Auftragsverarbeitung

Vertragsparteien und Einbeziehung

Auftraggeber: Noch offen: Die Angaben zum Auftraggeber werden für den jeweiligen Unternehmensvertrag ergänzt.. Auftragsverarbeiter: Samwel Najaryan (Einzelunternehmer), handelnd unter GetStemp, erreichbar unter Samwel Najaryan, c/o Postflex #6022, Emsdettener Str. 10, 48268 Greven, Deutschland; hello@getstemp.de.

Dieser Vertrag konkretisiert die Pflichten nach Art. 28 DSGVO für die im Hauptvertrag vereinbarte Verarbeitung personenbezogener Daten im Auftrag. Er wird mit den ausgefüllten Anlagen in schriftlicher oder elektronischer Form vereinbart. Er geht bei Widersprüchen zu allgemeinen Datenschutzregelungen des Hauptvertrags vor. Nicht umfasst sind eigenständige Verarbeitungen von GetStemp für eigene Zwecke, etwa die eigene Rechnungsstellung.

1. Gegenstand, Dauer und Umfang

Gegenstand ist die technische Bereitstellung und Verwaltung digitaler Kundenbindungsprogramme einschließlich Karten, Stempelbuchungen, Prämien, Wiederherstellung und vom Auftraggeber rechtmäßig veranlasster Nachrichten. Die Verarbeitung umfasst nach aktivierten Funktionen insbesondere Erheben, Erfassen, Ordnen, Speichern, Auslesen, Übermitteln, Bereitstellen, Einschränken und Löschen der in Anlage A beschriebenen Daten.

Die Verarbeitung dauert grundsätzlich für die Dauer des Hauptvertrags und die rechtlich erforderliche Rückgabe-/Löschphase. Zweck und Datenkategorien dürfen nicht ohne geeignete dokumentierte Vereinbarung erweitert werden. Verarbeitung mit eigenen Zwecken des Auftragsverarbeiters ist nicht von dieser Vereinbarung gedeckt.

2. Weisungen und Rechtmäßigkeit

Der Auftraggeber bestimmt die Zwecke seiner Kundenbindungsprogramme und verantwortet deren Rechtsgrundlage, Transparenz und erforderliche Einwilligungen. GetStemp verarbeitet die Auftragsdaten nur auf dokumentierte Weisung, auch hinsichtlich Übermittlungen in Drittländer, sofern keine zwingende gesetzliche Verarbeitungspflicht besteht. In diesem Fall informiert GetStemp den Auftraggeber vor der Verarbeitung, soweit das Gesetz dies nicht wegen eines wichtigen öffentlichen Interesses untersagt.

Die vertragsgemäße Nutzung der aktivierten Funktionen gilt als dokumentierte Weisung im vereinbarten Umfang. Zusätzliche Weisungen werden in Textform erteilt und mit Zeitpunkt und Berechtigung dokumentiert. Weisungsberechtigte Personen und Kontaktwege sind in Anlage A zu bestimmen. Eine mündliche Notfallweisung wird unverzüglich dokumentiert.

Hält GetStemp eine Weisung für datenschutzrechtswidrig, informiert GetStemp den Auftraggeber unverzüglich und setzt die betroffene Verarbeitung bis zur Klärung aus, soweit dies erforderlich ist. Die übrige rechtmäßige Verarbeitung wird nicht ohne sachlichen Grund gestoppt. Eine Weisung entbindet GetStemp nicht von eigenen gesetzlichen Pflichten.

3. Vertraulichkeit und befugte Personen

GetStemp setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriffe werden nach Aufgabe und Erforderlichkeit vergeben. Vertraulichkeit und Schutzpflichten gelten auch nach Ende der Tätigkeit beziehungsweise des Vertrags fort. Berechtigungen und Verpflichtungen sind nachweisbar zu dokumentieren.

4. Sicherheit der Verarbeitung

GetStemp trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen unter Berücksichtigung von Risiko, Art, Umfang, Umständen und Zweck der Verarbeitung sowie Stand der Technik und Implementierungskosten. Die verbindlichen Maßnahmen werden in Anlage B festgehalten. Änderungen dürfen das vereinbarte Schutzniveau nicht insgesamt absenken; wesentliche Änderungen werden nachvollziehbar dokumentiert.

Die Maßnahmen betreffen insbesondere Zugriffsschutz und Mandantentrennung, Verschlüsselung, Schutz von Schlüsseln, Protokollierung, sichere Entwicklung und Aktualisierung, Verfügbarkeit und Wiederherstellung, Löschung sowie regelmäßige Prüfung der Wirksamkeit. Eine bestimmte Zertifizierung ist nur geschuldet oder behauptet, wenn sie tatsächlich vorliegt und ausdrücklich angegeben ist.

5. Unterauftragsverarbeiter

Der Auftraggeber genehmigt die in der ausgefüllten Anlage C konkret bezeichneten Unterauftragsverarbeiter. GetStemp informiert ihn mindestens 30 Kalendertage vor der geplanten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters über Dienst, Datenkategorien, Standorte und gegebenenfalls Übermittlungsgrundlagen. Änderungen werden erst nach Ablauf dieser Frist und Behandlung berechtigter Einwände wirksam eingesetzt. Für tatsächlich dringende Fälle ist eine vorgezogene gesonderte Genehmigung einzuholen, soweit nicht eine gesetzliche Pflicht vorgeht.

Der Auftraggeber kann aus sachlich begründeten Datenschutzgründen innerhalb dieser Frist widersprechen. Die Parteien suchen eine geeignete Alternative. Lässt sich eine datenschutzkonforme Fortführung nicht erreichen, kann der betroffene Leistungsteil ohne besondere Kündigungsgebühr beendet werden; vorausbezahlte nicht erbrachte Leistungen werden erstattet. Ein unlösbarer Konflikt berechtigt nicht zur Verarbeitung durch einen nicht genehmigten Unterauftragsverarbeiter.

GetStemp verpflichtet Unterauftragsverarbeiter auf mindestens die nach Art. 28 Abs. 4 DSGVO erforderlichen Datenschutzpflichten und bleibt gegenüber dem Auftraggeber für deren Erfüllung im gesetzlich vorgesehenen Umfang verantwortlich. Unabhängig Verantwortliche, insbesondere ein Wallet-Anbieter für dessen eigene Endkunden-Accountfunktionen, werden nicht allein durch Aufnahme in eine Tabelle zu Unterauftragsverarbeitern.

6. Verarbeitungsorte und Drittlandtransfers

Zugelassene Verarbeitungsorte und Unterauftragnehmer sind in Anlage C verbindlich anzugeben. Verarbeitung oder Zugriff außerhalb der vereinbarten Staaten bedarf einer dokumentierten Weisung beziehungsweise Genehmigung und einer rechtmäßigen Grundlage nach Art. 44 ff. DSGVO. Erforderliche Standardvertragsklauseln, Transferbewertungen und ergänzende Maßnahmen werden vor der Übermittlung vereinbart beziehungsweise dokumentiert. Diese AVV allein legitimiert keinen Drittlandtransfer.

7. Betroffenenrechte

GetStemp unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen bei Anfragen nach Art. 12 bis 22 DSGVO. Direkt eingehende Anfragen zu Auftragsdaten werden unverzüglich an den Auftraggeber weitergeleitet. GetStemp beantwortet sie grundsätzlich nach Weisung, soweit keine eigene gesetzliche Pflicht zu einer Antwort besteht.

GetStemp stellt die erforderlichen Daten und Informationen rechtzeitig bereit, damit der Auftraggeber gesetzliche Fristen einhalten kann. Verfügbare Selbstbedienungsfunktionen ersetzen nicht die Unterstützung bei fehlenden oder unvollständigen Export- oder Löschmöglichkeiten. Die Identität des Anfragenden wird nur im erforderlichen Umfang geprüft.

8. Sicherheitsvorfälle und Unterstützung

Wird GetStemp eine Verletzung des Schutzes personenbezogener Auftragsdaten bekannt, informiert GetStemp den Auftraggeber unverzüglich. Die Meldung enthält, soweit verfügbar, Art und Umfang des Vorfalls, betroffene Daten und Personengruppen, wahrscheinliche Folgen, ergriffene beziehungsweise vorgeschlagene Maßnahmen und eine Kontaktperson. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht; eine erste Meldung wird nicht bis zur vollständigen Aufklärung aufgeschoben.

GetStemp dokumentiert den Vorfall, ergreift erforderliche Sicherungsmaßnahmen und unterstützt den Auftraggeber bei Pflichten nach Art. 32 bis 36 DSGVO, insbesondere Meldungen, Benachrichtigungen, Datenschutz-Folgenabschätzung und erforderlicher Konsultation. Die 72-Stunden-Frist für die Meldung des Verantwortlichen an die Aufsicht ist keine allgemeine Wartefrist für GetStemp.

9. Nachweise und Kontrollen

GetStemp stellt dem Auftraggeber die erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung und des Art. 28 DSGVO bereit. GetStemp ermöglicht und unterstützt angemessene Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer.

Routinekontrollen werden möglichst angekündigt und so durchgeführt, dass der laufende Betrieb und Rechte anderer Kunden angemessen geschützt werden. Bei konkreten Vorfällen oder behördlicher Dringlichkeit dürfen notwendige Prüfungen nicht durch starre Ankündigungsfristen verhindert werden. Geeignete Berichte können Prüfungen erleichtern, schließen berechtigte weitergehende Kontrollen aber nicht pauschal aus. Eine etwaige gesonderte Vergütung zusätzlicher Leistungen darf gesetzliche Kontrollrechte nicht vereiteln.

10. Rückgabe und Löschung

Nach Abschluss der Verarbeitung gibt GetStemp nach Wahl des Auftraggebers die personenbezogenen Auftragsdaten zurück oder löscht sie und löscht vorhandene Kopien, soweit keine gesetzliche Speicherungspflicht entgegensteht. Gesetzliche Datenabruf- und Wechselrechte sind zu beachten. Der Ablauf, Exportumfang, Formate und Fristen werden in Anlage A konkret festgelegt.

Nicht mehr benötigte Zugänge und Weiterverarbeitungen werden beendet. Daten in unveränderlichen Protokollen und Sicherungen sind in das Löschkonzept einzubeziehen. Bis zu einer zulässigen endgültigen Löschung werden solche Daten gesperrt, nicht regulär verwendet und bei einer Wiederherstellung erneut dem Löschverfahren unterzogen. Eine bloße Kennzeichnung als „anonymisiert“ ist nur dann als Anonymisierung zu behandeln, wenn eine Personenbeziehbarkeit tatsächlich nicht mehr besteht.

GetStemp dokumentiert und bestätigt die Rückgabe beziehungsweise Löschung. Gesetzlich erforderliche Restaufbewahrungen werden mit Zweck, Umfang, Rechtsgrundlage und Frist mitgeteilt, soweit rechtlich zulässig. Eine pauschale unbegrenzte Speicherung der Stempelhistorie ist nicht vereinbart.

11. Haftung und Schlussregeln

Die gesetzliche Haftung gegenüber betroffenen Personen, insbesondere Art. 82 DSGVO, bleibt unberührt. Im Innenverhältnis gelten zulässige Vereinbarungen des Hauptvertrags und die gesetzliche Verantwortungsverteilung. Weder die Rolle als Auftragsverarbeiter noch eine Weisung bewirkt einen allgemeinen Haftungsausschluss. Eigene Verstöße einer Partei werden nicht pauschal der anderen Partei zugerechnet.

Änderungen dieser Vereinbarung und der genehmigten Anlagen werden dokumentiert. Sind einzelne Regelungen unwirksam, treten die gesetzlichen Regelungen an ihre Stelle. Die rechtlich erforderlichen Datenschutzpflichten gelten weiter.

Anlage A – Verarbeitungsbeschreibung und Weisungskontakte

Gegenstand: das im Hauptvertrag bezeichnete Kundenbindungsprogramm und seine freigeschalteten Funktionen.
Betroffene Personen: Kunden und Karteninhaber des Auftraggebers; gegebenenfalls dessen Beschäftigte und berechtigte Programmverwalter, soweit ihre Daten im Auftrag verarbeitet werden.
Daten: pseudonyme Karten-/Programmkennungen, Stempel und Prämien, Buchungen und Zeitpunkte, Geschäfts-/Standortzuordnung, erforderliche Akteurskennungen, freiwillige bestätigte Wiederherstellungsadresse, Einwilligungs-/Widerrufsnachweise, Nachrichteninhalte und Zustellinformationen, Wallet-/Geräte-/Pushkennungen sowie erforderliche technische Sicherheitsdaten.
Tätigkeiten: Karten erstellen und aktualisieren, Buchungen dokumentieren, Prämien verwalten, rechtmäßig veranlasste Nachrichten übermitteln, Wiederherstellung, Export, Einschränkung und Löschung.
Besonders sensible Daten: Besondere Kategorien nach Art. 9 DSGVO und Daten nach Art. 10 DSGVO sind ohne gesonderte Vereinbarung, passende Rechtsgrundlage und Schutzmaßnahmen nicht vorgesehen. Freitexte und sensible branchenspezifische Programme sind darauf gesondert zu prüfen.
Weisungsberechtigte Personen des Auftraggebers: Noch offen: Die weisungsberechtigten Personen und verifizierten Kontaktwege des Auftraggebers werden individuell festgelegt.. Ansprechpartner von GetStemp: Noch offen: Die zuständigen befugten Personen bei GetStemp werden noch benannt., hello@getstemp.de.
Dauer und Fristen: Vertragsdauer zuzüglich zulässiger Rückgabephase; danach Noch offen: Die konkreten Löschfristen je Datenkategorie und die Fristen für Sicherungskopien werden noch ergänzt.. Auftragsdaten werden nicht allein wegen interner Bequemlichkeit weiter gespeichert.
Datenrückgabe: Noch offen: Datenumfang, Formate, Bereitstellungsweg, Authentifizierung und Fristen der vollständigen Datenrückgabe werden noch festgelegt.. Der aktuell vorhandene Teil-Export ist vor einem solchen Leistungsversprechen zu vervollständigen.

Anlage B – Technische und organisatorische Maßnahmen

Noch offen: Die verbindliche Anlage zu technischen und organisatorischen Maßnahmen ist noch zu vervollständigen. Die folgenden Punkte sind keine Bestätigung bereits geprüfter Maßnahmen.

Zugriff und Berechtigungen: tatsächliches Rollenmodell, Trennung von Mandanten, Verwaltungszugriffe, Zwei-Faktor-Verfahren, Eintritts-/Austrittsprozess und regelmäßige Rechteprüfung dokumentieren. Im Code sind rollenbezogene Prüfungen und Zwei-Faktor-Funktionen vorgesehen.
Übertragung und Speicherung: tatsächlich eingesetzte TLS-Versionen, private Objektspeicher, Verschlüsselung ausgewählter sensibler Felder und Sicherungen sowie getrennte Schlüsselverwaltung dokumentieren. Eine vollständige Verschlüsselung sämtlicher Datenbestände wird nicht ungeprüft behauptet.
Integrität: Validierung, Zugriffsschutz, Buchungs- und Auditnachweise sowie kontrollierte Korrektur- und Löschwege beschreiben. Unveränderlichkeit ersetzt kein Löschkonzept.
Verfügbarkeit: Backuphäufigkeit, Aufbewahrungsorte, Verschlüsselung, Wiederherstellungsziele, getestete Restore-Verfahren, Überwachung und Zuständigkeiten angeben.
Entwicklung und Betrieb: Patchprozess, Sicherheitsprüfung, Trennung von Test- und Produktivdaten, Geheimnisverwaltung und nachvollziehbare Veröffentlichungen beschreiben.
Datenschutzorganisation: Vertraulichkeitsverpflichtungen, Schulungen, Bearbeitung von Betroffenenrechten, Vorfallmanagement, Unterstützungspflichten und regelmäßige Wirksamkeitskontrollen festlegen.
Löschung und Rückgabe: tatsächliche Löschjobs, Sonderfall Protokolle/Sicherungen, Anbieterwiderruf, Datenexport und Löschbestätigung festlegen und testen.

Anlage C – Unterauftragsverarbeiter und Transfers

Noch offen: Die verbindlichen Angaben zu Unterauftragnehmern, Tätigkeiten, Datenkategorien, Ländern, Vertragsgrundlagen und Schutzmaßnahmen werden vor Abschluss ergänzt.

Webserver/Rechenzentrum: MC-Host, Betrieb des Webservers in Deutschland. Noch offen: Vertragsfirma, Anschrift, Rechenzentrum, weitere Zugriffsorte und AV-Vertrag des Hostinganbieters werden noch ergänzt..
E-Mail: MC-Host / mail.mailnine24.de, soweit für Servicekommunikation im Auftrag verwendet: Noch offen: Vertragsfirma, Verarbeitungsorte, AV-Vertrag und Unterauftragnehmer des E-Mail-Dienstes werden noch ergänzt..
Objekt- und Backupspeicher: Noch offen: Die Betreiber und Speicherorte von Objekt- und Backupspeichern werden noch ergänzt..
Wallet-/Push-Anbindungen: Noch offen: Die konkreten Anbieter und Datenschutzrollen der Wallet- und Push-Anbindungen werden noch zugeordnet..
Sicherheitsdienst reCAPTCHA: Noch offen: Der Umfang einer etwaigen Verarbeitung von Auftragsdaten durch reCAPTCHA und die zugehörigen Verträge werden noch geprüft..

Anlagenfassung: Noch offen: Datum und Version der verbindlichen Anlagen werden bei Abschluss ergänzt.. Zustimmung der Parteien: Noch offen: Die Zustimmung der Parteien wird beim individuellen Vertragsabschluss dokumentiert..