Datenschutzerklärung

Stand: 24. September 2026. Fassung derzeit in anwaltlicher Prüfung.

1. Verantwortlicher

PLEXUM GmbH, Breslauer Straße 350, 90471 Nürnberg, eingetragen beim Amtsgericht Nürnberg, HRB 46042, vertreten durch den Geschäftsführer Adrian Klotz. Telefon 0911 95151498, E-Mail buchung@plexum-express.com. PLEXUM EXPRESS ist ein Angebot der PLEXUM GmbH, Nürnberg.

2. Überblick

Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung dieser Website, die Berechnung von Preisen, die Bearbeitung von Buchungen und Buchungsanfragen, die Online-Zahlung, die Sendungsverfolgung, die Kommunikation mit Ihnen und die Durchführung von Transportaufträgen erforderlich ist. Statistik- und Werbedienste (Google Analytics 4 und Google Ads über den Google Tag Manager, Abschnitt 14) laden wir ausschließlich nach Ihrer Einwilligung; ohne Einwilligung werden dafür keine Daten in Ihrem Browser gespeichert und keine Kennungen an Google übermittelt. Karten binden wir nicht im Browser ein. Adressvervollständigung und Routenberechnung erfolgen ausschließlich serverseitig über unsere eigene Infrastruktur. Beim Bezahlen werden Sie auf die Seiten unseres Zahlungsdienstleisters Stripe weitergeleitet (Abschnitt 9). Wir setzen folgende Dienstleister ein: Cloudflare (Hosting, Missbrauchsschutz), Google Maps Platform (Adressen und Routen, nur serverseitig), Stripe (Zahlung, Rechnung, Steuerberechnung), Resend (E-Mail-Versand, EU-Region), Google Workspace (E-Mail-Postfach und Telefon), Peplink InControl2 (Fahrzeugposition, sobald ein Fahrzeug angebunden ist) sowie Google Ireland Limited (Tag Manager, Analytics und Ads, nur mit Ihrer Einwilligung). Einzelheiten finden Sie in den folgenden Abschnitten.

3. Hosting (Cloudflare)

Diese Website wird auf der Infrastruktur der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA (Cloudflare Workers, Static Assets, D1, KV) betrieben. Beim Aufruf verarbeitet Cloudflare technisch notwendige Daten wie IP-Adresse, Zeitpunkt, aufgerufene URL, Browser-Kennung, um die Seite auszuliefern, Angriffe abzuwehren und Fehler zu analysieren. Zur Abwehr von Missbrauch begrenzen wir die Zahl der Anfragen je IP-Adresse; die dafür nötigen Zähler werden nur kurzzeitig gehalten (in der Regel höchstens 60 Sekunden, bei Buchungen und Buchungsanfragen höchstens 10 Minuten). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem, performantem Betrieb). Cloudflare ist Auftragsverarbeiter (Art. 28 DSGVO); die Übermittlung in Drittländer stützt sich auf das EU-US Data Privacy Framework und Standardvertragsklauseln. Zugriffs- und Fehlerprotokolle speichert Cloudflare nur kurzzeitig; die Laufzeitprotokolle unserer Anwendung halten wir dort höchstens 7 Tage vor. Über Cloudflare läuft außerdem der Missbrauchsschutz Turnstile (Abschnitt 5).

4. Adressvervollständigung und Routenberechnung (Google Maps Platform, serverseitig)

Für die Eingabe von Abhol- und Zustelladressen und die Berechnung von Strecke und Fahrzeit nutzen wir die Places API (New) und die Routes API der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland ("Google"). Der Aufruf erfolgt nicht aus Ihrem Browser, sondern von unserem Server: Ihre IP-Adresse wird nicht an Google übermittelt. Übermittelt werden die von Ihnen eingegebenen Adressfragmente und Adressen sowie ein zufälliges Sitzungskennzeichen zur Abrechnung.

