Datenschutzhinweis für Kontaktpersonen von Flottenpartnern und Firmenkunden

Dieser Hinweis ist eine Information nach Art. 13 und 14 DSGVO. Er ist keine Einwilligung und muss von Ihnen nicht bestätigt werden.

Das vertragliche Gegenstück zu diesem Hinweis sind Teil D (Flottenpartner) und Teil E (Firmenkunden) der Plattform-Nutzungsbedingungen (nutzungsbedingungen) sowie das signierte Fleet Partner Agreement bzw. Corporate Client Agreement. Wo dieser Hinweis auf eine Ziffer wie „D2" oder „E2" verweist, ist eine Ziffer aus diesen Teilen gemeint.

1. Verantwortlicher und Datenschutzanfragen

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die in diesem Hinweis beschriebenen Verarbeitungen:

Emaride EU S.à r.l. société à responsabilité limitée nach luxemburgischem Recht Vertreten durch den alleinigen Geschäftsführer Ramez Mohamad Alkhalaf Luxemburg [Platzhalter: Anschrift folgt] Handelsregister (RCS): in Eintragung TVA: in Eintragung E-Mail: info@emaride.lu

Datenschutzanfragen: privacy@emaride.lu

Ein Datenschutzbeauftragter ist derzeit nicht benannt. Die Prüfung, ob eine Benennung nach Art. 37 DSGVO erforderlich ist, und die Benennung selbst sind offene Punkte vor dem Live-Gang. Bis dahin ist privacy@emaride.lu die zuständige Kontaktstelle.

2. Für wen dieser Hinweis gilt — und für wen nicht

Bei Emaride gibt es drei Datenschutzhinweise. Welcher für Sie gilt, hängt nicht von Ihrer Rolle im Konto ab, sondern davon, woraus Ihre Daten stammen.

Dieser Hinweis gilt Ihnen als Kontaktperson auf Organisationsseite, also wenn Sie

• Inhaberin oder Inhaber, Geschäftsführung oder benannte Ansprechperson eines Flottenpartners sind (Rolle subcontractor_owner),
• als Mitglied eines Flottenpartners in der Plattform arbeiten (Rolle subcontractor_member), oder
• ein Firmenkunden-Konto verwalten und die dafür benannten berechtigten Personen pflegen (Ziffer E2).

Ihre Daten stammen dann aus der Vertragsbeziehung zwischen Emaride und Ihrer Organisation — aus der Bewerbung, dem Onboarding, der Abrechnung und der laufenden Verwaltung des Kontos.

Dieser Hinweis gilt Ihnen nicht, sobald Sie eine Fahrt buchen oder mitfahren. Wer eine Fahrt bucht oder befördert wird, ist Fahrgast, und für die dabei anfallenden Daten — Abhol- und Zieladresse, Route, Koordinaten, Fahrpreis, Zahlungsmittel, Bewertung — gilt ausschließlich die Datenschutzerklärung für Fahrgäste (datenschutz). Das gilt ausdrücklich auch für Firmenkunden und ihre berechtigten Mitarbeiterinnen und Mitarbeiter: eine geschäftlich gebuchte Fahrt ist datenschutzrechtlich dieselbe Verarbeitung wie eine privat gebuchte.

Beide Hinweise können gleichzeitig für Sie gelten. Verwalten Sie ein Firmenkunden-Konto und buchen darüber auch selbst Fahrten, dann gilt für Ihre Kontakt-, Vertrags- und Abrechnungsdaten dieser Hinweis und für Ihre Fahrten datenschutz. Das ist kein Widerspruch, sondern die Folge von zwei verschiedenen Verarbeitungen.

Für Fahrer gilt dieser Hinweis nicht. Fahrerinnen und Fahrer erhalten den Transparenzhinweis für Fahrer (datenschutz-fahrer), weil für sie zusätzlich die Richtlinie (EU) 2024/2831 und Art. 22 DSGVO greifen — Standortverarbeitung, automatisierte Zuordnung von Fahrten und automatisierte Maßnahmen. Nichts davon betrifft Kontaktpersonen. Sind Sie als Inhaberin oder Inhaber eines Flottenpartners gleichzeitig selbst als Fahrer zugelassen, gelten für Sie beide Hinweise — dieser für die Vertragsbeziehung, der Fahrer- Hinweis für Ihre Tätigkeit im Fahrzeug.

3. Kategorien verarbeiteter Daten

Personenbezogen sind hier vor allem Ihre eigenen Kontaktdaten. Rein unternehmensbezogene Angaben — Firmenname, Rechnungspräfix, Zahlungsfrist — nennen wir mit, weil sie in denselben Datensätzen liegen und Ihnen zuordenbar sein können.

Die Bankdaten sind zusätzlich abgeschottet: In der Plattform sind Kontoinhaber, Bankname und IBAN nur der Inhaber-Rolle und berechtigten Emaride-Beschäftigten zugänglich; die Verwalter-Rolle hat auf sie keinen Zugriff. Das ist in den Zugriffsregeln der Datenbank durchgesetzt, nicht nur in der Benutzeroberfläche.

Unternehmensnachweise. Nach Ziffer D2.5 (b) der Nutzungsbedingungen hinterlegt der Flottenpartner seine Unternehmensnachweise in der Plattform: Beförderungslizenz, Nachweis der Betriebs- bzw. Flottenhaftpflichtversicherung, Gewerbe- bzw. Handelsregisternachweis, wahlweise eine steuerliche und eine sozialversicherungsrechtliche Unbedenklichkeitsbescheinigung sowie sonstige Unterlagen, die der Flottenpartner selbst hinzufügt. Gespeichert werden die Datei, der Dokumenttyp, Ausstellungs- und Ablaufdatum, der Prüfstatus und gegebenenfalls ein Ablehnungsgrund; ersetzte Fassungen bleiben als Verlauf erhalten. Diese Unterlagen betreffen die Organisation. Personenbezogene Daten — etwa Namen von Geschäftsführern, Inhabern, Unterzeichnenden oder wirtschaftlich Berechtigten — enthalten sie nur, soweit diese auf dem Dokument selbst stehen; eigene Eingabefelder für solche Angaben hat die Plattform nicht. Zugriff haben die Nutzer Ihres Flottenpartner-Kontos sowie Emaride-Beschäftigte, die für Flottenpartner im jeweiligen Markt berechtigt sind und die Nachweise prüfen. Die Dateien liegen in einem nicht öffentlichen Speicher bei unserem Hosting-Dienstleister (Ziffer 6). Die Nachweise nach Ziffer D2 auf der Ebene der Fahrer und Fahrzeuge — Führerschein, Zulassung, Contrôle technique, Versicherung je Fahrzeug — sind keine Daten Ihrer Kontaktpersonen; für sie gilt datenschutz-fahrer.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeiten wir über Sie nicht.

4. Zwecke und Rechtsgrundlagen

Keine Verarbeitung auf Grundlage einer Einwilligung. Keine der genannten Verarbeitungen beruht auf Ihrer Einwilligung, und es gibt keinen Einwilligungs-Mechanismus. Marketing- oder Werbe-Nachrichten versenden wir an Kontaktpersonen nicht; alle Benachrichtigungen sind transaktional (Bewerbungsstatus, Einladungen, Rechnungen, Auszahlungen, Dokument-Erinnerungen, Support, Sicherheitshinweise).

5. Know-Your-Business, Geldwäscheprävention und Sanktionslisten

Nach Ziffer 4.3 des Fleet Partner Agreement muss ein Flottenpartner die Angaben zu wirtschaftlich Berechtigten und Identität bereitstellen, die für die Pflichten zu Know-Your-Business (KYB), Geldwäscheprävention (AML) und Sanktionslistenprüfung erforderlich sind. Diese Prüfung ist eine rechtliche Verpflichtung und stützt sich auf Art. 6 Abs. 1 lit. c DSGVO; eine Einwilligung wird dafür nicht eingeholt und wäre nicht die richtige Grundlage.

Wer die Prüfung tatsächlich durchführt, ist für Ihre Rechte entscheidend, deshalb sagen wir es genau:

• Die Prüfung läuft beim Zahlungsdienstleister (Stripe) im Rahmen seines eigenen Onboardings. Sie geben Ihre Identitäts-, Inhaber- und Bankangaben direkt bei ihm ein, in seinem Formular und unter seiner Verantwortung als lizenziertes Zahlungsinstitut.
• Emaride sieht und speichert diese Angaben nicht. An den Zahlungsdienstleister übermitteln wir bei der Kontoeröffnung nur eine interne Kennung Ihrer Organisation, die geschäftliche Kontakt-E-Mail-Adresse und das Land. Zurück erhalten und gespeichert werden nur die Kennung des dort angelegten Kontos und die Information, ob Auszahlungen freigegeben sind.
• Eine eigene Sanktionslisten- oder AML-Prüfung durch Emaride — mit eigener Datenbank, eigenem Abgleich oder eigenem Score — findet nicht statt. Wir treffen auf dieser Grundlage keine automatisierte Entscheidung über Sie.
• Bleibt die Prüfung beim Zahlungsdienstleister unvollständig oder negativ, sind Auszahlungen nicht möglich und das Onboarding kann nach Ziffer 4.3 des Fleet Partner Agreement abgelehnt oder ausgesetzt werden. Diese Entscheidung trifft bei Emaride eine Person, nicht ein System, und sie wird Ihnen nach Ziffer D5.2 begründet.

Für Auskunft, Berichtigung oder Löschung der beim Zahlungsdienstleister hinterlegten Prüfangaben wenden Sie sich deshalb an den Zahlungsdienstleister; wir unterstützen Sie dabei und nennen Ihnen die richtige Stelle (privacy@emaride.lu).

Automatisierte Entscheidungen im Einzelfall nach Art. 22 DSGVO trifft Emaride über Kontaktpersonen nicht. Die Verfahren zu Einschränkung, Suspendierung und Beendigung nach Ziffer D5 laufen mit Begründung auf dauerhaftem Datenträger und einer Prüfung durch eine Person (Ziffer D5.4).

Ausnahme: die Sperrliste. Eine erneute Registrierung nach einem schwerwiegenden Ausschluss kann die Sperrliste verhindern (Ziffer 4). Die Aufnahme auf die Sperrliste entscheidet eine Person bei uns und begründet sie schriftlich. Was bei einem späteren Registrierungsversuch abläuft, ist der Vollzug dieser zuvor getroffenen Entscheidung, nicht ihre Herstellung. Stimmt nur ein Name überein, wird gar nichts entschieden — der Fall wird einer Person zur Prüfung vorgelegt. Halten Sie eine Ablehnung für einen Irrtum, wenden Sie sich an privacy@emaride.lu; wir prüfen den Fall persönlich.

6. Empfänger und Auftragsverarbeiter

Weitere Empfänger

• Emaride-Beschäftigte und beauftragte Prüfer — rollen- und landbezogen beschränkt, für Zulassung, Abrechnung, Support und Compliance. Auf die Bankdaten haben nur ausdrücklich dafür berechtigte Personen Zugriff.
• Behörden — soweit gesetzlich verpflichtend, insbesondere Finanz- und Aufsichtsbehörden sowie Strafverfolgungsbehörden im Rahmen ihrer Befugnisse.
• Steuerberatung, Wirtschaftsprüfung und Rechtsberatung — soweit zur Erfüllung gesetzlicher Pflichten oder zur Rechtsverfolgung erforderlich.
• Fahrer Ihres Flottenpartners — auf Anfrage nennen wir einem Fahrer die bei uns hinterlegte Kontaktstelle seines Flottenpartners, damit er seine Rechte gegenüber seinem Arbeitgeber oder Auftraggeber ausüben kann.

Eine Übermittlung Ihrer Kontaktdaten an Fahrgäste findet nicht statt.

Auftragsverarbeiter (Art. 28 DSGVO)

Emaride hält oder verwaltet selbst keine Fahrgelder; die bargeldlose Kartenabwicklung erfolgt ausschließlich über Stripe als lizenzierten Zahlungsdienstleister und Merchant of Record (Ziffer D4.1).

Nicht alle gelisteten Dienste sind derzeit in Betrieb. Twilio, Apple und Google sind oben als „derzeit nicht in Betrieb" gekennzeichnet: Der Telefon-Login per SMS ist abgeschaltet und aus der App entfernt, die Anmeldung über ein Apple- oder Google-Konto ist nicht aktiviert. Über diese drei Dienste werden zurzeit keine personenbezogenen Daten verarbeitet. Sie bleiben in der Tabelle, weil sie technisch vorgesehen sind; nehmen wir einen davon in Betrieb, gilt das ab diesem Zeitpunkt und nicht rückwirkend.

Die Spalte „Grundlage" beschreibt die vertragliche Anforderung an jeden eingesetzten Auftragsverarbeiter, nicht den aktuell erreichten Stand: Für Verarbeitungen innerhalb der EU ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO vorgesehen, für Übermittlungen in Drittländer zusätzlich EU-Standardvertragsklauseln (SCC) nach Kapitel V DSGVO. Der Abschluss dieser Verträge mit den jeweiligen Anbietern ist Voraussetzung für den Live-Gang der Plattform.

Soweit Stripe die KYB-, AML- und Sanktionslistenprüfung nach Ziffer 5 durchführt, handelt es dabei nicht auf Weisung von Emaride, sondern zur Erfüllung seiner eigenen aufsichts- und geldwäscherechtlichen Pflichten. Insoweit ist Stripe für diese Verarbeitung eigener Verantwortlicher und nicht Auftragsverarbeiter von Emaride.

7. Übermittlung in Drittländer

Soweit Daten in Länder außerhalb des EWR übermittelt werden (siehe die Spalte „Sitz" in Ziffer 6), erfolgt dies nur auf Grundlage geeigneter Garantien nach Kapitel V DSGVO, insbesondere der EU-Standardvertragsklauseln oder eines Angemessenheitsbeschlusses der EU-Kommission. Die Datenhaltung selbst erfolgt in der EU (Frankfurt).

8. Speicherdauer

Grundsatz: Ihre Daten als Kontaktperson bleiben für die Dauer der Vertragsbeziehung Ihrer Organisation mit Emaride gespeichert und darüber hinaus, soweit eine gesetzliche Aufbewahrungspflicht besteht oder Ansprüche noch nicht verjährt sind. Im Einzelnen:

Die 10-Jahres-Frist ist eine Pflicht, kein Ermessen. Rechnungs- und Steuerunterlagen dürfen wir vor ihrem Ablauf nicht löschen, auch nicht auf Ihren Antrag. Ein Löschverlangen führt insoweit zur Einschränkung der Verarbeitung nach Art. 18 DSGVO: die Daten werden nur noch zur Erfüllung der Aufbewahrungspflicht vorgehalten.

Für Bewerbungsdaten, Bankdaten, Organisations- und Statusdaten sowie die Metadaten technischer Zugänge sagen wir hier ausdrücklich keine automatische Löschfrist zu, weil im Produkt keine implementiert ist. Diese Daten bleiben für die Dauer der Vertragsbeziehung gespeichert und werden auf Antrag gelöscht oder anonymisiert (privacy@emaride.lu). Eine abgelehnte oder zurückgezogene Bewerbung kann vollständig und unwiderruflich gelöscht werden; das ist eine Einzelfall-Entscheidung, die bei Emaride nur eine dafür berechtigte Person auslösen kann. Eine automatische Löschung wegen Inaktivität führen wir nicht durch.

Auch für Unternehmensnachweise sagen wir keine automatische Löschfrist zu, weil im Produkt keine implementiert ist. Sie bleiben einschließlich ersetzter Fassungen für die Dauer der Vertragsbeziehung gespeichert und werden auf Antrag gelöscht (privacy@emaride.lu).

Aufbewahrungssperre bei Rechtsstreit oder behördlicher Anfrage. Betrifft ein Rechtsstreit, eine behördliche Anfrage oder ein anderes rechtliches Verfahren Sie persönlich, kann eine dafür berechtigte Person bei Emaride die automatische Löschung folgender Daten aussetzen: Protokolldaten zu Vorgängen, die Sie ausgeführt haben, Benachrichtigungen an Sie, die von Ihnen eröffneten Support-Tickets und die von Ihnen verfassten Chat-Inhalte sowie die Geräte- und Ortsangaben Ihrer Anmelde-Sitzungen (Rechtsgrundlage: Art. 6 Abs. 1 lit. c bzw. lit. f DSGVO). Diese Daten bleiben dann über die oben genannte Frist hinaus erhalten, bis die Sperre aufgehoben ist, und werden danach mit dem nächsten Löschlauf entfernt. Für die übrigen Daten dieser Ziffer gibt es keine solche Sperre.

9. Rollenzuordnung: wer wofür verantwortlich ist

Diese Ziffer ist der Kern des Verhältnisses und wird häufig verwechselt.

Ihr Flottenpartner ist für die Daten seiner Beschäftigten und Fahrer eigener Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO — nicht Auftragsverarbeiter von Emaride. Er verarbeitet diese Daten zu eigenen Zwecken und in eigener Verantwortung: Personalakte, Arbeits- oder Dienstvertrag, Disposition und Schichtplanung, Lohnabrechnung, Sozialversicherung, Arbeitszeiterfassung, steuerliche Pflichten. Emaride erteilt dazu keine Weisungen und kann darüber keine Auskunft geben (Ziffern D7.3 und D8.1).

Die Übermittlung zwischen Emaride und dem Flottenpartner ist deshalb eine Übermittlung von Verantwortlichem zu Verantwortlichem (Controller-to-Controller) nach Art. 6 Abs. 1 lit. b und lit. f DSGVO und keine Auftragsverarbeitung nach Art. 28 DSGVO. Praktisch heißt das:

• Jede Seite verantwortet ihre eigene Verarbeitung und ihre eigene Rechtsgrundlage.
• Auskunfts-, Berichtigungs- und Löschverlangen richten sich an die Seite, die die Daten zum eigenen Zweck verarbeitet; wir leiten Anfragen weiter und nennen die richtige Stelle.
• Eine Beschwerde über Ihren Flottenpartner richten Sie an die für ihn zuständige Aufsichtsbehörde, nicht an die für Emaride zuständige.
• Beide Seiten sind für ihre eigene Verarbeitung nach Art. 82 DSGVO haftbar; es gibt keine Weisungskette, die diese Verantwortung verschiebt.

Wo Emaride im Auftrag verarbeitet, gilt ein Auftragsverarbeitungsvertrag. Soweit Emaride personenbezogene Daten auf Weisung des Flottenpartners verarbeitet, gilt der Auftragsverarbeitungsvertrag dpa-fleet-partner (Ziffer D7.1). Umgekehrt gilt er, soweit der Flottenpartner auf Weisung von Emaride verarbeitet.

Die vollständige Zuordnung je Datenkategorie steht in schedule-7 (Data Processing Particulars, Ziffer 15.2 des Fleet Partner Agreement). Dort ist für jede Kategorie — Fahrgast-, Fahrer-, Fahrzeug-, Kontakt- und Abrechnungsdaten — festgelegt, wer Verantwortlicher und wer Auftragsverarbeiter ist. Bei Zweifeln über eine einzelne Kategorie ist schedule-7 maßgeblich; dieser Hinweis fasst nur zusammen.

Für Firmenkunden gilt dasselbe Muster: der Firmenkunde ist für seine eigenen Verarbeitungen — Auswahl und Verwaltung der berechtigten Personen, interne Reisekosten- und Abrechnungsprozesse — eigener Verantwortlicher (Ziffer E5).

10. Ihre Rechte

Sie haben nach der DSGVO das Recht auf:

• Auskunft (Art. 15),
• Berichtigung (Art. 16),
• Löschung / Anonymisierung (Art. 17), in den Grenzen der Aufbewahrungspflichten aus Ziffer 8,
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21).

Für die Daten Ihrer Organisation stellen wir der Inhaber-Rolle in der Plattform einen Datenexport bereit: er enthält die Fahrer, Fahrzeuge, Rechnungen und das Änderungsprotokoll des Flottenpartners als Dateien in einem Archiv. Die Export-Datei wird nach 8 Tagen gelöscht, der Download-Link ist 7 Tage gültig.

Für alles Weitere wenden Sie sich an privacy@emaride.lu. Wir antworten innerhalb eines Monats (verlängerbar nach Art. 12 Abs. 3 DSGVO). Betrifft Ihr Anliegen Angaben, die beim Zahlungsdienstleister liegen (Ziffer 5), nennen wir Ihnen die dort zuständige Stelle.

11. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständige Behörde in Luxemburg ist die

Commission nationale pour la protection des données (CNPD) 15, Boulevard du Jazz, L-4370 Belvaux, Luxemburg <https://cnpd.public.lu>

Da der Verantwortliche seinen Sitz in Luxemburg hat, ist die CNPD die federführende Aufsichtsbehörde (One-Stop-Shop, Art. 56 DSGVO). In Deutschland ansässige betroffene Personen können sich darüber hinaus jederzeit an ihre örtlich zuständige Landesdatenschutzbehörde wenden (Art. 77 DSGVO). Beschwerden über Ihren Flottenpartner oder Ihren Firmenkunden als eigene Verantwortliche richten Sie an die für diese zuständige Behörde (Ziffer 9).

12. Datensicherheit

Wir setzen angemessene technische und organisatorische Maßnahmen ein (u. a. Verschlüsselung der Übertragung, Zugriffskontrollen nach Rolle und Land, gehashte Passwörter, gesonderte Beschränkung des Zugriffs auf Bankdaten, nur gehashte Speicherung von Schnittstellen-Schlüsseln, Protokollierung der Änderungen), um Ihre Daten zu schützen (Art. 32 DSGVO).

13. Änderungen dieses Hinweises

Wir können diesen Hinweis anpassen, um ihn an geänderte Rechtslagen oder Funktionen anzupassen. Die jeweils aktuelle Fassung ist auf der Website abrufbar; sie trägt eine Version und ein Datum des Inkrafttretens. Änderungen der vertraglichen Bedingungen werden Flottenpartnern und Firmenkunden zusätzlich mindestens 15 Tage vorher auf einem dauerhaften Datenträger mitgeteilt (Ziffern D6 und E4).

14. Abweichungen vom V2.1-Legal-Package

Dieser Hinweis folgt dem GDPR Compliance Package Part A und Ziffer 15 des Fleet Partner Agreement. Wo er davon abweicht, geschieht das, weil er nur beschreiben darf, was das Produkt tatsächlich tut: