Auftragsverarbeitungsvertrag

Version 2

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO zwischen dem Kunden als Verantwortlichem („Auftraggeber“) und getStampd – Christoph Stauch, An der alten Tuchfabrik 47, 52078 Aachen als Auftragsverarbeiter („Auftragnehmer“). Dieser Vertrag ist Bestandteil der AGB und gilt mit deren Zustimmung als abgeschlossen. Auf Wunsch stellen wir ihn auch zur Unterschrift bereit.

§ 1 Gegenstand und Dauer

1. Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, um die Plattform getStampd nach den AGB bereitzustellen (Ausgabe, Stempeln, Einlösen und Aktualisieren digitaler Stempelkarten, Verwaltung von Team und Buchungen, Versand von Nachrichten an Karteninhaber, Bereitstellung von Karten-Seite, Tisch-Seite und digitalen Speisekarten).
2. Die Laufzeit entspricht der Laufzeit des Hauptvertrags.

§ 2 Art der Daten und Kreis der Betroffenen

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht verarbeitet. Der Auftraggeber darf solche Daten nicht in Freitextfelder eingeben.

§ 3 Weisungen

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die AGB, dieser Vertrag sowie die Einstellungen und Aktionen des Auftraggebers in getStampd gelten als Weisungen. Weitere Weisungen erteilt der Auftraggeber in Textform.
2. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.
3. Eine Verarbeitung zu eigenen Zwecken ist ausgeschlossen, es sei denn, der Auftragnehmer ist gesetzlich dazu verpflichtet. Ausgenommen ist die Auswertung anonymisierter, aggregierter Daten zur Verbesserung des Dienstes.

§ 4 Pflichten des Auftragnehmers

1. Der Auftragnehmer verpflichtet alle Personen, die Zugriff auf die Daten haben, zur Vertraulichkeit.
2. Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind, und passt sie dem Stand der Technik an.
3. Er unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO), bei der Meldung von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei der Konsultation der Aufsichtsbehörde (Art. 32–36 DSGVO). Anfragen von Betroffenen, die direkt beim Auftragnehmer eingehen, leitet er an den Auftraggeber weiter.
4. Er meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnisnahme, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.
5. Ein Datenschutzbeauftragter ist beim Auftragnehmer nicht bestellt, da keine Pflicht dazu besteht. Ansprechpartner: Christoph Stauch, An der alten Tuchfabrik 47, 52078 Aachen, kontakt@getstampd.de.

§ 5 Unterauftragsverarbeiter

1. Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.
2. Über beabsichtigte Änderungen informiert der Auftragnehmer den Auftraggeber mindestens vier Wochen im Voraus in Textform. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, darf der Auftraggeber den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
3. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau. Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO (Angemessenheitsbeschluss, insbesondere EU-U.S. Data Privacy Framework, oder EU-Standardvertragsklauseln).
4. Apple und Google stellen die Wallet-Dienste den Karteninhabern in eigener Verantwortung bereit; sie sind insoweit keine Unterauftragsverarbeiter.

§ 6 Kontrollrechte

Der Auftragnehmer weist dem Auftraggeber die Einhaltung seiner Pflichten auf Anfrage nach, vorrangig durch Selbstauskünfte und Dokumentation sowie Zertifikate bzw. Prüfberichte seiner Unterauftragsverarbeiter. Darüber hinaus darf der Auftraggeber nach rechtzeitiger Anmeldung (mindestens 14 Tage), während der üblichen Geschäftszeiten und ohne Störung des Betriebs Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Den Aufwand für Vor-Ort-Kontrollen trägt der Auftraggeber, es sei denn, sie decken einen Verstoß des Auftragnehmers auf.