Google verarbeitet diese Daten als eigenständiger Verantwortlicher nach den Google Maps Platform Terms und der Google-Datenschutzerklärung (policies.google.com/privacy). Rechtsgrundlage für die Übermittlung: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme auf Ihre Anfrage, Preisberechnung) und Art. 6 Abs. 1 lit. f DSGVO. Eine Übermittlung in die USA kann stattfinden; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten Standardvertragsklauseln. Geokoordinaten aus diesen Diensten speichern wir höchstens 30 Tage; im Auftrag verbleibt nur die abgerechnete Kilometerzahl als Geschäftsdatum. Berechnete Routen werden für höchstens 30 Minuten zwischengespeichert, um Mehrfachabfragen zu vermeiden.

5. Schutz vor Missbrauch (Cloudflare Turnstile)

Um Preisrechner, Buchung und Anfrageformular vor automatisiertem Missbrauch zu schützen, setzen wir Cloudflare Turnstile ein. Turnstile prüft im Hintergrund technische Merkmale des Browsers und übermittelt dazu Daten (IP-Adresse, Browser-Merkmale, Interaktionsdaten) an Cloudflare; es werden keine Cookies zu Werbezwecken gesetzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch und Kostenrisiko durch automatisierte Anfragen). Das Turnstile-Skript wird erst beim Aufruf der Seite /buchen geladen.

6. Preisanfragen (Angebote)

Wenn Sie einen Preis berechnen, speichern wir Abhol- und Zustelladresse, gewünschten Zeitpunkt, Sendungsangaben, das Preisergebnis mit Gültigkeitsende, ein pseudonymisiertes Kennzeichen Ihrer IP-Adresse (gesalzener Hash, aus dem sich die IP-Adresse nicht zurückrechnen lässt) und den Zeitpunkt der Anfrage. Zweck: Erstellung des Angebots, Missbrauchsschutz, Nachvollziehbarkeit des Preises bei Buchung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO. Angebote werden 30 Tage nach ihrer Erstellung automatisch anonymisiert: Geokoordinaten, etwaige Zwischenstopps und das IP-Kennzeichen werden gelöscht. Wird ein Angebot gebucht, bleiben die Angebotsdaten als Bestandteil der Vertragsdaten für die Dauer der handels- und steuerrechtlichen Aufbewahrungsfristen gespeichert (Abschnitt 12).

7. Buchungen, Buchungsanfragen und Auftragsabwicklung

Bei einer Sofortbuchung oder einer Buchungsanfrage verarbeiten wir Ihre Kontaktdaten (Firma, Name, E-Mail, Telefon, ggf. USt-IdNr.), die Kontaktdaten der Ansprechpartner an Abhol- und Zustellstelle, Sendungsangaben, Hinweise und Referenzen sowie ein pseudonymisiertes Kennzeichen Ihrer IP-Adresse (gesalzener Hash) zum Schutz vor missbräuchlichen Reservierungen. Während der Buchung reservieren wir das Fahrzeug für kurze Zeit für Sie; nicht abgeschlossene Reservierungen werden automatisch freigegeben. Zweck: Prüfung, Bestätigung und Durchführung des Transportauftrags, Kommunikation, Abrechnung, Missbrauchsschutz. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für das IP-Kennzeichen Art. 6 Abs. 1 lit. f DSGVO. Kontaktdaten Dritter (Ansprechpartner an Ladestellen) verarbeiten wir auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; bitte informieren Sie diese Personen. Zu jeder Buchung führen wir ein Ereignisprotokoll (z. B. Bestätigung, Zahlung, Abholung, Zustellung mit Zeitstempel).

Speicherfristen: Geokoordinaten der Lade- und Entladestellen löschen wir 30 Tage nach Abschluss, Stornierung oder Ablehnung des Auftrags; die Adresse als Text bleibt Teil des Auftragsbelegs. Buchungsbelege und Rechnungen bewahren wir nach § 147 AO und § 14b UStG 8 Jahre auf, Handelsbriefe 6 Jahre, Ablieferungsnachweise mindestens 3 Jahre (§ 439 HGB). Rechnungs- und Zahlungsdaten liegen zusätzlich bei unserem Zahlungsdienstleister Stripe (Abschnitt 9) und unterliegen dort denselben gesetzlichen Fristen.

8. E-Mail-Versand (Resend)

Bestätigungen, Zahlungslinks, Links zur Sendungsverfolgung und Benachrichtigungen versenden wir über den Dienst Resend (Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) mit Verarbeitung in der EU-Region (Absenderdomain mail.plexum-express.com). Verarbeitet werden E-Mail-Adresse, Inhalt der Nachricht und Zustellmetadaten. Resend ist Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags; soweit Daten in die USA gelangen, gelten Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

9. Online-Zahlung, Rechnung und Steuerberechnung (Stripe)

Wenn Sie eine Fahrt verbindlich buchen und online bezahlen oder einen von uns per E-Mail übersandten Zahlungslink nutzen, leiten wir Sie auf eine Zahlungsseite der Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland ("Stripe") weiter. Dort stehen je nach Freischaltung Kartenzahlung, SEPA-Lastschrift und Klarna zur Verfügung. An Stripe übermitteln wir Ihren Namen, Ihre E-Mail-Adresse, ggf. Firma, die Buchungsnummer, eine Kurzbeschreibung der Fahrt (Abholort, Zielort, Abholtermin), den Betrag sowie interne Kennungen der Buchung. Rechnungsadresse, ggf. USt-IdNr. und Ihre Zahlungsdaten (z. B. Kartennummer, IBAN) geben Sie direkt bei Stripe ein. Wir selbst erhalten und speichern keine Kartendaten oder Kontonummern, sondern nur den Zahlungsstatus, die Zahlungsart und Kennungen der Zahlung sowie eine Kundenkennung bei Stripe. Stripe berechnet für uns die Umsatzsteuer (Stripe Tax) und erstellt in unserem Auftrag Rechnung bzw. Zahlungsbeleg zu Ihrer Buchung, die Ihnen per E-Mail zugesandt werden.

Für die Abwicklung der Zahlung ist Stripe eigenständiger Verantwortlicher (u. a. Betrugsprävention, gesetzliche Pflichten), für Kunden- und Rechnungsdaten Auftragsverarbeiter. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (sichere Zahlungsabwicklung). Eine Übermittlung an Stripe, Inc., USA, kann stattfinden; Stripe ist unter dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten Standardvertragsklauseln. Weitere Informationen: stripe.com/de/privacy. Auf der Stripe-Zahlungsseite kann Stripe technisch notwendige Cookies setzen; darauf haben wir keinen Einfluss.

10. Sendungsverfolgung (Tracking-Link)

Nach Bestätigung einer Buchung erhalten Sie per E-Mail einen persönlichen Tracking-Link mit einem zufälligen, nicht erratbaren Zugriffsschlüssel. Über diesen Link zeigen wir den Status der Fahrt mit Zeitstempeln (z. B. Abholung, Zustellung), Ort (Stadt) und Zeitpunkt von Abholung und Zustellung, während der Fahrt die letzte bekannte Position des Fahrzeugs mit voraussichtlicher Ankunft sowie bei temperaturgeführten Sendungen den Temperaturverlauf des Laderaums an. Eine gesonderte Zustellbenachrichtigung per E-Mail versenden wir nicht; ein Temperaturprotokoll als PDF erhalten Sie auf Wunsch von unserer Disposition per E-Mail. Jeder, der den Link kennt, kann diese Angaben sehen; bitte geben Sie ihn nur an Beteiligte weiter. Die Tracking-Seite bindet keine Kartendienste ein; ein optionaler Link öffnet die Position bei OpenStreetMap in einem neuen Fenster (erst beim Anklicken werden Daten an die OpenStreetMap Foundation übermittelt). Fahrzeugpositionen speichern wir 90 Tage, Temperaturmesswerte 400 Tage (Nachweis der Kühlkette). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Information über die Auftragsausführung) und Art. 6 Abs. 1 lit. f DSGVO (Nachweis der ordnungsgemäßen Beförderung).

11. Fahrzeugtelematik (Peplink InControl2)

Unsere Fahrzeuge werden mit Mobilfunk-Routern des Herstellers Peplink ausgestattet. Sobald ein Fahrzeug angebunden ist, rufen wir während einer laufenden Fahrt über die Cloud-Plattform InControl2 der Peplink International Ltd. (Hongkong) in kurzen Abständen die Position des Router-GPS ab und speichern sie unserer Buchung zugeordnet (Fahrzeug, Zeitpunkt, Koordinaten, Geschwindigkeit). Ergänzend können Temperaturfühler des Laderaums Messwerte an unser System senden. Zweck: Sendungsverfolgung für unsere Kunden, Disposition, Nachweis der Kühlkette. Da die Positionsdaten mittelbar auch Beschäftigtendaten unserer Fahrerinnen und Fahrer sind, erfolgt die Verarbeitung nur während zugewiesener Fahrten auf Grundlage von § 26 BDSG bzw. Art. 6 Abs. 1 lit. f DSGVO; die Fahrer sind darüber gesondert informiert. Peplink ist Auftragsverarbeiter für die Router-Daten; soweit Daten außerhalb der EU verarbeitet werden, stützen wir dies auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Positionsdaten löschen wir nach 90 Tagen, Temperaturmesswerte nach 400 Tagen (Abschnitt 10).

12. Automatische Bereinigung und Speicherfristen

Ein täglicher automatischer Prozess (Cron) setzt die genannten Fristen um: Angebote werden 30 Tage nach ihrer Erstellung anonymisiert (Geokoordinaten, Zwischenstopps, IP-Kennzeichen gelöscht), Geokoordinaten der Ladestellen abgeschlossener, stornierter oder abgelehnter Aufträge werden 30 Tage nach der letzten Änderung entfernt, Fahrzeugpositionen nach 90 Tagen und Temperaturmesswerte nach 400 Tagen gelöscht, abgelaufene Angebote und Fahrzeugreservierungen werden freigegeben. Vertrags- und Abrechnungsdaten (Buchung, Auftragsbeleg, Rechnung, Ereignisprotokoll) bleiben für die Dauer der gesetzlichen Aufbewahrungsfristen (8 Jahre für Buchungsbelege und Rechnungen, 6 Jahre für Handelsbriefe) gespeichert und werden danach gelöscht. Server-Logs unseres Hosters unterliegen dessen Fristen (Abschnitt 3).

13. Kontaktaufnahme per Telefon oder E-Mail (Google Workspace)

Wenn Sie uns anrufen oder schreiben, verarbeiten wir die mitgeteilten Daten zur Bearbeitung Ihres Anliegens (Art. 6 Abs. 1 lit. b oder lit. f DSGVO). E-Mails an buchung@plexum-express.com empfangen und beantworten wir über Gmail, Anrufe unter 0911 95151498 nehmen wir über Google Voice entgegen. Beides sind Dienste von Google Workspace der Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland, die als Auftragsverarbeiter für uns tätig ist (Art. 28 DSGVO). Verarbeitet werden Inhalt und Metadaten Ihrer E-Mails sowie bei Anrufen Ihre Rufnummer, Zeitpunkt und Dauer des Gesprächs und gegebenenfalls eine hinterlassene Sprachnachricht. Eine Übermittlung an die Google LLC in den USA kann stattfinden; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten Standardvertragsklauseln. E-Mails, Anrufprotokolle und Sprachnachrichten löschen wir, sobald das Anliegen erledigt ist und keine Aufbewahrungspflicht besteht.

14. Cookies, Einwilligung, Statistik und Werbung (Google Tag Manager, Analytics, Ads)

Ohne Ihre Einwilligung setzen wir nur technisch notwendige Verfahren ein: den Sicherheits-Token von Cloudflare Turnstile (Abschnitt 5), kurzlebige Zähler zur Abwehr von Missbrauch und ein Cookie mit dem Namen plexum_consent, das Ihre Entscheidung über die folgenden Dienste speichert (Laufzeit 6 Monate, kein Personenbezug, kein Profil). Diese Speicherung fällt unter § 25 Abs. 2 Nr. 2 TDDDG und ist ohne Einwilligung zulässig.

Zusätzlich möchten wir auswerten, wie unsere Seite genutzt wird, und messen, welche Anzeigen zu einer Anfrage oder Buchung führen. Dafür nutzen wir Dienste der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google"): den Google Tag Manager als Verwaltungswerkzeug, Google Analytics 4 (Statistik) und Google Ads mit Conversion-Messung (Werbung). Diese Dienste setzen Cookies und ähnliche Kennungen in Ihrem Browser, erheben unter anderem eine gekürzte IP-Adresse, Geräte- und Browserangaben, aufgerufene Seiten, Verweildauer, Herkunft des Besuchs sowie die Kennung einer Anzeige, über die Sie zu uns gelangt sind, und übermitteln diese an Google.

Rechtsgrundlage: Speicherung und Auslesen im Endgerät erfolgen ausschließlich nach Ihrer Einwilligung (§ 25 Abs. 1 TDDDG), die anschließende Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO. Wir setzen den Google-Einwilligungsmodus („Consent Mode v2") ein: Vor Ihrer Entscheidung stehen sämtliche Speicherzwecke für Statistik und Werbung auf „abgelehnt", es werden keine Kennungen gesetzt und keine Nutzerdaten für Werbezwecke übertragen. Erst wenn Sie im Banner zustimmen, aktivieren wir die gewählten Zwecke. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft ändern oder widerrufen: über den Link Cookie-Einstellungen im Fußbereich jeder Seite oder indem Sie die Cookies in Ihrem Browser löschen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Für Google Analytics 4 und Google Ads sind wir und Google gemeinsam Verantwortliche für die Erhebung und Übermittlung der Daten (Art. 26 DSGVO); für die weitere Verarbeitung ist Google eigenständig verantwortlich. Die IP-Adresse wird von Google gekürzt, bevor sie ausgewertet wird. Eine Übermittlung an die Google LLC in den USA kann stattfinden; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten Standardvertragsklauseln. Die Speicherdauer der Ereignisdaten in Google Analytics 4 haben wir auf 14 Monate begrenzt; Werbe-Kennungen von Google Ads laufen spätestens nach den von Google gesetzten Fristen ab. Weitere Informationen: policies.google.com/privacy und policies.google.com/technologies/partner-sites.

Im Übrigen speichern wir keine Werbe- oder Analysedaten im lokalen Speicher Ihres Browsers. Auf der Zahlungsseite von Stripe (Abschnitt 9) gelten die dortigen Hinweise.

15. Empfänger und Drittlandübermittlung

Empfänger sind die genannten Auftragsverarbeiter (Cloudflare für Hosting und Turnstile, Resend für den E-Mail-Versand, Google Cloud EMEA Limited für E-Mail-Postfach und Telefon, Stripe für Kunden- und Rechnungsdaten, Peplink für Router-Daten), Google (Maps Platform serverseitig sowie, nach Einwilligung, Tag Manager, Analytics und Ads) und Stripe als eigenständige bzw. gemeinsame Verantwortliche im jeweils beschriebenen Umfang, gegebenenfalls Partnerfrachtführer zur Durchführung eines Auftrags (nur die dafür nötigen Auftragsdaten) sowie Steuerberater und Behörden im gesetzlich vorgesehenen Umfang. Übermittlungen in Drittländer erfolgen nur auf Basis eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework) oder von Standardvertragsklauseln.

16. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Wenden Sie sich dazu an die in Abschnitt 1 genannten Kontaktdaten. Sie können sich bei einer Aufsichtsbehörde beschweren, zuständig ist das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach.

17. Änderungen

Wir passen diese Erklärung an, wenn sich Dienste oder Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.