Datenschutz,
in einem Satz.

1. Verantwortlicher im Sinne der DSGVO

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

Julian Laibach & Fynn Schmidt GbR
vertreten durch die Gesellschafter Julian Laibach und Fynn Schmidt
Oberlohnstraße 3 · 78467 Konstanz · Deutschland
E-Mail: admin@tankpuls.de

Sämtliche Anfragen zum Datenschutz, zur Ausübung deiner Rechte nach Art. 15 ff. DSGVO sowie zum Widerruf erteilter Einwilligungen richtest du bitte an die vorstehende Adresse.

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist gemäß § 38 BDSG i. V. m. Art. 37 DSGVO nicht erforderlich, da weder die maßgeblichen Schwellenwerte überschritten sind, noch besonders sensible Datenkategorien systematisch oder in großem Umfang verarbeitet werden. Anfragen zum Datenschutz werden vom Verantwortlichen (Ziffer 1) persönlich beantwortet.

3. Begriffsbestimmungen

Diese Erklärung verwendet die in Art. 4 DSGVO definierten Begriffe. Die wichtigsten kurz erläutert:

• Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
• Verarbeitung ist jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang im Zusammenhang mit personenbezogenen Daten (Erheben, Speichern, Anpassen, Auslesen, Übermitteln, Löschen u. a.).
• Verantwortlicher ist die Stelle, die über die Zwecke und Mittel der Verarbeitung entscheidet.
• Auftragsverarbeiter ist eine Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
• Empfänger ist jede Stelle, der Daten offengelegt werden; Behörden, die Daten im Rahmen eines bestimmten Untersuchungsauftrags erhalten, gelten nicht als Empfänger.
• Einwilligung ist jede freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung der betroffenen Person.

4. Grundsatz: Datenvermeidung statt Datensparsamkeit

TankPuls ist ein Verbraucher-Informationsdienst gemäß § 6 MTSKraftV — ohne Werbeanzeigen, ohne Konten und ohne Registrierungspflicht für die Verbraucherinformation. Personenbezogene Daten werden nicht erhoben, außer sie sind technisch unvermeidbar oder du hast eingewilligt; in diesem Fall werden sie auf dieser Seite benannt, dokumentiert und so schnell wie möglich wieder gelöscht.

Was wir nicht tun. Keine Analytics. Keine Werbeanzeigen und keine Werbenetzwerke, die Anzeigen ausspielen. Keine Social-Media-Plugins. Keine Profilbildung. Keine automatisierten Einzelfallentscheidungen. Keine Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO). Keine Weitergabe an Dritte zu Werbe- oder Marktbeobachtungszwecken. Karten-Kacheln (Ziffer 9) und die Werbe-Erfolgsmessung über Google Ads (Ziffer 12) nur, wenn du einwilligst.

5. Rechtsgrundlagen der Verarbeitung

Soweit personenbezogene Daten verarbeitet werden, geschieht dies ausschließlich auf einer der folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung der betroffenen Person (z. B. Standortfreigabe, Push-Benachrichtigungen, Karten-Dienst und Werbe-Erfolgsmessung auf der Website)
• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung oder vorvertragliche Maßnahmen (API-Schlüssel, TankPuls Pro)
• Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtung (z. B. handels-/steuerrechtliche Aufbewahrungspflichten)
• Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen (Betriebssicherheit, Missbrauchsabwehr, technische Bereitstellung, Durchsetzung der Zweckbindung nach § 6 MTSKraftV)

Die jeweils einschlägige Rechtsgrundlage wird bei jedem nachfolgenden Verarbeitungsvorgang einzeln genannt.

6. SSL/TLS-Verschlüsselung

Diese Website und sämtliche API-Endpunkte werden ausschließlich über eine TLS-1.2-/1.3-verschlüsselte Verbindung (HTTPS) ausgeliefert. Die korrekte Verschlüsselung erkennst du am Schloss-Symbol deiner Browser-Adresszeile sowie am Präfix https://. Eine HSTS-Direktive (HTTP Strict Transport Security) wird gesetzt, um Downgrade-Angriffe zu verhindern.

7. Website-Zugriffe (Server-Logs)

Beim Aufruf dieser Website verarbeitet der Hosting-Provider (deutscher Anbieter, Rechenzentrum innerhalb der Bundesrepublik Deutschland, Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen) folgende technische Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betriebssicherheit, Missbrauchsabwehr und stabiler Auslieferung):

• IP-Adresse, gekürzt um das letzte Oktett (IPv4) bzw. die letzten 80 Bit (IPv6)
• Datum und Uhrzeit des Zugriffs
• aufgerufene Datei, HTTP-Methode, HTTP-Statuscode, übertragene Datenmenge
• User-Agent (Browser-, Geräte- und Betriebssystem-Version)
• Referrer (zuvor besuchte Seite, soweit vom Browser übermittelt)

Diese Server-Logs werden nach 7 Tagen automatisch gelöscht. Eine Zusammenführung mit anderen Daten findet nicht statt.

8. Schriftarten (Webfonts) — selbst gehostet

Diese Website verwendet die Schriftarten Inter (Lizenz: SIL OFL 1.1), JetBrains Mono (Apache 2.0) und Satoshi (Fontshare Free License). Alle drei Schriftarten werden direkt vom eigenen Server (tankpuls.de/assets/fonts/) als WOFF2-Dateien ausgeliefert.

Es findet keine Verbindung zu Google Fonts, Fontshare oder sonstigen Dritt-Servern statt. Es wird keine IP-Adresse an externe Anbieter übertragen. Eine Einwilligung ist daher nicht erforderlich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer einheitlichen, schnellen und barrierearmen Darstellung — ohne Datenübertragung an Dritte). Die Schriften werden vom Browser im üblichen HTTP-Cache zwischengespeichert.

9. Karten-Dienst (CARTO & OpenStreetMap) — einwilligungspflichtig

Die Karten-Darstellungen auf der Startseite (Hintergrund-Karte) und auf den Stadt-Detailseiten (/tankpreise/[stadt]/) nutzen Kartenkacheln von CARTO (Carto Group Limited, Dublin/Irland) auf Basis von Geodaten der OpenStreetMap Foundation (St John's Innovation Centre, Cambridge CB4 0WS, UK). Die interaktive Kartendarstellung übernimmt die freie JavaScript-Bibliothek Leaflet, die wir wie alle übrigen Skripte vom eigenen Server ausliefern.

Beim Laden einer Kartenkachel werden Verbindungsdaten an CARTO übertragen, darunter die IP-Adresse, der User-Agent sowie der Referrer. Die übertragene Datenmenge skaliert mit der Karten-Interaktion: pro Zoom- oder Verschiebe-Vorgang werden bis zu 20 einzelne Kachel-Anfragen ausgelöst.

Wichtig: Die Kartenkacheln werden nicht automatisch geladen. Sie werden ausschließlich nach deiner aktiven Einwilligung über das Cookie-Banner (Kategorie „Karten-Dienst") angezeigt. Ohne Einwilligung wird statt der Karte ein Platzhalter mit Aktivierungs-Button dargestellt; es findet keinerlei Datenübermittlung an CARTO oder OpenStreetMap statt. Die Preis-Markierungen der Karte stammen von unserer eigenen Preis-API (Ziffer 11).

Rechtsgrundlage bei erteilter Einwilligung: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Widerruf jederzeit über „Cookie-Einstellungen" im Footer.

Datenschutzhinweise: carto.com/privacy · osmfoundation.org/Privacy_Policy

10. Ortssuche (Photon)

Das Suchfeld „Ort, PLZ oder Tankstelle" auf der Startseite schlägt Orte über den Geocoding-Dienst Photon der komoot GmbH (Friedrich-Engels-Str. 24, 14473 Potsdam) vor. Sobald du mindestens zwei Zeichen eingibst oder einen Vorschlag auswählst, sendet dein Browser den Suchbegriff direkt an photon.komoot.io; dabei werden deine IP-Adresse, der User-Agent und der Referrer übertragen. Photon arbeitet mit Daten von OpenStreetMap.

Die Übermittlung erfolgt nur, wenn du die Suche aktiv benutzt, und ist für die gewünschte Ortssuche erforderlich. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der angefragten Information) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer schnellen Ortssuche ohne eigene Adressdatenbank). Wir selbst speichern deine Suchbegriffe nicht.

Der Button „Standort" fragt deinen Standort über die Ortungsfunktion deines Browsers ab — nur nach deiner Zustimmung im Browser-Dialog. Die Koordinaten werden ausschließlich im Browser genutzt, um den Suchbereich zu bestimmen; an unsere Preis-API wird nur dieser Kartenausschnitt übermittelt (Ziffer 11), an komoot nichts.

Datenschutzhinweise: komoot.com/de-de/privacy

11. Live-Preisdaten (api.tankpuls.de)

Die auf der Startseite und den Stadtseiten angezeigten Spritpreise lädt dein Browser direkt von unserer eigenen Preis-API api.tankpuls.de. Bei jedem Aufruf werden die IP-Adresse, der User-Agent und die Abfrage selbst übertragen — der Kartenausschnitt bzw. Suchbereich (Bounding-Box), der Kraftstoff und gegebenenfalls die ID einer Tankstelle.

Diese Datenübertragung ist technisch zwingend erforderlich zur Bereitstellung der angeforderten Preise und fällt nicht unter § 25 Abs. 1 TDDDG. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der angefragten Information). Die IP-Adresse wird nur für die Begrenzung der Anfragen (Rate-Limiting) verwendet: Ein Zähler je IP-Adresse gilt jeweils für eine Minute und verfällt danach automatisch. Eine Speicherung der Anfragen über die Protokolle nach Ziffer 7 hinaus findet nicht statt.

Der API-Server wird – wie die Website – bei einem deutschen Hosting-Anbieter mit Rechenzentrum in der Bundesrepublik Deutschland betrieben (siehe Ziffer 25).

12. Werbe-Erfolgsmessung (Google Ads) — einwilligungspflichtig

Um nachvollziehen zu können, ob ein Besuch oder ein App-Download auf eine unserer Anzeigen zurückgeht, nutzen wir das Conversion-Tracking von Google Ads der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Anzeigen werden auf dieser Website nicht ausgespielt.

Wir setzen den Google-Einwilligungsmodus (Consent Mode v2) ein: Das Google-Tag (gtag.js) wird beim Seitenaufruf von www.googletagmanager.com geladen, steht aber standardmäßig auf „abgelehnt". Beim Laden des Skripts wird deine IP-Adresse an Google übertragen. Ohne deine Einwilligung setzt Google keine Cookies und liest keine aus; es können lediglich cookielose Signale ohne Kennungen (z. B. Zeitpunkt, Seite, Browser-Informationen) übermittelt werden, die Google zur Modellierung von Conversions verwendet.

Erst wenn du im Cookie-Banner der Kategorie „Marketing & Werbe-Messung" zustimmst, darf Google Cookies setzen (z. B. _gcl_au, Speicherdauer bis zu 90 Tage) und den Besuch einem Anzeigenklick zuordnen. Dabei können Daten, insbesondere die IP-Adresse, an Server der Google LLC in den USA übertragen werden; Google ist nach dem EU-US-Datenschutzrahmen (Data Privacy Framework) zertifiziert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung). Du kannst die Einwilligung jederzeit über „Cookie-Einstellungen" im Footer widerrufen (Ziffer 14).

Datenschutzhinweise: policies.google.com/privacy · business.safety.google/privacy

13. Cookies, Local Storage & Speichervorgänge

Diese Website setzt für Besucherinnen und Besucher keine eigenen Cookies im klassischen Sinne (HTTP-Cookies). Sie speichert ausschließlich die folgenden Einträge im Local Storage deines Browsers — alle technisch erforderlich:

Schlüssel	Zweck	Speicherort	Lebensdauer	Kategorie
tankpuls_consent_v2	Speichert deine Auswahl im Cookie-Banner (Karten ja/nein, Werbe-Messung ja/nein, Zeitstempel).	Local Storage	Unbefristet, bis Browser-Daten gelöscht werden oder du die Einwilligung änderst	Notwendig (§ 25 Abs. 2 Nr. 2 TDDDG)
tp.controlsOpen	Merkt sich, ob das Feld „Filter & Sortierung" auf der Startseite geöffnet ist.	Local Storage	Unbefristet, bis Browser-Daten gelöscht werden	Notwendig (§ 25 Abs. 2 Nr. 2 TDDDG)

Cookies von Drittanbietern: Wenn du der Kategorie „Marketing & Werbe-Messung" zustimmst, setzt Google Cookies (Ziffer 12); wenn du dem „Karten-Dienst" zustimmst, kann CARTO beim Abruf der Kacheln eigene Speichervorgänge vornehmen. Auf Inhalt und Lebensdauer dieser Cookies haben wir keinen Einfluss; sie unterliegen den Datenschutzbestimmungen der jeweiligen Anbieter.

Verwaltungsbereich: Nur für angemeldete Redakteurinnen und Redakteure im Verwaltungsbereich (/admin) setzt die Website ein Sitzungs-Cookie; Besucherinnen und Besucher betrifft das nicht.

Rechtsgrundlage für die Speicherung der Einträge: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich zur Erbringung des von dir ausdrücklich gewünschten Dienstes — du hast aktiv eine Einwilligung erteilt oder verweigert, die wir respektieren müssen). Du kannst die Einträge jederzeit über die Browser-Einstellungen löschen; das Banner erscheint dann beim nächsten Besuch erneut.

14. Verwaltung deiner Einwilligung

Über den Link „Cookie-Einstellungen" im Footer kannst du jederzeit deine aktuelle Einwilligung einsehen, ändern oder widerrufen. Der Widerruf wirkt für die Zukunft: Kartenkacheln werden nicht mehr geladen, und Google erhält das Signal, keine Cookies mehr zu verwenden. Bereits übermittelte Daten können wir nicht zurückholen — wir verarbeiten die Daten der Drittanbieter aber selbst weder weiter, noch erhalten wir sie von ihnen zurück.

15. E-Mail-Kontakt

Wenn du per E-Mail Kontakt aufnimmst, werden deine Angaben (Absenderadresse, Betreff, Nachrichtentext, ggf. Anhänge) zur Bearbeitung der Anfrage verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung deiner Anfrage). Deine Daten werden gelöscht, sobald der Vorgang abschließend bearbeitet ist und keine handels- oder steuerrechtlichen Aufbewahrungspflichten entgegenstehen.

Bitte beachte, dass die Übertragung von E-Mails über das Internet — soweit nicht durch zusätzliche Verschlüsselung (PGP/S/MIME) gesichert — keinen vollständigen Schutz vor Mitlesen bietet. Sensible Informationen sollten daher nicht unverschlüsselt per E-Mail übermittelt werden.

16. Beschwerdestelle und Feedback (§ 7 Abs. 2 MTSKraftV)

Im Rahmen der Beschwerdestelle (beschwerde@tankpuls.de, Postweg sowie strukturiertes In-App-Formular) werden deine Angaben zur Vorgangsbearbeitung sowie zur wöchentlichen Sammelmeldung an die MTS-K (in der von der MTS-K vorgegebenen Form) auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der gesetzlich vorgesehenen Beschwerdebearbeitung sowie der Erfüllung der Mitteilungspflicht nach § 7 Abs. 2 MTSKraftV) verarbeitet.

Beschwerden werden nach Abschluss des Vorgangs, spätestens nach Ablauf der handels- und steuerrechtlichen Aufbewahrungspflichten, gelöscht. Anonymisierte aggregierte Auswertungen können darüber hinaus zur Qualitätssicherung aufbewahrt werden.

Feedback aus der App: Nachrichten, die du über das Formular in der App sendest, speichern wir mit dem Nachrichtentext, optionalen Geräteangaben (z. B. Gerätemodell und App-Version) und dem Zeitpunkt; die IP-Adresse wird dabei nicht gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Bearbeitung deines Anliegens, Verbesserung des Dienstes). Speicherdauer: 6 Monate nach Eingang; danach werden die Rückmeldungen automatisch gelöscht.

17. App-Nutzung (iOS und Android)

Die Apps sind ohne Anlage eines TankPuls-Kontos und ohne Bindung an einen TankPuls-Identifier nutzbar. Ein Apple-ID- bzw. Google-Konto wird ausschließlich für den Bezug der App aus dem Apple App Store bzw. von Google Play benötigt — Apple Distribution International Limited (Irland) bzw. Google Ireland Limited (Irland) sind insoweit eigenständig datenschutzrechtlich verantwortlich.

Die App speichert ausschließlich lokal auf deinem Endgerät, im App-eigenen Speicher:

• deine gewählte Kraftstoffart (Super E5, Super E10, Diesel)
• bis zu drei (Free) bzw. unbegrenzt (Pro) gemerkte Favoriten-Tankstellen
• deine Filter- und Sortierpräferenzen, Suchradius
• den zuletzt angezeigten Karten-Ausschnitt
• einen lokalen Cache der zuletzt abgerufenen Preisdaten zur Offline-Verfügbarkeit (zeitlich begrenzt)
• App-interne Zähler für Onboarding-Schritte und Hinweise

Diese Daten verlassen dein Endgerät nicht und werden nicht an den Anbieter übertragen — ausgenommen die Angaben zu Preis-Alarmen, die du aktiv einrichtest (Ziffer 20). Beim Löschen der App werden sie rückstandsfrei vom Gerät entfernt. Eine Backup-Übertragung in iCloud erfolgt nur, sofern du iCloud-Backups grundsätzlich aktiviert hast; dann gelten die Datenschutzhinweise von Apple.

