Data processing agreement

1. Gegenstand und Dauer

DriveGate bearbeitet Personendaten im Auftrag des Betriebs, soweit der Betrieb DriveGate für Buchungen, Kalender, Ausbildungskarte, Chat, Rechnungen und Anfragen nutzt. Die Vereinbarung gilt, solange der Betrieb DriveGate nutzt.

2. Art der Daten und betroffene Personen

• Betroffene: Schüler und Interessenten des Betriebs, die über DriveGate anfragen oder buchen
• Daten: Name, Kontaktangaben, Sprache, Termine, Buchungen, Zahlungsstatus, Rechnungen, Nachrichten im Chat, Fortschritt in der Ausbildungskarte, Inhalt von Anfragen
• Keine besonders schützenswerten Personendaten, sofern der Betrieb solche nicht selbst im Chat oder in Notizen erfasst

3. Zweck

DriveGate bearbeitet die Daten nur, um die vom Betrieb genutzten Funktionen bereitzustellen, sowie für Betrieb, Sicherheit und Fehlerbehebung der Plattform. DriveGate verwendet die Daten nicht für eigene Werbung und verkauft sie nicht.

4. Weisungen

DriveGate bearbeitet die Daten nur nach den Weisungen des Betriebs. Die Weisungen ergeben sich aus den AGB, dieser Vereinbarung und den Einstellungen des Betriebs in DriveGate. Hält DriveGate eine Weisung für rechtswidrig, teilt DriveGate dies dem Betrieb mit.

5. Vertraulichkeit und Sicherheit

Personen, die bei DriveGate Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet. DriveGate trifft angemessene technische und organisatorische Massnahmen, insbesondere:

• verschlüsselte Verbindungen (TLS) zwischen Browser, Website und Server
• Zugriff auf Daten eines Betriebs nur für diesen Betrieb und seine Schüler; Lernfahrausweis und Ausbildungskarte eines Schülers nur für Fahrlehrer, bei denen er gebucht hat (auch vor der Bestätigung, ohne nie bezahlte Online-Buchungen), oder die bereits Rückmeldungen auf seiner Ausbildungskarte erfasst haben
• Admin-Zugriff nur für berechtigte Personen; Sperren, Sichtprüfungen des Fahrlehrerausweises, Entscheide über Meldungen und freigeschaltete Pakete, die im Admin-Bereich der Website vorgenommen werden, stehen im Aktionsverlauf; ebenso jede Löschung eines Kontos auf Antrag und jede Anmeldung eines Admins als Nutzer zur Unterstützung, mit Admin, Zeitpunkt, Konto-ID, Rollen, vorherigem Status und bei einer Löschung dem Grund, ohne Namen oder Kontaktdaten
• Anmeldung über Firebase Authentication; Zahlungsdaten nur bei Stripe
• tägliche Sicherung der Datenbank mit Aufbewahrung von 35 Tagen und regelmässigem Test der Wiederherstellung Prüfen: wird in Phase 5 eingerichtet
• Löschung von Anfragen 12 Monate nach Eingang

6. Unterauftragsbearbeiter

Der Betrieb ist einverstanden, dass DriveGate diese Unterauftragsbearbeiter beizieht:

• Railway Corporation, USA: Server und Datenbank, Rechenzentrum EU (Amsterdam)
• Google Cloud (Google Cloud EMEA Limited, Irland): Dateien und Sicherungskopien, Rechenzentrum Zürich
• Google Firebase (Google LLC, USA): Anmeldung und Push-Mitteilungen
• Cloudflare, Inc., USA: DNS, Schutz vor Angriffen, Versand der Mails

DriveGate verpflichtet Unterauftragsbearbeiter auf einen gleichwertigen Datenschutz. Neue Unterauftragsbearbeiter teilt DriveGate dem Betrieb vorher mit; der Betrieb kann aus wichtigem Grund widersprechen und den Vertrag beenden.

Stripe ist kein Unterauftragsbearbeiter von DriveGate: Für Zahlungen auf seinem Stripe-Konto hat der Betrieb einen eigenen Vertrag mit Stripe.

Prüfen: Vertragspartner und Sitz je Dienstleister vor dem Livegang bestätigen

7. Bekanntgabe ins Ausland

Werden Daten in die USA bekanntgegeben, stützt sich DriveGate auf die Zertifizierung des Dienstleisters unter dem Swiss-U.S. Data Privacy Framework oder, wo diese fehlt, auf die vom EDÖB anerkannten Standardvertragsklauseln.

8. Unterstützung des Betriebs

DriveGate unterstützt den Betrieb, soweit zumutbar, bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Herausgabe) und bei Datenschutz-Folgenabschätzungen. Gehen solche Anfragen bei DriveGate ein, leitet DriveGate sie an den Betrieb weiter.

9. Verletzung der Datensicherheit

DriveGate meldet dem Betrieb so rasch als möglich eine Verletzung der Datensicherheit, die seine Daten betrifft, mit den Angaben, die der Betrieb für seine eigene Meldung an den EDÖB braucht.

10. Ende der Bearbeitung

Nach dem Ende der Nutzung löscht DriveGate das Konto des Betriebs innert Platzhalter: Frist, soweit keine gesetzliche Aufbewahrungspflicht besteht (AGB, «Vertragsende»). Anfragen an den Fahrlehrer und an einen Betrieb ohne weitere Fahrlehrer werden dabei gelöscht, ebenso Abwesenheiten, Ausnahmen in den Verfügbarkeitsplänen, Verfügbarkeitspläne ohne Buchung und die Verbindungen unter «Verbundene Fahrlehrer»; der Kalender-Link für Kalender-Apps funktioniert nicht mehr. Verfügbarkeitspläne, auf die Buchungen zeigen, bleiben archiviert und ohne Titel und Beschreibung; eingeschaltete Rabatte und Prämien bleiben, weil sie den Preis früherer Buchungen erklären. Scheitert das Löschen einer Datei, wiederholt DriveGate es täglich, bis es gelingt. Buchungen, Zahlungsstatus und Rechnungsgrundlagen bleiben wegen der Aufbewahrungspflicht (Art. 958f OR) erhalten; der Chat und die Rückmeldungen auf den Ausbildungskarten bleiben bei den Schülern, weil sie auch ihnen gehören. Vorher kann der Betrieb Rechnungen herunterladen. Sicherungskopien werden mit ihrem regulären Ablauf gelöscht.

11. Kontrolle

DriveGate gibt dem Betrieb auf Anfrage die Auskünfte, die er braucht, um die Einhaltung dieser Vereinbarung zu prüfen.

12. Schluss

Es gilt Schweizer Recht. Gerichtsstand ist der Sitz der in-novate GmbH. Widerspricht diese Vereinbarung den AGB, geht sie für den Datenschutz vor.

Ort, Datum, Unterschrift Betrieb: Platzhalter

Ort, Datum, Unterschrift in-novate GmbH: Platzhalter