Auftragsverarbeitungsvertrag

Anbieter- / Verkäuferangaben

Firma: [eklenecek]
MERSIS-Nr.: [eklenecek]
Finanzamt: [eklenecek]
Steuernummer: [eklenecek]
Anschrift: [eklenecek]
Telefon: [eklenecek]
E-Mail: [eklenecek]
KEP (registrierte E-Mail): [eklenecek]

Parteien und Rollen

Dieser Vertrag ist Anlage zu den Nutzungsbedingungen. Das Unternehmen, das Dokun nutzt, ist nach dem türkischen Gesetz Nr. 6698 (KVKK) Verantwortlicher für die personenbezogenen Daten seiner Karteninhaber; Dokun verarbeitet diese Daten nur in seinem Auftrag als Auftragsverarbeiter. Unternehmenskonten, Rechnungsdaten und Sicherheitsprotokolle sind nicht Gegenstand dieses Vertrags (hierfür ist Dokun Verantwortlicher).

Gegenstand, Umfang und Dauer

Gegenstand: Betrieb des Treueprogramms. Datenkategorien: Name (optional), E-Mail, Telefon (falls angegeben), Geburtstag (falls angegeben), Kartenseriennummer, Stempel-/Prämien-/Gutscheinverlauf, Besuchsbewertung und Kommentar, Einwilligungsnachweise für Werbung, Apple-Wallet-Geräteregistrierungen. Betroffene: Karteninhaber und Personal des Unternehmens. Dauer: Abo-Laufzeit zzgl. der Rückgabe-/Löschfrist in Abschnitt 11.

Weisungen

Dokun verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Unternehmens; Einstellungen im Dashboard, Kampagnenversand und API-Aufrufe gelten als Weisungen. Hält Dokun eine Weisung für rechtswidrig, informiert es das Unternehmen. Die Daten werden nicht für Werbung, Profilverkauf oder eigene Zwecke von Dokun genutzt; ausgenommen sind anonyme, aggregierte Nutzungsstatistiken.

Vertraulichkeit und Personal

Dokun-Mitarbeitende mit Datenzugriff sind zur Vertraulichkeit verpflichtet; Zugriff wird nur im für Support, Wartung und Sicherheit erforderlichen Mindestumfang gewährt.

Sicherheitsmaßnahmen

Technische und organisatorische Maßnahmen: TLS-Verschlüsselung bei der Übertragung; Row-Level-Security (RLS) zur Trennung der Unternehmen in der Datenbank; maskierte Angaben bei der Kundensuche an der Kasse; Buchungsbestätigung per QR oder Einmalcode; rollenbasierte Personalrechte; API-Schlüssel nur als Hash gespeichert; Ratenbegrenzung und Bot-Schutz; verschlüsselte Backups; Zugriffs- und Aktivitätsprotokolle; regelmäßige Sicherheitsupdates.

Unterauftragsverarbeiter

Das Unternehmen erteilt eine allgemeine Genehmigung für folgende Unterauftragsverarbeiter: • Supabase — Datenbank, Authentifizierung, Dateispeicher (EU, Irland) • Vercel — Anwendungshosting und Serverfunktionen (EU-Region; globales Edge-Netz, US-Unternehmen) • Apple — Apple-Wallet-Karten und Push-Benachrichtigungen (APNs) (USA/global) • Cloudflare — Turnstile-Bot-Schutz (global) • Google — Google Analytics, nur auf der öffentlichen Website und mit Cookie-Einwilligung; keine Karteninhaberdaten (EU/USA) • Resend — Transaktions- und Kampagnen-E-Mails (USA/EU) • Netgsm oder İleti Merkezi — SMS-Bestätigungscodes (Türkei) • iyzico — Abo-Zahlungen; nur Rechnungs-/Zahlungsdaten des Unternehmens (Türkei) Mindestens 30 Tage vor Hinzunahme eines neuen Unterauftragsverarbeiters wird diese Seite aktualisiert und das Unternehmen per E-Mail informiert; es kann aus berechtigtem Grund widersprechen. Dokun verpflichtet Unterauftragsverarbeiter zu gleichwertigen Pflichten.

Übermittlung ins Ausland

Einige Unterauftragsverarbeiter verarbeiten Daten außerhalb der Türkei. Übermittlungen erfolgen gemäß KVKK Art. 9 (in der Fassung des Gesetzes Nr. 7499 von 2024); ohne Angemessenheitsbeschluss über die vom Datenschutzrat veröffentlichten Standardverträge. Standardverträge sind der Datenschutzbehörde innerhalb von 5 Werktagen nach Unterzeichnung zu melden; welche Partei diese Meldung übernimmt und welches Übermittlungsinstrument je Unterauftragsverarbeiter gilt, wird rechtlich geprüft.

Anfragen Betroffener

Dokun stellt dem Unternehmen Dashboard-Werkzeuge (Kundendatensatz ansehen, exportieren, löschen) bereit, damit es Anfragen nach KVKK Art. 11 beantworten kann. Direkt an Dokun gerichtete Anfragen werden unverzüglich an das Unternehmen weitergeleitet.

Meldung von Datenpannen

Dokun meldet dem Unternehmen eine seine Daten betreffende Datenpanne unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntnis, mit Art der Panne, betroffenen Daten- und Personenkategorien, wahrscheinlichen Folgen und ergriffenen Maßnahmen. Die Meldung an die Behörde und an Betroffene obliegt dem Unternehmen als Verantwortlichem; Dokun unterstützt angemessen.

Kontrollen

Das Unternehmen kann zur Prüfung der Einhaltung Informationen und Unterlagen anfordern. Vor-Ort-Prüfungen erfolgen nach angemessener schriftlicher Vorankündigung, höchstens einmal jährlich, zu Geschäftszeiten und unter Wahrung der Vertraulichkeit anderer Kunden; die Kosten trägt das Unternehmen. Unabhängige Prüfberichte der Unterauftragsverarbeiter werden nach Möglichkeit bereitgestellt.

Rückgabe und Löschung bei Vertragsende

Nach Ende des Abos kann das Unternehmen seine Daten 30 Tage lang als CSV exportieren. Danach werden personenbezogene Daten spätestens innerhalb von 90 Tagen einschließlich Backups gelöscht oder anonymisiert, ausgenommen Aufzeichnungen mit gesetzlicher Aufbewahrungspflicht. Auf Wunsch wird die Löschung schriftlich bestätigt.

Vorrang

Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen hinsichtlich der Verarbeitung personenbezogener Daten geht dieser Vertrag vor.