Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO
1. Gegenstand und Dauer
Dieser Vertrag ist Bestandteil der AGB. Der Kunde (Verantwortlicher) beauftragt [eklenecek] (Auftragsverarbeiter, „Dokun“) mit der Verarbeitung personenbezogener Daten zur Bereitstellung der digitalen Treuekarten. Die Laufzeit entspricht der Laufzeit des Hauptvertrags.
2. Art, Zweck, Datenarten und Betroffene
Zweck: Ausstellen und Aktualisieren von Treuekarten, Erfassen von Stempeln, Punkten, Prämien und Gutscheinen, Versand von Benachrichtigungen im Auftrag des Kunden, Auswertungen im Dashboard. Betroffene: Karteninhaber (Endkunden des Kunden) und Personal des Kunden. Datenarten: E-Mail-Adresse, freiwillig Name und Geburtstag, Karten-, Stempel- und Gutscheinverlauf, Einwilligungsstatus für Werbung, Apple-Wallet-Geräteregistrierung, freiwilliges Feedback, IP-Adresse und Daten der Bot-Prüfung; beim Personal Name, E-Mail und Protokolle der Aktionen.
3. Weisungen
Dokun verarbeitet die Daten nur auf dokumentierte Weisung des Kunden; die Einstellungen im Dashboard und die Nutzung der API gelten als Weisung. Ist Dokun der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, weist Dokun den Kunden unverzüglich darauf hin (Art. 28 Abs. 3 UAbs. 2 DSGVO).
4. Vertraulichkeit
Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet und erhalten nur die für ihre Aufgabe erforderlichen Rechte.
5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Verschlüsselte Übertragung (TLS); Datenbank in der EU (Irland) mit mandantengetrennter Zugriffskontrolle auf Zeilenebene; rollen- und rechtebasierter Zugriff für Personal; Protokollierung sicherheitsrelevanter Aktionen; Schutz der Formulare vor Bots; regelmäßige Datensicherungen; Zugangsdaten und Schlüssel nur serverseitig.
6. Unterauftragsverarbeiter
Der Kunde erteilt die allgemeine Genehmigung für folgende Unterauftragsverarbeiter: • Supabase Inc. — Datenbank, Authentifizierung, Dateispeicher (Rechenzentrum EU, Irland) • Vercel Inc. — Hosting der Anwendung (Region EU, Irland; weltweites Content Delivery Network), USA • Resend Inc. — Versand von E-Mails, USA • Apple Inc. — Apple Wallet und Push-Benachrichtigungen für Kartenaktualisierungen, USA • Cloudflare Inc. — Bot-Schutz (Turnstile) in Anmelde- und Login-Formularen, USA Über beabsichtigte Änderungen informiert Dokun mindestens 30 Tage vorher per E-Mail; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag in diesem Fall kündigen. Dokun legt Unterauftragsverarbeitern gleichwertige Datenschutzpflichten auf.
7. Übermittlung in Drittländer
Dokun hat seinen Sitz in der Türkei; für die Türkei besteht kein Angemessenheitsbeschluss. Für Zugriffe aus der Türkei vereinbaren die Parteien die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Modul 2: Verantwortlicher an Auftragsverarbeiter), die durch diesen Verweis Bestandteil des Vertrags sind. Für Unterauftragsverarbeiter in den USA gelten das EU-US Data Privacy Framework (Art. 45 DSGVO) bzw. Standardvertragsklauseln.
8. Unterstützung des Kunden
Dokun stellt im Dashboard Werkzeuge bereit, mit denen der Kunde Anfragen von Betroffenen beantworten kann (Datensatz ansehen, exportieren, löschen; Werbeeinwilligung widerrufen). Karteninhaber können ihre Daten zudem selbst über ihre Kartenseite herunterladen oder löschen. Dokun unterstützt den Kunden angemessen bei den Pflichten nach Art. 32 bis 36 DSGVO.
9. Meldung von Verletzungen
Dokun meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
10. Löschung und Rückgabe
Nach Vertragsende kann der Kunde seine Daten im Dashboard exportieren. Dokun löscht die Daten spätestens 30 Tage nach Vertragsende einschließlich vorhandener Kopien, soweit keine gesetzliche Pflicht zur Speicherung besteht; Sicherungskopien werden im regulären Rotationszyklus überschrieben.
11. Nachweise und Kontrollen
Dokun stellt dem Kunden die zum Nachweis der Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach angemessener Vorankündigung.
12. Haftung und Rangfolge
Für die Haftung gilt Art. 82 DSGVO, im Übrigen die AGB. Bei Widersprüchen geht dieser Vertrag den AGB vor, die Standardvertragsklauseln gehen diesem Vertrag vor.
Stand
31.10.2026