Auftragsverarbeitungsvertrag (AVV)
nach Art. 28 DSGVO · Anlage zu den AGB von faivorite cards · Entwurf – vor Verwendung rechtlich prüfen lassen
Verantwortlicher: der Kunde (Lokal) laut Bestellung Auftragsverarbeiter: [NAME / FIRMA], [ADRESSE] („faivorite cards“)
1. Gegenstand und Dauer
Der Auftragsverarbeiter betreibt für den Verantwortlichen die Software „faivorite cards“ (digitale Treuekarten). Der AVV gilt für die Dauer des Hauptvertrags.
2. Art und Zweck der Verarbeitung
Bereitstellung digitaler Stempelkarten, Erfassung von Stempeln und Einlösungen, Versand von Nachrichten an Gäste mit Einwilligung, Auswertungen für den Verantwortlichen, Hosting und Support.
3. Art der Daten und Betroffene
Betroffene: Gäste des Verantwortlichen, Mitarbeiter des Verantwortlichen. Daten: Karten-ID, Stempel- und Einlösungsverlauf, optional Vorname, Geburtstag (Tag/Monat), Einwilligungen, Feedback, Geräte-Kennungen und Push-Token; bei Mitarbeitern Name, Rolle, gehashte PIN, Protokolle.
4. Pflichten des Auftragsverarbeiters
4.1 Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen; die Konfiguration im Dashboard gilt als Weisung. 4.2 Vertraulichkeit aller mit der Verarbeitung befassten Personen. 4.3 Technische und organisatorische Maßnahmen gemäß Anlage 1. 4.4 Unterstützung bei Betroffenenrechten (Auskunft, Löschung, Export) – im Dashboard selbst möglich (CSV-Export, Löschung). 4.5 Meldung von Datenschutzverletzungen ohne unangemessene Verzögerung, möglichst binnen 24 Stunden. 4.6 Löschung oder Rückgabe aller Daten nach Vertragsende (Export 30 Tage, danach Löschung). 4.7 Nachweis der Einhaltung und Ermöglichung von Überprüfungen nach Vorankündigung.
5. Sub-Auftragsverarbeiter
Der Verantwortliche stimmt den folgenden Sub-Auftragsverarbeitern zu. Über Änderungen wird mindestens 30 Tage vorher informiert; der Verantwortliche kann widersprechen.
| Anbieter | Zweck | Ort |
|---|---|---|
| [Hosting-Anbieter] | Server, Datenbank | EU |
| Apple Inc. | Zustellung von Updates an Apple Wallet (APNs) | USA (EU-US Data Privacy Framework) |
| Google LLC / Google Ireland | Google Wallet | EU/USA (EU-US Data Privacy Framework) |
| Stripe Payments Europe Ltd. | Zahlungsabwicklung (nur Kundendaten) | Irland |
Anlage 1 – Technische und organisatorische Maßnahmen (TOM)
- Verschlüsselung: TLS für alle Verbindungen; verschlüsselte Backups
- Zugriffskontrolle: Rollen (Inhaber, Manager, Mitarbeiter, Admin); PINs und Passwörter nur gehasht (bcrypt); Sitzungen signiert und zeitlich begrenzt
- Integrität: HMAC-signierte QR-Codes, Sperrzeit gegen Mehrfach-Stempel, Audit-Log aller Stempel, Einlösungen und Anmeldungen
- Datenminimierung: nur Vorname und Geburtstag ohne Jahr optional; keine Tracking-Cookies
- Verfügbarkeit: tägliche Backups, Wiederherstellung getestet
- Trennung: Daten je Lokal logisch getrennt
- Löschkonzept: inaktive Karten nach 24 Monaten löschen oder anonymisieren
- Belastbarkeit: Begrenzung von Anmeldeversuchen, Überwachung und Updates
Ort, Datum, Unterschriften: ______________________