Datenverarbeitungsaddendum (Anhang B)

Zum Partnerrahmenvertrag v2.1 — gemäss Art. 28 DSGVO und nDSG

Hinweis: Dieses Datenverarbeitungsaddendum («DPA» oder «Addendum») ist integraler Bestandteil des PAMOOX-Partnerrahmenvertrags Version 2.1 («Hauptvertrag»). Es regelt die Verarbeitung personenbezogener Daten, die im Zusammenhang mit der Erbringung von Transportvermittlungsdienstleistungen über die PAMOOX-Plattform anfallen. Begriffe, die in diesem Addendum nicht gesondert definiert werden, haben die ihnen im Hauptvertrag zugewiesene Bedeutung.

Abschnitt 1 — Vertragsparteien

PAMOOX GmbH («PAMOOX») Zürich, Schweiz Kontakt Datenschutz: privacy@pamoox.ch

Partner:

Abschnitt 2 — Präambel und Rollenverteilung

Die Parteien verarbeiten im Rahmen ihrer Geschäftsbeziehung personenbezogene Daten in unterschiedlichen Rollen, die nachstehend für jede Datenkategorie klar festgelegt werden.

2.1 PAMOOX als Verantwortlicher, Partner als Auftragsverarbeiter

Für die in Abschnitt 4.1 aufgeführten Fahrgastdaten und buchungsbezogenen Daten, die PAMOOX dem Partner zur Durchführung von Fahrten zur Verfügung stellt, handelt PAMOOX als datenschutzrechtlich Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO und Art. 5 lit. i nDSG. Der Partner handelt als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO und Art. 5 lit. k nDSG.

2.2 Partner als Verantwortlicher, PAMOOX als Auftragsverarbeiter

Für Daten der beim Partner angestellten oder durch den Partner vermittelten Fahrerinnen und Fahrer («Flottendaten»), die der Partner PAMOOX zur Plattformregistrierung, Dispatcher-Funktionalität und Fahrerauthentifizierung übermittelt, handelt der Partner als Verantwortlicher. PAMOOX verarbeitet diese Flottendaten als Auftragsverarbeiter.

2.3 Gemeinsame Verantwortlichkeit

Soweit beide Parteien gemeinsam über Zwecke und Mittel der Verarbeitung entscheiden — insbesondere bei der Erstellung kombinierter Berichts- und Abrechnungsdaten — sind sie gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO. Die Parteien werden in solchen Fällen ihre jeweiligen Verantwortlichkeiten schriftlich abstimmen.

Die nachfolgenden Bestimmungen dieses DPA gelten für alle drei Konstellationen, soweit aus dem Kontext nicht etwas anderes hervorgeht.

Abschnitt 3 — Gegenstand, Dauer und Rechtsgrundlage der Verarbeitung

3.1 Gegenstand

Gegenstand der Verarbeitung ist die Übermittlung, Speicherung und Nutzung personenbezogener Daten, die für die Vermittlung und Durchführung von Fahrdiensten über die PAMOOX-Plattform erforderlich sind, einschliesslich:

• Buchungsbestätigungen und Buchungsdetails an den Partner;
• Fahrgastkontaktdaten zum Zweck der Fahrtdurchführung;
• Standortdaten des Fahrzeugs während der aktiven Fahrt (Echtzeit-Tracking);
• Bewertungsdaten nach Fahrtabschluss;
• Flottendaten des Partners (Fahrzeug- und Fahrerzulassungen).

3.2 Dauer

Die Verarbeitung personenbezogener Daten durch den jeweiligen Auftragsverarbeiter erfolgt für die Dauer des Hauptvertrags. Nach Beendigung des Hauptvertrags ist der Auftragsverarbeiter verpflichtet, alle personenbezogenen Daten gemäss Abschnitt 11 zurückzugeben oder zu löschen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

3.3 Rechtsgrundlage

Die Verarbeitung personenbezogener Daten durch PAMOOX als Verantwortlichen stützt sich auf:

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für die Abwicklung der Buchungen;
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) für die Erfüllung steuerlicher und buchhalterischer Aufbewahrungspflichten;
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) für Betrugserkennungs- und Sicherheitsmassnahmen;
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für die Verarbeitung von Standortdaten ausserhalb der aktiven Fahrt sowie für Marketingkommunikation.

