eTicket RheinMain - Wesentliche Informationen zur gemeinsamen Verarbeitung personenbezogener Daten

Wesentliche Informationen zur gemeinsamen Verantwortlichkeit bei der Verarbeitung personenbezogener Daten im verbundweiten mandantenfähigen Hintergrundsystem (vHGS) des eTicket RheinMain gemäß Artikel 26 DSGVO (Joint Controllership-Vereinbarung)

Was ist der Grund für die gemeinsame Verantwortlichkeit?

Im Rahmen des eTicket RheinMain betreiben Verkehrsunternehmen und seltener von Verkehrsunternehmen eingesetzte Vertriebsdienstleister (nachstehend gemeinsam "Kundenvertragspartner" genannt) in gemeinsamer Verantwortung mit dem Rhein-Main-Verkehrsverbund GmbH (RMV) ein Vertriebssystem, das "verbundweite mandantenfähige Hintergrundsystem" (vHGS). Dieses Vertriebssystem inklusive Datenbank zur Verwaltung von Kundendaten ermöglicht den Kundenvertragspartnern eine koordinierte Abwicklung aller vertrieblichen Prozesse des elektronischen Fahrgeldmanagements (EFM), auf Basis dessen die Kundenvertragspartner eine (gemeinsame) Kundenbetreuung durchführen können. Dies betrifft auch die Verarbeitung Ihrer persönlichen Daten. Kundenvertragspartner und RMV (nachstehend gemeinsam "Parteien" genannt) haben gemeinsam die Reihenfolge der Verarbeitung dieser Daten in den einzelnen Prozessabschnitten festgelegt. Sie sind daher innerhalb der nachfolgend beschriebenen Prozessabschnitte gemeinsam für den Schutz Ihrer personenbezogenen Daten verantwortlich (gemäß Artikel 26 DSGVO).

Im Folgenden sind die beteiligten Parteien an der Vereinbarung gemäß Artikel 26 DSGVO (Joint Controllership-Vereinbarung) aufgeführt:

Für welche Prozessabschnitte besteht eine gemeinsame Verantwortlichkeit?

Für folgende Prozessabschnitte zur Verwaltung von Kundendaten und zur Abwicklung aller vertrieblichen Prozesse des elektronischen Fahrgeldmanagements (EFM) im vHGS besteht eine gemeinsame Verantwortlichkeit. Dies ist nicht so zu verstehen, dass alle vorstehend aufgezählten Parteien immer gleichzeitig Zugriff auf die Daten aller Kunden nehmen.

Im Rahmen ihrer gemeinsamen datenschutzrechtlichen Verantwortlichkeit haben die Parteien vereinbart, wer von ihnen wann welche Pflichten gemäß DSGVO erfüllt. Dies betrifft insbesondere die Wahrnehmung der Rechte der betroffenen Personen und die Erfüllung der Informationspflichten gemäß den Artikeln 13 und 14 DSGVO bei der Verarbeitung personenbezogener Daten in unterschiedlichen Verarbeitungsschritten und Systemen:

1. Verkaufs- und Serviceprozesse für eigene Kunden
Erfüllung der Pflichten durch: ALV, B&S, DBV, TDV, EWF, HSB, HOU, HLB, KVGMK, KVGOF, LNF, LNVGG, SHG, MTV, MVG, MVG mbH, NSE, OREG, OVB, VDL-Online, RACK, RNV, RVMKK, RTV, REB, REFD, SWF, SWGI, SWOU, SWR, VGF, SBV, VGG, VLDW, VGO, VGFD, VHT, WZVB

2. Vertrieb und Service für Fremdkunden (Leistungen, die gegenüber Kunden eines anderen Kundenvertragspartners im vHGS durchgeführt werden, bspw. Registrieren von Nutzermedien, Ersatzausstellung eines Nutzermediums, Änderungen von Daten zum Fahrkartenabonnement, etc.)
Erfüllung der Pflichten durch: ALV, B&S, DBV, TDV, EWF, HSB, HOU, HLB, KVGMK, KVGOF, LNF, LNVGG, SHG, MTV, MVG, MVG mbH, NSE, OREG, OVB, VDL-Online, RACK, RNV, RVMKK, RTV, REB, REFD, SWF, SWGI, SWOU, SWR, SBV, VGG, VLDW, VGO, VGFD, VHT, WZVB

3. Bearbeitung von Bestell- und Serviceprozessen für Kunden über den RMV-TicketShop, für Datenverarbeitungen, die im vHGS erfolgen (Prozesse, die von Kunden über das Kundenportal meinRMV/RMV-TicketShop angestoßen wurden. Die Bestellabwicklung von über den RMV-TicketShop erworbenen Fahrkarten erfolgt im vHGS)

• Erstellung und Bereitstellung eines Datensatzes für die Ausgabe der Fahrkarte oder für die Ausgabe eines Berechtigungsnachweises auf einer Chipkarte über ein Schreib-/Lesegerät (Akzeptanzterminal)
• Erstellung und Bereitstellung eines Datensatzes für den Druck der Fahrkarte in Papierform
• Ausstellung und Übersendung der Fahrkarte und weiterer Vertragsinformationen
• Korrektur der bereits zuvor übermittelten personenbezogenen Daten wegen Änderung der Kontaktdaten oder vergleichbarer Gründe
• Abwicklung der Bezahlung der Fahrkarte
• Bearbeitung von Kunden- und Interessentenanfragen

Erfüllung der Pflichten durch: VDL-Online (Vertriebsdienstleister der OVB)

4. Ausgabe und Verwaltung von JobTickets

• die Erstellung und Bereitstellung eines Datensatzes für die Ausgabe des JobTickets (Fahrkarte) auf eine Chipkarte oder im Übergangstarif in Papierform
• Bereitstellung eines Begleitschreibens zum JobTicket für den JobTicket-Inhaber
• Korrektur der bereits zuvor übermittelten personenbezogenen Daten wegen Änderung der Kontaktdaten oder vergleichbarer Gründe

Erfüllung der Pflichten durch:  ALV, TDV, ESWE, HSB, HEAG, HLB, KVGMK, KVGOF, LNVGG, SHG, MTV, MVG, MVG mbH, OREG, OVB, REFD, SWF, SWOU, SWR, VGF, VLDW, VGO, WZVB

5. Technische und fachliche Bereitstellung des vHGS

• Support bei Fehlern oder Betriebsstörungen im vHGS
• Support, wenn Bedarf an Optimierung oder Weiterentwicklung des vHGS besteht oder nicht zeitkritische Probleme auftreten

Erfüllung der Pflichten durch: RMV

Die jeweiligen Kundenvertragspartner erheben und verarbeiten im Rahmen Ihrer verantworteten Prozessabschnitte eigenverantwortlich Kundendaten. Der RMV ist für den technischen und fachlichen Betrieb des vHGS verantwortlich und ist berechtigt, sich weiterer Unternehmen (Auftragsverarbeiter) zu bedienen, die ihn beim fachlichen und technischen Betrieb der Datenbank unterstützen, beispielsweise auch für die Erstellung und den Versand der eTickets und Papierfahrkarten.

Was bedeutet das für Betroffene?

Auch wenn eine gemeinsame Verantwortlichkeit besteht, erfüllen die Parteien die datenschutzrechtlichen Pflichten entsprechend ihrer jeweiligen Zuständigkeiten für die einzelnen Prozessabschnitte wie folgt:

• Im Rahmen der gemeinsamen Verantwortlichkeit ist für die Verarbeitung personenbezogener Daten in
  • Abschnitt 1 der für den Betroffenen verantwortliche Kundenvertragspartner zuständig. Das bedeutet, dass sich Betroffene an jenen Vertragspartner wenden, mit dem sie ein Vertragsverhältnis eingegangen sind (Vertragspartner, bei dem eine Fahrkarte erworben wurde).

  • Abschnitt 2 der für den Betroffenen verantwortliche Kundenvertragspartner zuständig (vgl. Verantwortlichkeit gemäß Abschnitt 1). Kundenvertragspartner, die für einen konkret anfragenden Betroffenen Daten verarbeiten sind dazu verpflichtet den Kundenvertragspartner des Betroffenen bei der Ausübung der Betroffenenrechte zu unterstützen.

  • Abschnitt 3 die Rhein-Main-Verkehrsverbund Servicegesellschaft mbH (VDL-Online) für den Betroffenen zuständig.

  • Abschnitt 4 der Arbeitgeber (JobTicket-Unternehmen) des Betroffenen zuständig.

  • Abschnitt 5 die Rhein-Main Verkehrsverbund GmbH (RMV) für den Betroffenen zuständig.

• Die Parteien machen den betroffenen Personen die gemäß Art. 13 und 14 DSGVO erforderlichen Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache unentgeltlich zugänglich. Hierbei lässt jede Partei der anderen Partei sämtliche dafür notwendigen Informationen aus ihrem Wirkbereich zukommen.

• Kann eine Partei bspw. aufgrund von fehlenden technischen Voraussetzungen der Ausübung den Pflichten nach den Artikeln 15 bis 22 DSGVO nicht nachkommen, ist in diesem Fall der RMV auf vorherige Anweisung der betroffenen Partei für die Wahrnehmung der Betroffenenrechte verantwortlich. Voraussetzung zur Wahrnehmung der Betroffenenrechte durch den RMV ist, dass dem RMV durch die betroffene Partei der unmittelbare Zugriff auf die personenbezogenen Daten des von der Partei verantworteten Prozessabschnitts gewährleistet ist.
• Die Parteien informieren sich unverzüglich gegenseitig über von Betroffenen geltend gemachte Rechtspositionen. Sie stellen einander sämtliche für die Beantwortung von Auskunftsersuchen notwendigen Informationen zur Verfügung.

• Datenschutzrechte können bei allen beteiligten Parteien geltend gemacht werden. Betroffene erhalten die Auskunft grundsätzlich von der für den Betroffenen zuständigen Partei.

Stand: 17.02.2022