Entwurf. Dieser Text wird vor dem Start rechtlich geprüft. Gelb markierte Stellen werden noch ergänzt.

Vereinbarung zur Auftragsverarbeitung

nach Art. 28 DSGVO, Stand: 10. November 2026

zwischen dem Kunden (Laden, „Verantwortlicher“) und Whitney Ankrah, stammvorteil, c/o Autorenglück #93774, Albert-Einstein-Str. 47, 02977 Hoyerswerda („Auftragsverarbeiter“).

1. Gegenstand und Dauer

Der Auftragsverarbeiter betreibt für den Verantwortlichen die digitale Stempelkarte stammvorteil. Dabei verarbeitet er personenbezogene Daten der Gäste und Mitarbeitenden des Verantwortlichen. Die Vereinbarung gilt, solange der Vertrag über stammvorteil besteht, und darüber hinaus, bis alle Daten gelöscht sind.

2. Art und Zweck

Führen der Stempelkarten, Stempeln und Einlösen, Versand von Nachrichten an Gäste, die zugestimmt haben, Bonus-Stempel aus Empfehlungen, Nachbarschaft und Straße, Auswertungen für den Verantwortlichen, Zugänge für Mitarbeitende.

3. Daten und Betroffene

• Gäste: Vorname, freiwillig Geburtstag (Tag und Monat), Einwilligung in Nachrichten mit Zeitpunkt, Stempel, Besuche, Belohnungen, gesendete Nachrichten, technische Kennung der Karte, bei Empfehlungen die Karte, über die der Gast kam, bei Einwilligung eine zufällige Kennung, die Karten desselben Gastes in einer Straße verbindet.
• Mitarbeitende: Vorname, Zugangsdaten, Rechte, gegebene Stempel und Einlösungen.

4. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen ergeben sich aus diesem Vertrag und aus den Einstellungen, die der Verantwortliche in der App vornimmt. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er darauf hin.

5. Vertraulichkeit

Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.

6. Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung (TLS) auf allen Verbindungen.
• Datenbank in Frankfurt am Main. Jeder Laden sieht nur seine eigenen Daten, technisch durch Zeilenrechte in der Datenbank durchgesetzt.
• Passwörter nur als sicherer Hash, Zugangslinks für Mitarbeitende nur als Prüfsumme gespeichert, Links laufen nach 7 Tagen ab.
• Mitarbeitende sehen keine Gästeliste, nur den Gast, den sie gerade stempeln. Rechte stellt der Verantwortliche je Person ein.
• Schutz vor Missbrauch: Begrenzung neuer Anmeldungen, Sperre gegen doppelte Scans, wählbares Tageslimit.
• Zugriff auf die Verwaltung haben nur ausdrücklich freigeschaltete Konten des Auftragsverarbeiters, nur mit zusätzlichem Bestätigungs-Code per E-Mail bei jeder Anmeldung. Der Verantwortliche bestätigt jede neue Anmeldung (Handy-App und Website) mit einem Code per E-Mail; ohne diese Bestätigung gibt die Datenbank keine Gästedaten heraus.
• Läden in einer Nachbarschaft oder Straße sehen keine Gäste der anderen Läden, nur Zahlen ohne Namen. Die Verbindung der Karten eines Gastes ist für Läden technisch nicht lesbar.
• Anmeldungen sind gegen Durchprobieren gebremst, Passwörter müssen mindestens 10 Zeichen haben, Links zum Zurücksetzen gelten eine Stunde und nur einmal.
• Wallet-Karten sind je Karte mit einem eigenen Geheimnis geschützt, Zugangsdaten der Dienste liegen verschlüsselt beim Hosting-Anbieter.
• Nach Vertragsende werden die Daten automatisch innerhalb von 30 Tagen gelöscht.
• Notfallplan: Bei einer Störung oder Datenpanne prüft der Auftragsverarbeiter den Vorfall sofort, sichert Protokolle und informiert den Verantwortlichen wie in Abschnitt 9 beschrieben.

7. Unterauftragsverarbeiter

Der Verantwortliche genehmigt die folgenden Unterauftragsverarbeiter:

• Supabase Inc. – Datenbank und Anmeldung, Server in Frankfurt am Main
• Vercel Inc. – Betrieb der App, Rechenzentrum Frankfurt am Main
• Resend (Plus Five Five, Inc.) – E-Mail-Versand, Server in Irland
• Apple Inc. – Zustellung von Updates an Karten in Apple Wallet (nur Push-Schlüssel des Geräts)
• Google Ireland Ltd. – Google Wallet, nur für Gäste, die ihre Karte dort speichern
• Hostinger International Ltd. (Larnaka, Zypern) – E-Mail-Postfach für Support-Anfragen

Über geplante Änderungen informiert der Auftragsverarbeiter vorab per E-Mail. Der Verantwortliche kann aus wichtigem Grund widersprechen.

8. Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen von Betroffenen (Auskunft, Berichtigung, Löschung). Vieles kann der Verantwortliche selbst in der App erledigen: Gäste suchen, als Tabelle herunterladen und löschen. Gäste können ihren Geburtstag und ihre Einwilligung selbst ändern.

9. Meldung von Verletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.

10. Löschung nach Vertragsende

Nach Ende des Vertrags löscht der Auftragsverarbeiter alle Daten innerhalb von 30 Tagen, soweit keine Pflicht zur Aufbewahrung besteht. Vorher kann der Verantwortliche seine Gästeliste herunterladen.

11. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die nötigen Informationen zum Nachweis dieser Pflichten zur Verfügung und ermöglicht Überprüfungen nach vorheriger Abstimmung.