19. Nutzung des SR-TicketShops
Soweit Sie die auf unseren Webseiten angebotenen Leistungen, wie etwa kostenpflichtige Kauf von Tickets, in Anspruch nehmen wollen, ist es nötig, dass Sie dazu weitere personenbezogene Daten angeben. Einzelheiten hierzu können den nachfolgenden Regelungen entnommen werden.
19.1 Datenverarbeitung zwecks Vertragsabschluss im SR-TicketShop
Ihre personenbezogenen Daten, die Sie uns während des Buchungsprozesses (Ticket-Kauf) zur Verfügung stellen, sind für einen Vertragsabschluss mit uns erforderlich (z.B. Angaben zum Vertragspartner) bzw. gesetzlich notwendig (z.B. Steuervorschriften). Eine Nichtbereitstellung der personenbezogenen Daten hätte zur Folge, dass der Vertrag mit Ihnen nicht geschlossen werden könnte.
Die Verarbeitung Ihrer eingegebenen Daten erfolgt also für den Zweck der Vertragserfüllung bzw. zur Durchführung vorvertraglicher Maßnahmen gemäß Art. 6 Abs. 1 lit. b DSGVO und zur Erfüllung rechtlicher Verpflichtungen gemäß Art. 6 Abs. 1 lit. c DSGVO.
Empfänger der nach dieser Vorschrift verarbeiteten personenbezogenen Daten sind im Wesentlichen Finanzdienstleister (z.B. Zahlungsdienstleister), IT-Dienstleister (insb. Hosting), andere Verkehrsunternehmen (im Rahmen der Ticketprüfung), Auskunfteien, Rechtsbeistände, Behörden (Gerichte, Polizei, Finanzämter), Steuer- und Wirtschaftsprüfer, Call-Center (Kundendialog) sowie Markt- und Meinungsforschungsunternehmen (soweit eine Einwilligung vorliegt) mit denen wir entsprechende Auftragsverarbeitungsvereinbarungen gemäß Art. 28 DSGVO geschlossen haben.
Die zur Vertragsabwicklung erforderlichen Daten speichern wir bis zum Ablauf der gesetzlichen Gewährleistungs- und ggf. vertraglichen Garantiefristen. Die nach Handels- und Steuerrecht erforderlichen Daten bewahren wir für die gesetzlich bestimmten Zeiträume auf, regelmäßig zehn Jahre (vgl. § 257 HGB, § 147 AO). Die zur Durchführung vorvertraglicher Maßnahmen verarbeiteten Daten werden gelöscht, sobald die Maßnahmen durchgeführt wurden und es erkennbar nicht zu einem Vertragsschluss kommt.
19.2 Daten und Datenkategorien die verarbeitet werden
Nachfolgend erfolgt die Aufstellung der Daten und Datenkategorien, die im Wesentlichen verarbeitet werden:
personenbezogene Stammdaten (Personenstammdaten):
- Vor- und Nachnamen
- Rechnungsadresse (Straße, Hausnummer, Postleitzahl, Ort, Land)
- Geburtsdatum
- Geschlecht
- E-Mail-Adresse
- Ihre Kunden-ID
- Teilnahme Marktforschung ja/nein
- Werbung ja/nein
Sicherheitsdaten:
- Passwort
- Sicherheitsabfrage
Im Rahmen des eTarifs werden zusätzlich die folgenden Daten verarbeitet:
- Reise-ID
- Kunden-ID
- Kundenvertragspartner
- Nutzer
- Periode
- Quell-Zeit
- Ziel-Zeit
- Quell-Halt
- Ziel-Halt
- Wagenklasse
- Luftlinie
- Luftlinie (gerundet)
- Streckenlänge
- Streckenlänge (gerundet)
- Grundpreis
- Arbeitspreis
- Leistungspreis
- Basispreis
- Zubuchungspreis 1. Klasse
- Fahrtendeckelpreis 2. Klasse
- Fahrtendeckelpreis Zubuchung 1. Klasse
