Datenschutzerklärung

Mit dieser Datenschutzerklärung informieren wir darüber, wie personenbezogene Daten beim Besuch der öffentlichen RAILOZ-Website, bei einer Kontaktaufnahme und bei der Nutzung der webbasierten RAILOZ-Anwendung verarbeitet werden. Welche Verarbeitung im Einzelfall stattfindet, hängt davon ab, welche Angebote Sie nutzen.

1. Verantwortlicher

Bahnbetrieb Zittel
Inhaber: Artur Zittel
Sperberweg 16
53844 Troisdorf
Deutschland

E-Mail: info@railoz.com
Telefon: +49 151 54837002

2. Geltungsbereich und datenschutzrechtliche Rollen

Diese Datenschutzerklärung gilt für die öffentliche RAILOZ-Website einschließlich ihrer Unterseiten sowie für die RAILOZ-Webanwendung, soweit Bahnbetrieb Zittel selbst über Zwecke und Mittel der Verarbeitung entscheidet. Dies betrifft insbesondere die Verwaltung von Vertrags-, Ansprechpartner- und Benutzerkontodaten.

Soweit Unternehmen RAILOZ zur Verarbeitung eigener betrieblicher Daten einsetzen, bleibt das jeweilige Unternehmen grundsätzlich datenschutzrechtlich Verantwortlicher. Bahnbetrieb Zittel verarbeitet diese Daten dann ausschließlich nach dokumentierter Weisung und auf Grundlage eines Vertrags zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Betroffene Personen wenden sich hinsichtlich solcher Kundendaten vorrangig an das Unternehmen, das die Daten in RAILOZ verarbeitet.

3. Hosting und technische Bereitstellung der Website (Vercel)

Die öffentliche RAILOZ-Website wird mit Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA, gehostet und über das Vercel-Netzwerk ausgeliefert. Beim Seitenaufruf werden technisch erforderliche Verbindungs- und Nutzungsdaten verarbeitet. Dazu können insbesondere IP-Adresse, Datum und Uhrzeit der Anfrage, angeforderte URL, Referrer-URL, Browser- und Geräteinformationen, Betriebssystem, übertragene Datenmenge sowie Antwort- und Statusinformationen gehören. Solche Informationen können in technischen Protokollen und Sicherheitsdaten verarbeitet werden.

Vercel verarbeitet personenbezogene Daten je nach Datenart und Verarbeitungsvorgang als Auftragsverarbeiter für uns oder in eigener datenschutzrechtlicher Verantwortung, insbesondere bei durch den Dienst erzeugten Betriebs- und Nutzungsinformationen. Eine Verarbeitung über das globale Netzwerk und eine Übermittlung in die USA oder andere Staaten außerhalb des Europäischen Wirtschaftsraums kann nicht ausgeschlossen werden. Die konkrete Speicherdauer richtet sich nach den jeweiligen Vercel-Diensten, Protokollierungs- und Sicherheitseinstellungen sowie den vertraglichen Regelungen; wir legen daher keine einheitliche pauschale Frist zugrunde.

Die Verarbeitung für Auslieferung, Betrieb und Absicherung der Website erfolgt auf Grundlage unseres berechtigten Interesses gemäß Art. 6 Abs. 1 lit. f DSGVO an einem sicheren und zuverlässigen Internetangebot. Informationen zu Vercels Datenschutzpraktiken finden Sie in der Datenschutzerklärung von Vercel und in den Informationen zur Auftragsverarbeitung.

4. Kontaktaufnahme und Anfragefunktion

Wenn Sie uns per E-Mail oder telefonisch kontaktieren, verarbeiten wir die von Ihnen übermittelten Angaben zur Bearbeitung und Dokumentation Ihrer Anfrage. Dazu können insbesondere Name, geschäftliche Kontaktdaten, Unternehmen, Funktion, Telefonnummer und Nachrichteninhalt gehören.

Bei Nutzung der Anfragefunktion werden die eingegebenen Daten verschlüsselt an eine serverseitige Funktion der bei Vercel gehosteten Website übermittelt. Dort werden sie zur Validierung und Weiterleitung vorübergehend verarbeitet und anschließend per E-Mail an RAILOZ übermittelt; außerdem wird eine automatische Eingangsbestätigung versendet. Die Website legt den Nachrichteninhalt nicht in einer eigenen Datenbank ab. Die versendeten Nachrichten werden wie reguläre geschäftliche E-Mail-Kommunikation in den beteiligten Postfächern verarbeitet.

Für den technischen Versand setzen wir Resend ein. Zur Abwehr automatisierter oder missbräuchlicher Übermittlungen werden IP-Adresse und Übermittlungszeitpunkt vorübergehend für eine Zugriffskontrolle verarbeitet. Dieser technische Zwischenspeicher enthält keinen Nachrichteninhalt und wird fortlaufend bereinigt.

Für die Zustellung und Verarbeitung unserer geschäftlichen E-Mail-Kommunikation setzen wir Microsoft 365 ein.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage der Anbahnung oder Durchführung eines Vertrags dient. Bei sonstigen geschäftlichen Anfragen beruht die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in der sachgerechten Bearbeitung und Nachverfolgung der Kommunikation.

5. Nutzung der RAILOZ-Anwendung

Die RAILOZ-Anwendung ist ein geschütztes Geschäftskundenangebot. Bei Einrichtung und Nutzung eines Zugangs können folgende Datenkategorien verarbeitet werden:

• Unternehmens-, Vertrags- und Ansprechpartnerdaten,
• Benutzerkontodaten wie Name, geschäftliche E-Mail-Adresse, Rolle und Unternehmenszuordnung,
• Authentifizierungs-, Sitzungs- und Sicherheitsdaten,
• technische Zugriffs- und Protokolldaten,
• betriebliche Daten, die Kunden in RAILOZ erfassen, beispielsweise zu Betriebsmitteln, Personal, Qualifikationen, Fristen, Maßnahmen, Zuständigkeiten, Dokumenten und Nachweisen,
• Änderungs- und Auditinformationen zur Nachvollziehbarkeit von Vorgängen.

Die Verarbeitung dient der Bereitstellung der vereinbarten Funktionen, der Benutzer- und Rechteverwaltung, der Mandantentrennung, der Sicherung und Nachvollziehbarkeit von Vorgängen sowie dem Support. Rechtsgrundlagen sind – abhängig von der jeweiligen Rolle – Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Bei im Auftrag eines Kunden verarbeiteten betrieblichen Daten richtet sich die Rechtsgrundlage nach den Vorgaben des jeweiligen Kunden; die Verarbeitung durch Bahnbetrieb Zittel erfolgt gemäß Art. 28 DSGVO.

Personal- und mögliche Gesundheitsdaten

Die RAILOZ-Anwendung ermöglicht Kunden, bei Personalobjekten unter anderem Verfügbarkeit, Qualifikationen sowie Status- und Fristinformationen zu Tauglichkeitsnachweisen zu erfassen. Abhängig vom konkret eingetragenen Inhalt können solche Angaben Rückschlüsse auf die Gesundheit einer Person zulassen und damit besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO betreffen.

RAILOZ führt keine medizinische Diagnostik durch. Ausführliche Diagnosen und medizinische Befunde sind für die bereitgestellten Funktionen nicht erforderlich. Das jeweils verantwortliche Kundenunternehmen bestimmt Erforderlichkeit, Umfang, Rechtsgrundlage, Zugriffsberechtigungen und Speicherdauer der von ihm erfassten Personaldaten. Bahnbetrieb Zittel verarbeitet diese Daten im Rahmen der Auftragsverarbeitung nur nach dokumentierter Weisung des Kunden.

6. Technische Dienstleister der RAILOZ-Anwendung

Vercel

Für die Bereitstellung und Auslieferung der Webanwendung setzen wir Vercel Inc. ein. Dabei können insbesondere IP-Adressen, Anfrage-Metadaten, technische Protokolldaten und die zur Nutzung der Anwendung erforderlichen Inhalte verarbeitet werden. Vercel betreibt eine global verteilte Infrastruktur; eine Verarbeitung außerhalb Deutschlands und des Europäischen Wirtschaftsraums, insbesondere in den USA, kann daher stattfinden.

Weitere Informationen stellt Vercel in seiner Datenschutzerklärung und in den Informationen zur Auftragsverarbeitung bereit.

Supabase

Für Datenbank-, Authentifizierungs- und Speicherfunktionen setzen wir Supabase Pte. Ltd. ein. Die primäre Projektregion der produktiven RAILOZ-Datenplattform ist Frankfurt am Main (eu-central-1). Die primäre Datenbank sowie die zugehörigen Authentifizierungs- und Speicherkomponenten werden damit in dieser Region betrieben.

Die Frankfurter Projektregion bedeutet nicht, dass jede technische Verarbeitung ausschließlich in Deutschland stattfindet. Abhängig von Support, Protokollierung, Datensicherung, Unterauftragsverarbeitern und den jeweils genutzten Funktionen können weitere Datenflüsse entstehen. Weitere Informationen finden Sie in der Datenschutzerklärung von Supabase und in den Informationen zur DSGVO.

7. Drittlandübermittlungen

Bei der Nutzung globaler Infrastruktur- und Supportdienste kann eine Verarbeitung in Staaten außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums nicht ausgeschlossen werden. Soweit für das betreffende Land kein Angemessenheitsbeschluss der Europäischen Kommission besteht, erfolgen Übermittlungen auf Grundlage geeigneter Garantien nach Art. 46 DSGVO, insbesondere der EU-Standardvertragsklauseln, sowie erforderlichenfalls ergänzender technischer und organisatorischer Maßnahmen.

Weitere Informationen zu den für eine konkrete Übermittlung eingesetzten Garantien sowie zu den Möglichkeiten, eine Kopie dieser Garantien zu erhalten, können unter info@railoz.com angefragt werden. Ergänzende Informationen stellen die jeweils genannten Dienstleister in ihren verlinkten Datenschutz- und Vertragsunterlagen bereit.

8. Einwilligungsverwaltung und lokale Speicherung

Auf der öffentlichen RAILOZ-Website können Sie Google Analytics und Purpurlila Analytics einzeln ein- oder ausschalten. Ihre Auswahl speichern wir für höchstens 180 Tage im lokalen Speicher Ihres Browsers. Diese Information ist erforderlich, um Ihre Entscheidung bei weiteren Seitenaufrufen zu beachten. Die gespeicherte Auswahl selbst wird nicht an die Statistikdienste übermittelt. Soweit § 25 TDDDG anwendbar ist, beruht diese notwendige Speicherung auf § 25 Abs. 2 Nr. 2 TDDDG.

In der geschützten RAILOZ-Anwendung werden technisch erforderliche Informationen im Browser gespeichert. Dazu gehören insbesondere Sitzungsinformationen und der Status eines Anmeldevorgangs, Darstellungs- und Navigationspräferenzen sowie lokale Demo- und Bewertungseinstellungen. Diese Speicherung ist für die ausdrücklich gewünschte Nutzung und sichere Bereitstellung der Anwendung erforderlich. Soweit § 25 TDDDG anwendbar ist, beruht die Speicherung oder der Zugriff auf § 25 Abs. 2 Nr. 2 TDDDG. Es findet keine Nutzung zu Werbe- oder Profilbildungszwecken statt.

9. Optionale Reichweitenmessung

Beide Statistikdienste bleiben zunächst deaktiviert. Sie können jeden Dienst in den Datenschutz-Einstellungen gesondert aktivieren und Ihre Auswahl jederzeit mit Wirkung für die Zukunft ändern.

Google Analytics

Wenn Sie „Google Analytics“ aktivieren, verwenden wir auf der öffentlichen Website Google Analytics 4. Anbieter für Nutzerinnen und Nutzer im Europäischen Wirtschaftsraum ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google Analytics hilft uns zu verstehen, welche Seiten besucht und wie die öffentliche Website genutzt wird.

Dabei können insbesondere aufgerufene Seiten, Zeitpunkt und Dauer des Besuchs, Referrer, technische Browser- und Geräteinformationen, ungefähre Standortinformationen sowie pseudonyme Online-Kennungen verarbeitet werden. Google Analytics kann dafür Cookies wie _ga und _ga_* setzen. Wir verwenden keine User-ID, Google Signals oder Funktionen für personalisierte Werbung. Werbe-, Werbedaten- und Personalisierungsspeicherung bleiben deaktiviert.

Google Analytics wird erst nach Ihrer aktiven Einwilligung geladen. Vorher werden weder Google-Tags geladen noch Analysedaten oder einwilligungslose Messsignale an Google übertragen. Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 lit. a DSGVO; das Speichern und Auslesen von Analyseinformationen erfolgt auf Grundlage von § 25 Abs. 1 TDDDG.

Google kann Daten auch durch verbundene Unternehmen und Auftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA, verarbeiten. Soweit erforderlich, stützt Google solche Übermittlungen auf anwendbare Angemessenheitsbeschlüsse oder geeignete Garantien wie die EU-Standardvertragsklauseln. Weitere Informationen finden Sie in den Datenschutzinformationen von Google und den Datenverarbeitungsbedingungen für Google-Dienste.

Wenn Sie Google Analytics wieder deaktivieren, wird die weitere Messung beendet. Erreichbare Google-Analytics-Cookies dieser Website werden dabei gelöscht.

Purpurlila Analytics

Wenn Sie „Purpurlila Analytics“ aktivieren, erfassen wir Seitenaufrufe, den Seitenpfad ohne Suchparameter, den Zeitpunkt, die Herkunfts-Domain sowie Klicks auf Telefon- und E-Mail-Links und erfolgreich übermittelte Kontaktformulare. Zweck ist die Auswertung und Verbesserung unseres Webangebots. Formularinhalte, Kontaktadressen und vollständige Herkunfts-URLs werden nicht in die Statistik übernommen. Wir erstellen keine Werbeprofile und vergeben keine dauerhaften Besucherkennungen.

Rechtsgrundlage ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und, soweit einschlägig, § 25 Abs. 1 TDDDG. Ohne Einwilligung ist die Website uneingeschränkt nutzbar. DNT- und GPC-Signale Ihres Browsers werden berücksichtigt und verhindern die Übermittlung an Purpurlila Analytics.

Die eigene Purpurlila-Statistik wird über cms.purpurlila.de bereitgestellt. Dafür setzen wir Vercel zur technischen Verarbeitung und Supabase für die Datenbank in Frankfurt ein; Hinweise zu diesen Anbietern und möglichen Drittlandverarbeitungen finden Sie oben. Die IP-Adresse wird zur Übertragung technisch verarbeitet und für die Missbrauchsbegrenzung in einen nicht im Statistikbericht sichtbaren Prüfwert umgewandelt. Die Statistikdatenbank enthält keine IP-Adressen. Technische Infrastruktur- und Sicherheitsprotokolle sind von den Statistikereignissen getrennt.

Purpurlila Analytics zählt Ereignisse, nicht eindeutig identifizierte Personen.

Beide Einwilligungen können Sie jederzeit über „Cookie-Einstellungen“ im Footer widerrufen oder erneut erteilen. Künftige Ereignisse werden nach einem Widerruf nicht mehr gesendet. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

10. Empfänger und Auftragsverarbeiter

Innerhalb von Bahnbetrieb Zittel erhalten nur Personen Zugriff, die diesen zur Erfüllung ihrer Aufgaben benötigen. Externe Empfänger sind insbesondere die in dieser Datenschutzerklärung genannten Hosting- und Datenplattformanbieter sowie, bei einer Kontaktaufnahme, die beteiligten E-Mail- oder Telekommunikationsdienstleister. Soweit ein Dienstleister personenbezogene Daten in unserem Auftrag verarbeitet, richtet sich sein Einsatz nach den Anforderungen des Art. 28 DSGVO und der jeweils geltenden vertraglichen Ausgestaltung.

11. Speicherdauer und Löschung

Personenbezogene Daten werden nur so lange gespeichert, wie dies für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Kontaktanfragen werden nach Abschluss der Bearbeitung gelöscht, sofern keine vertraglichen, gesetzlichen oder berechtigten Gründe für eine weitere Speicherung vorliegen.

Benutzerkonten und Vertragsdaten werden grundsätzlich für die Dauer der Geschäftsbeziehung und anschließend entsprechend bestehender Nachweis- und Aufbewahrungspflichten gespeichert. Betriebliche Kundendaten werden nach den vertraglichen Vereinbarungen, den dokumentierten Weisungen des Kunden und den im Vertrag zur Auftragsverarbeitung festgelegten Löschregelungen behandelt. Technische Protokolldaten werden gelöscht oder anonymisiert, sobald sie für Betrieb, Sicherheit und Fehleranalyse nicht mehr erforderlich sind. Soweit technische Dienstleister eigene Aufbewahrungszeiträume für Betriebs- und Sicherheitsprotokolle vorgeben, ergeben sich diese aus den jeweils geltenden Vertrags- und Datenschutzinformationen des Dienstleisters.

Für Google Analytics ist die Aufbewahrung von nutzer- und ereignisbezogenen Daten auf zwei Monate begrenzt. Aggregierte Standardberichte können hiervon unabhängig länger verfügbar sein. Einzelereignisse in Purpurlila Analytics werden höchstens 90 Tage zuzüglich des stündlichen Löschintervalls gespeichert.

12. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen, um personenbezogene Daten vor Verlust, unbefugtem Zugriff, Veränderung und Offenlegung zu schützen. Dazu gehören insbesondere TLS-verschlüsselte Verbindungen, rollenbasierte Zugriffsrechte, technische Mandantentrennung, protokollierte Änderungen, getrennte Entwicklungs- und Produktionsumgebungen sowie eine Beschränkung von Zugriffen nach dem Erforderlichkeitsprinzip.

Kein Verfahren zur elektronischen Übertragung oder Speicherung kann absolute Sicherheit gewährleisten. Die Schutzmaßnahmen werden daher entsprechend dem Stand der Technik, dem Risiko und der weiteren Entwicklung der Anwendung überprüft und fortentwickelt.

13. Ihre Datenschutzrechte

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Sie können einer Verarbeitung auf Grundlage berechtigter Interessen aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung Ihrer Rechte wenden Sie sich an info@railoz.com. Soweit wir Daten ausschließlich im Auftrag eines RAILOZ-Kunden verarbeiten, leiten wir Ihre Anfrage an den zuständigen Kunden weiter oder unterstützen ihn bei der Bearbeitung.

14. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.

15. Automatisierte Entscheidungen

Weder die öffentliche Website noch die RAILOZ-Anwendung treffen nach ihrer derzeitigen Funktionsweise ausschließlich automatisierte Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne von Art. 22 DSGVO. RAILOZ stellt betriebliche Informationen, Statusbewertungen und regelbasierte Hinweise als Entscheidungsunterstützung bereit; verantwortliche Entscheidungen verbleiben bei den jeweils zuständigen Personen.

16. Aktualisierung dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich Funktionen, Dienstleister, Datenflüsse oder rechtliche Anforderungen ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.

Stand: 11. Oktober 2026