Auftragsverarbeitungsvertrag

Der jeweilige Händler ist Verantwortlicher („Verantwortlicher“). Auftragsverarbeiterin ist Inge Müller, Amalienstraße 14, 82140 Olching, Deutschland („Auftragsverarbeiterin“). Dieser Auftragsverarbeitungsvertrag (AVV) ergänzt den Händlervertrag und gilt, sobald und soweit Bonusbiene personenbezogene Daten im Auftrag des Händlers verarbeitet.

Gegenstand ist die technische Bereitstellung der digitalen Stempelkarte einschließlich Kartenverwaltung, Stempel- und Einlösevorgängen, Wallet-Aktualisierung, Händlerkonto und Support. Die Verarbeitung dauert für die Laufzeit des Händlervertrags, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Die Verarbeitung dient ausschließlich der Durchführung des Treueprogramms des Händlers und der technischen Absicherung des Dienstes. Betroffene Personen sind insbesondere Kunden, die eine Stempelkarte nutzen, sowie Beschäftigte und Ansprechpartner des Händlers.

Verarbeitet werden können pseudonyme Karten-Token, Karten-, Stempel- und Einlöseereignisse, Zeitpunkte, Händler- und Kartenparameter, IP-Adresse und User-Agent im Stempelprotokoll, Apple-Geräte- und Push-Kennungen sowie – nur zur unmittelbaren Geofence-Prüfung – Standortkoordinaten und Genauigkeit. Standortdaten werden hierfür nicht dauerhaft gespeichert. Für Händlerkonten können geschäftliche Kontakt-, Zugangs-, Support- und Abrechnungsdaten verarbeitet werden.

Die Auftragsverarbeiterin verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit nicht Unions- oder Mitgliedstaatenrecht zur Verarbeitung verpflichtet. Hält sie eine Weisung für rechtswidrig, informiert sie den Verantwortlichen unverzüglich. Die zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet.

Bonusbiene trifft angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO und hält sie unter Berücksichtigung der technischen Entwicklung aktuell. Dazu gehören insbesondere verschlüsselte Übertragung, rollen- und mandantenbezogene Zugriffskontrollen, Authentifizierung der Händlerzugänge, pseudonyme Karten-Token, die Vermeidung von Klartext-Token und Standortdaten in Anwendungsprotokollen, Rate-Limits und Missbrauchsschutz sowie Verfahren für Verfügbarkeit, Wiederherstellung und regelmäßige Sicherheitsüberprüfung.

Der Verantwortliche erteilt eine allgemeine Genehmigung für den Einsatz der folgenden Unterauftragsverarbeiter, soweit sie Daten im Auftrag verarbeiten: Supabase (Datenbank, Authentifizierung, Speicher), Vercel (Hosting), Resend (E-Mail-Versand) und – für die Wallet-Funktion – Apple bzw. Google. Stripe verarbeitet Zahlungsdaten nach seiner eigenen Rolle und den mit dem Händler bzw. Bonusbiene geschlossenen Zahlungsbedingungen.

Über eine beabsichtigte Hinzunahme oder Ersetzung wird Bonusbiene den Verantwortlichen vorab in Textform informieren. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen. Bei Verarbeitung außerhalb der EU/des EWR stellt Bonusbiene geeignete Garantien nach Kapitel V DSGVO sicher.

Bonusbiene unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und Konsultationen. Verletzungen des Schutzes personenbezogener Daten meldet Bonusbiene dem Verantwortlichen unverzüglich, sobald sie davon Kenntnis erlangt, und stellt die verfügbaren Informationen zur Verfügung.

Nach Ende des Händlervertrags löscht oder gibt Bonusbiene die im Auftrag verarbeiteten Daten nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Pflicht zur Speicherung besteht. Auf Anfrage stellt Bonusbiene die für den Nachweis der Pflichten aus Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht angemessene Prüfungen nach vorheriger Ankündigung während üblicher Geschäftszeiten, soweit diese nicht den Betrieb oder die Daten anderer Händler beeinträchtigen.