Regeling gegevensuitwisseling

Regeling tussen zelfstandig verwerkingsverantwoordelijken, als bedoeld in de Algemene Verordening Gegevensbescherming. Bijlage bij de algemene voorwaarden van E-Charging B.V. Deze regeling vervangt de Verwerkersovereenkomst E-Charging versie 1.0 van juni 2026.

Partijen

Deze regeling geldt tussen:

E-Charging

E-Charging B.V., gevestigd te Zaltbommel aan de Dwarsweg 8 (5301 KT), ingeschreven bij de Kamer van Koophandel onder nummer 42107233, btw-identificatienummer NL869765784B01;

de Klant

de natuurlijke persoon of rechtspersoon die met E-Charging een overeenkomst aangaat voor de levering, installatie of het beheer van laadinfrastructuur, of aan wie E-Charging elektriciteit afneemt, zoals nader bepaald in de offerte en de algemene voorwaarden.

Deze regeling maakt deel uit van de algemene voorwaarden en de overeenkomst tussen Partijen (de Hoofdovereenkomst). Door de offerte te aanvaarden, aanvaardt de Klant ook deze regeling. Een afzonderlijke ondertekening is niet vereist.

Overwegende dat

• a) Partijen een overeenkomst hebben gesloten waarbij E-Charging laadinfrastructuur levert, installeert en beheert, en waarbij E-Charging de elektriciteit die via de laadpunten van de Klant aan derden wordt geleverd van de Klant afneemt en doorverkoopt aan de Backofficepartner (de Hoofdovereenkomst);
• b) Partijen bij de uitvoering van de Hoofdovereenkomst ieder persoonsgegevens verwerken;
• c) E-Charging zelfstandig bepaalt welke persoonsgegevens zij daarbij verwerkt, voor welke doeleinden, hoe lang zij deze bewaart en aan wie zij deze verstrekt, en deze verwerkt ten behoeve van haar eigen onderneming en voor eigen rekening en risico;
• d) E-Charging op grond van artikel 52 van de Algemene wet inzake rijksbelastingen gehouden is haar administratie, waaronder de gegevens over de afgenomen en doorverkochte elektriciteit, zeven jaar te bewaren, en deze verwerking dus voortvloeit uit een op haar rustende wettelijke verplichting;
• e) de dienstverlening van E-Charging niet is gericht op het verwerken van persoonsgegevens, maar op het leveren, installeren en beheren van laadinfrastructuur en op het afnemen en doorverkopen van elektriciteit, en de verwerking van persoonsgegevens daarvan een gevolg is en geen opdracht;
• f) de Klant evenmin persoonsgegevens namens E-Charging verwerkt, en Partijen geen gezamenlijke of onderling convergerende beslissingen nemen over de doeleinden en middelen van elkaars verwerkingen;
• g) Partijen daarom ieder als zelfstandig verwerkingsverantwoordelijke worden aangemerkt en tussen hen geen verwerkersrelatie bestaat als bedoeld in artikel 28 van de Algemene Verordening Gegevensbescherming, en evenmin gezamenlijke verwerkingsverantwoordelijkheid als bedoeld in artikel 26 daarvan;
• h) deze kwalificatie aansluit bij de richtsnoeren 07/2020 van het Europees Comité voor gegevensbescherming over de begrippen verwerkingsverantwoordelijke en verwerker (versie 2.1, 7 juli 2021), en bij het standpunt van de branche zoals vastgelegd in het position paper “Processing of personal data in the EV Charging chain” van eViolin (versie 1.41, november 2023);
• i) deze regeling in de plaats treedt van de Verwerkersovereenkomst E-Charging versie 1.0 van juni 2026;

komen het volgende overeen:

Artikel 1. Definities

De begrippen uit de Algemene Verordening Gegevensbescherming (AVG) hebben in deze regeling dezelfde betekenis. Verder wordt verstaan onder:

AVG

de Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679) en de Nederlandse uitvoeringswetgeving.

Hoofdovereenkomst

de overeenkomst tussen Partijen zoals omschreven in overweging a), waarvan deze regeling deel uitmaakt.

Backofficepartner

de derde die het platform en de transactieverwerking verzorgt en aan wie E-Charging de elektriciteit levert; op de ingangsdatum van deze regeling is dat e-Flux by Road (Road B.V.).

Laadpunt

een laadaansluiting die op grond van de Hoofdovereenkomst door E-Charging in beheer is genomen.

Eindgebruiker

degene die bij een Laadpunt van de Klant een elektrisch voertuig oplaadt.

Betrokkene

degene op wie een persoonsgegeven betrekking heeft.

Inbreuk

een inbreuk in verband met persoonsgegevens (datalek) als bedoeld in artikel 4, onderdeel 12, AVG.

Verwerker

een door een Partij ingeschakelde derde die in haar opdracht en uitsluitend volgens haar instructies persoonsgegevens verwerkt.

Artikel 2. Rolverdeling

2.1 Partijen zijn ten aanzien van de persoonsgegevens die zij in het kader van de Hoofdovereenkomst verwerken ieder zelfstandig verwerkingsverantwoordelijke in de zin van artikel 4, onderdeel 7, AVG.

2.2 Tussen Partijen bestaat geen verwerkersrelatie als bedoeld in artikel 28 AVG. Geen van beide Partijen verwerkt persoonsgegevens namens of volgens de instructies van de andere Partij, en geen van beide Partijen is gerechtigd de andere Partij instructies te geven over de wijze waarop deze persoonsgegevens verwerkt.

2.3 Tussen Partijen bestaat evenmin gezamenlijke verwerkingsverantwoordelijkheid als bedoeld in artikel 26 AVG. Partijen bepalen de doeleinden en middelen van hun verwerkingen ieder afzonderlijk en nemen daarover geen gezamenlijke of onderling convergerende beslissingen. Dat Partijen bij de uitvoering van de Hoofdovereenkomst beide een commercieel belang hebben, doet daaraan niet af.

2.4 Iedere Partij is zelfstandig verantwoordelijk voor de naleving van de AVG ten aanzien van haar eigen verwerkingen, waaronder het beschikken over een rechtsgrondslag (artikel 6 AVG), het informeren van Betrokkenen (artikelen 13 en 14 AVG), het voeren van een verwerkingsregister (artikel 30 AVG) en het treffen van passende beveiligingsmaatregelen (artikel 32 AVG).

2.5 Dat E-Charging persoonsgegevens van of over de Klant verwerkt, maakt haar geen verwerker. Iedere partij die persoonsgegevens opslaat, raadpleegt of doorstuurt, verwerkt die gegevens in de zin van artikel 4, onderdeel 2, AVG. Bepalend voor de rolverdeling is niet óf een partij verwerkt, maar voor wiens doel zij dat doet en wie de wezenlijke keuzes maakt over welke gegevens worden verwerkt, hoe lang en door wie zij kunnen worden ingezien. Die keuzes maakt E-Charging zelfstandig.

2.6 Deze rolverdeling volgt uit de feitelijke omstandigheden en niet uit de kwalificatie die Partijen daaraan geven. Wijzigen die omstandigheden zodanig dat een andere kwalificatie geboden is, dan treden Partijen onverwijld in overleg en leggen zij de gewijzigde rolverdeling schriftelijk vast.

2.7 Verwerkt de Klant persoonsgegevens uitsluitend bij de uitoefening van een zuiver persoonlijke of huishoudelijke activiteit als bedoeld in artikel 2, tweede lid, onder c, AVG, dan is de AVG op zijn verwerkingen niet van toepassing en gelden de verplichtingen uit deze regeling voor hem slechts voor zover de wet dat vergt. De verplichtingen van E-Charging blijven in dat geval onverkort van kracht.

Artikel 3. Uitwisseling van persoonsgegevens

3.1 Partijen verstrekken elkaar uitsluitend de persoonsgegevens die nodig zijn voor de uitvoering van de Hoofdovereenkomst, zoals gespecificeerd in Bijlage 1.

3.2 Iedere Partij staat er jegens de andere Partij voor in dat zij gerechtigd is de door haar verstrekte persoonsgegevens te verstrekken, dat zij daarvoor over een rechtsgrondslag beschikt en dat zij de betreffende Betrokkenen daarover overeenkomstig de artikelen 13 en 14 AVG heeft geïnformeerd.

3.3 De ontvangende Partij verwerkt de ontvangen persoonsgegevens uitsluitend voor de in Bijlage 1 genoemde doeleinden en voor doeleinden die daarmee verenigbaar zijn, en niet voor onverenigbare doeleinden.

3.4 Iedere Partij mag Verwerkers inschakelen. De inschakelende Partij sluit met haar Verwerkers een verwerkersovereenkomst die voldoet aan artikel 28, derde lid, AVG, en blijft jegens de andere Partij verantwoordelijk voor de naleving daarvan. De Verwerkers van E-Charging staan vermeld in Bijlage 3.

3.5 Partijen verstrekken de in het kader van deze regeling ontvangen persoonsgegevens niet aan derden, tenzij dat noodzakelijk is voor de uitvoering van de Hoofdovereenkomst, voortvloeit uit een wettelijke verplichting, of geschiedt met toestemming van de andere Partij.

3.6 E-Charging ontvangt de laadsessiegegevens van de Backofficepartner en niet van de Eindgebruikers zelf. Zij beschikt niet over de identiteit of de contactgegevens van die Eindgebruikers en kan hen daarom niet afzonderlijk informeren. Het verstrekken van de informatie bedoeld in artikel 14, eerste en tweede lid, AVG is voor E-Charging dan ook onmogelijk in de zin van artikel 14, vijfde lid, onder b, AVG. E-Charging treft de in die bepaling voorgeschreven passende maatregelen door haar privacyverklaring openbaar te maken op e-charging.nl.

Artikel 4. Geheimhouding

4.1 Partijen behandelen de persoonsgegevens die zij van elkaar ontvangen vertrouwelijk. Zij gebruiken deze uitsluitend voor de in Bijlage 1 genoemde doeleinden en maken deze niet aan derden bekend, behoudens het bepaalde in artikel 3.

4.2 Iedere Partij verplicht de personen die onder haar gezag toegang hebben tot de ontvangen persoonsgegevens tot geheimhouding, tenzij zij daartoe reeds op grond van de wet of hun arbeidsovereenkomst gehouden zijn.

4.3 Deze geheimhoudingsplicht blijft na het einde van de Hoofdovereenkomst van kracht.

Artikel 5. Beveiliging

5.1 Iedere Partij treft ten aanzien van haar eigen verwerkingen passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. De maatregelen van E-Charging zijn opgenomen in Bijlage 2.

5.2 Partijen wisselen persoonsgegevens uitsluitend uit via een beveiligd kanaal.

5.3 Iedere Partij beperkt de toegang tot de ontvangen persoonsgegevens tot personen voor wie die toegang noodzakelijk is.

Artikel 6. Inbreuken in verband met persoonsgegevens

6.1 Iedere Partij is zelfstandig verantwoordelijk voor de beoordeling van een Inbreuk in haar eigen verwerkingen en, indien vereist, voor de melding daarvan aan de Autoriteit Persoonsgegevens (artikel 33 AVG) en aan de betrokken Betrokkenen (artikel 34 AVG).

6.2 Constateert een Partij een Inbreuk die (mede) betrekking heeft op persoonsgegevens die zij van de andere Partij heeft ontvangen of aan de andere Partij heeft verstrekt, dan stelt zij de andere Partij daarvan onverwijld en uiterlijk binnen 48 uur na ontdekking schriftelijk op de hoogte, onder vermelding van de aard van de Inbreuk, de betrokken categorieën gegevens en Betrokkenen, de vermoedelijke gevolgen en de getroffen of voorgestelde maatregelen.

6.3 Partijen verlenen elkaar redelijke medewerking bij de beoordeling en afhandeling van een Inbreuk als bedoeld in het tweede lid, en stemmen de communicatie daarover af voor zover dat redelijkerwijs mogelijk is.

Artikel 7. Rechten van Betrokkenen

7.1 Iedere Partij handelt verzoeken van Betrokkenen ten aanzien van haar eigen verwerkingen zelfstandig af, binnen de wettelijke termijnen.

7.2 Ontvangt een Partij een verzoek dat (mede) ziet op verwerkingen van de andere Partij, dan stuurt zij dat verzoek binnen vijf werkdagen door aan de andere Partij en informeert zij de Betrokkene daarover.

7.3 Partijen verlenen elkaar redelijke medewerking bij de afhandeling van een verzoek als bedoeld in het tweede lid, waaronder door het verstrekken van de daarvoor benodigde gegevens.

Artikel 8. Doorgifte buiten de Europese Economische Ruimte

8.1 Iedere Partij is zelfstandig verantwoordelijk voor de rechtmatigheid van een doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte in het kader van haar eigen verwerkingen.

8.2 E-Charging draagt er zorg voor dat een doorgifte in het kader van haar eigen verwerkingen uitsluitend plaatsvindt op grond van een adequaatheidsbesluit dan wel op grond van passende waarborgen als bedoeld in artikel 46 AVG, waaronder de modelcontractbepalingen van de Europese Commissie. De doorgiften van E-Charging en de daarbij gehanteerde waarborgen staan vermeld in Bijlage 3.

Artikel 9. Bewaartermijnen en verwijdering

9.1 Iedere Partij bepaalt zelfstandig hoe lang zij de door haar verwerkte persoonsgegevens bewaart, met inachtneming van artikel 5, eerste lid, onder e, AVG.

9.2 E-Charging bewaart de gegevens over de afgenomen en doorverkochte elektriciteit en de daarop betrekking hebbende documenten zeven jaar, ter voldoening aan artikel 52 van de Algemene wet inzake rijksbelastingen. De Klant kan niet verlangen dat E-Charging die gegevens binnen die termijn verwijdert.

9.3 Bij het einde van de Hoofdovereenkomst verstrekt E-Charging op verzoek van de Klant een export van de op zijn Laadpunten betrekking hebbende sessiegegevens.

Artikel 10. Naleving, toezicht en contact

10.1 Iedere Partij verstrekt de andere Partij op een redelijk en gemotiveerd verzoek de informatie die deze redelijkerwijs nodig heeft om zich ervan te vergewissen dat de ontvangen persoonsgegevens overeenkomstig deze regeling worden verwerkt. Deze bepaling geeft geen recht op inzage in de administratie of de systemen van de andere Partij; artikel 28, derde lid, onder h, AVG is tussen Partijen niet van toepassing.

10.2 Stelt een toezichthoudende autoriteit een onderzoek in dat mede betrekking heeft op persoonsgegevens die tussen Partijen zijn uitgewisseld, dan stelt de betrokken Partij de andere Partij daarvan onverwijld op de hoogte en verlenen Partijen elkaar redelijke medewerking.

10.3 Partijen wijzen ieder een contactpersoon aan voor aangelegenheden die deze regeling betreffen. Voor E-Charging is dat info@e-charging.nl. De Klant geeft zijn contactpersoon op bij aanvang van de overeenkomst en meldt wijzigingen daarin onverwijld.

Artikel 11. Aansprakelijkheid

11.1 Iedere Partij is zelfstandig aansprakelijk voor schade die voortvloeit uit een aan haar toe te rekenen schending van de AVG in haar eigen verwerkingen, overeenkomstig artikel 82 AVG.

11.2 Wordt een Partij aangesproken of beboet ter zake van een schending die aan de andere Partij is toe te rekenen, dan vrijwaart die andere Partij haar daarvoor, met inbegrip van redelijke kosten van juridische bijstand.

11.3 De aansprakelijkheidsbeperkingen uit de algemene voorwaarden van E-Charging zijn van toepassing, voor zover de wet dat toelaat en behoudens het bepaalde in artikel 82 AVG.

Artikel 12. Duur, wijziging en slotbepalingen

12.1 Deze regeling gaat in op de ingangsdatum van de Hoofdovereenkomst en geldt zolang een Partij persoonsgegevens verwerkt die zij in het kader van de Hoofdovereenkomst heeft ontvangen.

12.2 De artikelen 4 tot en met 11 blijven ook na het einde van de Hoofdovereenkomst van kracht zolang een Partij de betreffende persoonsgegevens verwerkt.

12.3 E-Charging mag deze regeling wijzigen overeenkomstig artikel 19 van haar algemene voorwaarden.

12.4 Bij strijdigheid tussen deze regeling en de algemene voorwaarden gaat deze regeling voor, voor zover het de verwerking van persoonsgegevens betreft.

12.5 Op deze regeling is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter overeenkomstig artikel 22 van de algemene voorwaarden.

Bijlage 1. Specificatie van de uitwisseling

Van de Klant aan E-Charging

Van E-Charging aan de Klant

E-Charging verstrekt de Klant geen gegevens over individuele Eindgebruikers, anders dan bedoeld in artikel 9.3.

Eigen verwerkingen van E-Charging

E-Charging verwerkt daarnaast, als zelfstandig verwerkingsverantwoordelijke en niet namens de Klant, de volgende gegevens:

• Laadsessiegegevens die zij van de Backofficepartner ontvangt: aantal kWh, tijdstip, Laadpunt, locatie, en de identificatie van de gebruikte laadpas of token. Doel: vaststellen welke elektriciteit E-Charging van de Klant afneemt en aan de Backofficepartner levert, en de daarop gebaseerde afrekening en administratie.
• Account- en technische gegevens van gebruikers van het dashboard: inloggegevens, tokens, logbestanden en gehasht IP-adres. Doel: toegangsbeveiliging en misbruikpreventie.
• Haar eigen klant-, prospect- en leveranciersadministratie. Doel: bedrijfsvoering.

Rechtsgrondslag: uitvoering van de overeenkomst (artikel 6, eerste lid, onder b, AVG), voldoening aan een wettelijke verplichting (onder c, voor de fiscale bewaarplicht) en gerechtvaardigd belang (onder f, voor beveiliging en misbruikpreventie).

Er worden geen bijzondere categorieën van persoonsgegevens verwerkt en er vindt geen geautomatiseerde besluitvorming over personen plaats.

Bijlage 2. Beveiligingsmaatregelen van E-Charging

E-Charging treft ten aanzien van haar eigen verwerkingen ten minste de volgende maatregelen (artikel 32 AVG):

• Toegangsbeveiliging op rijniveau (row level security) op alle gegevenstabellen, zodat een klant uitsluitend zijn eigen gegevens kan benaderen.
• Rolgebaseerde toegang (rollen admin, manager en viewer); toegang uitsluitend op een need-to-know-basis.
• Authenticatie via een beveiligde identiteitsdienst, met meervoudige authenticatie voor beheeraccounts waar beschikbaar.
• Versleuteling van gegevens tijdens transport (HTTPS/TLS) en in rust (AES-256, beheerd door de hostingpartij).
• Opslag binnen de Europese Economische Ruimte (regio Noord-Europa, Stockholm) en dagelijkse back-ups.
• Opslag van geheimen (sleutels en API-keys) in een beveiligde sleutelkluis en in omgevingsvariabelen, niet in de applicatiecode.
• Tokens worden uitsluitend gehasht opgeslagen (SHA-256); ruwe tokens worden niet bewaard. IP- en e-mailadressen in beveiligingslogs worden gehasht.
• Invoervalidatie en databaseconstraints, en auditlogging van beveiligingsrelevante handelingen.
• Periodieke evaluatie en actualisatie van de beveiligingsmaatregelen.

Bijlage 3. Verwerkers van E-Charging

E-Charging schakelt bij haar eigen verwerkingen de volgende Verwerkers in. Met ieder van hen heeft E-Charging een verwerkersovereenkomst gesloten die voldoet aan artikel 28, derde lid, AVG.

Road B.V. (e-Flux by Road) is geen Verwerker van E-Charging. Road is zelfstandig verwerkingsverantwoordelijke voor haar eigen verwerkingen in de laadketen, overeenkomstig het standpunt van eViolin. Persoonsgegevens die tussen E-Charging en Road worden uitgewisseld, worden uitgewisseld tussen zelfstandig verwerkingsverantwoordelijken.

E-Charging informeert de Klant over wijzigingen in deze lijst overeenkomstig artikel 19 van haar algemene voorwaarden.