Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Zwischen dem gewerblichen Kunden (nachfolgend „Verantwortlicher“) und der YOURLEAF GmbH, Zur Zugbrücke 2, 26203 Wardenburg (nachfolgend „Auftragsverarbeiter“). Bestandteil des Cardit-Vertrags. Stand: Oktober 2026.

1. Gegenstand & Rollen

Der Auftragsverarbeiter verarbeitet im Rahmen der Bereitstellung von Cardit personenbezogene Daten der Gäste des Verantwortlichen sowie der Mitarbeitenden, die der Verantwortliche in Cardit einlädt, ausschließlich weisungsgebunden und zu den nachstehenden Zwecken. Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich. Nicht Gegenstand dieses Vertrags ist die Verarbeitung, für die der Auftragsverarbeiter selbst verantwortlich ist: die Wallet als solche (Geräte, Wallet-Konten, Anmeldung mit Apple/Google, Zustellung von Benachrichtigungen) sowie die Konto- und Vertragsdaten des Verantwortlichen.

2. Art, Umfang, Zweck & Dauer

• Zwecke: Betrieb der digitalen Bonuskarte des Verantwortlichen — Sammeln von Punkten, Einlösen von Belohnungen, Gewähren von Vorteilen aus Partnerprogrammen; Auswertungen für den Verantwortlichen; Bildung der von ihm gewählten Zielgruppen und Versand seiner Push-Nachrichten an Gäste, die diese eingeschaltet haben; Anbindung seiner Kasse bzw. seines Kassensystems; Zugang seines Personals zur Kasse und zum Konto nach Rollen sowie die Angabe, wer gebucht oder eine Nachricht versendet hat.
• Betroffene Personen: Gäste/Endkunden des Verantwortlichen, die die Wallet nutzen; Mitarbeitende des Verantwortlichen, die er in Cardit einlädt (Personal).
• Datenarten:
  • Kundennummer und interne Geräte- bzw. Kontokennung (pseudonym);
  • Buchungen mit Zeitpunkt, Punkten, Bonbetrag, Bonnummer und Rabatt; eingelöste Belohnungen; Sprache der App;
  • Zugehörigkeit zu einem Partnerprogramm des Verantwortlichen mit Aufnahmedatum und aufnehmender Kasse;
  • daraus abgeleitete Kennzahlen je Gast (z. B. Besuche, Abstand der Besuche, letzter Besuch, Zugehörigkeit zu einer Zielgruppe);
  • Zustelladresse für Push-Nachrichten (Browser-Endpunkt bzw. Token von Firebase Cloud Messaging) und Zeitpunkt der Einwilligung — nur bei eingeschalteten Nachrichten;
  • vom Personal: der Name, unter dem es beitritt (z. B. der Vorname), Rolle und Rechte, persönliche PIN (nur als Hash), Zeitpunkt der letzten Anmeldung und gesperrte Fehlversuche; die Zuordnung zu Buchungen und Einlösungen („gebucht von“) und zu versendeten Push-Nachrichten (Absendername); Einladungscodes mit Gültigkeit und Einlösung. Scheidet jemand aus, ersetzt Cardit den Namen durch eine Archivbezeichnung („Ausgeschieden 1“) und löscht die PIN; im Versandprotokoll der Push-Nachrichten bleibt der Absendername noch bis zur Frist nach Ziffer 10 stehen.
• Gäste sehen kein Personal: Namen der Mitarbeitenden erscheinen nur im Konto und an der Kasse des Verantwortlichen, nie in der Wallet oder in Nachrichten an Gäste.
• Was der Verantwortliche sieht: keine Klarnamen, keine E-Mail-Adressen und keine Kennungen bei Apple/Google. Auswertungen je Gast erfolgen pseudonym über die Kundennummer bzw. ein Kürzel. Die Kundennummer ist bei allen Betrieben dieselbe; der Verantwortliche unterlässt es, Gäste darüber mit Daten anderer Betriebe zusammenzuführen.
• Dauer: für die Laufzeit des Cardit-Vertrags einschließlich der Auslaufphase für die Gäste; danach gilt Ziffer 10.

3. Weisungen

Die Verarbeitung erfolgt nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind dieser Vertrag und die Nutzung der Cardit-Funktionen durch den Verantwortlichen — etwa das Anlegen von Zielgruppen, das Versenden von Nachrichten, das Aufnehmen von Gästen in Partnerprogramme und das Anlegen von Schlüsseln für die Kassen-Schnittstelle. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen.

4. Vertraulichkeit

Der Auftragsverarbeiter verpflichtet die mit der Verarbeitung befassten Personen auf Vertraulichkeit bzw. unterstellt sie einer angemessenen gesetzlichen Verschwiegenheitspflicht.

5. Technische & organisatorische Maßnahmen (Art. 32)

• verschlüsselte Übertragung (HTTPS/TLS) auf allen Wegen;
• Zugriff auf die Karten eines Gastes nur mit dem Geheimnis seines Geräts; der Server speichert davon nur einen Prüfwert. Wallet-Konten werden ausschließlich über Apple/Google betreten — es werden keine Zugangsdaten der Gäste gespeichert, auch keine Hashes;
• Konten der Betriebe: Passwort-Hashing nach aktuellem Stand, erneute Passwortabfrage vor sensiblen Einstellungen;
• Kasse: Kopplung von Geräten nur mit PIN, Abmeldung nach 30 Tagen ohne Nutzung;
• Personal: Rechte je Rolle (Inhaber, Schichtleitung, Servicekraft); persönliche PIN nur als Hash, Sperre nach mehreren Fehlversuchen; Einladungscodes gelten 15 Minuten und nur einmal;
• Kassen-Schnittstelle: Schlüssel werden nur als Hash gespeichert, haben einzeln vergebene Rechte und sind jederzeit widerrufbar; Kassenhersteller signieren jeden Aufruf (HMAC-SHA256 mit Zeitfenster und Einmalwert), optional mit Freigabeliste der IP-Adressen;
• Datensparsamkeit: keine Namen oder E-Mail-Adressen der Gäste beim Verantwortlichen, Pseudonyme in Auswertungen;
• Begrenzung der Anfragen (Rate-Limits), Protokollierung zur Missbrauchsabwehr, tägliche Sicherungen;
• Hosting in ISO-27001-zertifizierten Rechenzentren in Deutschland.

6. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Hetzner Online GmbH (Deutschland) — Server, Datenbank, Sicherungen und E-Mail-Versand (eigener Mailserver), Standort Nürnberg;
• Google Ireland Limited (mit Unterauftragsverarbeitern in den USA, EU-US Data Privacy Framework bzw. Standardvertragsklauseln) — Firebase Cloud Messaging für die Zustellung von Push-Nachrichten an die Apps; auf iOS-Geräten über den Apple Push Notification Service;
• der jeweilige Push-Dienst des Browsers der Gäste (z. B. Google, Apple, Mozilla) — nur bei Push-Nachrichten im Browser.

Die Zahlungsabwicklung über Stripe betrifft nur die Vertragsdaten des Verantwortlichen, nicht die Gästedaten, und ist daher hier nicht aufgeführt (siehe Datenschutzerklärung Unternehmenskonto). Weitere oder wechselnde Unterauftragsverarbeiter teilen wir rechtzeitig mit; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

7. Anbindung von Kassensystemen

Bindet der Verantwortliche über die Kassen-Schnittstelle ein eigenes Kassensystem an, übermittelt der Auftragsverarbeiter die angefragten Daten (Kundennummer, Punktestand, Belohnungen, Vorteile) an dieses System und nimmt dessen Buchungen entgegen. Das geschieht auf Weisung des Verantwortlichen im Umfang der Rechte, die er dem jeweiligen Schlüssel gegeben hat. Der Hersteller bzw. Betreiber des Kassensystems ist kein Unterauftragsverarbeiter des Auftragsverarbeiters; das Verhältnis zu ihm regelt der Verantwortliche selbst. Der Auftragsverarbeiter darf Schlüssel oder die Anbindung eines Herstellers sperren, wenn die Sicherheit der Verarbeitung das erfordert.

8. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen angemessen bei Betroffenenrechten (Art. 15–22), insbesondere bei Auskunft, Löschung und Widerspruch gegen die Bildung von Zielgruppen, bei Meldepflichten (Art. 33/34) sowie bei Datenschutz-Folgenabschätzungen (Art. 35/36). Anfragen von Gästen, die beim Auftragsverarbeiter eingehen und die Bonuskarte des Verantwortlichen betreffen, beantwortet er im Rahmen dieses Vertrags bzw. leitet sie weiter.

9. Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über ihm bekannt gewordene Verletzungen des Schutzes personenbezogener Daten.

10. Löschung & Rückgabe

Vor Vertragsende kann der Verantwortliche seine Kundenliste und das Protokoll der Einlösungen im Konto als CSV-Datei herunterladen. Nach Beendigung des Vertrags und der Auslaufphase bewahren wir die Daten der Gäste noch 6 Monate auf, damit der Verantwortliche die Bonuskarte samt Punkten seiner Gäste wiederaufnehmen kann; danach löschen wir sie. Die Löschung kündigen wir 30 Tage vorher per E-Mail an — bis dahin kann der Verantwortliche die Daten herunterladen (Rückgabe) oder jederzeit eine frühere Löschung verlangen. Gesetzliche Aufbewahrungspflichten bleiben unberührt. Nie eingelöste Einladungscodes für das Personal entfernen wir nach 30 Tagen; den Absendernamen ausgeschiedener Mitarbeitender im Versandprotokoll ersetzen wir nach 12 Monaten durch die Archivbezeichnung. Gäste können ihre Daten unabhängig davon jederzeit selbst löschen. Sicherungskopien werden im Rahmen der regelmäßigen Rotation überschrieben.

11. Nachweise & Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen.