Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

zwischen dem Kunden (Verantwortlicher) und [Vor- und Nachname], [Straße Hausnummer], [PLZ Ort](Auftragsverarbeiter).

1. Gegenstand und Dauer

Der Auftragsverarbeiter betreibt für den Verantwortlichen ein digitales Stempelkarten-Programm. Die Dauer entspricht der Laufzeit des Hauptvertrags.

2. Art der Daten und betroffene Personen

Betroffen sind Endkunden des Verantwortlichen. Verarbeitet werden: zufällige Karten-Kennung, Stempelstand, Zeitpunkte von Stempeln und Einlösungen, bei Nutzung von Apple Wallet Geräte- und Push-Kennungen, technische Verbindungsdaten. Es werden keine Namen oder Kontaktdaten der Endkunden erhoben.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen; diese ergibt sich aus dem Hauptvertrag und der Konfiguration im Dashboard.

4. Vertraulichkeit und Sicherheit

Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet. Technische und organisatorische Maßnahmen: verschlüsselte Übertragung (TLS), Zugriffsbeschränkung der Datenbank auf den Server, Passwort-Hashing, Hosting in EU-Rechenzentren, regelmäßige Updates.

5. Unterauftragsverarbeiter

• Supabase Inc. – Datenbank (Region Frankfurt)
• Vercel Inc. – Hosting (EU-Region; Standardvertragsklauseln / Data Privacy Framework)
• Apple Inc. und Google LLC – nur für die Aktualisierung von Wallet-Karten, wenn ein Endkunde diese nutzt

Über Änderungen informiert der Auftragsverarbeiter vorab; der Verantwortliche kann widersprechen.

6. Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen, bei Meldungen von Datenschutzverletzungen (unverzügliche Information) und bei Datenschutz-Folgenabschätzungen.

7. Löschung

Nach Vertragsende werden alle Daten des Verantwortlichen innerhalb von 30 Tagen gelöscht, sofern keine Aufbewahrungspflicht besteht.

8. Kontrollen

Der Verantwortliche kann sich nach Absprache von der Einhaltung dieser Pflichten überzeugen.