Muster zum Ausdrucken und Unterschreiben beim Onboarding. Eine Kopie erhält der Betrieb, eine bleibt bei dir.
nach Art. 28 DSGVO
zwischen dem Betrieb (Verantwortlicher, nachfolgend „Auftraggeber“):
Name des Betriebs: ______________________________________ Anschrift: ______________________________________________
und eConcepts Inh. David Mürl, Friedensstraße 10, 91788 Pappenheim (Auftragsverarbeiter, nachfolgend „Auftragnehmer“).
1. Gegenstand und Dauer
Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, um ihm die Software tapnstamp (digitale Stempelkarten und Händler-App) bereitzustellen. Die Dauer entspricht der Laufzeit des tapnstamp-Vertrags.
2. Art und Zweck der Verarbeitung
Speichern, Anzeigen, Aktualisieren und Löschen von Stempelkarten-Daten; Bereitstellung der Karten im Browser sowie in Apple Wallet und Google Wallet; Verwaltung von Mitarbeiterzugängen; Erstellung von Auswertungen für den Auftraggeber.
3. Art der Daten und betroffene Personen
Kunden des Auftraggebers: zufällige Kartennummer, Stempelstand, eingelöste Prämien, Zeitpunkte, optional eine interne Bezeichnung; technische Verbindungsdaten.
Mitarbeiter und Inhaber des Auftraggebers: Name, gehashte PIN, Gerätetyp, Zeitpunkte von Anmeldungen und Stempelvorgängen.
4. Pflichten des Auftragnehmers
Verarbeitung nur auf dokumentierte Weisung des Auftraggebers; die Funktionen der Software und dieser Vertrag gelten als Weisung.
Vertraulichkeit aller Personen, die Zugang zu den Daten haben.
Umsetzung der technischen und organisatorischen Maßnahmen nach Anlage 1.
Unterstützung des Auftraggebers bei Anfragen betroffener Personen und bei seinen Pflichten nach Art. 32–36 DSGVO.
Unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten, möglichst innerhalb von 24 Stunden nach Kenntnis.
Löschung oder Rückgabe aller Daten nach Vertragsende, spätestens nach 30 Tagen, soweit keine Aufbewahrungspflicht besteht.
Bereitstellung der Informationen, die zum Nachweis der Einhaltung dieser Pflichten erforderlich sind, und Ermöglichung von Überprüfungen nach angemessener Vorankündigung.
5. Unterauftragsverarbeiter
Der Auftraggeber stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Über beabsichtigte Änderungen informiert der Auftragnehmer vorab in Textform; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
6. Ort der Verarbeitung
Die Datenbank wird in der Europäischen Union betrieben. Eine Übermittlung in Drittländer erfolgt nur unter Einhaltung der Art. 44 ff. DSGVO (insbesondere EU-US Data Privacy Framework oder Standardvertragsklauseln).
7. Haftung
Es gelten die Haftungsregelungen des Art. 82 DSGVO sowie ergänzend die Regelungen des tapnstamp-Vertrags.
Anlage 1: Technische und organisatorische Maßnahmen
Verschlüsselte Übertragung aller Daten (HTTPS/TLS).
Hosting bei einem nach ISO 27001 und SOC 2 zertifizierten Anbieter; Datenbank auf die EU beschränkt.
Zugriff auf Betriebsdaten nur nach Anmeldung; PINs werden ausschließlich als Hash gespeichert.
Schutz vor Ausprobieren von PINs durch zeitliche Sperre nach Fehlversuchen.
Rollenkonzept: Mitarbeiter sehen keine Auswertungen und keine Kundenlisten.
Inhaber können angemeldete Geräte einsehen und abmelden.
Stempelkarten enthalten keine Namen oder Kontaktdaten; Kartennummern sind zufällig und nicht erratbar.
Protokollierung aller Stempelvorgänge mit Mitarbeiterzuordnung.
Automatische Löschung von Karten nach 24 Monaten ohne Nutzung.
Anlage 2: Unterauftragsverarbeiter
Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA – Hosting, Datenbank (Speicherort EU), Auslieferung der Anwendung.
Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland – nur bei Nutzung von Google Wallet: Bereitstellung der Karte im Google Wallet.
Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, Irland – nur bei Nutzung von Apple Wallet: Zustellung von Aktualisierungen an Apple-Geräte.