gemäß Art. 28 DSGVO · Fassung 2026-10
zwischen dem Laden bzw. Unternehmen, das sich bei Tapstempel registriert hat, mit den bei der Registrierung angegebenen Daten
– Auftraggeber (Verantwortlicher) –
und Yassir Sbai (Tapstern), Liebermannweg 1, 93051 Regensburg, webmaster@tapstern.de
– Auftragnehmer (Auftragsverarbeiter) –
Der Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO): Bei der Registrierung wird auf diesen Vertrag hingewiesen, und mit dem Abschluss der Registrierung nimmt der Auftraggeber ihn an. Zeitpunkt und Fassung der Bestätigung werden gespeichert. Auf Wunsch senden wir eine unterschriebene Fassung.
(1) Der Auftragnehmer stellt dem Auftraggeber das digitale Treueprogramm „Tapstempel“ bereit (digitale Stempelkarte im Browser sowie in Apple Wallet und Google Wallet, Dashboard, Mitteilungen an Kunden). Dabei verarbeitet er personenbezogene Daten der Kundinnen und Kunden sowie der Mitarbeiter des Auftraggebers in dessen Auftrag.
(2) Dieser Vertrag gilt, solange der Auftragnehmer für den Auftraggeber personenbezogene Daten im Rahmen von Tapstempel verarbeitet (Gratismonat und Abo). Er endet automatisch mit dem Ende der Nutzung.
| Zweck | Führen digitaler Stempelkarten, Vergabe und Einlösung von Stempeln und Belohnungen, Mitteilungen an Kunden, Statistiken für den Auftraggeber, Schutz vor Missbrauch |
|---|---|
| Betroffene | Kundinnen und Kunden des Auftraggebers, die eine Stempelkarte nutzen; Mitarbeiter des Auftraggebers |
| Datenarten Kunden | zufällige Karten-ID und Gerätekennung, Stempelstand, Zeitpunkte von Stempeln und Einlösungen, gesendete Mitteilungen, Klicks auf den Knopf des Ladens, z. B. Google-Bewertung (Datum, Herkunft, verschlüsselte Gerätekennung; 90 Tage), Kennungen für Apple/Google Wallet (Push-Token, Geräte-ID), optional E-Mail-Adresse zur Wiederherstellung der Karte oder Hashwert einer Apple-/Google-Konto-Kennung (Sicherung mit Apple bzw. Google); Namen oder Telefonnummern werden nicht erhoben |
| Datenarten Mitarbeiter | Vorname bzw. Bezeichnung, PIN (nur als Hashwert), Zuordnung vergebener Stempel und Einlösungen |
| Ort | Rechenzentren des Hosting-Dienstleisters (siehe Anlage 2) |
(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Als Weisungen gelten dieser Vertrag, die Einstellungen und Aktionen des Auftraggebers im Dashboard (z. B. Nachrichten senden, Mitarbeiter anlegen) sowie Weisungen per E-Mail.
(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.
(3) Der Auftragnehmer nutzt die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung, und gibt sie nicht an Dritte weiter, außer an die in Anlage 2 genannten Unterauftragnehmer oder wenn er gesetzlich dazu verpflichtet ist.
Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung gegenüber seinen Kunden und Mitarbeitern verantwortlich, insbesondere für deren Information (z. B. Hinweis auf das Treueprogramm und die Datenschutzerklärung) und für den Inhalt der Nachrichten, die er an Kunden sendet.
(1) Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragnehmer. Der Auftragnehmer verpflichtet sie vertraglich auf ein gleichwertiges Datenschutzniveau.
(2) Über neue oder geänderte Unterauftragnehmer informiert der Auftragnehmer mindestens 14 Tage im Voraus per E-Mail oder im Dashboard. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; ist keine Einigung möglich, können beide Seiten den Vertrag über Tapstempel beenden.
(3) Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO (z. B. EU-US Data Privacy Framework, Standardvertragsklauseln).
Der Auftragnehmer weist die Einhaltung seiner Pflichten auf Anfrage durch geeignete Unterlagen nach (z. B. Beschreibung der Maßnahmen, Zertifikate der Unterauftragnehmer). Vor-Ort-Kontrollen sind nach rechtzeitiger Anmeldung (mindestens 14 Tage) zu üblichen Geschäftszeiten möglich, ohne Betriebsabläufe unverhältnismäßig zu stören.
Nach Ende der Nutzung löscht der Auftragnehmer alle Daten der Kunden und Mitarbeiter des Auftraggebers innerhalb von 30 Tagen, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Auf Wunsch stellt er dem Auftraggeber vorher eine Übersicht der Stempelkarten (Karten-ID, Stempelstand, Einlösungen) als Datei bereit. Sicherungskopien des Hosters werden im Rahmen der dortigen Fristen überschrieben.
(1) Für die Haftung gilt Art. 82 DSGVO.
(2) Bei Widersprüchen geht dieser Vertrag anderen Vereinbarungen über Tapstempel vor, soweit es um den Schutz personenbezogener Daten geht.
(3) Änderungen dieses Vertrags teilt der Auftragnehmer dem Auftraggeber mit; sie gelten als angenommen, wenn der Auftraggeber nicht innerhalb von 30 Tagen widerspricht. Es gilt deutsches Recht; Gerichtsstand ist, soweit zulässig, Regensburg. Sollte eine Bestimmung unwirksam sein, bleibt der Rest wirksam.
Der Auftragnehmer setzt Unterauftragnehmer in folgenden Kategorien ein:
| Kategorie | Leistung | Garantie |
|---|---|---|
| Hosting-Dienstleister | Server, Datenbank, Dateispeicher, Auslieferung | AV-Vertrag; bei Bezug zu Drittländern EU-US Data Privacy Framework bzw. Standardvertragsklauseln |
| E-Mail-Versanddienstleister (Sitz in der EU) | Versand von Codes an Kunden, die ihre Karte freiwillig per E-Mail sichern | AV-Vertrag |
| Apple | Push-Aktualisierung von Karten in Apple Wallet; Anmeldung zur Kartensicherung (jeweils nur wenn der Kunde es nutzt) | EU-US Data Privacy Framework |
| Karten in Google Wallet; Anmeldung zur Kartensicherung (jeweils nur wenn der Kunde es nutzt) | EU-US Data Privacy Framework |
Die eingesetzten Unterauftragnehmer sind dem Auftraggeber mit Namen, Leistung und Sitzland in seiner Vertragsübersicht im Tapstempel-Dashboard (Mein Konto) aufgeführt; Anschriften übersendet der Auftragnehmer auf Anfrage per E-Mail (webmaster@tapstern.de). Die Liste ist Bestandteil dieses Vertrags.
Zahlungen des Auftraggebers an den Auftragnehmer betreffen keine Daten der Kunden des Auftraggebers und sind nicht Gegenstand dieses Vertrags.