Die Emil Frey Digital AG (EFDAG; Begriffe in Grossbuchstaben oder Kapitälchen s. Ziff. 1 hiernach) ist unter anderem als Software-House tätig und bietet Unternehmen der Automobilbranche in ganz Europa Cloud-basierte und on-premises Programme und Applikationen für den Bereich des Handels und des Unterhalts von Motorfahrzeugen und anderen Gütern auf Lizenzbasis (sog. „Software as a Service“; die Softwaretools) an.

Die Softwaretools werden an Unternehmen lizenziert, welche den Grosshandel mit Motorfahrzeugen betreiben (die Importeure) und dazu ein Vertriebsnetz unterhalten, welches sich aus Händlern zusammensetzt, die entweder der Emil Frey Gruppe angehören oder davon unabhängig sind (die Retailer). Die Retailer betreiben den Einzelhandel mit und den Unterhalt der von den Importeuren im entsprechenden Markt vertriebenen Motorfahrzeuge. Die Importeure erteilen den Retailern in Übereinstimmung mit dem Vertrag mit der EFDAG Unterlizenzen an den Softwaretools. Die EFDAG kann auch direkt mit Retailern Lizenzverträge über die Softwaretools abschliessen. In einem solchen Fall, fällt die Stufe der Importeure weg und die Position des Importeurs in den vorliegenden Richtlinien ist sinngemäss auf den Retailer zu übertragen.

Mit den lizenzierten Applikationen der EFDAG werden nach den Vorgaben und Anleitungen der Importeure bzw. der Retailer auch Daten von Kunden, Interessenten, Motorfahrzeugen und Mitarbeitern (die Daten) verarbeitet und gespeichert.

Die mit den lizenzierten Softwaretools erfolgende Auftragsverarbeitung der durch Importeure und Retailer in den EFDAG-Applikationen erfassten oder von DMS-Providern gelieferten Daten erfolgt stets unter Einhaltung der anwendbaren Datenschutzbestimmungen sowie der hiernach aufgeführten Grundsätzen. Für die Erfassung und Verwendung ihrer Daten haben sich auch die Importeure wie die Retailer ausnahmslos an die anwendbaren Datenschutzbestimmungen zu halten und hierfür die jederzeitige Einhaltung dieser Richtlinie vertraglich zu bestätigen.

Werden Dritte in die Verarbeitung der Daten einbezogen (Auftragsverarbeitung), so ist vom jeweiligen Auftraggeber sicherzustellen, dass die anwendbaren Datenschutzbestimmungen auch von den Beauftragten eingehalten werden.

1.     Begriffe

Die Begriffe „Personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „Betroffene Person“, „Personenbezogene Daten“ oder „Daten“, „Datenschutzverletzung“, „Verarbeiten“, „Aufsichtsbehörde“, „Verzeichnis der Verarbeitungstätigkeiten“, „Datenschutz-Folgenabschätzung“, „Datenschutzbeauftragter“ usw. haben dieselbe Bedeutung wie in der Verordnung 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (DSGVO). Diese Begriffe werden nachfolgend ausgelegt und präzisiert.

Der Begriff „Anwendbare Datenschutzbestimmungen“ bezeichnet jedes Gesetz, jede behördliche Erklärung, jeden Erlass, jede Richtlinie, jede Rechtsvorschrift, jede Verordnung oder jede andere verbindliche Entscheidung, welcher die EFDAG bzw. der Importeur oder der Retailer unterliegt, insbesondere das DSG, die VDSG, sonstige materielle Datenschutzbestimmungen, gegebenenfalls die DSGVO; sowie gegebenenfalls die durch die in der DSGVO vorgesehenen „Öffnungsklauseln“ länderspezifischen und konkretisierenden Regelungen zur DSGVO und sonstige nationale Datenschutzbestimmungen.

Der Begriff „Daten“ umfasst Interessentendaten, Kundendaten und Mitarbeiterdaten (d.h. Personendaten) sowie Fahrzeugdaten. Dabei gilt folgendes:

a)     „Interessentendaten“ sind sämtliche der mittels Dialogmarketingaktionen und Leadmanagement des Importeurs oder des Retailers erfassten Daten über Interessenten; dazu gehören insbesondere Kontaktdaten.

b)     „Kundendaten“ sind sämtliche Angaben der Kunden des Retailers, welche vom Retailer oder allenfalls vom Importeur in den Softwaretools erfasst oder von einem DMS-Provider geliefert wurden; dazu gehören insbesondere Vorname, Nachname, Geschlecht, Angabe zum Beruf, Titel, Position, Branche, Name des Unternehmens, Adresse (geschäftlich), Internetadresse, E-Mail-Adresse, Telefonnummer, Faxnummer, Kundennummer, Kontakthistorie, Daten zur Vertragsbeziehung, Produkt- oder vertragliche Interessen, Zahlungsinformationen, Bonitätsdaten/Daten zur Zahlungsfähigkeit, Mehrwertsteuernummer; Sozialversicherungsnummer, persönliche Interessen usw.

c)     „Mitarbeiterdaten“ sind sämtliche Angaben zu den Mitarbeitenden des Retailers und des Importeurs, welche von diesen in den Softwaretools erfasst wurden; dazu gehören Vorname, Nachname, Anrede, Titel, Funktion, Geschäftsadresse, E-Mail-Adresse, Telefonnummer, Faxnummer, Fotos, Daten zur Nutzung der Softwaretools.

d)     „Fahrzeugdaten“ sind sämtliche Angaben über die von den Kunden bei den Retailern erworbenen Motorfahrzeuge, so Marke, Modell, Typ, Stammnummer, Seriennummer usw. Durch die Verknüpfung der Fahrzeugdaten mit einem bestimmten Kunden werden diese zu Kundendaten.

Die „Emil Frey Gruppe“ umfasst sämtliche direkt oder indirekt von der Emil Frey Holding AG, Zürich (CHE‑102.652.102), kontrollierten Gesellschaften, so auch die EFDAG.

Die „EFDAG“ ist die Emil Frey Digital AG, Zürich (CHE-103.152.606), welche der Emil Frey Gruppe angehört.

Die „Importeure“ betreiben den Grosshandel mit Motorfahrzeugen und unterhalten dazu ein Vertriebsnetz, welches sich aus Retailern zusammensetzt, die entweder der Emil Frey Gruppe angehören oder davon unabhängig sind.

Die „Softwaretools“ sind Applikationen der EFDAG, über deren Nutzung die Importeure Lizenzverträge mit der EFDAG abgeschlossen haben. Der Lizenzvertrag sieht vor, dass der Importeur die Nutzung der Softwaretools auch dem Retailer überlassen bzw. unterlizenzieren kann.

Die „Retailer“ betreiben den Einzelhandel und den Unterhalt von Motorfahrzeugen, welche sie von den Importeuren erworben haben. Der Retailer gehört entweder der Emil Frey Gruppe an oder ist von dieser unabhängig.

Die „Provider“ erbringen im Auftrage der EFDAG Hardware- und Infrastrukturleistungen zum Betrieb und zur Verarbeitung von Daten für die Retailer oder die Importeure im Zusammenhang mit deren Nutzung der Softwaretools. Eine allfällige Verarbeitung von Daten erfolgt ausschliesslich im Umfang und Rahmen des Auftrages der EFDAG.

Die „DMS-Provider“ sind die (alleine) vom Retailer beauftragten Dealer-Management-System-Provider, d.h. Unternehmen, welche dem Retailer IT-Systeme zur Verfügung stellen, welche diesen bei der Abwicklung anfallender Geschäftsprozesse (z.B. Werkstattabwicklung, Fakturierung, Marketing) unterstützen. Damit verbunden ist auch die Verarbeitung und Speicherung von Daten, insb. Personen- und Fahrzeugdaten im Auftrage des Retailers.

2.     Technische und organisatorische Massnahmen zum Datenschutz

Auf der Ebene der EFDAG wie der Importeure und Retailer sowie den von ihnen beauftragten Dritten (so die Provider und die DMS-Provider), werden alle erforderlichen technischen und organisatorischen Massnahmen ergriffen, damit die Rechte der betroffenen Personen nach den anwendbaren Datenschutzbestimmungen jederzeit und fristgerecht gewährleistet werden können bzw. sind. Diese Massnahmen sind stets an die technischen Entwicklungen und die Änderungen in den anwendbaren Datenschutzbestimmungen anzupassen.

Über die getroffenen technischen und organisatorischen Massnahmen sind Aufzeichnungen zu erstellen und den jeweiligen Vertragspartnern auf jederzeitige Anfrage zur Verfügung zu stellen.

Die EFDAG wird die Datenverarbeitung in einem Verarbeitungsverzeichnis aufnehmen.

3.     Zuständigkeiten und Verantwortung bei der Datenverarbeitung

Die Erfassung und Verarbeitung der Daten über oder in Zusammenhang mit den Softwaretools erfolgt in verschiedenen Phasen, für welche unterschiedliche Verantwortlichkeiten bestehen. Dabei handeln die betreffenden Personen als selbständige Verantwortliche im Sinne der anwendbaren Datenschutzbestimmungen.

Für die Erhebung der Daten sind der Retailer bzw. der Importeur zuständig. Dies in Abhängigkeit davon, wer die Daten in den Softwaretools tatsächlich erfasst.

Für die auftragsgemässe Speicherung und allfällige Verarbeitung der Daten bei einem Provider ist die EFDAG zuständig, zumal sie die Provider auch mit diesen Aufgaben beauftragt.

Für die Verarbeitung der Daten nach den in den Vereinbarungen mit den Importeuren – und von diesen mit den Retailern – ist die EFDAG zuständig und verantwortlich.

Für die Änderung der Daten, die Einschränkung deren Verarbeitung oder deren Übertragung sind Importeure und Retailer verantwortlich. Dies in Abhängigkeit davon, wer die Daten in den Softwaretools erfasst hat und auch Eigentümer der Daten ist.

4.     Zweck der Datenverarbeitung durch die EFDAG

Die Verarbeitung der Daten durch die EFDAG (bzw. allenfalls durch deren beauftragten Provider) erfolgt ausschliesslich zur Erbringung der den Importeuren ‑ und von diesen abgeleitet den Retailern ‑ vertraglich zugesicherten Leistungen im Zusammenhang mit den Softwaretools, so Datenpflege (inkl. Abstimmung mit anderen Datenbanken), Geschäfts- und Dialogmarketing wie auch die Erstellung von Auswertungen zur Weiterleitung an Dritte (so den Herstellern und Behörden) im Auftrage der Importeure, welche diesbezüglich von den Retailern die dazu erforderliche Ermächtigung eingeholt haben. Die EFDAG nutzt die Daten ausdrücklich nicht für eigene Zwecke.

Die erfassten und verarbeiteten Daten beschränken sich auf solche von Interessenten (Interessentendaten), Kunden (Kundendaten), Mitarbeitern (Mitarbeiterdaten) und Fahrzeugen (Fahrzeugdaten). Welche Daten verarbeitet werden, ergibt sich aus den Parametern der genutzten Softwaretools gemäss den aktuellen Produktebeschreibungen.

5.     Information und Erfüllung der sonstigen Rechte der betroffenen Personen

Die Erfüllung der Informationspflichten nach den anwendbaren Datenschutzbestimmungen (insb. Art. 13 und 14 DSGVO) ist Sache der Retailer und der Importeure, d.h. derjenigen Personen, welche die Daten bei den betroffenen Personen erheben und von dieser auch die Ermächtigung zur Speicherung und Verarbeitung der Daten erhalten haben. Die EFDAG ist in diesem Prozess nur Beauftragte der Importeure, welche ihrerseits von den Retailern beauftragt worden sind. Die Importeure und Retailer sind auch für die Bearbeitung und Beantwortung von Anträgen auf Wahrnehmung der sonstigen Rechte der betroffenen Personen (so namentlich aufgrund von Art. 15 ff. DSGVO) zuständig.

Die EFDAG unterstützt die Importeure und Retailer bei der Beantwortung von Anfragen betroffener Personen mit Auswertungen aus den Softwaretools bzw. den diesen zugrunde liegenden Datenbanken. Dies als Teil der von der EFDAG zu erbringenden Dienstleistungen gemäss den Vereinbarungen mit den Importeuren (und abgeleitet davon mit den Retailern).

Sollten betroffene Personen mit Anfragen direkt an die EFDAG gelangen, so wird die EFDAG diese beschränkt auf die bei ihr gespeicherten Daten im Auftrag und in Absprache mit dem Importeur bzw. dem Retailer, von welchem die betroffenen Daten stammen, beantworten.

6.     Aufbewahrung und Löschung der Daten bei der EFDAG

Die EFDAG stellt sicher, dass sie sämtliche in Bezug auf die ihr anvertrauten Daten bestehenden gesetzlichen Aufbewahrungspflichten einhält. Sie trifft dazu angemessene Datensicherungsvorkehrungen.

Vor einer Löschung von Daten, die von einem bestimmten Importeur oder Retailer (sei es direkt oder über einen DMS-Provider) der EFDAG geliefert wurden oder eine bestimmte betroffene Person betreffen, informiert die EFDAG den Datenlieferanten. Handelt es sich dabei um einen Retailer, so erfolgt die Information auch an den Importeur. Über die Löschung bzw. Vernichtung der Daten erstellt die EFDAG ein Protokoll.

Die EFDAG nimmt eine Löschung von Daten auf Antrag eines Importeurs bzw. eines Retailers (über den Importeur) für die von diesem gelieferten Daten vor. Die EFDAG wird sich einer Löschung widersetzen, wenn dazu ein wichtiger Grund bestehen sollte, so namentlich, wenn dadurch gesetzliche Aufbewahrungspflichten nicht eingehalten werden können.

Sollte der Antrag auf Löschung von Daten von einer betroffenen Person stammen, wird genau gleich vorgegangen, wie wenn dieser von einem Datenlieferanten (Importeur oder Retailer) stammen würde.

Dokumentationen, die dem Nachweis der ordnungsgemässen Datenverarbeitung dienen, werden durch die EFDAG entsprechend den rechtlichen Befugnissen und Verpflichtungen über das Ende eines Vertrages mit einem Importeur bzw. dem Ende eines Vertrages des Importeurs mit dem Retailer hinaus aufbewahrt.

Wird der Vertrag mit einem Importeur beendet, so werden die Daten, welche dieser geliefert hat, gelöscht, es sei denn, die EFDAG würde gesetzliche Aufbewahrungspflichten treffen. Wird der Vertrag zwischen dem Importeur und dem Retailer beendet, erfolgt das gleiche bezogen und beschränkt auf die Daten, welche der Retailer geliefert hat und nicht dem Importeur gehören.

7.     Einschaltung von Auftragsverarbeitern

Die EFDAG stellt sicher, dass die von ihr eingesetzten Auftragsverarbeiter (so die Provider) von Daten den Anforderungen der anwendbaren Datenschutzbestimmungen entsprechen. Sie ist auch für den Abschluss entsprechender Vereinbarungen und die Überwachung deren Einhaltung zuständig. Die Auswahl der Auftragsverarbeiter hat unter besonderer Berücksichtigung deren Eignung wie den von diesen getroffenen technischen wie organisatorischen Massnahmen zur Einhaltung der anwendbaren Datenschutzbestimmungen zu erfolgen. Es werden keine ausserhalb der Europäischen Union oder der Schweiz ansässige Auftragsverarbeiter beauftragt.

Die Beauftragung und Überwachung der DMS-Provider ist alleine Sache der Retailer, welche dies allenfalls zusammen mit den Importeuren bewerkstelligen. Die EFDAG steht mit den DMS-Providern in keinem vertraglichen Verhältnis bezogen auf die Verarbeitung der Daten. Sie kann mit diesen Vereinbarungen über Schnittstellen für Datenaustausche abschliessen. Die Lieferung von Daten vom DMS-Provider an die EFDAG erfolgt alleine im Auftrage des Retailers im Rahmen der Abmachungen mit dem Importeur. Die Lieferung von Daten von der EFDAG an bestimmte DMS-Provider erfolgt stets auf Anordnung des Retailers, welcher den Auftrag über den Importeur (den vertraglichen Auftraggeber der EFDAG) an die EFDAG erteilt.

Die Lieferung von Daten an die Herstellwerke bzw. an Behörden (so Strassenverkehrsämter) durch die EFDAG erfolgt stets im Auftrage des Importeurs, welcher sich dazu von den die Daten liefernden Retailern hat entsprechend ermächtigen lassen.

Das Geschäftsmodell der EFDAG sieht vor, dass sie von den Importeuren und oder von RETAILERN mit der Speicherung und Verarbeitung der Daten beauftragt wird, welche im Rahmen des Einsatzes der Softwaretools der EFDAG übermittelt oder mit den DMS-Providern ausgetauscht werden. Die Importeure werden ihrerseits von den Retailern damit beauftragt. Damit amtet die EFDAG bezogen und beschränkt auf die von den Retailern bzw. von den von diesen beauftragten DMS-Providern gelieferten Daten als delegierte Auftragsverarbeiterin der Importeure. Der EFDAG bleibt es unbenommen, mit bestimmten Retailern direkt Verträge abzuschliessen.

8.     Vorgehen bei Datenschutzverletzungen

Die EFDAG ist für die Phase der Verarbeitung der Daten in ihrem Zuständigkeitsbereich (gemäss Ziff. 3 hiervor) hinsichtlich allfälliger Datenschutzverletzungen einschliesslich der Erfüllung sämtlicher gesetzlicher Meldepflichten gegenüber der zuständigen Aufsichtsbehörde oder gegenüber betroffenen Personen nach den anwendbaren Datenschutzbestimmungen zuständig.

Die EFDAG wird jede festgestellte Datenpanne unverzüglich dem betroffenen Importeur wie Retailer anzeigen und sämtliche zumutbaren Massnahmen treffen, um die Datenpanne aufzuklären und zu beseitigen. Dabei werden die betroffenen Importeure und Retailer laufend und direkt informiert.

Bevor eine Meldung an eine Aufsichtsbehörde oder an eine betroffene Person vorgenommen wird, stimmt sich die EFDAG mit dem betroffenen Importeuer und Retailer ab, es sei denn, es liege eine besondere Dringlichkeit vor oder die anwendbaren Datenschutzbestimmungen würden ein solches Vorgehen rechtfertigen.

Unabhängig von einer Datenschutzverletzung informiert die EFDAG die davon betroffenen Importeure und Retailer unverzüglich und vollständig, soweit irgendwelche Fehler oder Unregelmässigkeiten bei der Datenverarbeitung oder Verletzungen der vorliegenden Richtlinien oder von anwendbaren Datenschutzbestimmungen festgestellt werden.

9.     Datenschutzbeauftragter

Die EFDAG hat einen Datenschutzbeauftragten nach den anwendbaren Datenschutzbestimmungen ernannt. Dieser amtet als Ansprechperson für sämtliche Datenschutzbereiche der EFDAG. Die Kontaktdaten des Datenschutzbeauftragten der EFDAG sind auf der Homepage der EFDAG ersichtlich und können jederzeit bei der EFDAG nachgefragt werden.

10.   Geheimhaltung

Sämtliche bei der EFDAG mit der Verarbeitung von Daten betrauten Personen haben sich im Rahmen entsprechender Erklärungen zur Wahrung der Vertraulichkeit im Hinblick auf die Daten zu verpflichten.

Die EFDAG trifft sämtliche organisatorische wie technische Massnahmen, um die Vertraulichkeit der Daten sicherzustellen.

10.   Zusammenarbeit mit Aufsichtsbehörden

Die EFDAG wird die Importeure bzw. Retailer unverzüglich informieren, wenn sich eine Datenschutzaufsichtsbehörde im Zusammenhang mit von ihr verarbeiteten Daten an sie wenden sollte. Die EFDAG wird sämtliche von einer Aufsichtsbehörde verlangten Informationen erteilen sowie Auflagen erfüllen, die sich aus den anwendbaren Datenschutzbestimmungen ergeben. Die EFDAG kann sich dabei mit dem betroffenen Importeur und Retailer abstimmen.

11.   Haftung

Die EFDAG haftet gegenüber den betroffenen Personen nach den anwendbaren Datenschutzbestimmungen. Sie haftet in keinem Fall für widerrechtlichen Inhalt der Daten oder deren missbräuchliche Verwendung durch einen Importeur oder Retailer.

12.   Änderungen der vorliegenden Richtlinien

Die vorliegenden Richtlinien können regelmässig an die aktuellen Verhältnisse angepasst werden.

Im Falle von Änderungen wird der Importeur dem Retailer rechtzeitig die neue Fassung zustellen bzw. zugänglich machen und diesen über den Zeitpunkt des Inkrafttretens informieren. Die EFDAG informiert vorgängig den Importeur.

Die Annahme wie die Wirksamkeit der Änderungen richtet sich nach den vertraglichen Vereinbarungen mit dem Importeur bzw. von diesem mit dem Retailer.

Fassung gültig ab dem 1. Januar 2020