Vertrag zur Auftragsverarbeitung (AVV)

Data processing agreement (Art. 28 GDPR). This page is in German; the German version is binding.

Stand: Oktober 2026

Dieser Vertrag gilt zwischen dem Unternehmen, das STAMP nutzt („Verantwortlicher“), und Jessica Krenz, STAMP, Paula-Straub-Str. 17, 78048 Villingen-Schwenningen, Deutschland („Auftragsverarbeiterin“). Er wird mit dem Abschluss des Vertrags über die Nutzung von STAMP nach unseren AGB vereinbart, auch während der kostenlosen Testphase, und konkretisiert die Pflichten nach Art. 28 DSGVO. Eine unterschriebene Fassung senden wir auf Anfrage an hello@stampwallet.app gerne zu.

1. Gegenstand und Dauer

(1) Die Auftragsverarbeiterin stellt dem Verantwortlichen die Software STAMP bereit, mit der dieser digitale Stempelkarten an seine Kundinnen und Kunden ausgibt. Dabei verarbeitet sie personenbezogene Daten im Auftrag des Verantwortlichen.

(2) Der Vertrag läuft so lange wie der Vertrag über die Nutzung von STAMP. Nach dessen Ende gelten die Pflichten dieses AVV fort, solange die Auftragsverarbeiterin noch Daten des Verantwortlichen verarbeitet.

2. Art, Zweck und Umfang der Verarbeitung

Zweck: Führen digitaler Stempelkarten und Treueprogramme des Verantwortlichen: Beitritt, Vergabe von Stempeln, Einlösen von Prämien, Geburtstags-Stempel, Bereitstellung der Karte im Browser und in Wallet-Apps, Versand des Links zur eigenen Karte, Nachrichten und (nur mit Einwilligung) Werbe-E-Mails an Endkunden, Statistiken, Export und Löschung.

Art der Verarbeitung: Erheben, Speichern, Ordnen, Anzeigen, Übermitteln an Wallet-Dienste, Versenden von E-Mails, Löschen.

Betroffene Personen: Kundinnen und Kunden des Verantwortlichen, die einer Stempelkarte beitreten; Mitarbeiterinnen und Mitarbeiter des Verantwortlichen mit eigenem Zugang.

Datenkategorien:

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht verarbeitet. Der Verantwortliche darf solche Daten nicht in Freitextfelder eingeben.

3. Weisungen

(1) Die Auftragsverarbeiterin verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, sie ist gesetzlich zu einer Verarbeitung verpflichtet; dann teilt sie dies vorher mit, soweit das Gesetz es nicht verbietet. Weisungen sind vor allem die Einstellungen und Aktionen des Verantwortlichen im Dashboard sowie dieser Vertrag. Weitere Weisungen erteilt der Verantwortliche in Textform.

(2) Hält die Auftragsverarbeiterin eine Weisung für rechtswidrig, weist sie den Verantwortlichen unverzüglich darauf hin und darf die Ausführung bis zur Klärung aussetzen.

4. Pflichten der Auftragsverarbeiterin

5. Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Folgende sind bei Vertragsschluss genehmigt:

(2) Die Auftragsverarbeiterin verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau. Übermittlungen in Drittländer erfolgen auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln.

(3) Über beabsichtigte Änderungen (Hinzufügen oder Ersetzen) informiert sie den Verantwortlichen mindestens vier Wochen vorher in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann er den Vertrag zum Zeitpunkt der Änderung kündigen.

6. Nachweise und Kontrollen

Die Auftragsverarbeiterin stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind, und ermöglicht Überprüfungen. Vor-Ort-Kontrollen sind mit angemessener Frist anzukündigen, während der Geschäftszeiten durchzuführen und dürfen den Betrieb nicht unverhältnismäßig stören. Der Nachweis kann auch durch aktuelle Zertifikate oder Berichte der eingesetzten Dienstleister erbracht werden.

7. Löschung und Rückgabe nach Vertragsende

Der Verantwortliche kann seine Daten jederzeit im Dashboard exportieren. Löscht er sein Konto oder endet der Vertrag, löscht die Auftragsverarbeiterin die Daten des Verantwortlichen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Sicherungskopien werden nach spätestens 30 Tagen automatisch überschrieben.

8. Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Information seiner Endkunden und das Einholen erforderlicher Einwilligungen (z. B. für Werbe-E-Mails). Er informiert die Auftragsverarbeiterin unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.

9. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB. Bei Widersprüchen zwischen diesem AVV und den AGB geht dieser AVV in Fragen des Datenschutzes vor. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen