Entwurf – Selbstprüfung offen

Vereinbarung zur Auftragsverarbeitung (AVV)

Fassung 1.2 · gültig ab 12. November 2026 · nach Art 28 DSGVO, aufgebaut nach der Mustervereinbarung der Wirtschaftskammer Österreich (DSGVO4KMU)

Parteien

Verantwortlicher („Betrieb"): das Unternehmen, das Stammkartl nutzt, mit den Angaben aus seinem Betriebskonto.

Auftragsverarbeiter („Stammkartl"): Berkan Akdag, Papiermühlgasse 38, 8020 Graz, Österreich · hello@stammkartl.at · +43 660 8231030

Abschluss

(1) Diese Vereinbarung ist Teil der Nutzungsbedingungen von Stammkartl. Der Betrieb nimmt sie beim Einrichten mit einem eigenen, nicht vorausgewählten Häkchen an.

(2) Zu jeder Annahme speichert Stammkartl Zeitpunkt, Fassung, Prüfsumme des Textes, den Namen der zustimmenden Person und den angezeigten Satz neben dem Häkchen. Dieses Protokoll lässt sich nur ergänzen, nicht ändern.

(3) Eine Unterschrift ist nicht nötig: Art 28 Abs 9 DSGVO verlangt Schriftform und lässt ein elektronisches Format zu. Der Text ist vor der Annahme vollständig abrufbar. Im Chef-Bereich unter „Verträge" kann der Betrieb jederzeit die Fassung als PDF laden, der er zugestimmt hat.

1 Gegenstand

(1) Stammkartl stellt dem Betrieb eine Software für digitale Stempelkarten bereit: Karten für Apple Wallet und Google Wallet, Stempeln und Einlösen in der Mitarbeiter-App, Nachrichten an Karteninhaber und Übersichten im Chef-Bereich. Dafür verarbeitet Stammkartl personenbezogene Daten im Auftrag des Betriebs, nur zu diesem Zweck.

(2) Betroffen sind:

• die Gäste des Betriebs, die eine Karte anlegen („Gäste"),
• die Mitarbeiter des Betriebs, die die Mitarbeiter-App nutzen.

(3) Daten der Gäste:

• Vorname (freiwillig; ohne Eingabe steht „Gast")
• Tag und Monat des Geburtstags (freiwillig, nur mit Einwilligung)
• Kartenkennung und Zugangsschlüssel der Karte
• Stempel, Prämien, Einlösungen und Geschenke, jeweils mit Zeitpunkt
• Bewertungen, wenn der Gast eine abgibt
• Einwilligungen in Werbung und Geburtstagsgruß mit Zeitpunkt, Fassung und Wortlaut, ebenso ihr Widerruf
• die Fassung der angenommenen Teilnahmebedingungen
• Geräteanmeldungen für Aktualisierungen der Apple-Wallet-Karte (Gerätekennung und Push-Token)
• die Nachrichten, die der Betrieb an die Karte schickt

(4) Daten der Mitarbeiter: Name, PIN (nur als Hash gespeichert), Sitzung der Mitarbeiter-App und je Stempel, Einlösung oder Geschenk die Angabe, welcher Mitarbeiter ihn gegeben hat.

2 Dauer

(1) Diese Vereinbarung gilt, solange der Betrieb Stammkartl nutzt, und endet mit dem Nutzungsvertrag. Die Pflichten nach § 3 Abs 10 gelten weiter, bis sie erfüllt sind.

(2) Verstößt eine Partei schwer gegen diese Vereinbarung, kann die andere sie samt Nutzungsvertrag ohne Frist beenden.

3 Pflichten von Stammkartl

(1) Weisungen. Stammkartl verarbeitet die Daten nur auf dokumentierte Weisung des Betriebs. Weisungen sind die Einstellungen und Handlungen im Chef-Bereich (zum Beispiel Nachricht senden, Gast löschen) und Anweisungen per E-Mail. Muss Stammkartl wegen einer gesetzlichen Pflicht anders verarbeiten, teilt es das vorher mit, soweit das Gesetz es erlaubt. Verlangt eine Behörde Daten, informiert Stammkartl den Betrieb unverzüglich.

(2) Rechtswidrige Weisung. Hält Stammkartl eine Weisung für rechtswidrig, sagt es das dem Betrieb unverzüglich.

(3) Vertraulichkeit. Stammkartl wird derzeit von einer Person betrieben. Wer künftig Zugriff auf die Daten bekommt, wird vorher schriftlich zur Vertraulichkeit verpflichtet, auch über das Ende seiner Tätigkeit hinaus.

(4) Sicherheit. Stammkartl trifft die Maßnahmen nach Art 32 DSGVO, die in Anlage 1 „Technische und organisatorische Maßnahmen" stehen. Senken darf Stammkartl sie nur mit einer neuen Fassung dieser Vereinbarung.

(5) Rechte der Betroffenen. Im Chef-Bereich kann der Betrieb einen Gast ansehen, seine Daten als Datei laden und ihn löschen. Darüber hinaus hilft Stammkartl bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Wendet sich ein Gast oder Mitarbeiter direkt an Stammkartl, leitet Stammkartl die Anfrage unverzüglich an den Betrieb weiter.

(6) Unterstützung. Stammkartl unterstützt den Betrieb bei seinen Pflichten aus Art 32 bis 36 DSGVO: Sicherheit, Meldung und Benachrichtigung bei Datenpannen, Folgenabschätzung und vorherige Konsultation.

(7) Datenpannen. Stammkartl meldet dem Betrieb eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 24 Stunden, nachdem sie ihm bekannt wurde, per E-Mail an die Adresse des Betriebskontos. Die Meldung nennt, soweit bekannt: was geschehen ist, welche Daten und wie viele Personen betroffen sind, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen. Was noch fehlt, reicht Stammkartl nach. Die Meldung an die Datenschutzbehörde (binnen 72 Stunden, Art 33 DSGVO) macht der Betrieb; Stammkartl liefert ihm dafür alles Nötige.

(8) Verzeichnis. Stammkartl führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art 30 Abs 2 DSGVO.

(9) Nachweise und Kontrollen. Stammkartl stellt dem Betrieb alle Informationen bereit, die zum Nachweis dieser Pflichten nötig sind. Der Betrieb oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer darf die Einhaltung kontrollieren, auch vor Ort, nach Ankündigung mit 14 Tagen Vorlauf.

(10) Nach Vertragsende.

• Export: Bis 30 Tage nach Vertragsende kann der Betrieb alle Daten aus diesem Auftrag in einem gängigen, maschinenlesbaren Format (CSV oder JSON) verlangen. Stammkartl liefert binnen 14 Tagen.
• Löschung: Spätestens 60 Tage nach Vertragsende löscht Stammkartl alle Daten aus diesem Auftrag, außer ein Gesetz verlangt, sie aufzubewahren. Auf Weisung des Betriebs löscht Stammkartl früher.
• Sicherungen: Beim Datenbankanbieter laufen im gewählten Tarif keine automatischen Sicherungen. Eine Sicherung, die Stammkartl von Hand anlegt, löscht es, sobald sie ersetzt ist, spätestens 90 Tage nach ihrer Erstellung. Gelöschte Daten stellt Stammkartl aus einer Sicherung nicht wieder her. Die Protokolle des Hosters (Vercel) verfallen nach einem Tag.
• Wallet: Karten, die schon in Apple Wallet oder Google Wallet liegen, kann Stammkartl nicht löschen (§ 6).

4 Ort der Verarbeitung

(1) Die Datenbank liegt in der EU (Irland, Projektregion eu-west-1). Die Programmlogik läuft in Frankfurt (Region fra1). Anfragen laufen vorher über die weltweit verteilten Eingangsserver von Vercel.

(2) Daten gehen nur an die Unterauftragsverarbeiter aus Anlage 2 in Drittländer, abgesichert durch die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914) und bei Vercel zusätzlich durch das EU-US Data Privacy Framework.

(3) Diese Fassung geht vom Tarif Pro aus: Nur in diesem Tarif gilt der Auftragsverarbeitungsvertrag von Vercel.

5 Unterauftragsverarbeiter

(1) Der Betrieb genehmigt allgemein die Unterauftragsverarbeiter aus Anlage 2 „Unterauftragsverarbeiter" (Art 28 Abs 2 DSGVO).

(2) Einen neuen oder anderen Unterauftragsverarbeiter kündigt Stammkartl mindestens 14 Tage vorher per E-Mail an. Der Betrieb kann binnen 14 Tagen nach Zugang widersprechen. Dann setzt Stammkartl den Dienst für diesen Betrieb nicht ein, oder der Betrieb kann den Vertrag ohne Frist beenden.

(3) Stammkartl legt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf wie in dieser Vereinbarung (Art 28 Abs 4 DSGVO) und haftet dem Betrieb für ihn.

6 Apple und Google

(1) Apple Wallet. Apple ist kein Unterauftragsverarbeiter. Das Gerät des Gastes lädt die Karte von den Servern von Stammkartl. Ändert sich die Karte, schickt Stammkartl an Apple nur das Push-Token des Geräts und ein Signal ohne Inhalt; das Gerät holt die neue Karte dann selbst bei Stammkartl. Was mit der Karte auf dem Gerät geschieht, verantwortet Apple selbst.

(2) Google Wallet. Google ist kein Unterauftragsverarbeiter, sondern selbst Verantwortlicher. Legt ein Gast die Karte in Google Wallet, übermittelt Stammkartl an Google: Vorname, Stempel- und Prämienstand, die Kartenkennung im QR-Code, die Angaben des Betriebs auf der Karte und die Nachrichten an die Karte. Google bietet kein Löschen von Karten an; Stammkartl kann sie nur auf „abgelaufen" setzen.

(3) Der Betrieb informiert seine Gäste darüber. Den Textbaustein dafür enthält Anlage 3.

7 Textvorschläge mit KI

(1) „Mit KI verbessern" im Chef-Bereich schickt nur den Text, den der Betrieb selbst getippt hat, ohne Platzhalter, über das Vercel AI Gateway an das Modell eines Anbieters (derzeit Anthropic, USA). Daten von Gästen und Mitarbeitern gehen nicht mit; erkennbare Kontaktdaten im Text lehnt die Software ab.

(2) Jede Anfrage verlangt „Zero Data Retention": Vercel und der Modellanbieter speichern den Text nicht. Ist kein Anbieter ohne Speicherung verfügbar, kommt kein Vorschlag.

(3) Die KI macht nur einen Vorschlag. Gesendet wird erst, wenn der Betrieb selbst auf Senden tippt. Der Betrieb tippt in dieses Feld keine Namen von Gästen oder Mitarbeitern.

8 Mitarbeiter

(1) Stammkartl zeigt dem Betrieb keine Auswertung je Mitarbeiter, nur Summen für das ganze Team und erst ab zwei Mitarbeitern.

(2) Gespeichert wird je Stempel, Einlösung und Geschenk, welcher Mitarbeiter ihn gegeben hat. Diese Zuordnung entfernt Stammkartl nach 13 Monaten.

(3) Hat der Betrieb einen Betriebsrat, prüft er vor dem Einsatz, ob dafür eine Zustimmung nach § 96 Abs 1 Z 3 ArbVG nötig ist. Der Betrieb informiert seine Mitarbeiter; den Textbaustein dafür enthält Anlage 3.

9 Pflichten des Betriebs

(1) Der Betrieb sorgt für die Rechtsgrundlage der Verarbeitung, informiert seine Gäste und Mitarbeiter nach Art 13 DSGVO und beantwortet ihre Anfragen.

(2) Bemerkt der Betrieb Fehler oder Unregelmäßigkeiten bei den Daten, sagt er das Stammkartl unverzüglich.

10 Haftung

Für Schäden aus der Verarbeitung gilt Art 82 DSGVO. Im Übrigen gelten die Haftungsregeln der Nutzungsbedingungen.

11 Neue Fassungen

Jede Fassung trägt eine eigene Nummer und bleibt im Chef-Bereich abrufbar. Ändert eine neue Fassung Rechte oder Pflichten, nimmt der Betrieb sie wieder per Häkchen an; bis dahin gilt für ihn seine bisherige Fassung.

12 Schlussbestimmungen

(1) Es gilt österreichisches Recht ohne seine Verweisungsnormen.

(2) Gerichtsstand ist das sachlich zuständige Gericht in Graz.

(3) Widerspricht diese Vereinbarung den Nutzungsbedingungen, geht diese Vereinbarung vor.

(4) Ist eine Bestimmung unwirksam, bleiben die übrigen wirksam.

Anlagen

• Anlage 1 · Technische und organisatorische Maßnahmen: stammkartl.at/tom
• Anlage 2 · Unterauftragsverarbeiter: stammkartl.at/subprocessors
• Anlage 3 · Textbausteine: unten

Anlage 3 · Textbausteine

Für die Gäste (in die eigene Datenschutzinformation übernehmen)

Für unsere digitale Stempelkarte nutzen wir Stammkartl (Berkan Akdag, Graz). Stammkartl verarbeitet deinen Vornamen, deine Stempel und, wenn du willst, deinen Geburtstag in unserem Auftrag. Legst du die Karte in Apple Wallet, bekommt Apple bei Änderungen nur ein Signal ohne Inhalt. Legst du sie in Google Wallet, bekommt Google deinen Vornamen, deinen Stempelstand, die Kartenkennung und unsere Nachrichten an die Karte; dafür ist Google selbst verantwortlich, und Google löscht Wallet-Karten nicht. Werbung schicken wir dir nur, wenn du zugestimmt hast; abbestellen kannst du über „Mitteilungen" auf der Rückseite der Karte.

Für die Mitarbeiter

Zum Stempeln nutzen wir die Mitarbeiter-App von Stammkartl (Berkan Akdag, Graz). Gespeichert werden dein Name, deine PIN (nur verschlüsselt als Hash) und bei jedem Stempel, welcher Mitarbeiter ihn gegeben hat. Diese Zuordnung wird nach 13 Monaten entfernt. Wir sehen keine Auswertung je Mitarbeiter, nur Summen für das ganze Team. Fragen dazu richtest du an uns.