Auftragsverarbeitungsvertrag (AVV)

Präambel

Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Rechte und Pflichten von Raul Matei (Matei Systems, Gferetfeldstraße 6, 4050 Traun, Österreich; im Folgenden „Auftragsverarbeiter") und dem jeweiligen Betrieb, der ein Konto auf der Plattform Matei Loyalty anlegt (im Folgenden „Auftraggeber" oder „Verantwortlicher"), bei der Verarbeitung personenbezogener Daten der Endkunden des Auftraggebers im Rahmen der Nutzung der Plattform. Dieser AVV wird mit Anlage eines Betriebskontos Bestandteil des Hauptvertrags (AGB) und bedarf keiner gesonderten Unterzeichnung.

§ 1 Gegenstand und Dauer der Verarbeitung

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten der Endkunden des Auftraggebers (Teilnehmer an dessen digitalem Treueprogramm) durch den Auftragsverarbeiter im Auftrag des Auftraggebers. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags zwischen den Parteien und endet automatisch mit dessen Beendigung, vorbehaltlich gesetzlicher Aufbewahrungspflichten (siehe § 8).

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung umfasst die Speicherung, Verwaltung und Anzeige digitaler Treuekarten-Daten, die Ausgabe eindeutiger QR-Codes zur Identifikation der Karte, die Synchronisierung mit Apple Wallet und Google Wallet bei aktiver Nutzung durch den Endkunden sowie die technische Bereitstellung der öffentlichen Kartenseite des Endkunden.

§ 3 Art der personenbezogenen Daten

• Name des Endkunden
• E-Mail-Adresse des Endkunden (optional, falls vom Endkunden angegeben)
• Stempel- bzw. Punktestand und dessen Verlauf (Transaktionshistorie)
• Karten-ID / Seriennummer
• Bei Wallet-Nutzung: technische Gerätekennung zur Push-Benachrichtigung (kein Zugriff auf weitere Gerätedaten)

§ 4 Kategorien betroffener Personen

Endkunden (Kundschaft) des Auftraggebers, die an dessen digitalem Treueprogramm teilnehmen.

§ 5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich, personenbezogene Daten

• ausschließlich auf dokumentierte Weisung des Auftraggebers zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO), einschließlich in Bezug auf Datenübermittlungen an Drittländer, sofern nicht eine Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten besteht;
• sicherzustellen, dass sich zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet haben (lit. b);
• alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu treffen (lit. c, siehe § 7);
• die Bedingungen für die Hinzuziehung weiterer Auftragsverarbeiter gemäß § 6 einzuhalten (lit. d);
• den Auftraggeber bei der Erfüllung von Betroffenenrechten (Art. 12-23 DSGVO) angemessen zu unterstützen (lit. e);
• den Auftraggeber bei der Einhaltung der Pflichten nach Art. 32-36 DSGVO zu unterstützen, insbesondere bei der Meldung von Datenschutzverletzungen (lit. f, siehe § 10);
• nach Wahl des Auftraggebers alle personenbezogenen Daten nach Beendigung der Erbringung der Verarbeitungsleistungen zu löschen oder zurückzugeben (lit. g, siehe § 8);
• dem Auftraggeber alle zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung zu stellen (lit. h, siehe § 9).

§ 6 Weitere Auftragsverarbeiter (Subunternehmer)

Der Auftraggeber erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, folgende weitere Auftragsverarbeiter zur Erbringung der Plattform einzusetzen:

• Supabase Inc. – Datenbank-, Authentifizierungs- und Speicher-Infrastruktur
• Resend – Versand transaktionaler E-Mails
• Apple Inc. / Google LLC – ausschließlich bei aktiver Nutzung von Apple Wallet bzw. Google Wallet durch den jeweiligen Endkunden

Stripe Payments Europe, Ltd. verarbeitet ausschließlich die Zahlungsdaten des Auftraggebers selbst (nicht dessen Endkunden) und ist insoweit nicht Gegenstand dieses AVV. Der Auftragsverarbeiter informiert den Auftraggeber über die Hinzuziehung neuer Subunternehmer; der Auftraggeber kann dieser innerhalb von 14 Tagen aus wichtigem Grund widersprechen.

§ 7 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselte Übertragung sämtlicher Daten (TLS) zwischen Endgerät, Plattform und Datenbank
• Mandantentrennung zwischen Betrieben durch rollenbasierte Zugriffskontrolle auf Datenbankebene (Row Level Security)
• Sichere Speicherung von Zugangsdaten (Passwort-Hashing, keine Klartext-Speicherung)
• Beschränkung des Zugriffs auf Mitarbeiterebene nach dem Erforderlichkeitsprinzip
• Regelmäßige, automatisierte Datensicherung
• Protokollierung sicherheitsrelevanter Vorgänge zur Nachvollziehbarkeit

§ 8 Löschung und Rückgabe nach Vertragsende

Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten des Auftraggebers oder gibt sie auf dessen Wunsch in einem gängigen Format zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung erfolgt innerhalb einer angemessenen Frist nach Vertragsende.

§ 9 Nachweis- und Kontrollrechte

Der Auftragsverarbeiter stellt dem Auftraggeber auf Anfrage die zur Erfüllung der Nachweispflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht Kontrollen, einschließlich Inspektionen, in zumutbarem Umfang und mit angemessener Vorankündigung.

§ 10 Meldepflichten bei Datenschutzverletzungen

Bei Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten im Verantwortungsbereich des Auftragsverarbeiters informiert dieser den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, und unterstützt ihn bei der Erfüllung etwaiger Melde- und Benachrichtigungspflichten gegenüber der Datenschutzbehörde bzw. den Betroffenen.

§ 11 Haftung

Es gelten die Haftungsregelungen gemäß § 9 der AGB entsprechend.

§ 12 Schlussbestimmungen

Dieser AVV ist Bestandteil des Hauptvertrags zwischen den Parteien und wird mit Anlage eines Betriebskontos auf der Plattform Matei Loyalty wirksam, ohne dass es einer gesonderten Unterzeichnung bedarf. Es gilt österreichisches Recht. Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.