1. Die Parteien und ihre Rollen
Verantwortlicher: das Unternehmen, das in stmpr ein Treueprogramm betreibt und von dessen Gästen die Daten stammen.
Auftragsverarbeiter: Leimeter Roland e.v., Sitz Dabas, Ungarn, Kontakt [email protected]. Steuernummer 69246054-2-33. Registernummer 52907795.
Der Auftragsverarbeiter verarbeitet Gastdaten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als solche Weisung gilt auch die bestimmungsgemäße Nutzung des Dienstes: das Ausstellen der Treuekarte, das Stempeln, das Einlösen einer Prämie und das Senden von Nachrichten, in die der Gast eingewilligt hat.
2. Gegenstand, Dauer, Art und Zweck
Gegenstand ist die Erbringung des digitalen Treuekartendienstes: Beitritt von Gästen, Erfassung von Stempeln und Prämien, Ausstellung und Aktualisierung von Apple Wallet und Google Wallet Karten sowie Benachrichtigungen, in die der Gast eingewilligt hat.
Die Dauer entspricht der Laufzeit des Dienstverhältnisses zwischen Verantwortlichem und Auftragsverarbeiter. Mit dessen Ende greift Abschnitt 9.
Zweck ist allein die Erbringung des Dienstes. Der Auftragsverarbeiter nutzt Gastdaten nicht für eigene Zwecke, wertet sie nicht gemeinsam mit den Daten anderer Kunden aus und verkauft sie nicht.
3. Betroffene Personen und Datenkategorien
Betroffene: Gäste, die dem Treueprogramm des Verantwortlichen beigetreten sind.
Verarbeitete Daten: die vom Gast angegebenen Identifikations- und Kontaktdaten in dem Umfang, in dem der Verantwortliche sie im Beitrittsformular abfragt; der Stand der Treuekarte, also der Verlauf von Stempeln, Prämien und Einlösungen; die Sprache der Karte; Aktivitätszeitstempel; sowie Tatsache, Zeitpunkt und Wortlaut einer Marketing-Einwilligung einschließlich einer Kopie des Textes, dem der Gast zugestimmt hat.
- Der Dienst ist weder für besondere Kategorien personenbezogener Daten nach Artikel 9 gebaut noch dafür zu verwenden, Gesundheitsdaten eingeschlossen.
- Der Verantwortliche trägt dafür Sorge, im Beitrittsformular nicht mehr abzufragen, als das Treueprogramm braucht.
4. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verarbeitet Gastdaten nur auf dokumentierte Weisung des Verantwortlichen, auch bei einer Übermittlung in ein Drittland, sofern nicht Unionsrecht oder mitgliedstaatliches Recht etwas anderes verlangt. In diesem Fall unterrichtet er den Verantwortlichen vor der Verarbeitung, sofern das Recht diese Unterrichtung nicht verbietet.
Der Auftragsverarbeiter stellt sicher, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind.
5. Sicherheitsmaßnahmen
Der Auftragsverarbeiter setzt die nach Artikel 32 erforderlichen technischen und organisatorischen Maßnahmen um. Sie sind auf der Sicherheitsseite beschrieben, die Bestandteil dieses Vertrages ist.
- Verschlüsselte Verbindungen auf der öffentlichen Seite und in den Oberflächen.
- Zugangsdaten für Integrationen Dritter werden verschlüsselt gespeichert.
- Rollenbasierter Zugriff, Zwei-Faktor-Authentifizierung und Passkeys für Konten.
- Der Zugriff von Mitarbeitenden lässt sich auf einen Standort und eine Rolle begrenzen.
- Sicherungen werden verschlüsselt und auf einem von der Anwendung getrennten Server abgelegt.
6. Weitere Auftragsverarbeiter
Der Verantwortliche erteilt eine allgemeine Genehmigung für weitere Auftragsverarbeiter. Der Auftragsverarbeiter verpflichtet jeden von ihnen auf Pflichten, die diesem Vertrag entsprechen, und haftet für deren Arbeit.
Die derzeitigen weiteren Auftragsverarbeiter sind:
- Rackforest Kft. (Ungarn): Hosting, Datenbank und Ablage der Sicherungen. Die Daten werden in Ungarn, innerhalb der Europäischen Union, gespeichert, die Sicherungen ebenfalls.
- Resend (E-Mail-Zustellung): transaktionale Nachrichten an Gäste, etwa beim Erreichen einer Prämie.
- Apple Inc.: Ausstellung und Aktualisierung der Apple Wallet Karte sowie Zustellung ihrer Benachrichtigungen.
- Google LLC: Ausstellung und Aktualisierung der Google Wallet Karte sowie Zustellung ihrer Benachrichtigungen.
7. Wenn ein Gast seine Rechte ausübt
Die Beantwortung eines Betroffenenantrags ist Sache des Verantwortlichen. Der Auftragsverarbeiter unterstützt mit den Mitteln des Dienstes: Gastdaten lassen sich im Dashboard einsehen, berichtigen, exportieren und löschen.
Erreicht ein Antrag den Auftragsverarbeiter unmittelbar, beantwortet er ihn nicht inhaltlich, sondern leitet ihn unverzüglich an den Verantwortlichen weiter.
8. Verletzung des Schutzes personenbezogener Daten
Sobald der Auftragsverarbeiter von einer Verletzung Kenntnis erlangt, die unter diesen Vertrag fallende Daten betrifft, unterrichtet er den Verantwortlichen unverzüglich und nennt die verfügbaren Tatsachen.
Die Meldung an die Aufsichtsbehörde und an die betroffenen Personen obliegt dem Verantwortlichen. Der Auftragsverarbeiter stellt dafür die ihm vorliegenden Informationen bereit.
9. Löschung und Rückgabe nach Ende des Auftrags
Endet das Dienstverhältnis, gibt der Auftragsverarbeiter die Gastdaten nach Wahl des Verantwortlichen zurück oder löscht sie. Ohne andere Weisung folgt auf die Schließung des Kontos eine Karenzzeit, nach der die Daten endgültig gelöscht werden.
Ausgenommen sind Daten, deren Aufbewahrung Unionsrecht oder mitgliedstaatliches Recht verlangt, etwa Buchungsbelege.
Gelöschte Daten bleiben in den Sicherungen so lange erhalten, wie diese aufbewahrt werden, etwa fünf Wochen, danach verschwinden sie auch dort. Eine Wiederherstellung dient nur der Behebung einer Störung, nie dem Zurückholen eines einzelnen Datensatzes.
10. Überprüfungen und Auskunft
Der Auftragsverarbeiter stellt die Informationen bereit, die zum Nachweis der Einhaltung dieses Vertrages erforderlich sind, und ermöglicht Überprüfungen.
Eine Überprüfung wird vorab abgestimmt, findet zu Geschäftszeiten statt, stört den Betrieb nicht unangemessen, und was dabei bekannt wird, ist vertraulich.
11. Übermittlung außerhalb des Europäischen Wirtschaftsraums
Gastdaten werden in Ungarn, innerhalb der Europäischen Union, gespeichert.
Bei Apple und Google aus Abschnitt 6 kann die Verarbeitung eine Speicherung außerhalb des Europäischen Wirtschaftsraums umfassen. Diese Anbieter handeln auf Grundlage der von der Europäischen Kommission erlassenen Standardvertragsklauseln oder eines Angemessenheitsbeschlusses.
12. Laufzeit, Änderungen und maßgebliche Sprache
Dieser Vertrag wird mit der Nutzung des Dienstes wirksam und gilt bis zum Ende des Dienstverhältnisses.
Der Auftragsverarbeiter kann diesen Vertrag ändern, wenn eine Änderung der Rechtslage oder des Dienstes dies erfordert, und unterrichtet den Verantwortlichen vorab über jede wesentliche Änderung.
Maßgeblich ist die ungarische Fassung dieses Vertrages. Die übrigen Sprachfassungen dienen dem Verständnis. Anwendbares Recht: das Recht von Ungarn. Für Fragen oder ein unterzeichnetes Exemplar: [email protected].