Vertrag zur Auftragsverarbeitung (AVV)

gemäß Art. 28 DSGVO. Stand: 31. August 2026.

zwischen

dem teilnehmenden Händler, Betreiber eines digitalen Treueprogramms
– nachfolgend „Verantwortlicher" –

und

Ellen Schmidtke, handelnd unter der Geschäftsbezeichnung Onuras
Bodenstraße 55
53773 Hennef
Deutschland
E-Mail: kontakt@onuras.de
– nachfolgend „Auftragsverarbeiter" –

gemeinsam „Parteien".

Präambel

Der Verantwortliche nutzt die Plattform Onuras zur Erstellung und Verwaltung eines digitalen Treueprogramms.

Der Verantwortliche entscheidet über die Zwecke und wesentlichen Mittel der Verarbeitung der personenbezogenen Daten seiner Endkunden und ist insoweit Verantwortlicher im Sinne der DSGVO.

Onuras verarbeitet personenbezogene Daten der Endkunden im Rahmen der technischen Bereitstellung und des Betriebs der Plattform im Auftrag des Verantwortlichen.

Der Verantwortliche wird durch die bei der Registrierung und im Kundenkonto hinterlegten Unternehmens- und Kontaktdaten individualisiert. Der Verantwortliche bestätigt bei Annahme dieses AVV, zur Vertretung des betreffenden Unternehmens berechtigt zu sein. Die Annahme dieses AVV wird durch den Auftragsverarbeiter mit Datum, Uhrzeit und Versionsstand dokumentiert. Dieser AVV kann elektronisch geschlossen werden (Art. 28 Abs. 9 DSGVO).

Dieser Vertrag konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien gemäß Art. 28 DSGVO.

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten von Endkunden des Verantwortlichen im Rahmen der Bereitstellung, des Betriebs und der technischen Unterstützung des digitalen Treueprogramms über die Plattform Onuras.

(2) Die Verarbeitung umfasst insbesondere die Speicherung und Verwaltung von Kundeninformationen, Stempelständen, Belohnungen, Besuchs- und Scanvorgängen, Wallet-Informationen und, soweit aktiviert, Push-Benachrichtigungen.

(3) Die Dauer der Auftragsverarbeitung entspricht grundsätzlich der Laufzeit des zwischen dem Verantwortlichen und Onuras bestehenden Nutzungsvertrags.

(4) Nach Beendigung des Nutzungsvertrags gelten die Regelungen über Löschung, Rückgabe und gegebenenfalls gesetzliche Aufbewahrungspflichten gemäß § 8 fort.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zur technischen Bereitstellung und Durchführung des vom Verantwortlichen betriebenen Treueprogramms. Hierzu gehören insbesondere:

Erstellung und Bereitstellung digitaler Treuekarten
Verwaltung von Kunden- und Kundenkarten
Vergabe und Speicherung von Stempeln
Speicherung und Einlösung von Belohnungen
Verwaltung von Levels
Speicherung von Scan- und Besuchsvorgängen
Durchführung der vom Verantwortlichen konfigurierten Kundenbindungsmaßnahmen
technische Bereitstellung von Apple- und Google-Wallet-Karten
technische Aktualisierung von Wallet-Karten
Versand optionaler Push-Benachrichtigungen nach entsprechender Aktivierung durch den Endkunden
technische Bereitstellung von Export- und Löschfunktionen
technische Fehleranalyse und Support, soweit hierfür ein Zugriff auf personenbezogene Daten im Einzelfall erforderlich ist

Der Auftragsverarbeiter verwendet die personenbezogenen Daten nicht für eigene Werbe- oder Marketingzwecke.

§ 3 Kategorien personenbezogener Daten

Im Rahmen der Auftragsverarbeitung können insbesondere folgende Daten verarbeitet werden:

Stammdaten

Vorname, sofern vom Endkunden freiwillig angegeben
Geburtstag in Form von Monat und Tag, sofern vom Endkunden freiwillig angegeben

Treueprogramm-Daten

zufällig erzeugte Kunden-ID
Stempelstand
Gesamtzahl bzw. Zielzahl der Stempel
Level
Belohnungen und eingelöste Belohnungen
Zeitpunkte von Stempel- bzw. Scanvorgängen
letzter Besuch
besuchter Standort, soweit für das jeweilige Treueprogramm technisch vorgesehen
Kampagnenreaktionen bzw. Teilnahmeinformationen

Wallet-Daten

Bei Nutzung von Apple Wallet können insbesondere folgende Informationen Bestandteil des Passes sein: Vorname (sofern angegeben), Stempelstand, Level, Belohnungsname, Kunden-ID als Seriennummer, Händlername sowie gegebenenfalls eine vom Händler festgelegte Nachricht.

Bei Nutzung von Google Wallet können insbesondere folgende Informationen Bestandteil der Karte sein: Vorname (sofern angegeben), Kunden-ID, Stempelstand, Level, Belohnungsname, Händlername.

Der Geburtstag wird nicht an Apple oder Google als Bestandteil der Wallet-Karte übermittelt.

Push-Daten

Bei Aktivierung von Push-Benachrichtigungen können technische Push-Informationen verarbeitet werden, insbesondere Web-Push-Token bzw. Subscription-Daten, technische Informationen zur Zustellung sowie Apple-Geräte-/Wallet-Registrierungsinformationen, soweit diese für Wallet-Aktualisierungen erforderlich sind.

Technische Nutzungs- und Protokolldaten

Soweit diese im Rahmen der Nutzung der Plattform anfallen, können insbesondere verarbeitet werden: IP-Adresse, Zeitpunkt des Zugriffs, Browser- und Geräteinformationen, Betriebssystem, technische Ereignis- und Fehlerprotokolle, angeforderte Inhalte, Push-Subscription- und Wallet-Registrierungsinformationen sowie Sicherheits- und Missbrauchserkennungsdaten. Diese Daten fallen insbesondere in den Server- und Provider-Protokollen der eingesetzten Infrastruktur an und werden nur im technisch erforderlichen Umfang und für begrenzte Zeit verarbeitet.

§ 4 Kategorien betroffener Personen

Endkunden des Verantwortlichen
Teilnehmer des jeweiligen Treueprogramms
gegebenenfalls Personen, die an vom Verantwortlichen eingerichteten Kampagnen teilnehmen

§ 5 Weisungen des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit er nicht durch das Recht der Union oder eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet ist. In einem solchen Fall informiert der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung über die betreffende rechtliche Verpflichtung, sofern das betreffende Recht eine solche Information nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

(2) Die Nutzung der Plattform durch den Verantwortlichen, insbesondere die Konfiguration seines Treueprogramms, die Anlage von Belohnungen, die Vergabe von Stempeln, die Einrichtung von Kampagnen und die Nutzung der bereitgestellten Funktionen, gilt als dokumentierte Weisung im Rahmen dieses Vertrags.

(3) Zusätzliche Weisungen können insbesondere über das Kundenkonto, schriftlich oder in Textform erteilt werden.

(4) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, wird er den Verantwortlichen unverzüglich darauf hinweisen. Bis zur Klärung ist der Auftragsverarbeiter berechtigt, die betreffende Weisung auszusetzen, soweit dies zur Vermeidung eines Datenschutzverstoßes erforderlich ist.

§ 6 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere:

personenbezogene Daten nur entsprechend den Weisungen des Verantwortlichen und den Bestimmungen dieses AVV zu verarbeiten;
die zur Verarbeitung befugten Personen zur Vertraulichkeit zu verpflichten bzw. sie einer entsprechenden gesetzlichen Verschwiegenheitspflicht zu unterwerfen;
geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO umzusetzen;
den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO zu unterstützen;
den Verantwortlichen bei der Bearbeitung von Anfragen betroffener Personen angemessen zu unterstützen;
Datenschutzverletzungen unverzüglich nach Bekanntwerden an den Verantwortlichen zu melden;
personenbezogene Daten nach Beendigung der Auftragsverarbeitung entsprechend § 8 zu löschen oder zurückzugeben;
dem Verantwortlichen die zur Kontrolle der Einhaltung dieses AVV erforderlichen Informationen zur Verfügung zu stellen.

§ 7 Vertraulichkeit und Zugriff

(1) Der Auftragsverarbeiter stellt sicher, dass personenbezogene Daten nur Personen zugänglich gemacht werden, die zur Verarbeitung befugt sind und zur Vertraulichkeit verpflichtet wurden.

(2) Der Zugriff auf Endkundendaten innerhalb der technischen Infrastruktur von Onuras ist grundsätzlich auf die zur technischen Bereitstellung erforderlichen Systeme beschränkt.

(3) Ein administrativer Zugriff auf Endkundendaten ist ausschließlich der Inhaberin Ellen Schmidtke vorbehalten, durch individuelle Zugangsdaten abgesichert und nur zulässig, soweit er für Support, Wartung, Fehleranalyse, Sicherheitsmaßnahmen oder technische Wiederherstellung erforderlich ist. Administrativer Zugriff wird, soweit technisch möglich, nachvollziehbar dokumentiert.

(4) Die reguläre Administrationsoberfläche von Onuras stellt keine Übersicht über die Endkundendaten der einzelnen Händler bereit.

§ 8 Löschung und Rückgabe

(1) Nach Beendigung des Vertragsverhältnisses löscht der Auftragsverarbeiter die im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten, soweit keine gesetzliche Verpflichtung zur weiteren Speicherung besteht.

(1a) Vor der Löschung erhält der Verantwortliche für einen Zeitraum von 30 Tagen nach Vertragsende die Möglichkeit, die in seinem Auftrag verarbeiteten Daten über die bereitgestellten Exportfunktionen abzurufen, soweit keine Sicherheits- oder Rechtsgründe entgegenstehen. Nach Ablauf dieses Zeitraums erfolgt die Löschung nach Maßgabe dieses § 8.

(2) Die Löschung kann insbesondere folgende Daten betreffen:

Vorname
Geburtstag
Stempelstand
Zuordnung der Kunden-ID zum Kunden
Web-Push-Token
Apple-Wallet-Geräteregistrierung
personenbezogene Zuordnungen im Zusammenhang mit Google Wallet

(3) Bei Google Wallet wird das betreffende Wallet-Objekt technisch bereinigt und, soweit technisch vorgesehen, in einen Status versetzt, der keine weitere normale Nutzung als aktive Karte ermöglicht.

(4) Nach der Löschung personenbezogener Daten dürfen Scan-, Besuchs- und Statistikdaten nur insoweit weiterverarbeitet werden, als sie wirksam anonymisiert wurden und eine Re-Identifizierung durch den Auftragsverarbeiter oder den Verantwortlichen mit angemessenen Mitteln nicht mehr möglich ist. Eine fortbestehende Kunden-ID darf nur gespeichert werden, wenn sie keinen Personenbezug mehr aufweist und nicht mit anderen Daten zur Re-Identifizierung zusammengeführt werden kann. Andernfalls ist sie zu löschen oder irreversibel zu aggregieren.

(5) Die Löschung in den Produktivsystemen erfolgt grundsätzlich unverzüglich nach Durchführung des Löschvorgangs.

(6) Daten können aufgrund technischer Sicherungskopien noch für einen begrenzten Zeitraum in Backups vorhanden sein. Für die produktiven Daten werden automatische tägliche Sicherungskopien mit einer Aufbewahrungsdauer von derzeit 7 Tagen vorgehalten. Nach Ablauf dieser Frist werden die betreffenden Sicherungskopien gelöscht bzw. überschrieben.

(7) Auf eine bereits lokal auf dem Endgerät eines Endkunden gespeicherte Wallet-Karte hat der Auftragsverarbeiter keinen unmittelbaren physischen Zugriff. Soweit die technischen Schnittstellen des jeweiligen Wallet-Anbieters dies ermöglichen, kann Onuras den Status einer Karte aktualisieren, deaktivieren oder die weitere Aktualisierung einstellen. Die endgültige Entfernung einer lokal gespeicherten Karte vom Endgerät liegt jedoch im Einflussbereich des Endkunden und des jeweiligen Wallet-Anbieters.

§ 9 Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten nach Kapitel III DSGVO (insbesondere Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch). Hierfür stellt Onuras insbesondere technische Export- und Löschfunktionen bereit.

Geht eine Anfrage einer betroffenen Person unmittelbar beim Auftragsverarbeiter ein, wird diese, soweit erforderlich, an den Verantwortlichen verwiesen bzw. der Verantwortliche hierüber informiert.

§ 10 Datenschutzverletzungen

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich.

(2) Die Meldung enthält, soweit zum Zeitpunkt der Meldung möglich, insbesondere die Art der Datenschutzverletzung, die betroffenen Daten und Kategorien betroffener Personen, die bekannten oder vermuteten Folgen sowie die bereits ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Begrenzung der Folgen.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen angemessen bei der Erfüllung seiner Pflichten nach Art. 33 und 34 DSGVO.

(4) Meldungen über Datenschutzverletzungen erfolgen an die im Kundenkonto hinterlegte Kontakt-E-Mail-Adresse des Verantwortlichen sowie, soweit vorhanden, an eine vom Verantwortlichen benannte Datenschutzkontaktadresse.

(5) Soweit zum Zeitpunkt der Erstmeldung noch nicht alle Informationen vorliegen, übermittelt der Auftragsverarbeiter die verfügbaren Informationen unverzüglich und reicht weitere Erkenntnisse ohne unangemessene Verzögerung nach.

§ 11 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen zum Schutz der personenbezogenen Daten. Die aktuell eingesetzten Maßnahmen sind in Anlage 2 zu diesem AVV beschrieben. Der Auftragsverarbeiter ist berechtigt, die technischen und organisatorischen Maßnahmen weiterzuentwickeln, sofern das bestehende Schutzniveau dadurch nicht unterschritten wird.

§ 12 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Beauftragung der in Anlage 1 aufgeführten Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Kalendertage vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform oder über das Kundenkonto. Die Information enthält mindestens die Identität, den vorgesehenen Dienst, den Verarbeitungszweck und – soweit relevant – die vorgesehenen Verarbeitungsorte.

(3) Der Verantwortliche kann innerhalb von 14 Kalendertagen nach Zugang der Information aus datenschutzrechtlich erheblichen Gründen in Textform widersprechen. Der Auftragsverarbeiter wird den Verantwortlichen über zumutbare Alternativen informieren, soweit solche verfügbar sind. Besteht keine zumutbare Alternative und hält der Auftragsverarbeiter an der Änderung fest, ist der Verantwortliche berechtigt, den Nutzungsvertrag zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich zu kündigen.

(4) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den in diesem AVV festgelegten Anforderungen entsprechen.

(5) Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters verantwortlich.

§ 13 Apple Wallet und Google Wallet

(1) Onuras ermöglicht dem Verantwortlichen optional die Bereitstellung digitaler Treuekarten für Apple Wallet und Google Wallet.

(2) Für Apple Wallet erstellt und signiert Onuras die entsprechenden Pass-Dateien selbst. Bei Nutzung von Apple Wallet werden die für die Darstellung und Verwaltung des Passes erforderlichen Passinformationen an Apple übermittelt. Apple beschreibt selbst, dass beim Hinzufügen eines Passes Informationen über den Pass an Apple übermittelt, mit dem Apple Account verknüpft und zur Anzeige und Verwaltung des Passes verarbeitet werden können.

(3) Für Google Wallet werden die erforderlichen Passdaten mittels signierter Anfragen bzw. signierter JWTs an die Google-Wallet-Infrastruktur übermittelt. Die Google Wallet API sieht die Authentifizierung entsprechender API-Anfragen über ein Google-Cloud-Dienstkonto vor.

(4) Apple und Google werden nicht als Unterauftragsverarbeiter des Auftragsverarbeiters eingeordnet, soweit und in dem Umfang sie personenbezogene Daten im Zusammenhang mit ihren jeweiligen Wallet-Diensten für eigene Zwecke oder in eigener Verantwortlichkeit verarbeiten. Für diese Verarbeitungen gelten ergänzend die jeweiligen Datenschutzbestimmungen von Apple bzw. Google. Soweit Apple, Google oder andere technische Dienstleister im Einzelfall personenbezogene Daten im Auftrag des Auftragsverarbeiters verarbeiten, werden sie nach Maßgabe von § 12 als Unterauftragsverarbeiter eingebunden.

(5) Der Verantwortliche ist dafür verantwortlich, seine Endkunden in seinen Datenschutzhinweisen transparent über die Nutzung von Apple Wallet, Google Wallet und gegebenenfalls damit verbundene Datenübermittlungen zu informieren.

(6) Die Verantwortlichkeit des Händlers für die Verarbeitung der personenbezogenen Daten im Rahmen seines Treueprogramms bleibt hiervon unberührt.

§ 14 Drittlandübermittlungen

(1) Der Auftragsverarbeiter setzt für die produktive Speicherung der Endkundendaten derzeit Supabase in der Region eu-west-3 (Paris, Europäische Union) ein. Die Anwendungsfunktionen werden derzeit vorrangig über Vercel in der Region fra1 (Frankfurt, Deutschland) bereitgestellt. Endkundendaten werden bei Vercel nicht dauerhaft gespeichert.

(2) Die konkrete Verarbeitung kann technisch bedingt auch die Verarbeitung von Protokoll-, Sicherheits-, Support- oder Metadaten durch eingesetzte Dienstleister umfassen. Soweit hierbei personenbezogene Daten in einem Drittland verarbeitet werden oder ein Drittlandzugriff nicht ausgeschlossen werden kann, stellt der Auftragsverarbeiter sicher, dass die Voraussetzungen des Kapitels V DSGVO erfüllt sind. Hierzu können insbesondere ein Angemessenheitsbeschluss der Europäischen Kommission oder geeignete Garantien wie die EU-Standardvertragsklauseln eingesetzt werden.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen vor wesentlichen Änderungen der für die Auftragsverarbeitung relevanten Drittlandübermittlungen nach Maßgabe von § 12 dieses AVV.

§ 15 Nachweise und Kontrollrechte

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der in Art. 28 DSGVO und diesem AVV niedergelegten Pflichten nachzuweisen.

(2) Der Verantwortliche ist berechtigt, die Einhaltung der datenschutzrechtlichen Pflichten des Auftragsverarbeiters durch geeignete Nachweise, Dokumentationen, Selbstauskünfte, Zertifikate oder Audits zu überprüfen oder durch zur Verschwiegenheit verpflichtete Dritte überprüfen zu lassen.

(3) Vor-Ort-Audits sind mindestens 30 Kalendertage vorher in Textform anzukündigen und während der üblichen Geschäftszeiten durchzuführen. Sie dürfen den Geschäftsbetrieb und die Sicherheit der Systeme nicht unangemessen beeinträchtigen.

(4) Der Auftragsverarbeiter darf die Durchführung eines Vor-Ort-Audits davon abhängig machen, dass der Verantwortliche zuvor angemessene vorhandene Nachweise und Dokumentationen prüft, sofern diese die Kontrolle in der Sache ermöglichen.

(5) Die Kosten eines Audits trägt grundsätzlich der Verantwortliche, sofern das Audit einen erheblichen Verstoß des Auftragsverarbeiters gegen datenschutzrechtliche oder vertragliche Pflichten feststellt.

§ 16 Unterstützung bei Datenschutz-Folgenabschätzungen und Behördenanfragen

Der Auftragsverarbeiter unterstützt den Verantwortlichen, soweit erforderlich und unter Berücksichtigung der Art der Verarbeitung, angemessen bei Datenschutz-Folgenabschätzungen gemäß Art. 35 DSGVO, Konsultationen der zuständigen Aufsichtsbehörde gemäß Art. 36 DSGVO sowie sonstigen datenschutzrechtlich erforderlichen Anfragen von Behörden, soweit diese die Auftragsverarbeitung betreffen.

§ 17 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem AVV und den AGB gehen hinsichtlich datenschutzrechtlicher Fragen die Regelungen dieses AVV vor.

(2) Änderungen und Ergänzungen dieses AVV bedürfen grundsätzlich der Textform, soweit nicht gesetzlich eine strengere Form vorgeschrieben ist.

(3) Es gilt deutsches Recht.

(4) Datenschutzanfragen zu diesem AVV können an kontakt@onuras.de gerichtet werden.

Anlage 1 – Unterauftragsverarbeiter

1. Supabase

Gesellschaft: Supabase, Inc.
Dienst: Datenbank, Speicherung und technische Infrastruktur
Verarbeitete Daten: Endkundendaten des jeweiligen Händlers
Standort: eu-west-3 (Paris), Europäische Union
Zweck: Speicherung und Bereitstellung der Datenbank des Treueprogramms
DPA / Datenschutz: supabase.com/legal/dpa (dort auch die jeweils aktuelle Liste der Unterauftragsverarbeiter)

2. Vercel

Gesellschaft: Vercel Inc.
Dienst: Compute-/Hosting-Infrastruktur und Bereitstellung der Anwendung
Verarbeitete Daten: Endkundendaten können bei der Verarbeitung von Requests vorübergehend verarbeitet werden
Standort: Frankfurt (fra1), Europäische Union
Speicherung: keine dauerhafte Speicherung der Endkundendaten bei Vercel; die dauerhafte Speicherung erfolgt in Supabase
Zweck: technische Bereitstellung und Verarbeitung der Anwendungs-Requests
DPA / Datenschutz: vercel.com/legal/dpa (dort auch die jeweils aktuelle Liste der Unterauftragsverarbeiter)

Apple und Google

Apple und Google werden nicht als Unterauftragsverarbeiter in dieser Anlage geführt, soweit sie die von ihnen empfangenen Daten für eigene Zwecke bzw. zur Erbringung ihrer eigenen Wallet-Dienste verarbeiten. Apple bestätigt für Wallet ausdrücklich, dass beim Hinzufügen eines Passes Passinformationen an Apple übermittelt und zur Anzeige und Verwaltung des Passes verarbeitet werden können. Soweit Apple oder Google im Einzelfall Daten im Auftrag von Onuras verarbeiten, gelten sie nach Maßgabe von § 12 als Unterauftragsverarbeiter.

Nicht Bestandteil der Auftragsverarbeitung

Die folgenden Dienste verarbeiten nach der derzeitigen technischen Konfiguration keine Endkundendaten im Auftrag des Händlers:

Cloudflare – ausschließlich DNS-Verwaltung; kein Proxy, CDN oder WAF für die Anwendung. Sollte Cloudflare künftig als Proxy/CDN eingesetzt werden, wird es als Unterauftragsverarbeiter nach § 12 eingebunden.
Resend – ausschließlich Versand von System-E-Mails an Händler
Stripe – Zahlungsabwicklung für Händlerkonten
Photon / komoot GmbH – Geocoding von Händleradressen

Anlage 2 – Technische und organisatorische Maßnahmen

1. Vertraulichkeit und Zugriffsschutz

Zugriff auf Endkundendaten ist technisch beschränkt.
Ein administrativer Zugriff auf Endkundendaten ist ausschließlich der Inhaberin Ellen Schmidtke vorbehalten, durch individuelle Zugangsdaten abgesichert und nur zulässig, soweit er für Support, Wartung, Fehleranalyse, Sicherheitsmaßnahmen oder technische Wiederherstellung erforderlich ist.
Es werden individuelle Zugänge verwendet; geteilte Administratorpasswörter kommen nicht zum Einsatz.
Die Zugänge zu den eingesetzten Infrastruktur- und Dienstleisterkonten (insbesondere Datenbank-, Hosting-, Domain-, E-Mail- und Zahlungsdienst) sind, soweit vom jeweiligen Anbieter angeboten, durch Zwei-Faktor-Authentifizierung abgesichert.
Zur Authentifizierung des Händlerkontos werden Passwörter mittels scrypt mit zufälligem Salt verarbeitet.
Sitzungen werden über signierte httpOnly-Cookies abgesichert.
Login-Versuche werden durch Ratenbegrenzungen geschützt.
Administrative Zugriffe werden, soweit technisch verfügbar, protokolliert.

2. Integrität und Verschlüsselung

Sämtliche Datenübertragungen erfolgen verschlüsselt über TLS/HTTPS.
Gespeicherte Daten werden bei den eingesetzten Infrastrukturanbietern nach deren jeweiligem Stand verschlüsselt abgelegt (Verschlüsselung ruhender Daten), soweit vom Anbieter bereitgestellt.
Sicherungskopien werden bei den eingesetzten Anbietern verschlüsselt bzw. sicher abgelegt.
Serverseitige Zugriffsschlüssel werden nicht an den Browser ausgeliefert.
Der Zugriff auf die Datenbank erfolgt ausschließlich über die serverseitige Anwendung.
Die Zuordnung von Daten zu einem Händler erfolgt serverseitig über die authentifizierte betreiber_id.
Diese betreiber_id stammt aus der signierten Session und nicht aus frei vom Nutzer übermittelten Daten.

3. Mandantentrennung

Die Daten der einzelnen Händler werden serverseitig logisch voneinander getrennt. Jede relevante Datenbankabfrage wird zwingend auf die betreiber_id des authentifizierten Händlers eingeschränkt. Eine Manipulation von IDs über normale API-Anfragen ermöglicht daher keinen Zugriff auf die Daten anderer Händler.

4. Verfügbarkeit und Wiederherstellung

Betrieb der produktiven Datenbank in der EU
tägliche automatische Backups
Backup-Aufbewahrung derzeit 7 Tage
technische Maßnahmen zur Wiederherstellung der Plattform nach Störungen
stichprobenartige Prüfung der Wiederherstellbarkeit von Sicherungskopien, soweit praktisch möglich

5. Betrieb und Sicherheitsmanagement

Die eingesetzte Infrastruktur (Datenbank, Hosting) wird als verwalteter Dienst betrieben; Sicherheits-Updates und Patches der Basisinfrastruktur werden durch die jeweiligen Anbieter bereitgestellt.
Anwendungsabhängigkeiten werden regelmäßig aktualisiert.
Bekannt gewordene Sicherheitsmeldungen und Schwachstellen werden bewertet und behoben.
Für Sicherheitsvorfälle besteht ein Verfahren zur Meldung an betroffene Verantwortliche (§ 10).
Deployments erfolgen über einen kontrollierten Bereitstellungsprozess.

6. Datenminimierung

Endkunden benötigen kein eigenes Benutzerkonto.
Es werden keine Endkunden-Passwörter gespeichert.
Die Angabe des Vornamens ist freiwillig.
Die Angabe des Geburtstags ist freiwillig und beschränkt sich auf Monat und Tag.
Push-Benachrichtigungen werden nur nach entsprechender Aktivierung verarbeitet.

7. Löschung

Bei einer Löschung werden insbesondere die personenbezogenen Zuordnungen entfernt. Die verbleibenden Scan- und Statistikdaten werden nur weiterverarbeitet, soweit sie wirksam anonymisiert wurden und eine Re-Identifizierung mit angemessenen Mitteln nicht mehr möglich ist.