Vertrag zur Auftragsverarbeitung

zwischen dem Kunden (Ladeninhaber) – „Verantwortlicher“ –
und Stempiq, Inhaber Asibullah Samir Noori, Rudolfstraße 28a, 42285 Wuppertal, info@stempiq.de – „Auftragsverarbeiter“.

Begriffe wie „personenbezogene Daten“, „Verarbeitung“ oder „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung nach Art. 4 DSGVO. Im Übrigen gelten die Begriffe der AGB.

§ 1 Gegenstand und Dauer

(1) Stempiq verarbeitet personenbezogene Daten im Auftrag des Kunden, um die Leistungen nach den AGB zu erbringen. Gegenstand, Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen beschreibt Anlage A.

(2) Dieser Vertrag gilt für die Dauer des Hauptvertrags (AGB samt gebuchtem Tarif bzw. unentgeltlichem Zugang) und darüber hinaus, bis Stempiq alle personenbezogenen Daten des Kunden nach § 9 gelöscht oder zurückgegeben hat.

(3) Dieser Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). Bei Widersprüchen zu den AGB geht er für den Umgang mit personenbezogenen Daten vor.

§ 2 Weisungen

(1) Stempiq verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, Stempiq ist durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt Stempiq dem Kunden die rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen ergeben sich aus dem Hauptvertrag, diesem Vertrag und den Einstellungen, die der Kunde im Dashboard vornimmt. Weitere Weisungen erteilt der Kunde in Textform. Mündliche Weisungen bestätigt der Kunde unverzüglich in Textform.

(3) Ist Stempiq der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert Stempiq den Kunden unverzüglich. Stempiq darf die Ausführung der Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.

§ 3 Ort der Verarbeitung

(1) Die Daten werden in Rechenzentren in der Europäischen Union gespeichert (Datenbank und Serverfunktionen in Frankfurt am Main).

(2) Übermittlungen in Drittländer finden nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Der Kunde genehmigt die in Anlage C genannten Übermittlungen mit den dort genannten Garantien.

§ 4 Pflichten von Stempiq

(1) Vertraulichkeit: Stempiq setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und stellt sicher, dass sie die Daten nur auf Weisung des Kunden verarbeiten.

(2) Sicherheit: Stempiq trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage B beschrieben sind. Stempiq darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

(3) Rechte der betroffenen Personen: Stempiq unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen (Art. 12 bis 22 DSGVO) zu beantworten, etwa durch Auskunft über, Export oder Löschung einzelner Karten. Wenden sich betroffene Personen direkt an Stempiq, leitet Stempiq die Anfrage unverzüglich an den Kunden weiter, soweit eine Zuordnung zum Kunden möglich ist, und beantwortet sie nicht selbst, es sei denn, der Kunde weist dies an.

(4) Weitere Unterstützung: Stempiq unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung und Benachrichtigung bei Datenpannen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(5) Datenpannen: Stempiq meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden, nachdem sie Stempiq bekannt geworden ist. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben reicht Stempiq unverzüglich nach. Stempiq ergreift unverzüglich Maßnahmen, um die Verletzung einzudämmen und nachteilige Folgen zu mindern.

(6) Verzeichnis: Stempiq führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

(7) Ansprechpartner: Ansprechpartner für den Datenschutz ist Asibullah Samir Noori, info@stempiq.de. Ein Datenschutzbeauftragter ist nach Art. 37 DSGVO und § 38 BDSG derzeit nicht zu benennen.

(8) Behördliche Maßnahmen: Stempiq informiert den Kunden unverzüglich über Kontrollhandlungen und Maßnahmen einer Aufsichtsbehörde, soweit sie diesen Auftrag betreffen. Werden die Daten beim Auftragsverarbeiter durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder andere Ereignisse gefährdet, informiert Stempiq den Kunden ebenfalls unverzüglich.

(9) Stempiq verarbeitet die Daten nicht für eigene Zwecke, insbesondere nicht zu Werbezwecken, und gibt sie nicht an Dritte weiter, soweit dies nicht in diesem Vertrag vorgesehen oder vom Kunden angewiesen ist.

§ 5 Unterauftragsverarbeiter

(1) Der Kunde genehmigt die in Anlage C aufgeführten Unterauftragsverarbeiter.

