Datenschutzhinweise für CONTARO

Stand: 13.11.2026

Diese Hinweise erläutern, wie die Mercedes-Benz Businesspartner GmbH personenbezogene Daten beim Besuch dieser Website und bei der Nutzung eines Zugangs verarbeitet. CONTARO ist das Hinweisgebersystem der Mercedes-Benz Businesspartner GmbH für Autohäuser. Es befindet sich im Aufbau. Sobald das Meldeportal in Betrieb geht, werden diese Hinweise um die Verarbeitung von Hinweisen und Postfächern ergänzt.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Mercedes-Benz Businesspartner GmbH
Chausseestraße 15
10115 Berlin
Deutschland

Telefon: +49 (0)30 76 77 1944 9
E-Mail: mbb@vmbnet.de

Vertretungsberechtigte Geschäftsführer: Michel Farrenkopf, Florian Harms, Rolf Nagel

Registergericht: Amtsgericht Charlottenburg, HRB 135511 B

Datenschutzanfragen können an die vorstehende Postanschrift oder per E-Mail an mbb@vmbnet.de gerichtet werden.

2. Geltungsbereich und Datenkategorien

Diese Datenschutzhinweise gelten für die öffentlich zugänglichen Seiten von CONTARO und für die Zugänge der Personen, die im System arbeiten. Wir verarbeiten die folgenden Datenkategorien:

• Technische Daten: Datum und Uhrzeit, aufgerufene Adresse oder Datei, Browsertyp und Browserversion, Betriebssystem, übertragene Datenmenge sowie Status- und Fehlermeldungen, soweit sie für die Auslieferung der Seite und die Fehleranalyse anfallen.
• Zugangsdaten: die in Abschnitt 6 genannten Angaben zu einem Zugang, soweit ein Zugang für Sie eingerichtet ist.
• Kommunikationsdaten: Inhalte von E-Mails oder Anfragen an uns sowie die für deren Bearbeitung erforderlichen Angaben.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden auf den öffentlich zugänglichen Seiten nicht erhoben. Bitte übermitteln Sie solche Daten nicht per E-Mail.

3. Aufruf der Website und Server-Protokolle

Beim Aufruf der Website übermittelt der Browser technisch erforderliche Daten an den Webserver. Sie werden verarbeitet, um die Website auszuliefern, Stabilität und Sicherheit zu gewährleisten, Fehler zu analysieren und Missbrauch oder Angriffe zu erkennen. Mit Rücksicht auf den Zweck als Hinweisgebersystem verzichten wir auf die Speicherung von IP-Adressen in Zugriffsprotokollen; Fehlerprotokolle enthalten keine IP-Adresse.

Rechtsgrundlage: Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse liegt im sicheren, stabilen und fehlerfreien Betrieb des Angebots sowie in der Abwehr von Missbrauch.

Speicherdauer: Protokolle werden spätestens nach 30 Tagen gelöscht. Für das Änderungsprotokoll der Datenbank gilt die in Abschnitt 6 genannte Frist. Bei einem konkreten Sicherheitsvorfall dürfen die betroffenen Daten bis zur Aufklärung und, soweit erforderlich, zur Durchsetzung oder Abwehr von Ansprüchen länger gespeichert werden.

Transportverschlüsselung: Die Übertragung zwischen Browser und Website erfolgt verschlüsselt über HTTPS/TLS.

4. Hosting

Die Website und die zugehörigen Systeme werden bei der Mittwald CM Service GmbH & Co. KG, Königsberger Straße 4-6, 32339 Espelkamp, Deutschland, gehostet. Der Hostinganbieter verarbeitet Daten in unserem Auftrag. Mit ihm besteht eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO.

Zwecke und Rechtsgrundlagen: Bereitstellung und Absicherung der Website auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO.

Speicherort: Die Rechenzentren des Hostinganbieters befinden sich in Deutschland. Eine Übermittlung in Staaten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums ist für das Hosting nicht vorgesehen.

5. Technisch notwendige Cookies

Die Website setzt ausschließlich technisch notwendige Cookies. Sie enthalten keine personenbezogenen Daten, sondern nur zufällige Werte, und werden mit dem Schließen des Browsers gelöscht:

• Sitzungs-Cookie: eine zufällige Kennung, die den angemeldeten Zugang über mehrere Seitenaufrufe hinweg wiedererkennt und vor unbefugten Zugriffen schützt.
• Schlüssel-Cookie: ein zufälliger Wert, mit dem der persönliche Schlüssel eines angemeldeten Zugangs während der Sitzung geschützt wird. Er entsteht erst bei der Anmeldung und wird beim Abmelden gelöscht. Dieser Wert allein gibt keinen Zugriff auf Daten; er wirkt nur zusammen mit der Sitzung auf unserem Server.

Endgerätezugriff: § 25 Abs. 2 Nr. 2 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).

Personenbezogene Verarbeitung: Art. 6 Abs. 1 Buchst. f DSGVO für den Schutz von Konten und Systemen.

Wir setzen keine Analyse- oder Marketing-Cookies ein und binden keine Dienste fremder Anbieter ein. Die Website lädt keine Schriften, Skripte oder Inhalte von fremden Servern.

6. Zugänge für Personen, die im System arbeiten

Für Mitarbeitende einer Meldestelle, einer Autohausverwaltung oder einer beauftragten Stelle wird auf Einladung ein persönlicher Zugang eingerichtet. Hinweisgebende Personen brauchen keinen Zugang; für sie gelten die Hinweise, die mit dem Meldeportal ergänzt werden.

Verarbeitete Daten: Name, dienstliche E-Mail-Adresse, Sprache der Oberfläche, Zuständigkeit für Gesellschaft und Meldeweg, Zeitpunkt der letzten Anmeldung, Zahl fehlgeschlagener Anmeldeversuche und eine etwaige Sperre, Zeitpunkt der letzten Passwortänderung sowie die Angabe, ob Abwesenheit gemeldet ist.

Passwort und persönlicher Schlüssel: Das Passwort wird nicht gespeichert, sondern nur ein nicht umkehrbarer Prüfwert nach dem Verfahren Argon2id. Zu jedem Zugang gehört ein persönliches Schlüsselpaar. Der öffentliche Teil liegt offen, der private Teil ausschließlich mit dem Passwort verschlüsselt. Da das Passwort niemandem außer der Person selbst bekannt ist, kann auch die Mercedes-Benz Businesspartner GmbH diesen Schlüssel nicht öffnen und die damit geschützten Inhalte nicht lesen.

Zweiter Faktor: Jede Anmeldung verlangt zusätzlich einen Code, der an die hinterlegte E-Mail-Adresse versendet wird. Von diesem Code wird nur ein Prüfwert gespeichert; er gilt zehn Minuten und wird danach ungültig. Dasselbe gilt für die Links aus Einladungen und aus der Funktion für ein vergessenes Passwort.

E-Mail-Versand: Mails werden in einer Warteschlange abgelegt und von einem automatischen Lauf versendet. Nach dem Versand wird die Empfängeradresse aus der Warteschlange entfernt; es bleibt nur der Nachweis, dass versendet wurde.

Änderungsprotokoll: Anlegen, Ändern und Löschen von Datensätzen wird in einem technischen Protokoll festgehalten, damit Fehler und unbefugte Zugriffe nachvollziehbar bleiben. Es enthält keine IP-Adresse. Passwörter und Geheimnisse erscheinen darin nicht, sondern werden unkenntlich gemacht.

Zwecke: Einrichtung und Verwaltung der Zugänge, Nachweis und Absicherung der Anmeldungen, Erfüllung der Pflichten aus dem Hinweisgeberschutzgesetz und dem Lieferkettensorgfaltspflichtengesetz sowie Nachvollziehbarkeit von Änderungen.

Rechtsgrundlagen: Art. 6 Abs. 1 Buchst. f DSGVO für den sicheren Betrieb und die Absicherung der Zugänge. Art. 6 Abs. 1 Buchst. c DSGVO, soweit die Verarbeitung der Erfüllung gesetzlicher Pflichten dient, insbesondere der Pflicht zur Einrichtung und zum Betrieb einer internen Meldestelle. Art. 6 Abs. 1 Buchst. b DSGVO im Rahmen des Vertrags mit der Gesellschaft, für die der Zugang eingerichtet ist.

Speicherdauer: Ein Zugang wird gelöscht, wenn er nicht mehr benötigt wird, spätestens mit dem Ende des Vertrags über die Gesellschaft. Codes und Links werden nach Gebrauch oder Ablauf entwertet und mit dem nächsten automatischen Lauf entfernt. Einträge des Änderungsprotokolls werden nach 90 Tagen gelöscht. Nachweise über versendete E-Mails werden nach einem Jahr gelöscht.

7. Anfragen per E-Mail

Wenn Sie uns per E-Mail schreiben, verarbeiten wir die von Ihnen mitgeteilten Daten zur Bearbeitung der Anfrage.

Rechtsgrundlagen: Art. 6 Abs. 1 Buchst. b DSGVO, wenn die Anfrage auf einen Vertrag gerichtet ist. Im Übrigen Art. 6 Abs. 1 Buchst. f DSGVO aufgrund unseres Interesses an der sachgerechten Bearbeitung geschäftlicher Anfragen.

Speicherdauer: Anfragedaten werden nach Abschluss der Bearbeitung gelöscht, sofern kein Vertragsverhältnis entsteht und keine gesetzlichen Aufbewahrungspflichten oder berechtigten Nachweisinteressen entgegenstehen.

8. Empfänger und Auftragsverarbeiter

Personenbezogene Daten erhalten nur Stellen, die sie für die genannten Zwecke benötigen. Dazu können gehören:

• Hosting: Mittwald CM Service GmbH & Co. KG als Auftragsverarbeiter.
• E-Mail-Versand: der Anbieter des Postausgangsservers, über den die Benachrichtigungen versendet werden.
• Beratung und Behörden: Rechts-, Steuer- oder sonstige Berater sowie Behörden und Gerichte, soweit eine gesetzliche Pflicht besteht oder dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

9. Übermittlungen in Drittländer

Eine Übermittlung personenbezogener Daten in Staaten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nicht statt.

10. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für den jeweiligen Zweck erforderlich ist. Soweit in diesen Hinweisen keine besondere Frist genannt ist, werden die Daten nach Wegfall des Zwecks gelöscht oder anonymisiert, sofern keine gesetzliche Pflicht oder ein überwiegendes berechtigtes Interesse an der weiteren Speicherung besteht.

11. Rechtsgrundlagen im Überblick

• Art. 6 Abs. 1 Buchst. b DSGVO: Verarbeitung zur Durchführung eines Vertrags oder vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person.
• Art. 6 Abs. 1 Buchst. c DSGVO: Verarbeitung zur Erfüllung rechtlicher Pflichten.
• Art. 6 Abs. 1 Buchst. f DSGVO: Verarbeitung zur Wahrung unserer oder der berechtigten Interessen Dritter, sofern die Interessen oder Grundrechte der betroffenen Person nicht überwiegen.
• Art. 6 Abs. 1 Buchst. a DSGVO: Verarbeitung aufgrund einer Einwilligung, wenn im Einzelfall ausdrücklich eine Einwilligung eingeholt wird.

12. Ihre Rechte

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere folgende Rechte:

• Auskunft: Auskunft über die verarbeiteten personenbezogenen Daten und die in Art. 15 DSGVO genannten Informationen.
• Berichtigung: Berichtigung unrichtiger und Vervollständigung unvollständiger Daten nach Art. 16 DSGVO.
• Löschung: Löschung personenbezogener Daten nach Art. 17 DSGVO, soweit keine Ausnahme greift.
• Einschränkung: Einschränkung der Verarbeitung nach Art. 18 DSGVO.
• Datenübertragbarkeit: Erhalt bereitgestellter Daten in einem strukturierten, gängigen und maschinenlesbaren Format sowie Übermittlung an einen anderen Verantwortlichen nach Art. 20 DSGVO, soweit die gesetzlichen Voraussetzungen vorliegen.
• Widerspruch: Widerspruch gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 Buchst. e oder f DSGVO nach Art. 21 DSGVO.
• Widerruf: Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an mbb@vmbnet.de oder an die in Abschnitt 1 genannte Postanschrift. Zur Vermeidung unberechtigter Auskünfte können wir einen angemessenen Identitätsnachweis verlangen.

13. Besonderer Hinweis zum Widerspruchsrecht

Soweit wir personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen diese Verarbeitung Widerspruch einzulegen. Wir verarbeiten die betroffenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

14. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig für uns ist:

Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59-61
10555 Berlin
E-Mail: mailbox@datenschutz-berlin.de
Website: www.datenschutz-berlin.de

Sie können sich auch an eine andere nach Art. 77 DSGVO zuständige Aufsichtsbehörde wenden.

15. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen, um personenbezogene Daten vor Verlust, Manipulation, unbefugtem Zugriff und unberechtigter Offenlegung zu schützen. Dazu gehören insbesondere verschlüsselte Übertragung, Verschlüsselung vertraulicher Inhalte mit Schlüsseln, die nur den zuständigen Personen zugänglich sind, Berechtigungskonzepte, eine Anmeldung mit zwei Faktoren, Protokollierung sicherheitsrelevanter Ereignisse ohne IP-Adresse, Datensicherungen und regelmäßige Aktualisierung der eingesetzten Systeme. Die Maßnahmen werden entsprechend Risiko und technischer Entwicklung überprüft und angepasst.

16. Änderungen dieser Datenschutzhinweise

Wir passen diese Datenschutzhinweise an, wenn sich Funktionen, Datenverarbeitungen oder rechtliche Vorgaben ändern. Die jeweils aktuelle Fassung wird auf dieser Website bereitgestellt.