Stampd

Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 DSGVO · Stand: 11.11.2026 · Bestandteil der AGB

§ 1 Gegenstand und Parteien

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch [bitte ergänzen: Name / Firma] („Auftragsverarbeiter“) im Auftrag des Kunden, der Stampd für sein Kundenbindungsprogramm nutzt („Verantwortlicher“). Er wird mit Abschluss des Hauptvertrags (AGB) vereinbart und gilt für dessen Laufzeit.

§ 2 Art, Zweck und Umfang

  • Zweck: Bereitstellung der Plattform: Registrierung von Endkunden, Ausgabe und Aktualisierung digitaler Kundenkarten, Buchungen, Prämien, NFC, Kampagnen, Statistiken, Wiederherstellung.
  • Betroffene: Endkunden des Verantwortlichen; Mitarbeitende des Verantwortlichen.
  • Datenarten: Vorname, E-Mail, Sprache, Kartenkennung, Stände und Buchungen (Zeit, Art, Standort), Einwilligungs- und Widerrufsnachweise, Wallet-Kennungen und Push-Tokens, NFC-Vorgänge; bei Mitarbeitenden E-Mail, Rolle, Aktionsprotokolle.
  • Art der Verarbeitung: Erheben, Speichern, Auslesen, Abgleichen, Übermitteln an Wallet- und E-Mail-Dienste, Löschen.

§ 3 Weisungen

Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen; als Weisung gelten der Hauptvertrag, dieser AVV und die Einstellungen und Aktionen des Verantwortlichen in der Plattform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich. Eine Verarbeitung zu eigenen Zwecken findet nicht statt; zulässig sind anonymisierte, aggregierte Auswertungen zur Sicherstellung und Verbesserung des Betriebs.

§ 4 Pflichten des Auftragsverarbeiters

  • Vertraulichkeit: Alle Personen mit Zugriff sind zur Vertraulichkeit verpflichtet.
  • Sicherheit nach Art. 32 DSGVO gemäß Anlage „Technische und organisatorische Maßnahmen“ (§ 9).
  • Unterstützung bei Betroffenenrechten (Art. 12–22): Die Plattform stellt dafür Funktionen bereit (Einsicht, Datenexport, Widerruf, Löschung); darüber hinaus unterstützt der Auftragsverarbeiter auf Anfrage.
  • Meldung von Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO.
  • Unterstützung bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde, soweit erforderlich.

§ 5 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

  • Vercel Inc. (USA) – Hosting und Server-Funktionen, Region Frankfurt am Main (fra1); EU-U.S. Data Privacy Framework
  • Supabase Pte. Ltd. (Singapur) – Datenbank und Authentifizierung, Server in Frankfurt am Main (AWS eu-central-1); EU-Standardvertragsklauseln
  • Plus Five Five, Inc. (Resend, USA) – E-Mail-Versand aus Irland (AWS eu-west-1); Metadaten in den USA; EU-U.S. Data Privacy Framework

Apple (Apple Wallet, APNs) und Google (Google Wallet) werden auf Veranlassung des jeweiligen Endkunden genutzt, der die Karte seiner Wallet hinzufügt, und verarbeiten Daten insoweit auch als eigene Verantwortliche. Stripe verarbeitet ausschließlich Vertragsdaten des Verantwortlichen, keine Endkundendaten. Über beabsichtigte Änderungen bei Unterauftragsverarbeitern informiert der Auftragsverarbeiter mindestens 30 Tage vorher in Textform; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und, falls keine Lösung gefunden wird, den Hauptvertrag zum Wirksamwerden der Änderung kündigen. Mit allen Unterauftragsverarbeitern bestehen Verträge mit gleichwertigen Datenschutzpflichten.

§ 6 Drittlandübermittlung

Die Speicherung erfolgt in der EU. Soweit Unterauftragsverarbeiter mit Sitz außerhalb des EWR auf Daten zugreifen können, erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses (EU-U.S. Data Privacy Framework, soweit zertifiziert) oder der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

§ 7 Kontrollrechte

Der Verantwortliche kann sich von der Einhaltung dieses Vertrags überzeugen, vorrangig durch Einsicht in aktuelle Nachweise (z. B. Zertifikate und Berichte der Unterauftragsverarbeiter, Selbstauskünfte). Vor-Ort-Prüfungen sind nach angemessener Vorankündigung zu üblichen Geschäftszeiten möglich, wenn die Nachweise nicht ausreichen; sie dürfen den Betrieb nicht unverhältnismäßig stören, und Dritte sind zur Verschwiegenheit zu verpflichten.

§ 8 Löschung und Rückgabe

Nach Vertragsende kann der Verantwortliche seine Daten 30 Tage lang exportieren. Danach löscht der Auftragsverarbeiter die Daten, sofern keine gesetzliche Pflicht zur Speicherung besteht. Backups werden im regulären Zyklus überschrieben.

§ 9 Technische und organisatorische Maßnahmen (Anlage)

  • Zugangs- und Zugriffskontrolle: Mandantentrennung auf Datenbankebene (Row Level Security, erzwungen auf allen Tabellen; Fremdschlüssel inkl. Mandantenkennung); Rollenmodell (Inhaber, Manager, Mitarbeiter) serverseitig durchgesetzt; Mitarbeitende mit Scanner-Rolle sehen keine E-Mail-Adressen; administrative Zugriffe nur mit Zwei-Faktor-Authentifizierung.
  • Weitergabekontrolle: TLS für alle Verbindungen; Geheimnisse nur serverseitig; QR-Codes ohne personenbezogene Daten; Einmal-Links nur als Hash gespeichert, zeitlich begrenzt.
  • Eingabekontrolle: unveränderliches Buchungsjournal; Audit-Log für Korrekturen, Einlösungen, Rollen-, Programm- und Administrationsänderungen.
  • Verfügbarkeit: Betrieb bei etablierten Cloud-Anbietern in Frankfurt; Backups durch den Datenbankanbieter; Wiederholungsmechanismen für externe Dienste ohne Datenverlust.
  • Missbrauchsschutz: Begrenzung von Anfragen (Rate Limiting), Idempotenz gegen Doppelbuchungen, Sperrzeiten und Tageslimits für NFC, Sicherheits-Header (u. a. CSP, HSTS).
  • Datensparsamkeit und Löschung: automatisierte Löschung abgelaufener operativer Daten; Pseudonymisierung bei Löschanträgen.

§ 10 Haftung, Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen des Hauptvertrags. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht der AVV in datenschutzrechtlichen Fragen vor.