Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:
Jens Schneider (Inhaber, bluepolicy)
Knütgenstr. 12
53721 Siegburg, Deutschland
E-Mail: support@bluepolicy.de
Website: https://merux.app

2. Überblick

Diese Datenschutzerklärung informiert Sie über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten im Zusammenhang mit Ihrer Nutzung: der MeruX Mobile App (iOS & Android), der MeruX-Website (https://merux.app) und des MeruX-API-Backends (von der App genutzt).

MeruX ist eine Plattform zur Verwaltung des Ladens von Elektrofahrzeugen (EV). Nutzer können Wallbox-Ladegeräte verwalten (über das OCPP-Protokoll), Ladevorgänge überwachen, Fahrzeuge registrieren und Abrechnungsberichte erstellen.

3. Erhobene Daten und Zwecke

3.1 Registrierung & Authentifizierung

Datenarten: vollständiger Name, E-Mail-Adresse, Telefonnummer (optional), Authentifizierungsmethode (E-Mail mit Einmalcode oder Passwort, Google-, Apple- oder Microsoft-Anmeldung), Sitzungs-Tokens (JWT-basiert; in der App im verschlüsselten Gerätespeicher, auf der Website in einem verschlüsselten Cookie abgelegt). MeruX speichert keine Passwörter; die Authentifizierung erfolgt über die unten genannten Identitätsanbieter.

Zweck: Erstellung und Verwaltung von Nutzerkonten; Authentifizierung und Autorisierung für den API-Zugriff. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Drittanbieter: Microsoft Azure Entra External ID (CIAM) – Identitätsmanagement; Apple und Google – Prüfung der Anmelde-Tokens. Serverstandort: EU (Germany West Central). Rechtsgrundlage für die Übermittlung: Art. 46 DSGVO (Standardvertragsklauseln).

3.2 Nutzerprofil & Einstellungen

Datenarten: Adresse (Straße, Stadt, Postleitzahl, Bundesland, Land), Profilbild (optional, gespeichert auf dem MeruX-API-Server in der EU), Mitarbeiter-ID und Mitarbeitername (optional, für B2B-Nutzung), Währungspräferenz, Berichtssprache, Gastmodus-Kennzeichen (anonyme Nutzung ohne Konto).

Zweck: Personalisierung der App; Zuordnung von Ladevorgängen zu Nutzerkonten; B2B-Mitarbeiteridentifikation für Abrechnungszwecke. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Kontopersonalisierung) für optionale Felder.

3.3 Ladegeräte (Wallboxen)

Datenarten: Seriennummer der Ladestation; benutzerdefinierter Name, Marke, Modell; Installationsadresse (Straße, Stadt, Postleitzahl, Land); Standortbeschreibung (Freitext); Verbindungsstatus, Sicherheitsprofil; Kommunikationsdaten über das OCPP-1.6/2.0.1-Protokoll (authentifiziertes WebSocket); Steckertyp (Anschlusstyp, max. Ladeleistung in kW).

Zweck: Betrieb und Überwachung der Ladeinfrastruktur; Fehlererkennung; Ladesteuerung; OCPP-Kommunikation mit der Ladestation. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.4 Fahrzeugdaten

Datenarten: benutzerdefinierter Fahrzeugname; Marke, Modell; Kfz-Kennzeichen; Versionshistorie (bei Aktualisierungen werden frühere Versionen mit Zeitstempel aufbewahrt).

Zweck: Zuordnung von Ladevorgängen zu einem Fahrzeug; Analyse der Ladeaktivitäten; Erstellung von Abrechnungsberichten (z. B. für die steuerliche Dokumentation des geldwerten Vorteils). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Hinweis zu Kfz-Kennzeichen: das Kennzeichen ist ein personenbezogenes Datum. Es wird ausschließlich zur Fahrzeugidentifikation in Berichten verwendet und nicht an Dritte weitergegeben.

3.5 Ladevorgänge & Zählerwerte

Datenarten: Sitzungs-ID, Start-/Endzeit; Start-/Endzählerstand (Wattstunden); insgesamt übertragene Energie (kWh, gesamt und je Phase L1/L2/L3); Ladekosten (Gesamtkosten in EUR); Beendigungsgrund (z. B. Remote, Local, EVDisconnected); Echtzeit-Zählerwerte (zeitgestempelte MeterValues über OCPP, JSON-Format); OCPP-Transaktions-ID; Autorisierungs-Tag (RFID-Tag-ID, sofern verwendet).

Zweck: Abrechnung und Kostennachweis; Erstellung von Ladebelegen (PDF mit digitaler Signatur); steuerliche Dokumentation des Ladens von Dienstwagen zu Hause; Energieanalyse; Fehlererkennung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflicht für Buchführungsunterlagen, §§ 238 ff. HGB, 10 Jahre).

3.6 Abonnement- & Zahlungsdaten

Datenarten: Stripe-Kunden-ID, Abonnementstatus, Tariftyp; Zahlungsmethoden-Details (letzte vier Kartenziffern, Ablaufdatum – nur Metadaten); Rechnungsadresse; Transaktions-IDs, Webhook-Ereignisse. Hinweis: vollständige Zahlungskartendaten (Kartennummer etc.) werden ausschließlich von Stripe verarbeitet. bluepolicy/MeruX speichert keine Zahlungskarteninformationen.

Zweck: Abwicklung von Abonnementzahlungen; Freischaltung von Funktionen; Rechnungsstellung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Art. 6 Abs. 1 lit. c DSGVO (steuerliche Aufbewahrungspflicht). Drittanbieter: Stripe Payments Europe, Ltd. (Irland, EU). Stripe ist als Auftragsverarbeiter eingebunden. Daten können auf Grundlage von Standardvertragsklauseln (SCCs) gemäß Art. 46 DSGVO in die USA übermittelt werden.

3.7 Push-Benachrichtigungen

Datenarten: Expo-Push-Token (gerätespezifisches Token für Push-Nachrichten); Benachrichtigungsinhalt und Metadaten (Titel, Text, Typ, Zeitstempel).

Zweck: Echtzeit-Benachrichtigungen über Ladestart/-stopp, Ladegerätefehler und Abschluss von Ladevorgängen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung – erteilt über den System-Berechtigungsdialog); Art. 6 Abs. 1 lit. b DSGVO für betrieblich notwendige Statusbenachrichtigungen. Drittanbieter: Expo (Expo Inc., USA) – Push-Zustellinfrastruktur, Übermittlung in die USA auf Grundlage von SCCs; Apple APNs (Irland/USA) und Google FCM (USA) – Weiterleitung durch Expo.

3.8 Abrechnungsberichte & Zählernachweise

Datenarten: Name, Kfz-Kennzeichen, Ladevorgangsdaten (siehe 3.5); erzeugte PDF-Dokumente mit digitaler Signatur (PKCS#7; der Signaturschlüssel wird als geschütztes Infrastruktur-Geheimnis verwahrt); QR-Code-Link zur Verifizierung.

Zweck: Erstellung rechtskonformer Zählernachweise für Arbeitnehmer (steuerlicher Nachweis für das Laden von Dienstwagen zu Hause); Weiterleitung an den Arbeitgeber zur Kostenerstattung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Art. 6 Abs. 1 lit. c DSGVO (§ 147 AO, 10-jährige Aufbewahrung). Speicherort: Azure Blob Storage (Container: meter-evidence), Region: EU (Germany West Central).

3.9 Gastmodus

Datenarten: temporäre Sitzungs-ID (keine dauerhafte Nutzer-ID); Ladevorgangsdaten während der Gastsitzung. Zweck: ermöglicht das Laden ohne Kontoregistrierung für Gäste (z. B. Besucher). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung für den Gast-Ladevorgang).

3.10 Familien-/Unterkonten

Datenarten: Verknüpfung von Nutzerkonten innerhalb desselben Haushalts / derselben Organisation; has_family_account-Kennzeichen. Zweck: gemeinsame Nutzung der Ladeinfrastruktur durch mehrere Personen in einem Haushalt oder einer Organisationseinheit. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.11 Energiepreise (Tibber-OAuth-Integration)

Datenarten: Tibber-OAuth-Zugriffs- und Aktualisierungstoken (verschlüsselt in unserer Datenbank gespeichert); Tibber-Home-ID (ID der ausgewählten Haushalts-Stromversorgung); Tibber-Vertragsadresse (Postleitzahl, Stadt, Land); Marktpreisdaten (dynamische Strompreise, anonymisiert).

Zweck: dynamische Kostenberechnung auf Basis aktueller Marktpreise über ein per OAuth verknüpftes Tibber-Konto (optional, nur bei aktivierter Tibber-Integration). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch optionale Aktivierung und ausdrücklichen OAuth-Autorisierungsschritt); Art. 6 Abs. 1 lit. b DSGVO. Drittanbieter: Tibber AS (Norwegen, EWR), Verarbeitung nach DSGVO-gleichwertigen Regeln. Widerruf: die Tibber-Verbindung kann jederzeit in den App-Einstellungen getrennt werden. Das gespeicherte Token wird bei Trennung gelöscht.

3.12 OCR & Bildverarbeitung (KI-gestützte Funktion)

Datenarten: Bilder von Ladestationen/Displays (vom Nutzer hochgeladen, optional); extrahierte Textinformationen (Zählerstände, Seriennummern) sowie der zur Nachprüfung aufbewahrte OCR-Ergebnisdatensatz. Zweck: automatische Zählerstanderkennung per Kamera (optionale Funktion für Ladestationen ohne OCPP). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Art. 6 Abs. 1 lit. a DSGVO (Einwilligung für den Kamerazugriff). Drittanbieter: OpenAI, Inc. (USA) – OCR über die Vision API, Übermittlung in die USA auf Grundlage von SCCs. Hochgeladene Bilder werden vor der Analyse auf unserem Server neu kodiert und verkleinert; eingebettete Metadaten (z. B. EXIF-Standortdaten) werden dabei entfernt.

Transparenz nach der EU-KI-Verordnung (Art. 50 Verordnung (EU) 2024/1689, anwendbar ab 2. August 2026): diese Funktion nutzt ein KI-System (OpenAI Vision API) zur automatisierten Bildanalyse. Es findet keine automatisierte Entscheidungsfindung mit Rechtswirkung statt. Nutzer können alle erkannten Werte jederzeit korrigieren. Die KI verarbeitet ausschließlich die vom Nutzer hochgeladenen Bilder; OpenAI speichert die Originaldaten nicht zu Trainingszwecken (OpenAI API Terms of Service: kein Training mit API-Daten ohne Opt-in).

3.13 Website-Nutzung (merux.app)

Datenarten: IP-Adresse (nach 24 Stunden anonymisiert); Browsertyp, Betriebssystem; besuchte Seiten, Zeitstempel, Referrer; Sitzungs-Cookies (technisch notwendig). Zweck: Bereitstellung der Website, technischer Betrieb, Sicherheit (Angriffserkennung). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb); § 25 Abs. 2 TDDDG für technisch notwendige Cookies. Nicht eingesetzt: Google Analytics, Meta Pixel oder ähnliche Tracking-Tools auf der Haupt-Website (bestätigt: nur Cloudflare-Sicherheits-Cookies, keine Analytics-Tools Dritter). Cloudflare stellt uns zusammengefasste Zugriffsstatistiken (z. B. Besucherzahlen) bereit, die aus den Server-Protokollen erstellt werden, ohne Cookies und ohne Skripte im Browser. Klicks auf die Store-Buttons zählen wir zusätzlich selbst, cookielos und ohne IP-Adresse (siehe 3.20).

3.14 Server-Logs

Datenarten: IP-Adresse, HTTP-Methode, URL, Statuscode, Zeitstempel; Rate-Limiting-Daten (IP-basiert, Redis); IP-Sperrliste (bei wiederholten Verstößen, max. 1 Stunde); pseudonyme Sicherheitsereignisse (Anmeldung, Abmeldung und API-Zugriffe: interne Nutzer-ID, Ereignistyp, Zeitstempel – ohne Namen oder E-Mail-Adresse); Datenbank-Diagnosedaten (Leistungs- und Fehlerstatistiken, in Einzelfällen Auszüge langsamer Datenbankabfragen). Zweck: Betriebssicherheit, Fehlerbehebung, Missbrauchsprävention, Erkennung von Sicherheitsvorfällen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Aufbewahrung: Server-Logs, Sicherheitsereignisse und Datenbank-Diagnosedaten werden nach 30 Tagen automatisch gelöscht.

3.15 Erstattungsdaten (Reimbursement Tracking)

Datenarten: Monat und Jahr des Erstattungszeitraums; Erstattungsstatus (ausstehend / eingereicht / erstattet); Gesamtenergiemenge (kWh), Gesamtbetrag, Anzahl der Ladevorgänge, Währung; Freitextnotizen (optional, vom Nutzer eingegeben); Zeitstempel.

Zweck: Unterstützung des Erstattungsprozesses des Arbeitnehmers gegenüber dem Arbeitgeber; monatliche Zusammenfassung der Ladeabrechnungsdaten für steuerliche und organisatorische Zwecke (BMF-Schreiben vom 11. November 2025). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Art. 6 Abs. 1 lit. c DSGVO (§ 147 AO gesetzliche Aufbewahrungspflicht). Aufbewahrung: gekoppelt an den zugehörigen Ladevorgang (8 Jahre nach § 147 AO).

3.16 Dienstwagenauswahl (B2B-Funktion)

Datenarten: Einwilligungsdatensatz des Mitarbeiters (Mitarbeiter-ID, Tenant-ID, Status, Mitarbeitername, E-Mail); Fahrzeugzuordnung (Fahrzeug-ID, Marke, Modell, Name, Kfz-Kennzeichen, Genehmigungsstatus, Ablehnungsgrund, Zeitstempel).

Zweck: Verknüpfung von Dienstwagen mit Mitarbeiterkonten für B2B-Tenants; Genehmigungsprozess für Arbeitgeber-Administratoren. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung im B2B-Kontext); Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Arbeitgebers an der Verwaltung von Dienstwagen). Hinweis: diese Funktion ist nur für Nutzer aktiv, die einem Unternehmenskonto (Tenant) angehören. Die Daten sind ausschließlich für den zuständigen Arbeitgeber-Administrator und den betroffenen Mitarbeiter sichtbar.

3.17 Monatlicher Ladebericht (E-Mail)

Datenarten: Name, E-Mail-Adresse, der Ladebericht des Vormonats (PDF, siehe 3.8). Zweck: einmal monatlich senden wir registrierten Nutzern mit hinterlegter E-Mail-Adresse ihren Ladebericht des Vormonats. Dies ist eine Service-Nachricht zu Ihrer Nutzung von MeruX und enthält keine Werbung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Versand: Azure Communication Services (siehe Abschnitt 4).

3.18 Registrierung, Anmeldung und Kontolöschung über die Website

Datenarten: die in 3.1 beschriebenen Anmeldedaten (E-Mail-Adresse oder das Anmelde-Token von Google, Apple oder Microsoft); eine Website-Sitzung: Sitzungs-ID, Anmeldeverfahren, eine aus dem User-Agent des Browsers abgeleitete Gerätebezeichnung sowie die Zeitpunkte von Anmeldung, letzter Nutzung und Ablauf. Nur bei der Anmeldung per E-Mail werden wiederholte Versuche begrenzt, und zwar anhand eines schlüsselbasierten Hashwerts der E-Mail-Adresse in Verbindung mit einem schlüsselbasierten Hashwert Ihrer IP-Adresse (bei IPv6 ihres Netzwerkpräfixes). Ihre IP-Adresse selbst wird nicht an unsere API übermittelt und dort nicht gespeichert. Die Anforderung eines Anmeldecodes per E-Mail ist durch Cloudflare Turnstile geschützt.

Zweck: Anlegen Ihres MeruX-Kontos (bei der ersten Anmeldung, wie in der App); Anmeldung; Bestätigung, dass Sie es sind, bevor Sie Ihr Konto löschen (die Löschung setzt eine Anmeldung innerhalb der letzten 10 Minuten voraus); Durchführung der Löschung; Missbrauchsverhinderung. Die Nutzung von MeruX selbst (Wallboxen, Fahrzeuge, Berichte) erfolgt in der App. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Kontoanlage, Anmeldung und Sitzung; Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 12 und 17 DSGVO für die Löschung; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Missbrauchsverhinderung) für die Begrenzung von Anmeldeversuchen. Speicherdauer: siehe Abschnitt 6.

3.19 App-Updates (Over-the-Air-Updates)

Datenarten: Beim Start der App prüft diese, ob eine aktualisierte Version ihres JavaScript-Codes vorliegt. Dabei werden an den Update-Dienst von Expo (EAS Update) übermittelt: IP-Adresse (technisch bedingt), Plattform (iOS/Android), App- und Runtime-Version, Update-Kanal sowie die Kennungen des installierten und des eingebetteten Updates. Es werden keine Kontodaten, Namen oder Inhalte aus der App übermittelt.

Zweck: Bereitstellung von Fehlerbehebungen und Verbesserungen, ohne dass ein neuer Download aus dem App Store oder Google Play erforderlich ist; Sicherstellung, dass die App mit der aktuellen Version unserer Dienste funktioniert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der App) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Stabilität und Sicherheit der App). Empfänger: Expo, Inc., USA (siehe Abschnitt 4). Speicherdauer: Wir selbst speichern diese Anfragen nicht; Expo verarbeitet sie als Auftragsverarbeiter nach unseren Weisungen.

3.20 Kampagnen-Links und Store-Klickstatistik (Website)

Datenarten: Kommen Sie über einen Link mit Kampagnenparametern (utm_source, utm_medium, utm_campaign) auf merux.app, liest die Seite diese Parameter aus der Adresse und gibt sie an den Link zu Google Play (als Referrer) und an den Link zum App Store (als Kampagnen-Token) weiter. Tippen Sie auf einen Store-Button oder scannen Sie den QR-Code, speichern wir ein Ereignis mit: Art des Ereignisses, gewähltem Store, Gerätetyp (iPhone/iPad, Android oder Computer), aufgerufener Seite, den drei Kampagnenparametern und dem Zeitpunkt. Wir speichern keine IP-Adresse, keine Geräte-ID und keine vollständige Browserkennung und setzen dafür keine Cookies; eine Zuordnung zu einer Person ist uns nicht möglich. Um den passenden Store-Button anzuzeigen, wertet die Seite in Ihrem Browser die Browserkennung (User-Agent) aus; diese wird nicht gespeichert. Beim Scannen des QR-Codes wertet unser Server die Browserkennung nur aus, um Sie an den passenden Store weiterzuleiten; auch sie wird nicht gespeichert.

Zweck: Messen, welche Kampagnen zu Store-Aufrufen und App-Downloads führen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Erfolgsmessung unserer Werbung); § 25 Abs. 2 Nr. 2 TDDDG für das Auslesen von Browserkennung und Touch-Fähigkeit zur Anzeige des passenden Buttons bzw. zur Weiterleitung an den passenden Store. Speicherort: Microsoft Azure Table Storage (Deutschland). Öffnen Sie einen Store-Link, erhält Google bzw. Apple die Kampagnenparameter und verarbeitet sie nach ihren eigenen Datenschutzbestimmungen; uns zeigen App Store Connect und die Google Play Console nur zusammengefasste Zahlen. Speicherdauer: siehe Abschnitt 6.

4. Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister als Auftragsverarbeiter ein (Art. 28 DSGVO):

• Microsoft Azure — Cloud-Hosting (Container Apps, Datenbank, Cache), Blob Storage, Key Vault — EU (Germany West Central) — Art. 46 DSGVO (SCCs + EU-AVV)
• Microsoft Azure Entra ID (CIAM) — Identitätsmanagement, Authentifizierung — EU / USA — Art. 46 DSGVO (SCCs)
• Azure Communication Services — E-Mail-Versand (monatliche Ladeberichte) — EU / USA — Art. 46 DSGVO (SCCs)
• Stripe Payments Europe, Ltd. — Zahlungsabwicklung, Abonnements — EU (Irland) / USA — Art. 46 DSGVO (SCCs)
• Expo (Expo Inc.) — Push-Benachrichtigungen; Over-the-Air-App-Updates (EAS Update) — USA — Art. 46 DSGVO (SCCs)
• Apple Inc. (APNs) — iOS-Push-Benachrichtigungen — USA (EU-Routing) — Art. 46 DSGVO (SCCs)
• Google LLC (FCM) — Android-Push-Benachrichtigungen — USA (EU-Routing) — Art. 46 DSGVO (SCCs)
• Apple Inc. / Google LLC — Mit Apple anmelden / Google-Anmeldung (Prüfung der Anmelde-Tokens) — USA — Art. 46 DSGVO (SCCs) / EU-U.S. DPF
• Cloudflare, Inc. — DNS, Edge-Proxy und Bot-Schutz (Turnstile) für Website, Web-Portale und, soweit aktiviert, die API — USA / weltweites Edge-Netzwerk — Art. 46 DSGVO (SCCs) / EU-U.S. DPF
• OpenAI, Inc. — OCR / Bildanalyse (optionale Funktion) — USA — Art. 46 DSGVO (SCCs)
• Tibber AS — dynamische Strompreise (optional) — Norwegen (EWR) — Art. 45/46 DSGVO
• Apple App Store / Google Play — App-Vertrieb — USA — eigene Datenschutzerklärungen

Eine vollständige Liste der Unterauftragsverarbeiter ist verfügbar unter: https://merux.app/subprocessors

5. Internationale Datenübermittlungen

Einige der oben genannten Auftragsverarbeiter verarbeiten Daten in den USA oder anderen Drittländern außerhalb der EU/des EWR. Diese Übermittlungen sind abgesichert durch: EU-Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO (Fassung 2021); Angemessenheitsbeschlüsse der Europäischen Kommission (soweit anwendbar, z. B. Norwegen); das EU-U.S. Data Privacy Framework (für zertifizierte US-Unternehmen). Die konkreten Garantien stellen wir auf Anfrage zur Verfügung.

6. Speicherfristen

• Nutzerkontodaten — bis zur Kontolöschung + 30 Tage (Wiederherstellungszeitraum)
• Ladevorgangsdaten — 3 Jahre (aktive Nutzung) + bis zu 10 Jahre für Buchführungsunterlagen (§ 147 AO)
• Zählernachweise (PDFs) — 10 Jahre (§ 147 AO, gesetzliche Aufbewahrung)
• Zählerfotos und OCR-Ergebnisdatensätze (siehe 3.12) — gemeinsam mit dem zugehörigen Ladevorgang aufbewahrt
• Push-Tokens — bis zur Kontolöschung oder App-Deinstallation; Benachrichtigungen können jederzeit in den Geräteeinstellungen deaktiviert werden
• Server-Logs, Sicherheitsereignisse und Datenbank-Diagnosedaten — 30 Tage
• Store-Klickereignisse (siehe 3.20) — 24 Monate
• Gelöschte Nutzer — pseudonymisiert, max. 90 Tage
• Website-Anmeldesitzungen (siehe 3.18) — bis zur Abmeldung; andernfalls enden sie nach 7 Tagen ohne Nutzung und spätestens 30 Tage nach der Anmeldung. Begrenzung von Anmeldeversuchen per E-Mail — 1 Stunde
• Anmeldesitzungen der App (ein Eintrag je Gerät, siehe 3.1) — bis zur Abmeldung; andernfalls enden sie nach 7 Tagen ohne Nutzung und spätestens 180 Tage nach der Anmeldung. Beendete Sitzungen werden gelöscht, abgelaufene spätestens am Folgetag
• Redis-Cache (Rate Limiting) — max. 1 Stunde (IP-Sperren)

Nach Ablauf der Speicherfrist werden Daten automatisch gelöscht oder anonymisiert, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Backups: gelöschte oder geänderte Daten können für einen begrenzten Zeitraum (derzeit bis zu 35 Tage) in verschlüsselten Datenbank-Backups verbleiben, bis diese turnusmäßig überschrieben werden. Backups dienen ausschließlich der Wiederherstellung im Notfall und werden zu keinem anderen Zweck ausgelesen.

7. Ihre Rechte

Als betroffene Person haben Sie folgende Rechte:

• Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über die von uns gespeicherten personenbezogenen Daten verlangen.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger oder unvollständiger Daten verlangen. Viele Angaben können direkt in der App unter Einstellungen → Profil aktualisiert werden.
• Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen. Die App bietet eine direkte Option unter Einstellungen → Konto löschen; die Löschung kann auch ohne die App unter https://merux.app/de/delete-account beantragt werden. Gesetzliche Aufbewahrungspflichten (z. B. Buchführungsunterlagen nach § 147 AO) können einer vollständigen Löschung entgegenstehen.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung verlangen, soweit die gesetzlichen Voraussetzungen vorliegen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie können Ihre Daten in einem maschinenlesbaren Format (JSON/CSV) verlangen, soweit die Verarbeitung auf Einwilligung oder Vertrag beruht und automatisiert erfolgt.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) widersprechen.
• Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Sie können erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen (z. B. Push-Benachrichtigungen über die Geräteeinstellungen).

Ausübung Ihrer Rechte: bitte kontaktieren Sie uns per E-Mail an support@bluepolicy.de. Wir bearbeiten Ihre Anfrage innerhalb von 30 Tagen.

8. Beschwerderecht

Sie haben das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Zuständige Behörde für bluepolicy (Nordrhein-Westfalen, Deutschland):

Landesbeauftragte für Datenschutz und Informationsfreiheit NRW
Postfach 20 04 44
40102 Düsseldorf, Deutschland
Telefon: +49 211 38424-0
E-Mail: poststelle@ldi.nrw.de
Website: https://www.ldi.nrw.de

9. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen (TOMs) zum Schutz Ihrer Daten ein:

• Transportverschlüsselung: TLS 1.2+ für alle API-Verbindungen (nur HTTPS)
• OCPP-Verbindungen: WebSocket Secure (WSS) mit Authentifizierungs-Tokens
• Datenbankverbindungen: SSL-Verschlüsselung (PostgreSQL 15)
• Token-Speicherung (App): expo-secure-store (iOS Keychain / Android Keystore)
• PDF-Signaturen: digitale PKCS#7-Signatur; Signaturschlüssel als geschütztes Infrastruktur-Geheimnis verwahrt
• Rate Limiting: endpunktbezogene Limits von 5 bis 60 Anfragen pro Minute und IP (Redis-gestützt)
• IP-Sperrung: automatische einstündige Sperre nach 50 Verstößen gegen das Rate Limit
• Tenant-Isolation: alle Datenbankabfragen sind auf die tenant_id beschränkt
• Daten im Ruhezustand: von Microsoft verwaltete Verschlüsselung für Datenbank, Cache und Speicher
• Infrastruktur: Azure Container Apps in Germany West Central; Datenbank und Cache nur innerhalb eines privaten virtuellen Netzwerks erreichbar; Cloudflare-Edge-Schutz für Web-Verkehr

Eine detaillierte Beschreibung unserer Sicherheitsmaßnahmen enthält unser Dokument zu den technischen und organisatorischen Maßnahmen (TOM).

10. Cookies und ähnliche Technologien

App (iOS/Android): die MeruX-App verwendet sicheren Speicher (expo-secure-store) für Authentifizierungs-Tokens — technisch notwendig, kein Cookie im herkömmlichen Sinne — sowie ein gerätespezifisches Push-Token, nur mit Ihrer Einwilligung.

Website (merux.app): technisch notwendige Cookies/Sitzungs-Tokens, die für den Betrieb der Website erforderlich sind. Keine Einwilligung erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Im Einzelnen: __Host-merux_session hält Sie angemeldet (verschlüsselt, höchstens 30 Tage); __Host-merux_oauth wird während der Anmeldung mit Apple oder Microsoft verwendet (10 Minuten); __Host-merux_email_flow während der Anmeldung per E-Mail (15 Minuten); __Host-merux_restore bei der Wiederherstellung eines gelöschten Kontos (15 Minuten); NEXT_LOCALE speichert Ihre Sprache (1 Jahr). Die Anmeldung mit Google legt bis zur Rückkehr von Google einen zufälligen Prüfwert im Sitzungsspeicher (sessionStorage) des Browsers ab (höchstens 10 Minuten). Cloudflare, das die Website ausliefert und schützt (siehe Abschnitt 4), kann eigene Sicherheits-Cookies setzen: __cf_bm, wenn es Zugriffe auf Bots prüft (30 Minuten), und cf_clearance nach einer bestandenen Sicherheitsprüfung (für die von Cloudflare festgelegte Dauer, üblicherweise 30 Minuten). Cloudflare Turnstile schützt das Kontaktformular, das Formular für den Beispielbericht und die Anmeldung per E-Mail vor Spam: Es lädt eine Prüfung von Cloudflare, die technische Merkmale des Browsers auswertet, um Menschen von Bots zu unterscheiden, und wird nur dafür eingesetzt. Alle eingesetzten Cookies sind technisch notwendig; es werden keine Marketing- oder Analyse-Cookies gesetzt. Sie können Cookies jederzeit in den Einstellungen Ihres Browsers löschen; wenn Sie technisch notwendige Cookies blockieren, funktioniert unter Umständen die Anmeldung nicht. Für die Kampagnen- und Store-Klickstatistik (siehe 3.20) setzen wir keine Cookies und speichern nichts in Ihrem Browser (weder Local Storage noch Session Storage).

11. Besondere Hinweise für Geschäftskunden (B2B)

Soweit Sie MeruX im organisatorischen Kontext nutzen: Verantwortlicher für die Verarbeitung von Mitarbeiterdaten (z. B. Kfz-Kennzeichen, Ladevorgänge) ist in der Regel Ihr Arbeitgeber (die Organisation). bluepolicy kann in diesem Kontext als Auftragsverarbeiter tätig sein. In solchen Fällen schließen wir mit Ihrem Arbeitgeber einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO. Bei Fragen zu Ihren personenbezogenen Daten wenden Sie sich bitte auch an Ihren Arbeitgeber.

12. Besondere Kategorien personenbezogener Daten

MeruX verarbeitet keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO (z. B. keine Gesundheits-, ethnischen oder biometrischen Daten). Zu Bewegungs-/Standortprofilen: Installationsadressen von Ladegeräten können Rückschlüsse auf regelmäßige Aufenthaltsorte zulassen. Diese Daten werden nicht zu Profiling-Zwecken verwendet und nicht an Werbetreibende weitergegeben.

13. KI-Systeme und automatisierte Entscheidungsfindung (EU-KI-Verordnung)

13.1 Eingesetzte KI-Systeme — gemäß Art. 50 der Verordnung (EU) 2024/1689 (EU-KI-Verordnung, anwendbar ab 2. August 2026) informieren wir über den Einsatz von KI-Systemen: OpenAI Vision API — OCR-Belegerfassung (Laden ohne OCPP) — Anbieter OpenAI, Inc., USA — minimales Risiko (Transparenzpflicht nach Art. 50).

13.2 Automatisierte Entscheidungsfindung — es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO (einschließlich Profiling mit Rechtswirkung) statt. MeruX ist kein Hochrisiko-KI-System im Sinne von Anhang III der EU-KI-Verordnung.

14. Kinder

MeruX richtet sich nicht an Personen unter 18 Jahren. Wir erheben wissentlich keine Daten von Minderjährigen. Wenn Sie als Elternteil oder Erziehungsberechtigter feststellen, dass Ihr Kind personenbezogene Daten übermittelt hat, kontaktieren Sie uns bitte.

15. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung zu aktualisieren, wenn sich rechtliche Anforderungen ändern oder wir neue Funktionen einführen. Die aktuelle Fassung ist stets unter https://merux.app/privacy verfügbar. Über wesentliche Änderungen werden registrierte Nutzer per E-Mail oder In-App-Benachrichtigung informiert.

Version 1.5 (8. Oktober 2026, gültig ab Veröffentlichung): Abschnitt 3.20 ergänzt – Kampagnen-Links und cookielose Store-Klickstatistik; Speicherfrist in Abschnitt 6 ergänzt; Hinweis in Abschnitt 10 ergänzt.

Version 1.4 (1. Oktober 2026): Über die Website können nun Konten angelegt werden, und die Kontolöschung über die Website erfolgt nach Anmeldung statt über einen per E-Mail versandten Bestätigungscode; 3.18 und Abschnitt 6 entsprechend angepasst; Website-Anmeldesitzung in 3.1, die Speicherdauer von App- und Website-Sitzungen in Abschnitt 6 und die eingesetzten Cookies in Abschnitt 10 ergänzt, einschließlich der Sicherheits-Cookies von Cloudflare und Cloudflare Turnstile; Zugriffsstatistiken von Cloudflare in 3.13 ergänzt; neuer Abschnitt 3.19 zu Over-the-Air-App-Updates (Expo EAS Update) und Expo in Abschnitt 4 entsprechend ergänzt; pseudonyme Sicherheitsereignisse und Datenbank-Diagnosedaten in 3.14 und Abschnitt 6 ergänzt.

Version 1.3 (1. Oktober 2026): Formulierungen an das eingesetzte System angepasst (Hosting-Region, Anmeldeverfahren, Speicherung des Profilbilds, PDF-Signatur, Speicherung des Tibber-Tokens, OCR-Anbieter, Rate Limiting); neue Abschnitte zum monatlichen Ladebericht per E-Mail und zu Backups; Liste der Auftragsverarbeiter erweitert (Apple-/Google-Anmeldung, Cloudflare); Aufbewahrung von Push-Tokens präzisiert; Löschung über die Website ergänzt, einschließlich der dabei verarbeiteten Daten und ihrer Speicherdauer (3.18, Abschnitt 6).

16. Kontakt für Datenschutzanfragen

Für Datenschutzfragen:
Jens Schneider (Inhaber, bluepolicy)
Knütgenstr. 12
53721 Siegburg, Deutschland
E-Mail: support@bluepolicy.de

Datenschutzbeauftragter: als Einzelunternehmer mit weniger als 20 regelmäßig mit automatisierter Verarbeitung beschäftigten Personen ist bluepolicy nicht zur Benennung eines Datenschutzbeauftragten nach Art. 37 DSGVO verpflichtet.