Crash- und Diagnosedaten: die TankPuls-App übermittelt standardmäßig keine Crash- oder Diagnoseberichte an den Anbieter. Die in iOS systemseitig steuerbare Diagnoseübermittlung an Apple (Einstellungen → Datenschutz & Sicherheit → Analyse & Verbesserungen) ist davon unabhängig und unterliegt ausschließlich der Apple-Datenschutzrichtlinie.

18. Standortdaten

Standortdaten werden ausschließlich verarbeitet, wenn du die Ortungsdienste deines Geräts für TankPuls aktiv freigibst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), die du jederzeit über die Systemeinstellungen mit Wirkung für die Zukunft widerrufen kannst.

Die Koordinaten werden auf deinem Endgerät genutzt, um Entfernungen zu berechnen, die nächstgelegenen Tankstellen auszuwählen und den Kartenausschnitt zu zentrieren. Zum Laden der Preise wird nur der jeweilige Kartenausschnitt an unsere Preis-API übermittelt. Eine Speicherung von Standortverläufen findet nicht statt.

Ausnahme Preis-Alarm „im Umkreis": Richtest du einen Alarm für die günstigste Tankstelle im Umkreis eines Punkts ein, speichern wir diesen Mittelpunkt (Koordinaten) und den Radius auf unserem Server, solange der Alarm besteht (Ziffer 20). Wählst du dafür deinen aktuellen Standort, ist das dein Standort zum Zeitpunkt der Einrichtung. An die MTS-K oder Dritte werden Standortdaten nicht übermittelt.

19. MapKit & Apple-Dienste

Die Kartendarstellung in der App basiert auf Apple MapKit; für die Kachelauslieferung können Verbindungen zu Apple-Servern erforderlich sein. Apple verarbeitet diese Anfragen nach den in der Apple-Datenschutzrichtlinie zugesicherten Bedingungen — insbesondere ohne Bindung an deine Apple-ID, mit kurzfristiger Anonymisierung und ohne Erstellung eines Bewegungsprofils. Verantwortlich für diese Verarbeitung ist Apple Inc. bzw. deren europäische Tochtergesellschaft.

20. Preis-Alarme und Push-Benachrichtigungen

Preis-Alarme mit Push-Benachrichtigung sind Bestandteil des optionalen TankPuls-Pro-Abonnements (siehe Ziffer 21). Für die Zustellung übermittelt die App ein geräteindividuelles Push-Token — unter iOS vom Apple Push Notification service (APNs, Apple Inc.), unter Android von Firebase Cloud Messaging (FCM, Google Ireland Limited / Google LLC) — über eine TLS-verschlüsselte Verbindung an unseren Server.

Gespeichert werden: das Push-Token, die Plattform (iOS/Android), die Zeitzone, die App-Version und deine Alarme (Kraftstoff, Preisschwelle, gewählte Tankstelle oder Mittelpunkt mit Radius, optional eine Marke, Uhrzeitfenster) sowie der Zeitpunkt der letzten Benachrichtigung. Die Inhalte der Benachrichtigung (Tankstelle, Preis) werden zur Zustellung an Apple bzw. Google übergeben; dabei kann eine Übermittlung in die USA stattfinden (Ziffer 26).

Eine Zuordnung zu deiner Person, deiner Apple-ID, deinem Google-Konto oder deiner E-Mail-Adresse erfolgt nicht. Löschst du alle Alarme in der App, werden sie auf dem Server gelöscht; meldet Apple bzw. Google ein Token als ungültig (z. B. nach Deinstallation der App), wird es deaktiviert und nicht mehr verwendet. Deaktivierte Geräteeinträge löschen wir 90 Tage nach der Deaktivierung automatisch, zusammen mit den zugehörigen Alarmen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie ergänzend Art. 6 Abs. 1 lit. a DSGVO für die systemseitige Push-Berechtigung.

21. Optionales Abonnement „TankPuls Pro"

„TankPuls Pro" ist ein optionales, kostenpflichtiges Premium-Angebot innerhalb der iOS-App, das ausschließlich Komfort-Zusatzfunktionen freischaltet. Die Verbraucherinformation gemäß § 6 MTSKraftV bleibt davon unberührt und vollständig kostenfrei.

Vertragsabwicklung, Bezahlung, Verwaltung und etwaige Erstattung des Abonnements erfolgen vollständig über das Apple In-App-Purchase-System. Insoweit ist Apple Distribution International Limited (Hollyhill Industrial Estate, Hollyhill, Cork, Irland) eigenständig datenschutzrechtlich verantwortlich. Es gelten die Apple-Datenschutzhinweise.

Vom Anbieter werden lediglich anonymisierte, aggregierte Status- und Abrechnungsinformationen verarbeitet (z. B. „aktives Abonnement: ja/nein", Anzahl aktiver Pro-Lizenzen, anonyme Nutzungszahlen). Eine Zuordnung zu einer konkreten Person ist dem Anbieter nicht möglich und findet auch in der App nicht statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) sowie Art. 6 Abs. 1 lit. c DSGVO für die Erfüllung handels- und steuerrechtlicher Pflichten.

22. Öffentliche REST-API

Die öffentliche TankPuls-API ist für Lesezugriffe ohne Registrierung nutzbar. Bei jedem Aufruf wird die IP-Adresse des aufrufenden Systems ausschließlich für die Begrenzung der Anfragen (Rate-Limiting) verarbeitet; der Zähler verfällt nach einer Minute. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch und Überlastung).

Für höhere Limits vergeben wir nach Prüfung einer Anmeldung API-Schlüssel und einen Zugang zum Kundenportal (api.tankpuls.de/portal). Dafür verarbeiten wir auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsverhältnisses):

• Name bzw. Firma, Tarif und vereinbarte Limits, Kontakt-, Technik- und Rechnungs-E-Mail-Adresse sowie freigegebene IP-Adressen von Servern
• interne Notizen zum Zugang (z. B. Absprachen, Zweck)
• für jeden Portal-Zugang Name, E-Mail-Adresse, das Passwort nur als Hash und den Zeitpunkt der letzten Anmeldung; im Portal setzen wir ausschließlich technisch notwendige Sitzungs-Cookies
• den Schlüssel selbst nur als Hash, dazu Bezeichnung, Berechtigung, Ablaufdatum und den Zeitpunkt der letzten Nutzung
• die Anzahl der Anfragen je Tag (keine Inhalte der Anfragen) für das Monatskontingent und die Abrechnung; bei 80 % und 100 % des Kontingents informieren wir die Kontakte per E-Mail
• Anfragen, die Sie im Portal stellen (z. B. Tarifwechsel), per E-Mail

Verbrauchs- und Abrechnungsdaten bewahren wir auf, solange sie für die Abrechnung und die gesetzlichen Aufbewahrungspflichten erforderlich sind.

Die Angaben dienen außerdem der Durchsetzung der Zweckbindung nach § 6 MTSKraftV (gezielte Sperrung einzelner Zugänge bei Anhaltspunkten für eine Nutzung durch die Mineralölwirtschaft).

API-Schlüssel kannst du im Kundenportal jederzeit selbst widerrufen. Die Löschung des gesamten Zugangs kannst du per E-Mail an admin@tankpuls.de verlangen; dann werden auch die hinterlegten Kontaktdaten gelöscht, soweit keine Aufbewahrungspflichten bestehen.

Die API-Dokumentation unter api.tankpuls.de/docs setzt keine Cookies und lädt keine Inhalte von Dritten; es fallen nur die üblichen Server-Protokolldaten an.

23. API-Zugang anfragen (Anfrageformular)

Über das Anfrageformular kannst du einen API-Schlüssel anfragen. Wir verarbeiten dabei die Angaben, die du im Formular machst:

• Vertragspartner: bei Unternehmen Firmenname, Rechtsform, Anschrift und USt-IdNr., bei Privatpersonen Name und Anschrift
• Ansprechpartner fachlich und technisch mit Name, E-Mail-Adresse und Telefonnummer
• Projekt: Name, Art der Nutzung, Einsatzzweck, Link bzw. Mockup und Screenshots der Preisdarstellung
• Volumen und Technik: erwartete Anfragen pro Monat, erwartete Spitze pro Minute, gewünschter Start, benötigte Endpunkte sowie gegebenenfalls Domains oder Server-IP-Adressen
• Abrechnung (bei Unternehmen): gewählte Zahlungsart, E-Mail-Adresse für Rechnungen und gewünschte Konditionen — Bankdaten erfassen wir im Formular nicht
• die unterschriebene Verpflichtungserklärung und deine Erklärungen zur Mineralölwirtschaft, zu den AGB und zum Datenschutz
• technische Angaben zur Einsendung: Zeitpunkt, IP-Adresse, Browserkennung (User-Agent) und die Seite, von der gesendet wurde

Zweck ist die Prüfung deiner Anfrage — insbesondere der Zweckbindung nach § 6 MTSKraftV —, die Kontaktaufnahme bei Rückfragen, die Erstellung eines Angebots, die Freischaltung und die Abrechnung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen und Vertragserfüllung) sowie für die technischen Angaben zur Einsendung Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch und Spam).

Die Anfrage wird auf unserem Server gespeichert und per E-Mail an uns übermittelt; hochgeladene Dateien sind nur über einen geheimen Link abrufbar. Du erhältst an die fachliche E-Mail-Adresse eine automatische Eingangsbestätigung. Zum Schutz vor automatisierten Einsendungen nutzen wir ALTCHA, eine Rechenaufgabe, die dein Browser löst — selbst gehostet, ohne Cookies und ohne Übermittlung an Dritte.

Speicherdauer: Hochgeladene Dateien werden nach 180 Tagen automatisch gelöscht. Wird ein Zugang freigeschaltet, bewahren wir die Anfrage für die Dauer der Nutzung und danach im Rahmen gesetzlicher Aufbewahrungspflichten auf; abgelehnte oder zurückgezogene Anfragen löschen wir nach 6 Monaten.

24. Schutz Minderjähriger

TankPuls richtet sich an die allgemeine Öffentlichkeit (insbesondere Kraftfahrerinnen und Kraftfahrer) und nicht gezielt an Kinder unter 16 Jahren. Eine wissentliche Verarbeitung personenbezogener Daten von Personen unter 16 Jahren erfolgt nicht. Solltest du Kenntnis davon erlangen, dass dennoch Daten einer minderjährigen Person verarbeitet werden, bitten wir um Mitteilung an admin@tankpuls.de; entsprechende Daten werden umgehend gelöscht.

25. Auftragsverarbeiter

Es werden sorgfältig ausgewählte Dienstleister eingesetzt, mit denen Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO bestehen:

• Hosting der Website: deutscher Hosting-Anbieter mit Rechenzentrumsstandort innerhalb der Bundesrepublik Deutschland — Server-Logs, Auslieferung der Website, Backup-Speicher
• Hosting der Preis-API: derselbe deutsche Hosting-Anbieter wie für die Website, Rechenzentrumsstandort innerhalb der Bundesrepublik Deutschland — PostgreSQL-Datenbank, Preis-API, Push-Versand
• E-Mail-Versand (transaktional): deutscher bzw. EU-ansässiger Mail-Provider — Antworten auf eingehende Anfragen
• Push-Zustellung: Apple Push Notification service (Apple Inc.) für iOS, Firebase Cloud Messaging (Google Ireland Limited) für Android

Eigenständig verantwortlich (keine Auftragsverarbeitung) sind insbesondere:

• App-Distribution iOS: Apple Distribution International Limited, Hollyhill Industrial Estate, Hollyhill, Cork, Irland
• App-Distribution Android: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland
• Google Ads (Ziffer 12), CARTO (Ziffer 9) und komoot/Photon (Ziffer 10), jeweils nur im beschriebenen Umfang

Eine vollständige Liste der eingesetzten Auftragsverarbeiter wird auf Anfrage gegen Nachweis eines berechtigten Interesses bereitgestellt.

26. Drittlandtransfer

Eine reguläre Übermittlung personenbezogener Daten in Staaten außerhalb des Europäischen Wirtschaftsraums (Drittländer) findet durch den Anbieter nicht statt. Eine Übermittlung in die USA ist möglich, soweit Google (Google Ads nach deiner Einwilligung, Firebase Cloud Messaging, Google Play) und Apple (App Store, APNs) Daten verarbeiten. Sie erfolgt auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (EU-US-Datenschutzrahmen für zertifizierte Empfänger) bzw. von EU-Standardvertragsklauseln nach Art. 46 Abs. 2 DSGVO.

27. Speicherdauern (Übersicht)

Datenkategorie	Aufbewahrungsdauer
Server-Logs (Web)	7 Tage, dann automatische Löschung
Rate-Limit-Zähler der Preis-API (IP-Adresse)	1 Minute
API-Anmeldungen (Formular)	freigeschaltet: Dauer der Nutzung + gesetzliche Fristen; abgelehnt oder zurückgezogen: 6 Monate; Dateien 180 Tage
API-Schlüssel & Kontaktdaten	bis zum Widerruf bzw. Ende des Nutzungsverhältnisses
E-Mail-Korrespondenz	bis Vorgangsabschluss; ggf. 6/10 Jahre nach HGB/AO
Beschwerdevorgänge	bis Vorgangsabschluss; aggregiert ggf. länger
Feedback aus der App	6 Monate, dann automatische Löschung
Preis-Alarme	bis du sie in der App löschst
Push-Token & Geräteeintrag	Deaktivierung bei ungültigem Token; Löschung samt Alarmen 90 Tage danach
Einträge im Local Storage	bis du sie im Browser löschst
Google-Ads-Cookies (nur mit Einwilligung)	bis zu 90 Tage
App-lokale Daten	verbleiben auf deinem Gerät bis zur Deinstallation
Abrechnungsdaten Pro	10 Jahre nach § 147 AO

28. Automatisierte Entscheidungen / Profiling

Eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidungsfindung im Sinne des Art. 22 DSGVO findet nicht statt. Es findet kein Profiling im Sinne des Art. 4 Nr. 4 DSGVO statt; insbesondere werden keine Bewegungs-, Konsum- oder Verhaltensprofile gebildet.

29. Datensicherheit

Es werden technische und organisatorische Maßnahmen nach Art. 32 DSGVO ergriffen, um den Schutz deiner Daten gegen unberechtigten Zugriff, Verlust und Veränderung sicherzustellen. Hierzu gehören insbesondere:

• durchgängige TLS-Verschlüsselung sämtlicher Verbindungen
• verschlüsselte Speicherung der Datenbank-Backups
• strikte Trennung von Anwendungs-, Datenbank- und Backup-Zugängen
• Zwei-Faktor-Authentisierung für sämtliche administrativen Zugänge
• Zugriff auf Rohdaten ausschließlich für den Anbieter persönlich
• laufendes Monitoring auf Auffälligkeiten und automatisiertes Alerting
• regelmäßige Sicherheitsupdates der eingesetzten Komponenten

30. Deine Rechte als betroffene Person

Bezüglich der dich betreffenden personenbezogenen Daten stehen dir folgende Rechte zu:

• Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger oder unvollständiger Daten (Art. 16 DSGVO)
• Löschung („Recht auf Vergessenwerden", Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

Da TankPuls als Verbraucher-Informationsdienst weitgehend ohne personenbezogene Daten auskommt, greifen die meisten dieser Rechte tatsächlich ins Leere — geltend machen kannst du sie dennoch jederzeit unter admin@tankpuls.de. Anfragen werden innerhalb der gesetzlichen Frist von einem Monat (Art. 12 Abs. 3 DSGVO) bearbeitet.

31. Widerrufs- & Widerspruchsrecht

Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt. Den Widerruf richtest du an die unter Ziffer 1 genannte Adresse — bei Standortdaten ausreichend über die iOS-Systemeinstellungen, bei Push-Benachrichtigungen über die Pro-Einstellungen in der App.

Widerspruch gegen Verarbeitung auf Grundlage berechtigter Interessen (Art. 21 DSGVO): Du hast das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit gegen eine Verarbeitung dich betreffender Daten Widerspruch einzulegen, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO erfolgt. Im Fall deines Widerspruchs werden deine Daten nicht mehr verarbeitet, es sei denn, es können zwingende schutzwürdige Gründe für die Verarbeitung nachgewiesen werden, die deine Interessen, Rechte und Freiheiten überwiegen.

32. Zuständige Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Königstraße 10a · 70173 Stuttgart
E-Mail: poststelle@lfdi.bwl.de
baden-wuerttemberg.datenschutz.de

33. Änderungen dieser Erklärung

Diese Datenschutzerklärung wird laufend aktualisiert, sobald sich die zugrundeliegenden Verarbeitungsvorgänge ändern oder neue rechtliche Vorgaben dies erforderlich machen. Die jeweils gültige Fassung ist unter tankpuls.de/datenschutz.html abrufbar. Wesentliche Änderungen werden zusätzlich auf der Startseite sowie über einen In-App-Hinweis angekündigt.

Stand 5. Oktober 2026 · Version 4.1 · Diese Erklärung ersetzt frühere Versionen ab dem genannten Datum vollständig.