Auftragsverarbeitungsvertrag

Gegenstand, Parteien und Rangfolge

Dieser Vertrag regelt, wie wir personenbezogene Daten verarbeiten, die wir für dich verarbeiten (Art. 28 DSGVO). Diese Daten — die in Anlage 1 beschriebenen Daten, insbesondere die deiner Gäste und deiner Mitarbeitenden — heißen in diesem Vertrag „Auftragsdaten“. Nicht dazu gehören die Daten nach dem letzten Absatz dieses Paragraphen.

Verantwortlicher bist du: der Betrieb, der die Stempelkarte an seine Gäste ausgibt. Auftragsverarbeiter sind wir: die Printproof UG (haftungsbeschränkt), Beim Schlump 15, 20144 Hamburg, eingetragen im Handelsregister des Amtsgerichts Hamburg unter HRB 199187, vertreten durch den Geschäftsführer Dennis Achtziger. Kontakt für alle Anliegen aus diesem Vertrag: support@treubar.de. Treubar hieß zuvor „Treuly“; die Umbenennung ändert weder die Parteien noch den Inhalt dieses Vertrages, und Weisungen oder Meldungen an die bisherige Adresse support@treuly.de erreichen uns weiterhin.

Der Vertrag wird nach § 10 der AGB mit Vertragsschluss Bestandteil des Vertrages über die Nutzung von Treubar. Maßgeblich ist die bei Vertragsschluss von uns veröffentlichte Fassung (derzeit unter https://www.treubar.de/avv, in englischer Sprache unter https://www.treubar.de/en/dpa) mit den Änderungen, die nach § 14 wirksam geworden sind; auf Anforderung an support@treubar.de stellen wir dir diese und frühere Fassungen in Textform zur Verfügung. Vertragssprache ist die nach § 4 Absatz 4 der AGB bestimmte Sprache; maßgeblich ist die Fassung dieses Vertrages in der Vertragssprache.

Widersprechen sich dieser Vertrag und die AGB, gilt für die Verarbeitung personenbezogener Daten dieser Vertrag.

Nicht von diesem Vertrag erfasst sind die Daten, für die wir selbst Verantwortlicher sind: deine Konto-, Vertrags- und Abrechnungsdaten, die Bestellung eines NFC-Aufstellers, die Verbindungsdaten unserer Server-Protokolle, die wir für den sicheren Betrieb unseres Dienstes verarbeiten (§ 2 der Datenschutzerklärung), die Nutzungsdaten unserer Anwendungen für Betriebe (Produktanalyse, § 6 der Datenschutzerklärung), die Push-Merkmale unserer iOS-App für Betriebe (§ 2 der Datenschutzerklärung) sowie die persönlichen Treubar-Zugänge deiner Mitarbeitenden (§ 1a der Datenschutzerklärung). Dafür gilt unsere Datenschutzerklärung unter https://www.treubar.de/datenschutz.

Dauer

Dieser Vertrag beginnt mit dem Vertrag über die Nutzung von Treubar und endet mit ihm. Eine gesonderte Kündigung ist weder nötig noch möglich.

Die Pflichten zur Vertraulichkeit (§ 6) und zur Löschung oder Rückgabe (§ 12) gelten über das Vertragsende hinaus.

Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

Art und Zweck der Verarbeitung, die Arten der verarbeiteten personenbezogenen Daten und die Kategorien betroffener Personen stehen in Anlage 1.

Wir verarbeiten diese Daten ausschließlich, um Treubar für dich zu betreiben — nicht für eigene Zwecke. Wir bilden aus den Auftragsdaten keine eigenen Werbeprofile, geben sie nicht an Dritte weiter, außer an die in Anlage 3 genannten Unterauftragsverarbeiter und die dort genannten Dienste, die diese ihrerseits einsetzen, und verkaufen sie nicht.

Deine Rechte und Pflichten als Verantwortlicher

Du entscheidest über Zweck und Mittel der Verarbeitung und bist für ihre Rechtmäßigkeit verantwortlich. Du kannst jederzeit Auskunft über die Verarbeitung verlangen und Weisungen erteilen (§ 5); die Einhaltung dieses Vertrages kannst du nach § 13 überprüfen.

Dir obliegen insbesondere: die Information deiner Gäste und deiner Mitarbeitenden nach Art. 13 und 14 DSGVO, die Einholung und der Nachweis erforderlicher Einwilligungen — auch für Push-Nachrichten und Kampagnen nach § 7 UWG —, die Teilnahmebedingungen deines Treueprogramms (§ 9 der AGB), die Beantwortung von Anfragen deiner Gäste und deiner Mitarbeitenden (§ 10) sowie dein eigenes Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DSGVO.

Du entscheidest allein, welche Daten du in Treubar eingibst. Das gilt besonders für Freitextfelder wie den Anzeigenamen eines Gastes, der in Treubar und auf der Karte des Gastes — auf der Rückseite des Apple-Wallet-Passes und im Google-Wallet-Objekt (§ 9) — anstelle seines Namens erscheint: Was dort steht, verarbeiten wir, ohne es zu prüfen. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO — etwa Gesundheitsdaten — gehören nicht in Treubar; die Anwendung ist dafür weder vorgesehen noch eingerichtet.

Benenne uns eine Stelle, an die wir uns in Angelegenheiten dieses Vertrages wenden können. Ohne gesonderte Benennung sind das die E-Mail-Adressen der Admin-Zugänge deines Betriebs. Halte sie aktuell — an die benannte Stelle und an alle Admin-Zugänge geht auch eine Meldung nach § 11.

Weisungsbindung

Wir verarbeiten die Auftragsdaten ausschließlich auf deine dokumentierte Weisung. Das gilt auch für eine Übermittlung in ein Drittland (§ 9). Etwas anderes gilt nur, wenn wir nach Unionsrecht oder deutschem Recht zur Verarbeitung verpflichtet sind; in diesem Fall teilen wir dir die rechtliche Anforderung vor der Verarbeitung mit, sofern das Gesetz das nicht verbietet.

Deine erste Weisung ist der Funktionsumfang des von dir gebuchten Tarifs zusammen mit den Einstellungen, die du in Treubar vornimmst: die Gestaltung der Karte, die Belohnung, deine Standorte, die Zugänge deines Teams, die von dir ausgelösten Kampagnen und Automatisierungen sowie der Einsatz eines NFC-Aufstellers. Was du dort einstellst, weist du damit an.

Weitere oder abweichende Weisungen erteilst du in Textform an support@treubar.de. Wir dokumentieren sie. Geht eine Weisung über den vertraglich geschuldeten Leistungsumfang hinaus, können wir den angemessenen Mehraufwand berechnen; wir weisen dich darauf hin, bevor er entsteht.

Sind wir der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, teilen wir dir das unverzüglich mit. Bis du die Weisung bestätigst, dürfen wir ihre Ausführung aussetzen.

Vertraulichkeit der eingesetzten Personen

Zugang zu den Auftragsdaten erhält nur, wer ihn für seine Aufgabe braucht.

Jede Person, die in unserem Auftrag mit diesen Daten arbeitet, verpflichten wir vor Aufnahme der Tätigkeit schriftlich zur Vertraulichkeit, soweit sie nicht ohnehin einer gesetzlichen Verschwiegenheitspflicht unterliegt (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.

Wir weisen diese Personen in die für sie geltenden Datenschutzpflichten ein.

Sicherheit der Verarbeitung (Art. 32 DSGVO)

Wir treffen alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, mindestens die in Anlage 2 beschriebenen. Anlage 2 beschreibt den Stand zum oben genannten Fassungsdatum.

Technik veraltet, deshalb dürfen wir die Maßnahmen weiterentwickeln. Das Schutzniveau darf dabei nicht unter das der Anlage 2 fallen. Eine wesentliche Änderung halten wir in einer neuen Fassung dieses Vertrages fest.

Unterauftragsverarbeiter

Du erteilst uns die allgemeine Genehmigung, die in Anlage 3 genannten Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 Satz 2 DSGVO).

Wollen wir einen weiteren Unterauftragsverarbeiter hinzunehmen oder einen bestehenden austauschen, kündigen wir das mindestens 30 Tage vorher in Textform an die nach § 4 benannte Stelle an. Du kannst der Änderung binnen 14 Tagen ab Zugang der Ankündigung aus einem datenschutzrechtlichen Grund widersprechen. Widersprichst du und lässt sich die Leistung ohne den betroffenen Unterauftragsverarbeiter nicht mit zumutbarem Aufwand erbringen, kann jede Partei den Vertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen; im Voraus gezahlte Entgelte erstatten wir für den nicht erbrachten Zeitraum anteilig.

Jeden Unterauftragsverarbeiter verpflichten wir vertraglich auf Datenschutzpflichten, die denen dieses Vertrages im Wesentlichen entsprechen (Art. 28 Abs. 4 DSGVO). Kommt er seinen Pflichten nicht nach, haften wir dir gegenüber für sein Verhalten wie für eigenes.

Keine Unterauftragsverarbeitung im Sinne dieses Paragraphen sind Nebenleistungen, die wir in Anspruch nehmen, ohne dass sie einen Bezug zu den Auftragsdaten haben — etwa Telekommunikation, Post oder die Reinigung von Geschäftsräumen.

Verarbeitung außerhalb der EU

Die Datenbank mit den Auftragsdaten liegt in der Europäischen Union. Daten gelangen aber auch in Drittländer, wenn ein Unterauftragsverarbeiter sie dort verarbeitet oder von dort auf sie zugreift.

Insbesondere: Wählt ein Gast auf der Anmeldeseite Google Wallet, legen wir sofort bei Google ein Wallet-Objekt an — auch wenn er die Karte danach nicht in Google Wallet speichert. Es enthält den Namen, den Treubar zu diesem Zeitpunkt anzeigt (Vor- und Nachnamen oder einen von deinem Team hinterlegten Anzeigenamen), die vollständige Seriennummer des Passes im QR-Code und deren erste acht Zeichen als Kundennummer, den Stempelstand, die Gestaltung der Karte, die Koordinaten deiner Standorte, gegebenenfalls einen persönlichen Stempel-Link des Gastes („Jetzt stempeln“) und später den Text der Nachrichten, die in deinem Namen an den Pass gehen; Änderungen am Stempelstand übermitteln wir laufend. Für die Löschung gilt § 10. Liegt die Karte in Apple Wallet, senden wir an den Push-Dienst von Apple nur das Push-Merkmal des Geräts und eine inhaltslose Benachrichtigung, damit das Gerät den Pass bei uns neu abholt; Name und Stempelstand übermitteln wir dabei nicht. Jede Verbindung zu unserer Schnittstelle — auch mit den Angaben aus dem Anmeldeformular der Karte — läuft über das Netz der Cloudflare, Inc. (USA), das unser Hosting-Dienstleister Render seinem Dienst vorschaltet; Cloudflare nimmt die verschlüsselte Verbindung entgegen und leitet sie an unseren Server in Frankfurt am Main weiter. Die Anmeldung deines Teams läuft über unseren Authentifizierungsdienst Clerk, Inc. (USA); in deinem Auftrag verarbeitet Clerk dabei, welchem Betrieb und welcher Rolle ein Zugang zugeordnet ist.

Für Empfänger mit Sitz in den USA stützen wir die Übermittlung auf den Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework, soweit der Empfänger dort zertifiziert ist, und im Übrigen auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Auf Anforderung an support@treubar.de teilen wir dir für jeden Empfänger mit, worauf die Übermittlung gestützt ist, und schicken dir eine Kopie der vereinbarten Standardvertragsklauseln.

Unterstützung bei Anfragen betroffener Personen

Die Rechte deiner Gäste und deiner Mitarbeitenden aus Art. 15 bis 22 DSGVO erfüllst du; wir unterstützen dich dabei mit geeigneten technischen und organisatorischen Maßnahmen (Art. 28 Abs. 3 lit. e DSGVO).

In den Tarifen Start, Pro und Max kannst du dafür in Treubar ohne unser Zutun: zu einem Gast den Namen (oder den Anzeigenamen, der ihn ersetzt), den Geburtstag, seine Karten und seine jüngsten Stempel- und Einlösevorgänge einsehen (Auskunft), für ihn einen Anzeigenamen hinterlegen, ändern oder entfernen und den Stempelstand seiner Karten korrigieren (Admins und Manager) sowie einen Gast löschen (Admins) — mit seinen Karten, seiner Stempel- und Einlösehistorie, den registrierten Wallet-Geräten und der Zuordnung seines Browsers; Protokolleinträge der NFC-Aufsteller bleiben danach ohne Bezug zum gelöschten Gast erhalten. Admins können außerdem die Gästeliste mit Vor- und Nachnamen, Anzeigenamen und Geburtsdatum sowie die letzten 5.000 Stempelvorgänge deines Betriebs als Tabelle (CSV) exportieren. Ansicht und Export enthalten nicht alle gespeicherten Angaben, unter anderem keine früher erhobene E-Mail-Adresse; der Export enthält zudem keine Einlösungen.

Im Free-Tarif stehen dir diese Funktionen nicht zur Verfügung. Dort und in jedem Tarif für alles, was du nicht selbst erledigen kannst (etwa die Berichtigung von Vor- und Nachnamen oder Geburtsdatum oder die Auskunft über Angaben, die Ansicht und Export nicht enthalten), übernehmen wir das für dich: Auf deine Anforderung an support@treubar.de stellen wir dir alle zu einem Gast gespeicherten Angaben in einem strukturierten, gängigen und maschinenlesbaren Format bereit, berichtigen sie oder löschen den Gast nach deiner Weisung — unentgeltlich und unverzüglich. Für Unterstützung, die darüber hinausgeht, können wir den angemessenen Mehraufwand berechnen; wir weisen dich vorher darauf hin.

Anfragen deiner Mitarbeitenden bearbeitest du in der Teamverwaltung: Zugänge einsehen, Rolle und Standort ändern, einen Zugang sperren oder entfernen. Beim Entfernen bleiben Name, E-Mail-Adresse und Rolle gespeichert, damit nachvollziehbar bleibt, wer gestempelt hat. Auf Anforderung an support@treubar.de berichtigen wir Name oder E-Mail-Adresse oder löschen die Angaben eines entfernten Zugangs; seine Stempel und Einlösungen bleiben dann ohne Zuordnung.

Wendet sich ein Gast oder eine Person aus deinem Team unmittelbar an uns, beantworten wir die Anfrage nicht inhaltlich, sondern verweisen sie an dich und informieren dich unverzüglich. Betrifft die Anfrage Daten, für die wir selbst Verantwortlicher sind (§ 1), beantworten wir sie selbst.

Eine Einschränkung musst du kennen: Ein bei Google angelegtes Wallet-Objekt (§ 9) lässt sich nicht löschen — Google vergibt unveränderliche Objekt-Kennungen und sieht kein Löschen vor. Löschst du einen Gast, setzen wir sein Google-Wallet-Objekt automatisch auf „inaktiv“; löschst du dein Konto, geschieht das für die Objekte aller Pässe deines Betriebs. Löschen wir einen Gast auf deine Anforderung, setzen wir sein Objekt ebenfalls auf „inaktiv“. Google zeigt eine dort gespeicherte Karte danach in der Wallet des Gastes unter den abgelaufenen Karten an, mit den zuletzt übermittelten Angaben einschließlich des Namens, bis der Gast sie entfernt. Schlägt das Inaktivieren fehl, holen wir es auf Anforderung an support@treubar.de unverzüglich, spätestens innerhalb von 30 Tagen, nach. Ein bereits ausgegebener Apple-Wallet-Pass bleibt auf dem Gerät des Gastes liegen, bis er ihn dort entfernt; wir aktualisieren ihn nach der Löschung nicht mehr.

Unterstützung bei Sicherheit, Datenpannen und Folgenabschätzung

Wir unterstützen dich bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO — im Rahmen dessen, was uns an Informationen vorliegt, und unter Berücksichtigung der Art der Verarbeitung (Art. 28 Abs. 3 lit. f DSGVO).

Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, die Auftragsdaten betrifft, melden wir sie dir unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, in Textform an die nach § 4 benannte Stelle und an die E-Mail-Adressen aller Admin-Zugänge deines Betriebs. Die Meldung enthält, soweit uns bekannt: Zeitpunkt oder Zeitraum der Verletzung und den Zeitpunkt unserer Kenntnis, die Art der Verletzung, die betroffenen Systeme und gegebenenfalls den beteiligten Unterauftragsverarbeiter, die betroffenen Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen, die von uns ergriffenen oder vorgeschlagenen Maßnahmen, ob Polizei oder andere Behörden eingeschaltet sind, sowie eine Ansprechperson für Rückfragen. Was wir zunächst nicht wissen, liefern wir nach, sobald wir es wissen.

Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO obliegen dir. Die Frist von 72 Stunden läuft für dich ab deiner Kenntnis; deshalb melden wir dir früh und auch dann, wenn wir den Sachverhalt noch nicht vollständig aufgeklärt haben.

Brauchst du für eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) oder eine vorherige Konsultation der Aufsichtsbehörde (Art. 36 DSGVO) Angaben zu unserer Verarbeitung, stellen wir sie dir auf Anforderung zur Verfügung.

Löschung oder Rückgabe nach Vertragsende

Vertragsende im Sinne dieses Paragraphen ist das Ende des gesamten Vertrages über die Nutzung von Treubar, nicht schon das Ende eines kostenpflichtigen Tarifs. Kündigst du nur einen kostenpflichtigen Tarif, läuft dein Konto im Free-Tarif weiter (§ 6 Absatz 4 der AGB); die Auftragsdaten verarbeiten wir dann nach diesem Vertrag weiter, bis du sie löschst oder der Vertrag insgesamt endet — etwa weil du dein Konto löschst, den Vertrag kündigst oder wir den Free-Tarif nach § 6 Absatz 2 der AGB kündigen.

Nach Vertragsende löschen wir die Auftragsdaten oder geben sie dir zurück — du wählst. Teilst du uns bis zum Ende des Exportzeitraums nichts anderes mit, löschen wir sie.

Der Ablauf: Nach Vertragsende stellen wir dir deine Daten 30 Tage lang (Exportzeitraum) auf Anforderung in Textform in einem gängigen maschinenlesbaren Format bereit (§ 7 Absatz 1 der AGB). Danach löschen wir sie innerhalb weiterer 30 Tage aus den produktiven Systemen. Löschst du dein Konto selbst, löschen wir innerhalb von 30 Tagen ab der Löschung. Kannst du dein Konto nicht selbst löschen, weil zu deinem Betrieb eine Bestellung eines NFC-Aufstellers gehört, genügt eine Nachricht an support@treubar.de; wird die Bestellung noch abgewickelt, schreib uns, sobald sie zugestellt oder erstattet ist. Wir löschen die Auftragsdaten dann und bewahren die Unterlagen zur Bestellung nur im Rahmen der gesetzlichen Aufbewahrungspflichten auf (siehe unten).

In Sicherungskopien enthaltene Daten überschreiben wir im Rahmen des üblichen Sicherungszyklus. Bis dahin sperren wir sie für jede weitere Verarbeitung; wiederhergestellt werden sie nur im Notfall und nicht, um gelöschte Daten zurückzuholen.

Vorbehalten bleibt, was wir gesetzlich aufbewahren müssen: Soweit uns Unionsrecht oder deutsches Recht zur Aufbewahrung verpflichtet — insbesondere § 147 AO und § 257 HGB —, bewahren wir die betroffenen Unterlagen für die Dauer der Frist auf und verwenden sie bis dahin nur noch, um unsere Aufbewahrungspflichten zu erfüllen. Das betrifft Rechnungs-, Buchungs- und Bestelldaten aus unserem eigenen Vertragsverhältnis mit dir, nicht die Stempelkarten deiner Gäste.

Bereits ausgegebene Wallet-Pässe bleiben auf den Geräten deiner Gäste, bis diese sie selbst entfernen. Wir aktualisieren sie nach Vertragsende nicht mehr und nehmen keine Stempel mehr an.

Die Löschung bestätigen wir dir auf Anforderung an support@treubar.de in Textform.

Nachweise und Überprüfungen

Wir stellen dir alle Informationen zur Verfügung, die du brauchst, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen (Art. 28 Abs. 3 lit. h DSGVO) — insbesondere die jeweils gültige Fassung der Anlagen 2 und 3 und Auskunft dazu in Textform.

Wir führen ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten, die wir im Auftrag durchführen (Art. 30 Abs. 2 DSGVO), und stellen es dir auf Anforderung zur Verfügung.

Du kannst überprüfen, ob wir diesen Vertrag einhalten — selbst oder durch einen von dir beauftragten Prüfer, auch durch eine Prüfung vor Ort in unseren Geschäftsräumen. Ohne besonderen Anlass ist eine solche Prüfung einmal je Kalenderjahr möglich; darüber hinaus jederzeit, wenn Anhaltspunkte für einen Verstoß bestehen, nach einer Verletzung des Schutzes personenbezogener Daten (§ 11) oder wenn eine Aufsichtsbehörde die Prüfung von dir verlangt. Wir ermöglichen die Prüfung und wirken an ihr mit, insbesondere durch Auskünfte, die Vorlage der erforderlichen Unterlagen und — bei einer Prüfung vor Ort — Einsicht in die für die Verarbeitung deiner Daten maßgeblichen Abläufe, Einstellungen und Protokolle; Daten anderer Betriebe legen wir dabei nicht offen. Eine Prüfung vor Ort kündigst du mindestens 14 Tage vorher an, bei Anhaltspunkten für einen Verstoß oder nach einer Datenpanne mit angemessen kürzerer Frist; sie findet während der üblichen Geschäftszeiten statt und darf unseren Betrieb nicht unangemessen stören. Einen unmittelbaren Wettbewerber von uns können wir als Prüfer ablehnen. Was bei der Prüfung über unseren Betrieb und unsere Sicherheitsmaßnahmen bekannt wird, behandelst du vertraulich; deinen Prüfer verpflichtest du ebenfalls zur Verschwiegenheit. Den angemessenen Aufwand einer Prüfung vor Ort können wir berechnen, wenn wir dich vorher darauf hingewiesen haben.

Unberührt bleiben Prüfungen, zu denen eine Aufsichtsbehörde befugt ist.

Haftung, Änderungen und Schlussbestimmungen

Für die Haftung gilt § 12 der AGB entsprechend, soweit Art. 82 DSGVO nichts anderes zwingend bestimmt.

Änderungen dieses Vertrages bedürfen der Textform. Für die Anlage 2 gilt § 7, für die Anlage 3 gilt § 8; im Übrigen gilt § 14 der AGB.

Es gilt das Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand ist Hamburg, sofern du Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen bist.

Sollte eine Bestimmung dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 — Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

Art und Zweck der Verarbeitung: Betrieb einer digitalen Stempel- und Treuekarte in deinem Auftrag. Dazu gehören: die Ausgabe von Wallet-Pässen an deine Gäste (Apple Wallet, Google Wallet), das Zählen von Stempeln per QR-Scan, per NFC-Aufsteller oder durch manuelle Eingabe deines Teams, das Einlösen von Belohnungen, das Wiederfinden einer Karte nach einem Gerätewechsel, das Wiedererkennen des Browsers eines Gastes, damit ein Antippen am NFC-Aufsteller seiner Karte zugeordnet wird und er bei einer erneuten Anmeldung auf demselben Gerät mit denselben Angaben seine bestehende Karte zurückerhält, der Versand von Push-Nachrichten und Kampagnen in deinem Namen einschließlich der Auswahl der Empfänger nach Merkmalen wie Geburtstag, Stempelstand, Inaktivität oder Standort, die Bereitstellung von Auswertungen in deinem Betriebs-Dashboard, die Verwaltung der Zugänge deines Teams zu deinem Betrieb sowie die Speicherung und Sicherung dieser Daten.

Kategorien betroffener Personen: • deine Gäste, die eine Stempelkarte erhalten • Besucher der Seiten deiner Karte (Einstieg über QR-Code oder Link, Anmeldeseite, Wiederfinden einer Karte, NFC-Aufsteller), auch wenn sie keine Karte anlegen — von ihnen insbesondere die Browser-Kennung, die Angaben, die ihr Browser beim Laden der Seiten an Google übermittelt (Google Fonts, Anlage 3), ihre Eingaben beim Wiederfinden einer Karte und, wenn sie einen NFC-Aufsteller antippen, die Angaben zu diesem Antippen • die Mitarbeitenden, für die du einen Zugang zu Treubar anlegst

Daten deiner Gäste: • Vorname, Nachname und Geburtsdatum — die drei Pflichtfelder des Anmeldeformulars der Karte • ein Anzeigename, den dein Team zu einem Gast hinterlegen kann (Freitext, etwa als Notiz); er ersetzt den Namen in Treubar und auf der Karte des Gastes (§ 4) • eine E-Mail-Adresse nur bei Karten, die vor dem 26. August 2026 angemeldet wurden, als das Formular sie noch abfragte; bei neuen Karten wird sie nicht mehr erhoben • Pass-Kennungen: die Seriennummer des Passes, das Merkmal, mit dem sich das Gerät des Gastes beim Wallet-Dienst ausweist, und die Kennung im persönlichen Stempel-Link des Gastes („Jetzt stempeln“) • Stempel- und Einlösedaten: Zeitpunkt jedes Stempels, der Weg (QR-Scan, NFC-Aufsteller, manuell), der Standort, die stempelnde Person aus deinem Team, der aktuelle Stempelstand sowie Zeitpunkt und Gegenstand jeder Einlösung • Wallet-Gerätekennungen: die von Apple vergebene Gerätekennung und das Push-Merkmal jedes Geräts, auf dem der Pass liegt; bei Google Wallet die Kennung des dort angelegten Objekts • Nachrichten: der Text der Nachrichten, die du über Kampagnen oder Automatisierungen an die Pässe deiner Gäste versendest, und der Zeitpunkt ihrer Zustellung • Browser-Kennung und NFC: eine zufällige, signierte Kennung des Browsers im Cookie treuly_bid, den wir beim ersten Aufruf einer Seite deiner Karte setzen und bei jedem weiteren Aufruf erneuern (Einstieg über den QR-Code oder einen Link zur Stempelkarte, Anmeldeseite, Wiederfinden einer Karte, „Jetzt stempeln“ auf der Karte, Seite eines NFC-Aufstellers), auch wenn du keinen NFC-Aufsteller nutzt; Laufzeit 400 Tage ab dem letzten Aufruf; ihre Zuordnung zur Karte des Gastes bei deinem Betrieb auf unserem Server, sobald er eine Karte anlegt, sie wiederfindet oder „Jetzt stempeln“ öffnet (dieselbe Kennung gilt bei allen Betrieben); Zeitpunkt und Ergebnis jedes Antippens; beim Vormerken eines Stempels ein Einmal-Schlüssel im Cookie treuly_park (Laufzeit 5 Minuten) und eine mit einem geheimen Schlüssel gebildete Prüfsumme der IP-Adresse, die verhindern, dass ein fremder Browser den vorgemerkten Stempel abgreift • beim Aufruf der Seiten deiner Karte die IP-Adresse und technische Angaben zu Browser und Betriebssystem, die der Browser beim Laden der Schrift unmittelbar an Google übermittelt (Anlage 3) • Fehlerberichte, die Apple-Geräte über den Aktualisierungsdienst für Wallet-Pässe an uns senden; sie können Pass-Kennungen enthalten

Daten deiner Mitarbeitenden: Name, E-Mail-Adresse, Rolle im Betrieb (Admin, Manager, Scanner), Standortzuordnung, Status und erste Anmeldung ihres Zugangs zu deinem Betrieb, bei Scanner-Zugängen gegebenenfalls ein dauerhafter Anmelde-Link (Anlage 2) sowie die Zuordnung zu den von ihnen vergebenen Stempeln und Einlösungen. Den persönlichen Treubar-Zugang selbst — die Anmeldung bei unserem Anmeldedienst mit Name, E-Mail-Adresse und Anmeldemerkmalen — führen wir als eigener Verantwortlicher, weil die Person ihn auch bei einem anderen Betrieb nutzen kann; dafür gilt unsere Datenschutzerklärung (§ 1a). Das Änderungsprotokoll — wer hat wann was geändert oder gelöscht — führen wir ebenfalls als eigener Verantwortlicher (§ 2 der Datenschutzerklärung).

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nicht verarbeitet. Treubar ist dafür nicht vorgesehen (§ 4).

Dauer der Verarbeitung: für die Laufzeit des Vertrages. Danach gilt § 12.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Diese Anlage beschreibt die Maßnahmen, die zum Fassungsdatum tatsächlich getroffen sind. Sie nennt bewusst auch, was wir nicht zusagen.

Vertraulichkeit • Anmeldung: Der Zugang deines Teams zu Treubar läuft über unseren Authentifizierungsdienst (Anlage 3). Passwörter werden dort gespeichert und geprüft; wir sehen sie nicht. Jede Anfrage an die Verwaltungsfunktionen unserer Schnittstelle, also aus der Betriebs-App und der Web-Anwendung, muss ein gültiges, zeitlich begrenztes Anmelde-Merkmal mitführen. Ohne Anmeldung erreichbar sind die Seiten und Dienste, die deine Gäste und ihre Wallet-Apps ohne Konto nutzen — etwa die Anmeldung zur Karte, der NFC-Aufsteller und der Aktualisierungsdienst für Wallet-Pässe, bei dem das Registrieren und Abrufen eines Passes dessen Merkmal erfordert —, außerdem die Einladungs- und Anmelde-Links für dein Team und technische Schnittstellen, etwa für Benachrichtigungen unserer Zahlungs- und Anmeldedienstleister. • Dauerhafter Anmelde-Link für Scanner-Zugänge: Für Mitarbeitende mit der Rolle Scanner kannst du einen dauerhaften Anmelde-Link erzeugen. Er gilt, solange der Zugang die Rolle Scanner hat und nicht deaktiviert ist, bis du ihn widerrufst oder den Zugang entfernst. Wer den Link hat, meldet sich damit als diese Person an und erhält alle Rechte dieses Scanner-Zugangs, in den Tarifen Start, Pro und Max also auch die Einsicht in die Kundenliste mit Namen und Geburtsdaten deiner Gäste. Gib ihn nur der Person, für die er bestimmt ist, und widerrufe ihn, wenn er weitergegeben worden sein könnte. • Rollen: Jeder Zugang trägt genau eine Rolle mit festem Rechteumfang (Admin, Manager, Scanner). Ein Scanner-Zugang kann stempeln, einlösen und — in den Tarifen Start, Pro und Max — die Kundenliste einsehen, aber weder Zugänge verwalten noch Kampagnen versenden. • Trennung der Betriebe: Was ein Zugang eines Betriebs abruft oder ändert, ist auf die Daten dieses Betriebs beschränkt; ein Zugang eines anderen Betriebs erhält auf deine Daten eine Ablehnung. Diese Trennung wird in der Anwendung erzwungen — das Konto, mit dem die Anwendung auf die Datenbank zugreift, umgeht die Zugriffsregeln der Datenbank. Auf den Tabellen ist zusätzlich die Zugriffskontrolle der Datenbank (Row Level Security) eingeschaltet; sie greift für Zugriffe, die nicht über unsere Anwendung laufen. Betriebsübergreifend greifen nur wir selbst zu (siehe „Zugriff durch uns“). • Zugriff durch uns: Für Support und Bestellabwicklung nutzen wir ein internes Verwaltungswerkzeug. Es zeigt betriebsübergreifend Aktivitäten einschließlich der Namen deiner Gäste sowie der Namen oder E-Mail-Adressen deiner Mitarbeitenden und erlaubt unter anderem Änderungen an Kartengestaltung und Bestellungen. • Pseudonymisierung: Deinem Team zeigen wir von der Pass-Kennung nur wenige Zeichen, nie das vollständige Ausweismerkmal des Passes. • Verschlüsselte Schlüssel: Die kryptografischen Schlüssel der NFC-Aufsteller liegen nur verschlüsselt in der Datenbank (AES-128-GCM).

Integrität • Transportverschlüsselung: Alle Verbindungen zwischen App, Web-Anwendung, den Seiten für deine Gäste und unserer Schnittstelle laufen ausschließlich über HTTPS. • Getrennte Dateiablage: Bilder und Logos deiner Karten liegen in einer eigenen Ablage unseres Datenbank-Dienstleisters und werden über unsere Schnittstelle ausgeliefert. Weil sie auf den Wallet-Pässen ohnehin sichtbar sind, ist diese Ablage öffentlich lesbar: Wer die genaue Adresse einer Datei kennt, kann sie auch unmittelbar beim Dienstleister abrufen. Schreiben kann nur unsere Anwendung. Daten deiner Gäste liegen dort nicht. • Eingabekontrolle: Änderungen an Stammdaten und sicherheitsrelevante Vorgänge in den Anwendungen deines Teams — darunter das Löschen eines Gastes — werden mit Zeitpunkt und handelnder Person protokolliert. • Missbrauchsschutz: ein einstellbarer Mindestabstand zwischen zwei Stempeln je Karte, eine Sperre gegen versehentliche Doppelscans sowie bei NFC-Aufstellern die Prüfung von Signatur und Zählerstand des Chips, die ein Kopieren oder erneutes Abspielen eines Antippens erkennt.

Verfügbarkeit • Betrieb: Die Schnittstelle läuft in Frankfurt am Main, die Datenbank in der EU (Anlage 3). • Sicherungskopien: Die Sicherungen der Datenbank erstellt und verwahrt unser Datenbank-Dienstleister Supabase automatisch; Häufigkeit und Aufbewahrungsdauer richten sich nach dem dort gebuchten Leistungsumfang. Was wir an dieser Stelle NICHT zusagen: eine vertraglich zugesicherte Wiederherstellungszeit und einen dokumentierten, regelmäßig wiederholten Wiederherstellungstest. Solange beides nicht belegt ist, behaupten wir es hier nicht.

