Vereinbarung zur Auftragsverarbeitung

1. Parteien, Gegenstand und Dauer

Auftraggeber ist der in der App registrierte Betrieb, Auftragnehmer Christian Reif, reif.systems. Diese Vereinbarung nach Art. 28 DSGVO wird mit Annahme der AGB elektronisch geschlossen. Sie gilt für die Verarbeitung von Voucher-, Stempelkarten-, Mitarbeiter- und Kooperationsdaten im Rahmen des Nutzungsvertrags sowie ausdrücklich beauftragter Webseiten- und Hostingleistungen, solange diese Verarbeitung einschließlich erforderlicher Abwicklung erfolgt.

Betroffene sind Endkunden, Mitarbeiter, Ansprechpartner und gegebenenfalls Besucher beauftragter Webseiten. Verarbeitete Daten sind insbesondere freiwillige Namen, betriebliche Zuordnungen, Angebots- und Kartennummern, Stempelstände, Ereigniszeitpunkte, geschäftliche Kontaktdaten, erlaubte Nachrichten und technisch erforderliche Zugriffsangaben. Besondere Kategorien personenbezogener Daten sind nicht vorgesehen und dürfen nicht über diese Funktionen eingestellt werden. Verarbeitung umfasst Erfassen, Speichern, Bereitstellen an Berechtigte, technische Sicherung und Löschen. Für eigene Konto-, Vertrags-, Abrechnungs- und Sicherheitszwecke handelt reif.systems in eigener Verantwortung nach den Datenschutzhinweisen.

2. Weisungen und Pflichten des Auftraggebers

Der Auftraggeber verantwortet Rechtsgrundlage, Zulässigkeit, Informationen an Betroffene und berechtigte Dateneingaben. Dokumentierte Weisungen ergeben sich aus Vertrag und App-Bedienung, insbesondere Ausstellung, Einlösung, Stornierung, Kartenbeendigung, Export und Kontoschließung. Weitere Weisungen können in Textform an service@reif.systems erteilt werden. reif.systems verarbeitet nur auf dokumentierte Weisung einschließlich Drittlandübermittlungen, soweit nicht zwingendes Recht etwas anderes verlangt; darüber wird der Auftraggeber vorab informiert, sofern rechtlich zulässig. Bei einer rechtswidrig erscheinenden Weisung wird der Auftraggeber unverzüglich informiert.

3. Vertraulichkeit und Schutzmaßnahmen

Zugriff erhalten nur erforderliche, zur Vertraulichkeit verpflichtete Personen. Maßnahmen nach Art. 32 DSGVO umfassen verschlüsselte Transportwege, Passwort-Hashes und bestätigte Konten, rollen- und betriebsbezogene Zugriffskontrollen, geschützte persönliche Links, anwendungsseitige Verschlüsselung von Empfängernamen und Partnernachrichten, begrenzte Sicherheitsprotokolle, getrennte Schlüssel und Geheimnisse, gesicherte Sicherungen und Löschjournale, Wiederherstellungsprüfungen sowie regelmäßige Überprüfung der Zugriffs- und Löschfunktionen. Kundendaten werden nicht in allgemein zugängliche Dateien oder Vorschauen übernommen. Maßnahmen dürfen bei gleichbleibendem oder höherem Schutzniveau weiterentwickelt werden.

4. Unterauftragnehmer und internationale Verarbeitung

Allgemein genehmigt sind Cloudflare, Inc. und verbundene Unternehmen für Plattform, Hosting, Datenbank, Dateien, Sicherungen und erforderliche technische E-Mails; Geoapify (KEPTAGO LTD, Paphos, Zypern), für beauftragte Geschäftsadress-Geokodierung; sowie INWX GmbH, Deutschland, bei ausdrücklich beauftragter Domain-, Hosting- oder E-Mailverwaltung. Die jeweils beauftragten Funktionen bestimmen den Umfang. Stripe verarbeitet Zahlungen nach seiner jeweiligen Rolle und ist kein Unterauftragnehmer für Voucher- oder Stempelkartendaten.

reif.systems verpflichtet Unterauftragnehmer nach Art. 28 Abs. 4 DSGVO und gewährleistet bei Drittlandübermittlungen die Voraussetzungen der Art. 44 ff. DSGVO. Über eine beabsichtigte Änderung der Liste wird der Auftraggeber vor dem Einsatz in Textform informiert; er kann aus nachvollziehbaren datenschutzrechtlichen Gründen widersprechen. Die Parteien suchen eine geeignete Lösung; wenn diese nicht möglich ist, kann die betroffene Leistung vor dem Anbietereinsatz beendet werden. reif.systems bleibt gegenüber dem Auftraggeber für die Verpflichtungen seiner Unterauftragnehmer verantwortlich.

5. Unterstützung, Vorfälle und Nachweise

reif.systems unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung bei Betroffenenrechten und Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Sicherheit, Vorfallbewertung, gegebenenfalls Datenschutz-Folgenabschätzung und Konsultation. Bekannt gewordene Verletzungen des Schutzes personenbezogener Daten werden dem Auftraggeber unverzüglich mit verfügbaren Informationen gemeldet; erforderliche Ergänzungen folgen. Meldungen des Auftraggebers gehen an service@reif.systems.

reif.systems stellt die zur Prüfung der Vertragseinhaltung erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen durch den Auftraggeber oder einen beauftragten Prüfer, einschließlich Inspektionen. Die Rechte anderer Kunden und die Sicherheit des Systems sind dabei zu schützen; gesetzliche Kontrollrechte werden nicht eingeschränkt. Unmittelbar eingehende Betroffenenanfragen zu Auftragsdaten werden dem zuständigen Betrieb zugeordnet und unterstützt, soweit gesetzlich zulässig.

6. Rückgabe und Löschung

Während der Nutzung kann der berechtigte Betrieb seine Daten exportieren und vorgesehene Löschungen selbst veranlassen. Mit Vertragsende beziehungsweise Kontoschließung werden Auftragsdaten nach Wahl des Auftraggebers zurückgegeben oder gelöscht; die App bietet Export vor der Schließung und anschließende automatische Löschung. Beendete Kundenvorgänge werden ohne zusätzliche pauschale Aufbewahrungsfrist bereinigt. Sicherungen rotieren innerhalb von 30 Tagen; getrennte Löschjournale bleiben 62 Tage, damit Löschungen auch nach Wiederherstellung gelten.

Gesetzlich erforderliche Belege werden getrennt und ausschließlich für diesen Zweck zugriffsbeschränkt aufbewahrt. Erforderliche gemeinsame Belege anderer Betriebe bleiben in deren Zuständigkeit erhalten. Nach Wegfall des Aufbewahrungsgrundes werden auch diese Daten gelöscht. Ein Löschauftrag führt nicht zur Entfernung von Daten anderer, unbeteiligter Kunden.