Anlage · Unterauftragsverarbeiter und weitere Empfänger

Zum Auftragsverarbeitungsvertrag nach Art 28 DSGVO zwischen dem Betrieb (Verantwortlicher) und Berkan Akdag (Auftragsverarbeiter)

Wie diese Anlage zu lesen ist

Sie beschreibt den heutigen Zustand, nicht den gewünschten. Wo ein Vertrag mit einem Dienstleister noch nicht nachgewiesen ist, steht das hier — und zwar beim betroffenen Eintrag, nicht in einer Fußnote. Eine Liste, die nur Erfreuliches sagt, ist beim ersten Auskunftsersuchen wertlos.

Sie hat drei Rubriken, und der Unterschied ist nicht formal:

Eine Markierung in eckigen Klammern, beginnend mit dem Wort OFFEN, kennzeichnet eine Angabe, die noch fehlt. Diese Stellen sind vor der Freigabe zu schließen; bis dahin ist diese Anlage ein Entwurf und keine Vertragsgrundlage. Nichts Erfundenes füllt eine solche Lücke — eine falsche Angabe in einem Vertrag ist schlechter als eine sichtbare Lücke.

§ 1 Was diese Anlage regelt

(1) Genehmigung. Der Betrieb erteilt mit dem Abschluss des AV-Vertrags seine allgemeine schriftliche Genehmigung nach Art 28 Abs 2 Satz 1 DSGVO zum Einsatz der in § 2.1 bis § 2.3 genannten Unterauftragsverarbeiter. Die Information über beabsichtigte Änderungen und das Einspruchsrecht des Betriebs richten sich nach Art 28 Abs 2 Satz 2 DSGVO; Einzelheiten stehen in § 5.

Der in § 2.4 genannte Dienst erhält keine Daten aus diesem Auftrag. Für ihn ist eine Genehmigung nach Art 28 Abs 2 weder erforderlich, noch wird sie hier erteilt; er steht nur deshalb in dieser Anlage, damit die Aufzählung der von Kartl eingesetzten Verarbeiter vollständig ist.

(2) Wessen Daten diese Anlage betrifft. Erfasst sind alle personenbezogenen Daten, die Kartl im Auftrag des Betriebs verarbeitet. Das sind zwei Gruppen betroffener Personen:

• Karteninhaber — die Gäste, Kunden oder Klienten des Betriebs. Die Teilnahme am Treueprogramm setzt das vollendete 14. Lebensjahr voraus (vgl. § 4 Abs 4 DSG); der Betrieb verpflichtet sich, diese Grenze nicht zu unterlaufen. Einzelheiten stehen in den Nutzungsbedingungen.
• Mitarbeiter des Betriebs, die den Scanner benutzen. Verarbeitet werden ihr Name, ihre PIN als nicht umkehrbarer Prüfwert, ihre Zuordnung zum Betrieb — und die Auswertung ihrer Scans: Anzahl heute, in dieser Woche und in den letzten zwölf Monaten, erster und letzter Scan sowie die letzten zwanzig Einzelereignisse mit Uhrzeit und dem Vornamen des bedienten Gastes.

Eine Änderung gegenüber der Fassung 1.0, die ausdrücklich genannt gehört. Die bisherige Fassung erklärte Kartl für Mitarbeiterdaten zum Verantwortlichen und nahm sie aus dem AV-Vertrag heraus. Das war unzutreffend: Im System legt ausschließlich der Betrieb Mitarbeiter an, vergibt Namen und PINs, ändert, löscht und wertet aus. Verantwortlicher ist deshalb der Betrieb, Kartl ist auch insoweit Auftragsverarbeiter. Daraus folgt zweierlei: Mitarbeiterdaten fallen unter diese Anlage — und der Betrieb muss seine Mitarbeiter selbst informieren. Kartl stellt dafür einen Textbaustein bereit; er liegt als eigene Anlage zum AV-Vertrag bei, so wie der Baustein für die Gastinformation.

Kein Zusage-Satz, sondern ein Hinweis: Ob eine Leistungsauswertung dieser Art nach österreichischem Arbeitsrecht ohne Betriebsvereinbarung oder Zustimmung zulässig ist, ist anwaltlich zu klären. Kartl beurteilt das nicht und sichert es nicht zu.

(3) Was diese Anlage nicht ist. Sie ist keine Liste aller Dienstleister von Kartl. Wer Daten verarbeitet, für die Kartl selbst Verantwortlicher ist — Betriebskonto, Anmeldung, Website, Support, Protokolle —, steht in der Datenschutzerklärung, nicht hier.

(4) Weitergabe der Pflichten und Haftung. Kartl darf einen Unterauftragsverarbeiter nur einsetzen, wenn ihm dieselben Datenschutzpflichten auferlegt sind, die zwischen Betrieb und Kartl gelten (Art 28 Abs 4 DSGVO). Bei welchen Stellen dieser Nachweis heute vollständig vorliegt und bei welchen nicht, steht in Absatz 6 und bei jedem Eintrag in § 2. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet Kartl dem Betrieb gegenüber für deren Einhaltung (Art 28 Abs 4 Satz 3 DSGVO).

(5) Übermittlungen in Drittländer erfolgen auf Weisung. Mit der Zustimmung zum AV-Vertrag und zu dieser Anlage weist der Betrieb Kartl an, die hier beschriebenen Übermittlungen in Drittländer vorzunehmen (Art 28 Abs 3 lit a DSGVO). Ohne diese Weisung fehlte ihnen die vertragliche Grundlage. Die jeweilige Absicherung steht bei jedem Eintrag.

(6) Die Nachweislage am Tag dieser Fassung — ehrlich.

[OFFEN: Datum, an dem der Sentry-Vertrag abgeschlossen wurde, und Ablage der Bestätigung] [OFFEN: Datum, an dem Nutzungsbedingungen und Vertrag von Supabase als PDF mit Abrufdatum archiviert wurden] [OFFEN: Datum der Umstellung auf den Vercel-Tarif Pro]

§ 2 Unterauftragsverarbeiter

2.1 Supabase Pte. Ltd. — Datenbank, Anmeldung, Dateispeicher

Hier liegen die Daten. Alles, was das Programm speichert, speichert es bei diesem Anbieter.

Zum Nachweis. Dieser Vertrag gilt ohne Klick und ohne Unterschrift. Es gibt deshalb kein Vertragsexemplar, das man vorlegen könnte. Der Nachweis besteht darin, beide Seiten — Nutzungsbedingungen und Vertragstext — als PDF mit Abrufdatum zu archivieren.

2.2 Vercel Inc. — Hosting und Ausführung der Anwendung

Hier läuft das Programm. Jede einzelne Anfrage eines Gastes oder des Betriebs geht durch diesen Anbieter.

Fußnote, die zu dieser Rubrik gehört. Sämtliche Angaben zu Vercel in dieser Anlage — die Geltung des Vertrags und die Aufbewahrung der Protokolle für einen Tag — setzen den Tarif Pro voraus. Auf diesen Tarif wird vor dem Livegang umgestellt.

2.3 Functional Software, Inc. („Sentry") — technische Fehlerüberwachung

Dieser Dienst meldet, wenn im Programm etwas schiefgeht. Er läuft auch im Browser des Gastes.

Eine Grenze, die Kartl einhält. Die Aussage, dass die IP-Adresse nicht im Ereignis mitgeschickt wird, hängt an der eingesetzten Hauptversion des Bausteins. Ab der nächsten Hauptversion kehren sich die Vorgaben des Anbieters um — Nutzerangaben, Cookies, Kopfzeilen, Rumpfdaten und Abfrageparameter wären dann voreingestellt aktiv. Die Abhängigkeit ist deshalb auf die heutige Hauptversion festgelegt; ein Wechsel ist vorher zu prüfen, sonst würde diese Anlage unwahr, ohne dass sich eine Zeile eigener Code ändert.

2.4 Groq, Inc. — KI-gestützte Formulierungsvorschläge

Diese Stelle erhält keine Daten aus diesem Auftrag. Weder Daten von Karteninhabern noch von Mitarbeitern. Sie steht hier, damit die Aufzählung der von Kartl eingesetzten Verarbeiter vollständig ist und der Betrieb die Abgrenzung nachvollziehen kann. Die Genehmigung nach § 1 Abs 1 erstreckt sich nicht auf sie.

Eine Grenze, die Kartl einhält — nicht der Betrieb. Der Vertrag mit Groq gilt nur für dessen fertige, freigegebene Modelle. Für Test- und Vorschaumodelle gilt er ausdrücklich nicht. Welches Modell angesprochen wird, entscheidet allein Kartl im Programmcode; der Betrieb kann darauf nicht einwirken. Kartl verpflichtet sich deshalb, kein Test- oder Vorschaumodell einzusetzen. Würde das Modell gewechselt, ohne das vorher zu prüfen, gälte der Vertrag mit Groq für diese Anfragen nicht mehr — und niemand würde es bemerken.

§ 3 Empfänger, die keine Unterauftragsverarbeiter sind

Die folgenden Stellen erhalten Daten, handeln dabei aber nicht weisungsgebunden. Ein Vertrag nach Art 28 DSGVO ist mit ihnen nicht erhältlich. Das ist keine Nachlässigkeit, sondern die Rechtslage; sie ist hier offengelegt, weil der Betrieb seine Gäste danach informieren muss. Die Fassung 1.0 hat Apple und Google als Unterauftragsverarbeiter geführt — das war unzutreffend und wird hiermit berichtigt.

3.1 Apple — Apple Wallet und Pass-Aktualisierung

Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland. Datenschutzinformation zu Wallet: https://www.apple.com/legal/privacy/data/de/wallet/ (Stand 14. September 2026)

Warum kein Unterauftragsverarbeiter. Drei voneinander unabhängige Gründe:

1. Apple räumt sich in seinen Entwicklerbedingungen eigene Zwecke an den Kartendaten ein. Das verträgt sich nicht mit der Weisungsbindung nach Art 28 DSGVO.
2. Apple hat eine Art-28-Klausel nur für andere Dienste geschrieben, für Wallet-Pässe und den Benachrichtigungsdienst bewusst nicht.
3. Apple verweist den Gast für die Nutzung seiner Kartendaten auf die Datenschutzerklärung des Ausstellers — also auf die des Betriebs.

Was tatsächlich fließt. Der Pass wird auf dem Server von Kartl gebaut und signiert; dabei findet kein Netzaufruf zu Apple statt. Beim Hinzufügen zur Wallet übermittelt das Gerät des Gastes die sichtbaren Kartenangaben an Apple; Apple verknüpft sie mit dem Apple-Account und speichert sie, solange die Karte in der Wallet liegt. Für Aktualisierungen erhält Apple Gerätetoken, Pass-Typ-Kennung und Zeitpunkt — der Benachrichtigungsinhalt ist leer; das Gerät holt die Kartendaten anschließend bei Kartl ab.

Drittlandübermittlung durch Kartl: nein. Vertragspartner und Zustellpunkt liegen in Irland. Übermittlungen innerhalb des Apple-Konzerns verantwortet Apple selbst; sie werden hier nicht als Übermittlung von Kartl dargestellt.

3.2 Google — Google Wallet

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, sowie Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, Vereinigte Staaten von Amerika. Datenschutzerklärung: https://policies.google.com/privacy (Fassung gültig ab 1. Oktober 2026, abgerufen am 2. Oktober 2026)

Warum kein Unterauftragsverarbeiter. Das Cloud Data Processing Addendum von Google deckt Google Wallet nachweislich nicht ab: Der Begriff „Wallet" kommt weder im Addendum noch in der zugehörigen Leistungsübersicht vor, und die Anlage mit den erfassten Diensten nennt ihn nicht. Ein Vertrag nach Art 28 DSGVO für Google Wallet ist nicht erhältlich.

Was tatsächlich fließt.

• Beim Anlegen und Aktualisieren eines Wallet-Objekts: Vorname, Stempelstand, Prämie, Kartenname, Objektkennung sowie die Standortangaben des Betriebs.
• Bei jeder Nachricht an eine Karte: der vollständige personalisierte Nachrichtentext im Klartext, einschließlich Vorname — und zwar für jede Karte, auch für Gäste, die nur ein iPhone benutzen. Es gibt derzeit kein gespeichertes Merkmal, ob ein Gast seine Karte überhaupt in Google Wallet abgelegt hat; Google antwortet in diesen Fällen mit einem Fehler, der Text ist zu diesem Zeitpunkt aber bereits übertragen. Kartl stellt das ab, indem das Speichern eines Objekts künftig festgehalten und die Übermittlung darauf beschränkt wird.

Löschung. Google bietet für Wallet-Objekte keine Löschung an. Kartl kann ein Objekt nur auf den Zustand „abgelaufen" setzen. Eine vollständige Löschung bei Google kann weder Kartl noch der Betrieb zusagen.

Drittland: Ja, Vereinigte Staaten. Grundlage: das EU-US Data Privacy Framework (Google LLC ist zertifiziert) sowie ergänzend die Standardvertragsklauseln — jeweils als Grundlage Googles eigener Verarbeitung, nicht als Garantie einer Auftragsverarbeitung.

3.3 OpenStreetMap Foundation — Adresssuche im Betriebsbereich

OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge CB4 0WS, Vereinigtes Königreich (eingetragen beim Companies House unter 05912761, abgerufen am 2. Oktober 2026) Datenschutzerklärung: https://osmfoundation.org/wiki/Privacy_Policy

Zweck. Umwandlung einer eingegebenen Adresse in Koordinaten, ausschließlich im Bereich des Betriebs und im Verwaltungsbereich von Kartl.

Betrifft keine Karteninhaber und keine Mitarbeiter. Übermittelt werden die eingegebene Adresse und — je nach Eingabemaske — entweder die IP-Adresse des Geräts des Betriebs, wenn die Suche aus dem Browser läuft, oder die IP-Adresse unseres Servers zusammen mit der Kontaktadresse [OFFEN: Kontakt-E-Mail], die unser Programm bei jeder serverseitigen Suche mitsendet, weil die Stiftung das verlangt.

Warum kein Unterauftragsverarbeiter. Die Stiftung handelt nicht weisungsgebunden und wertet Suchanfragen zu eigenen Zwecken aus. Sie gehört deshalb als eigenständiger Empfänger in die Datenschutzerklärung — gestützt auf Art 6 Abs 1 lit f DSGVO —, nicht in den AV-Vertrag.

Drittland: Ja, Vereinigtes Königreich — aber mit Angemessenheitsbeschluss. Grundlage: Angemessenheitsbeschluss der Europäischen Kommission vom 28. Juni 2021, technisch verlängert am 24. Juni 2025 und erneuert am 19. Dezember 2025. Er ist in Kraft (geprüft am 2. Oktober 2026 auf den Seiten der Kommission). Zusätzliche Garantien — insbesondere Standardvertragsklauseln — sind damit nicht erforderlich.

Was daran zu beobachten ist. Ein Angemessenheitsbeschluss ist befristet und wird überprüft; er kann geändert, ausgesetzt oder aufgehoben werden. Fällt er weg, braucht diese eine Übermittlung von einem Tag auf den anderen Standardvertragsklauseln — mit einer Stiftung, mit der Kartl in keiner Vertragsbeziehung steht. Der praktikable Weg wäre dann, die serverseitige Adresssuche abzuschalten und die Koordinaten von Hand einzutragen.

Klarstellung zu einer früheren Angabe. In älteren Fassungen der Rechtstexte war zusätzlich von einer „Kartenvorschau" die Rede. Diese Vorschau lief nie über die OpenStreetMap Foundation, sondern über einen anderen Verein, und der Dienst besteht nicht mehr — die Adresse löst nicht mehr auf, es fließt nichts dorthin. Die Angabe entfällt ersatzlos. Der zugehörige Aufruf ist am 2. Oktober 2026 aus dem Quelltext entfernt worden.

3.4 Push-Dienste der Browser

Wird eine Nachricht über die Benachrichtigungsfunktion des Browsers zugestellt, läuft sie über den Push-Dienst, den der Browser des Gastes vorgibt — bei Apple, Google oder Mozilla. Kartl kann diesen Dienst weder auswählen noch austauschen.

Welche datenschutzrechtliche Rolle diese Dienste einnehmen, ist nicht abschließend feststellbar, weil Kartl sie weder aussucht noch mit ihnen in einer Vertragsbeziehung steht. Sie werden deshalb weder als Unterauftragsverarbeiter noch als eigene Verantwortliche bezeichnet.

Der Text der Nachricht ist verschlüsselt; der Push-Dienst kann ihn nicht lesen (technische Grundlage: RFC 8291). Sichtbar bleiben für ihn nur, wann die Nachricht geschickt wurde, wie groß sie ist und an welche Geräteadresse sie geht. Der Standard verlangt zusätzlich, dass der Absender bei jedem Versand eine Kontaktadresse für technische Rückfragen mitsendet. Hinterlegt ist eine E-Mail-Adresse des Auftragsverarbeiters. Daten der Gäste oder der Mitarbeiter sind darin nicht enthalten.

Zur heutigen Reichweite. Nach dem aktuellen Stand des Programms legt keine Stelle mehr ein solches Abonnement an. Bedient würden nur noch Abonnements, die aus früheren Fassungen stammen.

§ 4 Der stündliche Auslöser — kein zusätzlicher Dienstleister

Die automatischen Läufe — Geburtstagsgruß, „Karte fast voll", Reaktivierung, Stempelgruß, Bewertungsanfrage und geplante Nachrichten — müssen stündlich angestoßen werden. Dieser Zeitplan läuft auf derselben Plattform wie die Anwendung (§ 2.2, Vercel). Ein zusätzlicher Dienstleister ist dafür nicht eingeschaltet, und es gibt keinen Dritten, der ein Zugangsgeheimnis für diese Läufe besitzt.

Das hat eine Folge, die der Betrieb kennen soll: Fristen, die an diesem stündlichen Takt hängen, bleiben gültig, solange die Plattform selbst läuft — es gibt keine zweite Stelle, deren Ausfall sie stillschweigend verlängern könnte.

§ 5 Änderungen dieser Liste

(1) Vorabinformation. Kartl informiert den Betrieb mindestens 30 Tage vorab per E-Mail an die im Betriebskonto hinterlegte Adresse über die beabsichtigte Hinzuziehung eines neuen oder den Austausch eines bestehenden Unterauftragsverarbeiters. Eine stille Änderung dieser Seite genügt nicht und wird nicht als Information vereinbart. Die Mitteilung nennt Namen und Rechtsform, Sitz, Ort der Verarbeitung, Aufgabe, betroffene Datenkategorien, den Nachweis der Sicherheitsmaßnahmen und — bei Drittlandbezug — die Absicherung der Übermittlung.

(2) Widerspruch. Der Betrieb kann der Änderung widersprechen. Damit Kartl rechtzeitig reagieren kann, soll der Widerspruch binnen 30 Tagen ab Zugang der Information eingehen und seinen datenschutzrechtlichen Grund nennen; ein späterer Widerspruch bleibt wirksam. Eine Frist oder einen „wichtigen Grund" verlangt Art 28 Abs 2 DSGVO nicht, und diese Anlage fügt beides nicht hinzu.

(3) Was gilt, wenn der Betrieb schweigt. Geht binnen 30 Tagen kein Widerspruch ein, darf Kartl die mitgeteilte Änderung umsetzen. Das Schweigen gilt nicht als Zustimmung zu mehr als dem, was mitgeteilt wurde.

(4) Was nach einem Widerspruch geschieht.

1. Kartl antwortet binnen 14 Tagen und legt dar, wie dem Einwand abgeholfen werden kann — etwa durch zusätzliche Maßnahmen, einen anderen Verarbeitungsort oder einen anderen Anbieter.
2. Solange der Widerspruch nicht ausgeräumt ist, wird die betroffene Stelle für die Daten dieses Betriebs nicht eingesetzt, soweit das technisch möglich ist. Ist es nicht möglich, teilt Kartl das mit und nennt den Grund.
3. Kommt binnen 60 Tagen keine Einigung zustande, kann der Betrieb den AV-Vertrag und die Nutzung der Plattform mit einer Frist von 30 Tagen zum Monatsende beenden. Kartl kann nur dann beenden, wenn die Leistung ohne die betroffene Stelle objektiv nicht mehr erbracht werden kann; dann mit einer Frist von 60 Tagen zum Monatsende.
4. In beiden Fällen werden die Daten der Karteninhaber und der Mitarbeiter vor Ablauf nach Wahl des Betriebs zurückgegeben oder gelöscht, einschließlich bestehender Kopien (Art 28 Abs 3 lit g DSGVO). Zu der Grenze bei Google siehe § 3.2.
5. Dem Betrieb entstehen durch einen Widerspruch keine Kosten und keine Nachteile für die Restlaufzeit.
6. Die Beendigung des Hauptvertrags richtet sich nach dem Hauptvertrag. Diese Anlage regelt sie nicht.

(5) Fassungen. Diese Anlage wird unabhängig vom Vertragstext fortgeschrieben: Eine Änderung dieser Liste ändert die Fassungsnummer des AV-Vertrags nicht und löst keine erneute Zustimmung aus, sondern das Verfahren nach den Absätzen 1 bis 4. Jede Fassung dieser Anlage trägt eine eigene Nummer und ein eigenes Datum; frühere Fassungen bleiben abrufbar, damit der Betrieb den Stand nachweisen kann, dem er zugestimmt hat.

Die geltende Fassung steht dauerhaft unter https://[OFFEN: Domain der Plattform]/subprocessors. Jede frühere Fassung ist unter derselben Adresse mit dem Zusatz ?fassung=<Nummer> abrufbar; eine archivierte Fassung wird als solche gekennzeichnet, damit sie niemand für die geltende hält. 2026-10-02 ist die erste Fassung.

5.1 Woran die Vorabinformation hängt — offengelegt

Kartl kann die Frist aus Absatz 1 nur einhalten, wenn Kartl selbst rechtzeitig erfährt, dass sich bei einem Unterauftragsverarbeiter etwas ändert. Bei zwei Anbietern ist das an ein Abonnement gebunden:

Beide Abonnements sind Voraussetzung dafür, dass Absatz 1 eingehalten werden kann — keine Bequemlichkeit. Beide Klauseln sind am 2. Oktober 2026 im Wortlaut geprüft worden; die Fristen und die Bindung an das Abonnement stehen dort so, wie hier wiedergegeben.

Dazu ein Zeitfenster, das der Betrieb kennen soll. Kartl sagt dem Betrieb in Absatz 1 30 Tage Vorabinformation zu. Gegenüber den Anbietern hat Kartl selbst aber nur fünf Tage (Supabase) beziehungsweise 15 Tage (Groq), um einen Widerspruch weiterzureichen. Widerspricht ein Betrieb, bleibt also deutlich weniger Zeit, als die eigene Zusage vermuten lässt. Die Benachrichtigungen müssen deshalb an eine Adresse gehen, die tatsächlich täglich gelesen wird.

[OFFEN: Eintragung in die Supabase-Benachrichtigungsliste — Adresse und Datum] [OFFEN: Eintragung in die Groq-Benachrichtigung für Unterauftragsverarbeiter — Adresse und Datum] [OFFEN: welche E-Mail-Adresse die Anbieterbenachrichtigungen empfängt und wer sie liest]

§ 6 Was bewusst nicht in dieser Liste steht

§ 7 Verhältnis zum AV-Vertrag

(1) Begrenzter Vorrang. Soweit diese Anlage die eingesetzten Stellen aufzählt und beschreibt, geht sie der Aufzählung im Vertragstext vor. Im Übrigen bleibt der Vertragstext maßgeblich. Eine Änderung dieser Anlage kann die Pflichten von Kartl gegenüber dem Betrieb nicht verringern und seine Rechte nicht einschränken; dafür ist seine ausdrückliche Zustimmung erforderlich.

(2) Stand. Die Angaben beruhen auf der Prüfung vom 2. Oktober 2026. Jede so gekennzeichnete Stelle ist vor der Freigabe zu schließen; bis dahin ist diese Anlage ein Entwurf und keine Vertragsgrundlage.

(3) Kontakt. Fragen zu dieser Anlage, Widersprüche nach § 5 und Anträge nach Art 28 Abs 3 lit h DSGVO sind zu richten an: [OFFEN: Kontakt-E-Mail]. Eine Kopie der Standardvertragsklauseln, auf die sich die Übermittlungen in dieser Anlage stützen, stellt Kartl auf formlose Anforderung zur Verfügung.