Abschnitt 4 — Kategorien personenbezogener Daten und betroffene Personen

4.1 Fahrgastdaten (PAMOOX als Verantwortlicher)

Betroffene Personen: Fahrgäste, die über die PAMOOX-Plattform Buchungen aufgeben.

4.2 Fahrer- und Flottendaten (Partner als Verantwortlicher)

Betroffene Personen: Fahrerinnen und Fahrer, die über den Partner auf der PAMOOX-Plattform tätig sind.

4.3 Besondere Kategorien personenbezogener Daten

Die Parteien bestätigen, dass sie im Rahmen dieses DPA grundsätzlich keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO verarbeiten. Sollte eine solche Verarbeitung in Einzelfällen erforderlich werden (z. B. Angaben zu Behinderungen für barrierefreie Fahrzeuge), wird dies in einer gesonderten schriftlichen Ergänzung zu diesem DPA geregelt, die eine ausdrückliche Einwilligung der betroffenen Person und geeignete technisch-organisatorische Schutzmassnah men vorschreibt.

Abschnitt 5 — Pflichten des Auftragsverarbeiters

Der jeweilige Auftragsverarbeiter verpflichtet sich gegenüber dem Verantwortlichen zu folgenden Massnahmen:

5.1 Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschliesslich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch das Recht der Europäischen Union oder eines Mitgliedstaats oder durch das Schweizer Recht zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtliche Verpflichtung vor der Verarbeitung mit, sofern das jeweilige Recht eine solche Mitteilung nicht verbietet. Die in diesem DPA getroffenen Regelungen stellen die dokumentierte Grundweisung dar; darüber hinausgehende Weisungen bedürfen der Schriftform.

5.2 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass alle Personen, die zur Verarbeitung personenbezogener Daten befugt sind, einer angemessenen gesetzlichen oder vertraglichen Vertraulichkeitspflicht unterliegen. Diese Verpflichtung besteht über die Beendigung des Beschäftigungs- oder Dienstverhältnisses hinaus.

5.3 Technische und organisatorische Massnahmen (TOMs)

Der Auftragsverarbeiter implementiert und unterhält geeignete technische und organisatorische Massnahmen gemäss Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Diese Massnahmen umfassen insbesondere:

• Pseudonymisierung und Verschlüsselung personenbezogener Daten, soweit technisch möglich und verhältnismässig; mindestens TLS 1.2 für Daten in Übertragung, AES-256 für Daten in Speicherung;
• Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme und -dienste;
• Wiederherstellbarkeit der Verfügbarkeit und des Zugangs zu personenbezogenen Daten nach einem physischen oder technischen Zwischenfall; Wiederherstellungsziel (RTO): 24 Stunden, Datenverlust-Ziel (RPO): 4 Stunden;
• Regelmässige Tests, Beurteilungen und Evaluierungen der Wirksamkeit der technischen und organisatorischen Massnahmen;
• Zugriffskontrolle nach dem Prinzip der minimalen Berechtigung (Least Privilege); Mehr-Faktor-Authentifizierung für alle Systeme, die personenbezogene Daten verarbeiten;
• Protokollierung und Audittrail aller Zugriffe auf personenbezogene Daten für eine Mindestdauer von zwölf (12) Monaten.

Der Auftragsverarbeiter dokumentiert diese Massnahmen und stellt dem Verantwortlichen auf Verlangen einen aktuellen TOM-Nachweis bereit.

5.4 Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen, soweit nach dem Grundsatz der Verhältnismässigkeit möglich und unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen, bei der Erfüllung der Pflichten des Verantwortlichen in Bezug auf:

• Beantwortung von Anfragen betroffener Personen zur Ausübung ihrer Rechte gemäss Kapitel III DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch);
• Massnahmen gemäss Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung);
• Meldepflichten gegenüber Aufsichtsbehörden.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn ihm eine Anfrage einer betroffenen Person zu dessen Daten zugeht. Er beantwortet eine solche Anfrage nicht selbstständig, es sei denn, er ist durch den Verantwortlichen dazu ausdrücklich ermächtigt.