(2) Der Kunde erteilt Stempiq außerdem die allgemeine Genehmigung, weitere Unterauftragsverarbeiter einzusetzen oder bestehende zu ersetzen. Stempiq informiert den Kunden darüber mindestens vier Wochen vorher in Textform. Der Kunde kann innerhalb von zwei Wochen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Einigen sich die Parteien nicht, kann der Kunde den Hauptvertrag zum Zeitpunkt des Wechsels kündigen; im Voraus gezahlte Vergütung für die Zeit danach erstattet Stempiq anteilig. Ist ein Wechsel aus Gründen der Sicherheit oder zur Aufrechterhaltung des Betriebs dringend erforderlich, darf Stempiq die Frist verkürzen und informiert den Kunden unverzüglich.

(3) Stempiq erlegt jedem Unterauftragsverarbeiter vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Erfüllt ein Unterauftragsverarbeiter seine Pflichten nicht, haftet Stempiq gegenüber dem Kunden für dessen Pflichterfüllung (Art. 28 Abs. 4 DSGVO).

(4) Die Unterauftragsverarbeiter setzen ihrerseits weitere Unterauftragsverarbeiter ein, die sie in eigenen Listen veröffentlichen (Fundstellen in Anlage C). Über Änderungen dieser Listen, die Stempiq mitgeteilt werden, informiert Stempiq den Kunden unverzüglich.

(5) Keine Unterauftragsverarbeitung im Sinne dieses Vertrags sind Nebenleistungen wie Telekommunikations- und Postdienste oder der Versand der Stempel.

§ 6 Apple Wallet und Google Wallet

(1) Die Ausgabe der Karten an Gäste erfolgt über Apple Wallet und Google Wallet. Dazu übermittelt Stempiq auf Weisung des Kunden, die mit diesem Vertrag erteilt wird,
a) an Apple (Apple Inc. bzw. Apple Distribution International Ltd., Irland): den Push-Token des Geräts zur Benachrichtigung über Kartenänderungen über den Apple Push Notification Service; die Karte selbst wird von Stempiq direkt an das Gerät des Gastes ausgeliefert,
b) an Google (Google Ireland Ltd. bzw. Google LLC): die Inhalte der Karte (u. a. Karten-ID, Stempelstand, Texte und Mitteilungen) zur Speicherung und Anzeige in Google Wallet.

(2) Apple und Google betreiben ihre Wallet-Dienste gegenüber den Gästen, die diese Dienste selbst ausgewählt haben, nach ihren eigenen Bedingungen und Datenschutzbestimmungen. Sie sind nach Kenntnis von Stempiq insoweit keine Unterauftragsverarbeiter von Stempiq, sondern eigenständige Empfänger.

(3) Der Kunde berücksichtigt diese Übermittlungen in seinen Informationen an die Gäste. Die Datenschutzhinweise, die Stempiq aus den Angaben im Dashboard („Angaben für Gäste“) erstellt, enthalten entsprechende Hinweise.

§ 7 Pflichten des Kunden

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für das Vorliegen einer Rechtsgrundlage und die Information der betroffenen Personen (Art. 13, 14 DSGVO).

(2) Holt die Plattform im Namen des Kunden Einwilligungen ein (etwa für die Geburtstagsfunktion), prüft der Kunde, ob die angezeigten Texte seinen Anforderungen genügen. Stempiq protokolliert den Zeitpunkt der Einwilligung.

(3) Der Kunde informiert Stempiq unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 8 Nachweise und Kontrollen

(1) Stempiq stellt dem Kunden auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, insbesondere eine aktuelle Beschreibung der Maßnahmen nach Anlage B und die Nachweise der Unterauftragsverarbeiter (z. B. Prüfberichte und Zertifikate).

(2) Reichen diese Informationen im Einzelfall nicht aus, ermöglicht Stempiq Überprüfungen – einschließlich Inspektionen – durch den Kunden oder einen von ihm beauftragten Prüfer und trägt dazu bei. Überprüfungen sind mit einer Frist von mindestens vier Wochen in Textform anzumelden, finden zu den üblichen Geschäftszeiten statt, beeinträchtigen den Betrieb nicht unverhältnismäßig und erfolgen in der Regel höchstens einmal im Kalenderjahr, es sei denn, ein konkreter Anlass rechtfertigt eine weitere Überprüfung. Prüfer dürfen nicht im Wettbewerb mit Stempiq stehen und sind zur Vertraulichkeit zu verpflichten. Die Rechenzentren der Unterauftragsverarbeiter werden nicht vor Ort geprüft; insoweit gelten deren Nachweise nach Abs. 1.

(3) Jede Partei trägt ihre eigenen Kosten einer Überprüfung.

§ 9 Ende der Verarbeitung, Rückgabe und Löschung

(1) Nach Ende des Hauptvertrags stellt Stempiq dem Kunden die Daten nach § 14 der AGB zum Export bereit und löscht sie danach, soweit nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Pflicht zur Speicherung besteht.

(2) Spätestens 30 Tage nach Ende des Abrufzeitraums nach § 14 Abs. 7 der AGB sind die Daten gelöscht. Datensicherungen werden im regulären Zyklus überschrieben, spätestens 30 Tage nach der Löschung. Auf Verlangen bestätigt Stempiq die Löschung in Textform.

(3) Während der Laufzeit gelten die Speicherfristen nach Anlage A Nr. 6.

§ 10 Haftung

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO.

(2) Im Verhältnis zwischen den Parteien gelten die Haftungsregeln der AGB (§ 16), soweit Art. 82 DSGVO nicht entgegensteht.

§ 11 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.

(2) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage A: Beschreibung der Verarbeitung

1. Gegenstand und Zweck
Betrieb der digitalen Stempelkarte des Kunden:

• Ausgabe und Verwaltung der Karten in Apple Wallet und Google Wallet,
• Vergabe von Stempeln und Einlösen von Belohnungen, einschließlich Schutz vor Missbrauch (Prüfung des Stempels, Sperrzeit zwischen zwei Stempeln),
• Aktualisierung der Karten und Versand von Mitteilungen auf die Karten,
• je nach Einstellung des Kunden: automatische Erinnerungen („Autopilot“, regelbasierte Auswahl nach Besuchsverhalten, z. B. längere Abwesenheit oder volle Karte), Geburtstagsgrüße und Hinweise in der Nähe des Ladens,
• Auswertungen für den Kunden,
• Zugänge für Geräte des Personals,
• sicherer und stabiler Betrieb (technische Protokolle).

2. Art der Verarbeitung
Erheben, Speichern, Ordnen, Verändern, Auslesen, Abfragen, Verwenden, Übermitteln (an Apple und Google, siehe § 6), Abgleichen, Löschen.

3. Kategorien betroffener Personen
a) Gäste des Kunden, die eine Karte nutzen oder die Kartenseiten des Kunden aufrufen,
b) Mitarbeitende des Kunden, für die Personal-Zugänge eingerichtet werden.

4. Arten personenbezogener Daten
Gäste:

• Kartenkennungen: Karten-ID, Seriennummer, Authentifizierungs-Token, Plattform (Apple oder Google), Google-Objekt-ID und Status „in Google Wallet gespeichert“,
• bei Apple Wallet: Gerätekennung (deviceLibraryIdentifier), Push-Token und Registrierungen,
• Stempelstand, Übertrag, Zahl eingelöster Belohnungen, Zeitpunkte von Erstellung, letzter Änderung und letztem Stempel,
• Stempel- und Einlöse-Ereignisse (Zeitpunkt, Art, Quelle, verwendeter Stempel, Stand danach) und noch nicht zugeordnete („offene“) Stempel,
• Ereignisse auf den Kartenseiten (Zeitpunkt, Art, ob eine Karte vorhanden ist),
• Autopilot-Nachrichten an die Karte (Grund, Text, Zugehörigkeit zu einer Vergleichsgruppe ohne Nachricht),
• freiwillig: Tag und Monat des Geburtstags (ohne Jahr) und Zeitpunkt der Angabe,
• Kennung der Karte in einem Cookie und im lokalen Speicher des Browsers,
• technische Protokolle: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-Kennung (Server-Protokolle des Hosting-Anbieters) sowie Protokolle der Wallet-Schnittstelle.

Nicht erhoben werden Name, Anschrift, E-Mail-Adresse oder Telefonnummer der Gäste.

Mitarbeitende:

• Bezeichnung des Zugangs (ggf. Name), Prüfwerte (Hashes) des Einrichtungs- und Geräteschlüssels, Zeitpunkte von Einrichtung, letzter Nutzung und Sperre.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht verarbeitet.

5. Mitteilungen an alle Gäste
Mitteilungen des Kunden an alle Karteninhaber werden mit Text, Zeitpunkt und Zahl der Empfänger gespeichert; sie enthalten keine personenbezogenen Daten der Gäste, sofern der Kunde keine in den Text schreibt.

6. Speicherfristen während der Laufzeit

• Karten ohne Stempel und ohne Einlösung seit 24 Monaten werden einschließlich der zugehörigen Ereignisse gelöscht.
• Apple-Registrierungen werden gelöscht, sobald das Gerät die Karte abmeldet; der Status „in Google Wallet“ wird aktualisiert, sobald Google die Entfernung meldet.
• Technische Protokolle der Wallet-Schnittstelle werden nach 30 Tagen gelöscht; Server-Protokolle des Hosting-Anbieters nach dessen Fristen.
• Der Geburtstag wird gelöscht, sobald der Gast seine Einwilligung widerruft.

Anlage B: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand 27.10.2026. Stempiq betreibt keine eigenen Server. Die Plattform läuft bei den Anbietern in Anlage C, deren Rechenzentren nach deren Angaben nach SOC 2 Typ 2 geprüft sind (Supabase zusätzlich ISO 27001).

1. Vertraulichkeit

• Zutrittskontrolle: physische Sicherheit der Rechenzentren durch die Anbieter (zertifiziert, s. o.). Arbeitsgeräte von Stempiq sind mit Festplattenverschlüsselung und automatischer Bildschirmsperre geschützt.
• Zugangskontrolle:
  • Anmeldung im Dashboard mit E-Mail und Passwort, gespeichert nur als Hash (Supabase Auth); Inhaber-Bereich von Stempiq nur mit Zwei-Faktor-Anmeldung.
  • Personal-Zugänge über zufällige Geräteschlüssel, von denen nur Prüfwerte gespeichert werden; jederzeit durch den Kunden sperrbar.
  • Verwaltungskonten von Stempiq bei allen Dienstleistern (Vercel, Supabase, GitHub, Resend, Apple, Google) mit Zwei-Faktor-Anmeldung.
• Zugriffskontrolle: Zugriffsregeln auf Datenbankebene (Row Level Security), Trennung der Daten nach Laden; Dienst-Schlüssel nur in geschützten Umgebungsvariablen des Hostings, nie im Quellcode; Vergabe von Rechten nach dem Prinzip der minimalen Berechtigung.
• Trennungskontrolle: logische Mandantentrennung nach Laden.
• Pseudonymisierung: Karten werden ohne Namen geführt und über zufällige Kennungen zugeordnet.

2. Integrität

• Weitergabekontrolle: Übertragung ausschließlich verschlüsselt (HTTPS/TLS, HSTS); Apple-Karten kryptografisch signiert; Google-Karten über signierte Anfragen; Cookies mit den Attributen HttpOnly, Secure und SameSite.
• Fälschungsschutz beim Stempeln: Stempel mit NFC-Chip vom Typ NTAG 424 DNA erzeugen bei jedem Antippen eine neue, mit AES-CMAC gesicherte Kennung mit Zähler; der Server prüft Signatur und Zähler und verhindert die Wiederverwendung.
• Eingabekontrolle: Protokollierung der Stempel- und Einlöse-Ereignisse mit Zeitpunkt, Quelle und Stempel.

3. Verfügbarkeit und Belastbarkeit

• Hosting auf redundanter Infrastruktur der Anbieter mit Schutz gegen Überlastungsangriffe (Vercel).
• Speicherung der Datenbank auf redundanten Datenträgern des Anbieters; angemessene Vorkehrungen gegen Datenverlust.
• Stündliche automatische Prüfung der Plattform mit Benachrichtigung von Stempiq bei Fehlern.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Überprüfung dieser Maßnahmen mindestens einmal jährlich und bei wesentlichen Änderungen.
• Regelmäßige Aktualisierung der eingesetzten Software-Bibliotheken; Sicherheitsprüfung vor größeren Änderungen.
• Festgelegter Ablauf bei Datenpannen (Eindämmung, Bewertung, Meldung an den Kunden binnen 48 Stunden, Dokumentation).
• Auswahl der Unterauftragsverarbeiter nach ihren Sicherheitsnachweisen; Verträge nach Art. 28 DSGVO.

Anlage C: Genehmigte Unterauftragsverarbeiter

Listen der weiteren Unterauftragsverarbeiter dieser Anbieter:

• Vercel: https://security.vercel.com
• Supabase: https://supabase.com/legal/customer-resources/subprocessor-list

Nicht in dieser Liste: Resend (E-Mail-Versand) verarbeitet nur Daten der Kunden selbst (Anmelde-E-Mails), nicht die Daten der Gäste; dafür ist Stempiq selbst verantwortlich. Apple und Google: siehe § 6.