Datenschutzerklärung

Stand: 22. Oktober 2026

Zuletzt geändert am 24. Oktober 2026: Bestätigung neuer Geräte bei der Anmeldung (Abschnitte 4.3, 8 und 12). Davor am 22.10.2026: Speicherfristen (Abschnitt 9), Empfänger und KI-Dienste (Abschnitt 7), Cookies (Abschnitt 8), Standortbeleg bei Bußgeldverfahren (Abschnitt 5a), Absturzberichte der Android-App und Zwischenspeicher auf dem Gerät (Abschnitt 6c.3).

1. Verantwortlicher

E-BOTEN.DE GmbH
Mülheimer Straße 18, 53840 Troisdorf
E-Mail: info@e-boten.de
Telefon: +49 176 21252219

2. Übersicht der Verarbeitungen

E-BOTEN.DE Services ist eine Logistik-ERP-Plattform für Apothekenbotendienste. Wir verarbeiten personenbezogene Daten ausschließlich im Rahmen der Auftragsabwicklung und des Betriebs unserer Dienste.

3. Rechtsgrundlagen der Verarbeitung

• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (z.B. Cookie-Zustimmung)
• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Auftragsabwicklung, Lieferdienst)
• Art. 6 Abs. 1 lit. c DSGVO — Gesetzliche Pflichten (Aufbewahrungsfristen, Arbeitszeitgesetz)
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigtes Interesse (Systemsicherheit, Betrugsprävention)
• Art. 88 DSGVO i.V.m. § 26 BDSG — Beschäftigtendatenschutz (z.B. Standorterfassung während der Tour, Zeiterfassung)

4. Kategorien personenbezogener Daten

4.1 Mitarbeiter- und Fahrerdaten

• Name, E-Mail, Telefonnummer
• Geburtsdatum, Nationalität, Adresse
• Führerscheinnummer und -ablaufdatum
• Vertragsdaten (Vertragsart, Stundenlohn, Personalnummer)
• Arbeitszeitdaten (Stempeluhr, Pausenzeiten)
• Standortdaten (GPS) während der Arbeitszeit
• Abwesenheiten und Urlaubssalden
• Notfallkontakt (Name und Telefon)

4.2 Empfängerdaten (Lieferadressen)

• Name, Adresse, Telefonnummer
• Lieferhinweise und Zugangscodes
• Koordinaten der Lieferadresse
• Selbst hinterlassene Hinweise zu einer laufenden Lieferung (siehe Abschnitt 6d)

4.3 Nutzerdaten (Systemzugang)

• Name, E-Mail-Adresse
• Rolle und Berechtigungen
• Passwort (verschlüsselt gespeichert, bcrypt)
• Session-Daten (JWT-Token)
• Bestätigte Geräte für die Anmeldung: eine aus der Browserkennung abgeleitete Bezeichnung (etwa „E-BOTEN-App auf iPhone“), das Datum der Bestätigung und der letzten Nutzung sowie ein Hashwert des Geräte-Cookies (Abschnitt 8). Ein Gerät gilt nach 180 Tagen ohne Nutzung nicht mehr und lässt sich jederzeit unter „Sicherheit“ entfernen.
• Anmeldecodes per E-Mail für ein neues Gerät: nur als Hashwert gespeichert, zehn Minuten gültig, nach Benutzung erledigt
• Geräte-Push-Token (Firebase Cloud Messaging / Apple Push Notification Service) zur Zustellung von Push-Benachrichtigungen

4.4 Auftragsdaten

• Auftrags- und Tourdetails
• Zustellnachweise (Unterschriften, Fotos)
• Abrechnungsdaten
• Bei Abholungen ärztlicher Verordnungen: der Name der Patientin oder des Patienten je abzuholender Verordnung sowie der Vermerk, ob und aus welchem Grund sie nicht ausgehändigt wurde. Medizinische Angaben wie Präparat, Pharmazentralnummer oder Verordnungsdaten werden ausschließlich für die beauftragende Apotheke gespeichert, von uns nicht ausgewertet und den Boten nicht angezeigt.

5. Standorterfassung (GPS-Tracking)

Für die Tourenplanung und Sendungsverfolgung erfassen wir den Standort von Fahrern während einer laufenden Tour. Die Standorterfassung gehört zur Tätigkeit als Fahrer und ist im Arbeitsvertrag geregelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit § 26 Abs. 1 BDSG (Durchführung des Beschäftigungsverhältnisses). Eine Einwilligung holen wir dafür nicht ein. In der App bestätigen Fahrer, dass sie diese Information gelesen haben. Diese Bestätigung ist keine Einwilligung.

• Erfassung erfolgt nur bei aktiver Anmeldung in der E-BOTEN-App
• Standortpunkte werden nur gespeichert, solange eine Tour läuft. Mit der aktuellen App-Fassung läuft die Erfassung dann auch im Hintergrund weiter, bei ausgeschaltetem Bildschirm und wenn der Fahrer eine andere App öffnet. Sie endet von selbst, sobald die Tour beendet ist. Siehe Abschnitt 6c.1
• Zu jedem Punkt speichern wir, ob das Fahrzeug gerade fährt oder steht, mit der aktuellen App-Fassung zusätzlich den Akkustand des Geräts. Aus den Punkten ermittelt die App, wann der Fahrer an einem Stopp ankommt und wieder abfährt. Diese Zeiten sind eine Ermittlung aus dem Standort, keine Zeitmessung. Sie sehen nur Disposition und Verwaltung von E-BOTEN.DE, nicht die Apotheken. Sie fließen nicht in Abrechnung oder Lohn ein.
• GPS-Daten werden nach 90 Tagen automatisch gelöscht. Das gilt auch für die Ankunfts- und Abfahrtszeiten aus der Ortung.
• Für die Fehlersuche führt die App ein technisches Protokoll, etwa Start und Ende der Erfassung, Funklöcher, geänderte Freigaben und niedrigen Akku. Es enthält keine Standortpunkte, ist nur für Geschäftsführung und Administration von E-BOTEN.DE einsehbar und wird nach 30 Tagen gelöscht.
• Zugriff nur für Disponenten und Administratoren

5a. Standortbeleg bei Bußgeldverfahren

Erhält E-BOTEN.DE als Halterin eines Firmenfahrzeugs einen Anhörungsbogen oder Bußgeldbescheid, ermitteln wir, wer das Fahrzeug zur Tatzeit gefahren hat. Dazu werden die Touren auf dem Fahrzeug rund um die Tatzeit, die Fahrzeugübernahmen und je in Frage kommender Tour der Standortpunkt gelesen, der der Tatzeit am nächsten liegt (höchstens 15 Minuten davor oder danach). Diese Punkte werden mit Uhrzeit, Koordinaten, Genauigkeit und Geschwindigkeit im Vorgang festgehalten, weil die übrigen Standortpunkte nach 90 Tagen gelöscht werden und ein Verfahren länger laufen kann. Ist die Zuordnung eindeutig, ist es ein Punkt. Liegt die Tat zwischen zwei Touren oder kommen mehrere Fahrer in Frage, ist es je Tour ein Punkt, also auch von Fahrern, die das Fahrzeug am Ende nicht gefahren haben. Die Punkte dieser übrigen Fahrer werden 30 Tage, nachdem der Vorgang an den zugeordneten Fahrer gegangen ist, entfernt. Bestreitet er, bleiben sie bis zum Ende des Vorgangs, damit eine neue Zuordnung belegbar bleibt. Weitere Punkte werden nicht gespeichert, eine Auswertung von Fahrstil oder Geschwindigkeiten außerhalb des Verfahrens findet nicht statt.

Den Vorgang sehen die Fuhrparkverwaltung, die Disposition, die Gebietsleitung, die Buchhaltung und die Administration von E-BOTEN.DE sowie der betroffene Fahrer, sobald das Büro ihm den Vorgang in der App zur Stellungnahme freigibt. Die Standortpunkte selbst sieht nur, wer Vorgänge einem Fahrer zuordnen darf. Das Schreiben der Behörde wird mit einem KI-Dienst ausgelesen (Anthropic, Abschnitt 7).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit § 26 Abs. 1 BDSG (Mitwirkung als Fahrzeughalterin im Ordnungswidrigkeitenverfahren und Abwehr eigener Nachteile wie einer Fahrtenbuchauflage). Der Standortbeleg wird 30 Tage nach Abschluss des Vorgangs entfernt, bei einem Vorgang ohne Bearbeitung sechs Monate nach der Tat (Verfolgungsverjährung nach § 26 Abs. 3 StVG), spätestens zwei Jahre nach der Tat. Diese Löschung wird wie die übrigen neuen Fristen schrittweise eingeführt, siehe den Hinweis unter der Tabelle in Abschnitt 9. Bis dahin kann der Beleg länger gespeichert sein.

6. Zeiterfassung

Gemäß § 3 Abs. 2 Nr. 1 ArbSchG und dem BAG-Urteil zur Arbeitszeiterfassung sind wir verpflichtet, Arbeitszeiten zu dokumentieren. Dabei werden Ein-/Ausstempelzeiten sowie optionale GPS-Koordinaten am Stempelort erfasst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Verpflichtung).

6b. Hosting und Speicherort der Daten

Die primäre Datenhaltung (Applikation, Datenbank, Backups) erfolgt ausschließlich auf Servern innerhalb der Europäischen Union:

Backups werden auf demselben Server gespeichert. Eine Übertragung der Datenbank-Inhalte in andere Rechenzentren erfolgt nicht.

Für einzelne, klar abgegrenzte Funktionen (KI-gestützte Texterkennung und Auswertung, Kartendienste, Push-Benachrichtigungen, Absturzberichte der Android-App) werden Daten punktuell an Auftragsverarbeiter in denUSA übermittelt (siehe Abschnitt 7). Diese Anbieter sind unter dem EU-US Data Privacy Framework zertifiziert bzw. es bestehen EU-Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO.

6c. Mobile E-BOTEN-App (iOS und Android)

Die E-BOTEN-App wird über den Apple App Store und Google Play bereitgestellt. Sie ist ausschließlich für Fahrer und Disposition des E-BOTEN.DE Apotheken-Botendienstes vorgesehen. Ein Login ist nur mit Einladung durch eine angeschlossene Apotheke oder durch E-BOTEN.DE möglich, eine Selbstregistrierung erfolgt nicht.

6c.1 Geräte-Berechtigungen

• Standort (auch im Hintergrund): Erfassung nur während einer laufenden Tour. Mit der aktuellen App-Fassung läuft sie dabei auch weiter, wenn der Bildschirm aus ist oder eine andere App im Vordergrund steht. Auf dem iPhone fragt die App zuerst die Freigabe „Beim Verwenden“ und danach „Immer“ an. Mit „Immer“ läuft die Erfassung während der Tour auch weiter, nachdem die App weggewischt oder vom System beendet wurde. Ohne „Immer“ endet sie in diesem Fall. Das iPhone zeigt währenddessen einen blauen Hinweis an. Auf Android zeigt die App während der Erfassung eine Benachrichtigung. Ab Android 14 lässt sich diese Benachrichtigung wegwischen, die Erfassung läuft dann bis zum Tourende weiter. Wird die App selbst weggewischt, läuft die Erfassung ebenfalls weiter, bis die Tour endet. Ein Recht für den Standortzugriff im Hintergrund fragt die App auf Android nicht an. Die Erfassung beendet sich selbst, sobald die Tour beendet oder die Funktion abgeschaltet ist, und spätestens 14 Stunden nach Beginn der Tour. Sie startet nicht von selbst nach einem Neustart des Geräts. Bewegungssensoren und Aktivitätserkennung nutzt die App nicht. Außerhalb einer Tour werden keine Standortpunkte gespeichert. Die Freigabe lässt sich jederzeit in den Geräteeinstellungen entziehen. Die Daten werden nach 90 Tagen gelöscht (Abschnitt 5).
• Kamera: Foto-Belege bei Zustellung sowie Scan von Rezepten und Lieferscheinen.
• Fotos / Medien: Auswahl bestehender Bilder als Zustellbeleg.
• Mikrofon: Optionale Sprachdiktate bei der Auftragserfassung.
• Benachrichtigungen: Push-Mitteilungen zu Schichtzuweisungen, Tourstart und systemkritischen Ereignissen.

6c.2 Push-Benachrichtigungen

Zur Zustellung von Push-Benachrichtigungen verarbeiten wir den Geräte-Push-Token. Auf iOS-Geräten erfolgt die Zustellung über den Apple Push Notification Service (APNs, Apple Inc., USA), auf Android-Geräten über Firebase Cloud Messaging (FCM, Google LLC, USA). Der Token enthält keine personenbezogenen Klartextdaten und wird beim Logout oder Deinstallieren der App invalidiert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an betrieblicher Kommunikation). Der Drittstaaten-Transfer in die USA ist über die EU-Standardvertragsklauseln und das EU-US Data Privacy Framework abgesichert.

6c.3 Absturzberichte und Speicher auf dem Gerät

In der Android-App ist Firebase Crashlytics (Google LLC, USA) eingebunden. Stürzt die App oder ihre Weboberfläche ab, geht ein Absturzbericht an Google: technischer Fehlerverlauf, Gerätemodell, Betriebssystem, App-Version und eine zufällige Installationskennung. Namen, Aufträge oder Standortdaten enthält der Bericht nicht. Zweck ist die Fehlerbehebung, Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO. Bis einschließlich App-Version 1.0.9 enthält die Android-App zusätzlich Firebase Analytics, das ohne eigenen Aufruf der App allgemeine Nutzungsereignisse (erster Start, Sitzungsbeginn) mit einer App-Instanzkennung an Google übermittelt. Mit Version 1.0.10 wird diese Erfassung abgeschaltet. Die iOS-App enthält weder Crashlytics noch Analytics.

Fotos, Unterschriften und Empfängernamen, die während einer Funklücke entstehen, hält die App in einem Zwischenspeicher auf dem Gerät, bis sie übertragen sind. Das betrifft vor allem Zustellnachweise mit Unterschrift, Fotos und Empfängername. Gesendete Einträge löscht die App sofort. Für ungesendete gilt eine Frist von 7 Tagen, gerechnet ab der letzten Anmeldung desselben Kontos auf diesem Gerät: Meldet sich das Konto dort mehr als 7 Tage nicht an, werden die Einträge bei der nächsten Anmeldung auf dem Gerät nicht mehr gesendet. Die App entfernt dann zuerst den Inhalt (Unterschrift, Fotos, Namen) und meldet nur noch, dass ein Eintrag nicht gesendet wurde. Diese Meldung ohne Inhalt wird als Verlust protokolliert, danach wird der Eintrag vom Gerät gelöscht. Meldet sich auf dem Gerät ein anderes Konto an, gilt für die Einträge des bisherigen Kontos eine kürzere Frist: Sind sie älter als einen Tag, behandelt die App sie ab dieser Anmeldung auf dieselbe Weise. Meldet sich auf dem Gerät niemand mehr an, bleiben die Einträge gespeichert, bis die App gelöscht wird.

6d. Lieferstatus für Empfänger (Lieferseite)

Unter services.e-boten.de/lieferung können Empfängerinnen und Empfänger den Stand ihrer laufenden Lieferung einsehen. Der Zugang erfolgt ohne Benutzerkonto über die Angabe von Nachname, Postleitzahl, Straße und Hausnummer.

Verantwortlichkeit: Die belieferte Apotheke ist Verantwortliche im Sinne der DSGVO, die E-BOTEN.DE GmbH verarbeitet die Daten als Auftragsverarbeiterin nach Art. 28 DSGVO auf deren Weisung. Eine Apotheke kann die Funktion für ihre Empfänger jederzeit abschalten lassen.

Angezeigte Daten: Status der Lieferung, voraussichtliche Ankunftszeit und der Name der beauftragenden Apotheke. Bei einer erfolgten Zustellung zusätzlich die Uhrzeit und die Art der Übergabe, bei einem Zustellversuch der vom Boten angegebene Grund. Nicht angezeigt werden Auftragsnummern, Name des Boten, Zahlbeträge, Zustellfotos, Unterschriften oder Angaben zur Art der Ware.

Zeitliche Begrenzung: Sichtbar sind ausschließlich laufende und am selben Kalendertag abgeschlossene Lieferungen. Eine Historie früherer Lieferungen wird über die Seite nicht bereitgestellt.

Hinweise an den Boten: Empfänger können zu einer laufenden Lieferung einen Hinweis hinterlassen (etwa Etage, Zugangscode oder die Bitte um einen Anruf). Dieser Hinweis gilt nur für die betreffende Lieferung, wird nicht auf künftige Lieferungen übertragen und mit dem Auftrag gelöscht.

Benachrichtigung: Auf Wunsch kann eine Push-Benachrichtigung abonniert werden, die über den Beginn der Zustellfahrt informiert. Gespeichert werden dafür die technischen Abodaten des Browsers sowie einkryptografischer Hashwert aus Nachname, Postleitzahl, Straße und Hausnummer, nicht diese Angaben im Klartext. Das Abo kann auf der Seite jederzeit wieder abgeschaltet werden.

Missbrauchsschutz: Abfragen sind je Netzwerkadresse zahlenmäßig begrenzt. Zur Erkennung missbräuchlicher Abfragen werden Zeitpunkt, ein gekürzter Teil der IP-Adresse und der oben genannte Hashwert protokolliert. Rechtsgrundlage ist das berechtigte Interesse am Schutz der Empfängerdaten (Art. 6 Abs. 1 lit. f DSGVO).

7. Empfänger und Auftragsverarbeiter

Google und Anthropic nutzen wir über deren Programmierschnittstellen für Geschäftskunden. Die Nachweise zur Auftragsverarbeitung und zu den Garantien für die Übermittlung in die USA (Spalte Grundlage) dokumentieren wir derzeit je Anbieter.

Eine Liste der aktuellen Unterauftragsverarbeiter stellen wir Pilot-Apotheken-Kunden auf Anfrage im Rahmen der AVV zur Verfügung.

8. Cookies und Speichertechnologien

Wir verwenden ausschließlich technisch notwendige Cookies (§ 25 Abs. 2 Nr. 2 TDDDG). Im Betrieb über HTTPS tragen die Anmelde-Cookies zusätzlich die Vorsilbe__Secure- oder __Host-.

Analyse- oder Marketing-Cookies werden nicht eingesetzt.

9. Speicherdauer und Löschfristen

* Diese Fristen gelten seit dem 22. Oktober 2026. Die automatische Löschung dafür wird schrittweise eingeführt: Ein täglicher Lauf zählt zunächst, welche Daten fällig wären, die Geschäftsführung schaltet die Löschung danach je Datenart frei. Bis dahin können einzelne Daten länger gespeichert sein als angegeben. Bei Ausgeschiedenen beginnt die Frist mit dem Austritt, die Lohnabrechnung selbst führt das Lohnprogramm nach den steuerlichen Fristen.

** Für diese Datenart ist die automatische Löschung noch nicht gebaut. Der tägliche Lauf zählt bisher nur, welche Daten fällig wären.

Bilder des Personalausweises werden ausschließlich zur einmaligen Identitätsprüfung verwendet. Nach der Kontrolle werden Vorder- und Rückseite gelöscht; gespeichert bleibt nur der Prüfnachweis (dass und wann die Prüfung erfolgt ist), nicht das Ausweisbild selbst.

Nach Ablauf der Fristen ohne Stern werden die Daten automatisch gelöscht oder anonymisiert, für die Fristen mit Stern gilt der Hinweis unter der Tabelle.

Bei Aufträgen unterscheiden wir zwischen dem Vorgang und der Person. Nach zwölf Monaten entfernen wir den Personenbezug: Name, Anschrift, Telefonnummer, Hinweise sowie sämtliche Fotos und Unterschriften des Zustellnachweises werden gelöscht, die Bilddateien auch von unseren Servern. Der Vorgang selbst bleibt erhalten, weil er Grundlage der Abrechnung ist. Nach diesem Schritt lässt sich einem Auftrag noch entnehmen, dass an einem bestimmten Tag für eine bestimmte Apotheke eine Lieferung stattgefunden hat, nicht mehr aber, wer sie erhalten hat.

Apotheken können die Zustellnachweise eines Monats während der Frist als PDF und ZIP herunterladen. Für so gesicherte Kopien ist die Apotheke als Verantwortliche selbst zuständig. Bei E-BOTEN.DE gilt weiter die Frist von 12 Monaten.

10. Ihre Rechte als betroffene Person

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunftsrecht (Art. 15 DSGVO) — Welche Daten wir über Sie speichern
• Berichtigungsrecht (Art. 16 DSGVO) — Korrektur unrichtiger Daten
• Löschungsrecht (Art. 17 DSGVO) — Löschung Ihrer Daten ("Recht auf Vergessenwerden")
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) — Export Ihrer Daten in maschinenlesbarem Format
• Widerspruchsrecht (Art. 21 DSGVO)
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) — jederzeit mit Wirkung für die Zukunft

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: info@e-boten.de

11. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt.

Zuständige Aufsichtsbehörde:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestr. 2–4, 40213 Düsseldorf
www.ldi.nrw.de

12. Datensicherheit

Wir setzen umfangreiche technische und organisatorische Maßnahmen ein, um Ihre Daten zu schützen:

• TLS-Verschlüsselung (HTTPS) für alle Verbindungen
• Passwörter werden mit bcrypt gehasht (nicht im Klartext gespeichert)
• Zweiter Faktor bei der Anmeldung: ein neues Gerät wird mit einem Code aus der E-Mail bestätigt, wahlweise mit einer Authenticator-App
• Rollenbasierte Zugriffskontrolle (RBAC)
• Rate-Limiting zum Schutz vor Brute-Force-Angriffen
• Security-Header (CSP, HSTS, X-Frame-Options)
• Regelmäßige Sicherheitsaudits

13. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf zu aktualisieren, um sie an geänderte Rechtslagen oder Änderungen unserer Dienste anzupassen. Die jeweils aktuelle Version finden Sie stets auf dieser Seite.