Dieser Vertrag regelt, wie Name fehlt noch („Auftragsverarbeiter“) personenbezogene Daten im Auftrag des Betriebs („Verantwortlicher“) verarbeitet. Er ist Teil der AGB und gilt mit dem Vertrag über die Nutzung von Truster.
1. Gegenstand und Dauer
Der Auftragsverarbeiter betreibt für den Verantwortlichen eine digitale Stempelkarte samt Scanner, Dashboard und Benachrichtigungen. Die Verarbeitung dauert so lange wie der Vertrag über die Nutzung von Truster.
2. Art der Daten und Betroffene
| Betroffene | Daten |
|---|---|
| Gäste des Verantwortlichen | Kartennummer, Stempel, eingelöste Prämien, Zeitpunkte, Einwilligung zu Angeboten, Ort der Karte (Wallet oder Browser), Gerätekennung und Benachrichtigungs-Token bei Wallet-Karten |
| Mitarbeitende des Verantwortlichen | Zeitpunkte der Stempel- und Einlösevorgänge (ohne Namen) |
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht verarbeitet.
3. Pflichten des Auftragsverarbeiters
- Er verarbeitet die Daten nur nach dokumentierter Weisung des Verantwortlichen. Die Einstellungen im Dashboard gelten als Weisung.
- Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
- Er trifft die technischen und organisatorischen Maßnahmen nach Punkt 6.
- Er unterstützt den Verantwortlichen bei Anfragen von Betroffenen, bei der Sicherheit der Verarbeitung und bei Datenschutz-Folgenabschätzungen.
- Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden.
- Nach Vertragsende gibt er die Daten auf Wunsch zurück und löscht sie spätestens nach 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht.
- Er stellt alle Informationen bereit, die zum Nachweis dieser Pflichten nötig sind, und ermöglicht Überprüfungen nach rechtzeitiger Ankündigung.
4. Pflichten des Verantwortlichen
Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Information seiner Gäste und für Nachrichten mit Angeboten, die er nur an Gäste mit Einwilligung schickt.
5. Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
| Unternehmen | Leistung | Ort |
|---|---|---|
| Vercel Inc., San Francisco, USA | Hosting der Anwendung | Rechenzentrum Frankfurt |
| Supabase Inc., San Francisco, USA | Datenbank | Rechenzentrum Frankfurt |
Übermittlungen in die USA stützen sich auf das EU-US Data Privacy Framework und Standardvertragsklauseln. Neue Unterauftragsverarbeiter kündigen wir mindestens vier Wochen vorher an. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und in diesem Fall zum Wechsel kündigen.
Apple und Google sind keine Unterauftragsverarbeiter: Gäste entscheiden selbst, ihre Karte in Apple Wallet oder Google Wallet abzulegen.
6. Technische und organisatorische Maßnahmen
- Verschlüsselte Übertragung aller Daten (HTTPS mit TLS).
- Speicherung in einem Rechenzentrum in Frankfurt am Main.
- Passwörter und Scanner-PINs nur als bcrypt-Hash, Anmeldungen über signierte, HTTP-only-Cookies.
- Datenbank ohne öffentliche Schnittstelle, Zeilenschutz (Row Level Security) auf allen Tabellen.
- Strikte Trennung der Betriebe: Jeder Betrieb sieht nur seine eigenen Karten.
- Gäste werden nicht namentlich erfasst (Datenminimierung).
- Zugang zur Verwaltung nur für den Auftragsverarbeiter selbst, mit eigenem Passwort.
- Zwei-Faktor-Anmeldung bei Hosting- und Datenbankanbieter.
7. Schluss
Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht. Es gilt österreichisches Recht.