Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer der Verarbeitung

Dieser Auftragsverarbeitungsvertrag (nachfolgend "AVV") regelt die Rechte und Pflichten im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragnehmer (WalletPass / Betreiber der Plattform) im Auftrag des Auftraggebers (Merchant / Nutzer der SaaS-Plattform).

Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrages (Registrierung bis Kontolöschung). Nach Beendigung werden alle personenbezogenen Daten gemäß den Löschfristen in der Datenschutzerklärung gelöscht oder zurückgegeben.

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst folgende Tätigkeiten:

• Erfassung und Speicherung von Kundendaten des Auftraggebers (Name, E-Mail, Kundennummer) zur Zuordnung digitaler Wallet-Karten
• Erstellung digitaler Wallet-Pässe für Apple Wallet und Google Wallet (Stempelkarten, Treuekarten, Rabattkarten, Mitgliedskarten)
• Versand von Push-Benachrichtigungen über Apple Push Notification Service (APNs) und Google Wallet API an Endkunden-Geräte
• Verarbeitung von Stempelkarten-Transaktionen (Stempelvergabe, Einlösung von Prämien, Punktegutschriften)
• Verwaltung und Einlösung digitaler Gutscheine und Rabattaktionen
• Verarbeitung von Produkt-Alert-Benachrichtigungen (Preisalarme, Verfügbarkeitsmeldungen) über das Shop-Plugin
• Geofencing-basierte Benachrichtigungen bei Annäherung an Geschäftsstandorte (nur bei aktivierter Standortfreigabe durch den Endkunden)
• Erstellung pseudonymisierter Statistiken und Analysen zur Nutzung der Wallet-Karten (Aktivierungen, Scans, Einlösungen)
• Durchführung der Datenlöschung und Datenauskunft im Rahmen von Betroffenenanfragen (Art. 15–22 DSGVO)
• Versand von E-Mail-Benachrichtigungen an Geschäftskunden (Verifizierung, Passwort-Reset, Team-Einladungen)

3. Art der personenbezogenen Daten

• Kontaktdaten: E-Mail-Adresse, Name (optional), Telefonnummer (optional)
• Technische Identifikatoren: Wallet-Pass-IDs, Push-Tokens (APNs Device-Token, Google Object-ID), pseudonymisierte Karten-IDs (publicToken)
• Technische Daten: IP-Adressen (anonymisiert), Geräteinformationen, Wallet-Typ
• Nutzungs- und Transaktionsdaten: Wallet-Karten-Status, Stempelanzahl, Punktestand, Zeitstempel von Stempelvergaben und Einlösungen, Coupon-Nutzung, Kartenaktivierungen und -scans
• Einwilligungs- und Nachweisdaten: Consent-Zeitstempel, Consent-Version, Opt-in-Status für Push-Benachrichtigungen
• Standortdaten: Nur bei aktiviertem Geofencing, ausschließlich mit Einwilligung des Endkunden (Koordinaten der Geschäftsstandorte)
• Shop-Daten: Produktinformationen, Preise, Bestandsstatus (Shop-Plugin)

4. Kategorien betroffener Personen

• Endkunden des Auftraggebers (Wallet-Karten-Inhaber)
• Mitarbeiter des Auftraggebers (Dashboard-Nutzer)
• Interessenten (Self-Service / Produkt-Alert-Abonnenten)

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• Personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers zu verarbeiten
• Alle Personen, die Zugang zu personenbezogenen Daten haben, zur Vertraulichkeit zu verpflichten
• Alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen
• Den Auftraggeber bei der Erfüllung von Betroffenenrechten zu unterstützen
• Nach Beendigung der Verarbeitung alle Daten zu löschen oder zurückzugeben
• Dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung zur Verfügung zu stellen

6. Technische und organisatorische Maßnahmen (TOM)

Folgende Maßnahmen sind implementiert:

Zutrittskontrolle

• Server in zertifizierten Rechenzentren (Hetzner, ISO 27001)
• SSH-Key-basierter Zugang, kein Passwort-Login

Zugangskontrolle

• Passwort-Hashing mit bcrypt (Kostenfaktor 12)
• Session-basierte Authentifizierung mit HttpOnly-Cookies
• Account-Lockout nach fehlgeschlagenen Login-Versuchen
• Rate-Limiting auf allen Authentifizierungs-Endpunkten

Zugriffskontrolle

• Rollenbasiertes Berechtigungssystem (OWNER, ADMIN, STAFF)
• Mandantentrennung durch merchantId auf allen Datenzugriffen
• Feingranulare Berechtigungen pro Funktion

Weitergabekontrolle

• TLS/HTTPS-Verschluesselung fuer alle Datenübertragungen
• HSTS mit Preload aktiviert
• Content Security Policy (CSP) Headers

Eingabekontrolle

• Audit-Log für sicherheitsrelevante Aktionen
• Nachvollziehbarkeit aller Datenveränderungen

Verfügbarkeitskontrolle

• Automatisierte Backups der Datenbank
• Health-Check-Monitoring für alle Services
• Docker-Container mit automatischem Restart

Trennungskontrolle

• Logische Mandantentrennung auf Datenbankebene
• Separate API-Keys pro Shop-Verbindung

7. Unterauftragsverarbeiter

Folgende Unterauftragsverarbeiter werden eingesetzt:

Der Auftraggeber wird über Änderungen der Unterauftragsverarbeiter informiert und hat ein Widerspruchsrecht.

8. Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Erfüllung der Rechte betroffener Personen gemäß Art. 15–22 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenportabilität, Widerspruch). Anfragen betroffener Personen, die direkt beim Auftragsverarbeiter eingehen, werden unverzüglich an den Auftraggeber weitergeleitet.

9. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich (innerhalb von 24 Stunden) nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten. Die Meldung umfasst Art der Verletzung, betroffene Datenkategorien, ungefähre Anzahl betroffener Personen und ergriffene Maßnahmen.

10. Kontakt

Für Fragen zum Auftragsverarbeitungsvertrag wenden Sie sich bitte an: datenschutz@walletpass.club