Vereinbarung zur Auftragsverarbeitung

§ 1 Gegenstand und Rollenverteilung

(1) Stempl stellt dem Betrieb eine Software-as-a-Service-Plattform für digitale Stempelkarten bereit. Der Betrieb nutzt sie, um seinen Gästen („Karteninhaber“) digitale Kundenkarten in Apple Wallet und Google Wallet auszugeben, Stempel zu vergeben, Prämien einzulösen und – soweit die Karteninhaber gesondert eingewilligt haben – Nachrichten an diese zu senden.

(2) Bezüglich der Daten der Karteninhaber ist der Betrieb Verantwortlicher (Art. 4 Nr. 7 DSGVO) und Stempl Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO).

(3) Bezüglich der Daten des Betriebs und seiner Mitarbeiter ist Stempl selbst Verantwortlicher. Diese Verarbeitung ist nicht Gegenstand dieser Vereinbarung.

(4) Diese Vereinbarung geht den Nutzungsbedingungen vor, soweit sie diesen widerspricht.

§ 2 Art, Zweck und Dauer

(1) Art: Erheben, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln an Wallet-Anbieter, Löschen.

(2) Zweck: Betrieb eines digitalen Kundenbindungsprogramms – Ausgabe und Aktualisierung digitaler Stempelkarten, Erfassung von Stempeln und Prämieneinlösungen, Zustellung von Benachrichtigungen bei erteilter Einwilligung, aggregierte Auswertungen für den Betrieb.

(3) Dauer: für die Laufzeit der Nutzung; Fristen nach Beendigung siehe § 7.

(4) Betroffene Personen: Karteninhaber (Gäste, Kunden, Klienten des Betriebs).

(5) Datenkategorien: Vorname (freiwillig), Geburtstag ohne Jahr – nur Tag und Monat (freiwillig), Stempelstand, Besuchszähler und Einlösungen, Karten-Kennungen, Wallet-Registrierungsdaten (Geräte-Kennung, Push-Token), Einwilligungsstatus samt Nachweis, sowie – nur mit gesonderter Cookie-Einwilligung – eine betriebsübergreifende Gerätekennung.

(6) Besondere Kategorien nach Art. 9 DSGVO werden nicht verarbeitet. Der Betrieb ist nicht berechtigt, solche Daten über die Plattform zu erheben.

§ 3 Weisungsrecht

(1) Stempl verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Betriebs. Die Nutzung der Plattform gilt als Weisung.

(2) Weisungen außerhalb der Plattform sind in Textform an hallo@getstempl.com zu richten.

(3) Hält Stempl eine Weisung für rechtswidrig, teilt Stempl dies unverzüglich mit und darf die Ausführung bis zur Bestätigung aussetzen.

§ 4 Pflichten des Betriebs

(1) Der Betrieb ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für das Vorliegen einer Rechtsgrundlage.

(2) Der Betrieb informiert seine Karteninhaber nach Art. 13 DSGVO. Stempl stellt dafür einen Textbaustein bereit (Anlage 3).

(3) Inhaltliche Verantwortung für Nachrichten. Der Betrieb ist Absender im Sinne des § 107 TKG 2021 und allein verantwortlich für Inhalt, Häufigkeit und Zeitpunkt aller von ihm veranlassten Nachrichten. Er verpflichtet sich, keine irreführenden und keine unangemessen häufigen Nachrichten zu versenden und Widersprüche zu respektieren. Stempl unterstützt dies technisch (Ruhezeiten 22–8 Uhr, Mengenwarnung), übernimmt die Pflicht aber nicht.

(4) Der Betrieb darf keine besonderen Datenkategorien und keine Daten von Kindern unter 14 Jahren wissentlich über die Plattform erheben.

§ 5 Pflichten von Stempl

(1) Vertraulichkeit. Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Derzeit hat ausschließlich der Auftragsverarbeiter selbst administrativen Zugriff.

(2) Technische und organisatorische Maßnahmen nach Art. 32 DSGVO; Einzelheiten in Anlage 2.

(3) Unterstützung bei Betroffenenrechten. Die Plattform stellt bereit: Löschung (Art. 17) über den Kundenbereich, kaskadierend über alle abhängigen Daten einschließlich Wallet-Registrierungen und Google-Wallet-Objekte; Widerspruch gegen Werbung (Art. 21) über eine Abmeldeseite, die auf jeder ausgegebenen Karte verlinkt ist; Berichtigung (Art. 16) im Betriebs-Dashboard.

Auskunft (Art. 15) und Datenübertragbarkeit (Art. 20) erfüllt Stempl auf Anforderung des Betriebs innerhalb von 14 Tagen manuell in einem strukturierten, gängigen und maschinenlesbaren Format. Eine Selbstbedienungsfunktion ist in Vorbereitung.

Geht eine Betroffenenanfrage bei Stempl statt beim Betrieb ein, leitet Stempl sie unverzüglich weiter und beantwortet sie nicht selbst.

(4) Unterstützung bei Art. 32–36 im Rahmen des Verfügbaren.

(5) Meldung von Verletzungen. Stempl meldet jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit allen Angaben nach Art. 33 Abs 3. Die Frist verkürzt nicht die 72-Stunden-Frist des Betriebs gegenüber der Aufsichtsbehörde.

(6) Nachweis und Kontrolle. Stempl weist die Einhaltung auf Anfrage nach, vorrangig durch Vorlage dieser Anlagen und aktueller Prüfberichte. Vor-Ort-Prüfungen sind mit 14 Tagen Frist und höchstens einmal jährlich möglich, sofern kein Anlass etwas anderes gebietet.

(7) Ort der Verarbeitung. Die Datenbank wird in der Europäischen Union betrieben. Übermittlungen in Drittländer erfolgen ausschließlich im Rahmen von § 6.

§ 6 Unterauftragsverarbeiter

(1) Der Betrieb erteilt seine allgemeine schriftliche Genehmigung zum Einsatz der nachfolgend genannten Unterauftragsverarbeiter (Art. 28 Abs 2 Satz 2).

(2) Stempl informiert mindestens 30 Tage vorab per E-Mail über beabsichtigte Änderungen. Der Betrieb kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann jede Partei diese Vereinbarung für die Zukunft beenden.

(3) Supabase und Vercel verarbeiten in einem Rechenzentrum innerhalb der EU. Eine Drittlandübermittlung findet im Regelbetrieb nicht statt; die Standardvertragsklauseln sind gleichwohl vereinbart, weil das Personal beider Anbieter zu Wartungs- und Supportzwecken aus einem Drittland zugreifen kann.

(4) Kein Unterauftragsverarbeiter darf ohne gesonderte Genehmigung weitere Unterauftragsverarbeiter einsetzen, die nicht denselben Verpflichtungen unterliegen.

§ 7 Löschung, Aufbewahrung, Rückgabe

(1) Nach Beendigung der Nutzung löscht Stempl die Daten der Karteninhaber auf Anforderung des Betriebs innerhalb von 30 Tagen, es sei denn, eine gesetzliche Aufbewahrungspflicht steht entgegen. Die Anforderung erfolgt formlos an hallo@getstempl.com. Unabhängig davon greift das automatische Löschkonzept aus Absatz 2.

(2) Automatisches Löschkonzept während der Laufzeit:

• Karteninhaber ohne jede Aktivität: vollständige Löschung nach 24 Monaten ab der letzten Aktivität (letzter Stempel, letzte Prämieneinlösung, ersatzweise Kartenerstellung). Gelöscht werden der Datensatz und sämtliche abhängigen Daten; erhalten bleibt ausschließlich eine aggregierte Monatssumme je Betrieb ohne Personenbezug. Dreißig Tage vor der Löschung wird der Karteninhaber auf seiner Karte informiert; ein Besuch setzt die Frist zurück.
• Wallet-Registrierungen: Löschung mit dem Karteninhaber, bei Abmeldung durch das Gerät oder wenn der Anbieter den Token als ungültig meldet.
• Technische Zugriffsprotokolle mit IP-Adresse: 90 Tage.
• Ratenbegrenzungs-Daten: 30 Tage.
• Nutzungsstatistik der Beitrittsseite (ohne Personenbezug): 180 Tage.
• Einwilligungsnachweise: 3 Jahre nach Widerruf bzw. Löschung – zur Verteidigung gegen Ansprüche (Art. 17 Abs 3 lit e).

(3) Der Betrieb kann jederzeit einen Export der Daten seiner Karteninhaber verlangen; Stempl stellt ihn innerhalb von 14 Tagen maschinenlesbar bereit.

(4) Die Löschung wird auf Verlangen in Textform bestätigt.

§ 8 Haftung

Es gelten die gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei für Schäden aus der Verletzung der ihr obliegenden Pflichten. Eine Beschränkung der Haftung gegenüber betroffenen Personen ist damit nicht verbunden.

§ 9 Laufzeit und Beendigung

(1) Diese Vereinbarung beginnt mit der Zustimmung des Betriebs und läuft, solange Stempl personenbezogene Daten in seinem Auftrag verarbeitet.

(2) Sie endet mit der Beendigung der Nutzung. Die Pflichten aus § 5 Abs 1 und § 7 gelten fort.

§ 10 Schlussbestimmungen

(1) Änderungen bedürfen der Textform. Stempl kann die Vereinbarung mit 30 Tagen Frist anpassen, soweit dies zur Anpassung an geänderte Rechtslage oder geänderte Unterauftragsverarbeiter erforderlich ist; der Betrieb kann widersprechen und die Nutzung beenden.

(2) Ist eine Bestimmung unwirksam, bleibt die Wirksamkeit der übrigen unberührt.

(3) Es gilt österreichisches Recht. Gerichtsstand ist Graz, soweit gesetzlich zulässig.

Anlage 2 · Technische und organisatorische Maßnahmen

Vertraulichkeit. Keine eigenen Server; Rechenzentren der Unterauftragsverarbeiter. Zugang über E-Mail-Login oder 6-stelligen PIN, alle PINs als bcrypt-Hash, nie im Klartext. Brute-Force-Schutz in zwei Dimensionen (5 Fehlversuche je IP und Konto, 20 je Konto insgesamt, jeweils 15 Minuten Sperre). Sitzungen als HMAC-signierte httpOnly-Cookies. Mandantentrennung auf zwei Ebenen: Row Level Security auf allen Tabellen und verpflichtende Betriebs-Filterung in jeder Schnittstelle, letztere durch automatisierte Tests abgesichert.

Pseudonymisierung und Datensparsamkeit. Karten werden über Zufalls-Token adressiert. Der Geburtstag wird ohne Jahr gespeichert – ein Alter ist daraus nicht ableitbar. Von Karteninhabern werden weder Nachname noch E-Mail-Adresse noch Telefonnummer erhoben.

Integrität. Ausschließlich TLS-verschlüsselte Übertragung; Wallet-Pässe kryptografisch signiert. Jeder Stempel wird als eigenes Ereignis mit Zeitpunkt und Mitarbeiter-Zuordnung protokolliert; verändernde Zugriffe im Verwaltungsbereich werden mit Zeitpunkt, Aktion und Herkunft festgehalten.

Verfügbarkeit. Technische Fehlerüberwachung mit Verarbeitung in der EU und deaktivierter IP-Übermittlung; eine automatische Alarmierung an einen Bereitschaftsdienst besteht nicht. Ratenbegrenzung auf allen öffentlich erreichbaren Schnittstellen.

Sicherung und Wiederherstellbarkeit. Der derzeit genutzte Tarif des Datenbank-Anbieters enthält keine automatischen Sicherungen. Sicherungen erstellt Stempl manuell vor Änderungen an der Datenbankstruktur; sie werden außerhalb der Plattform verwahrt. Eine zugesagte Wiederherstellungszeit und ein zugesagter maximaler Datenverlust bestehen daher nicht: Bei einem Ausfall zwischen zwei manuellen Sicherungen können die seither erfassten Daten verloren gehen. Der Betrieb wird hierauf ausdrücklich hingewiesen.

Überprüfung. Automatisierte Testreihen, darunter ausdrücklich Mandantentrennung, Einwilligungslogik und Versandwege. Regelmäßige Sicherheits- und Datenschutz-Audits. Zugriff auf Produktivdaten ausschließlich durch den Auftragsverarbeiter; es existiert genau ein administrativer Zugang.

Datenschutz durch Voreinstellung. Die Werbe-Einwilligung ist eine eigene, nicht vorausgewählte Entscheidung, unabhängig von der Nutzung der Karte. Das einzige einwilligungsbedürftige Cookie wird technisch erst gesetzt, nachdem zugestimmt wurde. Schriftarten werden von der eigenen Domain ausgeliefert; es gibt keine Einbindung externer Schrift-, Analyse- oder Werbedienste, keine Reichweitenmessung und kein geräteübergreifendes Tracking.

Anlage 3 · Textbaustein für die Datenschutzinformation des Betriebs

Der Betrieb kann diesen Absatz in seine eigene Datenschutzerklärung übernehmen: