⚠️ VORLAGE / TEMPLATE — vor Veröffentlichung von einer Anwältin/einem Anwalt prüfen lassen. / Have this reviewed by a lawyer before publishing.

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

zwischen dem Kunden der Plattform Stampbird — nachfolgend „Auftraggeber" (Verantwortlicher) —

und

Nebold, Inhaber Taha Cemal Kaya (Einzelunternehmen), Wittelsbacherallee 107, 60385 Frankfurt am Main, vertreten durch Taha Cemal Kaya (Inhaber) — nachfolgend „Auftragnehmer" (Auftragsverarbeiter) —

1. Gegenstand und Dauer der Verarbeitung

1.1 Der Auftragnehmer betreibt für den Auftraggeber die SaaS-Plattform Stampbird zur Verwaltung digitaler Treuekarten. Gegenstand dieses Vertrags ist die damit verbundene Verarbeitung personenbezogener Daten der Endkunden des Auftraggebers im Auftrag.

1.2 Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags (AGB Stampbird). Er endet mit dessen Beendigung, unbeschadet der Pflichten nach Ziffer 9.

2. Art und Zweck der Verarbeitung

Art der Verarbeitung: Erheben, Speichern, Verändern, Auslesen, Übermitteln (an Wallet-Plattformen auf Veranlassung der betroffenen Person), Einschränken, Löschen und Anonymisieren.

Zweck: Verwaltung des Treueprogramms des Auftraggebers — Ausstellung und Aktualisierung digitaler Treuekarten, Führung der Stempel-/Punktekonten, Einlösung von Prämien, einwilligungsbasierte Mitteilungen an Endkunden sowie Erfüllung von Betroffenenanfragen.

3. Kategorien personenbezogener Daten

• Name (optionale Angabe der betroffenen Person),
• E-Mail-Adresse (optionale Angabe),
• Geburtstag — nur Tag und Monat — ausschließlich bei gesonderter Einwilligung für Geburtstagsaktionen,
• Besuchs- und Stempel-/Punktehistorie der Treuekarte,
• bevorzugte Sprache,
• technische Daten der Pass-Zustellung (Seriennummer, Wallet-Registrierung, Push-Zustellprotokolle) sowie Einwilligungsnachweise (Art, Version, Zeitpunkt, IP-Adresse, Browser-Kennung).

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung; der Auftraggeber stellt sicher, dass solche Daten nicht eingebracht werden.

4. Kategorien betroffener Personen

Endkunden des Auftraggebers (Inhaberinnen und Inhaber der vom Auftraggeber ausgegebenen Treuekarten).

5. Weisungsrecht des Auftraggebers

5.1 Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO), sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

5.2 Die Nutzung der Plattformfunktionen durch den Auftraggeber (z. B. Anlegen von Kampagnen, Automationsregeln, Export) gilt als Weisung. Weisungen außerhalb des Funktionsumfangs bedürfen der Textform.

5.3 Hält der Auftragnehmer eine Weisung für datenschutzrechtlich unzulässig, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

6. Pflichten des Auftragnehmers

6.1 Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

6.2 Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und passt sie dem Stand der Technik an; das Schutzniveau darf dabei nicht unterschritten werden.

6.3 Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfüllung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation).

6.4 Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten, die diesen Auftrag betreffen, unverzüglich nach Bekanntwerden und unterstützt ihn bei seinen Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO).

6.5 Der Auftragnehmer hat keinen Datenschutzbeauftragten bestellt, soweit keine gesetzliche Pflicht besteht; Ansprechstelle für Datenschutzfragen ist office@nebold.com. Besteht eine Benennungspflicht, teilt der Auftragnehmer die Kontaktdaten mit.

6.6 Die Verarbeitung erfolgt in der Europäischen Union (Hosting in Deutschland). Eine Verarbeitung in Drittländern findet nur unter den Voraussetzungen der Art. 44 ff. DSGVO statt (vgl. Anlage 2).

7. Unterauftragsverarbeiter

7.1 Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter.

7.2 Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern) mindestens 30 Tage vor deren Wirksamwerden in Textform. Der Auftraggeber kann der Änderung aus wichtigem datenschutzrechtlichen Grund binnen dieser Frist widersprechen. Im Fall des Widerspruchs bemühen sich die Parteien um eine einvernehmliche Lösung; gelingt dies nicht, sind beide Parteien berechtigt, den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung zu kündigen.

7.3 Der Auftragnehmer verpflichtet Unterauftragsverarbeiter durch Vertrag im Wesentlichen auf dieselben Datenschutzpflichten, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für dessen Pflichterfüllung.

8. Unterstützung bei Betroffenenrechten

8.1 Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO).

8.2 Hierzu stellt der Auftragnehmer insbesondere ein eingebautes Self-Service-Portal bereit, das von jeder Treuekarte aus erreichbar ist und mit dem betroffene Personen selbständig Datenauskunft und -export (Art. 15, 20 DSGVO), Löschung/Anonymisierung (Art. 17 DSGVO) sowie die Verwaltung von Einwilligungen (Art. 7 Abs. 3 DSGVO) automatisiert ausüben können.

8.3 Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser den Antrag unverzüglich an den Auftraggeber weiter, soweit der Antrag nicht über das Self-Service-Portal automatisiert erfüllt wird.

9. Löschung und Rückgabe bei Vertragsende

9.1 Nach Beendigung des Hauptvertrags kann der Auftraggeber seine Daten 90 Tage lang über die Exportfunktion in einem strukturierten, gängigen und maschinenlesbaren Format abrufen (Rückgabe).

9.2 Nach Ablauf dieser Frist löscht oder anonymisiert der Auftragnehmer sämtliche im Auftrag verarbeiteten personenbezogenen Daten, es sei denn, eine Aufbewahrung ist nach Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich (Art. 28 Abs. 3 lit. g DSGVO). Auf Wunsch bestätigt der Auftragnehmer die Löschung in Textform.

9.3 Gesetzliche Aufbewahrungspflichten des Auftragnehmers (z. B. für Abrechnungsdaten) bleiben unberührt; betroffene Daten werden für andere Zwecke gesperrt.

10. Kontrollrechte des Auftraggebers

10.1 Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO), insbesondere aktuelle Beschreibungen der TOMs und vorhandene Prüfberichte oder Zertifizierungen.

10.2 Der Auftraggeber ist berechtigt, Überprüfungen — einschließlich Inspektionen — selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchzuführen. Inspektionen vor Ort erfolgen nach vorheriger Anmeldung mit angemessener Frist (in der Regel 14 Tage), während der üblichen Geschäftszeiten, ohne unverhältnismäßige Störung des Betriebs und höchstens einmal jährlich, sofern kein konkreter Anlass eine weitere Prüfung erfordert.

10.3 Der Auftragnehmer kann für Inspektionen, die über die Bereitstellung vorhandener Nachweise hinausgehen, eine angemessene Aufwandsvergütung verlangen, sofern die Inspektion keinen vom Auftragnehmer zu vertretenden Anlass hat.

11. Schlussbestimmungen

11.1 Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht in datenschutzrechtlichen Fragen dieser Vertrag vor.

11.2 Änderungen und Ergänzungen bedürfen der Textform. Es gilt deutsches Recht; Gerichtsstand ist Frankfurt am Main.

11.3 Die Unwirksamkeit einzelner Bestimmungen berührt die Wirksamkeit der übrigen Bestimmungen nicht.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Verschlüsselung: Sämtliche Datenübertragungen erfolgen verschlüsselt über TLS (HTTPS); signierte Pass- und Portal-Links mit HMAC-Token gegen Erraten von Seriennummern; Speicherung von Zugangs-Tokens nur als Hash.
2. Zugriffskontrolle: Rollenbasiertes Berechtigungskonzept im Händler-Dashboard (Inhaber/Manager/Mitarbeiter), Scanner-Zugriff mit zusätzlicher PIN-Bestätigung und Rate-Limiting, API-Zugriff über gehashte API-Schlüssel.
3. Mandantentrennung: Logische Trennung der Auftraggeber-Daten auf Datenbankebene — jede mandantenbezogene Tabelle trägt eine Mandanten-ID; sämtliche Zugriffe laufen über eine zentrale, erzwungene Mandanten-Scope-Schicht; die Trennung wird durch automatisierte Tests fortlaufend geprüft.
4. Protokollierung: Audit-Protokoll sicherheits- und datenschutzrelevanter Vorgänge (u. a. Löschungen, Einwilligungsänderungen, Versandentscheidungen) mit definierten Aufbewahrungsfristen.
5. Datensparsamkeit und Löschkonzept: Erhebung nur erforderlicher Felder (Name/E-Mail optional, Geburtstag nur Tag/Monat mit Einwilligung); automatisierte Löschläufe: Sitzungsartefakte nach 30 Tagen, Push-Protokolle nach 180 Tagen, Audit-Protokolle nach 365 Tagen, Anonymisierung inaktiver Endkundenprofile nach 730 Tagen.
6. Verfügbarkeit und Wiederherstellbarkeit: Regelmäßige Backups der Datenbank, getestete Wiederherstellungsverfahren, Betrieb in EU-Rechenzentren (Deutschland) mit redundanter Infrastruktur.
7. Organisatorische Maßnahmen: Vertraulichkeitsverpflichtung der Mitarbeitenden, Prinzip der geringsten Berechtigung bei internen Zugriffen, getrennte Umgebungen für Entwicklung und Produktion, Protokollierung administrativer Zugriffe.

Anlage 2 — Genehmigte Unterauftragsverarbeiter

Hinweis: Apple (Apple Wallet/APNs) und Google (Google Wallet) sind keine Unterauftragsverarbeiter, sondern verarbeiten Pass-Daten als eigenständige Verantwortliche, sobald die betroffene Person den Pass ihrem Wallet hinzufügt.