Sicherheit und Daten: zum Selbstprüfen.

• Microsoft dient nur zur Anmeldung und zur Prüfung, dass eine Person bei Ihrem Unternehmen arbeitet. Comrido ruft Microsoft Graph nicht auf und hat keinen Zugriff auf E-Mails, Kalender, Dateien, Kontakte, Verzeichnis oder Teams-Chats.
• Ihr Unternehmen erhält keine Angaben zu einzelnen Personen. Es gibt kein Arbeitgeber-Dashboard mit persönlichen Daten.
• Betrieb auf einem Server in Deutschland (dogado GmbH, Leipzig). Comrido hat keine Zertifizierung (ISO 27001, SOC 2, TISAX) und behauptet keine.
• Was heute noch fehlt, steht ohne Beschönigung im Abschnitt „Was noch fehlt“.

• Bei der Anmeldung fragt Comrido diese Bereiche an: openid, profile, email und den eigenen Bereich access_as_user der Comrido-API. Mehr nicht.
• Aus dem Token liest Comrido nur die Kennung Ihrer Organisation, die Kennung des Kontos und die Arbeits-E-Mail-Adresse. Den Namen liest Comrido nicht aus; Anzeigenamen geben die Mitarbeitenden selbst ein.
• Der Bereich access_as_user weist den Browser oder Teams gegenüber der Comrido-API aus. Er gibt keinen Zugriff auf Daten bei Microsoft.
• Die API prüft jedes Token: Signatur gegen die Schlüssel des Mandanten, Aussteller, Zielgruppe und Bereich. Nur Unternehmen, die wir freigeschaltet haben, können sich anmelden; jeder andere Mandant wird abgewiesen.
• Die Teams-App ist ein einzelner persönlicher Tab mit genau einer Domain. Sie hat keine Geräteberechtigungen (Kamera, Mikrofon, Standort), keinen Bot, keine Nachrichten-Erweiterung und keine Berechtigungen für Chats oder Kanäle.
• So prüfen Sie es: Die Zustimmungsseite von Microsoft bei der ersten Anmeldung listet die Berechtigungen. Im Teams Admin Center zeigt Teams-Apps → Apps verwalten → Comrido Version, Berechtigungen und Domain; die ZIP-Datei enthält die lesbare manifest.json. In Entra ID zeigt Unternehmensanwendungen → Comrido → Berechtigungen, was Ihr Mandant erteilt hat.

• Identität: Kennung von Organisation und Konto, Beschäftigungsstatus, Prüfdaten. Kein Passwort. Die Arbeits-E-Mail-Adresse bleibt nur so lange bei der Sitzung, wie diese besteht, damit Hinweis-E-Mails ohne erneutes Eintippen eingeschaltet werden können; beim Abmelden wird sie gelöscht.
• Profil: frei gewählter Anzeigename; Klarname und Berufsbezeichnung sind optional und für andere nur sichtbar, wenn die Person es erlaubt.
• Arbeitsweg: Arbeitsort, Startgebiet (Postleitzahl, Straße ohne Hausnummer oder ungefährer Kartenpunkt), Wochenroutine, Fahrzeug und angebotene Plätze. Eine exakte Hausadresse ist nie Pflicht; andere sehen nur ein ungefähres Gebiet.
• Zusammenarbeit: Fahrten, Textnachrichten zwischen abgestimmten Personen, Bewertungen und Meldungen.
• Matching über Unternehmensgrenzen hinweg ist eine Einstellung jeder Person (Standard: an). Ihr Unternehmen kann sie nicht auslesen.
• Was Ihr Unternehmen sieht: nichts über einzelne Personen. Es gibt keine Ansicht für Arbeitgeber. Auswertungen, die wir selbst erstellen (Strecken, Zeiten), betrachten wir erst ab fünf Personen. Wir als Betreiber sehen Kennzahlen, Sicherheitsmeldungen, Einschränkungen und Beta-Anmeldungen. Auf Wunsch schicken wir dem Unternehmen eine Monatsübersicht mit reinen Gesamtzahlen (ab 5 Personen); jedes Ansehen und jeder Export wird protokolliert.
• So prüfen Sie es: Mit einem Testkonto in der App unter „Meine Daten herunterladen“ sehen Sie alles, was über eine Person gespeichert ist. Die Datenschutzerklärung beschreibt dieselben Kategorien.

• Jede Person kann ihr Konto in der App selbst löschen. Offene Fahrten werden abgesagt; Profil, Routine, Nachrichten, Sperren, Partner, Gruppen, Geräte, Hinweise und Anmeldungen werden gelöscht. Vergangene Fahrten und Bewertungen bleiben ohne Namen.
• Ausscheiden: Die Zugehörigkeit zu Ihrem Unternehmen wird alle 30 Tage über die Microsoft-Anmeldung erneut geprüft; dann muss sich die Person neu anmelden. Wer das Unternehmen verlässt, kann sich nicht mehr anmelden. Konten, deren Arbeitskonto 12 Monate nicht bestätigt werden konnte, löscht Comrido automatisch (täglicher Lauf).
• Automatisch gelöscht werden außerdem: beendete Sitzungen samt E-Mail-Adresse (täglich), Anfragen für Benachrichtigungen nach 12 Monaten, Sicherheitsmeldungen, Einschränkungen, Hinweise und Nachweise der Nutzungsbedingungen 2 Jahre nach Kontolöschung. Fahrtanfragen verfallen nach 48 Stunden. Einträge, über wen jemand mit einem Hinweis auf neue passende Personen informiert wurde, nach 12 Monaten. Anfragen „Unternehmen um Unterstützung bitten“: nach 12 Monaten. Sitzungen enden nach 30 Tagen ohne Nutzung, spätestens nach 90 Tagen; jede Person kann sich überall abmelden.
• So prüfen Sie es: Legen Sie ein Testkonto an, löschen Sie es in der App und laden Sie vorher die Daten herunter. Die Fristen stehen in der Datenschutzerklärung, Abschnitt Speicherdauer.

• Hosting: ein Server bei der dogado GmbH in Leipzig. Die Datenbank ist von außen nicht erreichbar. Alle Adressen nutzen HTTPS mit HSTS (ein Jahr).
• Dienstleister und was sie erhalten: dogado GmbH, Leipzig (Hosting). INWX GmbH (Domain). Brevo, Sendinblue SAS, Frankreich (App-E-Mails: Empfängeradresse und Inhalt; mit Auftragsverarbeitungsvertrag). Microsoft Ireland (nur Anmeldung). TomTom International B.V., Niederlande (Ortssuche und Fahrzeiten: eingegebener Suchtext, Start und Ziel, Position auf etwa 1 km gerundet; keine IP-Adresse, kein Name). OpenStreetMap Foundation, Großbritannien (Kartenbilder; sieht die IP-Adresse des Geräts). Open-Meteo, Schweiz (Wetter für ein auf etwa 10 km gerundetes Gebiet). Push-Dienste von Google, Apple und Mozilla (nur wenn die Person Push einschaltet).
• Statistik gibt es nur auf der Startseite comrido.com, über eigenes Umami ohne Cookies und ohne Auslesen des Geräts. Die App selbst hat keine Statistik.
• Eine Vorlage für eine Auftragsverarbeitungsvereinbarung (AVV) zwischen Ihrem Unternehmen und Comrido gibt es noch nicht. Wenn Ihre Datenschutzabteilung eine möchte, schreiben Sie uns; wir erstellen sie dann.
• So prüfen Sie es: Jeder TLS-Test (zum Beispiel SSL Labs) und ein Blick in die Antwort-Header von app.comrido.com zeigen die Verschlüsselung und die Schutz-Header. Die Dienstleister stehen auch in der Datenschutzerklärung.

• Sitzungen: Das Sitzungs-Cookie ist HttpOnly und Secure; sein Wert ist ein zufälliger 256-Bit-Wert, in der Datenbank liegt nur dessen Hash. Jede Anfrage prüft die Sitzung und die aktuelle Zugehörigkeit zum Unternehmen.
• Missbrauchsschutz: Ratenbegrenzung für die gesamte API (300 Anfragen pro Minute je Sitzung oder IP-Adresse), strenger bei Anmeldung und Formularen. Eingaben werden auf dem Server gegen ein Schema geprüft; die Datenbank begrenzt Längen.
• Browser-Schutz: Content-Security-Policy, Einbettung der App nur durch Teams und Microsoft 365 (frame-ancestors), X-Content-Type-Options, Referrer-Policy und Permissions-Policy. Die API liefert nur JSON und erlaubt keine Einbettung.
• Verwaltungskonsole: eigene Adresse, Passwortschutz davor und ein Einmal-Link, der nur an eine feste Betreiberadresse gesendet wird (15 Minuten, einmal nutzbar, 12 Stunden Sitzung). Rollen und Rechte sind getrennt; Aktionen werden im Prüfprotokoll festgehalten, sensible verlangen eine Begründung.
• Protokolle: ohne Anfrageinhalte, Cookies oder persönliche Daten; höchstens 30 MB je Dienst, danach überschrieben.
• Qualitätssicherung: automatisierte Tests (rund 70 Testdateien und Browser-Tests) laufen bei der Entwicklung.
• So prüfen Sie es: Ein Browser-Entwicklerwerkzeug zeigt Cookie-Merkmale und Header. Ein Sicherheitstest Ihrer Wahl gegen app.comrido.com ist willkommen, wenn Sie uns vorher schreiben.

• Keine Zertifizierung: weder ISO 27001 noch SOC 2 noch TISAX.
• Es gab noch keinen unabhängigen Penetrationstest.
• Chat-Nachrichten liegen im Klartext in der Datenbank (nicht Ende-zu-Ende verschlüsselt). Verschlüsselung der Datenträger beim Hoster ist nicht dokumentiert.
• Die Verwaltungskonsole nutzt Passwort und Einmal-Link, keine echte Mehrfaktor-Anmeldung.
• Nachrichten und vergangene Fahrten aktiver Konten werden noch nicht automatisch gelöscht (geplant: Nachrichten nach 90 Tagen, Fahrten nach 12 Monaten).
• Sicherung: Der Server wird nachts gesichert. Aufbewahrungsdauer, Verschlüsselung und Wiederherstellungstests der Sicherung sind nicht dokumentiert; gelöschte Daten können bis dahin in Sicherungen bleiben.
• Ausscheiden wird erst beim nächsten Prüftermin bemerkt (bis etwa 30 Tage), nicht in Echtzeit.
• Es gibt keine AVV-Vorlage, keine Statusseite, keinen festen Vorfallprozess und keine zugesagte Verfügbarkeit.

Bitte melden Sie Sicherheitslücken vertraulich an info@comrido.com. Die Kontaktdaten stehen auch in security.txt.