5.5 Meldepflicht bei Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung der Sicherheit personenbezogener Daten («Datenpanne») unverzüglich — in jedem Fall innerhalb von vierundzwanzig (24) Stunden nach Kenntnisnahme — per E-Mail an privacy@pamoox.ch (bei PAMOOX als Verantwortlichem) bzw. an die in Abschnitt 1 eingetragene Datenschutz-E-Mail-Adresse (bei Partner als Verantwortlichem). Die Meldung hat mindestens zu enthalten: eine Beschreibung der Art der Verletzung, die betroffenen Datenkategorien und Personengruppen, eine vorläufige Schätzung der Anzahl betroffener Personen sowie die ergriffenen und geplanten Abhilfemassnahmen. Soweit zum Zeitpunkt der Erstmeldung nicht alle Informationen verfügbar sind, sind sie unverzüglich nachzuliefern. Die 24-Stunden-Frist dient der Unterstützung des Verantwortlichen bei der Einhaltung seiner eigenen 72-Stunden-Meldefrist nach Art. 33 DSGVO.

5.6 Auditrecht

Der Verantwortliche ist berechtigt, die Einhaltung der Bestimmungen dieses DPA durch den Auftragsverarbeiter zu überprüfen. Zu diesem Zweck:

• stellt der Auftragsverarbeiter dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses DPA zur Verfügung;
• ermöglicht er Inspektionen und Audits, die vom Verantwortlichen oder einem vom Verantwortlichen beauftragten Prüfer durchgeführt werden.

Audits sind mit einer Vorankündigungsfrist von mindestens dreissig (30) Tagen schriftlich anzukündigen, dürfen während der normalen Geschäftszeiten durchgeführt werden und dürfen den laufenden Betrieb des Auftragsverarbeiters nicht unverhältnismässig beeinträchtigen. Die Kosten eines Audits trägt der Verantwortliche, es sei denn, das Audit ergibt eine wesentliche Verletzung dieses DPA durch den Auftragsverarbeiter — in diesem Fall trägt der Auftragsverarbeiter die angemessenen Kosten. Anstelle eines physischen Audits kann der Auftragsverarbeiter einen aktuellen Bericht eines unabhängigen Dritten (z. B. ISO 27001-Zertifizierung, SOC 2 Type II-Bericht) einreichen, der als gleichwertiger Nachweis anerkannt wird, sofern er die geprüften Verarbeitungstätigkeiten abdeckt.

Abschnitt 6 — Unterauftragsverarbeiter

6.1 Genehmigung bekannter Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, die in Abschnitt 6.2 aufgeführten Unterauftragsverarbeiter einzusetzen. Eine darüber hinausgehende Änderung des Unterauftragsverarbeiters oder der Einsatz eines neuen Unterauftragsverarbeiters erfordert die vorherige schriftliche Zustimmung des Verantwortlichen (Ziff. 6.3).

6.2 Genehmigte Unterauftragsverarbeiter

6.3 Änderungen der Unterauftragsverarbeiter

Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen der Unterauftragsverarbeiter (Hinzufügen oder Ersetzen) schriftlich mit einer Vorlaufzeit von mindestens vierzehn (14) Tagen. Der Verantwortliche kann einer solchen Änderung innerhalb von vierzehn (14) Tagen widersprechen, wenn er hierfür triftige datenschutzrechtliche Gründe nachweisen kann. Kann keine Einigung erzielt werden, ist der Verantwortliche berechtigt, diesen Hauptvertrag ausserordentlich zu kündigen, ohne dass hieraus eine Vertragsstrafe entsteht.

6.4 Pflichten gegenüber Unterauftragsverarbeitern

Der Auftragsverarbeiter schliesst mit jedem Unterauftragsverarbeiter eine Vereinbarung ab, die diesem mindestens die gleichen datenschutzrechtlichen Pflichten auferlegt, wie sie dem Auftragsverarbeiter durch dieses DPA obliegen. Der Auftragsverarbeiter bleibt dem Verantwortlichen gegenüber für die Erfüllung der Pflichten der Unterauftragsverarbeiter vollumfänglich verantwortlich.

6.5 Drittlandübermittlungen

Soweit Unterauftragsverarbeiter Daten in Länder ausserhalb des EWR oder der Schweiz übermitteln, die kein angemessenes Datenschutzniveau bieten, stellt der Auftragsverarbeiter sicher, dass geeignete Garantien im Sinne von Art. 46 DSGVO (insbesondere Standardvertragsklauseln der Europäischen Kommission, 2021/914/EU) und für Schweizer Übermittlungen gemäss den Anforderungen des EDÖB vorliegen. Auf Anfrage legt der Auftragsverarbeiter die einschlägigen Übermittlungsgarantien vor.

Abschnitt 7 — Rückgabe und Löschung von Daten

7.1 Rückgabe auf Verlangen

Auf schriftliches Verlangen des Verantwortlichen gibt der Auftragsverarbeiter diesem alle personenbezogenen Daten, die er in seiner Eigenschaft als Auftragsverarbeiter verarbeitet, in einem gängigen, maschinenlesbaren Format (CSV, JSON oder XML) zurück. Die Rückgabe erfolgt innerhalb von dreissig (30) Tagen nach Eingang des Verlangens.

7.2 Löschung nach Vertragsende

Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter alle personenbezogenen Daten, die er im Auftrag des Verantwortlichen verarbeitet hat, unwiderruflich oder gibt sie zurück, und zwar innerhalb von neunzig (90) Tagen nach dem Beendigungsdatum, sofern der Verantwortliche nicht die Rückgabe verlangt. Kopien, die ausschliesslich zur Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind, bleiben von dieser Löschungspflicht ausgenommen; sie werden nach Ablauf der jeweiligen Aufbewahrungsfrist unverzüglich gelöscht.

7.3 Löschnachweis

Der Auftragsverarbeiter bestätigt dem Verantwortlichen die Löschung schriftlich innerhalb von vierzehn (14) Tagen nach Abschluss des Löschvorgangs.

7.4 Aufbewahrungspflichten

Die Parteien erkennen an, dass schweizerisches und EU-Recht bestimmte Aufbewahrungspflichten vorsehen (z. B. Art. 958f OR: 10 Jahre für Buchungsunterlagen; Art. 70 MWSTG: 10 Jahre für Mehrwertsteuerunterlagen). Personenbezogene Daten, die in solche Unterlagen eingebettet sind, dürfen während der Aufbewahrungsfrist nicht gelöscht werden, sind aber nach Ablauf der Frist unverzüglich zu löschen.

Abschnitt 8 — Haftung

8.1 Haftung des Auftragsverarbeiters gegenüber betroffenen Personen

Jede Partei haftet für Schäden, die betroffenen Personen durch eine Verarbeitung entstehen, die gegen die DSGVO oder das nDSG verstösst und die diese Partei zu verantworten hat. Ein Auftragsverarbeiter haftet für den durch eine Verarbeitung verursachten Schaden nur dann, wenn er die ihm nach der DSGVO auferlegten Pflichten nicht erfüllt hat oder wenn er unter Ausserachtlassung der rechtmässigen Anweisungen des Verantwortlichen oder gegen diese gehandelt hat (Art. 82 DSGVO).

8.2 Innenverhältnis

Im Innenverhältnis zwischen den Parteien trägt jede Partei den Schadensanteil, den sie gemäss Art. 82 Abs. 3 DSGVO zu vertreten hat. Hat eine Partei eine Schadensersatzzahlung geleistet, die den von ihr zu verantwortenden Anteil übersteigt, ist sie berechtigt, bei der anderen Partei Rückgriff zu nehmen.

8.3 Haftungsbegrenzung

Die Haftung der Parteien untereinander aus diesem DPA ist, vorbehaltlich zwingender gesetzlicher Regelungen, auf den Betrag begrenzt, der der Gesamtheit der im Jahr vor dem schadensbegründenden Ereignis vom Partner an PAMOOX entrichteten oder von PAMOOX an den Partner ausgezahlten Vergütung entspricht, höchstens jedoch CHF 500'000 pro Schadensereignis. Diese Begrenzung gilt nicht für Schäden aus grober Fahrlässigkeit oder Vorsatz sowie nicht für Schäden aus der Verletzung besonderer Kategorien personenbezogener Daten gemäss Art. 9 DSGVO.

Abschnitt 9 — Anwendbares Recht und Gerichtsstand

Dieses DPA unterliegt Schweizer Recht unter Ausschluss kollisionsrechtlicher Vorschriften. Soweit zwingende Regelungen der DSGVO anwendbar sind, haben diese Vorrang vor dem Schweizer Recht, soweit sie strenger sind.

Für Streitigkeiten aus oder im Zusammenhang mit diesem DPA sind die ordentlichen Gerichte in Zürich, Schweiz, ausschliesslich zuständig. Die Parteien verpflichten sich, Streitigkeiten zunächst dreissig (30) Tage lang durch direkte Verhandlung beizulegen, bevor ein Gericht angerufen wird.

Die Anrufung der zuständigen Datenschutzaufsichtsbehörde (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, EDÖB; oder, soweit DSGVO anwendbar, die zuständige europäische Aufsichtsbehörde) bleibt von dieser Klausel unberührt.

Abschnitt 10 — Verschiedenes

10.1 Hierarchie. Im Falle von Widersprüchen zwischen diesem DPA und dem Hauptvertrag hat dieses DPA für datenschutzrechtliche Fragen Vorrang.

10.2 Salvatorische Klausel. Sollte eine Bestimmung dieses DPA ganz oder teilweise unwirksam sein, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. Die Parteien verpflichten sich, eine unwirksame Bestimmung durch eine wirksame Regelung zu ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung möglichst nahekommt.

10.3 Änderungen. Änderungen dieses DPA bedürfen der Schriftform und der Unterzeichnung durch beide Parteien. Dies gilt auch für eine Aufhebung des Schriftformerfordernisses selbst.

10.4 Vollständigkeit. Dieses DPA, zusammen mit dem Hauptvertrag und den Anhängen A und B, enthält die vollständige Vereinbarung der Parteien in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen ihrer Geschäftsbeziehung und ersetzt alle früheren mündlichen oder schriftlichen Vereinbarungen zu diesem Gegenstand.

10.5 Referenz auf Art. 28 DSGVO. Dieses DPA wurde verfasst, um den Anforderungen von Art. 28 DSGVO an eine schriftliche Vereinbarung zwischen Verantwortlichem und Auftragsverarbeiter zu entsprechen. Die Parteien bestätigen, dass der Inhalt dieses DPA alle in Art. 28 Abs. 3 DSGVO aufgeführten Mindestanforderungen erfüllt.

Abschnitt 11 — Unterschriften

Durch ihre Unterschriften bestätigen die Parteien, dieses Datenverarbeitungsaddendum gelesen, verstanden und im Namen des jeweiligen Unternehmens rechtsverbindlich angenommen zu haben.

Für PAMOOX GmbH (Verantwortlicher / Auftragsverarbeiter):

Unterschrift: ________________________________

Name (in Druckbuchstaben): ___________________

Funktion: ___________________________________

Datum: _____________________________________

Ort: Zürich, Schweiz

Für den Partner (Auftragsverarbeiter / Verantwortlicher):

Unterschrift: ________________________________

Name (in Druckbuchstaben): ___________________

Funktion: ___________________________________

Datum: _____________________________________

Ort: _______________________________________

Dieses Datenverarbeitungsaddendum (Anhang B) bildet zusammen mit dem PAMOOX-Partnerrahmenvertrag v2.1 und den Kommerziellen Bedingungen (Anhang A) die vollständige Vereinbarung zwischen den Parteien hinsichtlich der Verarbeitung personenbezogener Daten.

Rechtsgrundlage: Art. 28 der Verordnung (EU) 2016/679 (DSGVO) und Art. 9 ff. des Schweizer Bundesgesetzes über den Datenschutz (DSG/nDSG).

PAMOOX GmbH — privacy@pamoox.ch — Zürich, Schweiz