Datenschutzerklärung

Verantwortlicher

JANJOR CARS LTD, Flat 1, 61 Morpeth Street, Hull, HU3 1RF, Vereinigtes Königreich — Registernummer 16568399 (England und Wales) — Telefon +44 7537 174486.

Kontakt für den Datenschutz

[email protected], für die Ausübung Ihrer Rechte und für alle Fragen zu dieser Erklärung.

Datenschutzbeauftragter

[email protected], für Anfragen zur Fahrzeugdatenbank und für Beschwerden.

Die Benennung eines Datenschutzbeauftragten wird von der Compliance-Recherche empfohlen und ist aller Wahrscheinlichkeit nach verpflichtend: Die Kerntätigkeit von vincode besteht in der umfangreichen regelmäßigen und systematischen Überwachung von Daten, die sich Fahrzeugkennungen zuordnen lassen (Art. 37 Abs. 1 Buchst. b) DSGVO). Nach der Benennung sind die Kontaktdaten des Datenschutzbeauftragten dem Garante über das dafür vorgesehene Portal mitzuteilen (Art. 37 Abs. 7).

Das ist die meistdiskutierte Frage der Branche, und die ehrliche Antwort lautet: Es kommt darauf an, wer sie hat.

Der Gerichtshof der Europäischen Union hat in der Rechtssache C-319/22 (Gesamtverband Autoteile-Handel eV gegen Scania CV AB, Urteil vom 9. November 2023) einen relativen Ansatz gewählt: Die Fahrgestellnummer ist für sich genommen kein personenbezogenes Datum, wird es aber für denjenigen, der nach allgemeinem Ermessen über Mittel verfügt, sie einer bestimmten Person zuzuordnen. Dabei sind alle Mittel zu berücksichtigen, die der Verantwortliche oder ein Dritter nach allgemeinem Ermessen wahrscheinlich nutzt. Der Gerichtshof stellt zudem klar, dass nicht alle Informationen, die eine Identifizierung ermöglichen, in der Hand einer einzigen Stelle liegen müssen: Das ist die Einschränkung, die uns am schwersten wiegt, denn „wir halten die Zuordnung zum Kennzeichen nicht vor“ ist für sich genommen keine Antwort.

In Italien ist der Rahmen enger. Der italienische Kassationsgerichtshof (Corte di cassazione) hat mit Beschluss Nr. 4648 vom 21. Februar 2024 festgestellt, dass das Kennzeichen ein personenbezogenes Datum ist, weil es erlaubt, den Halter zu identifizieren und zu profilieren. Da das italienische Kfz-Register (Pubblico Registro Automobilistico) über das Kennzeichen abgefragt werden kann, stehen die Mittel zur Identifizierung in Italien jedermann kostengünstig und rechtmäßig zur Verfügung: Der Test der „nach allgemeinem Ermessen wahrscheinlich genutzten Mittel“ ist damit fast bauartbedingt erfüllt.

Der Europäische Datenschutzausschuss (EDSA) merkt seinerseits in den Leitlinien 01/2020 zu vernetzten Fahrzeugen (angenommen am 9. März 2021) an, dass technische Daten wie Fahrstil, gefahrene Kilometer und Verschleiß die Fahrerin, den Fahrer oder Mitfahrende betreffen, weil sie sich, verknüpft mit anderen Daten wie der Fahrgestellnummer, einer Person zuordnen lassen.

Die praktische Schlussfolgerung von vincode lautet: Wir bauen so, als wäre die Antwort ja, und richten das System so ein, dass sie in unseren Händen nein wird. Das sind die Regeln, die daraus folgen, und sie binden diejenigen, die den Code schreiben, genauso wie diejenigen, die die Dokumente schreiben.

Fahrgestellnummer allein

Schlüssel der Ereignisdatenbank. Dem Datensatz ist nie ein Name, eine Anschrift oder eine Kontaktangabe zugeordnet.

Kennzeichen

In jedem Fall als personenbezogenes Datum behandelt: im Ruhezustand verschlüsselt, kurze Speicherdauer, protokollierte Zugriffe.

Zuordnung Kennzeichen → Fahrgestellnummer

Das ist die Brücke, die alles Übrige identifizierbar macht. Von der Ereignisdatenbank getrennt, verschlüsselt, nach 90 Tagen gelöscht.

Fahrgestellnummer zusammen mit Name oder Anschrift

Nicht erhoben, nicht gespeichert, nicht angezeigt. Nie, aus keiner Quelle, zu keinem Zweck.

Fotos aus alten Inseraten

Kennzeichen und Gesichter werden bei der Erfassung unkenntlich gemacht, bevor das Bild ins Archiv gelangt.

Die drei Stränge auseinanderzuhalten ist die nützlichste Entscheidung dieser ganzen Erklärung: Sie haben unterschiedliche betroffene Personen, unterschiedliche Zwecke und unterschiedliche Rechtsgrundlagen, und sie zu vermengen ist der schnellste Weg zum Fehler.

Wir stützen die Verarbeitung A nicht auf die Einwilligung. Das wäre eine falsche Wahl: Sie würde eine Verarbeitung, die zur Erfüllung des von Ihnen gewünschten Vertrags erforderlich ist, jederzeit widerruflich machen und uns zwingen, die Lieferung eines bereits bezahlten Reports abzubrechen.

Auch die Verarbeitung B stützen wir nicht auf die Einwilligung, aus einem anderen Grund: Die Einwilligung eines früheren Eigentümers, den wir nicht kontaktieren können, lässt sich nicht einholen, und eine Einwilligung, die man nicht nachweisen kann, ist schlimmer als gar keine. Vor dem Start müssen die Abwägungsprüfung zum berechtigten Interesse (Legitimate Interest Assessment, LIA) und die Datenschutz-Folgenabschätzung (DSFA) schriftlich festgehalten werden.

Kontakt- und Kontodaten

E-Mail-Adresse, als Hash gespeichertes Passwort, Sprache und Land, Kommunikationseinstellungen.

Bestelldaten

Gekauftes Paket, Betrag, Währung, angewandter Mehrwertsteuersatz und Land der Besteuerung, Transaktionskennung, gekauftes und verbrauchtes Guthaben.

Nachweis der Zustimmung zum Verzicht auf das Widerrufsrecht

Der Wortlaut, dem Sie zugestimmt haben, die Fassungsnummer, Datum und Uhrzeit, die Sprache, der Zustand des Kästchens vor dem Absenden, die Beschriftung der Bestellschaltfläche, die Kennung der Bestätigungs-E-Mail und der Zeitpunkt, zu dem der Report freigeschaltet wurde.

Nachweise zur Verortung für Zwecke der Mehrwertsteuer

Angegebenes Rechnungsland, serverseitig aus der IP-Adresse abgeleitetes Land, Ausgabeland der Karte, Ergebnis des Abgleichs dieser Angaben.

Durchgeführte Suchen

Die Fahrgestellnummern und Kennzeichen, nach denen Sie gesucht haben, mit Datum. Kennzeichen werden verschlüsselt und nach den unter Punkt 7 genannten Fristen gelöscht.

Supportdaten

Der Inhalt der Nachrichten, die Sie uns senden, und der zugehörige Schriftwechsel.

Technische Protokolle

IP-Adresse, Datum und Uhrzeit, angefragte Ressource, Ergebnis der Anfrage, User-Agent.

Wir verarbeiten keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO und fragen auch keine ab. Wir erhalten und speichern die Daten Ihrer Zahlungskarte nicht: Sie werden von Stripe verarbeitet, und wir sehen nur das Ergebnis, das Ausgabeland und die letzten vier Ziffern.

Die Angabe der Kontakt- und Bestelldaten ist für den Vertragsschluss erforderlich: Ohne sie können wir Ihnen weder den Report liefern noch die Steuerbelege ausstellen. Alles Übrige ist freiwillig.

Die Daten, die Sie als Kundin oder Kunde betreffen, stellen Sie selbst bereit, mit zwei Ausnahmen: den technischen Daten, die der Server automatisch erhebt, und den Informationen, die wir im Zusammenhang mit der Zahlung von Stripe erhalten, nämlich Ergebnis, Ausgabeland der Karte und letzte vier Ziffern.

Die Daten in der Fahrzeugdatenbank stammen dagegen nicht von den betroffenen Personen. Sie kommen aus Zulassungsregistern, Archiven der Fahrzeuguntersuchung, von Schadenregulierern, aus Diebstahlmeldungen, von Werkstattnetzen und autorisierten Reparaturbetrieben, aus alten Verkaufsinseraten und aus Rückrufaktionen der Hersteller.

Deshalb gilt für diese Verarbeitung Art. 14 DSGVO und nicht Art. 13, und deshalb muss die Erklärung zu den Fahrzeugdaten öffentlich, für Suchmaschinen auffindbar und ohne Konto sowie ohne das Setzen eines Cookies erreichbar sein. Auch die Herkunft ist anzugeben, einschließlich der Angabe, ob es sich um öffentlich zugängliche Quellen handelt (Art. 14 Abs. 2 Buchst. f)).

Jede Kategorie hat eine genannte Frist und einen Grund. Eine Frist ohne Grund ist keine Löschregel, sondern ein erfundenes Ablaufdatum.

Wir setzen Dienstleister ein, die Daten in unserem Auftrag verarbeiten. Sie sind als Auftragsverarbeiter im Sinne des Art. 28 DSGVO benannt und durch einen schriftlichen Vertrag gebunden, der Zwecke, Dauer, Sicherheitsmaßnahmen und Löschpflichten festlegt.

Wir verkaufen, überlassen und vermieten keine personenbezogenen Daten an Dritte zu Werbezwecken. Wir betreiben keine Profilanreicherung und kaufen keine Adresslisten.

Wir bevorzugen Dienstleister mit Sitz in der Europäischen Union oder im Europäischen Wirtschaftsraum. Wo ein US-amerikanischer Dienstleister unvermeidbar ist, stützen wir uns nicht allein auf den Angemessenheitsbeschluss: Wir schließen in jedem Fall die von der Kommission genehmigten Standardvertragsklauseln und führen eine Folgenabschätzung für die Datenübermittlung (Transfer Impact Assessment) durch. Ist dieser Dienstleister im EU–US Data Privacy Framework zertifiziert, prüfen wir die aktive Zertifizierung vor der Inbetriebnahme im offiziellen Register und dokumentieren den Nachweis — wir behandeln sie aber als zusätzliche Absicherung und nicht als Grundlage der Übermittlung.

Die Standardvertragsklauseln ergänzen wir, wo erforderlich, um zusätzliche Maßnahmen wie eine Verschlüsselung mit in der Union verbleibenden Schlüsseln. Der Grund für dieses Vorgehen ist praktisch: Ein Angemessenheitsbeschluss kann mit sofortiger Wirkung für nichtig erklärt oder ausgesetzt werden, und wer sich allein auf ihn gestützt hatte, steht an diesem Tag ohne Rechtsgrundlage für die Übermittlung da.

Der Report enthält ein zusammenfassendes Urteil, das automatisch aus den gefundenen Ereignissen erzeugt wird. Diese Bewertung betrifft ein Fahrzeug, nicht eine Person: Sie entfaltet Ihnen gegenüber keine rechtliche Wirkung und beeinträchtigt Sie nicht in ähnlich erheblicher Weise. Sie entscheidet nicht, ob Sie kaufen dürfen, sie weist Ihnen keine Kreditwürdigkeit zu und sie steuert nicht den Zugang zu einer Leistung.

Die Datenschutz-Folgenabschätzung ist gleichwohl verpflichtend, aber nicht wegen der Bewertung. Der Garante zählt im provvedimento Nr. 467 vom 11. Oktober 2018 (doc. web 9058979) — seiner förmlichen Entscheidung — die Verarbeitungen auf, die eine verlangen, und unsere fällt zuallererst deshalb darunter, weil sie „durch Verknüpfung, Kombination oder Abgleich von Informationen“ arbeitet: Die Ereignisdatenbank und die Zuordnung Kennzeichen → Fahrgestellnummer sind genau das, und dieser Punkt setzt keinerlei Größenschwelle. Die DSFA muss vor Beginn der Verarbeitung abgeschlossen sein; bliebe das Restrisiko hoch, wäre die vorherige Konsultation des Garante nach Art. 36 DSGVO erforderlich.

In jedem Fall können Sie uns bitten, ein Urteil, das Sie für falsch halten, manuell zu überprüfen, und diese Überprüfung ist kostenlos. Es ist derselbe Weg wie bei den Fehlermeldungen zum Report.

Sie können jederzeit die Rechte aus den Art. 15–22 DSGVO ausüben.

Wie Sie sie ausüben: Schreiben Sie an [email protected] und geben Sie an, welches Recht Sie ausüben möchten. Wir antworten unverzüglich und in jedem Fall innerhalb eines Monats; die Frist kann in komplexen Fällen um zwei Monate verlängert werden, und in diesem Fall teilen wir Ihnen das innerhalb des ersten Monats mit (Art. 12 Abs. 3). Die Ausübung der Rechte ist unentgeltlich (Art. 12 Abs. 5), und wir beabsichtigen nicht, das für offenkundig unbegründete oder exzessive Anträge vorgesehene Entgelt zu verlangen.

Wenn Sie Kundin oder Kunde sind, identifizieren wir Sie über das Konto und verlangen nichts weiter: Sie erhalten die Daten des Kontos, der Bestellungen und der Zugriffe auf den Report. Betrifft die Anfrage dagegen ein Fahrzeug — „sagen Sie mir alles, was Sie zur Fahrgestellnummer X haben“ —, bitten wir Sie um einen Ausweis und um einen Nachweis Ihrer Verbindung zu diesem Fahrzeug: die digitale Eigentumsbescheinigung (Certificato di Proprietà Digitale), die Zulassungsbescheinigung (carta di circolazione) oder einen auf Sie ausgestellten PRA-Auszug (visura PRA).

Wenn Sie uns bitten, Ihre Daten zu löschen, löschen wir das Konto und alles, was wir nicht aufbewahren müssen. Wir können jedoch die Buchführungsunterlagen, die Rechnungen und die Belege zu Ihren Käufen nicht löschen: Art. 2220 des Codice civile schreibt vor, die Buchführungsunterlagen und den zugehörigen Schriftwechsel zehn Jahre lang aufzubewahren, und Art. 17 Abs. 3 Buchst. b) DSGVO schließt das Recht auf Löschung aus, wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist.

Aus demselben Grund bewahren wir die Nachweise zur Verortung, die zur Bestimmung der Mehrwertsteuer verwendet wurden, zehn Jahre lang auf. Ebenso lange bewahren wir den Nachweis der Zustimmung zur sofortigen Ausführung und zum Verzicht auf das Widerrufsrecht auf, wo die Grundlage auch Art. 17 Abs. 3 Buchst. e) ist: die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Wir sagen das lieber offen, statt Ihnen eine vollständige Löschung zu versprechen, die dann nicht stattfindet. Konkret geschieht Folgendes: Die Daten, die wir aufbewahren müssen, werden isoliert, sie werden für keinen operativen Zweck mehr verwendet, sie gehen in keine Werbemitteilung ein, sie sind nur für diejenigen zugänglich, die einen verwaltungsmäßigen Grund haben, sie einzusehen, und sie werden mit Ablauf der Frist gelöscht.

Eine entsprechende Logik gilt, mit anderer Begründung, für Löschanträge, die die Fahrzeugdatenbank betreffen. Der Antrag, die Erfassung einer Manipulation des Kilometerzählers zu löschen, ist genau der Fall, in dem zu prüfen ist, ob zwingende schutzwürdige Gründe vorliegen, die die Interessen der betroffenen Person überwiegen (Art. 17 Abs. 1 Buchst. c) und Art. 21 Abs. 1 DSGVO): die Betrugsprävention und die Verkehrssicherheit derjenigen, die dieses Fahrzeug kaufen werden. Wir prüfen den Einzelfall, halten die Entscheidung schriftlich fest und führen darüber ein Register. Weder ein „wir löschen immer“ noch ein „wir löschen nie“ wären vertretbare Antworten.

Wenn wir eine Berichtigung oder eine Löschung vornehmen, unterrichten wir die Empfänger, denen die Daten mitgeteilt wurden, wie Art. 19 DSGVO es vorsieht, es sei denn, dies erweist sich als unmöglich oder ist mit unverhältnismäßigem Aufwand verbunden.

Die technischen und organisatorischen Maßnahmen sind dem Risiko angemessen, wie Art. 32 DSGVO es verlangt. Zusammengefasst:

• TLS 1.3 für den gesamten Datenverkehr während der Übertragung;
• Verschlüsselung im Ruhezustand für die personenbezogenen Daten der Kundinnen und Kunden und für die Zuordnungstabelle Kennzeichen → Fahrgestellnummer;
• Trennung der Rollen zwischen dem Ereignisarchiv und der Brückentabelle, die nicht in derselben logischen Umgebung liegen;
• Protokollierung jedes Lesezugriffs auf die Brückentabelle, mit regelmäßiger Überprüfung der Zugriffe;
• Passwörter ausschließlich als Hash gespeichert, nie im Klartext;
• Prinzip der geringsten Rechte für interne Zugriffe, mit regelmäßiger Überprüfung.

Im Fall einer Verletzung des Schutzes personenbezogener Daten, die ein Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringt, melden wir sie dem Garante innerhalb von 72 Stunden ab Kenntniserlangung (Art. 33) und benachrichtigen die betroffenen Personen unverzüglich, wenn das Risiko hoch ist (Art. 34). Das Reaktionsverfahren gehört vor den Vorfall geschrieben, nicht währenddessen.

Die für Italien zuständige Aufsichtsbehörde ist der Garante per la protezione dei dati personali (garanteprivacy.it). Sie können Beschwerde nach Art. 77 DSGVO und den entsprechenden Vorschriften des Codice Privacy (D.Lgs. vom 30. Juni 2003, Nr. 196) einlegen oder sich an die Aufsichtsbehörde des Mitgliedstaats wenden, in dem Sie Ihren gewöhnlichen Aufenthalt haben oder arbeiten.

Sie können sich auch unmittelbar an die Gerichte wenden (Art. 79 DSGVO). Die Beschwerde beim Garante und der Rechtsweg sind Alternativen: Ist der eine Weg beschritten, kann der andere in derselben Sache nicht mehr beschritten werden.

Wir bitten Sie, uns nach Möglichkeit vorher zu schreiben: Die meisten Anliegen lassen sich in wenigen Tagen klären, und eine gut begründete Beschwerde ist uns ohnehin nützlich.

Jede Fassung dieser Erklärung ist nummeriert, datiert und archiviert: Wir müssen nachweisen können, welcher Text an einem bestimmten Datum veröffentlicht war, und das ist eine Pflicht aus der Rechenschaftspflicht und darüber hinaus gute Praxis.

Wenn wir wesentliche Änderungen vornehmen, teilen wir sie Ihnen mit, sofern wir über eine geeignete Kontaktmöglichkeit verfügen, bevor sie wirksam werden. Redaktionelle Änderungen werden mit einer neuen Fassungsnummer und einem neuen Datum veröffentlicht. Maßgeblich ist stets die italienische Fassung dieser Erklärung; die deutsche Fassung ist eine Übersetzung, die dem Verständnis dient.