehe Ziff. 21).

Registrierung als Privatperson, Sammler oder Fahrer

Privatpersonen sowie einzeln tätige Sammler und Fahrer registrieren sich selbst. Verarbeitet werden Vor- und Nachname, Geburtsdatum (Nachweis der Volljährigkeit), Anschrift bzw. Postleitzahl (Zuordnung zu Annahmestellen in Ihrer Nähe), E-Mail-Adresse, Telefonnummer, Passwort (nur als Hash) und die gewählte Rolle. Fahrer laden zusätzlich Vorder- und Rückseite des Führerscheins sowie ein Ausweisdokument hoch, damit wir die Fahrerlaubnis und Identität prüfen können.

Ausweiskopien: Eine Kopie Ihres Personalausweises verarbeiten wir nur mit Ihrem Einverständnis (§ 20 Abs. 2 PAuswG). Sie dürfen alle für die Prüfung nicht benötigten Angaben schwärzen, insbesondere Zugangs- und Seriennummer sowie das Foto. Die Kopie wird ausschließlich zur einmaligen Prüfung genutzt und 30 Tage nach der Entscheidung gelöscht; gespeichert bleibt nur der Vermerk „geprüft am … durch …“. Gleiches gilt für Führerscheinkopien. [Automatische Löschung technisch umsetzen]

Zweck und Rechtsgrundlage: Abschluss und Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO); Prüfung von Fahrerlaubnis und Identität bei Fahrern zur Sicherung der Nachweiskette (Art. 6 Abs. 1 lit. f DSGVO); für die Ausweiskopie Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit widerrufen können.

Bürgerportal: Rückgaben, Mitgliedsausweis und CO₂e-Anteil

Wenn Sie als Privatperson Material zurückgeben, verarbeiten wir die angemeldete Materialart, das geschätzte und das an der Annahmestelle gewogene Gewicht, die gewählte Annahmestelle, Zeitpunkte, Ihre Mitgliedsnummer und die Rückgabenummer sowie den Weg der zugehörigen Charge. Ihr Mitglieds-QR-Code enthält nur Ihre Mitgliedsnummer. Die Annahmestelle sieht beim Scannen Ihren Namen und Ihre Mitgliedsnummer, nicht aber Ihre Kontaktdaten [in der App prüfen]. Aus der Charge berechnen wir den Ihnen zugeordneten CO₂e-Anteil. Auf öffentlichen Prüfseiten erscheinen Privatpersonen nicht namentlich. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

6. Nutzerkonto, Anmeldung und Zwei-Faktor-Authentifizierung

Verarbeitete Daten: E-Mail-Adresse, Passwort (ausschließlich als bcrypt-Hash gespeichert), Name, Rolle, Unternehmenszugehörigkeit, Sprache, Profilbild bzw. Firmenlogo (freiwillig), Anmeldezeitpunkte, Versionskennung der Anmeldedaten. Bei aktivierter Zwei-Faktor-Authentifizierung (TOTP) das verschlüsselt gespeicherte TOTP-Geheimnis sowie gehashte Wiederherstellungscodes.

Nach der Anmeldung wird ein Sitzungs-Cookie gesetzt, das ein signiertes Zugangstoken mit begrenzter Gültigkeit (standardmäßig eine Stunde) enthält; siehe Cookies & lokale Speicherung.

Zweck: Bereitstellung des Kontos, Zugriffssteuerung nach Rollen und Unternehmen, Schutz vor unbefugtem Zugriff. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Sicherheitsmaßnahmen zusätzlich Art. 6 Abs. 1 lit. f i. V. m. Art. 32 DSGVO. Ist ein Konto von einem Kundenunternehmen für seine Beschäftigten eingerichtet, verarbeiten wir die Kontodaten im Auftrag dieses Unternehmens (Ziff. 2).

7. Sicherheitsprotokoll und manipulationsgeschütztes Prüfjournal

Sicherheitsprotokoll: Anmeldeversuche, Zwei-Faktor-Prüfungen und vergleichbare Sicherheitsereignisse werden mit Ereignisart, Ergebnis, Zeitpunkt, IP-Adresse, User-Agent und einem pseudonymisierten Kennzeichen (HMAC-Hash) der verwendeten Kennung protokolliert.

Prüfjournal: Fachlich relevante Änderungen (z. B. Anlage und Übergabe von Chargen, Prozessdaten, Verkäufe, Freigaben, Rollen- und Rechteänderungen) werden mit ausführender Person, Rolle, Unternehmen, Aktion, geänderten Werten, Zeitpunkt, IP-Adresse und User-Agent in einem nur fortschreibbaren Journal gespeichert. Die Einträge sind per SHA-256 miteinander verkettet, sodass nachträgliche Veränderungen erkennbar werden. Das Journal ist keine öffentliche Blockchain und kein qualifizierter Vertrauensdienst im Sinne der eIDAS-Verordnung.

Zweck: Nachvollziehbarkeit und Beweissicherung der dokumentierten Stoffströme und CO₂e-Berechnungen, Erfüllung von Aufzeichnungs- und Aufbewahrungspflichten, Erkennung von Missbrauch. Verantwortlich für Sicherheitsprotokoll und Prüfjournal sind wir. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer integren, beweissicheren Dokumentation, die unsere Kunden zur Erfüllung ihrer eigenen abfallrechtlichen Register- und Nachweispflichten (u. a. § 49 KrWG, Nachweisverordnung) nutzen, sowie in der Abwehr und Verfolgung von Rechtsansprüchen. Soweit wir eigene handels- und steuerrechtliche Aufbewahrungspflichten haben (§ 257 HGB, § 147 AO), zusätzlich Art. 6 Abs. 1 lit. c DSGVO.

Hinweis zur Unveränderbarkeit: Einzelne Journaleinträge können technisch nicht gelöscht oder überschrieben werden, ohne die Beweiskette zu zerstören. Berichtigungen erfolgen durch einen Korrektureintrag. Einem Löschverlangen können wir insoweit nur entsprechen, wenn keine überwiegenden berechtigten Gründe für die Aufbewahrung vorliegen und sie nicht zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist (Art. 17 Abs. 1 lit. c, Abs. 3 lit. e DSGVO). IP-Adressen im Prüfjournal werden nach 90 Tagen pseudonymisiert; nach Ablauf der Fristen werden personenbezogene Angaben anonymisiert (Ziff. 21).

8. Betriebs-, Stoffstrom- und Übergabedaten

Die Plattform verarbeitet überwiegend Unternehmensdaten: Chargen/Lose, AVV-Abfallschlüssel, Mengen und Gewichte, Ballenanzahl, Materialprofile, Anlagen und Maschinen, Energieverbräuche, Prozessschemata, Fremdstoffe, Druckfarben, Lagerbestände, Verkäufe, Fahrzeuge (Kennzeichen, Kraftstoffart, Verbrauch) sowie die Übergabekette mit Zeitpunkten. Personenbezogen sind diese Daten, soweit sie einer natürlichen Person zugeordnet werden können – etwa Ansprechpartner, Fahrer, die eine Übergabe bestätigt haben, Kennzeichen von Fahrzeugen einzelkaufmännisch tätiger Unternehmer oder Angaben zu Einzelunternehmern.

Zweck: Dokumentation der Nachweiskette, Berechnung der CO₂e-Werte, Erstellung von Berichten, Abwicklung der Übergaben zwischen Beteiligten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem jeweiligen Unternehmen) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse der Beteiligten an einer lückenlosen Nachweiskette, mit der sie ihre abfallrechtlichen Dokumentationspflichten erfüllen). Soweit ein Kundenunternehmen Daten nur für eigene Zwecke erfasst, handeln wir als Auftragsverarbeiter (Ziff. 2).

9. Standortdaten während Transporten

Fahrer können für einen zugewiesenen Transport die Standortübermittlung aktiv starten. Erst danach und nur solange die Transportansicht geöffnet ist, übermittelt das Gerät in kurzen Abständen Breiten- und Längengrad, Genauigkeit, Geschwindigkeit und Gerätezeit; der Server speichert zusätzlich den Empfangszeitpunkt. Die Übermittlung setzt die Standortfreigabe im Browser bzw. Betriebssystem voraus und endet, wenn der Fahrer sie stoppt, den Transport abschließt oder die Ansicht schließt. Eine Hintergrundortung findet nicht statt.

Zweck: Nachweis der tatsächlich gefahrenen Strecke als Grundlage der transportbezogenen CO₂e-Berechnung, Dokumentation der Übergabekette und Anzeige des Transportstatus für die Disposition. Die Daten werden nicht zur Leistungs- oder Verhaltenskontrolle von Fahrern durch uns verwendet.

Rechtsgrundlage: Sind Fahrer bei einem Kundenunternehmen beschäftigt, verarbeiten wir die Standortdaten im Auftrag dieses Unternehmens; dieses ist für die Rechtsgrundlage im Beschäftigungsverhältnis sowie ggf. für die Beteiligung des Betriebsrats verantwortlich. Im Übrigen Art. 6 Abs. 1 lit. b und f DSGVO. Speicherdauer: Streckenpunkte werden so lange gespeichert wie der zugehörige Bericht bzw. die zugehörige Übergabe dokumentiert werden muss (Ziff. 21). Die Standortfreigabe können Sie jederzeit in den Einstellungen Ihres Geräts widerrufen; ohne sie kann die Strecke nur manuell erfasst werden.

10. Routenberechnung und Kartendarstellung

a) Routenberechnung (serverseitig)

Zur Planung einer Transportroute und zur Ermittlung der Entfernung kann unser Server Start- und Zielkoordinaten sowie das Fahrzeugprofil an einen Routing-Dienst übermitteln. Dabei werden keine Namen, Konten oder IP-Adressen der Nutzer übermittelt. Eingesetzt wird die HERE Routing API der HERE Global B.V., Kennedyplein 222-226, 5611 ZT Eindhoven, Niederlande, als Auftragsverarbeiter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO. Steht der Dienst nicht zur Verfügung, wird die Entfernung manuell erfasst.

b) Kartendarstellung und Adresssuche (im Browser)

In einzelnen Ansichten (u. a. Transporte, Live-Übersicht, Standorte, Anfrageformular) werden Kartenkacheln geladen. Dabei stellt Ihr Browser eine direkte Verbindung zu dem jeweiligen Kartendienst her, der Ihre IP-Adresse, den User-Agent und den angefragten Kartenausschnitt erhält:

• OpenStreetMap-Kacheln und Adresssuche (Nominatim) der OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Bei der Adresssuche wird zusätzlich der eingegebene Suchbegriff übermittelt.
• HERE Map Tile API der HERE Global B.V. (Anschrift s. o.).

Zweck: Darstellung von Standorten und Routen, die für die Transportabwicklung erforderlich sind. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO. Die Anbieter verarbeiten diese Daten in eigener Verantwortung; Informationen: osmfoundation.org/wiki/Privacy_Policy und legal.here.com/de-de/privacy. [Empfehlung: Kartenkacheln und Adresssuche über den eigenen Server leiten; dann entfällt die direkte Verbindung und dieser Absatz ist anzupassen.]

11. Kamera und QR-Code-Scan

Zum Scannen von QR-Codes bei Übergaben kann die Plattform nach Ihrer Freigabe auf die Kamera zugreifen. Das Kamerabild wird ausschließlich auf Ihrem Gerät ausgewertet; übermittelt wird nur der erkannte Code. Fotos werden nur übertragen, wenn Sie sie bewusst als Datei hochladen (Ziff. 12). Die Kamerafreigabe können Sie jederzeit in den Einstellungen Ihres Browsers bzw. Geräts widerrufen.

12. Hochgeladene Dateien

Nutzer können Belege hochladen (z. B. Fotos als Sammelnachweis, Rechnungen, Firmenlogos; maximal 10 MB je Datei). Gespeichert werden die Datei, Dateityp, Größe, eine Prüfsumme (SHA-256), Zeitpunkt sowie das hochladende Konto und Unternehmen. Bitte beachten Sie, dass Fotos Metadaten (z. B. Aufnahmeort und -zeit) enthalten können und dass auf Fotos keine unbeteiligten Personen erkennbar sein sollten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b, c und f DSGVO; bei Dateien eines Kundenunternehmens handeln wir als Auftragsverarbeiter.

13. Recycling-Informationsberichte und öffentliche Prüfseite

Die Plattform erzeugt Recycling-Informationsberichte als PDF (serverseitig, ohne Einbindung Dritter). Jeder veröffentlichte Bericht trägt einen QR-Code mit einem zufällig erzeugten Prüfcode. Wer den Code kennt, kann den Bericht ohne Anmeldung auf einer öffentlichen Prüfseite einsehen und herunterladen.

Öffentlich sichtbare Angaben: Firma, Sitz- und Betriebsanschrift des berichterstellenden Betriebs, Name des Inhabers bzw. der vertretungsberechtigten Person, geschäftliche E-Mail-Adresse, Telefonnummer, Steuer- und USt-Angaben; Name und ggf. Telefonnummer des abgebenden Unternehmens; Transportunternehmen, Transportdatum, Fahrzeugkennzeichen, Strecke, Mengen, Prozess- und Materialangaben sowie die berechneten CO₂e-Werte. Namen von Fahrern und sonstigen Nutzern werden nicht angezeigt.

Zweck: Überprüfbarkeit der Echtheit und des Inhalts eines Berichts durch Geschäftspartner, Kunden und Behörden. Die Prüfseite betreiben wir als eigener Verantwortlicher; die Veröffentlichung eines Berichts wird vom berichterstellenden Unternehmen veranlasst. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse und das der Berichtsempfänger liegt in fälschungssicheren, überprüfbaren Nachweisen; die Angaben beschränken sich auf geschäftliche Kontakt- und Transportdaten. Betroffene können der Anzeige nach Ziff. 23 widersprechen. Beim Aufruf der Prüfseite werden nur die Server-Logdaten nach Ziff. 3 verarbeitet. Dauer: Die Prüfseite bleibt abrufbar, solange der Bericht aufzubewahren ist; ein Bericht kann zurückgezogen werden und zeigt dann nur noch seinen Status an.

14. Kontaktformular und E-Mail-Kommunikation

Wenn Sie uns über das Kontakt- oder Anfrageformular oder per E-Mail kontaktieren, verarbeiten wir Name, E-Mail-Adresse, Betreff, Nachricht und ggf. weitere freiwillige Angaben. Zweck: Bearbeitung Ihres Anliegens. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, sofern die Anfrage einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: sechs Monate nach abschließender Bearbeitung; Geschäftskorrespondenz wird entsprechend den handels- und steuerrechtlichen Fristen aufbewahrt.

15. E-Mail-Versand durch die Plattform

Die Plattform versendet transaktionale E-Mails (z. B. Registrierungsbestätigung, Einladungslinks, Passwort-Zurücksetzung, Benachrichtigungen zu Übergaben). Hierfür nutzen wir Google Workspace der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, als Auftragsverarbeiter auf Grundlage des Google Cloud Data Processing Addendum. Verarbeitet werden E-Mail-Adresse, Name und Inhalt der Nachricht. Eine Verarbeitung durch die Google LLC in den USA ist nicht ausgeschlossen; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO), ergänzend gelten Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. [Voraussetzung: Workspace-Konto der NFM Recycling GmbH mit eigener Domain (kein privates Gmail-Konto); Datenverarbeitungsbedingungen in der Admin-Konsole akzeptiert]

Neuigkeiten per E-Mail: Bei der Registrierung können Sie freiwillig einwilligen, Neuigkeiten zu NFM+ per E-Mail zu erhalten. Wir speichern Ihre Einwilligung mit Zeitpunkt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, z. B. über den Abmeldelink in jeder E-Mail oder per Nachricht an uns; danach löschen wir Ihre Adresse aus dem Verteiler. [Double-Opt-in-Bestätigung und Abmeldelink technisch umsetzen]

16. Cookies, lokale Speicherung und Offline-Funktion

Wir setzen ausschließlich technisch erforderliche Cookies und Speichereinträge ein (Sitzung, Spracheinstellung, Sicherheitszähler, Offline-Zwischenspeicher der App-Oberfläche). Hierfür ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich; die anschließende Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b und f DSGVO. Eine vollständige Liste finden Sie unter Cookies & lokale Speicherung.

Die Plattform lädt Schriftarten, Stylesheets und Skripte ausschließlich von unserem eigenen Server. [Voraussetzung vor Go-live: Google Fonts und CDN-Bibliotheken (jsDelivr, cdnjs, unpkg) lokal einbinden – siehe Prüfvermerk. Bis dahin ist dieser Satz unzutreffend.]

17. Mobile Apps und App-Stores

Die Apps für Android und iOS stellen die Plattform in einem App-Rahmen dar; es gelten dieselben Verarbeitungen wie in dieser Erklärung beschrieben. Die Apps fragen folgende Berechtigungen an, jeweils nur bei Nutzung der Funktion: Kamera (QR-Code-Scan, Fotobelege) und Standort (nur während eines aktiv gestarteten Transports, nicht im Hintergrund). Die Apps enthalten keine Werbe-, Analyse- oder Tracking-SDKs.

Beim Herunterladen der Apps verarbeiten Google (Google Play) bzw. Apple (App Store) Daten wie Kontokennung und Gerätedaten in eigener Verantwortung; hierauf haben wir keinen Einfluss.

18. Keine Analyse-, Tracking- oder Werbedienste

Wir setzen keine Webanalyse-, Reichweitenmessungs-, Tracking- oder Werbedienste und keine Social-Media-Plugins ein und erstellen keine Nutzungsprofile.

19. Empfänger

Innerhalb unseres Unternehmens erhalten nur die Personen Zugriff, die ihn zur Erfüllung ihrer Aufgaben benötigen. Daten werden darüber hinaus weitergegeben an:

• Auftragsverarbeiter: Hosting (Ziff. 4), IT-Dienstleister für Betrieb und Wartung, E-Mail-Versand (Ziff. 15), ggf. Routing-Dienst (Ziff. 10 a);
• andere Unternehmen auf der Plattform, soweit sie an einer Übergabe, einem Transport oder einem Verkauf beteiligt sind, im dafür erforderlichen Umfang;
• die Öffentlichkeit, soweit Angaben auf der öffentlichen Prüfseite erscheinen (Ziff. 13);
• Behörden, Gerichte und Strafverfolgungsbehörden, soweit wir hierzu gesetzlich verpflichtet sind;
• Steuerberater und Wirtschaftsprüfer, die beruflich zur Verschwiegenheit verpflichtet sind.

20. Übermittlung in Drittländer

Wir verarbeiten Ihre Daten grundsätzlich in der Europäischen Union. Eine Übermittlung in ein Drittland kann erfolgen, (a) beim Laden von OpenStreetMap-Kartenkacheln und der Adresssuche in das Vereinigte Königreich (Angemessenheitsbeschluss, Art. 45 DSGVO) und (b) soweit Unterauftragsverarbeiter unseres Hosting-Anbieters außerhalb des EWR tätig sind; hierfür bestehen Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) bzw. eine Zertifizierung nach dem EU-US Data Privacy Framework. Eine Kopie der Garantien können Sie über die unter Ziff. 1 genannten Kontaktdaten anfordern.

21. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Im Einzelnen:

22. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung genügt eine Nachricht an die unter Ziff. 1 genannten Kontaktdaten. Betrifft Ihre Anfrage Daten, die wir im Auftrag eines Kundenunternehmens verarbeiten, leiten wir sie an dieses weiter und unterstützen es bei der Beantwortung.

23. Widerspruchsrecht (Art. 21 DSGVO)

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die aufgrund von Art. 6 Abs. 1 lit. f DSGVO erfolgt, Widerspruch einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

24. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Postfach 20 04 44, 40102 Düsseldorf
Telefon: +49 211 38424-0 · E-Mail: poststelle@ldi.nrw.de

25. Pflicht zur Bereitstellung, automatisierte Entscheidungen

Die Bereitstellung der als Pflichtangaben gekennzeichneten Daten ist für den Abschluss und die Durchführung des Nutzungsvertrags erforderlich; ohne sie können wir keinen Zugang einrichten. Die Standortübermittlung ist freiwillig; ohne sie ist die Strecke manuell zu erfassen.

Die CO₂e-Berechnung erfolgt automatisiert, betrifft aber Stoffströme und keine Entscheidungen über natürliche Personen. Eine automatisierte Entscheidung im Einzelfall einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt; über die Freischaltung von Zugängen entscheidet ein Mensch.

26. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, u. a. durchgehende TLS-Verschlüsselung mit HSTS, gehashte Passwörter, Zwei-Faktor-Authentifizierung, rollenbasierte Rechte, Trennung der Unternehmensdaten auf Datenbankebene (Row-Level Security), verschlüsselte Speicherung von 2FA-Geheimnissen, manipulationsgeschützte Protokolle und regelmäßige Datensicherungen. Einzelheiten: Technische und organisatorische Maßnahmen.

27. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Plattform oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung; über wesentliche Änderungen informieren wir registrierte Nutzer in der Plattform.

Gizlilik Politikası (Datenschutzerklärung)

Güncelleme tarihi: 28.09.2026

Bu metin Almanca aslının Türkçe çevirisidir. Aralarında bir farklılık olması hâlinde Almanca metin esas alınır.

Bu Gizlilik Politikası ile Genel Veri Koruma Tüzüğü’nün (GDPR / DSGVO) 13. ve 14. maddeleri uyarınca, “NFM+ Software” platformunu işletirken hangi kişisel verileri, hangi amaçlarla, hangi hukuki sebebe dayanarak ve ne kadar süreyle işlediğimizi açıklıyoruz. Politika; web uygulaması, ilerleyen web uygulaması (PWA), Android ve iOS mobil uygulamaları ile geri dönüşüm bilgi raporlarının herkese açık doğrulama sayfaları için geçerlidir. Türkiye’de bulunan ilgili kişiler ayrıca KVKK Aydınlatma Metnimizi inceleyebilir.

1. Veri sorumlusu ve iletişim
2. Roller: veri sorumlusu ve veri işleyen
3. Platformun açılması ve sunucu kayıtları
4. Barındırma (hosting)
5. Erişim başvurusu ve hesap açılışı
6. Kullanıcı hesabı, giriş ve iki aşamalı doğrulama
7. Güvenlik kaydı ve değiştirilemez denetim günlüğü
8. İşletme, malzeme akışı ve devir-teslim verileri
9. Taşıma sırasında konum verileri
10. Rota hesaplama ve harita gösterimi
11. Kamera ve QR kod okutma
12. Yüklenen dosyalar
13. Geri dönüşüm bilgi raporları ve açık doğrulama sayfası
14. İletişim formu ve e-posta yazışmaları
15. Platformun e-posta göndermesi
16. Çerezler, yerel depolama ve çevrimdışı çalışma
17. Mobil uygulamalar ve uygulama mağazaları
18. Analiz, izleme veya reklam hizmeti yoktur
19. Alıcılar
20. Üçüncü ülkelere aktarım
21. Saklama süreleri
22. Haklarınız
23. İtiraz hakkı
24. Şikâyet hakkı
25. Veri verme yükümlülüğü, otomatik kararlar
26. Veri güvenliği
27. Değişiklikler

1. Veri sorumlusu ve iletişim

GDPR md. 4 no. 7 anlamında veri sorumlusu:

NFM Recycling GmbH
Innungstr. 22, 50354 Hürth, Almanya
Temsilen: Genel Müdür Marina Peponidis-Bartsch
Telefon: +49 173 410 22 20 · E-posta: info@nfmrecycling.de

Veri koruma talepleri: datenschutz@nfmrecycling.de [adresi oluşturun ya da info@ ile değiştirin]

Veri koruma görevlisi: [Atandıysa (BDSG § 38: kural olarak kişisel verilerin otomatik işlenmesiyle sürekli uğraşan en az 20 kişi varsa zorunlu) adı/hizmet sağlayıcı ve iletişim bilgileri yazılır. Atanmadıysa bu paragraf silinir.]

2. Roller: veri sorumlusu ve veri işleyen

NFM+, birden fazla işletmenin (ör. atık üreticileri, toplayıcılar, bayiler/tesisler, nakliyeciler, geri dönüşüm tesisleri ve alıcılar) malzeme akışlarını, devir-teslimleri, taşımaları ve geri dönüşüm süreçlerini kayıt altına aldığı bir platformdur. Bu nedenle farklı roller söz konusudur:

• Veri sorumlusu olarak biz; platformun işletilmesi ve güvenliği, müşterilerimizle sözleşme ilişkisi, yeni kullanıcıların onaylanması, güvenlik kaydı, açık doğrulama sayfası ve bizimle yapılan yazışmalar için gerekli verileri işleriz.
• Veri işleyen olarak biz; bir müşteri işletmenin platformdaki kendi alanında çalışanları, şoförleri, araçları, tesisleri ve süreçleri hakkında girdiği verileri işleriz. Bu veriler bakımından veri sorumlusu ilgili müşteri işletmedir; biz onun talimatıyla ve Veri İşleme Sözleşmesi çerçevesinde hareket ederiz. Bu veriler için lütfen öncelikle ilgili işletmeye başvurun; bize gelen talepleri o işletmeye iletiriz.
• İşletmeler arası devir-teslim: Veriler iki müşteri işletme arasında bir devir-teslim (zincir, teslimat, satış) kapsamında paylaşıldığında, her işletme kendisinde bulunan veriden kendisi sorumludur.

Verilerin kaynağı (GDPR md. 14/2-f): Verilerin çoğunu doğrudan sizden toplarız. Doğrudan sizden toplanmayan veriler şunlardır: (a) işvereninizin veya adına çalıştığınız müşteri işletmenin platforma girdiği veriler (ör. kullanıcı hesabı, araç ataması), (b) bir devir-teslim zincirindeki diğer tarafların girdiği veriler (ör. teslim eden veya taşıyan işletmenin adı, telefonu ve araç plakası) ve (c) kamuya açık sicillerden gelen veriler (ör. ticaret sicili, KDV numarası doğrulaması).

3. Platformun açılması ve sunucu kayıtları

Platform her açıldığında web sunucumuz teknik olarak gerekli erişim verilerini işler: IP adresi, tarih ve saat, açılan adres, HTTP durum kodu, aktarılan veri miktarı, yönlendiren adres (referrer) ile tarayıcı ve işletim sistemi bilgisi (user-agent).

Amaç: İçeriğin sunulması, kararlılık ve güvenliğin sağlanması, saldırıların önlenmesi ve araştırılması. Hukuki sebep: GDPR md. 6/1-f; meşru menfaatimiz güvenli ve çalışır bir işletimdir. Saklama süresi: Kayıt dosyaları, somut bir güvenlik olayının araştırılması için gerekmedikçe en geç 14 gün sonra otomatik silinir.

4. Barındırma (hosting)

Platform, veritabanı ve yüklenen dosyalar Frankfurt am Main’deki (Almanya) bir veri merkezinde bulunan sunucuda çalışır. Sağlayıcı Hostinger International Ltd., 61 Lordou Vironos str., 6023 Larnaka, Kıbrıs’tır. Hostinger verileri GDPR md. 28 kapsamındaki bir sözleşmeye dayanarak veri işleyen sıfatıyla işler. Platformun işletimi ve bakımı için ayrıca yine veri işleyen olarak talimatlarımızla bağlı bir BT hizmet sağlayıcıdan yararlanırız.

Hukuki sebep: GDPR md. 6/1-b ve f (platformun sunulması; profesyonel ve kesintisiz işletimdeki meşru menfaat).

5. Erişim başvurusu ve hesap açılışı (onboarding)

Platform herkese açık değildir. İşletmeler erişim başvurusunda bulunur; inceleme sonrası belirtilen e-posta adresine süresi sınırlı (48 saat) bir davet bağlantısı gönderilir.

İşlenen veriler: Unvan/ad, ülke, talep edilen rol, e-posta adresi, telefon numarası, temsile yetkili veya irtibat kişisinin adı, ticaret sicil numarası, vergi numarası, KDV kimlik numarası, varsa atık mevzuatına ilişkin izin belgeleri ve – kimlik ve temsil yetkisinin doğrulanması için gerektiği ölçüde – sorumlu kişinin doğum tarihi ile ulusal kimlik numarası (ör. Türkiye’de yerleşik işletmelerde T.C. Kimlik No).

Amaç: Kimlik ve temsil yetkisinin doğrulanması, talep edilen rolün atık zincirine uygunluğunun incelenmesi, işletme hesabının açılması. Hukuki sebep: GDPR md. 6/1-b (sözleşme öncesi adımlar) ve md. 6/1-f (bir kanıt zincirine yalnızca güvenilir biçimde tanımlanmış işletmelerin katılmasındaki meşru menfaat). Saklama süresi: Reddedilen veya tamamlanmayan başvurular karardan altı ay sonra silinir; onaylanan başvurularda veriler müşteri hesabının parçası olur (bkz. madde 21).

Birey, toplayıcı veya şoför olarak kayıt

Bireyler ile bireysel çalışan toplayıcılar ve şoförler kendileri kayıt olur. Ad ve soyad, doğum tarihi (reşit olmanın kanıtı), adres veya posta kodu (size yakın kabul noktalarıyla eşleştirme), e-posta adresi, telefon numarası, parola (yalnızca özet olarak) ve seçilen rol işlenir. Şoförler ayrıca sürüş izni ve kimliğin doğrulanabilmesi için ehliyetin ön ve arka yüzünü ve bir kimlik belgesi yükler.

Kimlik fotokopileri: Kimlik kartınızın bir kopyasını yalnızca izninizle işleriz (Alman Kimlik Kartı Kanunu PAuswG § 20/2). Doğrulama için gerekmeyen tüm bilgileri, özellikle erişim ve seri numarasını ve fotoğrafı karartabilirsiniz. Kopya yalnızca tek seferlik doğrulama için kullanılır ve karardan 30 gün sonra silinir; yalnızca “… tarihinde … tarafından doğrulandı” notu saklanır. Aynısı ehliyet kopyaları için de geçerlidir. [Otomatik silme teknik olarak uygulanmalı]

Amaç ve hukuki sebep: Kullanım sözleşmesinin kurulması ve ifası (GDPR md. 6/1-b); kanıt zincirinin güvence altına alınması için şoförlerde sürüş izni ve kimlik doğrulaması (md. 6/1-f); kimlik kopyası için her zaman geri alabileceğiniz açık rızanız (md. 6/1-a).

Vatandaş Portalı: iadeler, üye kartı ve CO₂e payı

Birey olarak malzeme iade ettiğinizde bildirilen malzeme türünü, tahmini ve kabul noktasında tartılan ağırlığı, seçilen kabul noktasını, zamanları, üye numaranızı ve iade numarasını ve ilgili partinin yolunu işleriz. Üye QR kodunuz yalnızca üye numaranızı içerir. Kabul noktası tarama sırasında adınızı ve üye numaranızı görür, iletişim bilgilerinizi görmez [uygulamada kontrol edin]. Partiden size atanan CO₂e payını hesaplarız. Bireyler açık doğrulama sayfalarında isimle yer almaz. Hukuki sebep: GDPR md. 6/1-b.

6. Kullanıcı hesabı, giriş ve iki aşamalı doğrulama

İşlenen veriler: E-posta adresi, parola (yalnızca bcrypt özeti olarak saklanır), ad, rol, bağlı olunan işletme, dil, profil resmi veya şirket logosu (isteğe bağlı), giriş zamanları, giriş bilgilerinin sürüm göstergesi. İki aşamalı doğrulama (TOTP) açıksa şifrelenmiş olarak saklanan TOTP anahtarı ve özetlenmiş kurtarma kodları.

Girişten sonra, süresi sınırlı (varsayılan olarak bir saat) imzalı bir erişim belirteci içeren oturum çerezi yerleştirilir; bkz. Çerezler ve Yerel Depolama.

Amaç: Hesabın sağlanması, rollere ve işletmelere göre erişim kontrolü, yetkisiz erişime karşı koruma. Hukuki sebep: GDPR md. 6/1-b; güvenlik önlemleri için ayrıca md. 6/1-f ile md. 32. Hesap bir müşteri işletme tarafından kendi çalışanı için açılmışsa hesap verilerini o işletme adına işleriz (madde 2).

7. Güvenlik kaydı ve değiştirilemez denetim günlüğü

Güvenlik kaydı: Giriş denemeleri, iki aşamalı doğrulama kontrolleri ve benzeri güvenlik olayları; olay türü, sonuç, zaman, IP adresi, user-agent ve kullanılan kimliğin takma adlandırılmış bir göstergesi (HMAC özeti) ile kaydedilir.

Denetim günlüğü: İş açısından önemli değişiklikler (ör. lot/parti oluşturma ve devir, proses verileri, satışlar, onaylar, rol ve yetki değişiklikleri); işlemi yapan kişi, rol, işletme, işlem, değişen değerler, zaman, IP adresi ve user-agent ile yalnızca sonuna ekleme yapılabilen bir günlükte saklanır. Kayıtlar SHA-256 ile birbirine zincirlenir; böylece sonradan yapılan değişiklikler fark edilir. Günlük, herkese açık bir blokzincir veya eIDAS Tüzüğü anlamında nitelikli bir güven hizmeti değildir.

Amaç: Kayıt altına alınan malzeme akışlarının ve CO₂e hesaplamalarının izlenebilirliği ve ispatı, kayıt ve saklama yükümlülüklerinin yerine getirilmesi, kötüye kullanımın tespiti. Güvenlik kaydı ve denetim günlüğünden veri sorumlusu olarak biz sorumluyuz. Hukuki sebep: GDPR md. 6/1-f; meşru menfaatimiz, müşterilerimizin kendi atık mevzuatı sicil ve belgeleme yükümlülüklerini (ör. KrWG § 49, Atık Belgeleme Yönetmeliği) yerine getirmek için kullandığı bütünlüğü korunmuş, ispata elverişli kayıtlar ile hukuki taleplere karşı savunmadır. Kendi ticari ve vergisel saklama yükümlülüklerimiz (HGB § 257, AO § 147) bakımından ayrıca md. 6/1-c.

Değiştirilemezlik hakkında: Tekil günlük kayıtları, ispat zinciri bozulmadan teknik olarak silinemez veya üzerine yazılamaz. Düzeltmeler bir düzeltme kaydıyla yapılır. Bu nedenle bir silme talebini ancak saklama için üstün meşru sebepler bulunmadığında ve kayıt hukuki taleplerin ileri sürülmesi, kullanılması veya savunulması için gerekli olmadığında karşılayabiliriz (GDPR md. 17/1-c, 17/3-e). Denetim günlüğündeki IP adresleri 90 gün sonra takma adlandırılır; süreler dolunca kişisel bilgiler anonim hâle getirilir (madde 21).

8. İşletme, malzeme akışı ve devir-teslim verileri

Platform ağırlıklı olarak işletme verisi işler: lotlar/partiler, AVV atık kodları, miktarlar ve ağırlıklar, balya sayısı, malzeme profilleri, tesisler ve makineler, enerji tüketimleri, proses şemaları, yabancı maddeler, baskı renkleri, stoklar, satışlar, araçlar (plaka, yakıt türü, tüketim) ile zaman bilgili devir-teslim zinciri. Bu veriler bir gerçek kişiyle ilişkilendirilebildiği ölçüde kişisel veridir – örneğin irtibat kişileri, bir devri onaylayan şoförler, şahıs işletmelerine ait araç plakaları veya şahıs işletmelerine ilişkin bilgiler.

Amaç: Kanıt zincirinin kayıt altına alınması, CO₂e değerlerinin hesaplanması, rapor üretimi, taraflar arası devir-teslimlerin yürütülmesi. Hukuki sebep: GDPR md. 6/1-b (ilgili işletmeyle sözleşme) ve md. 6/1-f (tarafların, atık mevzuatındaki belgeleme yükümlülüklerini yerine getirdikleri kesintisiz bir kanıt zincirindeki meşru menfaati). Bir müşteri işletme verileri yalnızca kendi amaçları için giriyorsa veri işleyen olarak hareket ederiz (madde 2).

9. Taşıma sırasında konum verileri

Şoförler, kendilerine atanan bir taşıma için konum paylaşımını kendileri başlatabilir. Ancak bundan sonra ve yalnızca taşıma ekranı açık kaldığı sürece cihaz kısa aralıklarla enlem ve boylam, doğruluk, hız ve cihaz saatini iletir; sunucu ayrıca alındığı zamanı kaydeder. Paylaşım, tarayıcıda veya işletim sisteminde konum izni verilmesini gerektirir ve şoför durdurduğunda, taşımayı tamamladığında veya ekranı kapattığında sona erer. Arka planda konum takibi yapılmaz.

Amaç: Taşımaya bağlı CO₂e hesaplamasına esas olan fiilî güzergâhın ispatı, devir-teslim zincirinin belgelenmesi ve sevkiyat planlaması için taşıma durumunun gösterilmesi. Veriler tarafımızdan şoförlerin performans veya davranış denetimi için kullanılmaz.

Hukuki sebep: Şoför bir müşteri işletmede çalışıyorsa konum verilerini o işletme adına işleriz; iş ilişkisindeki hukuki sebepten ve gerekiyorsa işyeri temsilciliğinin (Betriebsrat) katılımından o işletme sorumludur. Diğer hâllerde GDPR md. 6/1-b ve f. Saklama süresi: Güzergâh noktaları, ilgili raporun veya devir-teslimin belgelenmesi gerektiği süre boyunca saklanır (madde 21). Konum iznini cihaz ayarlarınızdan her zaman geri alabilirsiniz; bu durumda güzergâh yalnızca elle girilebilir.

10. Rota hesaplama ve harita gösterimi

a) Rota hesaplama (sunucu tarafında)

Bir taşıma rotasının planlanması ve mesafenin belirlenmesi için sunucumuz başlangıç ve varış koordinatlarını ve araç profilini bir rota hizmetine iletebilir. Bu sırada kullanıcıların adı, hesabı veya IP adresi iletilmez. Veri işleyen olarak HERE Global B.V.’nin HERE Routing API hizmeti kullanılır (Kennedyplein 222-226, 5611 ZT Eindhoven, Hollanda).

Hukuki sebep: GDPR md. 6/1-b ve f. Hizmet kullanılamıyorsa mesafe elle girilir.

b) Harita gösterimi ve adres arama (tarayıcıda)

Bazı ekranlarda (ör. taşımalar, canlı görünüm, tesisler, talep formu) harita karoları yüklenir. Bu sırada tarayıcınız ilgili harita hizmetine doğrudan bağlanır ve hizmet, IP adresinizi, user-agent bilgisini ve istenen harita bölümünü alır:

• OpenStreetMap Foundation’ın OpenStreetMap karoları ve adres arama hizmeti (Nominatim), St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Birleşik Krallık. Birleşik Krallık için AB Komisyonu’nun yeterlilik kararı bulunmaktadır (GDPR md. 45). Adres aramada ayrıca girilen arama ifadesi iletilir.
• HERE Global B.V.’nin HERE Map Tile API hizmeti (adres yukarıda).

Amaç: Taşımaların yürütülmesi için gerekli konum ve rotaların gösterilmesi. Hukuki sebep: GDPR md. 6/1-b ve f. Sağlayıcılar bu verileri kendi sorumluluklarında işler; bilgi için: osmfoundation.org/wiki/Privacy_Policy ve legal.here.com/de-de/privacy. [Öneri: harita karoları ve adres arama kendi sunucumuz üzerinden yönlendirilsin; böylece doğrudan bağlantı kalkar ve bu paragraf güncellenir.]

11. Kamera ve QR kod okutma

Devir-teslimlerde QR kod okutmak için platform, izninizle kameraya erişebilir. Kamera görüntüsü yalnızca cihazınızda işlenir; sadece okunan kod iletilir. Fotoğraflar ancak bilerek dosya olarak yüklediğinizde aktarılır (madde 12). Kamera iznini tarayıcı veya cihaz ayarlarınızdan her zaman geri alabilirsiniz.

12. Yüklenen dosyalar

Kullanıcılar belge yükleyebilir (ör. toplama kanıtı fotoğrafları, faturalar, şirket logoları; dosya başına en fazla 10 MB). Dosya, dosya türü, boyutu, bir sağlama değeri (SHA-256), zaman ile yükleyen hesap ve işletme saklanır. Fotoğrafların üst veri (ör. çekim yeri ve zamanı) içerebileceğini ve fotoğraflarda ilgisiz kişilerin tanınabilir olmaması gerektiğini lütfen dikkate alın. Hukuki sebep: GDPR md. 6/1-b, c ve f; bir müşteri işletmenin dosyalarında veri işleyen olarak hareket ederiz.

13. Geri dönüşüm bilgi raporları ve açık doğrulama sayfası

Platform geri dönüşüm bilgi raporlarını PDF olarak üretir (sunucu tarafında, üçüncü taraf kullanılmadan). Yayımlanan her raporda rastgele üretilmiş bir doğrulama kodu taşıyan QR kod bulunur. Kodu bilen herkes raporu giriş yapmadan açık doğrulama sayfasında görüntüleyebilir ve indirebilir.

Herkese açık görünen bilgiler: Raporu düzenleyen işletmenin unvanı, merkez ve tesis adresi, sahibinin veya temsile yetkili kişinin adı, kurumsal e-posta adresi, telefon numarası, vergi ve KDV bilgileri; teslim eden işletmenin adı ve varsa telefon numarası; nakliye firması, taşıma tarihi, araç plakası, güzergâh, miktarlar, proses ve malzeme bilgileri ile hesaplanan CO₂e değerleri. Şoförlerin ve diğer kullanıcıların adları gösterilmez.

Amaç: Bir raporun gerçekliğinin ve içeriğinin iş ortakları, müşteriler ve makamlar tarafından doğrulanabilmesi. Doğrulama sayfasını kendi sorumluluğumuzda işletiriz; raporun yayımlanmasını raporu düzenleyen işletme başlatır. Hukuki sebep: GDPR md. 6/1-f. Bizim ve rapor alıcılarının meşru menfaati, sahteciliğe karşı korumalı ve doğrulanabilir kanıtlardır; bilgiler ticari iletişim ve taşıma verileriyle sınırlıdır. İlgili kişiler madde 23 uyarınca gösterime itiraz edebilir. Doğrulama sayfası açıldığında yalnızca madde 3’teki sunucu kayıtları işlenir. Süre: Doğrulama sayfası, rapor saklanmak zorunda olduğu sürece erişilebilir kalır; geri çekilen bir rapor yalnızca durumunu gösterir.

14. İletişim formu ve e-posta yazışmaları

Bize iletişim veya talep formu ya da e-posta yoluyla ulaştığınızda ad, e-posta adresi, konu, mesaj ve varsa diğer isteğe bağlı bilgileri işleriz. Amaç: Talebinizin yanıtlanması. Hukuki sebep: Talep bir sözleşmeyle ilgiliyse GDPR md. 6/1-b, aksi hâlde md. 6/1-f. Saklama süresi: İşlem tamamlandıktan sonra altı ay; ticari yazışmalar ticaret ve vergi hukukundaki süreler boyunca saklanır.

15. Platformun e-posta göndermesi

Platform işlemsel e-postalar gönderir (ör. kayıt onayı, davet bağlantıları, parola sıfırlama, devir-teslim bildirimleri). Bunun için veri işleyen olarak Google Ireland Limited’in (Gordon House, Barrow Street, Dublin 4, İrlanda) Google Workspace hizmetini, Google Cloud Veri İşleme Eki (Data Processing Addendum) temelinde kullanırız. E-posta adresi, ad ve mesaj içeriği işlenir. ABD’deki Google LLC tarafından işlenmesi ihtimal dışı değildir; Google LLC, AB-ABD Veri Gizliliği Çerçevesi kapsamında sertifikalıdır (GDPR md. 45), ayrıca standart sözleşme hükümleri uygulanır. Hukuki sebep: GDPR md. 6/1-b. [Şart: NFM Recycling GmbH’ye ait, kendi alan adıyla açılmış Workspace hesabı (kişisel Gmail değil); yönetici konsolunda veri işleme koşulları kabul edilmiş olmalı]

E-postayla haberler: Kayıt sırasında NFM+ hakkındaki haberleri e-postayla almaya isteğe bağlı olarak onay verebilirsiniz. Onayınızı zamanıyla birlikte kaydederiz. Hukuki sebep: GDPR md. 6/1-a, UWG § 7/2 no. 2. Onayınızı her e-postadaki abonelikten çıkma bağlantısıyla veya bize mesaj göndererek her zaman ileriye etkili olarak geri alabilirsiniz; ardından adresinizi dağıtım listesinden sileriz. [Çift onay (double opt-in) ve abonelikten çıkma bağlantısı teknik olarak uygulanmalı]

16. Çerezler, yerel depolama ve çevrimdışı çalışma

Yalnızca teknik olarak zorunlu çerezler ve depolama kayıtları kullanırız (oturum, dil ayarı, güvenlik sayaçları, uygulama arayüzünün çevrimdışı önbelleği). Alman TDDDG § 25/2 no. 2 uyarınca bunlar için onay gerekmez; sonraki işleme GDPR md. 6/1-b ve f’ye dayanır. Tam liste: Çerezler ve Yerel Depolama.

