Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Stand: [DATUM]

Hinweis

[PLATZHALTER – ob und für welche Daten eine Auftragsverarbeitung vorliegt (oder eigene bzw. gemeinsame Verantwortlichkeit), muss anwaltlich geklärt werden, weil Kund:innen ein eigenes Konto bei der Plattform haben.]

1. Gegenstand und Dauer

Verarbeitung personenbezogener Daten im Rahmen des Loyalty-Programms des Partners für die Laufzeit des Hauptvertrags (AGB).

2. Art der Daten und betroffene Personen

Personal des Partners: Name, E-Mail, Rolle, Buchungsprotokolle. Kund:innen des Partners: Anzeigename, Mitgliedsnummer, Karten, Stempel- und Einlöseverlauf beim Partner, Einwilligungsstatus für Werbung.

3. Pflichten des Auftragsverarbeiters

Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeit, technische und organisatorische Maßnahmen (Anlage 1), Unterstützung bei Betroffenenrechten und Meldepflichten, Löschung oder Rückgabe nach Vertragsende, Nachweise und Kontrollen.

4. Unterauftragsverarbeiter

Supabase Inc. (Hosting Frankfurt), Expo / 650 Industries Inc. (Push), Functional Software Inc. / Sentry (Fehlerberichte), Stripe (Zahlungen, nur Partnerdaten), Google (Wallet, optional). [VOLLSTÄNDIGE LISTE MIT ANSCHRIFT, ORT DER VERARBEITUNG UND GARANTIEN ERGÄNZEN]

Anlage 1: Technische und organisatorische Maßnahmen

Verschlüsselung bei Übertragung (TLS) und Speicherung; Zeilen-genaue Zugriffsrechte in der Datenbank (Row Level Security); Rollen- und Rechtekonzept je Betrieb; Protokollierung von Stornos und Exporten; Rate-Limiting und Fehlversuchs-Sperren; tägliche Backups beim Hosting-Anbieter. [ERGÄNZEN]