Auftrags­verarbeitung

1. CapoRide stellt dem Kunden die Dispositions-Software CapoRide bereit und verarbeitet dabei personenbezogene Daten im Auftrag des Kunden. Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien der betroffenen Personen stehen in Anlage 1.

2. Der Vertrag gilt, solange CapoRide Daten für den Kunden verarbeitet. Er endet mit der Löschung der Daten nach § 8.

1. CapoRide verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind dieser Vertrag, die AGB und die Einstellungen und Eingaben, die der Kunde in CapoRide vornimmt. Weitere Weisungen erteilt der Kunde in Textform.

2. Ist CapoRide durch Unionsrecht oder österreichisches Recht zu einer anderen Verarbeitung verpflichtet, teilt CapoRide das dem Kunden vorher mit, sofern das Recht es nicht verbietet.

3. Hält CapoRide eine Weisung für rechtswidrig, weist CapoRide den Kunden unverzüglich darauf hin.

Alle Personen, die bei CapoRide Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Die Pflicht besteht nach dem Ende des Vertrags fort.

CapoRide trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Sie stehen in Anlage 3. CapoRide darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

1. Der Kunde genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. CapoRide verpflichtet jeden von ihnen vertraglich auf Datenschutzpflichten, die diesem Vertrag entsprechen.

2. Einen neuen oder ausgetauschten Unterauftragsverarbeiter kündigt CapoRide mindestens 30 Tage vorher per E-Mail an. Der Kunde kann in dieser Zeit aus wichtigem Grund widersprechen. Lässt sich der Einwand nicht ausräumen, kann der Kunde den Vertrag zum Wirksamwerden der Änderung kündigen.

3. Eine Übermittlung in ein Land außerhalb der EU bzw. des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

1. CapoRide unterstützt den Kunden mit geeigneten Maßnahmen dabei, Anträge betroffener Personen zu beantworten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Wendet sich eine betroffene Person direkt an CapoRide, leitet CapoRide die Anfrage an den Kunden weiter.

2. CapoRide unterstützt den Kunden außerdem bei seinen Pflichten aus Art. 32 bis 36 DSGVO, soweit die Verarbeitung durch CapoRide betroffen ist.

Wird CapoRide eine Verletzung des Schutzes der Daten des Kunden bekannt, meldet CapoRide sie dem Kunden unverzüglich, möglichst binnen 48 Stunden, an die E-Mail-Adresse des Chef-Kontos. Die Meldung enthält, soweit bekannt, Art und Umfang der Verletzung, die betroffenen Daten, die wahrscheinlichen Folgen und die getroffenen Maßnahmen.

1. Der Kunde kann seine Daten jederzeit selbst löschen: einzelne Fahrer in der Fahrerverwaltung, den gesamten Betrieb mit der Löschung des Chef-Kontos in der App.

2. Nach dem Ende des Abonnements löscht CapoRide die Daten auf Verlangen des Kunden innerhalb von 30 Tagen. Vorher stellt CapoRide sie auf Wunsch in einem gängigen Format bereit.

3. Daten, die CapoRide aufgrund gesetzlicher Pflichten aufbewahren muss, sind ausgenommen; ihre Verarbeitung wird eingeschränkt.

1. CapoRide stellt dem Kunden auf Anfrage alle Informationen zur Verfügung, die er zum Nachweis der Pflichten aus Art. 28 DSGVO braucht.

2. Der Kunde kann die Einhaltung dieses Vertrags selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer kontrollieren – nach Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und höchstens einmal im Jahr, sofern kein konkreter Anlass besteht. Die Kosten seiner Kontrolle trägt der Kunde.

1. Für die Haftung gelten Art. 82 DSGVO und die AGB. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht in Fragen des Datenschutzes dieser Vertrag vor.

2. Es gilt österreichisches Recht. Gerichtsstand ist der in den AGB vereinbarte.

• Zweck: Annahme, Vergabe und Dokumentation von Fahraufträgen, Funk und Chat im Betrieb, Standortanzeige der Fahrer, Tagesberichte, Übergabe der Fahrzeuge bei Schichtwechsel und Mängel an Fahrzeugen; beim Schülertransport die Planung der Touren, Abmeldungen (auch über den Eltern-Link) und das Abhaken der Kinder.
• Art der Verarbeitung: Erheben, Speichern, Übermitteln an die Geräte des Betriebs, Anzeigen und Löschen; beim Live-Funk nur Übermitteln in Echtzeit, ohne Speicherung.
• Fahrgäste: Abhol- und Zieladresse, Uhrzeit, Preis; gegebenenfalls Name, Telefonnummer, Zahl der Fahrgäste, Kindersitz, Notizen und Zahlart; Rückrufwünsche (Name, Telefonnummer, Anliegen; erledigte nach 30 Tagen gelöscht); Kundenkartei mit Stammkunden (Name, Telefonnummer, Notiz, übliche Zahlart; Privatkunden ohne Fahrt seit 12 Monaten gelöscht) und Firmenkunden (zusätzlich Rechnungsname, Rechnungsadresse, E-Mail für Rechnungen, UID).
• Fahrer (Beschäftigte des Kunden): Name, Telefonnummer, Fahrzeug, Kennzeichen, Status, letzter Standort, Aufträge mit Kilometern, Nachrichten, Funkrufe, Sprachnachrichten aus früheren App-Versionen, die Stimme im Live-Funk (nur übertragen, nicht gespeichert), Schicht-Checks (Fahrzeug, Zeitpunkt, Zustand, Kilometerstand, Notiz; 90 Tage), gemeldete Mängel mit Foto, Platz in der Warteschlange am Standplatz, Herkunft selbst eingetragener Fahrten und der Zeitpunkt des letzten Lebenszeichens der App; über den Fahrgast-Link sieht der Fahrgast Vorname, Fahrzeug und Kennzeichen sowie „Ich bin da“ (Zeitpunkt), keinen Standort und keine Telefonnummer.
• Schulkinder (Minderjährige): Vor- und Nachname, Schule, Haltestelle oder Abholadresse, Kindersitz oder Sitzerhöhung, ein kurzer Hinweis für den Fahrer, Touren, Abmeldungen und an Fahrttagen eingestiegen, ausgestiegen oder nicht da (gelöscht ab 30 Tagen beim nächsten Tourstart).
• Eltern der Schulkinder: Name und Telefonnummer als Kontakt; Aufrufe und Abmeldungen über den Eltern-Link.
• Chef und Disponenten: Name, Telefonnummer, Nachrichten, Funkrufe, Sprachnachrichten aus früheren App-Versionen und die Stimme im Live-Funk (nur übertragen, nicht gespeichert).

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Kunde trägt keine Gesundheitsdaten in Freitextfelder ein (AGB § 3).

Standort der Fahrer: Die Ortung von Beschäftigten liegt in der Verantwortung des Kunden als Arbeitgeber (AGB § 3 Abs. 4). CapoRide erleichtert das: Die Freigabe ist ab Werk aus, jeder Fahrer entscheidet selbst, und der Kunde kann sie nicht für ihn einschalten. Geortet wird nur bei eingeschalteter Freigabe und im Status „Frei“ oder „Unterwegs“, gespeichert wird nur der letzte Punkt, und beim Ausschalten wird er gelöscht. Ausnahme ist der stille Alarm, den der Fahrer selbst auslöst: Er trägt einmalig die Position im Moment des Auslösens.

• Hetzner Online GmbH, Gunzenhausen, Deutschland: Rechenzentrum für den Live-Funk-Server (Weiterleitung der Sprache, keine Speicherung), für nächtliche Sicherungskopien der Datenbank (bis 30 Tage, eine verschlüsselte Kopie in einem zweiten Rechenzentrum) und eine Testkopie für den Umzug der Datenbank. Ort: Deutschland, Finnland (EU). Grundlage der Übermittlung: keine Übermittlung in Drittländer.
• Supabase Inc., USA: Datenbank, Anmeldung, Ablage der Sprachnachrichten. Ort: Daten in der EU. Grundlage der Übermittlung: Data Privacy Framework bzw. Standardvertragsklauseln.
• Vercel Inc., USA: Server für Kasse, Kontolöschung, Adresssuche und die Eltern-Seite des Schülertransports. Ort: EU und USA. Grundlage der Übermittlung: Data Privacy Framework bzw. Standardvertragsklauseln.
• 650 Industries Inc. (Expo), USA: Zustellung von Push-Benachrichtigungen. Ort: USA. Grundlage der Übermittlung: Data Privacy Framework bzw. Standardvertragsklauseln.
• Apple Inc. (APNs), Google LLC (FCM): Zustellung der Push-Benachrichtigungen auf iOS bzw. Android. Ort: USA. Grundlage der Übermittlung: Data Privacy Framework.
• Google Ireland Ltd.: Adressvorschläge (Places API), Karte auf Android. Ort: Irland, Konzern USA. Grundlage der Übermittlung: Data Privacy Framework.
• Namecheap Inc., USA: Versand von Bestätigungs-E-Mails. Ort: USA. Grundlage der Übermittlung: Standardvertragsklauseln.

Zahlungen wickelt Stripe Payments Europe Ltd. in eigener Verantwortung ab; Zahlungsdaten des Kunden sind nicht Gegenstand dieses Vertrags.

• Trennung der Betriebe: Zugriffsregeln in der Datenbank lassen jeden Betrieb nur seine eigenen Daten sehen. Automatische Tests spielen bei jeder Änderung Angriffe auf diese Trennung durch.
• Verschlüsselung: Übertragung ausschließlich über TLS; die Hauptdatenbank ist beim Hosting-Anbieter im Ruhezustand verschlüsselt. Passwörter werden nur als Hashwert gespeichert.
• Zugriff: Direktnachrichten lesen nur Absender und Empfänger. Sprachnachrichten liegen in einem privaten Speicher und sind nur über zeitlich begrenzte Adressen abrufbar. Verwaltungszugänge zur Infrastruktur hat nur der Inhaber.
• Datensparsamkeit: Vom Standort der Fahrer wird nur der letzte Punkt gespeichert, kein Verlauf.
• Live-Funk: Sprache wird verschlüsselt übertragen (DTLS-SRTP) und weder aufgezeichnet noch gespeichert. Zugang nur mit einer vom Server ausgestellten Karte für den eigenen Betrieb (zwei Stunden gültig, nur Mikrofon). Das Mikrofon ist nur bei gedrücktem Knopf aktiv. Der Funk-Server protokolliert keine Gespräche oder Teilnahmen, nur Fehlermeldungen in begrenzter Menge.
• Schlüssel und Geheimnisse: liegen nur auf den Servern, nie in der App. Zahlungen und Kontolöschungen laufen über signierte, serverseitig geprüfte Anfragen.
• Entwicklung: Jede Änderung durchläuft automatische Prüfungen; Abhängigkeiten werden wöchentlich auf Sicherheitslücken geprüft.
• Vorfälle: Meldung an die betroffenen Kunden nach § 7.