Datenschutzhinweise für die Semesterticket-App
A. Allgemeines
Wir freuen uns über Ihr Interesse an unserer Semesterticket-App. Der Schutz Ihrer persönlichen Daten ist uns ein besonderes Anliegen. Wir behandeln die von Ihnen im Rahmen der Nutzung der Semesterticket-App verarbeiteten personenbezogenen Daten vertraulich und entsprechend den gesetzlichen Datenschutzvorschriften sowie diesen Datenschutzhinweisen. Wir möchten Sie im Einzelnen darüber informieren, welche Ihrer personenbezogenen Daten wir verarbeiten, zu welchen Zwecken sie verarbeitet werden, mit wem sie geteilt werden und welche Kontroll- und Informationsrechte Ihnen gegebenenfalls zustehen. Wir empfehlen Ihnen daher, diese Datenschutzhinweise sorgfältig zu lesen.
B. Verantwortlichkeit und Kontakt
Verantwortlich für die Semesterticket-App sind die Berliner Verkehrsbetriebe AöR, Holzmarktstraße 15-17, 10179 Berlin (nachfolgend „BVG“ oder „wir“ oder „unser/e/er/es/en“ oder „uns“). Wenn Sie Fragen zu diesen Datenschutzhinweisen oder zu der Verarbeitung Ihrer personenbezogenen Daten haben, können Sie sich gern per E-Mail an info-datenschutz@bvg.de wenden.
Auch bei etwaigen Fragen, Anregungen und/oder Kritik in Bezug auf unsere Dienste kontaktieren Sie uns bitte per E-Mail unter: appsupport@bvg.de.
C. Allgemeines zur Datenverarbeitung
Berechtigte Studierende sollen das Semesterticket als digitales Deutschland-Handyticket erhalten. In der Semesterticket-App werdend ie Studierenden authentifiziert und danach wird ihnen das Deutschlandsemesterticket als personalisiertes Handyticket ausgestellt. Wir verarbeiten personenbezogene Daten unserer Nutzer dabei grundsätzlich nur, soweit dies zur Bereitstellung einer funktionierenden Semesterticket-App sowie unserer Inhalte und Leistungen erforderlich ist.
D. Zusammenfassung unserer Verarbeitungstätigkeiten
- Die Registrierung und Berechtigungsprüfung erfolgt in gemeinsamer Verantwortung mit Ihrer Universität, Fachhochschule oder sonstigen Bildungseinrichtung (nachfolgend „Hochschule“). Wir haben hierfür eine gesonderte Vereinbarung mit Ihrer Hochschule zum Schutz Ihrer Daten abgeschlossen. Die Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO (siehe dazu unter D.I sowie D.V.2.a)).
- Mit der Semesterticket-App können die berechtigten Studierenden ihr Deutschlandsemesterticket anzeigen. Hierbei verwenden wir die Daten, die erforderlich sind, um Ihnen das Deutschlandsemesterticket in der App zur Verfügung zu stellen. Rechtsgrundlage dieser Datenverarbeitung ist Art. 6 Abs. 1 S. 1 lit. b DSGVO (siehe dazu unter D.II).
- Sie können das Deutschlandsemesterticket auch in Ihrer Apple-Wallet speichern und anzeigen lassen. Hierzu werden Ihre Daten mit Apple geteilt. Rechtsgrundlage dieser Datenverarbeitung ist Art. 6 Abs. 1 S. 1 lit. b DSGVO (siehe dazu unter D.II.2 sowie D.V.2.c))
- Sollten Sie Kontakt mit unserem Kundenservice aufnehmen, verarbeiten wir die für die Bearbeitung Ihrer Anfrage erforderlichen Daten. Die Grundlage dafür bildet Art. 6 Abs. 1 S. 1 lit. b, f DSGVO (siehe dazu unter D.IV).
- Für die Durchführung dieser Datenverarbeitungen bedienen wir uns zum Teil externer Dienstleister. (siehe dazu unter D.V).
Definitionen
Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). Darunter fallen Informationen wie Ihr Name, Ihre E-Mail-Adresse, Ihr Geburtsdatum oder Ihre Matrikelnummer. Informationen, die nicht direkt mit Ihrer Identität in Verbindung gebracht werden, wie z.B. die Anzahl der Nutzer einer Internetpräsenz, fallen nicht hierunter.
Verarbeitung ist jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführter Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.
I. Verarbeitung ihrer Daten bei der Registrierung und Berechtigungsprüfung
Sie haben die Möglichkeit, sich in der Semesterticket-App mit einem Nutzer-Account zu registrieren, um das Deutschlandsemesterticket anzeigen zu lassen. Die Registrierung erfolgt entweder durch die manuelle Eingabe und anschließende Überprüfung Ihrer personenbezogenen Daten oder mithilfe des Shibboleth-Logins, soweit Ihre Hochschule Shibboleth nutzt.
1. Manuelle Registrierung und Berechtigungsprüfung
Im Rahmen des manuellen Registrierungsprozesses werden folgende personenbezogene Daten verarbeitet, die in die Eingabemaske der Semesterticket-App eingetragen werden:
- Vor- und Nachname
- Geburtsdatum
- Hochschulspezifische Daten (Matrikelnummer, besuchte Hochschule, ID)
- Gültigkeitszeitraum Deutschlandsemesterticket
Nach Eingabe Ihrer Daten überprüfen wir Ihre Berechtigung zur Nutzung des Deutschlandsemestertickets. Die Berechtigungsprüfung erfolgt anhand des Abgleichs Ihrer Registrierungsdaten mit den zur Ausstellung des Deutschlandsemestertickets erforderlichen Daten, die von Ihrer Hochschule an uns übermittelt wurden. Soweit die Berechtigungsprüfung positiv ist, kann das Deutschlandsemesterticket angezeigt werden.
Die Rechtmäßigkeit dieser Datenverarbeitung ergibt sich aus Art. 6 Abs. 1 S. 1 lit. b DSGVO. Die Daten dienen der effektiven Bereitstellung und Verwaltung Ihres Nutzer-Accounts sowie der Überprüfung Ihrer Berechtigung zur Nutzung des Deutschlandsemestertickets.
2. Registrierung und Berechtigungsprüfung mittels Shibboleth
Soweit Ihre Hochschule Shibboleth nutzt, können Sie sich alternativ auch mit Ihren Hochschuldaten (Benutzername und Passwort) via Shibboleth/SAML Identity Provider registrieren. In diesem Fall werden die vorgenannten Datenkategorien zur Erstellung Ihres Nutzer-Accounts direkt aus den Studierendendaten Ihrer Hochschule übertragen.
Bei Shibboleth handelt es sich um eine Software, mit welcher Authentifizierungen und Autorisierungen für Webservices und Webanwendungendurchgeführt werden können. Findet die Berechtigungsprüfung über Shibboleth statt, stellt uns Ihre Hochschule die Shibboleth-Schnittstelle zur Verfügung. In der Semesterticket-App wird dann ein Login über Shibboleth angeboten, das auf die Website Ihrer Hochschule (als sog. „Identity Provider“) weiterleitet. Nach Eingabe des Benutzernamens und des Passworts erfolgt eine Prüfung durch den Identity Provider. Bei erfolgreichem Login und positiver Berechtigungsprüfung werden die vorgenannten Datenkategorien zur Erstellung des Upgrades an uns übermittelt.
Auch die Rechtmäßigkeit dieser Datenverarbeitung ergibt sich aus Art. 6 Abs. 1 S. 1 lit. b DSGVO, da sie der effektiven Bereitstellung und Verwaltung Ihres Nutzer-Accounts sowie der Überprüfung Ihrer Berechtigung zur Nutzung des Deutschlandtickets dienen.
II. Verarbeitung Ihrer Daten beim Upgrade auf das Deutschlandticket
Nach Ihrer Registrierung und positiven Berechtigungsprüfung wird über die Semesterticket-App ihr Deutschlandsemesterticket ausgestellt. Das Deutschlandtsemestericket kann in der Semesterticket-App angezeigt oder in Ihre Apple- Wallet übertragen werden.
1. Ausstellung des Deutschlandsemestertickets in der Semesterticket-App
Zusätzlich zu den unter Ziff. I genannten Datenkategorien verarbeitet die BVG für die Ausstellung des Deutschlandsemestertickets in der Semesterticket-App die folgenden Daten:
- Informationen zum verwendeten Endgerät (z.B. Betriebssystem, Browser, IP-Adresse)
- Gültigkeitszeitraum und -bereich für das Ticket
Diese Daten sind erforderlich, um das Deutschlandsemesterticket Semesterticket-App auszustellen. Die Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO.
2. Übertragung des Deutschlandsemestertickets in die Apple-Wallet
Neben der Ausstellung des Deutschlandsemestertickets in der Semesterticket-App besteht die Möglichkeit, das Deutschlandsemesterticket auf Wunsch des Nutzers in der Apple-Wallet speichern zu können und anzeigen zu lassen. In diesem Fall werden die vorgenannten Datenkategorien mit Apple geteilt, die diese als eigenständige Verantwortliche verarbeiten. Die Rechtsgrundlage ist insoweit Art. 6 Abs. 1 S. 1 lit. b DSGVO (siehe dazu unter D.V.2.c)).
III. Verarbeitung Ihrer Daten zur Fehlerbehebung
Kommt es zu Kommunikationsproblemen oder Verbindungsabbrüchen zwischen der App und dem Hintergrundsystem, dann speichern wir in der Semesterticket-App die mit dem Fehler in Zusammenhang stehenden Daten in Ihrem Nutzer-Account. Die Erhebung und Verarbeitung dieser Daten erfolgt zu dem Zweck, den Fehler zu beheben, die App zu optimieren sowie die Systemsicherheit zu gewährleisten.
Diese Informationen werden verarbeitet für unser berechtigtes Interesse, die Stabilität und Sicherheit der App und unserer informationstechnischen Systeme zu gewährleisten, Art. 6 Abs. 1 S. 1 lit. f DSGVO.
IV. Verarbeitung Ihrer Daten bei Kontaktaufnahme mit dem Kundenservice
Bei Ihrer Kontaktaufnahme mit uns per E-Mail oder über das BVG-Kontaktformular verarbeiten wir personenbezogene Daten, um den Grund der Kontaktaufnahme zu ermitteln und Ihnen entsprechend zu helfen oder antworten zu können. Dazu gehört etwa die Verarbeitung der Kaufhistorie, um zu erstattenden Tickets ausfindig zu machen. Außerdem werden der Grund der Kontaktaufnahme, Ihre E-Mail-Adresse und Ihr Name von uns gespeichert, um Ihre Fragen zu beantworten.
Rechtsgrundlage für die vorgenannten Datenverarbeitungsvorgänge ist Art. 6 Abs. 1 S. 1 lit. b und Art. 6 Abs. 1 S. 1 lit. f DSGVO. Art. 6 Abs. 1 lit. b DSGV ist die Rechtsgrundlage für die Bearbeitung von Anfragen unserer Kunden, mit denen wir Verträge haben. Im Übrigen haben wir ein berechtigtes Interesse daran, einen reibungslosen Kundenservice zu gewährleisten. Wir verwenden zudem Ihre Daten, um zu gewährleisten, dass unsere Dienste ordnungsgemäß funktionieren und um unsere Bearbeitungsprozesse zu verbessern und zu beschleunigen, z.B. durch optimierte Zuordnungsfunktionalitäten.
V. Weitergabe Ihrer Daten
1. Auftragsverarbeiter
Personenbezogene Daten können eingesetzten Dienstleistern bekannt gegeben werden, welche in unserem Auftrag handeln, um die Daten ihrem ursprünglich zugrundeliegenden Zweck entsprechend weiterzubearbeiten, zum Beispiel zur Erfüllung der angebotenen Dienstleistungen oder als technischer Support. Eingesetzte Dienstleister sind von uns mittels gesetzlich vorgesehener Vereinbarungen (sog. Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO) vertraglich verpflichtet, personenbezogene Daten nur zum vereinbarten Zweck zu verwenden oder Ihre personenbezogenen Daten nicht ohne unsere Zustimmung an andere Parteien weiterzugeben, es sei denn, dies ist gesetzlich erforderlich. Wir bedienen uns folgender externer Dienstleister, um Ihre Daten zu verarbeiten:
- Digital H GmbH (Am Bahndamm 2, 41516 Grevenbroich) – Betrieb und Support der Semesterticket-App
2. Verantwortliche
Darüber hinaus geben wir Daten an folgende Dritte weiter, die die Daten in gemeinsamer Verantwortung mit uns oder als eigenständige Verantwortliche verarbeiten:
a) Ihre Universität, Fachhochschule oder Bildungseinrichtung
Die Registrierung und Berechtigungsprüfung erfolgt in Kooperation mit Ihrer Universität, Fachhochschule oder sonstigen Bildungseinrichtung („Hochschule“) bzw. mit der Studierendenschaft Ihrer Hochschule. Bei der manuellen Registrierung erhalten wir von Ihrer Hochschule den aktuellen Datensatz über die zum Upgrade auf das Deutschlandsemesterticket berechtigten Studierenden. Die bei Ihrer Registrierung eingebenden Daten werden mit diesem Datensatz zum Zwecke der Berechtigungsprüfung abgeglichen. Soweit Ihre Hochschule Shibboleth nutzt, erfolgt die Berechtigungsprüfung direkt über die Shibboleth-Schnittstelle Ihrer Hochschule. Die Rechtmäßigkeit dieser Datenverarbeitung ergibt sich aus Art. 6 Abs. 1 S. 1 lit. b DSGVO. Die Daten dienen der effektiven Bereitstellung und Verwaltung Ihres Nutzer-Accounts sowie der Überprüfung Ihrer Berechtigung zur Nutzung des Deutschlandsemestertickets.
Bei der Registrierung und Berechtigungsprüfung handeln Ihre Hochschule und wir als gemeinsame Verantwortliche gemäß Art. 26 DSGVO, da die Mittel und Zwecke der Datenverarbeitung gemeinsam bestimmt werden. Zu diesem Zweck haben wir mit Ihrer Hochschule eine Vereinbarung abgeschlossen, in der wir in transparenter Form festlegen, wer welche Verpflichtung gemäß der DSGVO erfüllt.
b) Apple Inc.
Soweit Sie das Deutschlandsemesterticket in Ihrer Apple-Wallet speichern und anzeigen lassen möchten, geben wir die hierfür erforderlichen Daten nach Betätigung des entsprechenden Links an Apple (Apple Inc., Apple Distribution International, Hollyhill Industrial Estate, Hollyhill, Cork, Irland) weiter. Auch benachrichtigen wir Apple über die Verlängerung bzw. Kündigung Ihres Abonnements, damit das Ticket in der Wallet korrekt angezeigt bzw. entfernt wird.
Die Rechtsgrundlage für die Datenübertragung in die Apple-Wallet ist Art. 6 Abs. 1 S. 1 lit. b DSGVO. Indem Sie die Zusatzfunktion, das Deutschlandsemesterticket in Ihrer Apple-Wallet zu speichern, durch Betätigung des entsprechenden Links aktivieren, berechtigen Sie uns dazu, die zur Speicherung und Anzeige des Deutschlandsemestertickets erforderlichen Daten an Apple übertragen zu dürfen. Sollten Sie die Zusatzfunktion nicht aktivieren oder das Deutschlandsemesterticket aus Ihrer Wallet entfernen, werden wir keine weiteren Daten an Apple weiterleiten.
Apple agiert in diesem Fall für die Speicherung und Anzeige des Deutschlandsemestertickets in der jeweiligen Wallet als eigenständige Verantwortliche im Hinblick auf die an sie übertragenen Daten. Weitere Informationen über die Datenverarbeitung durch Apple erhalten Sie unter: https://www.apple.com/de/legal/privacy/data/de/apple-pay/.
3. Weitergabe personenbezogener Daten an Behörden
Eine Übermittlung Ihrer personenbezogenen Daten an öffentliche Stellen erfolgt nur dann, wenn die Informationen auf der Grundlage gesetzlicher Auskunftsersuche angefragt werden oder die BVG anderweitig zur Datenweitergabe gesetzlich verpflichtet ist, Art. 6 Abs. 1 S. 1 lit. c DSGVO.
4. Datenweitergabe innerhalb der BVG
Wir behalten uns vor, die Semesterticket-App in Zukunft durch eine andere Gesellschaft aus der BVG-Gruppe betreiben zu lassen; bei einem entsprechenden Betreiberwechsel werden auch die Nutzerdaten an den neuen Betreiber übergeben. Der neue Betreiber wird dann in alle Rechten und Pflichten eintreten und die personenbezogenen Daten wie in diesen Datenschutzhinweisen erläutert verarbeiten.
VI. Übermittlung personenbezogener Daten in Drittstaaten
Die BVG selbst verarbeitet im Zusammenhang mit der Semesterticket-App keine personenbezogenen Daten in Ländern außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums, in denen die DSGVO nicht gilt (sog. „Drittstaaten“). Bei den von uns eingesetzten Dienstleistern kann allerdings nicht immer ausgeschlossen werden, dass Daten auch in Drittstaaten verarbeitet werden. Beachten Sie dabei bitte, dass in anderen Staaten verarbeitete Daten ggf. ausländischen Gesetzen unterliegen und den dortigen Regierungen, Gerichten sowie Strafverfolgungs- und Aufsichtsbehörden zugänglich sind. Bei der Übertragung Ihrer personenbezogenen Daten in Drittstaaten werden wir jedoch geeignete Maßnahmen treffen, um Ihre Daten angemessen zu sichern.
Sofern für das Empfängerland kein Angemessenheitsbeschluss der EU Kommission besteht, ist die Übertragung Ihrer Daten in einen Drittstaat dadurch geschützt, dass mit dem Empfänger EU-Standardvertragsklauseln (https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en) abgeschlossen wurden oder verbindliche interne Datenschutzrichtlinien vorliegen. Andernfalls erfolgt eine Übermittlung nur, wenn eine Ausnahme nach Art. 49 DSGVO erfüllt ist. Soweit Standardvertragsklauseln vereinbart wurden, überprüfen wir, dass deren Bestimmungen im Empfängerland grundsätzlich eingehalten werden können. Darüber hinaus setzt die BVG ggf. zusätzliche Schutzmaßnahmen um, um ein angemessenes Datenschutzniveau im Empfängerland zu gewährleisten.
Auch bei den von uns als Auftragsverarbeiter eingesetzten Dienstleistern stellen wir sicher, dass diese Dienstleister Ihre personenbezogenen Daten nur unter den Voraussetzungen des Kapitels V der DSGVO an etwaige Datenempfänger in Drittstaaten übermitteln.
Bitte beachten Sie, dass sich die Datenverarbeitung bei der Speicherung und Anzeige des Deutschlandsemestertickets in der Apple-Wallet nach den Vorgaben von Apple richtet. Hierauf hat die BVG keinen Einfluss, da Apple als eigenständiger Verantwortlicher handelt (siehe dazu oben D.V.2.c)). Es kann daher nicht ausgeschlossen werden, dass die Daten von Apple konzernintern oder -extern an Empfänger in Drittstaaten übermittelt werden.
E. Datenlöschung und Speicherdauer
Ihre personenbezogenen Daten werden solange gespeichert, wie es für die Erfüllung des konkreten Zwecks erforderlich ist. Im Anschluss werden Ihre Daten gelöscht, wenn nicht im Einzelfall gesetzliche Aufbewahrungspflichten eine darüberhinausgehende Speicherung erfordern oder gesetzliche Rechtfertigungstatbestände diese ermöglichen. In der Regel ergeben sich die folgenden Aufbewahrungs- bzw. Löschfristen:
- Stammdaten aus Nutzer-Account: Aufbewahrung während des Bestehens des Abonnements sowie bis zu 12 Monate nach Löschung des Nutzer-Accounts, sofern nicht gesetzliche Gründe (z.B. steuerliche Gründe, HGB etc.) entgegenstehen
- Daten aus Anfragen beim Kundenservice: Aufbewahrung für maximal drei Jahre nach Bearbeitung der Anfrage (Fristbeginn mit Schluss des jeweiligen Kalenderjahres.
F. Ihre Datenschutzrechte
Sie haben, je nach den Gegebenheiten des konkreten Falls, folgende Datenschutzrechte:
- Auskunft über Ihre bei uns verarbeiteten personenbezogenen Daten zu erhalten und/oder Kopien dieser Daten zu verlangen. Dies schließt Auskünfte über den Zweck der Nutzung, die Kategorie der genutzten Daten, deren Empfänger und Zugriffsberechtigte sowie, falls möglich, die geplante Dauer der Datenspeicherung oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer, ein;
- Die Berichtigung, Löschung oder Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen, soweit deren Nutzung datenschutzrechtlich unzulässig ist, insbesondere, weil (i) die Daten unvollständig oder unrichtig sind, (ii) sie für die Zwecke, für die sie erhoben wurden nicht mehr notwendig sind, (iii) die Einwilligung, auf die sich die Verarbeitung stützte widerrufen wurde, oder (iv) Sie erfolgreich von einem Widerspruchsrecht zur Datenverarbeitung Gebrauch gemacht haben; in Fällen, in denen die Daten von dritten Parteien verarbeitet werden, werden wir Ihre Anträge auf Berichtigung, Löschung oder Einschränkung der Verarbeitung an diese dritten Parteien weiterleiten, es sei denn dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden;
- Die Einwilligung zu verweigern oder – ohne Auswirkung auf die Rechtmäßigkeit der vor dem Widerruf erfolgten Datenverarbeitungen – Ihre Einwilligung zur Verarbeitung Ihrer personenbezogenen Daten jederzeit zu widerrufen;
- Die Sie betreffenden personenbezogenen Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu verlangen und diese Daten einem anderen Verantwortlichen ohne Behinderung durch uns zu übermitteln; Sie haben gegebenenfalls auch das Recht zu verlangen, dass wir die personenbezogenen Daten direkt einem anderen Verantwortlichen übermitteln, soweit dies technisch machbar ist;
- Rechtliche Maßnahmen zu ergreifen oder die Datenschutzaufsichtsbehörde anzurufen, wenn Sie der Ansicht sind, dass Ihre Rechte infolge einer nicht im Einklang mit den datenschutzrechtlichen Vorgaben stehenden Verarbeitung Ihrer personenbezogenen Daten verletzt wurden.
- Zusätzlich hierzu steht Ihnen das Recht zu, der Verarbeitung Ihrer personenbezogenen Daten jederzeit kostenfrei und mit Wirkung für die Zukunft zu widersprechen:
- sofern wir Ihre personenbezogenen Daten zu Zwecken der Direktwerbung verarbeiten; oder
- sofern wir Ihre personenbezogenen Daten zur Verfolgung unserer berechtigten Interessen verarbeiten und Gründe vorliegen, die sich aus Ihrer besonderen Situation ergeben.
Zur Ausübung Ihrer Rechte können Sie uns jederzeit eine E-Mail an info-datenschutz@bvg.de senden.
Wenn Sie direkt den Datenschutzbeauftragten der BVG kontaktieren möchten, senden Sie eine E-Mail an datenschutz@bvg.de.
G. Änderungsklausel
Wir behalten uns vor, die vorliegenden Datenschutzhinweise von Zeit zu Zeit zu ändern. Aktualisierte Versionen werden unter https://www.bvg.de/de/deutschlandticket/datenschutz veröffentlicht.
Stand: 17.05.2024