- Tagesdeckelpreis 2. Klasse
- Tagesdeckelpreis Zubuchung 1. Klasse
- Regelpreis
- Normalpreisstufe
- Deckelzeitraum abgeschlossen
- Preisdeckelfaktor auf Basispreis
- Preisdeckelfaktor auf Zubuchungspreis 1. Klasse
- Preisdeckelfaktor auf Regelpreis
- Buchungsvorgang
- EA-Verfahren
- Liste der Reiseabschnitte
- Liste der Reisefehler
19.3. eingesetzte Dienstleister und Vertragspartner
Im Rahmen der Leistungserbringung können die folgenden Dienstleister Zugriff auf Informationen erhalten:
- MENTZ GmbH (IT-Dienstleister)
Grillparzerstraße 18, 81675 München
E-Mail: info@mentz.net
Telefon +49 89 418680 - SpaceNet AG (IT-Dienstleister, Sub-Unternehmer MENTZ) Joseph-Dollinger-Bogen 14, 80807 München
E-Mail: info@space.net
Telefon +49 89 323560 - Sic[!] sec GmbH (Informationssicherheit, Sub-Unternehmer MENTZ) Schießsstraße 44, 85253 Erdweg
E-Mail info@sicsec.de
Telefon +49 81424425032 - Amazon Web Services (IT-Dienstleister, Sub-Unternehmer MENTZ) 38 Avenue John F. Kennedy, L-1855 Luxembourg
- OpenStreetMap Foundation (Kartendienstleister, Sub-Unternehmer MENTZ) 132 Maney Hill Road, Sutton Coldfield, West Midlands B72 1JU, Großbritannien
- LogPay (Finanzdienstleister)
Schwalbacher Straße 72, 65760 Eschborn
E-Mail customer@logpay.de
Telefon +800 0000 2030 - Paypal (Finanzdienstleister)
- Paypal (Europe) S.à r.i. et Cie, S.C.A., 22-24 Boulevard Royal, L-2249 Luxembourg, Luxembourg
E-Mail: impressum@paypal.com
Telefon 0800 7234 500
Im Rahmen des Vertrages zur gemeinsamen Verantwortlichkeit (Artikel 26 DSGVO) erhalten die folgenden Vertragspartner Zugriff auf Informationen:
19.4 Einbindung von Kartenmaterial
Wir binden Kartenmaterial von OpenStreetMap ein. Bei OpenStreetMap handelt es sich um ein Projekt der OpenStreetMap Foundation, 132 Maney Hill Road, Sutton Coldfield, West Midlands B72 1JU, Großbritannien, das frei nutzbare Geodaten sammelt und in einer Datenbank zur freien Nutzung vorhält.
Bei Interaktionen (wie z.B. die Suche nach Haltestellen) wird eine Verbindung zu den Servern der OpenStreetMap Foundation hergestellt und Daten zur OpenStreetMap Foundation übertragen, um eingebetteten Karten anzuzeigen.
Weitere Informationen zum Datenschutz im Zusammenhang mit OpenStreet Map finden Sie in der Datenschutzinformation der OpenStreetMap Foundation.
Beim Verbindungsaufbau zum Anzeigen der Karten werden folgende Daten an Server von OpenStreetMap übermittelt:
- IP-Adresse,
- verwendeter Browser und Gerät,
- Betriebssystem,
- Webseite, von der Sie auf die Seite der OpenStreetMap Foundation weitergeleitet wurden (referring web page) und
- Datum und Uhrzeit des Besuchs der Website
Falls Sie einen Benutzer-Account bei OpenStreetMap haben und bei dem Besuch unserer Webseite dort eingeloggt sind, werden zusätzlich folgende Daten an die Server von OpenStreetMap übertragen:
- Benutzer-ID,
- E-Mail-Adresse, die mit ihrem Account assoziiert wird und
- vom Benutzer blockierter Inhalt und assoziierte Nachrichten.
Die Einbindung erfolgt auf Grundlage des Art. 6 Abs. 1 S. 1 lit. b DSGVO, da die Einbindung der Karten im Rahmen der Darstellung der Fahrt erfolgt und einen vertraglichen Bestandteil darstellt.
19.5 Datenverarbeitung zur Berechnung des Fahrpreises
Zur Berechnung des Fahrpreises wird ein personalisiertes Bewegungsprofil der Fahrt erstellt. Hierzu wird fortlaufend der Standort getrackt und verarbeitet. Die Berechnung erfolgt in einer separaten Datenbank. Die Verknüpfung mit den Kundenstammdaten erfolgt über die Kunden-ID. Die Datenverarbeitung beruht auf Artikel 6 Absatz 1 Satz 1 lit. b DSGVO.
19.6 Datenverarbeitung zum Buchen der Käufe und Bezahlen
Der Kauf wird nach Buchhaltungsregeln in der Datenbank des SR-TicketShops gebucht. Der zu zahlende Betrag wird an den Finanzdienstleister weitergegeben. Die Datenverarbeitung beruht auf Artikel 6 Absatz 1 Satz 1 lit. b DSGVO.
Beim Buchen werden im Wesentlichen gespeichert
- Finanzinformationen (verkürzte IBAN/CC Nummer)
- Finanzdienstleister
- Zahlungsart
- Ihre Kunden-ID
- Bestellungs-ID
- Bestelldatum und Bestellstatus
- Angaben zum Verkehrsbund
- Angaben über Gesamtpreis der gekauften Tickets sowie Informationen zum Ticket (Ticket ID, Gültigkeit, Geltungsbereich, Zone, Starthaltestelle, Tickettyp, verfügbare/verbrauchte Einheiten, Preisstufe, Barcode, Kategorie (Klasse), Tarif, Produktnummer, EAV Code, Erstattung).
19.7 Datenverarbeitung im Kunden-Support und internen Stellen der Stadtwerke Remscheid GmbH
Zur Klärung von technischen Problemen können personenbezogene Daten, Abrechnungsdaten und Bewegungsdaten durch den IT-Dienstleister oder durch interne Stellen verarbeitet werden. Die Verarbeitung ist notwendig, um die vertraglich vereinbarte Leistung zu erbringen. Die Datenverarbeitung beruht auf Artikel 6 Absatz 1 Satz 1 lit. b DSGVO.
Im Rahmen des Kunden-Supports werden personenbezogenen Daten, Abrechnungsdaten und Bewegungsdaten durch Mitarbeiter der Stadtwerke Remscheid GmbH verarbeitet. Die Verarbeitung dient der Klärung von abrechnungstechnischen Fragestellungen. Die Verarbeitung ist notwendig, um die vertraglich vereinbarte Leistung zu erbringen. Die Datenverarbeitung beruht auf Artikel 6 Absatz 1 Satz 1 lit. b DSGVO.
Daneben können die Daten zur Aufdeckung von Abrechnungsbetrug oder vergleichbaren Fallgestaltungen durch die hierfür verantwortliche, interne Stelle des Verkehrsunternehmens verarbeitet werden. In besonderen Fällen können hierzu auch externe Spezialisten (z.B. Forensiker von Wirtschaftsprüfungsgesellschaften) beauftragt werden. Die Verarbeitung erfolgt, um wirtschaftlichen Schaden von unseren Kunden und vom Unternehmen abzuwenden. Die Datenverarbeitung beruht auf Artikel 6 Absatz 1 Satz 1 lit. f DSGVO.
Im Rahmen der Erstellung von internen Statistiken und Reports hinsichtlich der Nutzung der App, der Nutzung und der Wirkung des eTarifs sowie weiterer Fragestellungen werden Daten verarbeitet. Die Statistiken werden regelmäßig anonymisiert erstellt. In Einzelfällen besteht jedoch die Möglichkeit der Rückverfolgbarkeit. Die Datenverarbeitung beruht auf Artikel 6 Absatz 1 Satz 1 lit. f DSGVO.
19.8 Datenverarbeitung zur Einnahmeaufteilung
Mit der Einnahmenaufteilung werden Erlöse aus den eezy-Tarifen den jeweiligen Verkehrsunternehmen zugewiesen.
Um zu ermitteln, welcher Anteil der Erlöse aus Ihrer Reise welchem Verkehrsunternehmen im Detail zusteht, verarbeiten wir den Vertriebsdatensatz in gemeinsamer Verantwortlichkeit mit unseren Kooperationspartnern (siehe Ziffer 9.1.1.).
Zum Zwecke der Einnahmenaufteilung wird durch unsere Kooperationspartner Ihren Reisedaten aus dem Vertriebsdatensatz eine pseudonymisierte 24-Stunden-Kunden-ID zugeordnet. Dabei handelt es sich um eine temporäre Kunden-ID, die keine Identifikation Ihrer Person durch unsere Kooperationspartner ermöglicht und lediglich dazu dient, einzelne Reiseabschnitte einer Gesamtreise im Rahmen der eezy-Tarife zuzuordnen.
Bevor der Vertriebsdatensatz zur Einnahmenaufteilung verarbeitet wird, findet durch unsere Kooperationspartner eine vorgeschaltete Qualitäts- und Fehlerkontrolle statt (sog. „Meldungssteuerung“).
Die Verarbeitung Ihrer personenbezogenen Daten zum Zweck der Einnahmenaufteilung erfolgt gemäß Art. 6 Abs. 1 lit. b DSGVO zur Erfüllung des Vertrags mit Ihnen. Eine vorgeschaltete Meldungssteuerung hingegen basiert gemäß Art. 6 Abs. 1 lit. f DSGVO sowohl auf unserem als auch auf dem berechtigten Interesse unserer Kooperationspartner, eine validierte und geprüfte Datengrundlage zu haben und die Richtigkeit der Ergebnisse zu gewährleisten.
19.9 Datenverarbeitung zum Mindererlösausgleich
Mit der Einführung der eezy-Tarife kann es für die Verkehrsunternehmen zu sog. Mindererlösen kommen. Ursache hierfür ist unter anderem, dass für verbundraumübergreifende Fahrten eine – zu Ihren Gunsten geltende – Preisobergrenze je 24-Stunden-Zeitraum gilt. Um daraus resultierenden Erlösnachteilen für die Verkehrsunternehmen entgegenzuwirken, hat das Land Nordrhein-Westfalen eine Förderung dieser übernommen.
Für diese Förderung führt unser Kooperationspartner, das Kompetenzcenter Marketing NRW bei der Verkehrsverbund Rhein-Sieg GmbH (siehe Ziffer 9.1.2.) die Berechnung des Mindererlösausgleichs durch.
Diese Berechnung erfolgt auf der Basis des von uns bereitgestellten Vertriebsdatensatzes.
Zum Zwecke der Berechnung des Mindererlösausgleichs wird durch unseren Kooperationspartner Ihren Reisedaten aus dem Vertriebsdatensatz eine pseudonymisierte 24-Stunden-Kunden-ID zugeordnet. Dabei handelt es sich um eine temporäre Kunden-ID, die keine Identifikation Ihrer Person durch unseren Kooperationspartner ermöglicht und lediglich dazu dient, einzelne Reiseabschnitte einer Gesamtreise im Rahmen der eezy-Tarife zuzuordnen.
Bevor der Vertriebsdatensatz zur Berechnung des Mindererlösausgleichs verarbeitet wird, findet durch unseren Kooperationspartner, die Meldungssteuerung statt (hierzu ausführlich zuvor in Ziffer 2.7.1.).
Die Verarbeitung Ihrer personenbezogenen Daten zum Zweck der Berechnung des Mindererlösausgleichs erfolgt gemäß Art. 6 Abs. 1 lit. b DSGVO zur Erfüllung des Vertrags mit Ihnen. Die vorgeschaltete Meldungssteuerung hingegen basiert gemäß Art. 6 Abs. 1 lit. f DSGVO sowohl auf unserem als auch auf dem berechtigten Interesse unseres Kooperationspartners), eine validierte und geprüfte Datengrundlage zu haben und die Richtigkeit der Ergebnisse zu gewährleisten.
19.10 Datenverarbeitung zum Tarif-Controlling und zur Tarif-Kalkulation
Um mögliche Fehlentwicklungen im Rahmen der landesübergreifenden eezy-Tarife frühzeitig zu erkennen und ihnen durch neue Tarifkalkulationen entgegenzuwirken, wird durch unsere Kooperationspartner (siehe Ziffer 19.12.) ein Tarifcontrolling mit nachfolgenden Tarifkalkulationen zur Weiterentwicklung dieses Vertriebswegs durchgeführt.
Es handelt sich bei den eezy-Tarifen um vertrieblich und tariflich neue Angebote, über die bislang nur wenige Erkenntnisse zur Kundennutzung vorliegen.
Unsere Kooperationspartner erhalten von uns für das Tarifcontrolling den Vertriebsdatensatz mit Ihren personenbezogenen Daten. Zum Zwecke des Tarifcontrollings wird Ihnen bei der Erstellung des Vertriebsdatensatzes eine Kunden-ID durch uns zugeordnet.
Bevor der Vertriebsdatensatz zum Zweck des Tarifcontrollings verarbeitet wird, findet durch unsere Kooperationspartner die Meldungssteuerung statt (hierzu ausführlich zuvor in Ziffer 2.7.1.).
Die Verarbeitung der personenbezogenen Daten für das Tarifcontrolling (einschließlich der vorgeschalteten Meldungssteuerung) basiert gemäß Art. 6 Abs. 1 lit. f DSGVO auf den vorgenannten berechtigten Interessen. Die vorgeschaltete Meldungssteuerung basiert gemäß Art. 6 Abs. 1 lit. f DSGVO ebenfalls sowohl auf unserem als auch auf dem berechtigten Interesse unserer Kooperationspartner, eine validierte und geprüfte Datengrundlage zu haben und die Richtigkeit der Ergebnisse zu gewährleisten.
19.11 Datenverarbeitung zur Markt- und Meinungsforschung
Sofern eine Einwilligung erteilt wird, können die Daten für Zwecke der Markt- oder Meinungsforschung verwendet werden. Die Einwilligung kann jederzeit gegenüber der Stadtwerke Remscheid GmbH widerrufen werden. In diesem Fall leitet die Stadtwerke Remscheid GmbH den Widerspruch unverzüglich an das KCM und dem VRR AöR weiter. Die Datenverarbeitung beruht auf Artikel 6 Absatz 1 Satz 1 lit. a DSGVO.
Bei einer Einwilligung in die Markt- und Meinungsforschung werden im Rahmen des eTarifs NRW die Personenstammdaten sowie weitere Informationen durch das Verkehrsunternehmen an das KCM und im Rahmen des eTarifs VRR an den VRR AöR übermittelt.
Es werden im Rahmen der Markt- und Meinungsforschung der Vor- und Nachnahme, die E-Mail-Adresse und die PLZ übermittelt. Zuvor kann eine Selektierung nach bestimmten Kriterien (z.B. Alter, Streckenlänge, etc.) erfolgen, damit nur die Daten der Personen der Zielgruppe übermittelt werden. Bei der Durchführung der Markt- und Meinungsforschung können durch das KCM oder den VRR AöR weitere Dienstleister eingebunden werden. Die Verantwortung für die Auswahl und Beauftragung obliegt dem KCM bzw. dem VRR AöR. Hierauf hat das Verkehrsunternehmen keinen Einfluss.
19.12 Kooperationspartner eTarif
Die zuvor beschriebenen Daten der Nummern 19.8 bis 19.11 können an die folgenden Partner übermittelt werden: