Auftrags­verarbeitungs­vertrag (AVV)

zwischen dem Café, das diesen Vertrag im Dashboard akzeptiert („Verantwortlicher“), und Lukas Brauckhoff, KiezFrame Studio, Hilbertstraße 36, 12307 Berlin („Auftragsverarbeiter“).

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter betreibt für den Verantwortlichen die digitale Stempelkarte gemäß den AGB. Dabei verarbeitet er personenbezogene Daten der Gäste des Verantwortlichen.

(2) Der Vertrag gilt für die Dauer des Hauptvertrags (Abo) und darüber hinaus, solange der Auftragsverarbeiter noch Daten des Verantwortlichen verarbeitet.

§ 2 Art, Zweck und Umfang der Verarbeitung

• Zweck: Bereitstellung eines Bonusprogramms (Stempelkarte), Schutz vor Missbrauch, freiwilliges Feedback der Gäste an den Verantwortlichen, Statistiken.
• Art der Daten: pseudonyme Karten-Kennung (gespeichert als Prüfsumme), Kartencode, Stempelstand, Zeitpunkte von Stempeln und Einlösungen, freiwilliges Feedback (Sterne, Freitext), kurzzeitig gehashte Zugriffsmerkmale zum Schutz vor Missbrauch.
• Betroffene: Gäste des Verantwortlichen, die die Stempelkarte nutzen.
• Ort: ausschließlich auf Servern in Deutschland (siehe Anlage 2).

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Einstellungen im Dashboard und dieser Vertrag gelten als Weisung. Weitere Weisungen erfolgen in Textform.

(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

§ 4 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit.

(2) Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO aus Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.

(3) Er unterstützt den Verantwortlichen bei Anfragen von Betroffenen (Art. 12–23 DSGVO), z. B. durch Auskunft über oder Löschung einer Karte anhand des Kartencodes.

(4) Er unterstützt den Verantwortlichen bei den Pflichten nach Art. 32–36 DSGVO.

(5) Er meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.

(2) Über neue oder ersetzte Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens 4 Wochen vorher. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; dann kann jede Seite den Hauptvertrag kündigen.

(3) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.

§ 6 Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. Vor-Ort-Kontrollen sind nach rechtzeitiger Ankündigung während der üblichen Geschäftszeiten möglich, soweit sie für den Nachweis erforderlich sind.

§ 7 Löschung nach Vertragsende

Nach Ende des Hauptvertrags löscht der Auftragsverarbeiter alle Daten der Gäste des Verantwortlichen automatisch nach 30 Tagen. Innerhalb dieser Frist kann der Verantwortliche eine frühere Löschung verlangen.

§ 8 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB.

(2) Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor.

(3) Es gilt deutsches Recht.

Anlage 1 – Technische und organisatorische Maßnahmen

• Verschlüsselung: Übertragung ausschließlich per HTTPS; Karten-Kennungen, Passwörter und PINs werden nur als Prüfsumme bzw. Hash gespeichert.
• Datensparsamkeit: keine Namen, E-Mail-Adressen oder dauerhaft gespeicherten IP-Adressen der Gäste.
• Zugangskontrolle: passwortgeschützte Konten, PIN für das Personal, Begrenzung von Anmeldeversuchen, automatische Abmeldung, Schutz gegen Formular-Missbrauch (CSRF).
• Zugriffskontrolle: Jedes Café sieht ausschließlich eigene Daten; administrativer Zugriff nur durch den Auftragsverarbeiter selbst.
• Eingabekontrolle: Protokollierung aller Stempel- und Einlösevorgänge.
• Verfügbarkeit: Hosting in einem deutschen Rechenzentrum mit Datensicherungen des Hosters.
• Löschung: automatische Löschung 30 Tage nach Vertragsende; technische Schutzdaten nach spätestens 24 Stunden.

Anlage 2 – Unterauftragsverarbeiter

Stripe verarbeitet nur Zahlungsdaten der Cafés im Rahmen des Abos (eigene Verantwortlichkeit), keine Daten der Gäste.