Datenschutzerklärung für Fahrgäste

Diese Erklärung ist eine Information nach Art. 13 und 14 DSGVO. Sie ist keine Einwilligung und muss von Ihnen nicht bestätigt werden.

1. Verantwortlicher und Datenschutzanfragen

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO):

Emaride EU S.à r.l. société à responsabilité limitée nach luxemburgischem Recht Vertreten durch den alleinigen Geschäftsführer Ramez Mohamad Alkhalaf Luxemburg Handelsregister (RCS): in Eintragung TVA: in Eintragung E-Mail: info@emaride.lu

Datenschutzanfragen: privacy@emaride.lu

Ein Datenschutzbeauftragter ist derzeit nicht benannt. Die Prüfung, ob eine Benennung nach Art. 37 DSGVO erforderlich ist, und die Benennung selbst sind offene Punkte vor dem Live-Gang. Bis dahin ist privacy@emaride.lu die zuständige Kontaktstelle.

2. Geltungsbereich

Diese Erklärung gilt für die Verarbeitung personenbezogener Daten von Fahrgästen („Kunden") im Rahmen der Emaride-App und -Website (zusammen „Plattform") — für private Fahrgäste und für Fahrgäste, die über einen Firmenkunden-Zugang buchen.

Für andere Rollen gelten eigene Hinweise:

• Fahrer: datenschutz-fahrer (Datenschutzhinweis für Fahrer)
• Kontaktpersonen von Flottenpartnern und Firmenkunden: datenschutz-partner

3. Kategorien verarbeiteter Daten

Wir verarbeiten nur Daten, die für Fahrten, Zahlung und Support erforderlich sind — sowie, nach Ihrer Einwilligung, die in Ziffer 9 genannten Daten zur Werbemessung auf unseren öffentlichen Marketing-Seiten:

Vollständige Zahlungskarten-Daten werden nicht von uns gespeichert, sondern ausschließlich beim Zahlungsdienstleister (siehe Ziffer 5) verarbeitet.

4. Zwecke und Rechtsgrundlagen der Verarbeitung

Benachrichtigungen sind ausschließlich transaktional — Fahrtstatus, Ankunft des Fahrzeugs, Zahlungs- und Support-Ereignisse. Wir versenden keine Werbe- oder Marketing-Nachrichten. Rechtsgrundlage ist deshalb Art. 6 Abs. 1 lit. b (Erfüllung des Vertrags), nicht Art. 6 Abs. 1 lit. a; es gibt keinen Marketing-Versand, für den eine Einwilligung einzuholen wäre. Push-Nachrichten können Sie zusätzlich jederzeit in den Geräteeinstellungen abschalten.

Zur Produktverbesserung und für interne Auswertungen nutzen wir anonymisierte Daten ohne Personenbezug — etwa Fahrtzahlen je Gebiet und Zeitfenster. Diese Auswertungen finden ausschließlich in unserem eigenen System statt, ohne externen Analyse- oder Tracking-Dienst, ohne Wiedererkennung einzelner Personen und ohne Profilbildung. Sobald ein Personenbezug bestünde, wäre es keine anonyme Auswertung mehr und die Verarbeitung liefe unter einem der oben genannten Zwecke.

5. Empfänger und Auftragsverarbeiter

Subunternehmer und Fahrer sind eigene Verantwortliche

Flottenpartner (Subunternehmer) und Fahrer sind keine Auftragsverarbeiter von Emaride. Sie verfolgen eigene Zwecke — den Beförderungsvertrag im eigenen Namen, Disposition, Lohnabrechnung, eigene steuerliche Pflichten — und sind damit eigene Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. Die Übermittlung Ihrer Fahrtdaten an sie ist deshalb eine Übermittlung von Verantwortlichem zu Verantwortlichem (Controller-to-Controller) auf Grundlage von Art. 6 Abs. 1 lit. b und lit. f DSGVO und nicht eine Auftragsverarbeitung nach Art. 28 DSGVO. Für ihre eigene Verarbeitung — etwa Aufbewahrung, Auskunft, Löschung — ist der jeweilige Partner Ihnen gegenüber selbst verantwortlich; wir nennen Ihnen auf Anfrage den für Ihre Fahrt zuständigen Partner.

An diese Empfänger geben wir Daten in erforderlichem Umfang weiter — an Meta ausschließlich nach Ihrer Einwilligung:

• Subunternehmer und Fahrer — für die Durchführung der gebuchten Fahrt. Der zugewiesene Fahrer erhält: Vorname, Telefonnummer (für den Anruf-/SMS-Kontakt), Abhol- und Zieladresse samt Koordinaten, Verifikationsstatus, den Durchschnitt und die Anzahl Ihrer Bewertungen als Fahrgast, die Zahl Ihrer abgeschlossenen Fahrten sowie ein Kennzeichen der Zahlart (Kartenzahlung). Nicht übermittelt werden: E-Mail-Adresse, Nachname, Kartendaten, gespeicherte Adressen, Bewertungstexte und Daten anderer Fahrten.

  Bewertungs-Durchschnitt, Fahrtenzahl und Telefonnummer werden bereits vor der Annahme der Fahrt geladen; ein Fahrer, der ablehnt, hat sie damit gesehen. Wir halten das für überprüfungsbedürftig und haben es als offenen Punkt in unserem Verzeichnis der Verarbeitungstätigkeiten vermerkt.

• Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Irland — Reichweiten- und Werbemessung auf den öffentlichen Marketing-Seiten, ausschließlich nach Ihrer Einwilligung (Ziffer 9). Meta ist dabei gemeinsam mit uns verantwortlich nach Art. 26 DSGVO und kein Auftragsverarbeiter; die Übermittlung steht deshalb nicht in der Tabelle unten.

• Behörden — soweit gesetzlich verpflichtend.

Auftragsverarbeiter (Art. 28 DSGVO)

Darüber hinaus setzen wir die folgenden Auftragsverarbeiter ein, die ausschließlich weisungsgebunden für uns tätig sind:

Emaride hält oder verwaltet selbst keine Fahrgelder; die bargeldlose Kartenabwicklung erfolgt ausschließlich über Stripe als lizenzierten Zahlungsdienstleister und Merchant of Record.

Nicht alle gelisteten Dienste sind derzeit in Betrieb. Twilio, Apple und Google sind oben als „derzeit nicht in Betrieb" gekennzeichnet: Der Telefon-Login per SMS ist abgeschaltet und aus der App entfernt, die Anmeldung über ein Apple- oder Google-Konto ist nicht aktiviert. Über diese drei Dienste werden zurzeit keine personenbezogenen Daten verarbeitet. Sie bleiben in der Tabelle, weil sie technisch vorgesehen sind; nehmen wir einen davon in Betrieb, gilt das ab diesem Zeitpunkt und nicht rückwirkend.

Die Spalte „Grundlage" beschreibt die vertragliche Anforderung an jeden eingesetzten Auftragsverarbeiter, nicht den aktuell erreichten Stand: Für Verarbeitungen innerhalb der EU ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO vorgesehen, für Übermittlungen in Drittländer zusätzlich EU-Standardvertragsklauseln (SCC) nach Kapitel V DSGVO. Der Abschluss dieser Verträge mit den jeweiligen Anbietern ist Voraussetzung für den Live-Gang der Plattform.

Auf unseren öffentlichen Marketing-Seiten setzen wir nach Ihrer Einwilligung den Meta-Pixel ein (siehe Ziffer 9). Für diese Reichweiten- und Werbemessung sind wir gemeinsam mit Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Irland verantwortlich (Art. 26 DSGVO). Meta verarbeitet die dabei erhobenen Daten zusätzlich zu eigenen Zwecken und kann daraus Profile für Werbezwecke bilden; darauf haben wir keinen Einfluss. Im eingeloggten Bereich der Plattform und in der App findet keine solche Messung statt, und es werden dort keine Profile für Werbezwecke gebildet.

6. Übermittlung in Drittländer

Soweit Daten in Länder außerhalb des EWR übermittelt werden (siehe die Spalte „Sitz" in Ziffer 5 sowie die Weiterleitung an Meta in die USA nach Ziffer 9), erfolgt dies nur auf Grundlage geeigneter Garantien nach Kapitel V DSGVO, insbesondere der EU-Standardvertragsklauseln oder eines Angemessenheitsbeschlusses der EU-Kommission. Unsere eigene Datenhaltung erfolgt in der EU (Frankfurt).

7. Speicherdauer

Fahrtdaten werden zweistufig behandelt. Nach 24 Monaten entfernen wir die metergenauen GPS-Koordinaten einer Fahrt unwiderruflich — das ist der eingriffsintensive Teil und er hat keine steuerliche Funktion. Die Abhol- und Zieladresse bleibt dagegen 10 Jahre gespeichert: unsere Rechnungsdaten führen keine Adresse, weshalb die Adresse der Fahrt die einzige Beschreibung der abgerechneten Leistung ist. Sie zu überschreiben würde den aufbewahrungspflichtigen Beleg entkernen.

Eine automatische Löschung Ihres Kontos wegen Inaktivität führen wir nicht durch — wir sagen sie hier ausdrücklich nicht zu. Ihr Konto wird gelöscht bzw. anonymisiert, wenn Sie es beantragen (in der App oder über privacy@emaride.lu). Gesetzlich aufbewahrungspflichtige Rechnungsdaten bleiben dabei in der gesetzlich erforderlichen Form erhalten.

8. Standortdaten im Detail

Während einer aktiven Fahrt verarbeiten wir Standortdaten, um Abholung, Routing und Sicherheit zu gewährleisten. Die Erhebung von Hintergrund-Standortdaten erfolgt nur, soweit Sie dies in den Geräteeinstellungen erlauben. Sie können die Standortfreigabe jederzeit über Ihr Gerät deaktivieren; bestimmte Funktionen sind dann ggf. eingeschränkt.

9. Cookies und ähnliche Technologien

Auf der Website setzen wir technisch erforderliche Cookies und — nur nach Ihrer Einwilligung — Cookies zur Werbemessung ein.

Technisch erforderlich:

Für diese Cookies ist keine Einwilligung erforderlich. Es gilt die Ausnahme nach § 25 Abs. 2 TDDDG (unbedingt erforderlich, um einen von Ihnen ausdrücklich gewünschten Telemediendienst zur Verfügung zu stellen); die entsprechende Ausnahme des luxemburgischen Rechts gilt gleichlaufend. Das Cookie emaride_consent ist auch dann erforderlich, wenn Sie ablehnen — nur so können wir Ihre Ablehnung beachten.

Nur nach Ihrer Einwilligung — Meta-Pixel:

Der Meta-Pixel läuft ausschließlich auf unseren öffentlichen Marketing-Seiten — der Startseite und der Seite zu unserem WhatsApp-Kanal. Im eingeloggten Bereich der Plattform und in der App setzen wir ihn nicht ein.

Rechtsgrundlage ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Solange Sie nicht eingewilligt haben, wird kein Skript von Meta geladen und es werden keine Daten an Meta übertragen — auch dann nicht, wenn Sie den Dialog unbeantwortet lassen. Bei einer Einwilligung werden Ihre IP-Adresse, die aufgerufene Seite, die verweisende Seite und die oben genannten Kennungen an Meta Platforms Ireland Ltd. übertragen; Meta kann diese Daten in die USA weiterleiten (Angemessenheitsbeschluss EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln).

Ihre Entscheidung speichern wir ausschließlich im Cookie emaride_consent auf Ihrem Gerät. Ein serverseitiges Einwilligungsprotokoll führen wir nicht: auf diesen Seiten sind Sie uns nicht bekannt, und ein Protokoll würde erst eine Kennung über Sie erzeugen.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Am unteren Rand der Marketing-Seiten finden Sie dauerhaft die Schaltfläche „Cookie-Einstellungen"; ein Klick darauf öffnet den Dialog erneut. Der Widerruf ist ebenso einfach wie die Einwilligung und hat keine Nachteile für Sie.

In der App verwenden wir funktionale Speichertechnologien im Gerätespeicher — für die Anmeldung, die Spracheinstellung und zuletzt genutzte Einstellungen. Auch diese sind für den Betrieb der App erforderlich.

10. Automatisierte Entscheidungen (Art. 22 DSGVO)

Zwei Vorgänge auf der Plattform sind automatisiert vorbereitet:

• die Penalty-Prüfung bei Stornierungen und No-Show-Ereignissen und
• die automatische Sperre („Auto-Lock") bei abgelaufenen Pflichtnachweisen oder bei Erreichen der höchsten Penalty-Stufe.

Maßnahmen mit erheblicher Wirkung für Sie — insbesondere die Einschränkung oder Sperrung Ihres Kontos — werden nicht ausschließlich automatisiert getroffen. Ihnen stehen zu:

• das Eingreifen und die Überprüfung durch eine Person bei uns,
• das Recht, Ihren Standpunkt darzulegen, und
• das Recht, die Entscheidung anzufechten.

Die Maßnahme wird Ihnen mit Begründung überprüfbar mitgeteilt; ein Widerspruch ist über privacy@emaride.lu oder über den Support in der App möglich und wird von einer Person geprüft.

Ein Profiling zu Werbezwecken durch uns findet nicht statt. Haben Sie in den Meta-Pixel eingewilligt (Ziffer 9), kann Meta aus den dabei erhobenen Daten eigene Werbeprofile bilden; auf diese Verarbeitung haben wir keinen Einfluss.

11. Ihre Rechte

Sie haben nach der DSGVO das Recht auf:

• Auskunft (Art. 15),
• Berichtigung (Art. 16),
• Löschung / Anonymisierung (Art. 17),
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21),
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3), soweit eine Verarbeitung auf einer Einwilligung beruht.

Für die Selbstauskunft nach Art. 15 stellen wir in der App und im Konto einen Datenexport bereit: Sie lösen ihn selbst aus und erhalten eine Datei mit Ihren Kontodaten, Fahrten, Zahlungen und Support-Vorgängen. Die Export-Datei wird nach 8 Tagen gelöscht, der Download-Link ist 7 Tage gültig. Die Anonymisierung Ihres Kontos können Sie ebenfalls direkt in der App auslösen. Für alles Weitere wenden Sie sich an privacy@emaride.lu.

Gemeinsame Verantwortlichkeit mit Meta. Für die Werbemessung auf den öffentlichen Marketing-Seiten (Ziffern 5 und 9) sind wir gemeinsam mit Meta Platforms Ireland Ltd. verantwortlich. Sie können Ihre Rechte deshalb sowohl uns gegenüber als auch unmittelbar gegenüber Meta geltend machen (Art. 26 Abs. 3 DSGVO); die Angaben zu Metas eigener Verarbeitung finden Sie in Metas Datenschutzrichtlinie. Das Wesentliche der Vereinbarung nach Art. 26 Abs. 2 DSGVO stellen wir Ihnen auf Anfrage an privacy@emaride.lu zur Verfügung; ihr Abschluss ist — wie bei den Anbieterverträgen in Ziffer 5 — Voraussetzung für den Live-Gang.

12. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständige Behörde in Luxemburg ist die

Commission nationale pour la protection des données (CNPD) 15, Boulevard du Jazz, L-4370 Belvaux, Luxemburg <https://cnpd.public.lu>

Da der Verantwortliche seinen Sitz in Luxemburg hat, ist die CNPD die federführende Aufsichtsbehörde (One-Stop-Shop, Art. 56 DSGVO). In Deutschland ansässige betroffene Personen können sich darüber hinaus jederzeit an ihre örtlich zuständige Landesdatenschutzbehörde wenden (Art. 77 DSGVO).

13. Datensicherheit

Wir setzen angemessene technische und organisatorische Maßnahmen ein (u. a. Verschlüsselung der Übertragung, Zugriffskontrollen nach Rolle und Land, gehashte Passwörter), um Ihre Daten zu schützen (Art. 32 DSGVO).

14. Änderungen dieser Datenschutzerklärung

Wir können diese Erklärung anpassen, um sie an geänderte Rechtslagen oder Funktionen anzupassen. Die jeweils aktuelle Fassung ist in der App und auf der Website abrufbar; sie trägt eine Version und ein Datum des Inkrafttretens.

15. Abweichungen vom V2.1-Legal-Package

Diese Fassung folgt dem V2.1-Legal-Package. Wo sie davon abweicht, geschieht das, weil die Erklärung nur zusagen darf, was das Produkt tatsächlich tut: