Auftragsverarbeitungsvertrag

gemäss Art. 9 des Schweizer Datenschutzgesetzes (DSG) und Art. 28 der Datenschutz-Grundverordnung (DSGVO)

zwischen der Organisation, die Ladehase gemäss den AGB nutzt (nachfolgend «Verantwortliche»),

und der siebenberge gmbh, Toggenburgerstrasse 29, CH-9652 Neu St. Johann, Schweiz (nachfolgend «Auftragsbearbeiterin»).

Dieser Vertrag ist Bestandteil der AGB und gilt mit deren Annahme. Eine separate Unterschrift ist nicht nötig. Brauchst du ein unterschriebenes Exemplar, schreib an info@ladehase.com.

1. Gegenstand und Dauer

Die Auftragsbearbeiterin stellt der Verantwortlichen unter der Marke Ladehase Software zur Verfügung, mit der Fahrende an Ladestationen der Verantwortlichen laden und bezahlen (Bezahlseite, Terminal-App, Steuerung der Ladestationen, Abrechnung, Quittungen, Dashboard, API). Dabei bearbeitet sie Personendaten im Auftrag der Verantwortlichen. Der Vertrag gilt, solange die Verantwortliche Ladehase nutzt, und endet mit der Löschung der Organisation.

2. Art und Zweck, Datenkategorien, betroffene Personen

Zweck: Freigabe und Steuerung von Ladungen, Erfassung der Energie, Abrechnung, Auslösung von Reservationen, Belastungen, Freigaben und Rückerstattungen beim Zahlungspartner der Verantwortlichen, Ausstellung von Quittungen und Monatsabrechnungen, Berichte und Exporte.

Datenkategorien: Ladungsdaten (Ladepunkt, Zeitpunkte, Zählerstände, Energie, Tarif, Beträge), Zahlungsmetadaten (Betrag, Status, Referenz, Art des Zahlungsmittels), E-Mail-Adresse für Quittungen, Angaben zu Zugängen (Name, E-Mail-Adresse, Kennung der Ladekarte, persönlicher Link), Kontaktangaben für Abrechnungen, technische Daten der Bezahlseite (IP-Adresse, Browser).

Betroffene Personen: Fahrende, Personen mit Zugang (zum Beispiel Bewohnende, Mitarbeitende) sowie Team-Mitglieder der Verantwortlichen.

Vollständige Kartendaten werden ausschliesslich beim Zahlungspartner der Verantwortlichen (zahls.ch oder Freika) verarbeitet, gestützt auf dessen eigenen Vertrag mit der Verantwortlichen.

3. Pflichten der Auftragsbearbeiterin

Die Auftragsbearbeiterin

• bearbeitet Personendaten nur auf dokumentierte Weisung der Verantwortlichen und nur für die vereinbarten Zwecke. Die Einstellungen im Dashboard und Aufrufe der API gelten als Weisung;
• verpflichtet die mit der Bearbeitung betrauten Personen zur Vertraulichkeit;
• trifft angemessene technische und organisatorische Massnahmen (Ziffer 5);
• unterstützt die Verantwortliche bei Begehren betroffener Personen und bei Melde- und Dokumentationspflichten;
• meldet Verletzungen der Datensicherheit ohne unangemessene Verzögerung, in der Regel innert 48 Stunden nach Kenntnis;
• löscht nach Beendigung alle Personendaten oder gibt sie zurück, soweit keine gesetzliche Aufbewahrungspflicht besteht.

4. Unterauftragsbearbeiter

Die Verantwortliche stimmt dem Einsatz folgender Unterauftragsbearbeiter zu: Vercel Inc., USA, mit Servern in der EU (Hosting von Website, Dashboard und Bezahlseite); Railway Corp., USA, mit Servern in der EU (Datenbank, API); Cloudflare Inc. (DNS, Schutz vor Angriffen); ein Schweizer oder europäischer E-Mail-Dienstleister (Quittungen, Benachrichtigungen). Die Hersteller der Ladestationen erhalten nur Gerätedaten und Befehle, keine Personendaten der Fahrenden.

Änderungen kündigt die Auftragsbearbeiterin mindestens 30 Tage im Voraus an. Die Verantwortliche kann aus wichtigem Grund widersprechen.

5. Technische und organisatorische Massnahmen

Verschlüsselte Übertragung (TLS 1.2 oder höher); verschlüsselte Speicherung von Zugangsdaten und Schlüsseln (AES-256-GCM); Rollen- und Berechtigungskonzept mit Zwei-Faktor-Anmeldung und Passkeys; Protokollierung von Zugriffen und Änderungen; strikte Mandantentrennung in der Datenbank; Trennung von Test- und Livedaten; regelmässige Sicherungen; Rechenzentren in der Schweiz und der EU mit Zutrittskontrolle.

6. Kontrollrechte

Die Verantwortliche kann sich mit angemessener Frist über die Einhaltung dieses Vertrags informieren, insbesondere durch Einsicht in Nachweise der Auftragsbearbeiterin und ihrer Unterauftragsbearbeiter. Prüfungen vor Ort sind nach Absprache und höchstens einmal jährlich möglich, sofern kein konkreter Verdacht besteht.

7. Datenübermittlung ins Ausland

Personendaten werden in der Schweiz und im EWR gespeichert. Soweit Unterauftragsbearbeiter mit Sitz in den USA Zugriff haben, ist ein angemessenes Datenschutzniveau durch Standardvertragsklauseln und die Zertifizierung nach dem Swiss-U.S. Data Privacy Framework sichergestellt.

8. Haftung und Schlussbestimmungen

Für die Haftung gelten die AGB. Es gilt Schweizer Recht, Gerichtsstand ist der Sitz der Auftragsbearbeiterin. Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor.