Entwurf – Selbstprüfung offen

Vereinbarung zur Auftragsverarbeitung

nach Art 28 DSGVO · Fassung 1.1.3 · gültig ab [OFFEN: Tag der Freigabe dieser Fassung]

Diese Fassung ersetzt Fassung 1.1.2; geändert sind die Beschreibung der Nutzung als kostenloser Produkttest (§ 1 Abs 1, Fußnote 2) und die Abschaltung der Partnerseite (§ 2 Abs 5, 6 und 9). Der Wortlaut der Fassungen 1.0, 1.1, 1.1.1 und 1.1.2 bleibt dauerhaft abrufbar; zum Nachweis, wer welcher Fassung wann zugestimmt hat, siehe § 13 Abs 2.

Wie dieser Vertrag zu lesen ist

Vier Dinge vorweg, damit das Lesen schneller geht.

1. „Gast" heißt hier jede Person, die eine Stempelkarte des Betriebs hat — je nach Betrieb also Gast, Kunde, Klient oder Patient. Fassung 1.0 sagte „Karteninhaber". Das Wort ist korrekt, aber es ist nicht das Wort, das im Produkt steht, und deshalb steht es auch hier nicht mehr.
2. Kursive Absätze sagen, was Fassung 1.0 an dieser Stelle behauptet hat und warum es berichtigt wird. Sie sind kein Beiwerk: Wer beide Fassungen nebeneinanderlegt, soll die Änderung finden, ohne sie zu suchen.
3. Eckige Klammern mit dem Wort OFFEN stehen dort, wo eine Angabe noch fehlt. Sie sind bewusst sichtbar gelassen und nicht geraten. Solange eine davon im Text steht, ist diese Fassung ein Entwurf.
4. Dieser Vertrag beschreibt, was die Plattform heute tut — nicht, was geplant ist. Wo eine Zusage über das hinausginge, was gebaut ist, steht das ausdrücklich da. Das macht den Text an einigen Stellen unangenehmer. Es ist der einzige Text, der einer Prüfung standhält.

Die Vertragsparteien

Verantwortlicher (im Folgenden „der Betrieb")

Ehrlich zum Kopf dieser Tabelle. Betriebsname, Name der zustimmenden Person und Zeitpunkt werden eingesetzt, sobald die dafür nötigen Änderungen an der Datenbank ausgeführt sind — zum Zeitpunkt dieser Fassung sind sie es nicht. Bis dahin bleibt der Kopfblock leer, und Stammkartl stellt die Angaben auf Anfrage bereit (§ 13 Abs 2). Anschrift und Funktion werden auch danach nicht eingesetzt: Die Plattform liest die Anschrift des Betriebs an dieser Stelle nicht und erfasst die Funktion der zustimmenden Person überhaupt nicht. Beide Angaben trägt der Betrieb von Hand ein. Eine Zeile, die verspricht, befüllt zu werden, und leer bleibt, wäre schlechter als keine Zeile.

Auftragsverarbeiter (im Folgenden „Stammkartl")

Berkan Akdag Papiermühlgasse 38, 8020 Graz, Österreich [OFFEN: Kontakt-E-Mail] · +43 660 8231030 Einzelperson, keine Angestellten. Kein Firmenbucheintrag, keine UID-Nummer. [OFFEN: Gewerbeberechtigung — Kammer, Aufsichtsbehörde und Standort erst nach Anmeldung]

Form des Abschlusses. Diese Vereinbarung wird nach Art 28 Abs 9 DSGVO in einem elektronischen Format geschlossen. Die Zustimmung erfolgt im angemeldeten Betriebskonto. Festgehalten werden Zeitpunkt, Fassungsnummer, Name der zustimmenden Person und die Kennung des Betriebskontos. Diese vier Angaben treten an die Stelle einer Unterschrift. Eine eigenhändige Unterschrift oder eine qualifizierte elektronische Signatur ist nicht erforderlich und wird nicht vereinbart.

§ 1 Gegenstand und Rollenverteilung

(1) Stammkartl stellt dem Betrieb eine Software-as-a-Service-Plattform für digitale Stempelkarten bereit ([OFFEN: Domain der Plattform]). Der Betrieb nutzt sie, um seinen Gästen digitale Kundenkarten in Apple Wallet und Google Wallet auszugeben, Stempel zu vergeben, Prämien einzulösen und – soweit die Gäste gesondert eingewilligt haben – Nachrichten an sie zu senden. Die Nutzung erfolgt unentgeltlich im Rahmen eines Produkttests. Die Unentgeltlichkeit ist hier festgehalten, weil § 10 Abs 6 darauf aufbaut.

(2) Hinsichtlich der Daten der Gäste und der Daten der Mitarbeiter des Betriebs ist der Betrieb Verantwortlicher (Art 4 Z 7 DSGVO) und Stammkartl Auftragsverarbeiter (Art 4 Z 8 DSGVO). Der Betrieb entscheidet über Zwecke und wesentliche Mittel; Stammkartl verarbeitet ausschließlich weisungsgebunden.

(3) Hinsichtlich der Daten des Betriebs selbst – Betriebskonto, Anmeldung und Sitzungen, Anmeldeschutz, Server- und Fehlerprotokolle, Website, Support, KI-gestützte Textvorschläge für den Betrieb – ist Stammkartl selbst Verantwortlicher. Diese Verarbeitungen sind nicht Gegenstand dieser Vereinbarung; sie richten sich nach der Datenschutzerklärung unter [OFFEN: Domain der Plattform]/datenschutz.

(4) Mitarbeiterdaten — der Betrieb ist Verantwortlicher. Mitarbeiterkonten für den Scanner legt der Betrieb an: Er vergibt Name und PIN, ändert sie, löscht sie und sieht die daraus entstehende Auswertung. Das sind die Merkmale, an denen die Verantwortlichkeit hängt. Diese Verarbeitung erfolgt deshalb im Auftrag des Betriebs und ist von dieser Vereinbarung umfasst.

Daraus folgen zwei Pflichten des Betriebs:

• Er informiert seine Mitarbeiter nach Art 13 DSGVO über das, was die Plattform über sie erzeugt. Stammkartl stellt dafür einen Textbaustein bereit (Anlage 4).
• Er prüft, ob die Auswertung in seinem Betrieb der Mitwirkung des Betriebsrats bedarf, und ob sie arbeitsrechtlich in dieser Form zulässig ist.

Hinweis, keine Zusage. Die Leistungsauswertung in § 2 Abs 5 (Scans je Tag, Woche und je zwölf Monaten, erster und letzter Scan, die letzten zwanzig Einzelereignisse mit Uhrzeit und dem Vornamen des bedienten Gastes) kann in Österreich eine Kontrollmaßnahme sein, die nach § 96 Abs 1 Z 3 ArbVG der Zustimmung des Betriebsrats bedarf. Stammkartl beurteilt das nicht und sagt dazu nichts zu. Die Frage ist vor dem Einsatz anwaltlich zu klären; zuständig dafür ist der Betrieb als Verantwortlicher.

Fassung 1.0 erklärte Stammkartl zum Verantwortlichen für die Mitarbeiterdaten und nahm sie aus dieser Vereinbarung heraus. Das entsprach nicht dem tatsächlichen Systemverhalten und wird hiermit berichtigt.

(5) Keine Eigennutzung (Art 28 Abs 10 DSGVO). Stammkartl verarbeitet die Daten der Gäste und der Mitarbeiter nicht zu eigenen Zwecken. Ausdrücklich nicht umfasst und ohne gesonderte schriftliche Erlaubnis des Betriebs unzulässig sind: betriebsübergreifende Auswertungen, Produktverbesserung mit echten Daten von Gästen, das Trainieren oder Abstimmen von KI-Modellen sowie Werbung von Stammkartl in eigener Sache an Gäste. Nimmt Stammkartl eine solche Verarbeitung auf, wird Stammkartl insoweit selbst Verantwortlicher; das bedarf einer eigenen Vereinbarung und darf nicht stillschweigend geschehen.

Fassung 1.0 enthielt in § 1 zusätzlich eine allgemeine Vorrangklausel gegenüber den Nutzungsbedingungen. Sie ist entfallen, weil sie unbegrenzt formuliert war und so gelesen werden konnte, dass ein Datenschutzanhang auch Leistungsumfang, Gewährleistung und Entgelt verdrängt. Den Vorrang regelt jetzt allein § 14 Abs 1 — beschränkt auf das, worum es geht: den Datenschutz.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Was mit den Daten geschieht. Stammkartl nimmt die Daten entgegen, speichert sie, ordnet sie, zeigt sie dem Betrieb an, übermittelt sie an die in §§ 7 und 8 genannten Stellen, ändert sie auf Weisung, sperrt sie und löscht sie. Juristisch sind das Erheben, Erfassen, Organisieren, Ordnen, Speichern, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Einschränken und Löschen im Sinne des Art 4 Z 2 DSGVO.

(2) Zweck: Betrieb eines digitalen Kundenbindungsprogramms für den Betrieb, nämlich

• Ausgabe, Signierung und Aktualisierung digitaler Stempelkarten für Apple Wallet und Google Wallet,
• Erfassung von Stempeln, Prämienfortschritt und Einlösungen,
• Verwaltung der Geräteregistrierungen, über die eine Karte aktualisiert wird,
• Zustellung von Nachrichten an Gäste, soweit diese eingewilligt haben,
• Betrieb der vom Betrieb aktivierten Automationen (Willkommensgruß, Geburtstagsgruß, „Karte fast voll", Reaktivierung, Stempelgruß, Bewertungsanfrage),
• Bereitstellung von Auswertungen über die Gäste dieses Betriebs,
• Anmeldung der Mitarbeiter am Scanner, Zuordnung von Stempeln zu Mitarbeitern und die daraus entstehende Auswertung,
• Erfassung und Aufbewahrung von Einwilligungsnachweisen,
• Export und Löschung auf Weisung des Betriebs.

(3) Dauer: Für die Laufzeit der Nutzung der Plattform. Zu den Fristen während der Laufzeit siehe § 4, zu den Fristen nach Beendigung § 10.

(4) Kategorien betroffener Personen:

• Gäste des Betriebs (je nach Betrieb auch Kunden, Klienten oder Patienten). Die Teilnahme setzt das vollendete 14. Lebensjahr voraus (§ 5 Abs 4).
• Mitarbeiter des Betriebs, die den Scanner benutzen (§ 1 Abs 4).

(5) Kategorien personenbezogener Daten:

Daten der Gäste

Daten der Mitarbeiter des Betriebs

(6) Zum Karten-Cookie. Das Cookie stempl_karte_<Betrieb> wird ohne Einwilligung gesetzt und als unbedingt erforderlich behandelt: Es verhindert, dass derselbe Gast eine zweite, leere Karte erhält. Es wird ohne HttpOnly gesetzt, weil die Beitrittsseite es im Browser liest und schreibt, und läuft ein Jahr. Eine zweite Funktion gibt es nicht mehr: Bis zum 9. November 2026 las die Partnerseite diese Cookies aus und verknüpfte darüber die Karten mehrerer Betriebe desselben Geräts. Die Partnerseite ist abgeschaltet.

(7) Einwilligungsnachweis. Die Plattform hält zu jeder Einwilligung eines Gastes Zeitpunkt, Fassung und Wortlaut des zugestimmten Textes fest — getrennt für die Karte und für die Werbe-Einwilligung — sowie den Zeitpunkt eines Widerrufs. Der Wortlaut wird dabei mit dem eingesetzten Betriebsnamen gespeichert, weil der Gast diesen gelesen hat und nicht einen Platzhalter. Die Beweislast nach Art 7 Abs 1 DSGVO und § 174 Abs 3 TKG 2021 trifft den Betrieb; die Plattform liefert ihm dafür die Angaben.

Einschränkung, ausdrücklich benannt: Die Felder entstehen mit einer Datenbankänderung, die zum Stand dieser Fassung noch nicht ausgeführt ist. Bis dahin wird allein festgehalten, dass eine Einwilligung vorliegt. Der Code versucht den vollständigen Nachweis, protokolliert das Scheitern laut und legt die Karte dennoch an — ein fehlender Beleg ist ein Dokumentationsmangel, eine Karte, die nicht entsteht, ein verlorener Gast. [OFFEN: Tag der Ausführung der Datenbankänderung, ab dem der Nachweis vollständig geschrieben wird]

(8) Widerruf der Cookie-Einwilligung. Art 7 Abs 3 DSGVO verlangt, dass der Widerruf so einfach ist wie die Erteilung. Bis zum 2. Oktober 2026 war er das nicht: Das Einwilligungsfenster erschien nur, solange keine Entscheidung vorlag, und einen zweiten Weg gab es nicht. Diese Lücke ist geschlossen. Am Ende der Datenschutzerklärung steht ein Block, der den aktuellen Stand samt Datum anzeigt und beide Richtungen mit je einem Tippen zulässt; bei einem Widerruf wird das Cookie sofort aus dem Browser gelöscht. Abschnitt A.12 der Datenschutzerklärung verlinkt ihn.

(9) Keine Übernahme zu weiteren Betrieben. Bis zum 9. November 2026 konnte sich ein Gast auf der Partnerseite eine Karte bei einem weiteren Betrieb holen. Früher übernahm die Plattform dabei Angaben aus einem vorhandenen Datensatz, bis zum 3. Oktober 2026 auch den Einwilligungsstatus für Werbenachrichten. Die Partnerseite ist abgeschaltet, eine Übernahme findet nicht mehr statt. Eine gegenüber einem anderen Verantwortlichen erteilte Einwilligung trägt Werbenachrichten nicht: Bei Gästen, die vor dem 3. Oktober 2026 auf diesem Weg hinzugekommen sind, darf der Betrieb Werbenachrichten nicht auf den übernommenen Status stützen.

(10) Besondere Kategorien personenbezogener Daten nach Art 9 DSGVO und Daten nach Art 10 DSGVO werden nicht verarbeitet. Der Betrieb ist nicht berechtigt, solche Daten über die Plattform zu erheben.

§ 3 Weisungen

(1) Stammkartl verarbeitet die Daten der Gäste und der Mitarbeiter ausschließlich auf dokumentierte Weisung des Betriebs. Die Nutzung der Plattform durch den Betrieb oder seine Mitarbeiter – das Anlegen und Löschen von Gästen und Mitarbeiterkonten, das Vergeben von Stempeln, das Einstellen und Aktivieren von Automationen, das Versenden von Nachrichten, das Festlegen der Speicherdauer nach § 4 – gilt als Weisung. Diese Vereinbarung samt Anlagen ist die Grunddokumentation dieser Weisungen.

(2) Weisungen außerhalb der Plattform sind an [OFFEN: Kontakt-E-Mail] zu richten, in einem elektronischen Format, das dauerhaft lesbar wiedergegeben werden kann. Mündlich erteilte Weisungen sind unverzüglich in derselben Form zu bestätigen.

(3) Behörden und Gerichte. Wird Stammkartl durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung oder Offenlegung verpflichtet, teilt Stammkartl dem Betrieb diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art 28 Abs 3 lit a DSGVO).

(4) Rechtswidrige Weisung. Ist Stammkartl der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder Österreichs verstößt, teilt Stammkartl dies dem Betrieb unverzüglich mit und darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen (Art 28 Abs 3 UAbs 2 DSGVO).

§ 4 Speicherdauer — Entscheidung des Betriebs

(1) Grundsatz. Wie lange die Daten gespeichert werden, ist ein wesentliches Mittel der Verarbeitung und steht dem Betrieb als Verantwortlichem zu. Stammkartl setzt die Entscheidung des Betriebs technisch um und trifft sie nicht an seiner Stelle.

(2) Vorgabewerte für Daten der Gäste. Soweit der Betrieb nichts anderes bestimmt:

(3) Vorgabewerte für Daten der Mitarbeiter.

Zum Auswertungsfenster. Auch das Fenster ist ein wesentliches Mittel und gehört dem Betrieb. Er kann ein kürzeres Fenster anweisen. Eine Einstellung dafür im Betriebskonto besteht nicht; Stammkartl setzt eine solche Weisung durch eine Änderung der Anwendung um und hält sie fest. Die zwölf Monate sind damit heute ein Vorgabewert, keine Festlegung von Stammkartl.

(4) Wahlrecht bei der Löschfrist. Der Betrieb kann für die Löschung inaktiver Gäste statt des Vorgabewerts von 24 Monaten 12 oder 36 Monate wählen. Eine Einstellung dafür im Betriebskonto ist noch nicht gebaut; bis dahin teilt der Betrieb seine Wahl formlos an [OFFEN: Kontakt-E-Mail] mit, Stammkartl setzt sie um und hält sie fest. Die Wahl gilt als Weisung nach § 3 Abs 1. Eine Einstellung „keine Löschung" wird nicht angeboten; sie wäre mit Art 5 Abs 1 lit e DSGVO nicht vereinbar. Fassung 1.0 kannte dieses Wahlrecht nicht. Der Entwurf zu dieser Fassung beschrieb es als bereits vorhandene Einstellung im Betriebskonto; das trifft nicht zu und steht hier deshalb als Zwischenlösung.

(5) Stand heute — ausdrücklicher Hinweis. Die automatische Löschung ist vorbereitet, aber noch nicht aktiv: Die dafür nötigen Änderungen an der Datenbank sind zum Zeitpunkt dieser Fassung nicht ausgeführt. Es findet derzeit keine automatische Löschung statt. Gelöscht wird heute ausschließlich auf Weisung des Betriebs und auf Verlangen einzelner Gäste. Die Werte in den Absätzen 2 und 3 sind damit heute vereinbarte Vorgaben für die Zukunft, keine Beschreibung des laufenden Systems. Stammkartl teilt jedem Betrieb den Tag der Aktivierung per E-Mail mit; ab diesem Tag gelten sie unmittelbar. [OFFEN: Tag der Aktivierung des automatischen Löschkonzepts]

(6) Nicht erfasste Bestände. Vom Löschkonzept nicht erfasst sind heute das Nachrichtenprotokoll, die Protokolle der Automationen – darunter die Aufzeichnung, warum eine Nachricht für einen bestimmten Gast zurückgehalten wurde – und die vom Betrieb hochgeladenen Bilddateien. Im Nachrichtenprotokoll kann bei ereignisgesteuerten Nachrichten der Vorname eines Gastes auch nach dessen Löschung stehen bleiben. Stammkartl benennt das hier offen und stellt es ab.

(7) Der Takt, an dem die Fristen hängen. Alle fristgebundenen Vorgänge – Warnung, Löschung, Aufräumen – laufen stündlich über den Zeitplandienst der Hostingplattform, auf der auch die Anwendung selbst läuft. Ein zusätzlicher Dienstleister ist dafür nicht eingebunden (Fußnote 3).

§ 5 Pflichten des Betriebs

(1) Der Betrieb ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für das Vorliegen einer Rechtsgrundlage und – bei Einwilligungen – für deren Freiwilligkeit, Bestimmtheit und Nachweisbarkeit.

(2) Der Betrieb informiert seine Gäste nach Art 13 DSGVO (Textbaustein: Anlage 3) und seine Mitarbeiter (Textbaustein: Anlage 4). Die Einbindung in die eigene Datenschutzinformation obliegt dem Betrieb.

(3) Inhaltliche Verantwortung für Nachrichten. Der Betrieb ist Absender im Sinne des § 174 TKG 2021 und allein verantwortlich für Inhalt, Häufigkeit und Zeitpunkt aller von ihm veranlassten Nachrichten. Er verpflichtet sich insbesondere, keine irreführenden und keine unangemessen häufigen Nachrichten zu versenden und Widersprüche und Abmeldungen zu beachten. Stammkartl unterstützt dies technisch – Ruhezeit von 22:00 bis 08:00 Uhr (Wien) für alle Betriebe, Mindestabstände zwischen automatischen Nachrichten, Hinweis bei hoher Versandfrequenz, Abmeldelink auf jeder ausgegebenen Karte – übernimmt die Pflicht aber nicht.

(4) Mindestalter 14 Jahre. Die Teilnahme am Treueprogramm setzt das vollendete 14. Lebensjahr voraus. Das entspricht der Grenze des § 4 Abs 4 DSG, bis zu der eine Einwilligung nur mit Zustimmung der Obsorgeberechtigten wirksam ist. Der Betrieb verpflichtet sich, dieses Mindestalter nicht zu unterlaufen – insbesondere nicht dadurch, dass er Karten für erkennbar jüngere Kinder anlegt oder anlegen lässt.

Was die Plattform dazu beitragen kann, und was nicht. Die Plattform prüft das Alter nicht und kann es nicht prüfen: Das Geburtsjahr wird bewusst nicht erhoben, nur Tag und Monat. Die Datenminimierung und die Alterskontrolle schließen einander hier aus; die Entscheidung ist zugunsten der Datenminimierung gefallen. Die Einhaltung des Mindestalters liegt damit beim Betrieb, der seine Gäste sieht.

(5) Der Betrieb darf über die Plattform keine Daten nach Art 9 und Art 10 DSGVO erheben.

(6) Zugangsdaten. Der Betrieb hält die ihm überlassenen Zugangsdaten – Chef-PIN, Mitarbeiter-PINs, Einladungs- und Zurücksetzlinks – geheim und gibt sie nur an Personen weiter, die sie für ihre Tätigkeit benötigen. Er sorgt dafür, dass Mitarbeiterkonten ausscheidender Personen unverzüglich gelöscht werden.

Was Stammkartl an dieser Stelle über sich selbst sagen muss. Diese Sorgfaltspflicht wäre unfair, ohne die eigene Schwachstelle zu benennen: Die Plattform gibt Chef-PIN sowie Einladungs- und Zurücksetzlinks heute im Klartext in einer Schnittstellenantwort aus, und sie werden in der Praxis über WhatsApp weitergereicht. Solange das so ist, kann der Betrieb die Geheimhaltung nur für seinen eigenen Bereich leisten. Stammkartl stellt es ab.

(7) Der Betrieb lädt keine Bilder hoch, an denen er nicht die erforderlichen Rechte hat, und keine Bilder, auf denen Personen ohne entsprechende Grundlage erkennbar sind. Die hochgeladenen Dateien liegen in einem öffentlich erreichbaren Speicher; sie sind nur über eine nicht veröffentlichte Adresse auffindbar, aber nicht zugriffsgeschützt.

(8) Wenn Sie regelmäßig Rundnachrichten senden. Senden Sie vier oder mehr Mal im Jahr ähnlich aufgebaute Rundnachrichten an Ihre Gäste, gilt das möglicherweise als regelmäßig erscheinendes elektronisches Medium. Dann müssen Sie in der Nachricht Ihren Namen und Ihre Anschrift angeben (§ 24 Abs 3 MedienG). Die Fußzeile, die Stammkartl setzt, nennt nur die Adresse der Plattform und genügt dafür nicht. Prüfen Sie das, bevor Sie regelmäßige Rundnachrichten starten.

§ 6 Pflichten von Stammkartl

(1) Vertraulichkeit (Art 28 Abs 3 lit b). Stammkartl verarbeitet die Daten vertraulich. Zum Zeitpunkt dieser Fassung hat ausschließlich der Auftragsverarbeiter selbst – Berkan Akdag als natürliche Person – administrativen Zugriff; eine Verschwiegenheitspflicht trifft ihn unmittelbar. Werden künftig weitere Personen mit der Verarbeitung betraut, verpflichtet Stammkartl sie vor dem ersten Zugriff schriftlich zur Vertraulichkeit; die Verpflichtung wirkt über das Ende ihrer Tätigkeit hinaus. Stammkartl dokumentiert diese Verpflichtungen und legt sie dem Betrieb auf Verlangen vor.

(2) Sicherheit der Verarbeitung (Art 28 Abs 3 lit c, Art 32). Stammkartl trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen. Sie dürfen im Lauf der Zeit angepasst werden, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt Stammkartl dem Betrieb mit.

(3) Unterstützung bei Betroffenenrechten (Art 28 Abs 3 lit e). Stammkartl unterstützt den Betrieb mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte nach Kapitel III DSGVO:

Geht ein Antrag einer betroffenen Person bei Stammkartl statt beim Betrieb ein, leitet Stammkartl ihn unverzüglich an den Betrieb weiter und beantwortet ihn nicht selbst.

(4) Unterstützung bei Art 32 bis 36 (Art 28 Abs 3 lit f). Stammkartl unterstützt den Betrieb unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation.

(5) Meldung von Verletzungen des Schutzes personenbezogener Daten. Stammkartl meldet dem Betrieb jede Verletzung des Schutzes personenbezogener Daten, die Daten der Gäste oder der Mitarbeiter betrifft, unverzüglich, spätestens jedoch innerhalb von 48 Stunden ab Kenntnis.

Keine Vorprüfung durch Stammkartl. Art 33 Abs 2 DSGVO kennt für den Auftragsverarbeiter keine Risikoschwelle. Stammkartl meldet unabhängig davon, ob die Verletzung aus seiner Sicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt, und hält eine Meldung nicht deshalb zurück, weil sie ihm geringfügig erscheint. Ob ein Risiko besteht, ob nach Art 33 Abs 1 DSGVO an die Aufsichtsbehörde zu melden und ob nach Art 34 DSGVO zu benachrichtigen ist, beurteilt allein der Betrieb.

Die Meldung enthält alle verfügbaren Angaben nach Art 33 Abs 3 DSGVO. Sind nicht alle Angaben binnen 48 Stunden verfügbar, meldet Stammkartl zunächst, was bekannt ist, und ergänzt unverzüglich. Die 48 Stunden ändern nichts an der Frist von 72 Stunden, binnen derer der Betrieb die Verletzung nach Art 33 Abs 1 DSGVO der Aufsichtsbehörde melden muss. Das ist eine Pflicht des Betriebs, keine Karenzzeit zu seinen Gunsten; die 48 Stunden sollen ihm innerhalb dieser Frist Zeit zum Handeln verschaffen. Fassung 1.1 im Entwurf sprach von einer Frist, die dem Betrieb „zusteht". Das kehrte Art 33 Abs 1 DSGVO um und ist hier berichtigt.

(6) Verzeichnis der Verarbeitungstätigkeiten. Stammkartl führt ein Verzeichnis aller Kategorien von Verarbeitungen, die im Auftrag von Verantwortlichen durchgeführt werden (Art 30 Abs 2 DSGVO), und legt es dem Betrieb und der Aufsichtsbehörde auf Verlangen vor. Der für den Betrieb maßgebliche Auszug ist Anlage 1.

(7) Nachweis, Überprüfungen und Inspektionen (Art 28 Abs 3 lit h). Stammkartl stellt dem Betrieb alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Betrieb oder einen von diesem beauftragten Prüfer; Stammkartl trägt dazu bei. Der Nachweis erfolgt vorrangig durch Vorlage dieser Vereinbarung samt Anlagen, der Nachweisdokumente der Unterauftragsverarbeiter und aktueller eigener Prüfberichte. Reicht das nicht aus, sind Überprüfungen vor Ort mit einer Ankündigungsfrist von 14 Tagen und höchstens einmal jährlich möglich; bei einem konkreten Anlass – insbesondere nach einer Verletzung des Schutzes personenbezogener Daten – auch kurzfristig und häufiger. Der beauftragte Prüfer ist zur Verschwiegenheit zu verpflichten. Er soll kein Wettbewerber von Stammkartl sein; steht dem Betrieb kein anderer geeigneter Prüfer zur Verfügung, darf ihm die Prüfung daran nicht scheitern.

(8) Ort der Verarbeitung. Datenbank und Anwendungslogik werden in der Europäischen Union betrieben (Datenbank in der EU, Serverfunktionen in Frankfurt). Die vorgelagerte Routing-Schicht und das Auslieferungsnetz des Hostinganbieters arbeiten regionsübergreifend; auch sie ist Anwendungslogik, und sie greift auf praktisch jede Anfrage zu. Übermittlungen in Drittländer erfolgen ausschließlich im Rahmen von § 9. Der Entwurf zu dieser Fassung sagte nur „Datenbank und Anwendungslogik werden in der Europäischen Union betrieben". Dieser Satz widersprach § 7 Abs 2 und § 9 Abs 3 derselben Fassung und ist hier vollständig gefasst.

(9) Kein Datenschutzbeauftragter bei Stammkartl. Bei Stammkartl ist kein Datenschutzbeauftragter bestellt. Das ist eine geprüfte Entscheidung, keine Auslassung: Stammkartl ist keine Behörde (Art 37 Abs 1 lit a DSGVO), die Kerntätigkeit besteht nicht in einer umfangreichen regelmäßigen und systematischen Überwachung betroffener Personen (lit b), und es werden keine besonderen Kategorien personenbezogener Daten umfangreich verarbeitet (lit c). Ansprechpartner in allen Datenschutzfragen ist [OFFEN: Kontakt-E-Mail]. Bei Wachstum wird die Frage erneut geprüft.

§ 7 Unterauftragsverarbeiter

(1) Allgemeine Genehmigung und was Stammkartl zusagt. Der Betrieb erteilt hiermit seine allgemeine schriftliche Genehmigung zum Einsatz der in Absatz 2 genannten Unterauftragsverarbeiter (Art 28 Abs 2 Satz 2 DSGVO).

Stammkartl setzt einen Unterauftragsverarbeiter nur ein, wenn mit ihm ein Vertrag nach Art 28 Abs 4 DSGVO besteht, der dieselben Datenschutzpflichten auferlegt wie diese Vereinbarung. Stammkartl haftet gegenüber dem Betrieb für deren Einhaltung.

Das ist eine Verpflichtung, keine Bestandsmeldung. Welche Nachweise heute vorliegen und welche noch zu beschaffen sind, weist die Spalte „Nachweis" in Absatz 2 aus. Für die dort mit OFFEN gekennzeichneten Anbieter liegt der Nachweis zum Zeitpunkt dieser Fassung nicht vor. Diese Fassung wird erst freigegeben, wenn er vorliegt. Fassung 1.0 behauptete im Indikativ, mit jedem Unterauftragsverarbeiter bestehe ein Vertrag, und nannte dafür sechs Anbieter. Zwei davon – Apple und Google – sind gar nicht vertragsfähig (§ 8), und für keinen der übrigen war ein Nachweis abgelegt. Das wird hiermit berichtigt.

(2) Liste der Unterauftragsverarbeiter.

Zwei Begriffe vorweg. Standarddatenschutzklauseln sind ein von der EU-Kommission beschlossener Vertragstext, mit dem sich ein Anbieter außerhalb Europas auf europäisches Schutzniveau verpflichtet; Modul 3 ist die Fassung für die Weitergabe von einem Auftragsverarbeiter an einen weiteren. Ein Angemessenheitsbeschluss stellt dagegen ein ganzes Land gleich. Für Singapur gibt es ihn nicht – dort sind die Klauseln die einzige Grundlage.

Mehr sind es nicht. Diese vier Anbieter sind die vollständige Liste. Insbesondere ist kein externer Dienst für den Zeitplan der automatischen Läufe eingebunden: Der stündliche Takt läuft über den Zeitplandienst derselben Hostingplattform, auf der auch die Anwendung läuft.

(3) Auswahlkriterien. Stammkartl setzt einen Unterauftragsverarbeiter nur ein, wenn dieser hinreichende Garantien dafür bietet, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung der DSGVO entspricht. Stammkartl prüft und dokumentiert vor jeder Beauftragung und bei jedem Wechsel:

• das Fachwissen des Anbieters für die ihm übertragene Aufgabe,
• seine Zuverlässigkeit, insbesondere seine Erfahrung, seine Marktstellung und seine bisherige Vorfallsgeschichte,
• seine Ressourcen, also ob er tatsächlich in der Lage ist, die Pflichten aus Art 28 DSGVO zu erfüllen,
• seine technischen und organisatorischen Maßnahmen anhand eines vorgelegten Nachweises,
• den Ort der Verarbeitung und den Transfermechanismus bei einem Drittlandbezug,
• die Verfügbarkeit eines Art-28-Vertrags, der dieselben Pflichten weitergibt.

An diese Kriterien ist Stammkartl auch bei künftigen Wechseln gebunden.

(4) Vorabinformation. Stammkartl informiert den Betrieb mindestens 30 Tage vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters aktiv per E-Mail an die im Betriebskonto hinterlegte Adresse. Eine stille Aktualisierung einer Webseite genügt nicht und wird nicht als Information vereinbart. Die Mitteilung nennt Namen und Rechtsform, Sitz, Ort der Verarbeitung, die künftig zu erfüllende Aufgabe, die betroffenen Datenkategorien, den Nachweis der Sicherheitsmaßnahmen sowie den Transfermechanismus bei einem Drittlandbezug.

(5) Widerspruch und was danach geschieht.

1. Der Betrieb kann der Änderung innerhalb von 30 Tagen ab Zugang der Mitteilung aus einem datenschutzrechtlichen Grund widersprechen; der Grund ist zu benennen.
2. Stammkartl antwortet innerhalb von 14 Tagen nach Zugang des Widerspruchs und legt dar, wie dem Einwand abgeholfen werden kann – etwa durch zusätzliche Maßnahmen, einen anderen Verarbeitungsort oder einen anderen Anbieter.
3. Solange der Widerspruch nicht ausgeräumt ist, wird der betroffene Unterauftragsverarbeiter für die Daten dieses Betriebs nicht eingesetzt – soweit das möglich ist. Wo es nicht möglich ist, steht das hier und nicht im Kleingedruckten:

4. Ist die Aussetzung nach Ziffer 3 nicht möglich, kann der Betrieb diese Vereinbarung und die Nutzung der Plattform sofort mit einer Frist von 30 Tagen zum Monatsende beenden, ohne eine Einigung abzuwarten. § 10 gilt.
5. Ist sie möglich, kommt aber innerhalb von 60 Tagen ab Zugang des Widerspruchs keine Einigung zustande, steht dasselbe Beendigungsrecht beiden Parteien zu.
6. Dem Betrieb entstehen durch einen Widerspruch keine Kosten und keine Nachteile für die Restlaufzeit.

(6) Kein Unterauftragsverarbeiter darf ohne gesonderte Genehmigung weitere Unterauftragsverarbeiter für die Verarbeitung im Auftrag des Betriebs einsetzen, die nicht denselben Datenschutzpflichten unterliegen.

(7) Nicht als Unterauftragsverarbeitung gelten reine Telekommunikationsleistungen sowie Wartungs- und Prüfleistungen, bei denen kein Zugriff auf Daten der Gäste oder Mitarbeiter erfolgt oder ein solcher nur beiläufig möglich wäre; für diese Fälle gelten Verschwiegenheitsverpflichtungen.

§ 8 Empfänger mit eigener Verantwortlichkeit

Die in diesem Paragrafen genannten Stellen sind keine Unterauftragsverarbeiter. Sie handeln nicht weisungsgebunden, sondern bestimmen über Zwecke und Mittel ihrer Verarbeitung selbst. Ein Auftragsverarbeitungsvertrag ist mit ihnen für diese Leistungen nicht erhältlich. Fassung 1.0 führte Apple und Google als Unterauftragsverarbeiter. Das war unzutreffend und wird hiermit berichtigt.

(1) Apple — Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland.

a) Was tatsächlich geschieht. Der Apple-Wallet-Pass wird auf den Servern von Stammkartl erzeugt und signiert und unmittelbar an das Gerät des Gastes ausgeliefert. Ein Netzaufruf an Apple findet dabei nicht statt. Fügt der Gast die Karte zu Wallet hinzu, übermittelt sein eigenes Gerät die auf der Karte sichtbaren Angaben an Apple. Apple verknüpft diese Angaben mit dem Apple Account des Gastes und speichert sie, solange die Karte in Wallet liegt. Für Aktualisierungen erhält Apple ein Gerätetoken, die Kennung des Kartentyps (Pass Type ID) und den Zeitpunkt; der Inhalt der Push-Nachricht ist leer – Apple erfährt daraus weder den Namen noch den Stempelstand.

b) Rolle. Apple räumt sich an Kartendaten eigene Zwecke ein und verweist den Gast für deren Nutzung auf die Datenschutzerklärung des Ausstellers. Eine Art-28-Klausel hat Apple für Wallet-Pässe und den Push-Dienst nicht vorgesehen. Apple ist damit eigener Verantwortlicher; ein Auftragsverarbeitungsvertrag ist nicht möglich.

c) Spannung, die hier offen benannt wird. Gegenüber Apple ist Stammkartl der Aussteller der Karte. Die Pass Type ID und das Signaturzertifikat gehören Stammkartl und dürfen nach Attachment 5 Ziffer 1 des Apple Developer Program License Agreement nicht an Dritte weitergegeben werden. Datenschutzrechtlich ist Stammkartl gegenüber dem Betrieb jedoch Auftragsverarbeiter. Daraus folgt: Der Betrieb kann die Beziehung zu Apple nicht selbst steuern. Er kann weder eigene Bedingungen mit Apple vereinbaren noch die Rolle des Ausstellers übernehmen noch den Aussteller wechseln, ohne die Plattform zu verlassen. Der Betrieb nimmt dies zur Kenntnis. Stammkartl weist ausdrücklich darauf hin, dass dieser Umstand in der Information der Gäste nach Art 13 DSGVO zu berücksichtigen ist; Anlage 3 enthält dafür einen Textbaustein.

(2) Google — Google Ireland Limited und Google LLC.

a) Was zum einzelnen Gast übermittelt wird. Beim Erzeugen eines Google-Wallet-Objekts übermittelt Stammkartl Vorname, Stempelstand, Prämienbezeichnung, Kartenname und Objektkennung. Bei jeder Nachricht übermittelt Stammkartl zusätzlich den vollständigen, bereits personalisierten Nachrichtentext im Klartext – einschließlich des Vornamens.

b) Was unabhängig vom einzelnen Gast übermittelt wird. Die Standortangaben des Betriebs gehen nicht mit dem Objekt des einzelnen Gastes, sondern einmalig mit der Kartenvorlage (Klasse) an Google. Die Klasse gehört dem Betrieb insgesamt; dabei werden keine Daten von Gästen übermittelt. Der Entwurf zu dieser Fassung zählte die Standortangaben unter den Daten des einzelnen Objekts auf. Das ist hier berichtigt, weil es den Unterschied verwischt: Der Standort des Betriebs ist kein personenbezogenes Datum des Gastes.

c) Ausdrücklicher Hinweis. Die Übermittlung nach Buchstabe a geschieht derzeit für jede Karte, auch für Gäste, die ausschließlich Apple Wallet benutzen und nie ein Google-Objekt gespeichert haben: Die Plattform speichert heute kein Merkmal dafür, ob ein Objekt gespeichert wurde, und ruft die Google-Schnittstelle deshalb für alle Empfänger auf. Google antwortet in diesen Fällen mit einem Fehler – der personalisierte Text wurde zu diesem Zeitpunkt aber bereits übertragen. Stammkartl stellt das ab, indem das Speichern eines Objekts künftig festgehalten und die Übermittlung darauf beschränkt wird.

d) Rolle und Drittland. Der Google Cloud Data Processing Addendum erfasst Google Wallet nachweislich nicht; ein Auftragsverarbeitungsvertrag für Google Wallet ist nicht erhältlich. Google ist eigener Verantwortlicher. Eine Verarbeitung in den USA findet statt; Grundlage sind der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, unter dem Google LLC zertifiziert ist, ergänzend die Standarddatenschutzklauseln.

e) Löschung. Siehe § 10 Abs 4: Google bietet keine Löschung von Wallet-Objekten an.

(3) Push-Dienste der Browser (Apple, Google, Mozilla). Hat ein Gast in seinem Browser Benachrichtigungen zugelassen, läuft der Rückfallweg über den Push-Dienst, den sein Browser bestimmt. Stammkartl kann diesen Dienst weder auswählen noch austauschen. Der Inhalt der Nachricht ist nach RFC 8291 verschlüsselt und für den Dienst nicht lesbar; sichtbar bleiben Zeitpunkt, Größe und Endpunktadresse. Der Standard verlangt zusätzlich, dass bei jedem Versand eine Kontaktadresse des Absenders mitgesendet wird. Hinterlegt ist eine E-Mail-Adresse des Auftragsverarbeiters. Daten der Gäste oder der Mitarbeiter sind darin nicht enthalten.

§ 9 Übermittlung in Drittländer

(1) Abweichung vom WKO-Muster und was wirklich gilt. Das Mustervertragsformular der Wirtschaftskammern sieht vor, dass die Verarbeitung ausschließlich innerhalb Österreichs stattfindet, und empfiehlt, auch Unterauftragsverarbeiter in Österreich zu wählen. Diese Vereinbarung weicht davon bewusst ab, weil die Plattform nachweislich Dienste außerhalb Österreichs einsetzt.

Für Übermittlungen gilt:

• Innerhalb der Union und des EWR bedarf es keiner zusätzlichen Garantie nach Kapitel V DSGVO.
• Für Übermittlungen in Drittstaaten gelten die Standarddatenschutzklauseln nach Durchführungsbeschluss (EU) 2021/914.

Fassung 1.0 und der Entwurf zu dieser Fassung sagten, innerhalb der Union gälten die Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/915. Das ist sachlich falsch: 2021/915 enthält ein frei wählbares Mustervertragsformular für den Auftragsverarbeitungsvertrag selbst und sagt über den Ort der Verarbeitung nichts. Diese Vereinbarung übernimmt dieses Muster nicht; sie ist frei formuliert und erfüllt die Anforderungen des Art 28 Abs 3 DSGVO unmittelbar. Die Zuordnung Buchstabe für Buchstabe steht in Anlage 5.

(2) Transfermechanismus je Empfänger.

Kopie der Garantien. Eine Kopie der Standarddatenschutzklauseln, auf die sich diese Übermittlungen stützen, stellt Stammkartl dem Betrieb auf formlose Anforderung an [OFFEN: Kontakt-E-Mail] bereit (Art 46 Abs 1 DSGVO).

(3) „Speicherung in der EU" heißt nicht, dass niemand von außen herankommt. Die Anbieter dieser Server sitzen in Singapur und in den USA. Ihre Techniker können zu Wartungs- und Unterstützungszwecken auf die Systeme zugreifen, auch aus ihrem Heimatland. Schon diese Möglichkeit gilt rechtlich als Datenübermittlung in ein Drittland. Deshalb sind auch für diese Fälle die Standarddatenschutzklauseln vereinbart.

(4) Stammkartl übermittelt Daten nur in ein Drittland, soweit es diese Vereinbarung vorsieht oder der Betrieb es ausdrücklich anweist.

§ 10 Löschung oder Rückgabe nach Beendigung

(1) Wahlrecht des Betriebs (Art 28 Abs 3 lit g DSGVO). Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht Stammkartl alle Daten der Gäste und der Mitarbeiter oder gibt sie zurück — die Wahl zwischen Löschung und Rückgabe trifft der Betrieb. Bei Rückgabe bestimmt der Betrieb das Format; Stammkartl liefert strukturiert, gängig und maschinenlesbar. Der Betrieb teilt seine Wahl innerhalb von 30 Tagen nach Beendigung an [OFFEN: Kontakt-E-Mail] mit. Stammkartl führt die gewählte Löschung oder Rückgabe innerhalb von 30 Tagen nach Zugang der Wahl aus. Fassung 1.0 sah nur eine Löschung auf Anforderung vor und kannte dieses Wahlrecht nicht. Der Entwurf zu dieser Fassung führte das Wahlrecht ein, nannte aber keine Frist mehr, binnen derer Stammkartl handelt; sie ist hier wieder aufgenommen.

(2) Wenn der Betrieb nicht antwortet.

Bitte diesen Absatz lesen — er kann Ihren gesamten Kundenstamm betreffen.

Trifft der Betrieb keine Wahl, geht Stammkartl so vor:

1. Erste Erinnerung per E-Mail nach Ablauf der 30 Tage aus Absatz 1.
2. Bleibt sie unbeantwortet, stellt Stammkartl einen vollständigen Export bereit und hält ihn 30 Tage zum Abruf bereit.
3. Zweite Erinnerung unmittelbar vor Ablauf dieser 30 Tage, mit ausdrücklichem Hinweis auf die bevorstehende Löschung.
4. Verstreicht auch diese Frist ohne Antwort, löscht Stammkartl.

Die Löschung ist der Vorgabewert, weil eine Fortspeicherung ohne Rechtsgrundlage der schwerere Eingriff wäre. Der Entwurf zu dieser Fassung sah eine Erinnerung und ein Abruffenster von 14 Tagen vor. Zwei verpasste E-Mails hätten einem Betrieb unwiederbringlich seinen Kundenstamm gekostet. Deshalb jetzt zwei Erinnerungen, davon eine unmittelbar vor der Löschung, und ein Abruffenster von 30 Tagen.

(3) Kopien. Vorhandene Kopien werden gelöscht, es sei denn, das Recht der Union oder Österreichs verpflichtet zur Speicherung.

(4) Google-Wallet-Objekte — was Stammkartl nicht zusagen kann. Google bietet keine Möglichkeit, Wallet-Objekte zu löschen. Stammkartl kann ein Objekt nur auf den Zustand „abgelaufen" setzen. Der zuvor übermittelte Vorname, der Stempelstand und die am Objekt gespeicherten Nachrichtentexte bleiben bei Google gespeichert; wie lange, bestimmt Google. Stammkartl sagt deshalb keine vollständige Löschung bei Google zu. Stammkartl wird den Vornamen vor dem Statuswechsel durch einen Platzhalter ersetzen, damit am verbleibenden Objekt kein Name steht. Fassung 1.0 sagte eine Löschung „einschließlich der Google-Wallet-Objekte" zu. Das war technisch nicht möglich und wird hiermit berichtigt.

(5) Apple-Wallet-Pässe. Ein gelöschter Pass wird bei der nächsten Aktualisierung vom Server nicht mehr ausgeliefert und verfällt dadurch auf dem Gerät. Die Angaben, die das Gerät des Gastes beim Hinzufügen an Apple übermittelt hat, liegen bei Apple und unterliegen Apples eigener Verantwortlichkeit (§ 8 Abs 1).

(6) Aufbewahrung von Nachweisen. Von der Löschung ausgenommen sind die Nachweise über den Abschluss dieser Vereinbarung und über erteilte Einwilligungen. Stammkartl bewahrt sie für die Laufzeit dieser Vereinbarung zuzüglich drei Jahren auf. Maßgeblich ist allein die dreijährige Verjährung von Schadenersatzansprüchen (Art 17 Abs 3 lit e DSGVO i. V. m. § 1489 ABGB); die Aufbewahrung dient der Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen. Stammkartl stützt diese Frist nicht auf handels- oder abgabenrechtliche Aufbewahrungspflichten – die greifen bei einer Einzelperson ohne Entgelt nicht (Fußnote 2).

(7) Export während der Laufzeit. Der Betrieb kann jederzeit einen Export der Daten seiner Gäste verlangen; Stammkartl stellt ihn innerhalb von 14 Tagen strukturiert, gängig und maschinenlesbar bereit (§ 6 Abs 3).

(8) Bestätigung. Löschung oder Rückgabe bestätigt Stammkartl auf Verlangen in einem elektronischen Format, das dauerhaft lesbar wiedergegeben werden kann.

§ 11 Laufzeit und Beendigung dieser Vereinbarung

(1) Diese Vereinbarung beginnt mit der Zustimmung des Betriebs. Sie ist auf unbestimmte Zeit geschlossen und an den Bestand des Nutzungsverhältnisses gekoppelt: Sie läuft, solange Stammkartl personenbezogene Daten im Auftrag des Betriebs verarbeitet.

(2) Sie endet mit der Beendigung der Nutzung der Plattform. Eine gesonderte Kündigung nur dieser Vereinbarung bei fortbestehender Nutzung ist ausgeschlossen, weil die Verarbeitung ohne sie unzulässig wäre.

(3) Ein Recht zur außerordentlichen Beendigung aus wichtigem Grund bleibt beiden Parteien unbenommen. Ein wichtiger Grund liegt für den Betrieb insbesondere vor, wenn Stammkartl eine wesentliche Pflicht aus dieser Vereinbarung trotz Aufforderung und angemessener Nachfrist verletzt oder wenn eine Aufsichtsbehörde die Verarbeitung untersagt.

(4) Die Pflichten aus § 6 Abs 1 (Vertraulichkeit) und § 10 (Löschung, Rückgabe, Nachweisaufbewahrung) gelten über das Ende hinaus fort.

§ 12 Haftung

(1) Es gelten die gesetzlichen Bestimmungen, insbesondere Art 82 DSGVO.

(2) Im Innenverhältnis haftet jede Partei für Schäden, die aus der Verletzung der ihr nach dieser Vereinbarung oder nach der DSGVO obliegenden Pflichten entstehen. Wird eine Partei von einer betroffenen Person oder einer Aufsichtsbehörde in Anspruch genommen, obwohl der Verstoß aus dem Pflichtenkreis der anderen Partei stammt, hat sie gegen diese einen Ausgleichsanspruch nach Art 82 Abs 5 DSGVO.

(3) Eine Beschränkung oder ein Ausschluss der Haftung gegenüber betroffenen Personen ist mit dieser Vereinbarung nicht verbunden und wäre unwirksam. Haftungsbeschränkungen aus den Nutzungsbedingungen gelten nicht für Ansprüche nach Art 82 DSGVO.

§ 13 Fassungen und Änderungen dieser Vereinbarung

(1) Form. Änderungen und Ergänzungen dieser Vereinbarung erfolgen in einem elektronischen Format, das dauerhaft lesbar wiedergegeben werden kann und die Person des Erklärenden erkennen lässt (Art 28 Abs 9 DSGVO). Eine Schriftform im Sinne des § 886 ABGB wird ausdrücklich nicht vereinbart; eine eigenhändige Unterschrift oder eine qualifizierte elektronische Signatur ist nicht erforderlich. Der Klickabschluss im angemeldeten Betriebskonto und eine E-Mail an die im Betriebskonto hinterlegte Adresse genügen. Fassung 1.0 verlangte „Textform". Dieser Begriff stammt aus dem deutschen Recht und hat in Österreich keine Entsprechung; er hätte versehentlich eine Unterschriftspflicht auslösen können. Deshalb steht jetzt ausgeschrieben, was gemeint ist (ausführliche Begründung: Fußnote 1).

(2) Fassungsnummer, Archiv und Nachweis. Jede Fassung trägt eine Nummer und ein Gültigkeitsdatum.

• Der Wortlaut jeder Fassung bleibt dauerhaft abrufbar. Für jede Fassung liegt eine eigene, unveränderliche Datei im Archiv; sie darf nicht entfernt werden, solange auch nur ein Betrieb auf sie zeigt. Fassung 1.0 ist damit weiterhin vollständig abrufbar und ausdruckbar.
• Der Nachweis, dass ein bestimmter Betrieb einer bestimmten Fassung zugestimmt hat, ist gebaut, aber noch nicht aktiv. Die dafür nötigen Änderungen an der Datenbank – die Nachweisfelder und das Annahmeprotokoll – sind zum Zeitpunkt dieser Fassung nicht ausgeführt. Solange das so ist, wird die Annahme nur als aktueller Stand geführt und beim Wechsel auf eine neue Fassung überschrieben: Stimmt ein Betrieb der Fassung 1.1 zu, geht der gespeicherte Nachweis seiner Zustimmung zu 1.0 verloren. Bis zur Aktivierung stellt Stammkartl die angenommene Fassung samt Betriebsangaben auf Anfrage an [OFFEN: Kontakt-E-Mail] innerhalb von 14 Tagen bereit. [OFFEN: Tag der Ausführung der Datenbankänderungen für Nachweisfelder und Annahmeprotokoll]
• Ist das Annahmeprotokoll aktiv, wird zu jeder Annahme zusätzlich eine Prüfsumme des angenommenen Textes festgehalten. Sie belegt, dass das vorgelegte Dokument seit der Zustimmung nicht verändert wurde.

Der Entwurf zu dieser Fassung sagte ohne jeden Vorbehalt zu, der Betrieb könne jederzeit genau die Fassung abrufen, der er zugestimmt hat. Für den Wortlaut stimmt das; für den Nachweis der eigenen Zustimmung stimmt es heute nicht. Der Unterschied steht jetzt da.

(3) Anpassung durch Stammkartl. Stammkartl kann diese Vereinbarung mit einer Frist von 30 Tagen anpassen, soweit das zur Anpassung an eine geänderte Rechtslage oder an Vorgaben einer Aufsichtsbehörde erforderlich ist. Die Mitteilung erfolgt per E-Mail an die im Betriebskonto hinterlegte Adresse und benennt die Änderungen. Der Betrieb kann der Änderung innerhalb der Frist widersprechen und die Nutzung beenden; § 10 gilt. Eine Änderung, die die Pflichten von Stammkartl gegenüber dem Betrieb verringert, bedarf dessen ausdrücklicher Zustimmung.

Für einen Wechsel von Unterauftragsverarbeitern gilt dieser Absatz nicht – dafür und nur dafür gelten § 7 Abs 4 und 5 mit eigener Vorabinformation, Widerspruchsrecht und Beendigungsrecht. Der Entwurf zu dieser Fassung nannte den Wechsel von Unterauftragsverarbeitern als dritten Anpassungsgrund. Damit hätte Stammkartl das Verfahren aus § 7 Abs 5 aus eigenem Entschluss umgehen können. Der Grund ist gestrichen.

§ 14 Schlussbestimmungen

(1) Diese Vereinbarung geht den Nutzungsbedingungen und allen sonstigen Abreden zwischen den Parteien vor, soweit sie Datenschutz betrifft. Außerhalb des Datenschutzes bleiben die Nutzungsbedingungen unberührt.

(2) Ist oder wird eine Bestimmung unwirksam, bleibt die Wirksamkeit der übrigen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen und datenschutzrechtlichen Zweck am nächsten kommt.

(3) Es gilt österreichisches Recht unter Ausschluss seiner Verweisungsnormen. Zwingende Bestimmungen der DSGVO bleiben unberührt.

(4) Gerichtsstand. Es gelten die gesetzlichen Gerichtsstände. Eine abweichende ausschließliche Zuständigkeit wird nicht vereinbart. Fassung 1.0 und der Entwurf zu dieser Fassung erklärten das Gericht in Graz für ausschließlich zuständig. Eine solche Klausel ist unter Unternehmern zwar zulässig, steht hier aber ungekennzeichnet am Ende eines Vertrags, der durch einen Klick angenommen wird – für einen Betrieb in Vorarlberg oder Wien ein handfester Nachteil, mit dem er in einem Datenschutzanhang nicht rechnen muss (§ 864a ABGB). Sie ist deshalb gestrichen. Praktisch ändert sich für Stammkartl wenig: Für Klagen gegen Stammkartl ist ohnehin das Gericht am Sitz von Stammkartl allgemein zuständig.

Das Recht betroffener Personen, sich nach Art 77 DSGVO bei einer Aufsichtsbehörde zu beschweren oder nach Art 79 DSGVO Rechtsbehelfe zu ergreifen, bleibt unberührt.

Zustimmung

Die Zustimmung zu dieser Vereinbarung erfolgt elektronisch im angemeldeten Betriebskonto. Festgehalten werden Zeitpunkt, Fassungsnummer, Name der zustimmenden Person und die Kennung des Betriebskontos. Diese Angaben treten nach Art 28 Abs 9 DSGVO an die Stelle von Ort, Datum und Unterschrift.

Fassung 1.1.3 · gültig ab [OFFEN: Tag der Freigabe dieser Fassung]

Fußnoten

Fußnote 1 — warum „Textform" ersetzt wurde (zu § 13 Abs 1). „Textform" ist ein Begriff des § 126b des deutschen BGB; das österreichische Recht kennt ihn nicht. Liest ein Gericht darin eine gewillkürte Schriftformabrede, greift § 886 ABGB, und § 4 Abs 1 Signatur- und Vertrauensdienstegesetz verlangt für dessen elektronische Erfüllung die qualifizierte elektronische Signatur – also genau das, was Art 28 Abs 9 DSGVO gerade nicht fordert. Die Klausel hätte Stammkartl eine Signaturpflicht selbst herbeigeschrieben. Deshalb ist in dieser Fassung ausgeschrieben, was gemeint ist, und zusätzlich ausdrücklich klargestellt, dass § 886 ABGB nicht vereinbart wird.

Fußnote 2 — warum die Aufbewahrung auf § 1489 ABGB gestützt wird (zu § 10 Abs 6). Eine Stützung auf § 212 UGB (sieben Jahre) scheidet aus: Die Norm steht im Dritten Buch, und § 189 UGB beschränkt dessen Anwendung auf Kapitalgesellschaften, bestimmte Personengesellschaften und Unternehmer oberhalb der Umsatzschwelle. Eine Einzelperson im unentgeltlichen Produkttest fällt unter keine davon. Eine Stützung auf § 132 BAO scheidet ebenfalls aus: Ein Auftragsverarbeitungsvertrag ist kein Buchungsbeleg, und ohne Entgelt lässt sich eine Bedeutung für die Abgabenerhebung nicht darlegen. Bleibt die dreijährige Verjährung von Schadenersatzansprüchen ab Kenntnis von Schaden und Schädiger nach § 1489 ABGB, in Verbindung mit Art 17 Abs 3 lit e DSGVO.

Fußnote 3 — die Angaben zum Hostinganbieter setzen den Tarif Pro voraus (zu § 4 Abs 7, § 7 Abs 2 und § 10 Abs 3). Drei Angaben dieser Vereinbarung hängen am Tarif des Hostinganbieters: die Geltung seines Auftragsverarbeitungsvertrags (er gilt nach seinem Wortlaut nur für Pro und Enterprise), die Protokollaufbewahrung von einem Tag und der stündliche Zeitplan, an dem die Fristen aus § 4 hängen. Diese Fassung geht vom Tarif Pro aus. Trifft das zum Zeitpunkt der Freigabe nicht zu, sind alle drei Angaben unzutreffend und die Fassung darf nicht freigegeben werden.

Anlage 1 · Verzeichnis der Verarbeitungstätigkeiten — Auszug für den Betrieb

Der Betrieb braucht für sein eigenes Verzeichnis nach Art 30 Abs 1 DSGVO die folgenden Angaben. Sie können unverändert übernommen werden; die mit (vom Betrieb auszufüllen) gekennzeichneten Felder kennt nur der Betrieb selbst.

Anlage 2 · Technische und organisatorische Maßnahmen (Art 32 DSGVO)

Stand: 2. Oktober 2026, Code-Analyse auf dem Entwicklungsstand feature/abgrenzung-redesign. Beschrieben ist, was im Code belegt ist — nicht, was geplant ist. Wo eine Maßnahme fehlt oder unvollständig ist, steht das hier.

A · Vertraulichkeit

Zutrittskontrolle. Stammkartl betreibt keine eigenen Server. Die Verarbeitung findet in den Rechenzentren der Unterauftragsverarbeiter statt (Datenbank in der Europäischen Union, Serverfunktionen in Frankfurt). Der physische Zutrittsschutz liegt dort — in den Rechenzentren von Amazon Web Services, auf deren Infrastruktur sowohl Supabase als auch Vercel laufen. Beide Anbieter geben für sich SOC 2 Type 2 und ISO 27001 an (Herstellerangaben, abgerufen am 2. Oktober 2026). Stammkartl hat keinen dieser Berichte eingesehen: Supabase stellt ihn erst ab dem Tarif Team bereit, Vercel auf Anfrage. Diese Anlage gibt deshalb wieder, was die Anbieter sagen, und behauptet keine eigene Prüfung. [OFFEN: Die Prüfberichte beschaffen und archivieren — bei Vercel auf Anfrage, bei Supabase erst ab dem Tarif Team]

Zugangskontrolle.

• Zugang zum Betriebskonto über E-Mail-Anmeldung oder einen sechsstelligen Chef-PIN; Mitarbeiter über einen je Betrieb eindeutigen PIN.
• PINs werden als bcrypt-Prüfwert gespeichert und sind nicht rückrechenbar.
• Offen benannt (1): Vor der Umstellung vergebene, vierstellige Mitarbeiter-PINs bleiben anmeldefähig, bis sie ersetzt werden.
• Offen benannt (2): Der Prüfpfad der Chef-PIN enthält noch einen Rückfall auf einen unverschlüsselt hinterlegten Wert. Er greift, sobald ein gespeicherter Wert kein bcrypt-Prüfwert ist.
• Beides wird entfernt. (Der Entwurf zu dieser Fassung hatte die beiden Befunde zu einem Satz verschmolzen; sie hängen nicht zusammen.)
• Sitzungen werden als HMAC-signierte httpOnly-Cookies geführt.
• Anmeldeschutz in zwei Dimensionen: 5 Fehlversuche je Anschluss und Konto, 20 Fehlversuche je Konto über alle Anschlüsse. Sperrdauer: 5 Minuten für Chef- und Mitarbeiterzugang, 15 Minuten für den Plattformzugang. Ein erfolgreicher Anmeldevorgang löscht beide Zähler. (Fassung 1.0 nannte durchgehend 15 Minuten; das trifft nur noch auf den Plattformzugang zu.)

Zugriffskontrolle und Mandantentrennung. Der öffentliche Datenbankzugang ist durch Row-Level-Security vollständig gesperrt; ein Zugriff mit dem öffentlichen Schlüssel liefert auf den schützenswerten Tabellen nichts und darf nichts schreiben. Die Trennung der Betriebe untereinander wird in der Anwendungsschicht hergestellt: Jede Schnittstelle filtert verpflichtend auf die Kennung des Betriebs; automatisierte Tests prüfen das bei jedem Lauf (tests/mandanten/trennung.test.ts, tests/mandanten/filterWaechter.test.ts, tests/mandanten/auskunft.test.ts). Der Datenbankschlüssel mit erweiterten Rechten wird ausschließlich serverseitig verwendet und erreicht den Browser nie. Fassung 1.0 beschrieb die Trennung als „Row Level Security auf allen Tabellen"; das beschreibt den Bau nicht zutreffend und wird hiermit präzisiert.

Trennungskontrolle. Jeder Datensatz trägt die Kennung des Betriebs. Betriebsübergreifende Abfragen über Gäste sind in der Anwendung nicht vorgesehen.

Pseudonymisierung und Datensparsamkeit. Karten werden über Zufalls-Token adressiert (16 Zufallsbytes). Vom Geburtstag werden nur Tag und Monat gespeichert, das Jahr wird fest auf 2000 gesetzt – ein Alter ist daraus nicht ableitbar. Von Gästen werden weder Nachname noch E-Mail-Adresse noch Telefonnummer erhoben. Die IP-Adresse bei der Beitrittsbegrenzung wird gekürzt gespeichert. Offen benannt: Im Anmeldepfad der Betriebe wird dieselbe Kürzung nicht angewandt – dort steht die vollständige Adresse im Schlüssel der Sperrtabelle, und bei einer ausgelösten Sperre auch im Laufzeitprotokoll. Das wird angeglichen.

Klassifikationsschema. Ein förmliches Schema zur Einstufung von Datenarten besteht nicht. Die Unterscheidung ergibt sich aus dem Datenmodell und dieser Vereinbarung: Daten der Gäste und Mitarbeiter (§ 2 Abs 5), Daten des Betriebs (§ 1 Abs 3), technische Protokolle.

B · Integrität

Weitergabekontrolle. Übertragung ausschließlich TLS-verschlüsselt. Apple-Wallet-Pässe werden kryptografisch signiert. Zugriffsgeheimnisse werden aus Exportdateien und Protokollen entfernt oder gekürzt.

Eingabekontrolle. Jeder Stempelvorgang wird als eigenes Ereignis mit Zeitpunkt, Karte und bedienendem Mitarbeiter protokolliert. Verändernde Zugriffe im Plattform-Verwaltungsbereich werden mit Zeitpunkt, Handlung und Herkunft protokolliert; die Abdeckung ist nicht vollständig und wird ausgebaut. Die im Protokoll festgehaltene Herkunftsadresse stammt aus einem vom Aufrufer beeinflussbaren Kopffeld und ist daher nicht fälschungssicher. Offen benannt: Das Zugriffsprotokoll wird geschrieben, aber derzeit nirgends angezeigt; ein Leseweg wird gebaut.

Schutz vor fremden Skripten. Offen benannt: Es besteht keine Content-Security-Policy. Ein versehentlich eingebundenes Drittskript würde durch nichts aufgehalten. Eine Richtlinie wird eingeführt.

C · Verfügbarkeit und Belastbarkeit

Sicherung und Wiederherstellbarkeit — ausdrücklicher Hinweis. Der genutzte Tarif des Datenbankanbieters — Supabase Free Plan, Projektentscheidung vom 9. September 2026 — enthält keine automatischen Sicherungen. Stammkartl sagt deshalb weder eine Wiederherstellungszeit noch einen maximalen Datenverlust zu. Sicherungen erstellt Stammkartl manuell vor Änderungen an der Datenbankstruktur; sie werden außerhalb der Plattform verwahrt. Bei einem Ausfall zwischen zwei manuellen Sicherungen können die seither erfassten Daten verloren gehen. Der Betrieb wird hierauf ausdrücklich hingewiesen.

Fehlerüberwachung. Technische Fehlerüberwachung mit Verarbeitung in der Europäischen Union (Deutschland). Es werden keine IP-Adresse und keine Anfragekopfdaten in das Ereignis aufgenommen; Zugriffstoken in Adressen werden maskiert. Offen benannt: Die Überwachung ist auf jeder Seite aktiv, auch vor einer Einwilligung, und sendet bei einem Teil der Seitenaufrufe auch ohne Fehler eine Messung. Auf Transportebene erreicht die IP-Adresse des Geräts den Anbieter. Eine automatische Alarmierung an einen Bereitschaftsdienst besteht nicht.

Ratenbegrenzung. Eine Ratenbegrenzung besteht auf den Anmeldewegen, auf dem Beitrittsweg und auf weiteren öffentlich erreichbaren Schnittstellen, nicht jedoch flächendeckend auf allen Schnittstellen. Fassung 1.0 behauptete eine flächendeckende Abdeckung; das traf nicht zu und wird hiermit berichtigt.

Belastbarkeit des Versands. Für den Versand bestehen Mengenbegrenzungen gegenüber dem Wallet-Anbieter sowie Rückfallwege, wenn ein Kanal nicht verfügbar ist. Die zeitgesteuerten Läufe stößt der Zeitplandienst der Hostingplattform stündlich an; ein zusätzlicher Dienstleister ist dafür nicht eingebunden (Fußnote 3).

D · Verfahren zur regelmäßigen Überprüfung

Datenschutz-Management. Automatisierte Testreihen laufen vor jeder Veröffentlichung, darunter ausdrücklich die Mandantentrennung zwischen Betrieben, die Einwilligungslogik, die Versandwege und die Fassungsstände der Rechtstexte. Sicherheits- und Datenschutzdurchsichten werden im Projektverzeichnis dokumentiert.

Vorfallsbehandlung. Meldewege und Fristen: § 6 Abs 5. Stammkartl führt ein eigenes Register über Verletzungen des Schutzes personenbezogener Daten; für Daten der Gäste und Mitarbeiter dokumentiert der Betrieb nach Art 33 Abs 5 DSGVO, Stammkartl liefert ihm die Tatsachen.

Datenschutzfreundliche Voreinstellungen (Art 25 Abs 2).

• Die Einwilligung in Werbenachrichten ist eine eigene, nicht vorausgewählte Entscheidung und von der Nutzung der Karte unabhängig; wer sie verweigert, erhält dieselbe Karte.
• Der Geburtstag ist freiwillig und standardmäßig eingeklappt; das Geburtsjahr wird gar nicht erst erhoben.
• Das einzige einwilligungsbedürftige Cookie wird technisch erst gesetzt, nachdem zugestimmt wurde; die Sperre sitzt in der Schreibfunktion selbst. Wird die Einwilligung verweigert, wird ein vorhandenes Cookie aktiv gelöscht. Offen benannt: Eine einmal getroffene Cookie-Entscheidung lässt sich derzeit nicht mehr ändern; ein Widerrufsweg nach Art 7 Abs 3 DSGVO fehlt und wird nachgerüstet (§ 2 Abs 8). (Der Entwurf zu dieser Fassung behauptete auch eine Löschung bei Widerruf. Den Widerrufsfall gibt es nicht.)
• Schriftarten werden von der eigenen Domain ausgeliefert. Es gibt keine Reichweitenmessung, keine Werbenetzwerke, kein geräteübergreifendes Tracking und zur Laufzeit keine eingebundenen Schriften, Karten oder Skripte Dritter – mit der in Abschnitt C genannten Ausnahme der Fehlerüberwachung.

Auftragskontrolle. Auswahl, Vorabinformation, Widerspruch und Überprüfung der Unterauftragsverarbeiter: § 7. Zugriff auf Produktivdaten hat ausschließlich der Auftragsverarbeiter selbst; es existiert genau ein administrativer Zugang.

E · Offene Punkte, die Stammkartl hier selbst benennt

Diese Anlage verspricht, Lücken zu nennen. Sechs sind es, und sie stehen nicht verstreut, sondern hier:

Anlage 3 · Textbaustein für die Datenschutzinformation des Betriebs (Gäste)

Der Betrieb kann die folgenden Absätze in seine eigene Datenschutzerklärung übernehmen und an seine Verhältnisse anpassen. Der Baustein ersetzt keine eigene Prüfung.

Digitale Stempelkarte

Für unser Kundenbindungsprogramm setzen wir die Plattform „Stammkartl" ein (Berkan Akdag, Papiermühlgasse 38, 8020 Graz, Österreich, [OFFEN: Kontakt-E-Mail]). Stammkartl verarbeitet Ihre Daten als unser Auftragsverarbeiter auf Grundlage eines Vertrags nach Art 28 DSGVO. Verantwortlich sind wir.

Was wir verarbeiten und warum. Für die Karte selbst: Ihren Vornamen (freiwillig – ohne Angabe heißt die Karte „Gast"), Ihren Stempelstand, Ihre Prämien und Einlösungen, den Zeitpunkt jedes Stempels und die technischen Kennungen Ihrer Karte. Rechtsgrundlage ist die Erfüllung des Teilnahmeverhältnisses (Art 6 Abs 1 lit b DSGVO). Geben Sie uns Tag und Monat Ihres Geburtstags, verarbeiten wir diese Angabe für einen Geburtstagsgruß auf Grundlage Ihrer Einwilligung (Art 6 Abs 1 lit a DSGVO); das Geburtsjahr erheben wir nicht.

Nachrichten. Haben Sie den Vorteilen zugestimmt, senden wir Ihnen Angebote und Aktionen als Nachricht an Ihre Karte. Rechtsgrundlage ist Ihre Einwilligung (Art 6 Abs 1 lit a DSGVO i. V. m. § 174 Abs 3 TKG 2021). Diese Einwilligung ist von der Nutzung der Karte unabhängig – Sie können sie jederzeit über den Eintrag „Benachrichtigungen" auf Ihrer Karte widerrufen, ohne die Karte zu verlieren. Der Widerruf ist so einfach wie die Erteilung und wirkt für die Zukunft.

Apple Wallet. Legen Sie die Karte in Apple Wallet ab, übermittelt Ihr Gerät die auf der Karte sichtbaren Angaben an Apple (Apple Distribution International Ltd., Cork, Irland). Apple verknüpft sie mit Ihrem Apple Account und speichert sie, solange die Karte in Ihrem Wallet liegt. Apple handelt dabei eigenverantwortlich; für diese Verarbeitung gilt Apples Datenschutzerklärung. Für Aktualisierungen erhält Apple eine Gerätekennung und den Zeitpunkt – der Inhalt der Benachrichtigung ist leer.

Google Wallet. Legen Sie die Karte in Google Wallet ab, übermitteln wir Ihren Vornamen, Ihren Stempelstand, die Prämienbezeichnung und den Kartennamen an Google (Google Ireland Limited / Google LLC). Bei jeder Nachricht wird zusätzlich der vollständige Nachrichtentext einschließlich Ihres Vornamens an Google übermittelt. Google handelt dabei eigenverantwortlich und verarbeitet die Daten auch in den USA; Grundlage ist der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, ergänzt durch Standardvertragsklauseln. Google bietet keine Löschung von Wallet-Objekten an. Wir können eine Karte dort nur auf „abgelaufen" setzen; die bereits übermittelten Angaben bleiben bei Google gespeichert. Sie können die Karte in Ihrer Wallet-App jederzeit entfernen.

Standort. Ihre Karte kann auf dem Sperrbildschirm Ihres Telefons erscheinen, wenn Sie sich in unserer Nähe befinden. Dafür hinterlegen wir unsere Standortkoordinaten.

• In Apple Wallet erfolgt der Abgleich mit Ihrem Standort auf Ihrem Gerät.
• In Google Wallet hinterlegen wir unsere Standortkoordinaten bei Google; wann und wie Google daraufhin eine Anzeige auslöst, bestimmt Google.

Weder wir noch Stammkartl erfahren in beiden Fällen, wo Sie sich befinden. Sie können die Anzeige in den Einstellungen Ihrer Wallet-App abschalten.

Wie lange wir speichern. Wir löschen Ihre Daten, sobald der Zweck entfallen ist. Derzeit erfolgt die Löschung auf Anforderung; ein automatisches Löschkonzept, das Karten nach [24] Monaten ohne Besuch löscht und Sie 30 Tage vorher auf der Karte informiert, ist vorbereitet und wird in Kürze aktiviert. Wir aktualisieren diese Information dann. (Der Betrieb trägt hier die von ihm nach § 4 der Auftragsverarbeitungsvereinbarung gewählte Dauer ein.)

Teilnahme ab 14 Jahren. Die Teilnahme setzt das vollendete 14. Lebensjahr voraus (§ 4 Abs 4 DSG). Das Alter wird technisch nicht geprüft, weil wir das Geburtsjahr bewusst nicht erheben.

Ihre Rechte. Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch sowie das Recht, eine erteilte Einwilligung jederzeit zu widerrufen. Wenden Sie sich dafür an: [E-Mail-Adresse des Betriebs]. Sie haben außerdem das Recht, sich bei der Österreichischen Datenschutzbehörde zu beschweren.

Anlage 4 · Textbaustein für die Information der Mitarbeiter

Dieser Baustein ist neu in Fassung 1.1. Er gehört zur Entscheidung, dass der Betrieb für die Mitarbeiterdaten Verantwortlicher ist (§ 1 Abs 4). Der Betrieb gibt ihn seinen Mitarbeitern – als Aushang, als Beilage zum Dienstvertrag oder in seiner Mitarbeiterinformation. Der Baustein ersetzt keine eigene Prüfung und keine allenfalls erforderliche Betriebsvereinbarung.

Information nach Art 13 DSGVO: die Scanner-App „Stammkartl"

Wer verantwortlich ist. Verantwortlich für die Verarbeitung deiner Daten in der Scanner-App sind wir als dein Betrieb. Die Technik stellt Stammkartl bereit (Berkan Akdag, Papiermühlgasse 38, 8020 Graz, [OFFEN: Kontakt-E-Mail]); Stammkartl verarbeitet die Daten in unserem Auftrag nach Art 28 DSGVO und nicht zu eigenen Zwecken.

Welche Daten über dich gespeichert sind. Dein Name, deine PIN (nur als nicht umkehrbarer Prüfwert – niemand kann sie auslesen) und die Zuordnung zu unserem Betrieb. Rechtsgrundlage ist die Durchführung des Beschäftigungsverhältnisses (Art 6 Abs 1 lit b DSGVO).

Was beim Arbeiten über dich entsteht. Jeder Stempel, den du vergibst, wird mit deinem Konto verknüpft. Daraus können wir im Dashboard einsehen:

• wie viele Karten du heute, diese Woche und in den letzten zwölf Monaten gestempelt hast,
• deinen ersten und letzten Stempelvorgang,
• deine letzten zwanzig Einzelvorgänge mit Uhrzeit und dem Vornamen des bedienten Gastes.

Das ist eine Auswertung deiner Arbeitsleistung, und wir sagen dir das offen. Wir stützen sie auf unser berechtigtes Interesse an der Nachvollziehbarkeit von Stempelvorgängen und an der Abwehr von Missbrauch (Art 6 Abs 1 lit f DSGVO). Die Abwägung dieses Interesses gegen deine Interessen halten wir schriftlich fest; du kannst sie bei uns einsehen.

Was die App dir zeigt und was sie nicht tut. Beim Scannen siehst du den Vornamen des Gastes (falls angegeben) und seinen Stempelstand. Weitere Gastdaten sind in der App nicht einsehbar. Die Kamera wird ausschließlich zum Lesen des QR-Codes verwendet; die Bildverarbeitung erfolgt auf dem Gerät, es werden keine Fotos oder Videos aufgenommen, gespeichert oder übertragen. Es gibt keine Standortverfolgung, keine Werbung und kein geräteübergreifendes Tracking.

Wie lange. Dein Konto bleibt bestehen, bis wir es löschen; wir löschen es, wenn du ausscheidest. Die einzelnen Stempelereignisse hängen an der Karte des Gastes und verschwinden mit ihr. Die Auswertung umfasst ein Fenster von zwölf Monaten.

Deine Rechte. Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch – auch gegen die Leistungsauswertung (Art 21 Abs 1 DSGVO). Wende dich an [Ansprechpartner im Betrieb]. Du kannst dich außerdem bei der Österreichischen Datenschutzbehörde beschweren.

Hinweis an den Betrieb, nicht an den Mitarbeiter. Ob eine solche Auswertung in Ihrem Betrieb zulässig ist und ob sie nach § 96 Abs 1 Z 3 ArbVG der Zustimmung des Betriebsrats bedarf, beurteilen Sie – nicht Stammkartl. Ohne Betriebsrat tritt an dessen Stelle die Zustimmung der betroffenen Mitarbeiter. Klären Sie das, bevor Sie die Auswertung nutzen.

Anlage 5 · Zuordnung zu Art 28 Abs 3 DSGVO

Buchstabe für Buchstabe geprüft. Jede Zeile nennt den Paragrafen dieser Fassung, in dem die Anforderung erfüllt ist.

Ergänzend: Art 28 Abs 2 → § 7 Abs 1, 4 und 5. Art 28 Abs 4 → § 7 Abs 1 und 6. Art 28 Abs 9 (elektronisches Format) → Kopf dieser Vereinbarung und § 13 Abs 1. Art 28 Abs 10 (Auftragsverarbeiter wird Verantwortlicher) → § 1 Abs 5. Art 30 Abs 2 → § 6 Abs 6 und Anlage 1. Art 32 → § 6 Abs 2 und Anlage 2. Art 33 Abs 2 → § 6 Abs 5. Art 82 → § 12.

Anhang · Was in dieser Fassung offen ist

Solange eine dieser Angaben fehlt, ist Fassung 1.1.3 ein Entwurf und darf nicht freigegeben werden.