§ 7 Löschung und Rückgabe

1. Während der Laufzeit löscht der Auftragnehmer Daten automatisch nach den Fristen der Datenschutzerklärung, insbesondere Stempelkarten mit ihren Buchungen drei Jahre nach der letzten Buchung, Push-Token der Firmen-App zwölf Monate nach der letzten Nutzung, Team-Einladungen 90 Tage nach Ablauf bzw. Annahme, nicht mehr verwendete hochgeladene Dateien nach einem Tag, gehashte IP-Adressen aus der Kartenausgabe nach höchstens sieben Tagen und die Registrierung für Wallet-Aktualisierungen, sobald der Karteninhaber die Karte entfernt. Der Auftraggeber weist diese Löschung hiermit an.
2. Nach Ende des Hauptvertrags bzw. mit Löschung des Firmenkontos löscht der Auftragnehmer die Daten des Auftraggebers einschließlich hochgeladener Dateien unverzüglich, spätestens innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Zuvor kann der Auftraggeber seine Daten mit den verfügbaren Exportfunktionen sichern, etwa – je nach Tarif – die Buchungen als CSV-Datei und in jedem Tarif die persönlichen Kontodaten als Datei.
3. Datensicherungen legt der Auftragnehmer jede Nacht verschlüsselt an einem vom Betrieb getrennten Ort ab. Sie dienen nur der Wiederherstellung, werden nicht im laufenden Betrieb verwendet und nach höchstens sieben Tagen gelöscht bzw. überschrieben. Bis dahin können gelöschte Daten noch in einer Sicherung enthalten sein. Löschungen von Firmenkonten und Anmeldekonten protokolliert der Auftragnehmer ohne Namen oder Kontaktdaten (nur Art, interne Kennung und Zeitpunkt) für 30 Tage. Muss eine Sicherung wiederhergestellt werden, führt er anhand dieses Protokolls und der automatischen Löschfristen die seit ihrer Erstellung vorgenommenen Löschungen erneut aus.

§ 8 Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, die Information der Betroffenen (Art. 13, 14 DSGVO) – insbesondere der Karteninhaber und seiner Mitarbeiter – und die Zulässigkeit von Nachrichten an Karteninhaber verantwortlich. Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.

§ 9 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Innenverhältnis gelten die Haftungsregeln der AGB. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor. Im Übrigen gelten die Schlussbestimmungen der AGB.

Anlage 1: Technische und organisatorische Maßnahmen

• Vertraulichkeit / Zugriffskontrolle: Mandantentrennung in der Datenbank über Row Level Security – jede Firma sieht nur ihre eigenen Daten; Rechte werden serverseitig in der Datenbank durchgesetzt. Rollenkonzept (Inhaber, Manager, Mitarbeiter). Anmeldung per Einmal-Code; Admin-Zugang nur mit Zwei-Faktor-Anmeldung und Protokollierung aller Eingriffe.
• Pseudonymisierung und Datensparsamkeit: Stempelkarten enthalten keine Namen oder Kontaktdaten. QR-Codes enthalten zufällige, nicht erratbare Kennungen statt interner IDs.
• Weitergabekontrolle: Übertragung ausschließlich verschlüsselt (TLS). Geheime Schlüssel (Zertifikate, Server-Zugänge) liegen nur serverseitig, nicht in der App.
• Eingabekontrolle: Buchungen werden als unveränderliches Ereignisprotokoll mit Zeitpunkt, Standort und buchendem Teammitglied gespeichert; Korrekturen erfolgen nur über Stornobuchungen. Eingriffe des Plattformbetreibers im Admin-Bereich werden protokolliert. Teammitglieder sehen, auf welchen Geräten sie angemeldet sind, und können andere Sitzungen beenden.
• Verfügbarkeit und Belastbarkeit: Hosting bei professionellen Rechenzentrumsbetreibern, Datenbank in Frankfurt am Main mit Verschlüsselung der gespeicherten Daten; Schutz vor doppelten Buchungen bei Verbindungsabbrüchen; Offline-Erfassung von Stempeln in der Firmen-App. Zusätzlich nächtliche Sicherung von Datenbank und Dateien: Sie wird auf Servern des Unterauftragsverarbeiters GitHub erstellt, unmittelbar nach der Erstellung mit AES-256 verschlüsselt und an einem vom Betrieb getrennten Ort für höchstens sieben Tage abgelegt. Der Schlüssel ist als zugriffsgeschütztes Geheimnis (GitHub Actions Secret) hinterlegt.
• Löschung: Automatische tägliche Löschroutine nach festen Fristen (§ 7).
• Physische Sicherheit: Die Rechenzentren der Unterauftragsverarbeiter sind nach anerkannten Standards (z. B. ISO 27001, SOC 2) zertifiziert.
• Überprüfung: Regelmäßige Überprüfung der Rechte und Maßnahmen, insbesondere bei Änderungen der Plattform; automatisierte Tests der Zugriffsregeln.

Anlage 2: Unterauftragsverarbeiter