Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

1. Parteien und Gegenstand

Dieser Vertrag gilt zwischen dem Kunden von Stammo als Verantwortlichem („Auftraggeber“) und creaDIG, Muhammed Emin Akyol, Albert-Einstein-Straße 1, 49076 Osnabrück, als Auftragsverarbeiter („Auftragnehmer“). Er wird mit Annahme der AGB geschlossen und läuft so lange wie der Hauptvertrag. Gegenstand ist der Betrieb der digitalen Stempelkarte samt Dashboard, Scanner und Meldungen.

2. Art der Daten und betroffene Personen

• Gäste des Auftraggebers: zufällige Kartennummer, Stempel, Besuchszeitpunkte, Filiale, Einwilligung zu Meldungen samt Zeitpunkt, Wallet-Gerätekennungen für Updates, freiwillige Bewertungen (Sterne, Kommentar, ggf. Vorname und E-Mail)
• Personal des Auftraggebers: Name, E-Mail-Adresse, Rolle, Anmeldedaten

Zweck ist ausschließlich die Durchführung des Bonusprogramms und der vereinbarten Auswertungen.

3. Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus dem Vertrag und den Einstellungen im Dashboard. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich.

4. Vertraulichkeit und Sicherheit

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Der Auftragnehmer trifft technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere:

• Verschlüsselte Übertragung (TLS) und verschlüsselte Speicherung in der EU (Frankfurt am Main)
• Trennung der Daten je Kunde und rollenbasierter Zugriff (Inhaber, Personal, Administrator)
• Passwörter nur als Hash, Begrenzung von Anmeldeversuchen, sichere Sitzungen
• Datensparsamkeit: Gästekarten kommen ohne Name, Telefonnummer oder E-Mail aus
• Regelmäßige Sicherungen beim Datenbankanbieter und Protokollierung von Zugriffen

5. Unterauftragsverarbeiter

Der Auftraggeber genehmigt folgende Unterauftragsverarbeiter:

• Vercel Inc. (Hosting, Server in der EU bevorzugt)
• Neon Inc. (Datenbank, Region Frankfurt am Main)
• Resend Inc. (Versand von System-E-Mails, Region Irland)
• Stripe Payments Europe Ltd. (Zahlungsabwicklung, nur Daten des Auftraggebers)
• Apple Inc. und Google LLC (Zustellung von Wallet-Karten und Updates)
• Vercel AI Gateway (KI-Support und Vorschläge, ohne Gästedaten)

Übermittlungen in Drittländer erfolgen nur auf Grundlage des EU-US Data Privacy Framework oder von Standardvertragsklauseln. Neue Unterauftragsverarbeiter kündigt der Auftragnehmer 4 Wochen vorher per E-Mail an; der Auftraggeber kann aus wichtigem Grund widersprechen.

6. Unterstützung und Meldepflichten

Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen betroffener Personen (Auskunft, Löschung usw.) und bei Datenschutz-Folgenabschätzungen. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis.

7. Kontrollen

Der Auftragnehmer stellt die zum Nachweis nötigen Informationen bereit. Kontrollen vor Ort sind nach rechtzeitiger Anmeldung zu den üblichen Geschäftszeiten möglich, höchstens einmal im Jahr, außer bei konkretem Anlass.

8. Ende der Verarbeitung

Nach Vertragsende gibt der Auftragnehmer die Daten auf Wunsch heraus und löscht sie spätestens nach 30 Tagen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht.

Stand: Oktober 2026