Datenschutzhinweise SAG OnlineTool
Mit diesen Hinweisen informieren wir über die Verarbeitung personenbezogener Daten in der Anwendung SAG OnlineTool und über die nach dem Datenschutzrecht zustehenden Rechte. Sie ergänzen die allgemeinen Datenschutzhinweise der STERNAUTO GmbH.
Das SAG OnlineTool ist die Anwendungsplattform der STERNAUTO Gruppe für digitalisierte Arbeitsabläufe. Sie besteht aus einer mobilen App und einer Webanwendung und steht ausschließlich Beschäftigten der Unternehmensgruppe zur Verfügung; die Nutzung ist nur nach Anmeldung mit dem Firmenkonto möglich. Der Betrieb liegt bei der zentralen IT-Abteilung.
Die Plattform ist in Module gegliedert. Diese Hinweise beschreiben zunächst die Verarbeitungen, die für die gesamte Plattform gelten, und anschließend die der einzelnen Module. Kommen Module hinzu, werden diese Hinweise entsprechend ergänzt.
Verantwortlicher für die Datenverarbeitung
STERNAUTO GmbH Torgauer Straße 333 04347 Leipzig
STERNAUTO Holding GmbH Gerlachstraße 14 14480 Potsdam
0341 2585-300 info@sternauto.de Internet-Adresse: www.sternauto.de
Vertreten durch die Geschäftsführer:
- Peter Heinrich (CEO)
- Frank Delmes (CFO)
Unseren Datenschutzbeauftragten erreichen Sie per Post unter der o. g. Adresse mit dem Zusatz „Datenschutzbeauftragter" oder per E-Mail unter: datenschutz@sternauto.de
Gemeinsame Verantwortlichkeit
Die oben genannten Gesellschaften sind für die in diesen Hinweisen beschriebenen Verarbeitungen gemeinsam Verantwortliche im Sinne von Art. 26 DS-GVO. Sie haben dazu eine Vereinbarung geschlossen. Deren wesentlicher Inhalt:
- Die zentrale IT-Abteilung betreibt die Anwendung für die Unternehmensgruppe, verwaltet die Zugänge und setzt die technischen und organisatorischen Schutzmaßnahmen um.
- Die Zwecke der Verarbeitung - insbesondere die Durchführung der Inventur - werden von der Gesellschaft bestimmt, in deren Betrieb die jeweilige Aufgabe anfällt.
- Die Pflicht zur Information der betroffenen Personen wird durch diese Hinweise gemeinsam erfüllt.
- Betroffene können ihre Rechte gegenüber jedem der Verantwortlichen geltend machen (Art. 26 Abs. 3 DS-GVO). Als gemeinsame Anlaufstelle steht der oben genannte Datenschutzbeauftragte zur Verfügung; er stellt die Bearbeitung unabhängig davon sicher, an welche Gesellschaft die Anfrage gerichtet war.
Verbundene Unternehmen
- STERNAUTO Holding GmbH, Gerlachstr. 14, 14480 Potsdam
- STERNAUTO GmbH, Torgauer Str. 333, 04347 Leipzig
- LSH Property (Germany) GmbH, Torgauer Str. 333, 04347 Leipzig
Aktualisierungen
Die Inhalte dieser Seite wurden am 16.10.2026 erstellt.
Verarbeitungen der gesamten Plattform
Die folgenden Verarbeitungen gelten unabhängig davon, welches Modul genutzt wird.
Anmeldung und Benutzerkonto
Daten. Dienstliche E-Mail-Adresse, Anzeigename, die eindeutige Kennung des Firmenkontos, Zeitpunkt der Anlage sowie die zugewiesenen Rollen und Rechte.
Zweck. Feststellen, wer die Plattform nutzt, und Freischalten der Module und Funktionen, für die eine Person vorgesehen ist. Jeder Zugriff setzt eine Anmeldung und ein ausdrücklich zugewiesenes Recht voraus; ein neu angelegtes Konto hat zunächst kein Recht und sieht keine Daten.
Die Anmeldung erfolgt über Microsoft Entra ID, das zentrale Anmeldeverfahren der STERNAUTO Gruppe. Kennwörter werden in der Anwendung weder erfasst noch gespeichert; die Anwendung erhält von Entra ID lediglich die Bestätigung, wer angemeldet ist. Näheres zur Rolle von Microsoft unter „Kategorien von Empfängern".
Rechtsgrundlage. Art. 6 Abs. 1 lit. b DS-GVO in Verbindung mit § 26 Abs. 1 Satz 1 BDSG. Die Bereitstellung des Zugangs ist für die Durchführung des Beschäftigungsverhältnisses erforderlich - ohne Konto lässt sich die zugewiesene Arbeit nicht erledigen.
Angaben zum verwendeten Gerät
Daten. Modell, Betriebssystem-Fassung und Bauform des Geräts, mit dem gearbeitet wird.
Zweck. Ausschließlich die Unterstützung durch den Service Desk bei technischen Störungen. Eine Auswertung zu anderen Zwecken findet nicht statt.
Rechtsgrundlage. Art. 6 Abs. 1 lit. f DS-GVO. Unser berechtigtes Interesse liegt in einem funktionsfähigen IT-Betrieb und einer wirksamen Störungsbehebung: Ohne die Kenntnis von Gerät und Betriebssystem lässt sich eine gemeldete Störung häufig nicht nachstellen. Die Angaben betreffen das Gerät, nicht das Verhalten der Person. Dem Widerspruchsrecht nach Art. 21 DS-GVO unterliegt diese Verarbeitung; siehe unten unter „Betroffenenrechte".
Verarbeitungen der einzelnen Module
Modul Inventur
Das Modul dient der Inventur des Fahrzeugbestands. Jedes Fahrzeug wird vor Ort aufgenommen; die Aufnahme muss durch zwei verschiedene Personen unabhängig voneinander erfolgen, damit sie als bestätigt gilt (Vier-Augen-Prinzip).
Personenbezogene Daten in diesem Modul.
| Angabe | Zweck |
|---|---|
| Erfassende Person | Ohne ihre Identität lässt sich das Vier-Augen-Prinzip nicht feststellen - zwei Aufnahmen derselben Person wären von zwei Aufnahmen zweier Personen nicht zu unterscheiden. |
| Zeitpunkt der Aufnahme | Nachvollziehbarkeit und Zuordnung der beiden Aufnahmen zueinander. |
| Standort der Aufnahme | Zuordnung eines Fahrzeugs zu einer Filiale, insbesondere dort, wo die Bestandsliste keine Angabe enthält. |
Der Standort wird ausschließlich im Moment einer Aufnahme ermittelt, einmal je Datensatz. Eine fortlaufende Ortung findet nicht statt.
Weitere im Rahmen der Inventur verarbeitete Daten. Fahrzeug-Identifizierungsnummer, amtliches Kennzeichen, Anzahl und Aufbewahrungsort der Schlüssel, Belegfotos des Fahrzeugs, der Fahrzeug-Identifizierungsnummer und des Fahrzeugbriefs.
Fahrzeuge, deren Fahrzeug-Identifizierungsnummer nicht lesbar ist, lassen sich über das amtliche Kennzeichen zuordnen. Die Anwendung wertet dazu die ohnehin aufgenommenen Belegfotos aus. Die Texterkennung läuft auf dem Gerät; zu diesem Zweck werden weder Bilder noch Texte an Dritte übermittelt.
Fahrzeuge Dritter auf den Belegfotos. Auf dem Betriebsgelände stehen während der Inventur auch Fahrzeuge von Kundinnen und Kunden; sie können auf Belegfotos mit abgebildet sein. Für die Fotografie von Fahrzeugen auf dem Betriebsgelände gelten die allgemeinen Datenschutzhinweise der STERNAUTO GmbH, wo sie unter den berechtigten Interessen beschrieben ist.
Rechtsgrundlage. Art. 6 Abs. 1 lit. c DS-GVO - Erfüllung einer rechtlichen Verpflichtung - in Verbindung mit §§ 240, 241 HGB. Jeder Kaufmann hat zum Schluss eines jeden Geschäftsjahres ein Inventar seiner Vermögensgegenstände aufzustellen; die Fahrzeuge im Bestand gehören dazu.
Dass dabei festgehalten wird, wer wann und wo aufgenommen hat, folgt aus § 238 Abs. 1 Satz 2 HGB: Die Buchführung muss so beschaffen sein, dass sich ein sachverständiger Dritter in angemessener Zeit einen Überblick verschaffen kann. Eine Inventur, bei der sich das Vier-Augen-Prinzip nicht nachprüfen lässt, erfüllt diese Anforderung nicht.
Weitere Module
Die Plattform wird um weitere Module für digitalisierte Arbeitsabläufe ergänzt. Sollten wir personenbezogene Daten für einen hier nicht genannten Zweck verarbeiten wollen, werden wir darüber im Rahmen der gesetzlichen Bestimmungen zuvor informieren und diese Hinweise ergänzen.
Kategorien von Empfängern
Zugriff auf die Anwendung
Innerhalb der Unternehmensgruppe haben Zugriff:
- das Controlling zur Auswertung der Inventur
- die zentrale IT-Abteilung zum Betrieb der Anwendung und zur Verwaltung der Zugänge
Spezialisierte Bereiche der Unternehmensgruppe nehmen bestimmte Datenverarbeitungsaufgaben für die verbundenen Unternehmen zentral wahr; dazu zählt die zentrale IT-Abteilung.
Übermittlung eines Auszugs
Darüber hinaus erhalten einen Auszug der Inventurergebnisse:
- der Abschlussprüfer im Rahmen der Jahresabschlussprüfung - einschließlich der Angabe, wer wann aufgenommen hat, weil sich das Vier-Augen-Prinzip sonst nicht prüfen lässt
- die Steuerberatung und die Finanzbehörden, soweit gesetzlich geboten
Ein Zugriff auf die Anwendung selbst ist damit nicht verbunden.
Auftragsverarbeiter
Für die Anmeldung wird Microsoft Entra ID eingesetzt, der zentrale Anmeldedienst der Unternehmensgruppe. Microsoft handelt dabei als Auftragsverarbeiter auf Grundlage der mit der STERNAUTO Gruppe bestehenden Vereinbarung zur Auftragsverarbeitung.
Dieser Dienst wird unternehmensweit für alle Anmeldungen genutzt und nicht eigens für diese Anwendung. Die Anwendung übermittelt an Microsoft keine Inventurdaten, keine Fotos und keine Standortangaben - sie erhält von dort lediglich die Bestätigung, wer angemeldet ist.
Weitere Dienstleister, Cloud-Dienste oder Auftragsverarbeiter werden für diese Anwendung nicht eingesetzt.
Datenübermittlung in ein Drittland
Die Inventurdaten, die Belegfotos und die Benutzerverwaltung der Anwendung verbleiben innerhalb des Europäischen Wirtschaftsraums. Die Server stehen im Unternehmensnetz der STERNAUTO Gruppe in Deutschland; die Übertragung zwischen App und Server erfolgt ausschließlich verschlüsselt.
Dauer der Datenspeicherung
Wir löschen Ihre personenbezogenen Daten, sobald sie für die oben genannten Zwecke nicht mehr erforderlich sind und keine gesetzliche Aufbewahrungspflicht entgegensteht.
| Daten | Dauer | Grund |
|---|---|---|
| Benutzerkonto (Name, dienstliche E-Mail-Adresse, Kennung, Rollen und Rechte) | bis zum Ausscheiden oder zum Entzug der Berechtigung | an das Beschäftigungsverhältnis gekoppelt |
| Angaben zum Gerät | zusammen mit dem zugehörigen Inventurdatensatz | reine Begleitangabe zur Störungsbehebung |
| Inventurdatensatz einschließlich erfassender Person, Zeitpunkt und Standort | zehn Jahre | § 257 Abs. 1 Nr. 1 in Verbindung mit Abs. 4 HGB, § 147 AO - Inventare sind aufbewahrungspflichtig |
| Belegfotos | zehn Jahre | § 257 Abs. 1 Nr. 4 HGB, § 147 Abs. 1 Nr. 4 und 5 AO - sie belegen Vorhandensein, Zustand und Zuordnung eines Fahrzeugs und sind damit Bewertungs- bzw. Buchungsbeleg |
Warum die Fristen so lang sind. Die Inventur ist Grundlage des Jahresabschlusses. Handels- und Steuerrecht verlangen, dass sich diese Grundlage über zehn Jahre nachprüfen lässt. Solange eine solche Aufbewahrungspflicht besteht, besteht kein Anspruch auf Löschung (Art. 17 Abs. 3 lit. b DS-GVO); die Daten werden in dieser Zeit jedoch ausschließlich zu diesem Zweck vorgehalten und nicht weiter ausgewertet.
Was die Anwendung nicht tut
- Keine fortlaufende Ortung. Der Standort wird nur im Moment einer Aufnahme ermittelt.
- Keine Übermittlung von Inventurdaten, Fotos oder Standortangaben an Dienstleister.
- Keine Werbung, kein Tracking, keine Analysedienste. Es sind keine Bausteine zur Reichweitenmessung oder Nutzungsanalyse eingebaut.
- Keine Auswertung der Arbeitsleistung. Die Anwendung bietet keine Funktion, die Aufnahmen nach Person auswertet, vergleicht oder bewertet.
- Kein Zugriff auf die Fotomediathek des Geräts. Fotos entstehen in der Anwendung über die Kamera.
- Keine Kennwörter. Die Anmeldung erfolgt über das zentrale Anmeldeverfahren.
Sicherheit
Wir haben umfassende technische und organisatorische Vorkehrungen getroffen, um Ihre personenbezogenen Daten vor unberechtigtem Zugriff, Missbrauch, Verlust und anderen äußeren Störungen zu schützen. Hierzu überprüfen wir unsere Sicherheitsmaßnahmen regelmäßig und passen sie dem Stand der Technik an.
Jeder Zugriff setzt eine Anmeldung über das Firmenkonto und ein ausdrücklich zugewiesenes Recht voraus. Ein neu angelegtes Konto hat zunächst kein Recht und sieht keine Daten.
Betroffenenrechte
Sie können unter der o. g. Adresse Auskunft über die zu Ihrer Person gespeicherten Daten verlangen (Art. 15 DS-GVO). Darüber hinaus können Sie unter bestimmten Voraussetzungen die Berichtigung (Art. 16 DS-GVO) oder die Löschung Ihrer Daten (Art. 17 DS-GVO) verlangen. Ihnen kann weiterhin ein Recht auf Einschränkung der Verarbeitung Ihrer Daten (Art. 18 DS-GVO) sowie ein Recht auf Herausgabe der von Ihnen bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format (Recht auf Datenübertragbarkeit Art. 20 DS-GVO) zustehen.
Verarbeiten wir Ihre Daten zur Wahrung berechtigter Interessen, können Sie dieser Verarbeitung widersprechen, wenn sich aus Ihrer besonderen Situation Gründe ergeben, die gegen die Datenverarbeitung sprechen.
Bei gemeinsamer Verantwortlichkeit können Sie Ihre Rechte gegenüber jedem der oben genannten Verantwortlichen geltend machen.
Beschwerderecht
Bei Fragen und/oder Hinweisen zum Datenschutz können Sie sich an den oben genannten Datenschutzbeauftragten wenden.
Sie haben die Möglichkeit, sich mit einer Beschwerde an die Datenschutzaufsichtsbehörde an Ihrem Wohnsitz oder an die für uns zuständige Datenschutzaufsichtsbehörde zu wenden (Art. 77 DS-GVO). Zuständig ist die Sächsische Datenschutz- und Transparenzbeauftragte, Postfach 11 01 32, 01330 Dresden, 0351 85471-101, post@sdtb.de.