Platform yazı tiplerini, stil dosyalarını ve betikleri yalnızca kendi sunucumuzdan yükler. [Yayından önce şart: Google Fonts ve CDN kütüphaneleri (jsDelivr, cdnjs, unpkg) yerel olarak sunulmalı – bkz. avukat notları. O zamana kadar bu cümle doğru değildir.]

17. Mobil uygulamalar ve uygulama mağazaları

Android ve iOS uygulamaları platformu bir uygulama çerçevesinde gösterir; bu politikada açıklanan işlemlerin aynısı geçerlidir. Uygulamalar yalnızca ilgili işlev kullanıldığında şu izinleri ister: Kamera (QR kod okutma, fotoğraf kanıtı) ve Konum (yalnızca etkin olarak başlatılmış bir taşıma sırasında, arka planda değil). Uygulamalarda reklam, analiz veya izleme yazılım kitleri (SDK) bulunmaz.

Uygulamaları indirirken Google (Google Play) veya Apple (App Store), hesap kimliği ve cihaz bilgileri gibi verileri kendi sorumluluklarında işler; buna etkimiz yoktur.

18. Analiz, izleme veya reklam hizmeti yoktur

Web analizi, erişim ölçümü, izleme veya reklam hizmetleri ya da sosyal medya eklentileri kullanmıyor, kullanım profilleri oluşturmuyoruz.

19. Alıcılar

Şirketimiz içinde yalnızca görevini yerine getirmek için ihtiyaç duyan kişiler erişebilir. Bunun dışında veriler şunlara aktarılır:

• Veri işleyenler: barındırma (madde 4), işletim ve bakım için BT hizmet sağlayıcısı, e-posta gönderimi (madde 15), varsa rota hizmeti (madde 10 a);
• platformdaki diğer işletmeler, bir devir-teslim, taşıma veya satışa taraf oldukları ölçüde ve bunun için gerekli kapsamda;
• açık doğrulama sayfasında yer alan bilgiler bakımından kamuoyu (madde 13);
• yasal olarak yükümlü olduğumuz ölçüde makamlar, mahkemeler ve kovuşturma makamları;
• meslekleri gereği sır saklama yükümlülüğü bulunan vergi danışmanları ve denetçiler.

20. Üçüncü ülkelere aktarım

Verilerinizi kural olarak Avrupa Birliği içinde işleriz. Üçüncü ülkeye aktarım şu hâllerde olabilir: (a) OpenStreetMap harita karoları ve adres arama yüklenirken Birleşik Krallık’a (yeterlilik kararı, GDPR md. 45) ve (b) barındırma sağlayıcımızın alt veri işleyenleri AEA dışında faaliyet gösterdiği ölçüde; bunun için AB Komisyonu’nun standart sözleşme hükümleri (GDPR md. 46/2-c) veya AB-ABD Veri Gizliliği Çerçevesi sertifikası bulunmaktadır. Güvencelerin bir kopyasını madde 1’deki iletişim bilgileri üzerinden talep edebilirsiniz.

21. Saklama süreleri

Kişisel verileri yalnızca ilgili amaç için gerekli olduğu veya yasal saklama yükümlülüğü bulunduğu sürece saklarız. Ayrıntılı olarak:

22. Haklarınız

Sizinle ilgili kişisel veriler bakımından bize karşı şu haklara sahipsiniz:

• bilgi alma (GDPR md. 15),
• düzeltme (md. 16),
• silme (md. 17),
• işlemenin kısıtlanması (md. 18),
• veri taşınabilirliği (md. 20),
• verilmiş bir onayın ileriye etkili olarak geri alınması (md. 7/3).

Haklarınızı kullanmak için madde 1’deki iletişim bilgilerine bir mesaj göndermeniz yeterlidir. Talebiniz bir müşteri işletme adına işlediğimiz verilerle ilgiliyse talebi o işletmeye iletir ve yanıtlanmasında destek oluruz.

23. İtiraz hakkı (GDPR md. 21)

Özel durumunuzdan kaynaklanan sebeplerle, GDPR md. 6/1-f’ye dayanan ve sizinle ilgili kişisel verilerin işlenmesine her zaman itiraz etme hakkına sahipsiniz. Bu durumda, çıkarlarınıza, haklarınıza ve özgürlüklerinize üstün gelen zorlayıcı ve korunmaya değer sebepler ispat edemediğimiz veya işleme hukuki taleplerin ileri sürülmesi, kullanılması ya da savunulması için gerekli olmadığı sürece verileri artık işlemeyiz.

24. Denetim makamına şikâyet hakkı

Bir veri koruma denetim makamına şikâyette bulunma hakkınız vardır (GDPR md. 77). Bizim için yetkili makam:

Kuzey Ren-Vestfalya Veri Koruma ve Bilgi Edinme Özgürlüğü Görevlisi (Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen)
Postfach 20 04 44, 40102 Düsseldorf, Almanya
Telefon: +49 211 38424-0 · E-posta: poststelle@ldi.nrw.de

25. Veri verme yükümlülüğü, otomatik kararlar

Zorunlu olarak işaretlenen verilerin verilmesi kullanım sözleşmesinin kurulması ve yürütülmesi için gereklidir; bunlar olmadan erişim açamayız. Konum paylaşımı isteğe bağlıdır; paylaşılmazsa güzergâh elle girilmelidir.

CO₂e hesaplaması otomatik yapılır; ancak gerçek kişiler hakkında değil malzeme akışları hakkındadır. GDPR md. 22 anlamında profil oluşturma dâhil otomatik bireysel karar verilmez; erişimlerin onayına bir insan karar verir.

26. Veri güvenliği

GDPR md. 32 uyarınca teknik ve idari tedbirler alırız; bunlar arasında HSTS ile uçtan uca TLS şifrelemesi, özetlenmiş parolalar, iki aşamalı doğrulama, rol tabanlı yetkiler, işletme verilerinin veritabanı düzeyinde ayrılması (Row-Level Security), 2FA anahtarlarının şifreli saklanması, değiştirilemez kayıtlar ve düzenli yedekler bulunur. Ayrıntılar: Teknik ve İdari Tedbirler.

27. Değişiklikler

Platform veya mevzuat değiştiğinde bu Gizlilik Politikasını güncelleriz. Her zaman burada yayımlanan sürüm geçerlidir; önemli değişiklikleri kayıtlı kullanıcılara platform üzerinden bildiririz.