Da­ten­schutz­in­for­ma­ti­on Graz­Mo­bil-App

Die Holding Graz – Kommunale Dienstleistungen GmbH („Holding Graz“) nimmt den Schutz Ihrer personenbezogenen Daten sehr ernst. Nachfolgend informieren wir Sie darüber, wie wir Ihre personenbezogenen Daten verarbeiten, wenn Sie die Graz Mobil App verwenden und welche datenschutzrechtlichen Ansprüche und Rechte Sie haben. In der App können Sie diese Information jederzeit unter Service > Datenschutz aufrufen. Allgemeine Informationen zum Datenschutz der Holding Graz finden Sie hier.

1.) Wer ist für die Datenverarbeitung verantwortlich?

Verantwortliche Stelle für die Datenverarbeitung ist die:

Holding Graz – Kommunale Dienstleistungen GmbH

Andreas-Hofer-Platz 15

8010 Graz

FN 54309 t, Landes- als Firmenbuchgericht Graz

UID-Nr.: ATU 28606700

E-Mail: [email protected]

Andere Verantwortliche werden in dieser Datenschutzinformation ausgewiesen.

2.) Welche personenbezogenen Daten erheben und verarbeiten wir?

• Was sind personenbezogene Daten?

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche und/oder juristische Person beziehen oder Ausdruck der Identität einer Person sind, wie beispielsweise der Name, die Anschrift, die Telefonnummer oder die E-Mail-Adressen, aber auch Log- und Standortdaten.

• Welche Informationen werden zu welchem Zweck verarbeitet?

Wenn Sie die App verwenden, werden bestimmte Informationen automatisch verarbeitet. Welche personenbezogenen Daten genau verarbeitet werden, haben wir nachfolgend für Sie aufgeführt:

• Informationen, die beim Download erhoben werden

Beim Download der App werden bestimmte, für den Download und für die Installation der App erforderliche Informationen an den von Ihnen ausgewählten App Store (z.B. Apple App Store, Google Play Store) übermittelt. Verarbeitet werden dabei insbesondere der Benutzername, die E-Mail-Adresse, die Kundennummer Ihres Accounts, der Zeitpunkt des Downloads, Zahlungsinformationen sowie die individuelle Gerätekennung. Die Verarbeitung dieser Daten erfolgt ausschließlich durch den jeweiligen App Store und liegt außerhalb unseres Einflussbereiches, weshalb wir diesbezüglich auf die Datenschutzinformationen dieser Anbieter verweisen.

• Informationen die automatisch erhoben werden

Wenn Sie die App verwenden, werden automatisch bestimmte Informationen erhoben, die für die Nutzung der App erforderlich sind. Hierzu gehören insbesondere die interne Geräte ID, die Version Ihres Betriebssystems sowie der Zeitpunkt des Zugriffs.

Alle diese Daten werden automatisch an uns übermittelt, um Ihnen die Funktionen der App zur Verfügung zu stellen, die Funktionen und die Leistung der App zu verbessern sowie um Fehlfunktionen vorzubeugen und um Missbrauch zu verhindern.

Gerechtfertigt ist diese Verarbeitungstätigkeit dadurch, dass

• die Verarbeitung für die Erfüllung des Vertrages betreffend die Nutzung der App gemäß Art 6 Abs 1 lit b) DSGVO erforderlich ist, und
• wir gemäß Art 6 Abs 1 lit f) DSGVO ein berechtigtes Interesse daran haben, Ihnen die Funktionen der App und damit einen markt- und interessengerechten Dienst anzubieten.

• Informationen, die bei Erstellung eines Benutzerkontos (Registrierung und Anmeldung) erhoben werden

Wenn Sie in der App ein Benutzerkonto erstellen oder sich anmelden, verwenden wir Ihre Zugangsdaten (E-Mail-Adresse und Passwort) zunächst, um Ihnen Zugang zu Ihrem Benutzerkonto zu gewähren und um diesen zu verwalten. Ohne diese Angaben ist die Erstellung eines Benutzerkontos nicht möglich („Pflichtangaben„).

Die Pflichtangaben verwenden wir, um Sie beim Login zu authentifizieren sowie um Anfragen zur Änderung Ihres Passwortes vorzunehmen. Die von Ihnen im Rahmen der Erstellung eines Benutzerkontos (Registrierung und Anmeldung) eingegebenen Daten verwenden und verarbeiten wir um Ihre Berechtigung zur Verwendung Ihres Benutzerkontos zu verifizieren, die Nutzungsbedingungen der App sowie alle damit verbundenen Rechte und Pflichten durchzusetzen sowie um mit Ihnen in Kontakt zu treten, um Ihnen technische oder rechtliche Hinweise, Updates, Sicherheitsmeldungen oder andere Nachrichten (zB Betreffend die Verwaltung des Benutzerkontos), zu senden.

Gerechtfertigt ist diese Verarbeitungstätigkeit dadurch, dass

• die Verarbeitung für die Erfüllung des Vertrages betreffend die Nutzung der App gemäß Art 6 Abs 1 lit b) DSGVO erforderlich ist, und
• wir gemäß Art 6 Abs 1 lit f) DSGVO ein berechtigtes Interesse daran haben, Ihnen die Funktionen der App und damit einen markt- und interessengerechten Dienst anzubieten.

Informationen, die bei der Nutzung der App erhoben werden

• Allgemeine Funktionen
• Bei der Verwendung der App werden die von Ihnen eingegebenen Informationen, wie insbesondere Stammdaten (Name, Vorname, Geburtsdatum), Kontakt- und Korrespondenzdaten (E-Mail-Adresse, Telefonnummer), Adressdaten (Straße, PLZ, Ort) sowie Systemdaten zum Zweck der Bereitstellung der Funktionen der App verwendet und verarbeitet.“

Kauf von Tickets

Für den Kauf von Tickets über die App ist zunächst die Erstellung eines Benutzerkontos und die Eingabe der Pflichtangaben erforderlich. Darüber hinaus benötigen wir für den Kauf von Tickets über die App Ihren Vor- und Nachnamen, Ihr Geburtsdatum sowie beim Kauf eines TopTickets und KlimaTicket Steiermark Graz, Ihre Adresse (Straße, Hausnummer, PLZ, Ort, Land).

Wenn Sie Tickets über die App kaufen, verwenden wir Ihre Daten zur Vertragserfüllung. Verarbeitet und gespeichert werden dabei auch der Zeitpunkt des Kaufs und das gewählte Zahlungsmittel, weil wir den Vertrag mit Ihnen ohne diese Informationen nicht erfüllen können.

Aus Sicherheitsgründen werden unter Umständen beim Kauf von Tickets über die App zudem die auf Ihrem Endgerät installierten Apps ausgelesen und geprüft ob diese allenfalls für Ihr Endgerät schädlich sein können (Malware check).

Wird ein Zahlungsmittel (Kreditkarte) in der App gespeichert, speichern wir nicht das verwendete Zahlungsmittel selbst (Kreditkartendaten), sondern lediglich eine Referenznummer des Zahlungsmittels mit welcher unsere Zahlungsdienstleister zukünftige Käufer erneut verifizieren können.

Gerechtfertigt ist diese Verarbeitungstätigkeit dadurch, dass

• die Verarbeitung für die Erfüllung des Vertrages betreffend den Kauf von Tickets über die App gemäß Art 6 Abs 1 lit b) DSGVO erforderlich ist, und
• wir gemäß Art 6 Abs 1 lit f) ein berechtigtes Interesse daran haben, Ihnen die Funktionen der App und damit einen markt- und interessengerechten sowie sicheren Dienst anzubieten
• Push-Nachrichten

Um aktuelle Informationen über Betriebsstörungen, Umleitungen sowie Tarifinformationen zu erhalten, besteht die Möglichkeit sich den Empfang von Push-Nachrichten für die App GrazMobil in der App zu erlauben.

Um Push-Nachrichten zu erhalten, müssen Sie die Abfrage Ihres Endgerätes zum Erhalt der Push-Nachrichten bestätigen.

Der Empfang von Push-Nachrichten kann in den Einstellungen Ihres Endgerätes (iOS) bzw. dem Benachrichtigungscenter (Android) jederzeit deaktiviert werden. Wenn Sie Push-Nachrichten deaktivieren, werden Sie nicht aktiv informiert, wenn es News zu Betriebsstörungen, Umleitungen sowie Tarifinformationen gibt. Sie müssen dann aktiv über das Menü die News auswählen.

Rechtsgrundlage für diese Verarbeitungstätigkeit ist Ihre Einwilligung (Art 6 Abs 1 lit a DSGVO).

Google Firebase

In der Graz Mobil App werden verschiedene Technologien (Software Development Kids bzw. SDKs) von Google Firebase eingesetzt. Eine Liste der verwendeten SDKs finden Sie anbei. Google Firebase ist Teil der Google Cloud Plattform und bietet App-Entwicklern diverse Dienste in der Entwicklung und Qualitätskontrolle sowie zur Verbesserung von Apps.

Bei der Verwendung der App werden Informationen über die Nutzung der App erfasst, an Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, übertragen und von Google als Auftragsverarbeiter in einem Rechenzentrum innerhalb der Europäischen Union verarbeitet und gespeichert. Dabei kann jedoch nicht ausgeschlossen werden, dass diese Daten (gestützt auf Art 46 Abs 2 DSGVO) an Google LLC in die USA bzw. durch Google an Unterauftragsverarbeiter in Drittländer übermittelt werden.

Weitere Informationen zum Schutz dieser Informationen finden Sie in der Datenschutzinformation zu Google Firebase.

Firebase Cloud Messaging

Firebase Cloud Messaging wird eingesetzt, um Ihnen aktuelle Störungsmeldungen durch Push-Nachrichten übermitteln zu können. Für diese Funktion wird Ihrem Endgerät bei der Installation der App eine pseudonymisierte Referenz-ID (Firebase Installations-ID) zugeteilt, welche als Ziel für die Push-Nachrichten dient. Wenn Sie die App deinstallieren, wird diese Information nach kurzer Zeit automatisch gelöscht.

Der Empfang von Push-Nachrichten kann in den Einstellungen Ihres Endgerätes (iOS) bzw. dem Benachrichtigungscenter (Android) jederzeit deaktiviert werden. Wenn Sie Push-Nachrichten deaktivieren, können keine Störungsmeldungen empfangen werden.

Weitere Informationen zu Firebase Cloud Messaging, insbesondere zur Verarbeitungsdauer, finden Sie in den Datenschutzinformationen zu Google Firebase.

Rechtsgrundlage für diese Verarbeitungstätigkeit ist unser berechtigtes Interesse Ihnen aktuelle Störungsmeldungen übermitteln zu können (Art 6 Abs 1 lit f DSGVO).

Firebase Remote Konfiguration

Firebase Remote Konfiguration wird zum Konfigurieren und Aussenden von wichtigen, aktuellen Meldungen (z. B. Fehlermeldungen oder Wartungshinweise) in der App eingesetzt. Für diese Funktion wird Ihrem Endgerät bei der Installation der App eine pseudonymisierte Referenz-ID (Firebase Installations-ID) zugeteilt, welche als Ziel für die Push-Nachrichten dient. Wenn Sie die App deinstallieren, wird diese Information nach kurzer Zeit gelöscht.

Weitere Informationen zu Firebase Remote Konfiguration, insbesondere zur Verarbeitungsdauer, finden Sie in den Datenschutzinformationen zu Google Firebase.

Rechtsgrundlage für diese Verarbeitungstätigkeit ist unser berechtigtes Interesse Ihnen wichtige Informationen zur App (zB Fehlermeldungen oder Wartungshinweise) übermitteln zu können (Art 6 Abs 1 lit f DSGVO).

Firebase Crashlytics

Firebase Crashlytics wird eingesetzt, um Fehler der App kontrollieren und zeitnahe beheben zu können. Wenn die App abstürzt werden gewisse Informationen über den Absturz wie Zeitpunkt des Absturzes, Gerätetyp, Betriebssystem und weitere technische Daten von Ihrem Mobilgerät an Crashlytics gesendet. Diese Absturzberichte enthalten weder IP-Adresse noch sonstige personenbezogene Informationen.

Weitere Informationen zu Firebase Crashlytics, insbesondere zur Verarbeitungsdauer, finden Sie in den Datenschutzinformationen zu Google Firebase.

Rechtsgrundlage für diese Verarbeitungstätigkeit ist unser berechtigtes Interesse die App laufend zu verbessern und Fehler der App beheben zu können (Art 6 Abs 1 lit f DSGVO).

Firebase Leistungsüberwachung

Firebase Leistungsüberwachung wird eingesetzt, um die Performance der App zu analysieren (Fehleranalyse). Bei dieser Funktion werden gewisse Informationen über Ihr Endgerät, zur App und zum Netzwerk an die Leistungsüberwachung übermittelt. Darüber hinaus wird Ihre IP-Adresse von Google verwendet, um Leistungsereignisse bestimmten Ländern (Regionen) zuordnen zu können. Uns werden im Zuge der Leistungsüberwachung ausschließlich anonymisierte Informationen zur Verfügung gestellt, sodass ein Rückschluss auf betroffene Personen nicht möglich ist.

Weitere Informationen zu Firebase Leistungsüberwachung, insbesondere zur Verarbeitungsdauer, finden Sie in den Datenschutzinformationen zu Google Firebase.

Rechtsgrundlage für diese Verarbeitungstätigkeit ist unser berechtigtes Interesse die App laufend zu verbessern und Fehler der App beheben zu können (Art 6 Abs 1 lit f DSGVO).

Dynamische Firebase-Links

Firebase Links erlauben die Verlinkung in einen bestimmten Bereich in der App bzw. externe Links in einen bestimmten Bereich der App und die Übergabe von Informationen im Zuge dessen. Bei dieser Funktion werden ausschließlich bestimmte Informationen Ihres IOS-Endgerätes für einen kurzen Zeitraum (während der Bereitstellung des Service) verarbeitet.

Weitere Informationen zu Firebase Leistungsüberwachung, insbesondere zur Verarbeitungsdauer, finden Sie in den Datenschutzinformationen zu Google Firebase.

Rechtsgrundlage für diese Verarbeitungstätigkeit ist unser berechtigtes Interesse die App laufend zu verbessern und Fehler der App beheben zu können (Art 6 Abs 1 lit f DSGVO).

Google Analytics für Firebase

Mit Ihrer Einwilligung wird bei der Verwendung der App Google Analytics für Firebase eingesetzt um die folgenden (anonymisierten) Nutzungsdaten zu verarbeiten und während einem Zeitraum von 14 Monaten zu speichern:

• Anhand anonymer Informationen zur Nutzungshäufigkeit wird die allgemeine Akzeptanz der App ausgewertet sowie analysiert, ob Weiterentwicklungen der App zu einer häufigen oder längeren Nutzung der App führen.
• Anonyme Informationen zu Session-/Verweildauer werden dazu verwendet, Fehler in der Usability der App zu erkennen und Inhalte dementsprechend zu optimieren.
• Anonyme Screenflows bzw. die Abläufe bei der Nutzung der App unterstützen uns dabei, die Anwendungsfälle und Ziele der User:innen besser zu verstehen und häufig genutzte Abläufe in der App zu beschleunigen.
• Demographische Daten werden dazu verwendet, unsere Zielgruppe besser zu verstehen.

Weitere Informationen zu Google Analytics für Firebase finden Sie in den Datenschutzinformationen von Google.

Rechtsgrundlage für diese Verarbeitungstätigkeit ist Ihre Einwilligung (Art 6 Abs 1 lit a DSGVO). Ihre Einwilligung können Sie jederzeit direkt in der Graz Mobil App unter Einstellungen > Allgemein > Nutzungsdaten Teilen, widerrufen.

Die Nichterteilung Ihrer Einwilligung hat auf die Funktion der App keine unmittelbare Auswirkung, erschwert uns jedoch die Weiterentwicklung der App.

Google Maps

Google Maps wird eingesetzt um die interaktive Karte in der App anzuzeigen. Bei der Nutzung von Google Maps werden Ihre Nutzerdaten (Standort- und Bewegungsdaten), Ihre IP-Adresse und die von Ihnen eingegebene Startadresse an Google übertragen und von uns und Google als gemeinsam für die Verarbeitung Verantwortliche verarbeitet (Art 26 DSGVO). Die mit Google abgeschlossene Vereinbarung betreffend die gemeinsame Verarbeitung von personenbezogenen Daten gemäß Art 26 DSGVO finden Sie hier.

Die Verwendung von Standort- und Bewegungsdaten kann jederzeit in den Standorteinstellungen Ihres Endgerätes deaktiviert werden. Die Kartenfunktion steht diesfalls nur eingeschränkt zur Verfügung.

Weitere Informationen zum Datenschutz sowie Hinweise, wie Sie den Schutz Ihrer Privatsphäre bei Google individuell einstellen können, finden Sie in den Datenschutzinformationen von Google.

Rechtsgrundlage für diese Verarbeitungstätigkeit ist Ihre Einwilligung (Art 6 Abs 1 lit b DSGVO).

3.) Wer erhält Ihre Daten?

Datenweitergabe an Dienstleister

In der Graz Mobil App werden verschiedene Services von externen Anbietern eingesetzt, um Ihnen die Funktionen der App anbieten zu können. Ohne Ihre ausdrückliche Einwilligung werden Ihre personenbezogenen nur dann an Dienstleister übermittelt, wenn dies gesetzlich zulässig bzw. erforderlich ist.

Zudem bedienen wir uns folgenden Kategorien von Auftragsverarbeitern:

• IT-Dienstleistungsunternehmen für die Applikationsentwicklung
• IT-Dienstleistungsunternehmen und deren Dienstleister im Rahmen der Betreuung der Informationstechnologie und Kommunikationssysteme
• BRZ Bundesrechenzentrum Ges.m.b.H.
• Systemhersteller, IT-Dienstleister im Rahmen der Wartung und Betreuung der IT-Systeme
• Kaufmännische Verwaltung (Fachabteilung bzw. interner Dienstleister) im Rahmen der Kundenabrechnung (Fakturierung, Rechnungserstellung, – Versand)
• Steirischer Verkehrsverbund GmbH und die daran angeschlossenen Verkehrsunternehmen im Rahmen der Abrechnung und Verwaltung und Überprüfung des Bezugs von Fahrkarten
• Zuständige Fachabteilungen Magistrat der Stadt Graz (Sozialamt, Umweltamt) im Rahmen der Abrechnung und Verwaltung und Überprüfung des Bezuges von Fahrkarten
• Schulen sowie private Unternehmen im Rahmen der Abrechnung und Verwaltung und Überprüfung des Bezuges von Fahrkarten
• Versicherungen, die mit der Abwicklung von Schadenfällen beauftragt sind
• Zahlungs- und Finanzdienstleister
• Versanddienstleister

Nachdem diese Auftragsverarbeiter regelmäßig wechseln, ist eine diesbezügliche konkrete Benennung nicht möglich.

Sämtliche Auftragsverarbeiter sind vertraglich entsprechend dazu verpflichtet, Ihre Daten vertraulich zu behandeln und nur im Rahmen der Leistungserbringung gemäß dem geltenden Datenschutzrecht und unseren Weisungen zu verarbeiten.

Datenübermittlung in Drittländer

Sofern Ihre personenbezogenen Daten an Auftragsverarbeiter übermittelt werden, die Ihren Sitz außerhalb des EWR in sogenannten Drittstaaten haben, werden Sie in dieser Datenschutzinformation jeweils darauf hingewiesen. Alle unsere Auftragsverarbeiter sind dazu verpflichtet sicherzustellen, dass bei der Datenübermittlung in Drittländer entweder ein angemessenes Datenschutzniveau besteht (z.B. aufgrund einer Angemessenheitsentscheidung der EU-Kommission für das jeweilige Land oder der Vereinbarung von EU-Standardvertragsklauseln sowie entsprechenden Datenschutzeinstellungen), oder ihre Einwilligung vorliegt.

4.) Wie lange werden Ihre Daten gespeichert?

Wir verarbeiten Ihre personenbezogenen Daten, soweit erforderlich, für die Dauer der gesamten Geschäftsbeziehung (also von der Vertragsanbahnung bis zur Beendigung eines Vertrages) sowie darüber hinaus gemäß den gesetzlichen Aufbewahrungs- und Dokumentationsfristen, die sich u.a. aus dem Unternehmensgesetzbuch (UGB) und der Bundesabgabenordnung (BAO) ergeben.

Darüber hinaus, kann eine längere Speicherung bei berechtigten Interessen von uns als Verantwortlichem oder Ihnen als betroffene Person erfolgen. Ein berechtigtes Interesse kann insbesondere zur Durchsetzung oder Abwehr von Rechtsansprüchen, bei einer anhängigen Rechtsstreitigkeit, einem rechtskräftigen Exekutionstitel (welcher noch nicht erfüllt ist) oder bei nicht erfüllten offenen Forderungen und ähnlich gelagerten Sachverhalten, bestehen.

5.) Welche Datenschutzrechte stehen mir zu?

Sie haben jederzeit ein Recht auf Auskunft, Berichtigung, Löschung oder Einschränkung der Verarbeitung Ihrer gespeicherten Daten, ein Widerspruchsrecht gegen die Verarbeitung sowie ein Recht auf Datenübertragbarkeit gemäß den Voraussetzungen des Datenschutzrechts.

Sollten Sie von diesem Recht Gebrauch machen wollen, wenden Sie sich bitte formlos, ohne die Angabe von Gründen, entweder per E-Mail an [email protected] oder per Post, an:

Holding Graz – Kommunale Dienstleistungen GmbH

Andreas-Hofer-Platz 15

8010 Graz

Sollten Sie der Meinung sein, dass wir bei der Verarbeitung Ihrer Daten gegen österreichisches oder europäisches Datenschutzrecht verstoßen, so ersuchen wir Sie, mit uns Kontakt aufzunehmen, um Ihre Bedenken klären zu können. Sollten wir Ihre Bedenken nicht klären können, können Sie Ihre Beschwerde an die Österreichische Datenschutzbehörde richten (www.dsb.gv.at).

Sollten Sie noch Fragen zum Inhalt Datenschutzinformation oder allgemeine Fragen zum Datenschutz haben, steht Ihnen gerne unser Datenschutzbeauftragter entweder per E-Mail unter [email protected] oder per Post unter der oben angeführten Anschrift zur Verfügung!

Ihre Holding Graz – Kommunale Dienstleistungen GmbH