Organisation • Jede Person mit Zugriff auf Auftragsdaten wird vor Aufnahme der Tätigkeit zur Vertraulichkeit verpflichtet (§ 6). • Unterauftragsverarbeiter setzen wir nur nach Anlage 3 und nur vertraglich gebunden ein (§ 8).

Was wir nicht zusagen • Wir sind nicht nach ISO/IEC 27001 oder einem vergleichbaren Standard zertifiziert und lassen kein regelmäßiges externes Sicherheitsaudit durchführen. • Einzelne Datenfelder verschlüsseln wir nicht zusätzlich; Geburtsdatum und Name stehen in der Datenbank im Klartext. Verschlüsselt sind der Transport und die Ablage auf Ebene unserer Dienstleister. • Für unser internes Verwaltungswerkzeug sagen wir derzeit weder eine personengebundene Anmeldung mit zweitem Faktor noch eine Protokollierung der handelnden Person zu. • Eine bestimmte Verfügbarkeitsquote schulden wir nicht (§ 11 der AGB).

Anlage 3 — Unterauftragsverarbeiter

Diese Liste gibt den Stand zum oben genannten Fassungsdatum wieder. Änderungen kündigen wir nach § 8 an.

• Supabase, Inc. (Sitz USA) — Datenbank und Dateiablage. Verarbeitungsort: Europäische Union. Umfang: alle in Anlage 1 genannten Daten. • Render Services, Inc. (Sitz USA) — Betrieb unserer Schnittstelle und der Web-Anwendung. Verarbeitungsort: Frankfurt am Main. Umfang: alle Daten, die durch die Anwendung laufen, sowie technische Protokolle. Render schaltet seinem Dienst das Netz der Cloudflare, Inc. (Sitz USA) vor; jede Verbindung zu unserer Schnittstelle — auch mit den Angaben aus dem Anmeldeformular der Karte — läuft über dieses Netz, das die verschlüsselte Verbindung entgegennimmt und weiterleitet (§ 9). • Clerk, Inc. (USA) — Anmeldung zu Treubar. In deinem Auftrag verarbeitet Clerk nur, welchem Betrieb und welcher Rolle ein Zugang zugeordnet ist; die Zugänge selbst verarbeiten wir als eigener Verantwortlicher (§§ 1 und 1a der Datenschutzerklärung). Daten deiner Gäste erhält Clerk nicht. • Apple Distribution International Ltd. (Irland) — Push-Dienst für die Aktualisierung der Karte in Apple Wallet. Umfang: das Push-Merkmal, das Apple dem Gerät des Gastes zugeteilt hat, und eine inhaltslose Benachrichtigung. Den Pass selbst erzeugen und signieren wir auf unseren Servern bei Render (siehe oben); das Gerät des Gastes lädt ihn unmittelbar bei uns. Name, Stempelstand und Nachrichtentext erhält Apple dabei nicht. • Google Ireland Limited (Irland), für den technischen Betrieb auch Google LLC (USA) — Google Wallet. Umfang und Zeitpunkt: wie in § 9 beschrieben; das Wallet-Objekt entsteht, sobald ein Gast auf der Anmeldeseite Google Wallet wählt, auch wenn er die Karte danach nicht speichert. • Google Ireland Limited (Irland), Dienst „Google Fonts“ — die Anmelde- und Aufsteller-Seiten für deine Gäste laden ihre Schrift unmittelbar von einem Google-Server. Dabei übermittelt der Browser deines Gastes seine IP-Adresse sowie technische Angaben zu Browser und Betriebssystem an Google. • Plus Five Five, Inc. („Resend“, USA) — Versand von E-Mails an dich und dein Team, etwa Bestellbestätigungen und Statusmeldungen zum NFC-Aufsteller. Daten deiner Gäste erhält Resend nicht.

Keine Unterauftragsverarbeiter im Sinne dieses Vertrages sind: • Stripe Payments Europe, Ltd. (Irland) und Stripe, Inc. (USA) — sie wickeln unsere Zahlungen ab, sind dafür eigenständig Verantwortliche und erhalten keine Daten deiner Gäste. • der Druck- und der Versanddienstleister des NFC-Aufstellers — sie erhalten deine Bestell- und Lieferdaten, für die wir eigener Verantwortlicher sind (§ 5 der Datenschutzerklärung). • die OpenStreetMap Foundation (Vereinigtes Königreich) — die Adress-Suche bei der Eingabe einer Filial- oder Lieferanschrift betrifft nur den von dir eingetippten Adresstext.

Drittlandübermittlung: Für die vorgenannten Empfänger mit Sitz in den USA stützen wir die Übermittlung auf den Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework, soweit der Empfänger dort zertifiziert ist, im Übrigen auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO (§ 9).