Data processing agreement

Vereinbarung zur Auftragsverarbeitung

Version 1.0.0 · Stand: 26. Oktober 2026

Diese Vereinbarung nach Artikel 28 DSGVO gilt zwischen dem im Encore-Unternehmensprofil bezeichneten Unternehmen als Verantwortlichem und Dominik Tajak, handelnd als Dominik Tajak Consulting, Am Dinkelfeld 45, 91056 Erlangen, Deutschland, als Auftragsverarbeiter. Datenschutzkontakt: [email protected].

Die im Onboarding gespeicherte Unternehmensidentität, die bestätigte Fassung und die zugehörige Erklärung bilden den Vertragsnachweis. Die bestätigende Person muss für das Unternehmen hierzu befugt sein. Die Vereinbarung betrifft ausschließlich die nachfolgend beschriebene Verarbeitung im Auftrag. Eigene Plattform-, Sicherheits- und Abrechnungszwecke des Anbieters sind in den Datenschutzhinweisen gesondert beschrieben.

1. Gegenstand, Dauer und Daten

Gegenstand ist der technische Betrieb und die Betreuung der vom Unternehmen verwalteten digitalen Treueprogramme einschließlich Karten, Kundenmitgliedschaften, berechtigter Gutschriften, Einlösungen, Besuchspakete, erforderlicher Nachweise, Exporte und zulässiger Kommunikationsvorgänge. Verarbeitungshandlungen umfassen Erfassen, Ordnen, Speichern, Anzeigen, Übermitteln auf Weisung, Berichtigen, Sperren und Löschen beziehungsweise Anonymisieren.

Betroffene Personen sind Kunden und Teilnehmer der Programme sowie berechtigte Beschäftigte und Ansprechpartner des Unternehmens. Datenarten sind insbesondere Namen, erforderliche Kontaktangaben, Karten- und Mitgliedskennungen, Programmzuordnung, Stempel-, Punkte-, Besuchs- und Einlösungshistorie, Kanalpräferenzen und Nachweise über tatsächlich abgegebene Erklärungen. Besondere Kategorien personenbezogener Daten und Daten nach Artikel 10 DSGVO sind nicht Gegenstand des Auftrags und dürfen nicht in Freitextfelder eingestellt werden.

Die Verarbeitung dauert für die vereinbarte Leistung und die geordnete Rückgabe oder Löschung an. Fortgeltende gesetzliche Pflichten sowie die nachfolgenden Vertraulichkeits- und Nachweispflichten bleiben bestehen.

2. Weisungen und Verantwortung

Das Unternehmen entscheidet über Zweck, Umfang, Rechtsgrundlage und Zulässigkeit seiner Treueprogramme und erfüllt die Informationspflichten gegenüber Betroffenen. Dokumentierte Einstellungen und berechtigte Bedienhandlungen innerhalb des Vertrags sind Weisungen. Ergänzende Weisungen erfolgen in Textform durch eine befugte Person.

Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung, auch bei Drittlandübermittlungen, sofern keine gesetzliche Verarbeitungspflicht besteht. Über eine solche Pflicht informiert er vorab, soweit dies zulässig ist. Er weist unverzüglich auf Weisungen hin, die nach seiner Auffassung gegen Datenschutzrecht verstoßen, und setzt den betroffenen Vorgang bis zur Klärung aus, soweit erforderlich.

3. Vertraulichkeit und Sicherheit

Zugriff erhalten nur Personen, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterworfen sind. Zugänge werden auf notwendige Aufgaben begrenzt. Der Auftragsverarbeiter trifft risikogerechte technische und organisatorische Maßnahmen nach Artikel 32 DSGVO und überprüft ihre Wirksamkeit regelmäßig. Die konkret vereinbarten Maßnahmen stehen in Anlage 1.

Änderungen dürfen das vereinbarte Schutzniveau nicht vermindern. Bei einem erkannten Risiko werden angemessene Abhilfemaßnahmen dokumentiert. Diese Vereinbarung behauptet keine Zertifizierung und keine durchgängig verschlüsselte Speicherung aller Daten, soweit dies nicht gesondert nachgewiesen ist.

4. Weitere Auftragsverarbeiter

Das Unternehmen genehmigt allgemein den Einsatz der in Anlage 2 beschriebenen Dienstleister für die dort genannten Zwecke, soweit diese im Auftrag tätig werden. Weitere oder ersetzende Unterauftragnehmer werden mindestens 30 Tage vor einem beabsichtigten Einsatz in Textform mitgeteilt. Das Unternehmen kann aus nachvollziehbaren datenschutzrechtlichen Gründen widersprechen. Die Parteien klären eine angemessene Alternative; ist keine rechtmäßige Lösung möglich, kann die betroffene Leistung beendet werden.

Unterauftragnehmer erhalten mindestens gleichwertige Pflichten nach Artikel 28 DSGVO. Der Auftragsverarbeiter bleibt gegenüber dem Unternehmen für deren Erfüllung verantwortlich. Eine allgemein abrufbare Dienstleisterliste allein ersetzt nicht die vereinbarte Änderungsmitteilung.

5. Unterstützung, Vorfälle und Anfragen

Der Auftragsverarbeiter unterstützt das Unternehmen unter Berücksichtigung der Art der Verarbeitung bei Betroffenenrechten, Sicherheitsmaßnahmen, Datenschutz-Folgenabschätzungen und erforderlichen Konsultationen. Anfragen von Betroffenen zur Auftragsverarbeitung werden unverzüglich weitergeleitet; eigenständige Entscheidungen darüber erfolgen nur auf Weisung oder aufgrund einer gesetzlichen Pflicht.

Eine bekannt gewordene Verletzung des Schutzes personenbezogener Daten wird dem Unternehmen unverzüglich gemeldet. Die Mitteilung enthält die verfügbaren Informationen zu Art des Vorfalls, betroffenen Daten und Personen, wahrscheinlichen Folgen, Kontaktstelle sowie getroffenen oder vorgeschlagenen Maßnahmen. Fehlende Informationen werden ohne unangemessene Verzögerung ergänzt. Die gesetzlichen Meldepflichten des Verantwortlichen bleiben bestehen.

6. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt die zur Prüfung der vereinbarten Pflichten erforderlichen Informationen bereit und ermöglicht angemessene Überprüfungen einschließlich Inspektionen durch das Unternehmen oder einen beauftragten Prüfer. Umfang und Termin werden grundsätzlich so abgestimmt, dass Sicherheit und Daten anderer Kunden geschützt bleiben; dringende gesetzliche Kontrollen werden dadurch nicht ausgeschlossen. Festgestellte erhebliche Mängel werden mit geeigneten Maßnahmen und nachvollziehbaren Fristen bearbeitet.

7. Rückgabe und Löschung

Nach Ende des Auftrags werden die Auftragsdaten nach Wahl des Unternehmens zurückgegeben oder gelöscht, soweit keine gesetzliche Pflicht zur weiteren Speicherung besteht. Ein erforderlicher Export ist vor Abschaltung des Zugangs zu vereinbaren. Zurückbehaltene Daten bleiben geschützt und dürfen nur für den Aufbewahrungszweck verarbeitet werden.

Löschungen beziehen sich auch auf vorhandene Kopien. Sicherungskopien werden im Rahmen des geregelten Sicherungszyklus ersetzt beziehungsweise gelöscht und bis dahin gesperrt gehalten; bei Wiederherstellung sind Löschweisungen erneut umzusetzen. Das Unternehmen erhält auf Anforderung einen Nachweis über die Durchführung und verbleibende gesetzlich erforderliche Ausnahmen.

Anlage 1: Technische und organisatorische Maßnahmen

• Getrennte Encore-Datenbank mit Zuordnung betrieblicher Daten zum jeweiligen Geschäft; serverseitige Prüfung der Berechtigung bei Zugriffen und Änderungen.
• Persönliche Benutzerkonten, abgestufte Rollen und entziehbare Sitzungen; Passwortableitungen statt Speicherung von Klartextpasswörtern.
• HTTPS für öffentliche Produktzugriffe und geschützte Sitzungs-Cookies im Produktivbetrieb; kurzlebige Nachweise für sensible Anmelde- und Wiederherstellungsabläufe.
• Versionsprüfungen und wiederholsichere Verarbeitung wichtiger Änderungen; nachvollziehbare, gegen gewöhnliche nachträgliche Änderungen geschützte Vorgangs- und Bestätigungshistorie.
• Begrenzte administrative Zugänge, vertrauliche Behandlung von Zugangsdaten und Trennung von Produktivdaten und isolierten Testdaten. Kein Versand von Test-E-Mails an echte Kunden.
• Sicherungs- und Wiederherstellungsverfahren, Prüfung der Wiederherstellbarkeit, begrenzter Zugang zu Sicherungen sowie Umsetzung dokumentierter Lösch- und Aufbewahrungsanforderungen.
• Pflege von Software und Berechtigungen, Behandlung gemeldeter Sicherheitsmängel und dokumentierte Reaktion auf Datenschutzvorfälle.

Diese Maßnahmen beschreiben das vereinbarte Schutzniveau. Betriebsnachweise, Sicherungsintervalle und die aktuelle Wirksamkeitsprüfung sind auf begründete Anforderung bereitzustellen; die Veröffentlichung dieser Vereinbarung ersetzt keine betriebliche Prüfung.

Anlage 2: Dienste und Verarbeitungsketten

• Hostinger: Serverbetrieb und Speicher für Encore; ausgewählter Serverstandort Frankfurt am Main, Deutschland/EU. Maßgeblich sind die im Betreibervertrag benannte Hostinger-Vertragsgesellschaft und deren zulässig eingesetzte Unterauftragnehmer. Datenschutzunterlagen.
• Cloudflare: Netzwerk-, Auslieferungs- und Schutzdienste; technische Verbindungsdaten und bei Auslieferung erforderliche Inhalte. Globale Verarbeitung ist möglich. Datenschutz.
• Resend: E-Mail-Versand und Versandstatus für beauftragte Kommunikation; Empfänger und Nachrichteninhalt. Verarbeitung einschließlich US-Dienstleistern ist möglich. Vertrag zur Auftragsverarbeitung und Unterauftragnehmerliste.
• Google/Firebase und Apple: technische Zustellung von Benachrichtigungen und Wallet-Funktionen, soweit Bestandteil des beauftragten Programms. Anmelde- und Geräteplattformen können daneben eigene Verantwortlichkeit ausüben; diese eigenen Verarbeitungen sind keine unbegrenzte Unterauftragsgenehmigung. Firebase, Apple.
• Geoapify / KEPTAGO LTD, Zypern: serverseitige Suche und Kartendarstellung für Geschäftsadressen; Suchdaten, Koordinaten und technische Anfrageinformationen. Vertragsbedingungen und Datenschutz.

Für Übermittlungen außerhalb des EWR sind vor Verarbeitung die einschlägigen Voraussetzungen des Kapitels V DSGVO sicherzustellen, etwa ein anwendbarer Angemessenheitsbeschluss oder geeignete Standardvertragsklauseln mit erforderlichen ergänzenden Maßnahmen. Vertragsunterlagen und Angaben zu konkreten Schutzmaßnahmen können beim Datenschutzkontakt angefordert werden. Stripe ist für diese Fassung noch nicht als Zahlungsdienst angeschlossen.